Ransomware, il 37% degli attacchi ora include minacce personali: dati da un

Il ransomware ha esteso il bersaglio oltre i datacenter. Secondo il rapporto annuale Semperis, realizzato su 1.200 organizzazioni post-attacco nel primo semestre 2026, il 37% degli attacchi include minacce psicologiche o fisiche dirette contro il personale. Il 14 ottobre 2026 The Register ha pubblicato i dati, che includono foto delle scuole dei figli inviate a dirigenti, pacchetti consegnati agli investigatori e chiamate swatting. Questa analisi si basa su un'unica fonte primaria indipendente sul fenomeno specifico.

Il survey: numeri e metodo

Il rapporto Semperis ha raccolto dati da 1.200 organizzazioni post-ransomware nel primo semestre 2026. Il 37% degli attacchi ha incluso minacce psicologiche o fisiche contro il personale. Di queste, il 23% riguarda intimidazione psicologica e il 17% minacce fisiche.

Tra le conseguenze documentate: il 25% delle vittime ha subito doxxing, il 25% ha cercato trattamento psicologico o medico, il 24% ha assunto team di sicurezza personale e il 23% ha ricevuto chiamate swatting. Il 53% dei rispondenti riferisce che gli attaccanti hanno portato a termine le minacce nell'ultimo anno.

Tra le minacce concrete, il 57% consiste in messaggi, lettere o pacchetti minatori e il 37% in minacce contro familiari o amici. Il metodo di campionamento delle 1.200 organizzazioni non è specificato nella fonte.

"We-know-where-you-are kind of stuff": un investigatore racconta

Tim Beasley, senior incident response consultant Semperis ed ex lead investigator Microsoft DART, ha descritto a The Register un episodio avvenuto durante un'indagine su Midnight Blizzard, un APT legato alla Russia. Ha ricevuto a casa un pacchetto contenente bambole russe e souvenir.

"We-know-where-you-are kind of stuff. It's a real eye-opener when you get that type of thing", ha dichiarato Beasley. Nella stessa intervista ha riferito di aver investigato casi in cui dirigenti ricevevano foto delle scuole dei propri figli, ottenute da ricognizione sui social media.

Beasley ha anche documentato l'uso di "violence as a service". Ha dichiarato: "I've seen threats involving people's families, from social media reconnaissance, and in our world you more and more come to expect it, which is unfortunate".

Il conflitto: cosa dicono i gruppi

Beasley nomina Scattered Spider, ShinyHunters e Lapsus$ tra i gruppi che adottano pressione psicologica e fisica. ShinyHunters, in un'intervista esclusiva con The Register, ha però negato di "attaccare esseri umani" con la formula "Don't attack human beings".

Nella stessa intervista, il gruppo ha ammesso: "There are times in the work we do sometimes we have to push the corporate to the absolute limit to get them on the table". Questa tensione tra la negazione di danni alle persone e l'ammissione di pressione estrema sulle aziende non è risolta nel materiale disponibile.

Re-infezione e pagamenti multipli

Il survey riporta che il 69% delle vittime di ransomware è stato bersagliato multiple volte nell'ultimo anno e il 31% ha effettuato pagamenti multipli. Beasley ha ribadito: "Don't pay anything. Never pay them".

Sulla reazione durante l'incidente, Beasley ha dichiarato: "Stand your ground. Don't buckle under the pressure, and just know that you know it's going to be okay. If you feel like you're under duress, then by all means get law enforcement involved. Don't be afraid to call the cops. Don't be afraid to get the FBI involved, sooner rather than later. And don't pay them". La frase "sooner rather than later" si riferisce al momento in cui ci si sente sotto pressione, non a una preparazione pre-incidente.

"We've seen violence as a service get used. I've seen threats involving people's families, from social media reconnaissance, and in our world you more and more come to expect it, which is unfortunate." — Tim Beasley, senior incident response consultant Semperis, ex lead investigator Microsoft DART

Il contesto operativo di Europol

Il dossier menziona un'operazione di Europol e partner contro The Com, rete di gruppi online con membri giovani coinvolti in hacking, swatting, estorsione digitale, sparatorie reali e altra violenza fisica. L'operazione ha portato alla segnalazione di 4.340 URL per rimozione. The Com non è classificabile come gruppo ransomware nella fonte.

Cosa cambia

Le minacce personali alterano il perimetro della risposta agli incidenti. Quando l'attaccante contatta il personale al di fuori dei canali aziendali, i team IT devono coordinarsi con risorse non tecniche: sicurezza personale, supporto psicologico, forze dell'ordine.

Il dato del 25% di vittime che ha cercato trattamento psicologico o medico, e il 24% che ha assunto team di sicurezza personale, indicano costi non coperti dalle polizze cyber tradizionali. Il 23% di vittime con swatting richiede protocolli di verifica con le forze dell'ordine locali.

La fonte non specifica mitigazioni tecniche per questo vettore. La raccomandazione di Beasley di coinvolgere le forze dell'ordine "sooner rather than later" quando ci si sente sotto pressione rimane l'unico consiglio operativo documentato nel caso specifico.

Il limite principale dei dati: non è chiaro se le minacce fisiche si siano materializzate in atti di violenza diretta o rimangano principalmente minacce. Il 53% di minacce "portate a termine" nella terminologia del survey non equivale a conferma di violenza fisica.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

• https://www.theregister.com/cyber-crime/2026/10/14/ransomware-gets-personal-we-know-where-you-are-kind-of-stuff/5302939
• https://www.cisa.gov/stopransomware/official-alerts-statements-cisa
• https://senserva.com/non-microsoft-cve-tracker.html
• https://www.techtarget.com/cybersecurity/video/Threat-summer-2026-Editors-discuss-top-cyber-incidents
• https://www.consumerfinance.gov/ask-cfpb/what-are-some-common-types-of-fraud-and-scams-en-2092/
• https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-222a
• https://www.cisa.gov/news-events/cybersecurity-advisories/aa25-203a