Ransomware 2025: quando l'estorsione digitale bussa alla porta di casa

Nel 2025 un attacco ransomware, ovvero un programma che cifra i tuoi dati e chiede denaro per restituirli, non si esaurisce più in uno schermo bloccato. Alcuni gruppi criminali documentati raccolgono informazioni personali sui dipendenti e le famiglie per aumentare la pressione al pagamento. Il punto di ingresso resta quasi sempre un’applicazione web che nessuno ha aggiornato.

In sintesi

La CISA, sigla inglese per Cybersecurity and Infrastructure Security Agency, l’agenzia federale statunitense per la sicurezza informatica, indica le applicazioni web pubblicamente accessibili e non aggiornate come vettore primario di accesso iniziale per i gruppi ransomware.
Casi documentati da ricercatori di sicurezza mostrano gruppi criminali che raccolgono indirizzi di residenza e composizione familiare dei dipendenti per aumentare la pressione al pagamento del riscatto.
Secondo Europol IOCTA 2023, i settori più colpiti sono sanità, manifatturiero e infrastrutture critiche; le imprese più piccole restano bersagli frequenti per la minore maturità dei controlli attivi.
Le vulnerabilità più sfruttate rientrano nella OWASP Top 10, la lista delle dieci classi di difetti più critici nelle applicazioni web, pubblicata dall’organizzazione no-profit OWASP (Open Web Application Security Project): iniezione di codice, autenticazione debole, componenti obsoleti.
Un inventario aggiornato delle applicazioni esposte e un piano di patching, ovvero l’applicazione sistematica delle correzioni di sicurezza rilasciate dai produttori, riducono la superficie di attacco prima che serva rispondere a un incidente.

Il vettore di ingresso che trascuri ogni giorno

La CISA afferma esplicitamente nella sua guida ufficiale al ransomware che gli attaccanti ottengono accesso iniziale attraverso vulnerabilità non corrette nelle applicazioni pubblicamente accessibili: server web, CMS (Content Management System, il software che fa girare siti costruiti su WordPress, Joomla o Drupal) e portali aziendali esposti su internet.

Non è un rischio astratto. Pensa a un hotel con il portale di prenotazione su una versione di WordPress del 2022, a una clinica con il gestionale accessibile via browser senza autenticazione a due fattori, a uno studio legale con un’applicazione di document management mai aggiornata. Questi sono i punti di ingresso reali, non scenari ipotetici.

Le categorie di difetti più sfruttate rientrano nella OWASP Top 10, aggiornata nel 2021 e tuttora il riferimento standard del settore. Tre classi riguardano direttamente le imprese italiane di dimensioni medie.

Iniezione di codice

Un attaccante inserisce comandi malevoli in un campo di input, il modulo di contatto, la barra di ricerca, il login, e il server li esegue come se fossero istruzioni legittime. Colpisce applicazioni con codice scritto male o framework non aggiornati. Un ecommerce che accetta input non validati nel campo di ricerca prodotti è esposto a questa classe di attacco senza che il titolare se ne accorga.

Autenticazione e gestione sessioni difettose

Password predefinite non cambiate, sessioni che non scadono, assenza di autenticazione a più fattori. Un ristorante che usa ancora le credenziali di amministrazione di default sul pannello del sito è rilevabile da uno scanner automatico in meno di dieci minuti.

Componenti con vulnerabilità note

Plugin, librerie, dipendenze software non aggiornate. Un plugin di WordPress con una CVE, sigla inglese per Common Vulnerabilities and Exposures, ovvero il registro ufficiale internazionale delle vulnerabilità note nei software, ad alto impatto pubblicata sei mesi fa e mai corretta è una porta aperta documentata pubblicamente. Chiunque la cerchi la trova.

Cosa fai oggi: esegui un inventario di tutte le applicazioni web che la tua azienda espone su internet. Per ciascuna, verifica la versione installata e confrontala con l’ultima disponibile. Se usi un CMS, controlla che i plugin attivi non abbiano CVE con punteggio CVSS, sigla per Common Vulnerability Scoring System, la scala da 0 a 10 che misura la gravità di una vulnerabilità, superiore a 7.

Il profilo di rischio cambia in base a chi sei

Non tutte le imprese sono bersagli equivalenti. Europol, nel rapporto IOCTA 2023 (Internet Organised Crime Threat Assessment, valutazione delle minacce del crimine organizzato su internet), identifica sanità, manifatturiero e infrastrutture critiche come i settori più colpiti da ransomware in Europa. Tre motivi convergenti: alta disponibilità a pagare, dati sensibili con valore di rivendita elevato, tolleranza zero ai tempi di fermo.

Per una clinica o uno studio medico, il rischio principale è l’indisponibilità del sistema di cartelle cliniche. Ogni ora di blocco ha impatto diretto sui pazienti, il che aumenta la pressione a pagare. Per un’azienda manifatturiera con linee di produzione collegate a sistemi OT, sigla per Operational Technology, ovvero la tecnologia che controlla macchinari fisici, un attacco può fermare la produzione con costi orari misurabili sin dalla prima mattina.

Le imprese più piccole, sotto i cinquanta dipendenti, non sono meno bersagliate. Sono bersagliate in modo diverso. I gruppi ransomware usano strumenti automatizzati che scansionano internet alla ricerca di vulnerabilità note. Non scelgono manualmente le vittime: colpiscono chi è esposto. Un ristorante con un sistema di cassa connesso a internet su firmware del 2019 è rilevabile da questi scanner in pochi secondi. La dimensione dell’azienda non conta; conta l’esposizione.

Cosa fai oggi: identifica quali sistemi, se bloccati per 24 ore, causerebbero un danno operativo immediato. Quelli sono i tuoi asset critici. Inizia da lì la valutazione dell’esposizione.

