Ransomware Q2: 1.140 attacchi industriali, il nuovo perimetro è nei sistemi IT

Il report trimestrale di Dragos, pubblicato l'11 agosto 2026, registra 1.140 incidenti ransomware su organizzazioni industriali nel secondo trimestre, con un incremento del 12% rispetto ai 1.020 del primo trimestre. La novità non sta nel numero, ma nel meccanismo: la maggior parte delle interruzioni produttive avviene compromettendo i sistemi IT enterprise — ERP, virtualizzazione, identità, accesso remoto — senza che gli attaccanti tocchino mai i controllori industriali. Dragos lo definisce il "falso conforto" della segmentazione IT/OT: il firewall regge, ma la produzione si arresta comunque.

Il meccanismo della dipendenza funzionale

I sistemi IT enterprise non sono più semplici "vicini" dell'OT. Secondo i ricercatori Lexie Mooney e Abdulrahman H. Alamri di Dragos, "piattaforme come gli ERP, l'infrastruttura di virtualizzazione, i servizi di identità e i gateway di accesso remoto rappresentano target ad alto valore perché la loro compromissione può rapidamente propagarsi in arresti produttivi e impatti sulla supply chain". Questa è la dipendenza funzionale: gli operatori industriali usano l'ERP per pianificare la produzione, le stazioni HMI virtualizzate per monitorare i processi, Active Directory per gestire gli accessi, le VPN per la manutenzione remota. Quando questi pilastri crollano, l'impianto non può più operare in sicurezza anche se i PLC sono intatti.

Il caso di Mackay Sugar è emblematico. Il 10 giugno 2026 il gruppo ha subito un attacco che ha portato all'arresto della produzione. Dragos ha analizzato l'incidente e non ha trovato evidenza che gli attaccanti abbiano raggiunto i sistemi ICS o manipolato direttamente l'OT. La fonte non stabilisce con certezza se lo shutdown sia stato causato direttamente dall'attacco o dalle misure di contenimento post-intrusione. Il risultato, però, è identico: giorni di fermo produttivo, costi operativi, rottura di contratti di fornitura.

I numeri del Q2 2026: manifattura e Nord America in prima linea

Del totale di 1.140 incidenti, 747 — il 65% — hanno colpito il settore manufacturing. La distribuzione geografica conferma la concentrazione nordamericana: 514 incidenti in Nord America (+34 rispetto al Q1), con gli Stati Uniti che da soli rappresentano il 38% del totale mondiale (431 incidenti). L'Europa registra 316 casi (+64), con una crescita particolarmente marcata in Germania: da 37 a 68 incidenti, di cui il 76% nel manufacturing.

La geografia riflette la struttura industriale, ma anche la maturità delle pubblicazioni: Dragos specifica che i dati derivano da "publicly disclosed victim data and posts made by ransomware groups on their data leak sites". Non è quindi un conteggio di incidenti sconosciuti, ma una misura delle rivendicazioni esposte pubblicamente. Il bias di reporting è noto, ma il trend quarter-over-quarter rimane indicativo della pressione crescente.

"Il rischio per le organizzazioni industriali è plasmato meno da nuovi malware specifici per gli ICS e più dalla focalizzazione degli avversari sui sistemi IT enterprise che sostengono gli ambienti OT"

Questa citazione dei ricercatori Dragos sintetizza il cambio di paradigma. Il ransomware non ha bisogno di firmware esotico per i controllori Schneider o Siemens. Ha bisogno di credenziali compromesse, VPN vulnerabili e piattaforme di collaborazione enterprise.

Le tattiche dei tre gruppi più attivi

Qilin, Akira e The Gentlemen hanno rivendicato rispettivamente 140, 129 e 125 vittime industriali nel Q2. Le tattiche si sovrappongono ma non coincidono. Qilin utilizza credenziali compromesse e infrastruttura internet-facing vulnerabile; questo pattern è corroborato da un caso specifico documentato separatamente, in cui un affiliato Qilin ha sfruttato la CVE-2026-50751 (CVSS 9.3 CRITICAL, secondo NVD) su dispositivi Check Point VPN via IKEv1. Akira si concentra su dispositivi VPN compromessi, The Gentlemen su edge devices.

Il vettore di accesso iniziale mostra un'evoluzione significativa. Il social engineering è stato il tema di accesso iniziale più consistentemente riportato del trimestre, ma ha cambiato pelle: da email a "impersonazione interattiva su piattaforme di collaborazione enterprise", nello specifico Microsoft Teams. Gli attaccanti non scrivono più email con allegati malevoli; entrano nelle chat, si spacciano per colleghi, richiedono azioni immediate. La piattaforma collaborativa diventa così un canale di attacco diretto, sfruttando la familiarità dell'utente con l'interfaccia.

L'estorsione, parallelamente, migra dalla cifratura file al furto dati. La doppia estorsione — pubblicazione dei dati rubati se il riscatto non viene pagato — è ormai lo standard, anche se il report Dragos non quantifica il tasso di successo di questa strategia.

Cosa fare adesso

Il report Dragos conclude con un principio operativo preciso: le organizzazioni devono assumere che "tutti gli asset esposti a Internet siano individuabili e attivamente ricercati dagli avversari, rendendo la gestione continua della superficie di attacco esterna una necessità". Quattro direzioni emergono dai dati:

• Mappare le dipendenze IT-to-OT: identificare quali sistemi IT enterprise (ERP, server di virtualizzazione, controller di dominio, gateway VPN) sono single point of failure per l'operatività OT; la loro indisponibilità deve essere trattata come rischio di interruzione produttiva, non solo di perdita dati.
• Estendere il monitoring ai "ponti funzionali": le connessioni ERP-to-OT per flussi dati di pianificazione, le sessioni remote di manutenzione, le autenticazioni operatori richiedono visibilità equivalente a quella dei protocolli industriali.
• Segmentare oltre il firewall: la segmentazione IT/OT riduce il rischio di propagazione laterale, ma non elimina la dipendenza funzionale; CISA ha documentato questo principio in guida e infografica dedicata. La segmentazione va affiancata dalla resilienza dei sistemi IT che alimentano decisioni operative.
• Rivedere le difese sul vettore Teams: l'impersonazione interattiva su piattaforme di collaborazione richiede controlli di identità e verifica out-of-band che vadano oltre il riconoscimento visivo del nome utente.

Il confine del perimetro si sposta verso l'alto

La lettura del report è inequivocabile: il perimetro di sicurezza industriale non è più la rete dei controllori. È l'intera catena dei sistemi che rende possibile l'operatività dell'impianto, dalla pianificazione in ERP alla manutenzione remota. Investire in sicurezza IT aziendale — attiva da decenni nel settore finanziario e tech — diventa produttivo per la continuità operativa industriale in modo diretto e misurabile.

Il caso Mackay Sugar non è un'anomalia, ma un template. L'attacco era "ordinario" nel senso che non ha richiesto conoscenze di protocolli Modbus o OPC-UA. Ha richiesto accesso a sistemi IT standard, sufficiente per costringere un arresto di linea. Per le aziende che ancora considerano l'air gap o il firewall IT/OT come soluzione definitiva, il Q2 2026 offre una correzione di rotta obbligata.

Fonti

• https://www.helpnetsecurity.com/2026/08/11/industrial-ransomware-attacks-q2-2026/
• https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• https://www.shopify.com/enterprise/blog/retail-cybersecurity
• https://www.cve.org/CVERecord?id=CVE-2026-72898
• https://www.helpnetsecurity.com/2026/06/08/check-point-cve-2026-50751-qilin-ransomware/
• https://www.helpnetsecurity.com/2026/07/10/financial-identity-security-trends-report/
• https://www.cisa.gov/stopransomware/ransomware-guide
• https://www.cisa.gov/sites/default/files/publications/layering-network-security-segmentation_infographic_508_0.pdf

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti