Un aumento difficile da misurare
Negli ultimi mesi le rivendicazioni di attacchi ransomware pubblicate sui siti di leak sono aumentate, secondo i ricercatori che si occupano di tracciare e deduplicare questi dati. Alcune stime citate da Wired collocano quasi 3.000 attacchi rivendicati nell'arco dell'estate, con una crescita del 20-40 per cento rispetto alla primavera. Il conteggio resta incerto: le vittime non sempre denunciano gli incidenti e gli attaccanti gonfiano le proprie cifre.
Cynthia Kaiser, ex vicedirettrice cyber dell'FBI e oggi responsabile della ricerca per la piattaforma anti-ransomware Halcyon, indica che la parte più nuova dell'aumento è di natura internazionale: gli Stati Uniti restano su livelli stabili ma elevati, mentre all'estero si registrano molti più attacchi. Secondo Kaiser questo fenomeno è in parte alimentato dall'IA.
Dove l'IA entra nella catena d'attacco
Non sono ancora emersi attacchi ransomware interamente automatizzati. I ricercatori ipotizzano che il modello di business criminale funzioni già bene senza. L'IA viene invece impiegata in passaggi specifici: la scrittura di email di phishing più convincenti e la gestione delle trattative. Allan Liska, analista di threat intelligence di Recorded Future, sottolinea che i gruppi di maggiore successo restano in gran parte gestiti da persone, ma sperimentano intensamente con l'IA, il che potrebbe cambiare rapidamente lo scenario.
Kaiser collega la tendenza alle truffe in generale, perché gli attaccanti usano tecniche di phishing e ingegneria sociale simili per ottenere l'accesso iniziale. Cita il caso del Giappone, dove le truffe andate a segno sono aumentate drasticamente negli ultimi mesi perché l'IA permette ad attaccanti stranieri di generare contenuti convincenti in giapponese per la prima volta.
Più gruppi, operatori isolati e frammentazione
Accanto a gruppi affermati e stabili come Gentlemen, Qilin e Akira, secondo Wired si muovono formazioni più piccole e nuovi attori. L'analisi di Halcyon rileva circa 111 gruppi che hanno rivendicato attacchi tra luglio e settembre. La società di sicurezza ReliaQuest riferisce che un nuovo gruppo, Global Secret Group, ha rivendicato 48 vittime, oltre la metà elencate lo stesso giorno, mentre un altro, Storm, ne ha elencate 71 in venti giorni. Non tutte le rivendicazioni potrebbero essere reali, ma alimentano comunque incertezza per le imprese.
Brandon Tirado, direttore della threat research di ReliaQuest, attribuisce la crescita dell'accelerazione offerta dall'IA, che consente agli attaccanti di avviare gruppi propri anziché dipendere dai fornitori di ransomware-as-a-service. Il suo team ha identificato dietro un nuovo gruppo un adolescente inesperto che avrebbe incassato oltre 800.000 dollari in meno di due settimane. Kaiser ritiene incerto il successo di lungo periodo di questi nuovi arrivati: molti potrebbero emergere e poi esaurirsi per mancanza di conoscenze consolidate e risorse.
Un possibile effetto riguarda le modalità di attacco. I gruppi affermati conducono tipicamente la doppia estorsione, cifrando i sistemi e sottraendo dati da minacciare di pubblicazione. Chi opera in modo isolato potrebbe puntare solo sull'estorsione dei dati per semplificare le operazioni. Liska osserva che il numero di attacchi visti da Recorded Future quest'anno supera già il totale del 2025, ma i casi con cifratura potrebbero diminuire rispetto all'anno precedente. Resta da verificare l'entità reale del fenomeno e la sostenibilità dei nuovi gruppi.
