Febbraio 2016: la Polizia Postale lancia l’allerta su Cryptolocker. Email che sembrano arrivare da banche o fornitori, un allegato pdf o zip, e in pochi minuti i file del computer, anche quelli sulle cartelle di rete, diventano illeggibili. Per riaverli i criminali chiedono qualche centinaio di euro in bitcoin. Dieci anni dopo il meccanismo è lo stesso, ma è diventato un’industria.
I numeri del primo semestre 2026
Secondo il report semestrale RedACT di ransomNews, ripreso da Security Affairs, tra gennaio e giugno 2026 i gruppi criminali hanno rivendicato 148 attacchi ransomware contro organizzazioni italiane: circa 25 al mese, con un picco di 31 a giugno.
- Il settore più colpito è il manifatturiero, con 59 vittime (quasi 4 su 10). Seguono commercio e trasporti, con 17 ciascuno.
- Il Nord-Ovest concentra il 42,6% dei casi, ma nessuna zona è esclusa: 13 vittime al Sud e 5 nelle Isole.
- I gruppi più attivi sono LockBit5 e Qilin, con 21 rivendicazioni ciascuno.
- I criminali dichiarano di aver sottratto circa 13.400 GB di dati, ma è una cifra loro, non verificata.
Sono solo gli attacchi rivendicati pubblicamente: molti altri non vengono mai alla luce. E oggi il ransomware non si limita a cifrare i file. I dati vengono prima copiati e poi usati per una seconda minaccia: pagare o vederli pubblicati.
Come entrano
Le porte d’ingresso descritte nel report sono sorprendentemente banali: password riutilizzate, sistemi esposti su internet e non aggiornati, accessi remoti al desktop (RDP) lasciati aperti. Niente di fantascientifico, e proprio per questo si può prevenire.
Le difese che contano davvero
- Backup secondo la regola 3-2-1: tre copie dei dati, su due supporti diversi, di cui una fuori sede o scollegata dalla rete. E una prova di ripristino ogni tanto, perché un backup mai provato non è un backup.
- Password diverse per ogni servizio e autenticazione a due fattori su email, VPN e pannelli di gestione.
- Aggiornamenti di sistemi operativi, firewall, NAS e software, appena escono.
- Niente accesso remoto esposto: se serve lavorare da fuori, si passa da una VPN.
- Attenzione alle email: allegati inattesi e link “urgenti” restano la via d’ingresso preferita.
Se l’attacco è già avvenuto
Scollega subito dalla rete i computer colpiti, non cancellare nulla e chiama un tecnico. Il consiglio della Polizia resta valido: non pagare, perché nessuno garantisce di riavere i file. Denuncia l’accaduto alla Polizia Postale e, se sono coinvolti dati personali di clienti o dipendenti, valuta la notifica al Garante privacy, che va fatta entro 72 ore.
Nella pagina Sicurezza, cloud e recupero dati trovi cosa fare nelle prime ore e come posso aiutarti, prima e dopo un attacco.
Fonti: Security Affairs – report RedACT di ransomNews · L’Eco del Sud (2016)