Ransomware in Vietnam: il calo del 2,56% nasconde una minaccia…

Il report Kaspersky sul Q1 2026 mostra un calo delle PMI vietnamite colpite da ransomware, ma gli esperti avvertono: la minaccia si è spostata nelle fasi iniziali

Nota di metodo: questo articolo si basa su un'unica fonte, il portale governativo vietnam.vn, che riporta dati attribuiti a un report Kaspersky del primo trimestre 2026 senza fornire accesso al documento primario. Le citazioni di esperti Kaspersky sono riportate così come tradotte dalla fonte, senza possibilità di verifica indipendente. Il portale non è specializzato in cybersecurity.

Nel primo trimestre 2026 il 2,56% delle piccole e medie imprese vietnamite è stato colpito da ransomware, in calo dal 2,91% dello stesso periodo del 2025. La diminuzione apparente nasconde un'evoluzione tattica che rende la minaccia più difficile da rilevare: secondo quanto documentato dalla sola fonte disponibile, i gruppi criminali hanno spostato la loro attività nelle fasi preliminari di intrusione e ricognizione, che non emergono nelle statistiche sui raid completati.

Punti chiave

Il 3,51% delle PMI del Sud-est asiatico è stato colpito da ransomware nel Q1 2026, in aumento dal 2,92% del 2025, con India e Indonesia che registrano i maggiori incrementi
In Vietnam la percentuale scende dal 2,91% al 2,56%, ma la fonte attribuisce il calo a una minaccia spostata nelle fasi iniziali non conteggiate come attacchi completi
Clop e Qilin dominano le classifiche sui Dedicated Leak Site con rispettivamente il 14,42% e il 12,34% delle vittime, seguiti dal gruppo emergente The Gentlemen
Le PMI vietnamite sono bersagli privilegiati per la doppia estorsione e trampolini di lancio verso le supply chain di grandi imprese, privi di team sicurezza e gestione patch strutturata

Il dato che inganna: perché il calo vietnamita non significa minore rischio

Il contrasto tra le tendenze nazionali è netto. India è salita dal 3,18% al 4,07% e Indonesia dal 2,83% al 4,01%, entrambe superando la media regionale del 3,51%. Vietnam, invece, mostra un arretramento. Secondo la fonte citata, però, questa dinamica riflette un cambiamento nel modo di misurare piuttosto che una riduzione effettiva della minaccia. Gli attacchi bloccati nelle prime fasi — compromissione iniziale, movimento laterale, raccolta informazioni — non entrano nel conteggio statistico dei ransomware completati.

Il meccanismo ha conseguenze operative concrete. Le PMI vietnamite, spesso prive di team IT dedicati, rilevano meno intrusioni parziali rispetto alle strutture più mature. La discrepanza di visibilità genera un campo minato: il calo numerico disincentiva investimenti in sicurezza proprio nel momento in cui i gruppi criminali perfezionano la persistenza nelle reti bersaglio.

La mappa dei gruppi: Clop, Qilin e l'ascesa di The Gentlemen

La distribuzione delle vittime sui Dedicated Leak Site disegna un ecosistema concentrato. Clop si posiziona al primo posto con il 14,42% del totale, Qilin al secondo con il 12,34%. Il terzo posto spetta a The Gentlemen, gruppo emerso nel luglio 2025 che ha sviluppato strumenti proprietari per la raccolta informazioni e stretto partnership con Initial Access Broker. La fonte non specifica l'attività diretta di The Gentlemen in Vietnam, ma colloca il gruppo nel panorama operativo attivo nella regione ASEAN.

Il modello di partnership con Initial Access Broker descrive un'ecosistema criminale modulare. Un gruppo come The Gentlemen può acquistare accessi già compromessi e concentrare le risorse sulla fase di estorsione. La fonte documenta questa struttura di mercato senza trarne conclusioni sul profilo di rischio per le PMI.

La doppia estorsione rende i backup un'illusione di protezione

"La semplice implementazione di meccanismi di backup dei dati non sarà sufficiente a proteggere le aziende, soprattutto perché la maggior parte dei gruppi ransomware oggi utilizza tattiche di 'doppia estorsione': crittografano i dati e allo stesso tempo minacciano di divulgare informazioni sensibili" Fedor Sinitsyn, esperto di sicurezza Kaspersky, così come riportato dalla fonte

La citazione, così come tradotta dalla fonte, fissa il limite di una strategia difensiva ancora diffusa tra le PMI. Il backup tradizionale presuppone che la posta in gioco sia la disponibilità dei dati; la doppia estorsione sposta la posta sulla confidenzialità. Anche con sistemi di ripristino funzionanti, l'azienda deve negoziare sulla non divulgazione di informazioni che potrebbero riguardare clienti, fornitori o proprietà intellettuale.

La fonte non specifica la natura esatta dei dati esfiltrati nelle campagne osservate. Il dossier non documenta settori particolarmente colpiti né fornisce dettagli su importi riscatto o tempistiche di negoziazione. Questi limiti rendono impossibile quantificare l'impatto economico diretto sulle PMI vietnamite, pur essendo evidente la struttura del rischio.

L'asimmetria strutturale: PMI senza difese, supply chain senza scudi

Adrian Hia, Amministratore Delegato per l'Asia Pacifico di Kaspersky, è citato dalla fonte con una diagnosi secca: "le PMI spesso non dispongono delle risorse necessarie per mantenere team dedicati alla sicurezza informatica o una gestione completa delle patch, il che le rende facili bersagli". La carenza non è solo una vulnerabilità individuale. Secondo la stessa fonte, le PMI sono utilizzate come trampolini di lancio per le catene di approvvigionamento di grandi aziende.

Il meccanismo è lineare: un fornitore di terzo ordine con accesso alla rete di un primario industriale diventa il percorso di minima resistenza per raggiungere obiettivi di maggior valore. La PMI vietnamita, priva di SOC interno e spesso priva anche di requisiti di sicurezza contrattuali vincolanti dai committenti maggiori, trasforma la sua debolezza in contagio sistemico. La fonte non specifica se esistano framework normativi vietnamiti che impongano standard di sicurezza alle PMI fornitrici, né documenta iniziative pubbliche di sostegno.

Cosa fare adesso

La fonte disponibile non elenca raccomandazioni operative strutturate da parte di Kaspersky. Dai dati e dalle citazioni riportate emergono tuttavia implicazioni che le PMI vietnamite e i loro partner commerciali possono considerare nel proprio assessment di rischio.

La constatazione di Sinitsyn sui backup — così come riportata dalla fonte — suggerisce che la verifica della propria strategia di ripristino debba includere lo scenario di esfiltrazione, non solo quello di crittografia. La mancanza di team dedicati, evidenziata da Hia, indica che le PMI devono valutare forme di supporto esterno o condivisione di risorse per la gestione delle patch e il monitoraggio delle intrusioni nelle fasi iniziali.

Il ruolo di trampolino verso le supply chain impone infine una riflessione ai committenti di grandi imprese: la sicurezza del proprio perimetro dipende dalla visibilità sui fornitori di più piccola scala, che la fonte descrive come i più deboli e i meno controllati.

Un calo che non consola

Il 2,56% del Q1 2026, letto isolatamente, potrebbe apparire un segnale positivo. La fonte lo inquadra invece come un artefatto statistico: la minaccia si è spostata dove i contatori non arrivano. Per le PMI vietnamite, la conseguenza è una doppia penalizzazione — minore capacità di rilevamento e minore incentivo a investire — in un mercato criminale che, con Clop, Qilin e The Gentlemen, ha dimostrato di preferire proprio questo profilo di vittima.

La fonte non offre proiezioni per i trimestri successivi né indica se Kaspersky abbia raccomandato interventi specifici alle autorità vietnamite. Il dato rimane, per ora, un'istantanea da interpretare con cautela: non per ciò che mostra, ma per ciò che nasconde.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti