I ransomware group usano la GenAI come assembly line: 431.995…

Il ThreatLabz 2026 Report di Zscaler documenta come i gruppi ransomware usano la GenAI per accelerare sviluppo malware e scripting. Pagamento medio a 431.995

Zscaler ha pubblicato il ThreatLabz 2026 Ransomware Report il 30 settembre 2026, coprendo il periodo aprile 2025-marzo 2026. I ricercatori hanno tracciato l'uso operativo di strumenti di generative AI per accelerare lo sviluppo di malware, la ricognizione e la personalizzazione dello scripting. Il risultato è un'inversione strutturale: meno attacchi, più dati rubati, pagamenti medi più alti. Il modello economico si è spostato dalla "encryption tax" alla "data leverage tax".

Punti chiave

I gruppi ransomware hanno integrato la GenAI come "accelerant" nel ciclo di sviluppo malware, non come sostituzione dell'operatore umano
Il furto dati delle 10 principali gang è salito del 275,8% a 896,2 TB, mentre i pagamenti totali tracciati su blockchain sono scesi al ~328 milioni di dollari (-15,8% YoY)
Il pagamento medio individuale ha toccato i 431.995 dollari (+5,3%), con il 62% delle vittime che occupa ruoli dirigenziali o manageriali
Microsoft Teams e Quick Assist sono stati abusati come vettori di social engineering, lateral movement e data theft

Il "quality over quantity" dei ransomware group

Il numero di pagamenti individuali registrati è diminuito del 20,1% rispetto all'anno precedente. Contemporaneamente, il pagamento medio è cresciuto del 5,3% a 431.995 dollari. Secondo le fonti citate, il totale dei pagamenti tracciati su blockchain si è attestato a circa 328 milioni di dollari, in calo del 15,8% YoY. Questa dinamica indica una contrazione selettiva: meno vittime, ma selezionate con maggiore precisione.

Il dato chiave è il furto dati. Le 10 principali gang ransomware hanno esfiltrato 896,2 TB, contro i 123,8 TB del periodo precedente: un incremento del 275,8%. Il dato è misurato tramite monitoraggio dei leak site, non è un inventario globale di tutto il furto dati ransomware. Deepen Desai, EVP Cybersecurity di Zscaler, ha confermato la direzione strategica: "They are using GenAI to speed up operations, and focusing on stealing more of an organization's intellectual property, customer information, and other sensitive data to drive payment".

Come la GenAI comprime il ciclo di attacco

Zscaler ha tracciato "GenAI-assisted malware development and scripting" nel periodo di reporting. La descrizione tecnica copre "AI-written obfuscation routines to chatbot-generated phishing lures". Non emerge quanti gruppi specifici adottino questi strumenti, né quali modelli siano impiegati: commerciali, open-source o custom. Il report li definisce esplicitamente "accelerant layered onto an existing playbook", non sostituti dell'intelligenza umana.

L'effetto pratico è la compressione del tempo tra initial access e data exfiltration. Gli attaccanti generano varianti di malware più velocemente, personalizzano il phishing dirigente-per-dirigente e iterano gli script di ricognizione in tempo reale. Il detection signature-based risulta sistematicamente in ritardo: la firma viene distribuita quando la campagna è già mutata.

L'uso di applicazioni enterprise legittime amplifica il problema. Microsoft Teams e Quick Assist sono stati abusati per social engineering, lateral movement e data theft. Questi strumenti bypassano i controlli di perimetro tradizionali perché appaiono traffico legittimo.

L'executive targeting del 62%

Il 62% delle vittime di attacchi ransomware aveva titoli di manager o superiore. Questo dato, presente sia in cybersecurity-insiders.com che nel comunicato IR Zscaler, indica un profiling selettivo che precede il contatto tecnico. Non è chiaro se rappresenti una novità del periodo 2025-2026 o un trend in corso senza baseline storica confrontabile.

La geografia resta concentrata: gli Stati Uniti hanno assorbito il 50,7% dell'attività osservata. I settori più colpiti sono manufacturing e technology, con spike percentuali in freight/logistics (+725%) e utilities (+622%). Zscaler non ha incluso utilities nel confronto formale per base iniziale troppo piccola; lo stesso caveat metodologico potrebbe applicarsi al freight/logistics.

Sul fronte della frammentazione del threat landscape, 9 dei 15 principali gruppi per volume di vittime erano nuovi nelle classifiche. Complessivamente, 52 nuovi gruppi ransomware attivi sono stati identificati nell'anno. Le vittime totali tracciate su leak site sono state 7.366, in calo del 3% YoY.

Cosa fare adesso

Riprogettare il monitoring attorno al data exfiltration, non solo alla encryption: il vero obiettivo degli attaccanti è diventato il furto di IP e dati sensibili
Profilare comportamentalmente gli executive e i loro endpoint: il 62% delle vittime ha ruoli dirigenziali, il che richiede controlli mirati oltre le politiche generiche
Monitorare l'abuso di tool enterprise legittimi come Teams e Quick Assist: il loro traffico deve essere analizzato per anomalie di volume, timing e direzione
Ridurre la dipendenza dal detection signature-based: la velocità di iterazione GenAI rende le firme reattive insufficienti per il profiling comportamentale

"Successful ransomware extortion is shifting away from file encryption that often causes business disruptions to less visible, but more damaging data theft attacks" — Deepen Desai, EVP Cybersecurity, Zscaler

Il vantaggio asimmetrico temporale

La vera discontinuità non è l'autonomia dell'AI, ma la sua velocità di adozione. I gruppi ransomware hanno integrato la GenAI nelle stesse fasi in cui le aziende legittime la stanno sperimentando per la difesa. Il risultato è un vantaggio temporale: l'attaccante itera in ore, il difensore distribuisce in giorni. I 328 milioni di dollari tracciati su blockchain sono un dato Zscaler, non necessariamente l'universo dei pagamenti globali. Chainalysis, con metodologia diversa, ha stimato circa 820 milioni di dollari per il 2025: le cifre non sono direttamente confrontabili.

Per i CISO e i board, il perimetro tradizionale — backup, anti-encryption, patch management — gestisce il sintomo, non la causa. La causa è il data exfiltration come leva primaria, resa più efficiente dalla GenAI e più invisibile dall'abuso di tool trusted. Il settore assicurativo dovrà ricalibrare i modelli di rischio breach cost su un'escalation da 123,8 a 896,2 TB: non più incidente contenibile, ma exposure sistemica.

Domande frequenti

I gruppi ransomware usano modelli AI autonomi end-to-end?

No. Zscaler descrive esplicitamente la GenAI come "accelerant layered onto an existing playbook". L'operatore umano resta al centro, ma opera con strumenti che comprimono i tempi di sviluppo e personalizzazione.

I 328 milioni di dollari rappresentano tutti i pagamenti ransomware globali?

No. È il totale dei pagamenti tracciati su blockchain secondo la metodologia Zscaler. Il dato non copre eventuali pagamenti in altri canali o criptovalute meno monitorate.

Quali modelli GenAI usano specificamente i ransomware group?

Il dossier non lo specifica. Non è noto se usino modelli commerciali, open-source o custom, né quali tecniche di jailbreak o model manipulation eventualmente impieghino.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter