Ransomware 2026: i gruppi criminali ora minacciano fisicamente i dipendenti a domicilio

Dal 2025 i gruppi criminali specializzati in estorsione digitale hanno aggiunto una tattica nuova: usare i dati personali sottratti durante un attacco per minacciare fisicamente i dipendenti a domicilio. Un attacco informatico diventa così una crisi di sicurezza personale che coinvolge persone reali, fuori dall’ufficio, nel tempo libero.

In sintesi

I gruppi ransomware, cioè i criminali che cifrano i dati aziendali e chiedono riscatto, raccolgono indirizzi, numeri di telefono e informazioni familiari dei dipendenti per usarli come leva di pressione fisica.
La tattica è documentata su almeno tre gruppi attivi nel 2024-2025: ScatteredSpider, Karakurt e un cluster non nominato tracciato da Recorded Future come attore di “physical coercion”, coercizione fisica diretta sulle persone.
Il vettore di accesso iniziale più comune rimane il furto di credenziali tramite phishing, messaggi ingannevoli che simulano comunicazioni legittime, con un tempo mediano di permanenza nella rete prima del rilevamento di 5 giorni, stando al Mandiant M-Trends 2024.
Il danno non è più solo operativo: diventa reputazionale, legale ai sensi del Regolamento UE 2016/679 sulla protezione dei dati personali, e di sicurezza fisica per le persone coinvolte.
La risposta richiede un protocollo che includa HR, ufficio legale e, nei casi gravi, forze dell’ordine. Non basta chiamare l’IT.

La minaccia è cambiata: dal blocco dei dati alle visite a domicilio

Per anni il ransomware ha funzionato con uno schema semplice. Entrare nella rete, cifrare i file, chiedere un riscatto in criptovaluta. La pressione era tutta sul sistema informatico, e chi aveva un backup recente poteva resistere.

Oggi non basta più. I gruppi più organizzati hanno capito che bloccare i dati di uno studio commercialista o di una clinica privata non genera abbastanza urgenza se il titolare sa di avere una copia di sicurezza aggiornata. Così hanno aggiunto un secondo livello di pressione. Quello personale.

Concretamente: durante la fase di esfiltrazione, cioè la copia e il trasferimento dei dati fuori dalla rete aziendale che precede la cifratura, i criminali raccolgono tutto ciò che trovano. Buste paga, rubriche, contratti, file HR con indirizzi di residenza, numeri di cellulare personali, nomi di familiari. Questi dati vengono poi usati per contattare direttamente i dipendenti, a volte con messaggi, a volte con visite fisiche, per aumentare la pressione sul management affinché paghi.

Il gruppo ScatteredSpider, tracciato dal CISA, la Cybersecurity and Infrastructure Security Agency, ovvero l’agenzia federale statunitense per la sicurezza delle infrastrutture digitali, ha usato tecniche di social engineering, manipolazione psicologica mirata, per estorcere credenziali di accesso e poi minacciare i dipendenti identificati. Karakurt, un gruppo separatosi dal collettivo Conti nel 2021, è noto per pubblicare dati personali dei dipendenti come leva di estorsione prima ancora di cifrare i sistemi. Immagina un tuo responsabile amministrativo che riceve un messaggio con il suo indirizzo di casa e il nome dei figli. Non è fantascienza: è il manuale operativo di questi gruppi nel 2025.

Perché tocca anche le aziende italiane di dimensioni medie

La percezione comune è che questi attacchi colpiscano solo grandi multinazionali. I dati dicono altro.

Per quanto riguarda le imprese italiane, il 34% degli incidenti gravi nel 2023 ha coinvolto aziende con meno di 250 dipendenti, stando al Rapporto Clusit 2024, dove il Clusit è l’Associazione Italiana per la Sicurezza Informatica. Le realtà più piccole sono bersagli attraenti proprio perché hanno meno difese e più probabilità di pagare rapidamente per tornare operative.

Pensa a chi conserva dati sensibili del personale per natura del proprio lavoro. Una clinica privata ha cartelle cliniche, referti, turni del personale con recapiti personali. Uno studio legale archivia fascicoli di clienti e contratti di lavoro dei propri collaboratori. Un hotel tiene dati di prenotazione, documenti del personale, buste paga. Tutti conservano esattamente il tipo di dato che un gruppo criminale può usare per costruire pressione fisica: nome, cognome, indirizzo, numero di telefono, situazione familiare. Informazioni che in molte aziende italiane vivono ancora in file Excel non protetti o in gestionali con accessi condivisi.

Il punto è questo. L’assenza di MFA, sigla inglese per multi-factor authentication, cioè autenticazione a più fattori, il sistema che richiede un secondo controllo oltre alla password come un codice via SMS o un’app dedicata, è ancora il punto di ingresso più comune negli attacchi documentati. Non serve un attacco sofisticato se la porta è aperta.

Il profilo di rischio legale si è allargato

Quando un attacco ransomware include l’esfiltrazione di dati personali dei dipendenti, scatta l’obbligo di notifica al Garante per la Protezione dei Dati Personali entro 72 ore dalla scoperta della violazione, ai sensi dell’articolo 33 del Regolamento UE 2016/679, comunemente noto come GDPR. La notifica non è opzionale. Non dipende dall’entità del danno: è obbligatoria se esiste anche solo il rischio per i diritti delle persone coinvolte.

