Rapporto ransomware 2026 di Black Kite su Manifattura & Distribuzione: la Manifattura rimane il principale obiettivo del ransomware

Il rapporto Rapporto ransomware 2026 su Manifattura & Distribuzione: ancora il bersaglio #1, ma il profilo della vittima è sceso al mercato inferiore e all’estero di Black Kite rileva che la pressione ransomware sui produttori non solo sta aumentando, ma sta cambiando forma. Il Black Kite Research Group ha analizzato migliaia di incidenti ransomware divulgati pubblicamente dal 2023 fino a luglio 2026, insieme ai dati attuali di esposizione esterna di grandi produttori e società di distribuzione. I risultati indicano un panorama di minacce che si sta espandendo geograficamente, spostandosi verso imprese di medie dimensioni e sempre più capace di trasformare un’unica azienda compromessa in una interruzione molto più ampia della catena di fornitura.

La manifattura continua a distinguersi

La manifattura è rimasta l’industria più bersaglio di Black Kite per cinque anni consecutivi, e il ritmo degli attacchi continua ad accelerare.

I primi sette mesi del 2026 hanno prodotto 1,183 vittime ransomware nel settore manifatturiero, già più di quanto registrato per tutto il 2023 o il 2024. Confrontato con lo stesso periodo dell’anno precedente, gli attacchi sono aumentati di quasi il 40%.

Questa persistenza è particolarmente notevole perché la manifattura ha continuato a crescere come obiettivo anche durante i periodi in cui le azioni delle forze dell’ordine hanno interrotto alcuni dei più grandi operatori dell’ecosistema ransomware.

L’attrattiva è relativamente semplice. A differenza degli attacchi alle aziende, dove le operazioni a volte possono continuare mentre i sistemi IT vengono ripristinati, un attacco informatico contro un produttore può arrestare la produzione fisica. Spedizioni mancate, operai inattivi, penali contrattuali e clienti interrotti aumentano rapidamente la pressione finanziaria sul soggetto colpito.

Questa stessa dinamica rende la manifattura particolarmente preziosa per i gruppi di estorsione. Ogni ora in cui una linea di produzione rimane offline può rafforzare la posizione negoziale dell’attaccante.

La tipica vittima sta diventando più piccola

Gli attacchi di alto profilo contro i principali produttori globali spesso dominano i titoli, ma i dati di Black Kite suggeriscono che il centro dell’attività ransomware si trovi molto più in basso nel mercato.

La vittima manifatturiera mediana nel set di dati genera $42.9 million di fatturato annuo. Le aziende tra $10 million e $100 million hanno rappresentato circa il 70% delle vittime con fatturato noto nel 2026.

Le grandi imprese rimangono bersagli, ma la loro quota di incidenti complessivi è diminuita man mano che gli attaccanti si spingono più in profondità nel mercato medio.

Questo cambiamento è importante perché molte di queste aziende non sono imprese isolate. I produttori di medie dimensioni spesso forniscono componenti, attrezzature, prodotti chimici, elettronica, prodotti alimentari e altri input a organizzazioni molto più grandi.

Di conseguenza, un attacco a un fornitore relativamente sconosciuto può diventare un problema di continuità operativa per aziende molte volte più grandi.

La pressione è anche ampiamente distribuita nel settore manifatturiero. I macchinari rappresentavano il più grande sottosettore individuale nel set di dati di Black Kite, ma i metalli lavorati, le attrezzature di trasporto, i prodotti chimici, l’elettronica e la produzione alimentare hanno tutti rappresentato quote significative di incidenti. Nessuna nicchia singola domina il panorama delle minacce.

Il ransomware sta diventando più globale

La composizione geografica del ransomware nella manifattura sta cambiando quasi con la stessa rapidità del profilo delle vittime.

Gli Stati Uniti rimangono una fonte importante di incidenti divulgati, ma la loro quota di vittime manifatturiere globali è diminuita drasticamente nel 2026. Il calo non è stato principalmente dovuto alla scomparsa degli attacchi alle aziende americane. Al contrario, l’attività ransomware si è espansa molto più rapidamente altrove.

Le vittime manifatturiere europee sono aumentate di oltre il 85% nel periodo comparabile del 2026, con la Germania che registra il totale più alto della regione. Italia, Regno Unito, Francia, Spagna, Turchia e Polonia hanno anch’esse registrato aumenti significativi.

Ciò è particolarmente rilevante nelle economie in cui la manifattura rappresenta una quota significativa della produzione industriale e dell’occupazione. Un attacco riuscito può quindi avere conseguenze che vanno oltre il bilancio di un’unica azienda.

Il cambiamento geografico è influenzato anche da gruppi ransomware più recenti. I Gentlemen, per esempio, sono comparsi nel set di dati di Black Kite solo alla fine del 2025, ma sono rapidamente diventati uno degli operatori più attivi nel colpire i produttori, con un ruolo particolarmente visibile in Europa.

Il panorama degli attori di minaccia si sta ricostruendo

La rapida ascesa dei gruppi più recenti è un altro elemento distintivo del rapporto.

Quasi la metà degli incidenti manifatturieri registrati nel 2026 sono stati attribuiti a attori di minaccia che non erano comparsi nel set di dati di Black Kite nel 2023 o nel 2024. Anche il numero di gruppi che prendono di mira i produttori è aumentato in modo significativo.

I nomi consolidati non sono scomparsi del tutto, ma la gerarchia sta cambiando.

Qilin ha guidato gli incidenti di produzione durante i primi sette mesi del 2026, seguita da The Gentlemen, Akira, DragonForce e INC Ransom. Alcuni operatori precedentemente dominanti sono diminuiti drasticamente, mentre marchi successori e gruppi completamente nuovi sono emersi.

