Ransomware: esfiltrazione dati +275%, terabyte come leva estorsiva

I dieci principali gruppi ransomware hanno esfiltrato 896,2 terabyte di dati nel periodo aprile 2025-marzo 2026, con un balzo del 275,8% rispetto all'anno precedente. Secondo il ThreatLabz 2026 Ransomware Report di Zscaler, diffuso il 30 settembre, il numero di vittime pubblicate sui siti di leak è rimasto sostanzialmente stabile: 7.366 organizzazioni, con una contrazione del 3% anno su anno. La posta in gioco si sposta dal blocco dei sistemi alla quantità di informazioni rubate.

La disintermediazione tecnica: quando i dati valgono più dei sistemi cifrati

La crescita del 275,8% nell'esfiltrazione si colloca in una curva già ascendente: dai 123,8 TB del 2023-2024 ai 238,5 TB del 2024-2025, fino agli attuali 896,2 TB. L'accelerazione è più che triplicata nell'ultimo anno, segnalando una rottura di regime piuttosto che una continuità trend.

Il dato più rilevante è il disaccoppiamento tra volume di dati rubati e numero di vittime. Con 7.366 organizzazioni pubblicate, in calo del 3%, i gruppi estraggono più valore da meno target. Il pagamento medio è salito del 5,3% a 431.995 dollari, mentre i pagamenti totali sono scesi del 15,8% a 327,8 milioni di dollari e il numero di transazioni è calato del 20,1%. Chi paga, paga molto di più: le organizzazioni con asset dati sensibili subiscono una pressione selettiva e intensificata.

WorldLeaks incarna questa transizione. Con 207,5 TB esfiltrati, il gruppo ha superato Rhysida (112,6 TB), Qilin (110,1 TB) e INC Ransom (96,6 TB). La sua peculiarità è l'abbandono della cifratura dei sistemi per concentrarsi esclusivamente sul furto di dati e sulla minaccia di pubblicazione. Il modello "pure extortion" elimina l'overhead tecnico della distribuzione del ransomware cryptolocker e riduce la visibilità dell'attacco, aggirando i tradizionali indicatori di compromissione basati su eventi di cifratura massiva.

"Le campagne di estorsione ransomware che hanno successo stanno abbandonando la tradizionale cifratura dei file, che spesso provoca interruzioni delle operazioni, per concentrarsi su attacchi di furto di dati meno visibili, ma potenzialmente più dannosi" — Deepen Desai, Executive Vice President of Cybersecurity di Zscaler

Targeting dei dirigenti e l'impossibilità di distinguere il traffico malevolo

Il report evidenzia un orientamento preciso nel selezionare le vittime interne. Nel campione di 351 casi di un gruppo specifico, il 62% ricopriva posizioni manageriali o superiori. Circa il 75% delle vittime operava in finanza, vendite, operations, HR e marketing: funzioni con accesso a dati commercialmente sensibili, ma tipicamente prive della formazione tecnica e delle difese strutturali dei reparti IT.

L'accesso iniziale si appoggia a tecniche che sfruttano la familiarità quotidiana con strumenti di collaborazione. Lo spam bombing, il vishing tramite Microsoft Teams e l'abuso di Quick Assist, AnyDesk e TeamViewer permettono agli attaccanti di operare all'interno di flussi di traffico enterprise legittimi. Il confine tra attività malevola e operativa si dissolve: i tool di remote support diventano vettori di persistenza, non perché vulnerabili, ma perché trusted.

Embargo ha mostrato un aumento del 718% nella dimensione mediana delle fughe di dati nella seconda metà del periodo di osservazione, confermando che la tendenza al volume non è isolata ma diffusa tra i gruppi attivi. Manufacturing e technology restano i settori più colpiti, con crescite estreme in freight & logistics (+725%) e utilities (+622%). L'Italia registra il 2,7% delle attività osservate, contro il 50,7% degli Stati Uniti, il 4,8% del Canada, il 4,3% della Germania e il 4,1% del Regno Unito.

Malware specializzati e infrastrutture C2 mimetizzate

Il report dettaglia tre campagne che illustrano la sofisticazione tecnica orientata alla fusione con l'ambiente target.

La campagna Chaos introduce GoGRPC, una famiglia malware scritta in Go che utilizza gRPC su HTTP/2 per la comunicazione comando-e-controllo. La scelta del protocollo non è casuale: gRPC su HTTP/2 è standard in ambienti cloud-native e containerizzati, rendendo il traffico C2 indistinguibile da quello delle applicazioni legittime.

