Di ransomware si parla da anni. Le aziende conoscono la minaccia, hanno rafforzato le difese e adottato strumenti specifici di protezione e backup, mentre framework, normative e pratiche di cybersecurity hanno progressivamente aumentato l’attenzione sul tema. Eppure, il ransomware è tutt’altro che una minaccia consegnata al passato. Vediamo perché è come proteggersi attivamente, anche nel 2026.

Attacchi ransomware in continua crescita

Secondo fonti autorevoli come Check Point Research, nel secondo trimestre del 2026 oltre 2.100 organizzazioni sono state pubblicate sui Data Leak Site dei gruppi ransomware, con una crescita del 33% rispetto allo stesso periodo del 2025. Anche l’Italia resta fortemente esposta: secondo il monitoraggio di ransomNews, nel solo primo semestre 2026 sono state registrate 148 rivendicazioni contro organizzazioni italiane, quasi sei alla settimana.

A cambiare, semmai, è il ransomware stesso. Bloccare i sistemi e cifrare i dati non è più necessariamente l’unica leva nelle mani degli attaccanti: sempre più spesso l’estorsione passa anche dalla sottrazione delle informazioni e dalla minaccia di pubblicarle. Ed è qui che emerge uno dei limiti di un approccio alla resilienza concentrato esclusivamente sul backup.

Come le aziende si sono sempre difese dai ransomware

Per anni, la strategia di difesa dal ransomware si è concentrata soprattutto su due obiettivi:

1. impedire all’attacco di entrare;
2. garantire la possibilità di recuperare i dati nel caso in cui riuscisse comunque a colpire.

Sul primo fronte, le aziende hanno progressivamente rafforzato le misure di sicurezza tradizionali: antivirus ed endpoint protection, firewall, sistemi di rilevamento delle minacce, filtri e-mail, segmentazione della rete, aggiornamento delle vulnerabilità e controllo degli accessi. A queste misure si è aggiunta nel tempo una maggiore attenzione alla formazione degli utenti, soprattutto contro phishing e social engineering, che continuano a rappresentare importanti vettori di ingresso.

Il secondo pilastro è sempre stato il backup. Disporre di copie aggiornate dei dati, separate dai sistemi di produzione e possibilmente protette da modifiche o cancellazioni, permette infatti di ripristinare file, applicazioni e ambienti compromessi senza dover necessariamente cedere alla richiesta di riscatto.

In questo modello, il principio è relativamente semplice: se l’attaccante cifra i dati, l’azienda può recuperarli da una copia integra. È una logica che resta fondamentale e che continua a rappresentare una componente essenziale della resilienza informatica.

Il ransomware è cambiato: le nuove minacce

Se il ransomware si limitasse, come nella sua versione originale, a cifrare i sistemi aziendali, un backup integro e aggiornato permetterebbe, almeno in linea di principio, di ripristinare dati e applicazioni senza pagare il riscatto. Di fatto, non sentiremmo più parlare di ransomware da un pezzo, ma purtroppo le tecniche di attacco sono evolute.

1. Una prima evoluzione riguarda direttamente i backup. Gli attaccanti cercano sempre più spesso di individuare le copie raggiungibili dalla rete e cancellarle, modificarle o cifrarle insieme ai sistemi di produzione, compromettendo così la capacità di recovery dell’azienda. Per questo non basta più semplicemente avere un backup: le copie devono essere adeguatamente isolate e protette.

• La seconda evoluzione è la cosiddetta doppia estorsione. Prima di cifrare i sistemi, gli attaccanti possono sottrarre informazioni aziendali e utilizzare la loro pubblicazione come ulteriore leva: anche se l’organizzazione riesce a ripristinare tutto dai backup, i dati sono ormai nelle mani dei criminali. Il ricatto, quindi, non riguarda soltanto la disponibilità delle informazioni, ma anche la loro riservatezza.

Sono questi i punti che cambiano radicalmente lo scenario: il backup continua a essere indispensabile, ma non neutralizza più da solo l’impatto di un attacco ransomware. Serve una strategia capace di proteggere il processo di ripristino e, contemporaneamente, di gestire le conseguenze di una possibile compromissione dei dati.

La resilienza: come prepararsi davvero a un attacco ransomware

Di fronte al ransomware evoluto, l’azienda deve essere certa che la copia dei dati resti disponibile anche durante l’attacco e, allo stesso tempo, deve essere in grado di reagire se parte delle informazioni viene sottratta. Significa passare da una logica di semplice protezione delle informazioni a una vera strategia di cyber resilience, nella quale protezione, risposta e ripristino vengono progettati insieme.

Proteggere il backup dall’attacco

Il primo obiettivo è evitare che il ransomware possa raggiungere e compromettere anche le copie utilizzate per il recovery. A tal fine, la prima raccomandazione è mantenere backup offline o comunque isolati, cifrati e regolarmente testati, proprio perché molte varianti ransomware cercano di individuare e cancellare o cifrare le copie accessibili.

A questo si aggiunge il tema dell’immutabilità del backup: almeno una delle copie (perché di backup non dovrebbe essercene solo uno) deve essere conservata in modo tale da non poter essere modificata o cancellata per un determinato periodo, neppure utilizzando credenziali amministrative compromesse. È inoltre importante separare gli accessi all’infrastruttura di backup da quelli dell’ambiente di produzione, limitare i privilegi e proteggere gli account amministrativi.

Inoltre, restore e disaster recovery devono essere testati periodicamente, verificando non soltanto che i dati esistano, ma che siano integri e che applicazioni e servizi critici possano effettivamente tornare operativi nei tempi previsti. NIST considera proprio la verifica periodica delle strategie di backup e ripristino uno degli elementi centrali della preparazione al ransomware.

Prepararsi anche alla sottrazione dei dati

L’immutabilità risolve solo una parte del problema. Se gli attaccanti hanno già esfiltrato informazioni aziendali, ripristinare i sistemi non elimina il data breach.

Serve quindi un piano di risposta agli incidenti che stabilisca in anticipo chi interviene, quali sistemi devono essere isolati, come si determina l’estensione della compromissione e quali dati possono essere stati sottratti. La rapidità nell’identificare origine, sistemi coinvolti e portata dell’incidente è fondamentale per contenerne gli effetti.

Accanto alle attività tecniche entrano poi in gioco quelle organizzative: coinvolgimento dei responsabili sicurezza e privacy, valutazione degli eventuali obblighi di notifica, gestione delle comunicazioni e coordinamento con soggetti esterni.

Affidati a noi per una protezione continua, dalla prevenzione al ripristino

Essere un Managed Service Provider significa farsi carico, in tutto o in parte, della gestione operativa dell’IT dei propri clienti. Quando si parla di cybersecurity, questo comporta una responsabilità precisa: restare costantemente aggiornati su minacce, tecniche di attacco e strumenti di difesa.

Il ransomware è forse uno degli esempi più evidenti di tutto ciò perché non è una minaccia statica ma cambia nelle modalità di accesso, nei meccanismi di estorsione e negli obiettivi degli attaccanti. Per questo non può essere affrontata con una difesa costruita una volta per tutte.

Come N-Tech possiamo presidiare l’intero ciclo di protezione, dalla prevenzione alla risposta. Il monitoraggio continuo dell’infrastruttura permette di individuare anomalie e segnali sospetti, mentre la gestione del backup viene progettata utilizzando tecnologie allo stato dell’arte, con copie protette, isolate e, dove necessario, immutabili.

L’obiettivo non è semplicemente avere un backup disponibile, ma garantire che rimanga utilizzabile anche quando l’attacco punta direttamente a comprometterlo e che il ripristino possa avvenire rapidamente e secondo procedure già definite e testate.