Per i difensori, quel ricambio crea una sfida pratica. Le strategie di sicurezza basate sul monitoraggio di un piccolo insieme di gruppi ransomware riconoscibili possono diventare rapidamente obsolete. Le vulnerabilità di base che gli aggressori sfruttano, come l’accesso remoto esposto, vulnerabilità non corrette, credenziali rubate e sistemi configurati in modo errato, possono quindi essere indicatori più utili del nome del gruppo attualmente in cima alla classifica.

La distribuzione crea un altro punto di fallimento

Black Kite estende la sua analisi oltre le fabbriche alle aziende responsabili del trasporto delle merci tra di esse.

Le aziende di trasporto su strada, di organizzazione del trasporto merci e di magazzinaggio hanno registrato meno incidenti ransomware rispetto ai produttori, ma la loro posizione all’interno delle catene di approvvigionamento può rendere una singola interruzione sproporzionatamente importante.

Il rapporto evidenzia l’attacco del 2025 al fornitore logistico britannico Peter Green Chilled. L’azienda ha continuato a spostare le merci già presenti nel suo sistema, ma i nuovi ordini non potevano più essere elaborati. Poiché serviva numerose grandi catene di supermercati, l’interruzione ha rapidamente colpito i fornitori i cui prodotti erano già immagazzinati o in attesa di entrare nella rete.

Le aziende di distribuzione tendono anche ad essere più piccole delle vittime manifatturiere. Black Kite ha riscontrato un fatturato medio annuo di $28.7 million tra le vittime della distribuzione con fatturato noto.

Queste imprese operano spesso con finestre di consegna ristrette e una tolleranza limitata per tempi di inattività prolungati, rendendo il ransomware particolarmente dirompente.

Quando un attacco informatico diventa un evento economico

Il rapporto utilizza Jaguar Land Rover’s 2025 cyberattack per dimostrare cosa può accadere quando il ransomware colpisce un’azienda posizionata al centro di una grande rete industriale.

La produzione si è fermata per più di cinque settimane in tre impianti britannici, colpendo strutture che complessivamente producono circa 1,000 veicoli al giorno.

Ma i danni si sono estesi ben oltre JLR.

Si stima che più di 5,000 organizzazioni siano state colpite nell’ecosistema più ampio dell’azienda, molte delle quali fornitori più piccoli. L’impatto economico stimato ha raggiunto £1.9 miliardi, mentre il governo britannico ha introdotto una garanzia di prestito da £1.5 miliardi per sostenere JLR e la sua catena di fornitura.

L’interruzione è stata così significativa da essere citata dalla Bank of England come uno dei fattori che hanno contribuito a una crescita economica del Regno Unito più debole del previsto nel trimestre.

È un esempio estremo, ma illustra il tema più ampio che attraversa la ricerca di Black Kite: il rischio cyber nella produzione raramente rimane confinato alla vittima originale.

Molti segnali di avvertimento sono già visibili

Una delle scoperte più rilevanti del rapporto è che molte vittime di ransomware hanno mostrato segni osservabili di rischio elevato prima che i loro incidenti diventassero pubblici.

L’Indice di suscettibilità al ransomware di Black Kite valuta fattori tra cui servizi esposti, vulnerabilità sfruttabili, credenziali trapelate e altri indicatori visibili esternamente.

Quasi tre quarti delle vittime manifatturiere erano già nella fascia critica dell’indice al momento della divulgazione dei loro incidenti.

L’esposizione attuale tra i più grandi produttori mondiali rimane comunque significativa. Black Kite ha riscontrato vulnerabilità critiche diffuse e credenziali trapelate nella sua popolazione monitorata, anche se alcune misure di gestione delle vulnerabilità sono migliorate.

L’esposizione delle credenziali spicca in particolare. Sebbene le organizzazioni abbiano fatto progressi nella riduzione di alcune vulnerabilità software, la diffusione di credenziali che circolano nei log dei rubatori è rimasta ostinatamente elevata.

Ciò crea una superficie di attacco che non può essere necessariamente affrontata solo con le tradizionali attività di patching.

Il ransomware è ora un problema della catena di fornitura

L’implicazione più ampia è che i produttori non possono più considerare il ransomware esclusivamente come una questione di sicurezza informatica interna.

Un’azienda eredita il rischio dai fornitori di software, dai fornitori e dalle società logistiche da cui dipende. Allo stesso tempo, la sua postura cyber diventa parte del profilo di rischio di ogni cliente che dipende dai suoi prodotti.

I regolatori stanno riflettendo sempre più questa realtà interconnessa. Normative europee come NIS2 stanno ponendo maggiore enfasi sulla sicurezza della catena di fornitura, mentre le iniziative del Regno Unito e degli Stati Uniti stanno ampliando le aspettative di cybersecurity tra fornitori di servizi, appaltatori e fornitori critici.

Per i produttori, ciò significa che i questionari annuali per i fornitori e le valutazioni interne isolate potrebbero non essere più sufficienti. La superficie di attacco cambia troppo rapidamente, così come i gruppi ransomware che la sfruttano.

Il rapporto di Black Kite descrive in ultima analisi una minaccia che sta diventando più ampia piuttosto che semplicemente più grande. Gli attacchi si stanno spostando verso aziende di medie dimensioni, si stanno espandendo a livello internazionale e sfruttano sempre più le connessioni tra produttori, fornitori di tecnologia, reti logistiche e clienti. Il risultato è un problema di ransomware in cui la domanda più importante potrebbe non essere più se un’azienda può resistere a un attacco, ma quanto della catena di approvvigionamento circostante dipende da essa.