Il calo del ransomware vietnamita maschera una minaccia…

Nel primo trimestre 2026 il 2,56% delle PMI vietnamite è stato colpito da ransomware, in leggero calo dal 2,91% del Q1 2025. Il dato, pubblicato il 16 luglio da

{"main_topic":"ransomware","topics":["ransomware","cybersec","enterprise","supply-chain"]}

Nel primo trimestre 2026 il 2,56% delle PMI vietnamite è stato colpito da ransomware, in leggero calo dal 2,91% del Q1 2025. Il dato, pubblicato il 16 luglio da Kaspersky e ripreso da testate locali, sembra rassicurare ma nasconde una realtà più complessa: la frequenza reale degli attacchi è probabilmente molto più alta, e la natura multi-stadio degli operatori moderni rende le statistiche tradizionali inadeguate a misurare il rischio. Le PMI vietnamite restano esposte a una minaccia che non si misura solo nei sistemi criptati, ma in quelli che non arrivano mai alla fase finale perché bloccati nelle tappe precedenti.

Punti chiave

Il tasso ransomware su PMI vietnamite è sceso dal 2,91% al 2,56% anno su anno, mentre la media del Sud-est asiatico è salita dal 2,92% al 3,51%.
India e Indonesia guidano l'aumento regionale: rispettivamente da 3,18% a 4,07% e da 2,83% a 4,01%.
La metodologia di conteggio esclude gli attacchi bloccati nelle fasi preliminari, creando un "dark figure" di minacce non quantificate.
The Gentlemen, gruppo emergente dal luglio 2025, sviluppa strumenti propri e si allea con broker di accesso iniziale, abbassando il barriere all'ingresso per attori meno sofisticati.

Il calo che inganna: perché il 2,56% non è buona notizia

La variazione dal 2,91% al 2,56% può leggersi come un miglioramento. Kaspersky la contestualizza immediatamente: il calo è artefattuale, non strutturale. Le statistiche ufficiali contano come "colpite" solo le PMI dove il ransomware ha completato il ciclo di infezione, cifratura e richiesta estorsiva. Gli attacchi intercettati durante le fasi di intrusione, ricognizione o lateral movement non rientrano nel computo.

Questa discrepanza metodologica genera un vuoto informativo significativo. Una PMI vietnamita che blocca un attacco alla fase di reconnaissance non compare nei dati; una che viene cifrata sì. Il confronto anno su anno diventa quindi poco affidabile come indicatore di sicurezza effettiva, specialmente se le difese preventive migliorano senza che la frequenza di tentativi diminuisca.

Il contesto regionale rafforza questa lettura cautelativa. La media del Sud-est asiatico è cresciuta dal 2,92% al 3,51%, con India e Indonesia in accelerazione. Singapore e Malesia mostrano lievi tendenze al rialzo. Il Vietnam, in questo quadro, appare un outlier al ribasso più che un modello di successo.

"La semplice implementazione di meccanismi di backup dei dati non sarà sufficiente a proteggere le aziende, soprattutto perché la maggior parte dei gruppi ransomware oggi utilizza tattiche di 'doppia estorsione': crittografano i dati e allo stesso tempo minacciano di divulgare informazioni sensibili."
— Fedor Sinitsyn, esperto di sicurezza Kaspersky

La doppia estorsione e l'obsolescenza dei backup

La citazione di Sinitsyn identifica un cambiamento tattico che trasforma il modello di difesa. I backup offline, tradizionalmente considerati misura sufficiente, perdono efficacia quando l'estorsione si sdoppia: la cifratura colpisce la disponibilità, la minaccia di pubblicazione colpisce la riservatezza. L'attore minaccia di rendere pubblici i dati sensibili indipendentemente dalla capacità della vittima di ripristinare i sistemi.

Questa evoluzione sposta il bilancio costi-benefici per le vittime. Il ripristino da backup risolve il problema operativo ma non quello legale o reputazionale della fuga di dati. Per PMI vietnamite integrate in supply chain regionali, la seconda componente è spesso più dannosa della prima: la perdita di contratti con partner internazionali supera il costo del riscatto.

Le PMI come trampolino: il rischio supply-chain

Adrian Hia, amministratore delegato APAC di Kaspersky, aggiunge una dimensione sistemica al rischio individuale. "Le PMI spesso non dispongono delle risorse necessarie per mantenere team dedicati alla sicurezza informatica o una gestione completa delle patch, il che le rende facili bersagli." Questa vulnerabilità strutturale non rimane confinata: "Gli hacker spesso considerano le piccole e medie imprese come un trampolino di lancio per penetrare più a fondo nelle catene di approvvigionamento delle grandi aziende."

Il meccanismo è noto nella letteratura sulla sicurezza delle supply chain ma qui acquista concretezza geografica. Il Vietnam ospita centinaia di PMI subfornitrici per conglomerati manifatturieri, tecnologici e tessili regionali. Un'intrusione in una di esse, anche non portata a termine come ransomware, può fornire pivot point per attacchi successivi a target di maggiore valore. L'attaccante investe risorse minime in una PMI per ottenere accesso privilegiato a un ecosistema più ricco.

Hia non specifica settori o casi documentati, ma la logica è coerente con la struttura industriale vietnamita. La fonte non fornisce dati su vittime vietnamite effettivamente utilizzate come ponte verso target maggiori, né conferma che questo pattern sia stato osservato nel campione Q1 2026.

The Gentlemen e la democratizzazione dell'accesso

I gruppi ransomware più attivi per numero di vittime sui Dedicated Leak Site nel Q1 2026 sono Clop (14,42%) e Qilin (12,34%). Il terzo posto spetta a The Gentlemen, apparso nel luglio 2025 e in rapida ascesa. Il gruppo si distingue per due caratteristiche documentate: sviluppa strumenti propri di raccolta informazioni, indicando capacità di ingegneria interna, e si allea con Initial Access Broker per l'acquisizione di accessi preliminari.

La partnership con IAB è il punto saliente. Abbassa drasticamente il barriere all'ingresso per gruppi emergenti: non è più necessario sviluppare capacità di intrusione iniziale, ma solo di cifratura, gestione della pressione estorsiva e mantenimento dell'infrastruttura di leak. The Gentlemen compra accessi e li monetizza, specializzandosi nella fase finale dell'attacco. Questa divisione del lavoro aumenta il numero di attori potenzialmente attivi nel panorama.

La fonte non collega esplicitamente The Gentlemen a vittime vietnamite nel Q1 2026. La sua inclusione nel report Kaspersky suggerisce tuttavia che il gruppo è considerato rilevante per la minaccia regionale.

Cosa fare adesso

Kaspersky raccomanda cinque linee di azione specifiche, riportate testualmente dalle fonti editoriali:

Aggiornamento software: mantenere i sistemi aggiornati per ridurre la superficie di attacco esponibile.
Difesa multilivello con rilevamento del lateral movement: implementare controlli in grado di identificare lo spostamento laterale all'interno della rete, non solo la penetrazione iniziale.
Backup offline indipendenti: conservare copie disconnesse dalla rete produttiva, con verifica periodica dell'integrità.
Soluzioni anti-APT e EDR: disporre di strumenti specifici per la rilevazione di minacce persistenti avanzate e di endpoint detection and response.
Piano di risposta per la supply chain: preparare procedure operative per gestire incidenti che coinvolgono fornitori o partner integrati.

La raccomandazione sul piano supply chain merita enfasi data la specificità del contesto vietnamita. Non si tratta di una best practice generica ma di un adattamento a una struttura industriale dove le PMI fungono da anelli di congiunzione tra ecosistemi più ampi.

Il vero indicatore da monitorare

Il dato del 2,56% è tecnicamente corretto ma strategicamente fuorviante. L'indicatore rilevante non è la percentuale di PMI cifrate, ma la frequenza di attacchi bloccati nelle fasi preliminari e l'evoluzione delle tattiche degli operatori. Un aumento di intrusioni interrotte prima della cifratura segnalerebbe difese più efficaci; una diminuzione potrebbe indicare semplicemente che gli attaccanti stanno puntando a target più facili, non che il fenomeno si è ridotto.

Il Vietnam, con il suo tessuto di PMI subfornitrici e la sua posizione in catene di approvvigionamento regionali, è un caso studio di come la metrica sbagliata generi valutazioni sbagliate. Il calo percentuale offre una finestra di opportunità politica per chi vuole dichiarare successi, ma la lettura tecnica suggerisce cautela: la minaccia non si è attenuata, si è solo spostata in zone meno visibili della kill chain.

Per i responsabili della sicurezza, l'azione prioritaria non è interpretare il 2,56% come segnale positivo, ma chiedere ai fornitori di intelligence e ai partner tecnologici dati sulle fasi preliminari degli attacchi. Il dark figure della ricognizione e del lateral movement è il vero termometro del rischio.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti