Il rapporto sulla ransomware di Black Kite del 2026 rivela un’economia minacciosa più veloce e più frammentata

Il rapporto sulla ransomware del 2026 di Black Kite descrive un mercato della ransomware che non è più definito da un’unica gang dominante, da un’unica operazione di alto profilo o da un unico metodo di attacco. Tra il 1° aprile 2025 e il 31 marzo 2026, l’azienda ha identificato 7.551 vittime di ransomware reso pubblico, un aumento rispetto alle 6.046 del periodo di reporting precedente. Tuttavia, più importante dell’aumento complessivo è il modo in cui si è verificata la crescita. L’attività si è accelerata notevolmente nella seconda metà dell’anno, nuovi gruppi di ransomware sono apparsi a un ritmo rapido e le piattaforme software affidabili sono diventate sempre più un punto di ingresso per le organizzazioni che potrebbero aver protetto i propri ambienti interni.

La crescita della ransomware ha cambiato forma

Black Kite ha tracciato le segnalazioni di ransomware dal 2022, quando il suo primo periodo di reporting ha registrato circa 2.700 vittime. Quel totale è poi salito a 4.893, poi a 6.046 e ora a 7.551, ma l’aumento annuale non cattura appieno come l’attività si sia accelerata notevolmente durante l’ultimo periodo.

I primi sei mesi hanno prodotto 2.904 vittime, rispetto alle 4.647 da ottobre 2025 a marzo 2026. Marzo solo ha chiuso con 861 vittime di ransomware reso pubblico, il totale mensile più alto che Black Kite abbia registrato in quattro anni. La tendenza ha continuato anche oltre la fine del periodo di reporting, con altre 2.230 vittime osservate da aprile a giugno 2026.

A differenza dei precedenti cicli di ransomware, il aumento non è stato guidato da un unico gruppo dominante o da un singolo evento importante. Ha riflettuto invece多pli operatori che si espandevano contemporaneamente, gruppi stabiliti che ampliavano le loro reti di affiliati e nuovi entranti che trovavano modi più economici per partecipare.

Un mercato affollato ha ancora leader potenti

La ransomware non è più controllata da un piccolo numero di gang riconoscibili che operano come gruppi criminali organizzati. Funziona sempre più come un’economia dei servizi. Gli operatori core sviluppano il malware, mantengono i siti di leak, gestiscono i pagamenti e forniscono l’infrastruttura, mentre gli affiliati trovano modi per entrare nelle reti aziendali e attaccare. Questo modello consente ai gruppi di espandersi rapidamente senza che ogni partecipante debba avere competenze tecniche avanzate.

Black Kite ha identificato 127 gruppi di ransomware attivi durante il periodo di reporting, tra cui 61 che sono apparsi per la prima volta. Alcuni erano interamente nuove operazioni, mentre altri potrebbero essere stati riorganizzati o gruppi scissionisti formati dopo che le organizzazioni stabilite sono scomparse. Il risultato è un mercato più fluido in cui gli attori possono spostarsi tra marche, riutilizzare strumenti o lanciare nuovi siti di leak senza dover ricostruire le loro operazioni da zero.

Nonostante questa frammentazione, un piccolo numero di gruppi ha ancora generato una grande parte dell’attività. Qilin è stato l’esempio più prominente, con 1.358 vittime durante l’anno, quasi il doppio del suo concorrente più vicino. Il gruppo opera attraverso una struttura di ransomware-as-a-service che dà agli affiliati l’accesso agli strumenti di attacco mentre centralizza funzioni come negoziazioni, pagamenti e segnalazioni di vittime.

Altri marchi hanno seguito percorsi diversi. RansomHub, che era stato una delle principali operazioni nel periodo precedente, ha smesso di pubblicare vittime all’inizio del 2026. LockBit è tornato dopo la sua precedente interruzione, ma le sue 186 vittime rivendicate rappresentavano un recupero limitato piuttosto che un ritorno alla sua influenza precedente.

Questi cambiamenti mostrano perché le marche di ransomware non dovrebbero essere viste come aziende convenzionali. Un gruppo può scomparire mentre i suoi affiliati, le tecniche e l’infrastruttura continuano con altri nomi. Gli operatori possono chiudere dopo un’azione di applicazione della legge, dispute interne o una fiducia in declino, solo per far riapparire tattiche familiari attraverso un nuovo sito di leak settimane dopo.

