Proofpoint: per il 59% delle aziende italiane colpite da ransomware, l’AI ha reso gli attacchi più efficaci

Proofpoint ha pubblicato il suo AI-Era Ransomware Report 2026, che rivela come l’intelligenza artificiale stia decretando il successo del ransomware, aiutando gli attaccanti a creare campagne di phishing, impersonificazione e furto di credenziali decisamente più convincenti. Secondo questo studio globale, quasi due terzi (59%) delle aziende italiane colpite da ransomware ha dichiarato che l’AI ha aumentato l’efficacia degli attacchi, confermando un trend più ampio in cui il ransomware ha successo sfruttando principalmente persone, identità e comunicazioni fidate. Pur leggermente inferiore rispetto a quello globale del 65%, il dato italiano conferma la criticità di un problema che riguarda ogni area geografica e ogni settore di business.

Basata su un sondaggio condotto su 953 professionisti della cybersecurity in 12 Paesi, la ricerca dimostra come il ransomware moderno si sia evoluto, andando ben oltre il semplice evento di cifratura dei sistemi, trasformandosi in una campagna di estorsione prolungata. Prima di distribuirlo, gli attaccanti rubano credenziali e dati sensibili, utilizzano comunicazioni attendibili per ottenere l’accesso iniziale ed esercitano una pressione costante attraverso ripetute richieste di riscatto. Tra i principali risultati globali del AI-Era Ransomware Report 2026 di Proofpoint si segnalano:

Le persone rappresentano la principale superficie d’attacco per il ransomware, e l’AI sta peggiorando la situazione. Grazie all’intelligenza artificiale, i cybercriminali possono creare esche di phishing più convincenti, scrivere messaggi di impersonificazione mirati e compiere una ricognizione più rapida delle strutture organizzative e dei modelli di comunicazione. Tra le aziende italiane che hanno subìto un attacco ransomware, per il 17% l’AI ha aumentato l’efficacia dell’attacco “in modo significativo” e per il 42% “in qualche misura”, mentre l’11% non ha riscontrato alcuna prova dell’uso di AI.

I principali metodi di accesso dipendono dal fattore umano. Quando le aziende italiane hanno identificato il principale punto di ingresso dei propri incidenti ransomware, i risultati hanno indicato in modo schiacciante l’interazione umana. E-mail di phishing e altri attacchi di social engineering basati sulla posta elettronica sono stati il vettore di ingresso iniziale nel 42% dei casi. Gli allegati dannosi (50%) sono stati identificati come la minaccia iniziale più comune, seguiti da link malevoli (36%) e dalla compromissione delle e-mail aziendali (BEC - Business Email Compromise, 31%). Ciò dimostra che oggi le campagne ransomware di maggior successo continuano a fare affidamento su comunicazioni fidate e sull’interazione dell’utente lungo tutto il ciclo di vita dell’attacco.

Il pagamento peggiora la situazione, non la risolve. Nonostante forze dell’ordine e agenzie di sicurezza da anni sconsiglino ogni forma di pagamento, tra le aziende italiane colpite, quasi una su cinque (19%) ha pagato un riscatto. Tuttavia, quasi un terzo (29%) di esse si è trovato di fronte a una seconda richiesta di estorsione, confermando così l’evoluzione del ransomware da singolo evento di pagamento a trattativa continua in cui i cybercriminali sfruttano diverse forme di pressione: cifratura persistente, dati rubati e minaccia di divulgazione pubblica.

La cifratura non è più l’obiettivo finale. Poco meno della metà (47%) delle aziende italiane ha confermato la sottrazione di dati durante l’incidente. Le odierne campagne ransomware non mirano tanto a bloccare i sistemi quanto ad acquisire dati, identità e accessi persistenti, che possono poi essere monetizzati attraverso richieste ripetute, venduti nei mercati criminali o utilizzati come trampolino di lancio per attacchi secondari.

Gli attacchi hanno successo attraverso la manipolazione. Quando è stato chiesto agli intervistati italiani perché l’attacco ransomware fosse riuscito ad aggirare i controlli esistenti, il 44% ha risposto che i dipendenti non ne hanno sospettato perché appariva autentico, mentre il 33% ha attribuito l’incidente all’interazione degli utenti con contenuti dannosi. Questo dimostra come l’AI stia rendendo l’ingegneria sociale sempre più difficile da distinguere dalle comunicazioni aziendali legittime.

L’impatto del ransomware varia da paese a paese.  L’Italia ha registrato tassi inferiori di efficacia degli attacchi potenziati dall’AI (59%) e di pagamento dei riscatti (19%), ma una percentuale più elevata di furti confermati di dati sensibili (44%). Analizzando i dati a livello globale, l’interazione dell’utente come fattore di elusione dei sistemi di sicurezza è stata più elevata in Giappone (49%), India (49%) e Singapore (48%). In questi mercati, la modalità di fallimento più comune è stata l’interazione diretta degli utenti con i contenuti dannosi, invece dell’inganno dovuto all’impersonificazione.

Questi risultati, evidenzia una nota, confermano che le aziende non possono più considerare il ransomware principalmente come un problema di malware. Poiché l'AI rende phishing, impersonificazione e furto di credenziali sempre più convincenti, prevenire il ransomware implica la protezione di persone, identità e comunicazioni fidate prima ancora che gli attaccanti riescano a raggiungere gli endpoint.

“L’AI non ha cambiato radicalmente il ransomware, ma ha migliorato concretamente gli attacchi che conducono al ransomware. Oggi gli attaccanti usano l’AI per creare email di phishing estremamente convincenti, componenti malware come script e campagne di furto di credenziali che sfruttano la fiducia umana su scala. Le aziende che continuano a trattare ransomware ed estorsione di dati come problemi legati esclusivamente agli endpoint o al ripristino stanno trascurando l’elemento da cui questi attacchi quasi sempre partono: le persone, le identità e le comunicazioni attendibili”, commenta Ryan Kalember, Chief Strategy Officer di Proofpoint (ritratto nella foto di apertura).