La pressione fisica: un segnale in osservazione

Questo punto richiede precisione. Alcune fonti, tra cui ricercatori indipendenti e segnalazioni raccolte da turbolab.it, documentano casi in cui gruppi criminali legati a operazioni di estorsione digitale hanno raccolto informazioni personali sui dipendenti delle aziende colpite, indirizzi di residenza, composizione familiare, e le hanno usate per aumentare la pressione al pagamento.

Mandiant e Verizon DBIR non classificano ancora le intimidazioni fisiche come vettore autonomo nelle loro tassonomie standard. Il fenomeno non è di massa. Resta il fatto che il confine tra estorsione digitale e pressione nel mondo reale si sta assottigliando, e se questa tattica si rivela efficace nell’accelerare i pagamenti, è ragionevole attendersi un’adozione più sistematica.

Per un imprenditore questo significa una cosa concreta. I dati dei dipendenti, indirizzi, numeri di telefono personali, informazioni familiari, sono parte della superficie di rischio aziendale. Se questi dati sono archiviati in sistemi esposti e non protetti adeguatamente, un attaccante che li ottiene può usarli in modi che vanno oltre la cifratura di un file server. Non è fantascienza: è una logica di escalation già documentata.

Cosa fai oggi: verifica dove sono archiviati i dati personali dei tuoi dipendenti e chi vi ha accesso. Un database HR accessibile via web senza controlli di accesso robusti non è solo un problema di conformità al GDPR (General Data Protection Regulation, il regolamento europeo sulla protezione dei dati personali): è un rischio operativo diretto.

Contromisure: ordine di priorità, non lista piatta

Le azioni di difesa non hanno tutte lo stesso peso. Questo è l’ordine suggerito per un’impresa italiana di dimensioni medie, partendo dall’impatto più alto sul rischio reale.

Patching delle applicazioni esposte. Aggiorna ogni software accessibile da internet entro 30 giorni dalla pubblicazione di una correzione di sicurezza. Per i CMS, attiva gli aggiornamenti automatici almeno per le correzioni di sicurezza. Questa misura da sola elimina la maggior parte dei vettori di ingresso automatizzati.

Autenticazione a più fattori sui sistemi critici. Abilitala su tutti i sistemi accessibili da remoto: VPN (Virtual Private Network, rete privata virtuale che cifra il traffico tra computer remoti e rete aziendale), pannelli di amministrazione, email aziendali. Secondo il Microsoft Digital Defense Report 2023, questa misura blocca oltre il 99% degli attacchi automatizzati basati su credenziali rubate.

Backup isolati e testati. Un backup, in italiano copia di riserva, è utile solo se è isolato dalla rete principale, altrimenti viene cifrato insieme al resto, e se è stato testato con un ripristino reale. Una clinica che scopre durante l’attacco che il backup dell’ultimo mese è corrotto non ha backup: ha un archivio inutile.

Formazione minima del personale. Il phishing, ovvero la truffa via email o messaggio che simula comunicazioni legittime per rubare credenziali o installare software malevolo, resta il vettore complementare più comune. Una sessione annuale con simulazioni reali riduce il tasso di click su link malevoli in modo misurabile. Non serve un corso di tre giorni: serve pratica, non teoria.

Domande correlate

Il mio sito WordPress può essere la porta di ingresso per un attacco ransomware? Sì, se ha plugin non aggiornati o credenziali di amministrazione deboli. I gruppi ransomware usano scanner automatici che cercano versioni vulnerabili di plugin noti. Aggiorna tutto, rimuovi i plugin inattivi e abilita l’autenticazione a due fattori sul pannello di amministrazione.

Come faccio a sapere se le mie applicazioni web hanno vulnerabilità note? Strumenti come WPScan per WordPress o scanner come Tenable Nessus identificano le CVE presenti nei tuoi sistemi. In alternativa, un professionista di sicurezza può eseguire un penetration test, ovvero una simulazione controllata di attacco, sulle tue applicazioni esposte.

Le imprese piccole sono davvero bersagliate quanto le grandi? Non allo stesso modo, ma non sono al sicuro. Gli scanner automatici non discriminano per dimensione: colpiscono chi è esposto. Le grandi imprese hanno più risorse per difendersi; le più piccole spesso hanno meno controlli attivi.

Cosa rischio se i dati dei miei dipendenti vengono rubati durante un attacco? Oltre al danno operativo immediato, rischi sanzioni ai sensi del GDPR con importi fino al 4% del fatturato annuo globale. Il Garante per la protezione dei dati personali italiano ha già emesso provvedimenti su incidenti di questo tipo.

Quanto tempo ci vuole per mettere in sicurezza le applicazioni web di base? Per un’impresa con uno o due sistemi web esposti, un audit iniziale e le correzioni prioritarie richiedono tipicamente due-quattro settimane di lavoro tecnico. Il patching sistematico è poi un’attività continuativa, non un progetto una tantum.

Fonti:

CISA — Ransomware Guide: https://www.cisa.gov/stopransomware/ransomware-guide (accesso luglio 2025)
Turbolab.it — Tattiche di intimidazione fisica nei gruppi ransomware: https://turbolab.it/virus-antivirus-malware-antimalware-2 (accesso luglio 2025)
Europol — IOCTA 2023: https://www.europol.europa.eu/publications-events/main-reports/iocta-report (accesso luglio 2025)
OWASP Top 10 2021: https://owasp.org/www-project-top-ten/ (accesso luglio 2025)
Microsoft Digital Defense Report 2023: https://www.microsoft.com/en-us/security/security-insider/microsoft-digital-defense-report-2023 (accesso luglio 2025)