Il ransomware accelera sotto la spinta dell’intelligenza artificiale, che riduce tempi, costi e competenze necessari per colpire le organizzazioni. Le vittime confermate a livello globale sono passate da circa 1.600 nel 2024 a 7.831 nel 2025, con un aumento del 389% su base annua. Secondo una ricerca 2025 di Sophos, quasi la metà delle aziende prese di mira finisce inoltre per pagare, mentre continua a crescere l’importo mediano richiesto dagli aggressori.
Dave Spillane, systems engineering director di Fortinet, collega l’impennata alla diffusione di strumenti malevoli come WormGPT, FraudGPT e BruteForceAI. Nello stesso intervallo che in passato serviva a condurre un singolo attacco, i criminali possono ora prendere di mira quattro organizzazioni contemporaneamente. L’automazione rende così scalabili attività che richiedevano più tempo, risorse e preparazione tecnica.
Il risultato è un mercato criminale sempre più strutturato. Haydn Brooks, chief executive di Risk Ledger, descrive il panorama del 2026 come un ecosistema sofisticato, organizzato secondo logiche aziendali e capace di gestire persino la restituzione dei dati come un’operazione B2B. Shashi Kiran, chief marketing officer di Nile, osserva che la commoditizzazione degli attacchi ha abbassato drasticamente il costo delle offensive, mentre quello della difesa continua a salire. Capacità un tempo associate agli Stati possono essere sfruttate anche da individui con competenze incomplete grazie all’AI.
In questo scenario, pagare o rifiutare il riscatto resta una delle scelte più controverse della cybersicurezza. Jim Walter, senior threat researcher di SentinelOne, sostiene una linea netta: finanziare gli estorsori rafforza l’intero ecosistema e non offre alcuna garanzia che i dati vengano cancellati. La riestorsione e la monetizzazione successiva delle informazioni sottratte sono pratiche comuni, quindi il pagamento può alimentare nuovi reati senza assicurare il recupero.
Altri operatori ritengono però che un divieto assoluto non tenga conto delle situazioni in cui il ripristino è impossibile. Andy Maus, responsabile dei servizi di cyber recovery di DriveSavers, richiama il caso delle infrastrutture critiche, come reti idriche e fornitori di energia: se i dati non possono essere recuperati e il riscatto non può essere versato, le conseguenze per utenti e servizi essenziali possono superare i benefici della proibizione.
Il Regno Unito sta portando avanti un piano per vietare i pagamenti agli enti pubblici e alle infrastrutture nazionali critiche, includendo sanità, amministrazioni locali e scuole. Maus ricorda tuttavia che i divieti introdotti in North Carolina e Florida nel 2021 e nel 2022 non sembrano avere scoraggiato in modo sostanziale l’attività criminale. Brooks prevede inoltre che gli aggressori possano spostarsi aggressivamente verso il settore privato, meno regolamentato.
Un blocco dei pagamenti pubblici potrebbe riflettersi anche sul mercato assicurativo, con l’esclusione dei riscatti dalle coperture e premi molto più elevati. Intorno agli incidenti è già cresciuta un’offerta specializzata composta da negoziatori, team di risposta e consulenti per le violazioni. La decisione dipende da elementi quali natura dei dati sottratti, presenza di informazioni personali o sanitarie e identità del gruppo criminale. Gavin Millard, vicepresidente di prodotto di Tenable, sposta però l’attenzione sulla riduzione della redditività del ransomware attraverso l’exposure management.
Molti attacchi continuano infatti a sfruttare vulnerabilità note, sistemi esposti e lacune di sicurezza. Monitoraggio continuo dei dispositivi, autenticazione multifattore e controllo degli accessi possono limitare l’impatto dopo l’intrusione. Spencer Young di Delinea indica nei permessi temporanei concessi solo quando necessari uno strumento per restringere il raggio d’azione degli aggressori. Maus propone infine backup sovvenzionati e incentivi fiscali alla spesa in sicurezza: interventi preventivi capaci di ridurre l’esposizione prima che il dilemma del riscatto diventi inevitabile.