Mentre l'attenzione del settore — e dei budget — si sposta sull'intelligenza artificiale, il ransomware ha ripreso a correre. Il monitoraggio mensile di Comparitech ha contato a luglio 799 attacchi rivendicati nel mondo, il 19% in più di giugno (668) e il secondo dato più alto del 2026 dopo marzo (805): quasi 26 attacchi al giorno. Ma il numero che dovrebbe far riflettere di più è un altro: di quei 799 attacchi, solo 51 sono stati confermati pubblicamente dalle vittime.

I numeri di luglio

La crescita non è uniforme. A trainare il rialzo sono i settori finanziario (+71%), tecnologico (+62%), le aziende dell'ecosistema sanitario come case farmaceutiche e fornitori di fatturazione (+46%) e l'istruzione (+44%). Calano invece gli attacchi a utility (-44%), studi legali (-34%) ed enti governativi (-11%). Sul piano geografico gli Stati Uniti restano il bersaglio principale con 322 attacchi (+31% sul mese), seguiti da Germania (40), Canada (36), India (30), Regno Unito (25) e Francia (23); crescite marcate anche per Argentina (+320%), Regno Unito (+67%) e Australia (+56%).

Il quadro dei primi sette mesi dell'anno conferma la tendenza: 4.371 attacchi alle imprese da gennaio a luglio, il 24% in più dello stesso periodo del 2025; la sanità è a +20%, mentre gli enti pubblici segnano un lieve calo (-7%).

Chi attacca: The Gentlemen e Qilin dominano

Il duopolio criminale del momento è composto da The Gentlemen, che a luglio ha rivendicato 135 vittime (+17% su giugno), e Qilin, salito da 81 a 125 rivendicazioni (+54%): insieme valgono un terzo di tutti gli attacchi del mese. Cresce anche DragonForce (da 28 a 41), mentre sigle minori come Genesis moltiplicano le rivendicazioni. Un dettaglio istruttivo: a luglio è comparso anche Section9, un "gruppo" le cui rivendicazioni sono ritenute false dagli analisti — segno che perfino il mercato delle rivendicazioni è ormai inquinato e va letto con spirito critico.

Tra i casi più significativi del mese: Fairlife, produttore lattiero-caseario del gruppo Coca-Cola, ha fermato la produzione per circa dieci giorni dopo l'attacco rivendicato da Anubis; la svizzera Stadler Rail ha confermato l'attacco e dichiarato di non aver pagato il riscatto da 10 milioni di franchi chiesto da Everest; in Germania è stato colpito l'aeroporto di Hahn. Da segnalare anche Craneware, fornitore di software di fatturazione per la sanità, da cui il gruppo Chaos sostiene di aver esfiltrato 960 GB: l'ennesima conferma che si colpisce la filiera, non solo il bersaglio finale.

Il dato più importante: 51 conferme su 799 rivendicazioni

Il divario tra attacchi rivendicati e attacchi confermati ha due spiegazioni che convivono: i gruppi criminali gonfiano i numeri per alimentare la propria reputazione, e moltissime vittime scelgono il silenzio. La verità sta nel mezzo, ma il sommerso resta enorme. E l'assenza dell'Italia dalla classifica dei paesi più colpiti di luglio non va letta come immunità: i dati ACN degli ultimi mesi raccontano una pressione costante sul nostro paese, e le PMI italiane compaiono regolarmente nei data leak site dei gruppi ransomware senza che segua quasi mai una conferma pubblica. Semplicemente, da noi il silenzio è ancora la norma.

Cosa significa per le aziende italiane

Il balzo della finanza (+71%) arriva nell'anno in cui DORA è pienamente operativo per banche, assicurazioni, SGR e loro fornitori ICT: la gestione degli incidenti, le segnalazioni alle autorità di vigilanza e i test di resilienza non sono più adempimenti teorici ma contromisure che il trend rende attuali. Chi è in ambito DORA dovrebbe rileggere i propri scenari di rischio alla luce di questi numeri.

La Germania seconda al mondo per attacchi riguarda l'Italia più di quanto sembri: migliaia di PMI italiane sono fornitrici della manifattura tedesca e dentro le stesse catene del valore. Tradotto: questionari di sicurezza più severi da parte dei clienti, clausole contrattuali su incidenti e tempi di ripristino, e l'obbligo NIS2 di presidiare la sicurezza della propria supply chain che inizia a farsi sentire in entrambe le direzioni.

Infine, per i soggetti in perimetro NIS2 il silenzio non è più un'opzione: un incidente significativo va segnalato al CSIRT Italia con preallarme entro 24 ore e notifica entro 72, e se sono coinvolti dati personali resta l'obbligo di notifica al Garante entro 72 ore ai sensi dell'art. 33 GDPR. Il "sommerso" che i numeri di Comparitech fotografano, per chi rientra nel perimetro, è a sua volta una violazione sanzionabile. E poiché i gruppi dominanti praticano la doppia estorsione — cifratura più furto di dati — avere buoni backup non basta più: bisogna impedire che i dati escano.

Cosa fare subito

  • Attivare l'autenticazione a più fattori su VPN, RDP e tutti gli accessi amministrativi: restano i vettori d'ingresso più sfruttati
  • Dare priorità alle patch dei dispositivi perimetrali (firewall, VPN, appliance di accesso remoto), oggetto delle campagne più recenti
  • Mantenere backup offline o immutabili e testare periodicamente il ripristino, non solo l'esecuzione del backup
  • Segmentare la rete per contenere la propagazione e proteggere i sistemi critici
  • Predisporre un piano di incident response con il flusso di notifica già pronto (CSIRT Italia, Garante, eventuali autorità di vigilanza DORA) e provarlo con un'esercitazione su tavolo
  • Monitorare la propria esposizione esterna: servizi RDP/VPN raggiungibili da Internet vanno censiti e ridotti al minimo