Il mercato è quindi diventato sia più affollato che più concentrato. I nuovi entranti possono apparire rapidamente, ma la scala dipende ancora dall’accesso affidabile ai broker, dagli affiliati esperti, dall’infrastruttura dei pagamenti e dalla reputazione per fornire malware che funziona come promesso.

Il profilo del bersaglio sta cambiando

Gli attacchi di ransomware iniziano tipicamente con l’accesso piuttosto che con la crittografia. Gli aggressori possono sfruttare un sistema internet-facing non patchato, rubare credenziali da dispositivi di dipendenti, abusare del software di accesso remoto o ingannare un help desk per resettare un account. Una volta all’interno, tentano di spostarsi attraverso l’organizzazione, identificare sistemi preziosi, copiare dati sensibili e creare abbastanza pressione operativa o reputazionale per chiedere un pagamento.

Gli Stati Uniti sono rimasti il paese più frequentemente bersagliato nel set di dati di Black Kite, rappresentando quasi la metà delle vittime osservate. Tuttavia, l’attività di ransomware si è espansa più rapidamente in diversi altri mercati. La Germania, la Francia, la Spagna e l’Italia hanno tutte registrato aumenti sostanziali, mentre diversi paesi asiatici hanno anche sperimentato una forte crescita da punti di partenza più piccoli.

Questa più ampia diffusione geografica riflette un mercato in cui gli affiliati perseguono sempre più qualsiasi organizzazione accessibile piuttosto che limitarsi a un insieme ristretto di paesi. Le barriere linguistiche e la conoscenza regionale un tempo rendevano più difficile l’espansione internazionale. La traduzione automatica, gli strumenti di ricognizione ampiamente disponibili e l’infrastruttura criminale condivisa hanno ridotto parte di questa frizione.

La produzione è rimasta l’industria più bersagliata, con 1.660 vittime segnalate. I produttori sono attraenti perché anche una breve interruzione può interrompere la produzione, ritardare gli ordini e influenzare i fornitori e i clienti. Molti di loro operano anche una miscela di sistemi aziendali moderni e tecnologie operative più vecchie, creando ambienti che possono essere difficili da patchare o disattivare temporaneamente.

I servizi professionali, scientifici e tecnici sono stati al secondo posto. Queste aziende spesso detengono informazioni sensibili appartenenti a più clienti, il che significa che un’intrusione può creare pressione ben oltre la vittima originale. Studi legali, società di ingegneria, consulenti e fornitori di tecnologia possono anche possedere credenziali o accessi che possono condurre gli aggressori in altre organizzazioni.

La costruzione si è spostata al terzo posto, riflettendo la dipendenza del settore da team di progetto distribuiti, appaltatori, applicazioni cloud e sistemi di pagamento. L’assistenza sanitaria è rimasta pesantemente bersagliata perché l’interruzione del servizio può rapidamente diventare un problema operativo e di sicurezza pubblica.

Il rapporto mostra anche che gli aggressori stanno ponendo maggiore enfasi sulle organizzazioni di medie dimensioni. Le aziende che generano tra 10 milioni e 100 milioni di dollari rappresentano gran parte dell’attività osservata. Queste aziende possono detenere dati preziosi e avere la capacità di pagare, ma spesso mancano dei team di sicurezza dedicati e delle difese stratificate disponibili per le più grandi imprese.

Ciò non significa che le grandi aziende siano ignorate. Invece, gli operatori di ransomware sembrano bilanciare i pagamenti potenziali con il costo e la difficoltà di un attacco. Un produttore più piccolo, un appaltatore regionale o una società di servizi professionali può offrire un percorso più veloce all’interruzione rispetto a un’organizzazione multinazionale con risorse di monitoraggio e risposta agli incidenti estese.

Le piattaforme affidabili sono diventate parte della superficie di attacco

Alcuni degli incidenti più importanti dell’anno non sono iniziati all’interno della rete centrale della vittima. Sono passati attraverso le integrazioni del Software-as-a-Service, i token OAuth, le applicazioni di pianificazione delle risorse aziendali, le piattaforme di supporto e altri sistemi connessi ai dati aziendali sensibili.

Il rapporto evidenzia le campagne relative a Salesforce (CRM ) come esempi di come la fiducia delegata possa diventare un percorso di attacco. I token OAuth compromessi associati alle applicazioni collegate hanno presumibilmente dato agli aggressori l’accesso agli ambienti Salesforce dei clienti. Le integrazioni con le piattaforme di servizio clienti e di successo dei clienti hanno creato percorsi aggiuntivi ai dati.

In questi casi, un’organizzazione poteva mantenere controlli interni solidi e ancora essere esposta attraverso una relazione con un fornitore che non comprendeva o monitorava appieno. Un token rilasciato mesi prima, un’applicazione concesso eccessive autorizzazioni o un account di supporto non protetto poteva dare a un aggressore l’accesso senza richiedere un’infezione da malware tradizionale.

Oracle E-Business Suite ha illustrato la versione di massa dello stesso problema. Black Kite descrive una campagna che coinvolgeva affermazioni di furto di dati da ambienti Oracle EBS e la possibile sfruttamento di CVE-2025-61882 prima che fosse disponibile una patch.

L’attività post-periodo che coinvolge PeopleSoft ha rafforzato la lezione più ampia. Una piattaforma esposta può creare un grande bacino a valle di vittime, trasformando i controlli di identità di un fornitore, le autorizzazioni o le vulnerabilità in parte dell’esposizione alla ransomware di ogni cliente.

I segnali di allarme erano spesso visibili

L’analisi pre-segnalazione di Black Kite ha scoperto che molte vittime mostravano debolezze osservabili esternamente prima di apparire sui siti di leak di ransomware. Le configurazioni di sicurezza errate erano presenti in più di due terzi della popolazione analizzata, mentre i servizi di accesso remoto esposti, le vulnerabilità del software, i domini fraudolenti e le credenziali rubate sono apparsi frequentemente.

Più del 60% presentava almeno uno dei tre risultati rilevanti per la ransomware: una vulnerabilità del software nota, un’esposizione delle credenziali o registri di stealer. Quasi uno su dieci presentava tutti e tre.

Questi segnali non dimostrano quale debolezza abbia causato un’intrusione specifica. Un’organizzazione con credenziali esposte potrebbe essere infine compromessa attraverso una vulnerabilità diversa. Tuttavia, i risultati mostrano che molte future vittime erano già visibili come bersagli attraenti prima che un attacco diventasse pubblico.

L’Indice di Suscettibilità alla Ransomware del rapporto tenta di misurare quell’esposizione in modo più diretto. Black Kite ha scoperto che le aziende nella fascia di rischio più alta erano molto più probabili di subire un incidente di ransomware segnalato rispetto alle organizzazioni nella fascia di rischio più bassa.

La lezione pratica è che il rischio di ransomware non è distribuito uniformemente. Gli aggressori spesso si concentrano su organizzazioni in cui si sovrappongono diverse debolezze, specialmente quando i sistemi non patchati, le credenziali esposte e i controlli di identità permissivi creano più punti di ingresso possibili.

I tassi di pagamento più bassi stanno cambiando le tattiche di estorsione

Il mercato della ransomware si è espanso anche se il comportamento dei pagamenti è diventato meno affidabile. Black Kite non misura direttamente i pagamenti di riscatto, ma confronta diversi set di dati di risposta agli incidenti esterni che suggeriscono che meno vittime scelgono di pagare.

Un set di dati ha segnalato un tasso di pagamento del 26% nel secondo trimestre del 2025. Un altro ha collocato il tasso al 23% nel trimestre successivo, mentre gli incidenti di esfiltrazione dei dati hanno prodotto un tasso del 19%. Questi dati provengono da popolazioni diverse e non dovrebbero essere letti come una misurazione continua del mercato, ma puntano nella stessa direzione.

Gli importi pagati dalle organizzazioni che si conformano possono ancora essere sostanziali. Un set di dati citato nel rapporto ha trovato un pagamento mediano di 1 milione di dollari tra le organizzazioni che hanno pagato per recuperare i dati.

I tassi di conversione più bassi non rendono necessariamente la ransomware meno redditizia. Possono invece spingere gli operatori a perseguire più vittime, ridurre il costo di ogni attacco o applicare più forme di pressione. La crittografia è ora frequentemente combinata con il furto di dati, la divulgazione pubblica, l’impersonificazione, il contatto diretto con i clienti e le minacce che coinvolgono i regolatori o i partner commerciali.

Quando meno vittime pagano semplicemente per ripristinare i sistemi crittografati, gli aggressori hanno un incentivo a creare conseguenze che rimangono anche dopo che i backup sono stati ripristinati.

Il recupero non significa che l’esposizione sia scomparsa

Le scoperte post-incidente del rapporto sono tra le più preoccupanti. Alcune misure di sicurezza di superficie sono migliorate dopo che le vittime hanno segnalato gli attacchi. Le valutazioni di sicurezza informatiche medie sono aumentate, mentre l’attività dei botnet medi è diminuita.

Gli indicatori specifici della ransomware più profondi si sono spesso mossi nella direzione opposta. L’esposizione dei registri di stealer era sostanzialmente più alta nel confronto post-incidente, mentre la suscettibilità alla ransomware e l’esposizione alle vulnerabilità del software sono aumentate tra molte vittime.

Il modello suggerisce che le organizzazioni potrebbero risolvere i problemi di igiene più visibili, ma lasciare dietro di sé le condizioni che le rendono attraenti per gli aggressori. Un’azienda potrebbe chiudere la vulnerabilità ritenuta la causa della violazione iniziale, ma non revocare le credenziali rubate, esaminare l’accesso del fornitore, rimuovere gli account dormienti o indagare su altri sistemi esposti.

L’analisi dello stato attuale di Black Kite rafforza questa preoccupazione. Molte vittime passate hanno continuato a mostrare record di sicurezza dell’e-mail configurati in modo non corretto, vulnerabilità critiche non patchate, vulnerabilità note sfruttate e credenziali di dipendenti in circolazione nei registri di stealer.

La risposta agli incidenti è spesso organizzata intorno al ripristino delle operazioni e al contenimento dell’intrusione confermata. Il rapporto sostiene che ciò non è sufficiente. Il recupero dovrebbe includere una nuova valutazione dell’intera superficie di attacco visibile esternamente dell’organizzazione, non solo del sistema associato all’incidente originale.

L’AI sta abbassando il costo della partecipazione

Il rapporto non sostiene che l’intelligenza artificiale abbia causato l’aumento della ransomware. Invece, descrive l’AI come un moltiplicatore di forza che rende il lavoro esistente più veloce e più economico.

La ricognizione può essere riassunta più rapidamente, gli script di phishing e voice-phishing possono essere localizzati, i record rubati possono essere organizzati in narrazioni più persuasive e i messaggi di negoziazione possono essere prodotti da team più piccoli. Gli aggressori di livello inferiore possono anche utilizzare strumenti assistiti dall’AI per eseguire il debug degli script, modificare il malware e automatizzare attività ripetitive.

L’impatto più chiaro è attualmente nel livello umano. La clonazione vocale, le esche multilingue, l’audio deepfake, la manipolazione dell’help-desk e l’adattamento della persona in tempo reale possono rendere più facile la scalabilità dell’ingegneria sociale. L’AI può aiutare un aggressore a sembrare più credibile in una lingua che non parla o produrre messaggi personalizzati per centinaia di dipendenti senza doverli scrivere manualmente uno per uno.

Black Kite fa riferimento ai primi segni di AI che entrano sia nella fase tecnica che nella fase di estorsione. Il rischio a breve termine non è necessariamente il ransomware completamente autonomo. Sono operazioni criminali semi-automatizzate in cui team più piccoli possono svolgere lavori che una volta richiedevano più tempo, competenze e coordinamento.

L’AI non elimina la necessità di accesso o operatori esperti. Riduce l’attrito tra le fasi di un attacco e dà a più partecipanti la capacità di comportarsi come aziende di ransomware organizzate.

Implicazioni future

Il messaggio centrale è che la ransomware sta evolvendo da un mercato guidato da poche marche riconoscibili in un ecosistema più ampio e più operazionalizzato. I difensori devono ancora patchare le vulnerabilità e proteggere gli endpoint, ma i dati puntano verso una responsabilità più ampia che include la revisione continua dell’accesso del fornitore, delle integrazioni del Software-as-a-Service, dei controlli di identità, dell’infrastruttura dell’e-mail, delle credenziali esposte e delle condizioni post-incidente.

Le organizzazioni dovrebbero anche riconsiderare come misurano il recupero. Il ripristino dei sistemi potrebbe chiudere l’incidente immediato, ma non dimostra che le credenziali rubate siano state invalidate, le autorizzazioni eccessive del fornitore siano state rimosse o altri asset esposti siano stati affrontati.

Il rapporto sulla ransomware del 2026 mostra infine perché il conteggio delle vittime da solo non è più sufficiente. La minaccia sta crescendo attraverso una combinazione di volume sostenuto, operatori di ransomware-as-a-service ad alto rendimento, targeting di mercato medio in espansione, leveraggio della catena di approvvigionamento e costi operativi più bassi. La chiusura di un incidente potrebbe ripristinare le operazioni normali, ma ridurre la possibilità di un altro incidente richiede il trattamento dell’esposizione come una condizione continua piuttosto che come un caso che si conclude quando il processo di recupero è completo.