Ransomware: anatomia di una minaccia in evoluzione

Non è più una questione di “se”, ma di “quando”. Il ransomware è diventato una delle minacce più diffuse e pervasive nel contesto della cybersecurity moderna. Un tipo di malware progettato per bloccare l’accesso ai file o ai sistemi – attraverso crittografia o blocco del dispositivo – e chiedere un riscatto in cambio della chiave di sblocco. Ma negli ultimi anni la posta in gioco è aumentata: al semplice sequestro dei dati si aggiungono oggi tecniche di doppia e tripla estorsione, in cui le informazioni vengono sottratte, minacciate di pubblicazione e, in alcuni casi, usate per colpire terze parti. Un'evoluzione che testimonia quanto questo fenomeno non sia statico, ma guidato da logiche criminali sempre più complesse

Pubblicato il 12 agosto 2025

Secondo stime recenti, il numero di attacchi ransomware è cresciuto di oltre il 149% in un solo anno, coinvolgendo non solo grandi aziende o infrastrutture critiche, ma anche piccoli studi professionali, scuole, ospedali e utenti privati. A essere colpito è chiunque utilizzi un dispositivo connesso. E se la finalità economica rimane centrale, i danni collaterali possono includere perdita definitiva di dati, interruzione operativa, violazioni di dati sensibili e furto d’identità.

Le vie d’ingresso sono molteplici

Il vettore più comune resta l’email di phishing, spesso camuffata da comunicazione legittima, con allegati o link malevoli. Ma esistono anche modalità più silenziose: exploit di vulnerabilità non patchate, download da siti compromessi, banner pubblicitari infetti, dispositivi USB, fino a tecniche più sofisticate che prevedono accessi remoti tramite credenziali rubate. Il malware può restare dormiente per giorni o settimane, in attesa del momento ideale per criptare il sistema.

Esistono diverse categorie di ransomware, ognuna con modalità d’azione differenti

I crypto ransomware sono i più comuni: criptano file e cartelle, spesso utilizzando algoritmi robusti (AES, RSA), e impediscono qualsiasi accesso ai contenuti. I locker ransomware, invece, bloccano l’intero sistema operativo, rendendo inutilizzabile il dispositivo. Esistono poi forme più leggere, come gli scareware, che simulano la presenza di virus o minacce e spingono l’utente a installare software fraudolento o a pagare per “rimuovere” un problema inesistente. Seppure meno distruttivi, questi ultimi possono comunque generare danni economici e psicologici rilevanti.

L’efficacia di un attacco ransomware si basa in larga parte su una debole cyber hygiene. Sistemi non aggiornati, software obsoleti, scarsa attenzione agli allegati email, mancanza di segmentazione di rete e privilegi amministrativi distribuiti in modo non controllato rappresentano il terreno fertile per la diffusione.

Il caso WannaCry del 2017, che ha sfruttato una vulnerabilità di Windows non corretta in tempo, è l’esempio perfetto di quanto il fattore tempo – tra la scoperta di una falla e l’implementazione della patch – sia cruciale.

La risposta alla minaccia ransomware non può affidarsi più a soluzioni uniche

Gli antivirus tradizionali, basati su firme, faticano a rilevare minacce nuove o mutanti. Per questo le strategie di difesa più efficaci oggi si basano su un approccio multilivello, che prevede prevenzione, rilevamento e capacità di recupero. Sistemi di analisi comportamentale, motori di intelligenza artificiale per individuare attività anomale, firewall intelligenti, segmentazione della rete, autenticazione a più fattori: sono tutte componenti che concorrono a innalzare il livello di resilienza.

In questo contesto, il back-up rappresenta un pilastro fondamentale, ma non può essere considerato una soluzione autonoma. Disporre di copie dei propri file, salvate in più versioni e protette, consente in molti casi di evitare il pagamento del riscatto e ripristinare l’operatività. Tuttavia, da solo non previene l’infezione né impedisce la diffusione all’interno della rete. Per essere realmente efficace, il back-up deve essere parte di una strategia integrata, progettata in anticipo, testata regolarmente e isolata rispetto al sistema attivo per resistere ai tentativi di cifratura.

La capacità di ripristino rapido e sicuro – più che la semplice esistenza di copie – è ciò che fa davvero la differenza in scenari ad alta criticità.

Serve una visibilità continua sull’ambiente IT

Le soluzioni più avanzate integrano rilevamento in tempo reale, risposta automatizzata e rollback selettivo, con notifiche immediate in caso di comportamenti anomali.
È in questa direzione che si muove Acronis True Image, una piattaforma che combina funzionalità di backup avanzato, protezione anti-malware e recupero intelligente. Grazie a tecnologie come Acronis Active Protection, basate su intelligenza artificiale e analisi comportamentale, il sistema è in grado di individuare e bloccare anche varianti di ransomware sconosciute e ripristinare i file da copie integre, evitando l’interruzione delle attività. Il tutto tramite un’interfaccia accessibile, compatibile con dispositivi Windows, Mac, Android e iOS.

La rapidità con cui il ransomware si evolve supera spesso la capacità di risposta delle difese tradizionali. In questo scenario, resilienza è la parola chiave. Nessuna tecnologia può garantire l’inviolabilità assoluta, ma combinare prevenzione attiva, visibilità continua e capacità di recupero permette di contenere l’impatto e ripartire. Il ransomware non scomparirà domani, ma è possibile affrontarlo con strumenti adeguati, consapevolezza e preparazione.

Di Irina Artioli, Cyber Protection Evangelist e TRU Researcher di Acronis - www.acronis.com

Nozomi Networks Labs: attacchi ransomware minacciano il 30% del PIL mondiale, manifatturiero italiano nel mirino
Il 70% dell’attività ransomware globale è diretta verso i principali paesi anglofoni, secondo il più recente rapporto OT & IoT Security di Nozomi Networks Labs. Nella seconda metà dello scorso anno, il 40% di tutti gli attacchi...
Sicurezza dei CPS: dalle minacce emergenti alla resilienza operativa
C’è stato un tempo in cui gli attacchi informatici contro i sistemi cyber-fisici (CPS) erano quasi esclusivamente confinati all’ambito teorico. I sistemi di controllo industriale (ICS) erano protetti da air gap, i dispositivi medici risultavano analogamente isolati...
Cybersecurity, un attacco ogni 21,5 secondi: dati di Elmec Informatica
La cybersecurity si conferma una priorità strategica per le imprese, in un contesto caratterizzato da una digitalizzazione sempre più pervasiva, innovazioni tecnologiche rapide e scenari geopolitici complessi. Nel 2025, le aziende hanno affrontato minacce sofisticate e in...
Industrial IoT nel mirino: +46% di attacchi ransomware nel settore industriale. I consigli di Claroty
Settori come manifatturiero, oil&gas e utility stanno vivendo una profonda trasformazione digitale e, in questo contesto, il ruolo dei dispositivi Industrial Internet of Things (IIoT) sta diventando sempre più cruciale. Combinando tecnologie intelligenti e connettività in ogni...
Cybersecurity: il 2026 sarà l’anno dell’industrializzazione del cybercrime
Il 2026 sarà l’anno in cui il cybercrime diventerà completamente industrializzato. Il dato emerge da “The AI-fication of Cyberthreats – Trend Micro Security Predictions for 2026”, l’ultimo studio dedicato alle minacce informatiche di TrendAI, business unit di...
Cybersecurity nel 2026, sette previsioni da non ignorare
Quali previsioni possiamo fare per il 2026? Come si evolveranno le tecnologie e come ci difenderemo dalle minacce informatiche? Ecco 7 previsioni sulla cybersecurity. 1. L’intelligenza artificiale trasformerà gli attacchi informatici e la difesa in una vera e...
L’aumento degli attacchi informatici nel settore manifatturiero richiede controllori di produzione più intelligenti
Secondo lo stesso studio, i produttori colpiti da un attacco informatico hanno segnalato problemi che hanno comportato costi compresi tra 200.000 e 2 milioni di dollari per ogni incidente. Secondo il rapporto di Dragos del febbraio 2025,...
Nozomi Arc: prevenzione automatizzata e flessibile delle minacce per gli end-point OT
In un contesto di crescenti attacchi informatici e nuove normative come NIS2, Nozomi Networks potenzia la sicurezza industriale con l’evoluzione di Nozomi Arc. Progettato specificamente per gli ambienti OT, Arc è un sensore end-point leggero che offre...
In Italia il 90% delle organizzazioni industriali vittima di cyber attacchi nell’ultimo anno secondo Kaspersky
Con la crescente adozione di tecnologie connesse e automatizzate, i settori critici, come quello manifatturiero, stanno diventando più vulnerabili ai cyberattacchi che compromettono i dati sensibili e causano costose interruzioni delle attività. Questa tendenza è confermata dalla...
Una minaccia costantemente in primo piano
Il quadro è allarmante: gli attacchi ransomware non solo persistono, ma continuano a evolversi e a intensificarsi Leggi l’articolo