Ransomware Q2 2026: 2.139 vittime e il crollo del pagamento al…

Il ransomware non rallenta ma si frammenta: 93 gruppi attivi nel secondo trimestre 2026, contro i 71 di inizio anno. La quota del top-10 crolla al 57,6% mentre l'AI

Il secondo trimestre 2026 ha confermato che il ransomware non è in declino assoluto, ma ha accelerato una trasformazione strutturale. Le piattaforme di data leak hanno registrato 2.139 vittime, praticamente invariato rispetto ai 2.122 del primo trimestre (+0,8%) ma in aumento del 33% su base annua, secondo Check Point Research. Il dato rilevante non è il volume, bensì la distribuzione: il numero di gruppi attivi è salito da 71 a 93, nuovo record, e la quota del top-10 è scesa dal 71% al 57,6%.

La frammentazione coincide con due fenomeni convergenti documentati dalle stesse fonti. Il tasso di pagamento del riscatto è sceso a circa il 23%, contro l'85% del 2019, in calo per sei anni consecutivi. Contemporaneamente, i pagamenti on-chain ransomware hanno superato gli 820 milioni di dollari nel 2025, secondo le analisi di Check Point Research: un'apparente contraddizione che si spiega con la crescente specializzazione tra gruppi che puntano su volumi elevati e gruppi che mirano a un numero ristretto di bersagli ad alto valore.

Punti chiave

2.139 vittime su data leak sites in Q2 2026: flat trimestrale, +33% anno su anno; il ransomware non rallenta ma si distribuisce su più attori
93 gruppi attivi rappresentano un nuovo record, con il top-10 che scende al 57,6% delle vittime dal 71% di Q1: democratizzazione del threat landscape
The Gentlemen ha raggiunto 269 vittime (+62%), superando Qilin nel solo mese di giugno con un core team di circa 9 persone
Il tasso di pagamento è crollato al 23%, spingendo gli operatori verso data-theft extortion e riducendo la finestra di exploitation a ore dalla disclosure

Il crollo del tasso di pagamento e la risposta dei gruppi

Il declino strutturale del pagamento rappresenta il fattore di maggiore impatto strategico. Un'organizzazione su quattro paga oggi il riscatto, contro le quattro su cinque di sei anni fa. Questa contrazione ha reso l'estorsione basata esclusivamente sulla cifratura meno redditizia, spingendo i gruppi a ricalibrare il modello economico.

Check Point Research documenta un mercato dei pagamenti "splitting": la media dei riscatti sale, mentre la mediana scende. "Average payments are rising even as the median falls, a sign that large enterprises keep paying heavily while the mid market increasingly holds firm or settles small", riporta il report dedicato. La lettura è che le grandi imprese continuano a pagare cifre significative, mentre il mid-market resiste o negozia importi ridotti. Il dato posiziona i backup come misura insufficiente: anche chi ripristina i sistemi senza pagare rimane esposto alla pubblicazione dei dati sottratti.

La transizione da encryption-based extortion a data-theft extortion è irreversibile per design. Una volta esfiltrati, i dati non possono essere "recuperati" dal bersaglio: l'unica leva del difensore diventa la capacità di rilevare l'exfiltration prima che completi il ciclo, o di ridurre la superficie di attacco iniziale.

"The barriers to building a serious ransomware business have narrowed enough that one experienced operator can reach the top tier in months."

The Gentlemen: un modello organizzativo compresso dall'AI

I leaked chat logs di The Gentlemen hanno offerto una rara visibilità su un'operazione top-tier. Il gruppo, passato da meno di 170 a 269 vittime nel trimestre (+62%), ha superato Qilin nel mese di giugno con un core team di circa 9 persone. La struttura operativa prevede uno split 90/10 con gli affiliati, descritto da Check Point Research come il "highest cut advertised in the market" per un'operazione di questa dimensione.

L'elemento tecnologicamente rilevante è la costruzione del pannello di gestione ransomware in circa tre giorni da parte dell'amministratore Zeta88, utilizzando AI coding assistants. La stessa fonte riporta l'ammissione candida dell'operatore: gli strumenti richiedono comunque qualcuno che comprenda il codice a sufficienza per guidare e correggere l'output. L'AI non sostituisce la competenza, ma la comprime: riduce il numero di persone necessarie per raggiungere un dato livello di sofisticazione.

Il confronto con le operazioni RaaS tradizionali come DarkSide o REvil evidenzia la contrazione del modello industriale. Dove un'organizzazione criminale strutturata richiedeva decine di operatori specializzati, The Gentlemen dimostra che un "solopreneur" esperto con assistente AI può costruire e scalare un'operazione professionale in mesi, non anni. Il meccanismo di accesso iniziale resta costante — scanning VPN, brute force, credenziali brokerate — ma la velocità di weaponization delle vulnerabilità si è ridotta drasticamente.

La finestra di exploitation si misura in ore

Il report di ricerca dedicato documenta che "the gap between disclosure and exploitation is now measured in hours". L'AI è citata come accelerante in questo processo, non per l'autonomia operativa ma per la rapidità con cui tooling e payload possono essere adattati a nuove vulnerabilità. La compressione temporale riduce il margine di manovra per il patching e amplifica il valore della detection comportamentale rispetto alla sola gestione delle vulnerabilità.

La distribuzione geografica delle vittime mostra uno spostamento parziale. La quota USA è scesa dal 50% al 42% trimestre su trimestre, in parte perché The Gentlemen e Krybit targettizzano meno il mercato americano. Il dato non indica una contrazione assoluta degli attacchi negli Stati Uniti, ma una diversificazione geografica che allarga ulteriormente la superficie di monitoraggio necessaria per le difese.

Le azioni delle forze dell'ordine nel secondo trimestre si sono concentrate su infrastrutture condivise: piattaforme di money laundering, exchange sanzionate, servizi di firma malware, reti di infostealer. Check Point Research annota esplicitamente che "None of that shows up as a drop in Q2's victim count": la pressione investigativa non si è tradotta in una riduzione documentabile delle vittime, almeno nell'arco temporale osservabile.

Cosa fare adesso

Riallocare risorse dalla recovery post-encryption alla detection di exfiltration: il backup rimane necessario ma non sufficiente contro il data-theft extortion
Ridurre la dipendenza dagli IOC di specifici gruppi a favore di pattern comportamentali: la frammentazione rende il targeted attribution meno scalabile
Contrarre i tempi di risposta al patching: con exploitation window di ore, la gestione vulnerabilità tradizionale a ciclo settimanale o mensile genera finestra di esposizione inaccettabile
Valutare la visibilità sul traffico dati in uscita, non solo su quello in entrata: l'exfiltration è il nuovo punto di leva degli estorsori

Il vero rischio è la democratizzazione, non l'automazione

La lettura principale dei dati Q2 2026 è che il pericolo non risiede in un'AI che "attacca da sola", ma in un'AI che abbassa il capitale umano necessario per costruire operazioni professionali. Più gruppi attivi significano più vettori di accesso, più variazioni di tooling, più imprevedibilità nella superficie di attacco. Per le organizzazioni difensive, il problema non è più tracciare una dozzina di attori noti ma gestire una popolazione di quasi cento gruppi con cicli di vita potenzialmente brevi.

Il calo del tasso di pagamento al 23% suggerisce che una parte crescente dei bersagli ha maturato la resilienza tecnica per resistere all'estorsione. La domanda è se questa resilienza si estenda anche alla capacità di rilevare e contenere l'exfiltration, o se la transizione verso data-theft extortion esporrà un nuovo punto debole nel modello difensivo dominante.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti