Ransomware: Cos'è, Come Funziona e Come Difendersi (2026)

Il ransomware è diventato la minaccia informatica più costosa al mondo. Nel 2025, gli attacchi ransomware hanno causato perdite stimate superiori a 30 miliardi di dollari globalmente, colpendo ospedali, infrastrutture critiche, aziende di ogni dimensione e persino comuni italiani. Capire come funziona è il primo passo per difendersi.

Cos'è il ransomware?

Il ransomware (dall'inglese "ransom" = riscatto + "software") è un tipo di malware che, una volta eseguito su un sistema, cifra i file della vittima — documenti, database, backup, foto — rendendoli inaccessibili. Gli attaccanti lasciano poi una nota che richiede il pagamento di un riscatto, solitamente in criptovaluta (Bitcoin o Monero), in cambio della chiave di decifratura.

Gli attacchi moderni sono più sofisticati: i criminali spesso esfiltrano i dati prima di cifrarli e minacciano di pubblicarli online se il riscatto non viene pagato (double extortion). Alcune gang arrivano anche a contattare clienti o media della vittima per aumentare la pressione (triple extortion).

Come funziona un attacco ransomware moderno

Un attacco ransomware avanzato non è un singolo evento ma un processo in più fasi che può durare settimane:

Fase 1: Accesso iniziale (Initial Access)

L'attaccante entra nella rete tramite:

• Phishing con allegati o link malevoli
• Vulnerabilità in servizi esposti (RDP, VPN, Exchange)
• Credenziali rubate acquistate sul dark web
• Accesso legittimo compromesso (es. account di un fornitore)

Fase 2: Persistenza e movimento laterale

Una volta dentro, l'attaccante:

• Installa backdoor per mantenere l'accesso
• Eleva i privilegi (privilege escalation)
• Si muove lateralmente nella rete, compromettendo altri sistemi
• Identifica i backup e i server critici

Fase 3: Esfiltrazione dei dati

Prima di cifrare, i criminali copiano i dati sensibili sui propri server. Questo è il fulcro del double extortion: anche se la vittima ha i backup, la minaccia di pubblicare i dati esfiltrati crea pressione aggiuntiva.

Fase 4: Cifratura

L'attaccante rilascia il payload ransomware che:

• Cifra file con algoritmi forti (AES-256, RSA-2048)
• Cancella le shadow copy di Windows (vss.exe)
• Elimina i backup locali raggiungibili
• Lascia la nota di riscatto (ransom note)

Fase 5: Negoziazione

La vittima riceve istruzioni per contattare i criminali tramite portali .onion sul dark web. Il riscatto varia da migliaia a decine di milioni di euro, a seconda delle dimensioni dell'organizzazione.

I principali gruppi ransomware nel 2026

Il ransomware è diventato un'industria criminale strutturata:

• LockBit — tra i più prolifici, offre RaaS (Ransomware-as-a-Service)
• ALPHV/BlackCat — ransomware scritto in Rust, molto sofisticato
• Cl0p — noto per sfruttare vulnerabilità zero-day (MOVEit, GoAnywhere)
• Black Basta — attivo su infrastrutture critiche e sanità
• Rhysida — emerso nel 2023, ha colpito strutture sanitarie in Italia

L'impatto in Italia

Negli ultimi anni, numerose organizzazioni italiane sono state colpite da ransomware:

• Ospedali e ASL
• Comuni e pubbliche amministrazioni
• PMI manifatturiere
• Studi professionali (commercialisti, avvocati, notai)

L'ACN (Agenzia per la Cybersicurezza Nazionale) ha istituito un servizio di supporto per le vittime di ransomware: agenzia.gov.it.

Come prevenire un attacco ransomware

Misure tecniche essenziali

Backup offline (Regola 3-2-1-1):

• 3 copie dei dati
• 2 su supporti diversi
• 1 fuori sede
• 1 offline/air-gapped (non raggiungibile dalla rete)

Testare regolarmente il ripristino dal backup è fondamentale: un backup non testato non è affidabile.

Patching e aggiornamenti: Applicare le patch di sicurezza rapidamente, con priorità sui sistemi esposti su internet (VPN, RDP, server email, firewall).

Ridurre la superficie d'attacco:

• Disabilitare RDP se non necessario, o metterlo dietro VPN
• Implementare MFA su tutti gli accessi remoti
• Limitare i privilegi degli utenti (principio del minimo privilegio)

Segmentazione di rete: Isolare i sistemi critici e i backup in segmenti di rete separati, così che una compromissione parziale non si propaghi all'intera infrastruttura.

EDR e monitoring: Usare soluzioni EDR (Endpoint Detection & Response) che rilevano comportamenti sospetti tipici del ransomware (cancellazione shadow copy, cifratura massiva di file).

Misure organizzative

• Formazione dei dipendenti sul riconoscimento del phishing
• Piano di risposta agli incidenti testato e aggiornato
• Esercitazioni tabletop per simulare un attacco ransomware
• Cyber insurance con copertura adeguata

Cosa fare se sei vittima di ransomware

1. Isola i sistemi infetti — stacca il cavo di rete, disabilita il Wi-Fi
2. Non spegnere i sistemi (la memoria RAM può contenere la chiave di decifratura)
3. Non pagare subito — consulta prima un'azienda di incident response
4. Segnala all'ACN e alla Polizia Postale
5. Verifica i backup — sono intatti e recuperabili?
6. Contatta un'azienda di incident response per la valutazione
7. Cerca un decryptor gratuito su nomoreransom.org (progetto di Europol e Politia)

Pagare o non pagare?

Le autorità internazionali sconsigliano di pagare perché:

• Non garantisce il recupero dei dati (solo il 65% delle vittime li recupera)
• Finanzia organizzazioni criminali
• Segnala la disponibilità a pagare, aumentando il rischio di nuovi attacchi
• In alcuni Paesi, pagare certi gruppi (sanzionati) può essere illegale

Tuttavia, in casi estremi (dati critici, nessun backup), alcune organizzazioni si trovano di fronte a una scelta difficile. In queste situazioni, è essenziale il supporto di specialisti.

Conclusione

Il ransomware è una minaccia reale e in crescita per organizzazioni di ogni dimensione in Italia. La prevenzione — backup offline, patching, MFA, formazione — è sempre meno costosa della risposta. Vuoi imparare a difendere la tua organizzazione? Esplora i corsi gratuiti di cybersecurity di Pentevo Academy.