La difesa contro il ransomware ha avuto, finora, un obiettivo chiaro: rimettere in piedi i sistemi. Backup, piani di business continuity e disaster recovery, obiettivi di RTO e RPO — l’intera architettura difensiva è tarata su una singola minaccia, il blocco dell’operatività.
Nel 2026 quella minaccia sta cambiando. Un numero crescente di attaccanti rinuncia del tutto alla cifratura: rubano i dati, minacciano di pubblicarli e, sempre più spesso, minacciano di denunciare la vittima all’autorità competente per innescare un’indagine. La leva non è più la disponibilità del dato, ma la sua riservatezza. E la difesa italiana, costruita finora attorno al ripristino, continua a rispondere a una domanda che l’attaccante ha smesso di porre.
I numeri descrivono uno scostamento strutturale, non un’anomalia. Nel Global Incident Response Report 2026 di Unit 42, la quota di casi estorsivi che ricorrono alla cifratura è scesa al 78% nel 2025, rispetto a valori vicini o superiori al 90% nel periodo 2021-2024. Google ha registrato una crescita degli incidenti di puro furto ed estorsione dal 2% circa del 2020 al 15% del 2025; la società Resilience ha visto attacchi legati alla sola estorsione salire dal 49% al 65% nel corso del 2025. Kaspersky segnala che nel 2025 la quota di riscatti effettivamente pagati è crollata al 28%, e collega a questo dato la diffusione di estorsioni prive di qualsiasi cifratura.
Il segnale più netto arriva dalle scelte industriali dei gruppi criminali: Hunters International, che operava come ransomware-as-a-service affittando il proprio malware agli affiliati che conducono materialmente gli attacchi, si è ribattezzata World Leaks e oggi fornisce a quegli stessi affiliati uno strumento che non cifra nulla e si limita a sottrare i dati. Nel prodotto la cifratura non c’è più.
Indice degli argomenti
Il backup difende da un attacco che non avviene più
La doppia estorsione nasce nel 2019 con il gruppo Maze proprio per aggirare i backup come mitigazione della minaccia: se la vittima può ripristinare da backup i dati cifrati, non ha motivo di pagare; ma se quei dati sono stati copiati prima della cifratura, il ripristino non basta più perché si riportano in funzione i sistemi, ma non impedisce che le informazioni riservate vengano pubblicate. L’attacco senza cifratura è l’esito di questa logica. Se la leva decisiva è la minaccia di divulgazione, cifrare diventa non solo superfluo ma controproducente: espone al rilevamento immediato, allunga la durata dell’attacco e costringe a far funzionare senza intoppi una macchina crittografica che può sempre fallire. Rinunciandovi, l’attaccante elimina questi rischi e conserva l’unica cosa che conta: i dati rubati e la minaccia di pubblicarli.
Per la difesa la conseguenza è tanto lineare quanto scomoda. Il backup restituisce la disponibilità del dato, e contro un attacco che non la intacca non serve a nulla. I sistemi restano in funzione, ed è esattamente il punto: se nulla è bloccato, non c’è nulla da ripristinare. Gli indicatori su cui si reggono i programmi di resilienza, quali RTO e RPO, misurano il recupero da un’interruzione che non si verifica. La continuità operativa, che la NIS2 include tra le misure minime di gestione del rischio, resta necessaria contro altre minacce ma cieca di fronte a questa.
La leva si sposta sulla riservatezza
Lo spostamento è, in termini elementari, un cambio di asse nella triade CIA. La difesa italiana è stata ultimamente ottimizzata sulla disponibilità; l’attacco senza cifratura colpisce invece la riservatezza. E le due grandezze non sono simmetriche. Un dato reso indisponibile si può ripristinare; un dato divulgato non si può richiamare indietro. Non esiste un backup della riservatezza: una volta che l’informazione è uscita, l’operazione è irreversibile in un senso in cui il blocco dei sistemi non lo è mai stato.
Questo ridisegna anche il fronte del rilevamento. L’attacco che cifra è rumoroso e istantaneo: lo schermo che diventa rosso è un evento che si nota. L’esfiltrazione è silenziosa e può distribuirsi su settimane o mesi, e proprio per questo è molto più difficile da intercettare. La difesa che investe nel ripristino rapido presidia il momento più visibile dell’attacco, mentre l’attacco senza cifratura si concentra su quello meno visibile. Chi non vede uscire i dati non ha un ripristino da attivare: ha una violazione già consumata.
