Cos'è il ransomware?

Il ransomware è un tipo di malware che cifra i file di un'organizzazione, rendendoli inaccessibili, per poi chiedere un riscatto in cambio della chiave di decifrazione; nelle varianti più recenti gli attaccanti minacciano anche di pubblicare i dati sottratti, la cosiddetta doppia estorsione. Colpisce endpoint, server e backup non isolati, spesso restando nascosto per giorni o settimane prima di attivare la cifratura, in modo da massimizzare il danno e ridurre le possibilità di ripristino rapido. Secondo l'ENISA Threat Landscape 2025, il ransomware rappresenta l'81,1% degli incidenti di cybercrime rivolti a organizzazioni dell'Unione Europea nel periodo luglio 2024-giugno 2025, e lo stesso rapporto indica il phishing come vettore di intrusione dominante sull'insieme dei casi censiti, davanti allo sfruttamento di vulnerabilità. La quota dell'81,1% non è mutuamente esclusiva con quella delle violazioni di dati: un attacco a doppia estorsione è entrambe le cose insieme, un incidente ransomware e una violazione di dati.

In Italia il Rapporto Clusit 2026 registra 166 casi di ransomware nel 2025, in crescita del 14% rispetto all'anno precedente, su un totale di 507 incidenti gravi censiti nel paese.

Come funziona un attacco

L'accesso iniziale arriva quasi sempre da un vettore banale: una mail di phishing con un allegato o un link malevolo, credenziali rubate o riusate da un'altra violazione, una VPN o un servizio remoto esposto senza patch. Da lì l'attaccante si muove lateralmente nella rete, cerca privilegi amministrativi ed esfiltra i dati più sensibili prima ancora di attivare la cifratura, così da avere leva per la doppia estorsione anche se l'azienda riesce a ripristinare i sistemi dai backup. Gruppi criminali come RansomHub o Akira operano ormai con un modello a servizio, affittando il proprio malware ad affiliati in cambio di una percentuale sul riscatto incassato, il che spiega in parte la crescita costante dei casi anno su anno.

L'impatto concreto su una PMI

Per una piccola o media impresa il costo raramente si esaurisce nell'eventuale riscatto: ci sono i giorni o le settimane di fermo operativo, il costo del ripristino forense, i clienti e i fornitori da informare se sono coinvolti dati che li riguardano, e il danno reputazionale che segue una violazione resa pubblica. Un attacco ransomware che sottrae dati personali attiva quasi sempre anche gli obblighi di notifica della violazione previsti dal GDPR, e per i settori che rientrano nel suo perimetro può far scattare anche gli obblighi di segnalazione della NIS2. Sono procedure con tempi stretti che si sommano all'emergenza tecnica, non un dettaglio amministrativo da gestire dopo.

Perché conta per chi decide

Pagare il riscatto non garantisce il recupero dei dati né la loro cancellazione da parte dell'attaccante, e alimenta un modello criminale che si autofinanzia con ogni pagamento incassato. La decisione che conta davvero si prende molto prima dell'attacco: un piano di risposta agli incidenti testato, backup isolati dalla rete di produzione, verificati con ripristini periodici e non semplicemente eseguiti senza mai controllarli. Per l'impianto di controlli su cui si fonda questa resilienza, dal controllo degli accessi alla cifratura, vale il quadro generale della data security, mentre la casistica più ampia delle violazioni di dati, di cui un attacco ransomware è spesso una causa, è trattata nella voce data breach.