Il ransomware non entra più dai buchi: entra dagli account, in quattro casi su cinque

Il numero che cambia le priorità

Per anni la conversazione sul ransomware ha avuto una forma implicita: c'è un buco, qualcuno lo trova, entra. Da lì discendeva tutto il resto — la corsa alla patch, il punteggio CVSS come misura dell'urgenza, l'idea che la superficie d'attacco fosse un elenco di software da tenere aggiornato.

La settima edizione dell'indagine annuale di Sophos sul ransomware racconta un ecosistema diverso. Secondo i dati raccolti, il 79% degli attacchi ransomware ha origine da un'identità compromessa, mentre lo sfruttamento di vulnerabilità come causa tecnica iniziale scende al 18%.

Non è una notizia che rende inutile patchare. È una notizia su dove va allocato lo sforzo marginale, che è una domanda diversa e più utile.

Come è fatta l'indagine, prima dei numeri

Questo va prima, non dopo, perché cambia il peso di tutto il resto.

L'indagine è stata condotta da Vanson Bourne per conto di Sophos nel primo trimestre 2026 — risposte raccolte fra gennaio e marzo, riferite ai dodici mesi precedenti. I partecipanti sono 2.158 fra direttori IT e sicurezza, dirigenti e membri di consiglio, distribuiti su 17 paesi: Stati Uniti, Brasile, Cile, Colombia, Messico, Regno Unito, Francia, Germania, Italia, Spagna, Svizzera, Australia, India, Giappone, Singapore, Sudafrica ed Emirati Arabi Uniti. Le organizzazioni hanno fra 100 e 5.000 dipendenti, una fascia rimasta proporzionalmente stabile nelle sette edizioni.

Da qui discendono i limiti, che sono reali e vanno tenuti in mano mentre si leggono le percentuali.

È un'indagine dichiarativa, non telemetria. I rispondenti riferiscono quello che sanno o credono della causa iniziale del proprio incidente. Chi ha subito un attacco senza condurre un'analisi forense completa attribuisce la causa iniziale come può.

La fascia dimensionale esclude i due estremi. Sotto i 100 dipendenti e sopra i 5.000 il quadro potrebbe essere diverso, e per le microimprese italiane — che sono la maggioranza del tessuto produttivo — questi numeri non sono automaticamente trasferibili.

È un fornitore che pubblica sul proprio mercato. L'indagine si dichiara indipendente e vendor-agnostic, ed è condotta da una società di ricerca terza; resta il fatto che chi la commissiona vende sicurezza. Non è una ragione per scartarla — la metodologia è dichiarata, il che è più di quanto offrano molti report — ma è una ragione per leggerla accanto ad altre fonti anziché da sola.

Le vie d'ingresso, in ordine

I singoli vettori dichiarati compongono un quadro coerente con il titolo:

1. 01
   Email malevola

   26% degli incidenti
2. 02
   Phishing

   24% degli incidenti
3. 03
   Credenziali compromesse

   23% degli incidenti
4. 04
   Sfruttamento di vulnerabilità

   18% come causa tecnica iniziale

Email malevola e phishing insieme spiegano metà degli incidenti. Sono due categorie vicine ma non identiche: la prima comprende l'allegato o il link che porta a un'esecuzione, la seconda l'inganno finalizzato a farsi consegnare qualcosa — tipicamente delle credenziali.

Il 23% delle credenziali compromesse merita attenzione perché è la categoria dove non c'è nemmeno l'inganno: le credenziali erano già in circolazione. Comprate, riusate da una violazione precedente, raccolte da un infostealer su un portatile personale.

Sommando: la maggior parte degli ingressi passa da qualcosa che assomiglia a un accesso legittimo. È il motivo per cui il 79% del titolo non contraddice i singoli vettori — li riassume.

E questo cambia il problema di rilevamento in modo sostanziale. Un exploit fa rumore: c'è una richiesta anomala, un processo che nasce dove non dovrebbe, un crash. Un login corretto no. Arriva con la password giusta, spesso supera anche il secondo fattore se questo è un codice o una notifica da approvare, e dal punto di vista del sistema è indistinguibile dal lavoro di ogni giorno. Quello che resta come segnale non è più "questa cosa non doveva succedere", ma "questa cosa è strana per questo utente": un orario insolito, un luogo nuovo, un accesso a dati che quella persona non tocca mai.

I soldi si muovono nella direzione opposta

Il dato controintuitivo dell'edizione è che i riscatti scendono e il costo complessivo sale. La mediana della richiesta si attesta a 698.000 dollari e quella del pagamento a 769.000, mentre il costo medio di ripristino — che è un'altra voce, e non include il riscatto — arriva a 1,7 milioni di dollari. In parallelo, la quota di attacchi che arrivano effettivamente alla cifratura sale al 56%.

Se i due movimenti sono reali, la lettura più semplice è che le richieste si stiano adattando verso il basso per aumentare la probabilità di essere pagate, mentre il danno operativo — fermo, ricostruzione, straordinari, consulenze, contenzioso — resta indipendente dalla cifra chiesta. Il riscatto è la voce di cui si parla; non è la voce che pesa di più.

Va detto che questa è un'interpretazione, non un'affermazione dell'indagine. La correlazione fra i due movimenti è visibile nei numeri; la causa no.

Cosa ne segue, concretamente

Trattare l'identità come si è trattato il perimetro. Se quattro attacchi su cinque partono da un accesso, l'inventario che conta non è solo quello dei server: è quello degli account. Quanti ne esistono, quanti sono di persone che non lavorano più qui, quanti sono account di servizio con password che nessuno ha mai ruotato, quanti hanno privilegi che nessuno ha mai riesaminato.

Preferire fattori che il phishing non può girare. Un codice a sei cifre e una notifica da approvare sono meglio della sola password, ma sono entrambi consegnabili all'attaccante da una persona convinta di fare la cosa giusta. Le chiavi hardware e i passkey legati al dominio non lo sono, perché il fattore è vincolato al sito vero.

Guardare la sessione, non solo il login. Molti attacchi moderni non rubano la password: rubano il token di sessione già autenticato. Il controllo utile non è al cancello, è dopo: da dove viene questa sessione, quanto dura, si sposta di continente a metà giornata.

Non smettere di patchare. Il 18% resta il 18%, e le CVE sfruttate attivamente sui dispositivi di bordo continuano a essere una delle vie più rapide per entrare in una rete. Il punto non è spostare l'attenzione: è aggiungerne dove non c'era.

Provare il ripristino, non solo farlo. Se il costo medio di ripristino è quello, la variabile su cui si può incidere davvero è la velocità con cui si torna operativi. Un backup mai testato è una speranza, non un controllo.

Il punto

Per un decennio la difesa si è organizzata intorno all'idea di chiudere gli ingressi. L'ingresso più usato oggi, se questi numeri reggono, non si chiude: si usa, e chi lo usa ha le chiavi giuste.

Il che sposta la domanda da come impedisco di entrare a quanto ci metto ad accorgermi che chi è entrato non è chi dice di essere. È una domanda più scomoda, perché non ha una patch che la risolva.