L’obbligo di notifica diventa strumento di pressione
Qui si colloca la sfida più insidiosa. L’ordinamento impone alla vittima di dichiararsi: l’articolo 33 del GDPR obbliga a notificare la violazione di dati personali all’autorità di controllo — in Italia il Garante — senza ingiustificato ritardo e comunque, ove possibile, entro 72 ore; l’articolo 25 del D.Lgs. 138/2024 impone ai soggetti NIS2 una pre-notifica al CSIRT Italia entro 24 ore e una notifica entro 72. È un obbligo concepito come meccanismo di trasparenza e tutela. Nelle mani dell’attaccante diventa un’arma.
Il meccanismo è documentato da tempo. Già Suncrypt scriveva nelle richieste di riscatto che chi non avesse pagato avrebbe versato dieci volte tanto allo Stato; il gruppo Grief citava testualmente l’articolo 33, ricordando alla vittima il proprio obbligo di notifica come argomento estorsivo. Nel gennaio 2026 Akamai ha rilevato l’intensificarsi della tattica negli ultimi due anni: il gruppo Anubis si concentra su settori ad alto rischio di compliance come la sanità, e RansomHub incoraggia esplicitamente i propri affiliati a minacciare le vittime con le sanzioni regolatorie. Il punto analitico decisivo lo coglie Tim Berghof di G DATA: la vittima è costretta a scegliere tra un’autodenuncia e una denuncia anonima all’autorità presentata dai criminali — e persino un esposto infondato genera attenzione, impegna risorse e può diventare pubblico. Klaus Hild di SailPoint parla ormai di «estorsione della compliance» come pratica ordinaria dei cartelli ransomware.
La minaccia è credibile proprio perché l’obbligo è reale e le sanzioni sono pesanti: fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali sotto la NIS2, fino a 20 milioni o il 4% sotto il GDPR. Il doppio binario di notifica verso ACN e Garante, che la vittima deve comunque percorrere, amplifica la leva: l’attaccante sa che esistono due canali obbligatori e a tempo, e costruisce la propria pressione sul divario tra ciò che l’impresa dovrebbe dichiarare e ciò che vorrebbe tacere. La stessa esposizione regolatoria della vittima — le policy privacy, gli obblighi noti, il costo stimato di una notifica pubblica — diventa un’informazione da monetizzare.
Ripensare la domanda difensiva
Se l’attacco senza cifratura è il punto d’arrivo di un cambio di paradigma, la risposta difensiva richiede uno spostamento di baricentro, non un ritocco. La domanda non è più «quanto in fretta ripristino», ma «quali dati possono uscire, e cosa accade quando l’unica posta in gioco è la loro riservatezza». Le contromisure che ne discendono sono diverse da quelle del ripristino: minimizzazione e classificazione del dato, perché ciò che può essere sottratto sia il meno possibile e il meno sensibile possibile; cifratura a riposo governata dalla difesa — non dall’attaccante — poiché un dato esfiltrato ma già cifrato dalla vittima perde valore estorsivo; monitoraggio dei flussi in uscita e rilevamento dell’esfiltrazione, che coprono il momento silenzioso dell’attacco.
E c’è una mossa che rovescia proprio quest’ultima leva. L’arma dell’attaccante è la minaccia di denunciare la vittima all’autorità, e ha valore solo finché la vittima non si è ancora dichiarata da sé. Notificare per primi — subito e senza reticenze, prima che l’attaccante possa muoversi — la disinnesca: nulla si può estorcere rivelando ciò che è già stato dichiarato. Lo stesso obbligo che, subìto, apre un fianco al ricatto, adempiuto per tempo lo richiude. Una vittima che ha già assolto l’articolo 33 e l’articolo 25 non ha nulla da temere da chi minaccia di denunciarla. La difesa italiana ha passato anni a perfezionare il ripristino; la minaccia che conta oggi le chiede un’altra competenza: proteggere ciò che non si può richiamare indietro, e trasformare la notifica da vulnerabilità in scudo.
Partecipa alla community