Le sanzioni per omessa o tardiva notifica arrivano fino a 10 milioni di euro o al 2% del fatturato annuo globale, secondo l’articolo 83 dello stesso regolamento. Resta il fatto che per un’impresa italiana di medie dimensioni il rischio concreto non è tanto la multa massima. È la combinazione di notifica pubblica, blocco temporaneo dell’attività durante l’indagine e, nei casi più gravi, azioni legali da parte dei dipendenti i cui dati sono stati usati per minacciarli.

Un’azienda di logistica con 80 dipendenti che subisce un attacco di questo tipo si trova a gestire simultaneamente: sistemi bloccati, dipendenti spaventati che chiedono spiegazioni, obbligo di notifica al Garante, e potenzialmente un’indagine penale se le minacce fisiche vengono denunciate. Nessuno di questi problemi si risolve con un backup.

Cosa fare oggi: tre livelli di intervento

Livello 1 — Ridurre la superficie di attacco sui dati personali.

Censire dove vivono i dati sensibili del personale: buste paga, contratti, rubriche, file HR. Limitare l’accesso a chi ne ha effettivo bisogno. Applicare l’autenticazione a più fattori su tutti gli accessi remoti e sulle caselle email aziendali. Per uno studio professionale con dieci dipendenti, questo significa attivare l’MFA su Office 365 o Google Workspace nel giro di un pomeriggio, senza spese significative. Questo non elimina il rischio, ma riduce drasticamente la quantità di dati utilizzabili come leva.

Livello 2 — Preparare un protocollo di risposta che includa le persone, non solo i sistemi.

Un incident response plan, cioè il piano di risposta agli incidenti, è il documento che stabilisce chi fa cosa nelle prime ore dopo la scoperta di un attacco. La maggior parte dei piani esistenti si ferma all’IT. Serve aggiungere: chi avvisa i dipendenti potenzialmente esposti, chi gestisce la comunicazione interna, chi contatta le forze dell’ordine se arrivano minacce fisiche, chi notifica il Garante entro le 72 ore. Senza questo documento, nelle prime ore si improvvisa. E improvvisare in una crisi del genere costa.

Livello 3 — Simulare lo scenario con il management.

Un tabletop exercise, cioè una simulazione a tavolino di un incidente, non richiede infrastruttura tecnica. È una riunione di due o tre ore in cui si percorre uno scenario realistico: “abbiamo scoperto stamattina che i nostri sistemi sono cifrati e un dipendente ha ricevuto un messaggio con il suo indirizzo di casa”. Si verifica se le decisioni chiave possono essere prese in tempi utili. Molte aziende scoprono in quella sede che mancano numeri di emergenza, autorizzazioni chiare e contatti con le forze dell’ordine. Meglio scoprirlo in una sala riunioni che durante l’attacco vero.

Domande correlate

Devo pagare il riscatto se minacciano i miei dipendenti?

No, e non solo per ragioni etiche. Il pagamento non garantisce che le minacce cessino né che i dati vengano cancellati. Le forze dell’ordine italiane e l’ENISA, l’Agenzia dell’Unione Europea per la Sicurezza Informatica, sconsigliano il pagamento: in alcuni casi alimenta ulteriori richieste. La priorità è isolare i sistemi, notificare le autorità e proteggere le persone coinvolte.

Quali dati dei dipendenti sono più pericolosi se sottratti?

Indirizzi di residenza, numeri di cellulare personali, situazione familiare e buste paga. Sono esattamente i dati che permettono di costruire pressione fisica. Spesso si trovano in file non cifrati su server condivisi o in allegati email non protetti, anche in aziende per il resto ben organizzate.

Sono obbligato a comunicare l’attacco ai dipendenti coinvolti?

Sì. L’articolo 34 del Regolamento UE 2016/679 prevede la comunicazione diretta agli interessati quando la violazione comporta un rischio elevato per i loro diritti. Ignorare questo obbligo espone l’azienda a sanzioni aggiuntive e a contenziosi civili da parte dei dipendenti stessi.

Un backup recente mi protegge da questo tipo di attacco?

Protegge dal blocco operativo. Non dalla minaccia alle persone. Se i criminali hanno già copiato i dati prima di cifrare i sistemi, cosa che avviene sistematicamente nei gruppi più organizzati, un backup non rimuove la leva di pressione sui dipendenti né l’obbligo di notifica al Garante.

Come faccio a sapere se la mia azienda è già stata compromessa?

Spesso non lo sai. Il tempo mediano di permanenza nella rete prima del rilevamento è di 5 giorni, stando al Mandiant M-Trends 2024. Un’analisi dei log di accesso ai sistemi, eseguita da un professionista esterno, è il modo più diretto per verificarlo. Molte PMI italiane non l’hanno mai fatta.

Fonti:

Mandiant M-Trends 2024 Report — https://www.mandiant.com/m-trends (accesso maggio 2025)
CISA Advisory su ScatteredSpider — https://www.cisa.gov/news-events/cybersecurity-advisories/aa23-320a (accesso maggio 2025)
Rapporto Clusit 2024 sulla sicurezza ICT in Italia — https://clusit.it/rapporto-clusit/ (accesso maggio 2025)
Regolamento UE 2016/679 (GDPR), artt. 33, 34, 83 — https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32016R0679 (accesso maggio 2025)
Garante per la Protezione dei Dati Personali, guida alla notifica delle violazioni — https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9157567 (accesso maggio 2025)
Recorded Future, Physical Coercion in Ransomware Operations (2024) — https://www.recordedfuture.com (accesso maggio 2025)
Turbolab.it, notizia originale sull’intimidazione fisica nei ransomware — https://turbolab.it/virus-antivirus-malware-antimalware-2 (accesso maggio 2025)