Un’analisi pubblicata oggi mette in fila i numeri del ransomware in Italia nel primo semestre 2026: 148 rivendicazioni contro entità italiane. Fanno 24,7 al mese, 5,7 alla settimana.
Il settore più colpito è il manifatturiero, con 59 vittime: quattro su dieci. Poi commercio e trasporti, 17 ciascuno. Sul territorio, il Nord-Ovest raccoglie 63 casi — il 42,6% del totale — con la Lombardia a quota 45 e la sola provincia di Milano a 22.
Prima i numeri, poi il caveat
Vale la pena essere onesti su cosa sono questi 148 casi, perché cambia come vanno letti.
Sono rivendicazioni pubblicate dalle bande sui propri siti di leak, raccolte e verificate manualmente da un tracker pubblico. Non sono violazioni confermate dalle vittime, e non sono un dato ufficiale.
Il che significa una cosa sola: 148 è una cifra per difetto. Chi paga il riscatto in silenzio non finisce in quell’elenco. Chi viene colpito e non viene pubblicato nemmeno.
Nella stessa direzione va il dato sui dati rubati: si parla di circa 13,4 TB dichiarati esfiltrati, ma il volume è indicato solo in 64 casi su 148. La media di quei casi documentati è di circa 61 GB a vittima.
Il 39,9% delle rivendicazioni del primo semestre 2026 riguarda aziende manifatturiere. Seguono commercio e trasporti con 17 casi ciascuno. Sul territorio: Nord-Ovest 63 casi (42,6%), Lombardia 45, provincia di Milano 22.
Fonte: ransomNews / progetto RedACT, via Security Affairs — 27 luglio 2026
Il dato che dovrebbe far riflettere
Sulle bande c’è poco da dire e serve a poco saperlo: LockBit5 e Qilin sono a pari merito con 21 rivendicazioni ciascuno, con LockBit5 concentrato a marzo e Qilin invece costante su tutti e sei i mesi — al punto che il CSIRT Italia gli ha dedicato un avviso specifico proprio per come prende di mira le piccole e medie imprese.
La parte che conta davvero per chi fa impresa è un’altra, ed è quasi deludente da leggere. I vettori di accesso iniziale sono tre, e sono sempre gli stessi:
- credenziali riutilizzate, arrivate da vecchi data breach e dump circolanti
- sistemi esposti su Internet non aggiornati
- desktop remoto (RDP) raggiungibile direttamente da Internet
Nessuna tecnica sofisticata. Nessun exploit esotico. Nessun attacco mirato costruito su misura. Sono porte lasciate aperte.
Le tre verifiche di lunedì mattina
Non costano nulla e non richiedono di comprare software. Richiedono mezza giornata di chi si occupa dei sistemi, interno o esterno che sia.
1. Chiudere ciò che è esposto. Far verificare se ci sono porte di desktop remoto, pannelli di gestione, NAS o interfacce di amministrazione raggiungibili direttamente da Internet. La risposta corretta è che non ce ne siano: chi ha bisogno di accedere da fuori passa da una VPN. È la singola modifica che sposta di più il rischio.
2. Attivare l’autenticazione a due fattori ovunque si possa. Caselle email, gestionale, accesso remoto, area amministrativa del sito. È la contromisura che rende inutile una credenziale rubata — ed è precisamente il caso di chi entra con password riciclate da vecchi data breach.
3. Controllare se le email aziendali sono già in un dump. Esistono servizi gratuiti che permettono di verificare se un indirizzo compare in violazioni note. Se una casella risulta compromessa, quella password va cambiata ovunque sia stata riusata — e il punto è proprio il riuso: la password del gestionale che è la stessa di un forum del 2019 è il modo in cui si entra senza forzare niente.
Credenziali riciclate da vecchi data breach: si neutralizzano con l'autenticazione a due fattori e con password diverse per ogni servizio. Sistemi esposti non aggiornati: si chiudono con un inventario di cosa è raggiungibile da Internet e un calendario di aggiornamento. Desktop remoto aperto su Internet: si chiude mettendolo dietro VPN. Nessuna delle tre richiede un acquisto.
In breve
Nel primo semestre 2026 si contano 148 rivendicazioni ransomware contro entità italiane, circa 5,7 a settimana, con 13,4 TB di dati dichiarati esfiltrati — volume però indicato solo in 64 casi. Il manifatturiero è il settore più colpito con 59 vittime (39,9%), il Nord-Ovest l’area con 63 casi, la Lombardia la regione con 45 e Milano la provincia con 22. LockBit5 e Qilin guidano con 21 rivendicazioni ciascuno.
Trattandosi di rivendicazioni pubblicate dagli aggressori e non di violazioni confermate, il numero reale è verosimilmente più alto. L’elemento operativo è che i vettori d’ingresso sono banali e ripetitivi: credenziali riciclate, sistemi esposti non aggiornati, desktop remoto aperto su Internet. Le tre contromisure — mettere gli accessi remoti dietro VPN, attivare l’autenticazione a due fattori, verificare se le caselle aziendali compaiono in vecchi data breach — non richiedono alcun acquisto e chiudono le porte effettivamente usate.