Un'altra campagna impiega una backdoor Java con JRE bundled che sfrutta le API di Google Drive come canale C2. L'utilizzo di un servizio cloud enterprise per il controllo remoto trasforma l'esfiltrazione in operazioni di sincronizzazione apparentemente routine, sfidando i sistemi di rilevamento basati su analisi del traffico verso domini sospetti.

La campagna Payouts King combina falsi aggiornamenti antispam, il framework Havoc, e una backdoor denominata Edgecution. Quest'ultima si compone di un'estensione malevola per Edge in modalità headless e un componente Python, sfruttando il browser come piattaforma di esecuzione per eludere le difese endpoint tradizionali.

Nove dei top 15 gruppi per numero di vittime sono nuovi in classifica; 52 gruppi nuovi si sono attivati nell'ultimo anno. Qilin, Akira e INC Ransom da soli rappresentano il 34% delle vittime pubblicate, ma la frammentazione del panorama è crescente.

Cosa fare adesso

Le raccomandazioni operative derivano direttamente dalle evidenze del report e dalla citazione di Deepen Desai.

Ridurre le opportunità di accesso iniziale. Il report documenta che gli attaccanti si concentrano su fasi iniziali riproducibili: spam bombing, vishing via Teams, abuso di tool di remote support. La riduzione della superficie di attacco a questo livello interrompe la catena prima della compromissione.

Limitare gli spostamenti laterali. Il targeting di dirigenti in reparti non-tecnici (finanza, HR, marketing) con accesso a dati sensibili richiede controlli di segmentazione che non presuppongano la trustworthiness dell'utente interno in base al ruolo operativo.

Impedire l'esfiltrazione dei dati. La leva principale è diventata il volume di dati rubati, non la cifratura. I controlli di esfiltrazione devono misurarsi in terabyte, non in eventi di file system: rilevare trasferimenti anomali verso servizi cloud e tool di storage è prioritario rispetto al monitoraggio della cifratura.

Ricalibrare la postura difensiva sul furto silenzioso. La cifratura è visibile e genera allarmi immediati; l'esfiltrazione massiva di dati può procedere per settimane. Le difese devono assumere che un attacco in corso non manifesti indicatori tradizionali e impieghino analisi comportamentale sui flussi di dati enterprise.

Il terabyte come nuova metrica del rischio

Il report ThreatLabz 2026 sancisce un passaggio di paradigma: la valutazione del rischio ransomware non può più basarsi sul numero di vittime o sulla frequenza degli attacchi. Quando 896,2 TB possono essere estratti con un calo del 3% nel numero di organizzazioni colpite, la densità del danno per singolo incidente diventa il parametro rilevante.

L'AI generativa entra in questo quadro come acceleratore operativo, non come tecnologia di attacco autonoma. Deepen Desai la colloca nel flusso di "speed up operations" e focalizzazione su furto di proprietà intellettuale, informazioni sui clienti e dati sensibili. Il cambiamento è nel ritmo e nella precisione, non nella natura della minaccia.

Il dato che resta da verificare è l'efficacia delle contromisure nel nuovo contesto. Se il traffico malevolo è indistinguibile da quello legittimo perché veicola sugli stessi protocolli e servizi, i tradizionali sistemi di rilevamento basati su firme e anomalie di rete perdono quota. Il report non documenta quali architetture difensive abbiano contenuto con successo queste tecniche: un limite che il mercato della sicurezza dovrà affrontare con dati propri, non con narrative di prodotto.

Fonti

• https://www.01net.it/ransomware-furto-dati-zscaler-threatlabz-report-2026/
• https://www.ilcorrieredellasicurezza.it/il-nuovo-report-sul-ransomware-di-zscaler-threatlabz-2026-rivela-che-i-criminali-informatici-hanno-sottratto-quasi-900-terabyte-di-dati-prendendo-sempre-piu-di-mira-dipendenti-che-ricoprono-ruoli-con/
• https://ir.zscaler.com/news-releases/news-release-details/new-zscaler-report-reveals-ai-assisted-attackers-move-massive
• https://www.zscaler.com/blogs/security-research/ransomware-leverage-growing-terabyte-takeaways-threatlabz-2026-ransomware
• https://www.globenewswire.com/Tracker?data=vPuv1uDVSWnGwzsIGAB4lIgsrkVwctwMxcjsvS4ei5sYGHJTGQi7ftXVQUcKURt_TLCVSOVIRaBcaxEQpD8RHA==

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti