Il ransomware continua a rappresentare una delle minacce più pervasive e dannose nel panorama della cybersecurity globale. Nel consueto report “DarkMirror” realizzato dal laboratorio di intelligence DarkLab di Red Hot Cyber, relativo al primo semestre del 2025, gli attacchi ransomware hanno mostrato un’evoluzione significativa sia nelle tecniche utilizzate che negli obiettivi colpiti. Questo report offre una panoramica delle principali tendenze emerse, con un focus sui dati quantitativi e sulle implicazioni per la sicurezza informatica.

Vengono analizzati i trend italiani e globali della minaccia ransomware relativi al secondo semestre del 2025, con un focus sulle tendenze emergenti, le tattiche dei gruppi criminali e l’impatto sui vari settori. In ambito Threat Actors si da spazio alle nuove minacce (insiders), ai modelli di affiliazione e monetizzazione, all’evoluzione dei servizi RaaS, alle operazioni delle forze dell’ordine, agli Initial Access broker (IaB) e alle CVE (Common Vulnerabilities and Exposures) e ai metodi di mitigazione.

Il report è stato realizzato dal gruppo DarkLab e nello specifico da Pietro Melillo, Luca Stivali, Edoardo Faccioli, Raffaela Crisci, Alessio Stefan, Inva Malaj e Massimiliano Brolli.

Scarica DarkMirror H1-2025: Report sulla minaccia ransomware

Trend Ransomware a livello globale

Il fenomeno del ransomware nel 2025 ha continuato a rappresentare una minaccia persistente e in crescita (Come visto nell’estratto di Pietro Melillo e Inva Malaj), colpendo indistintamente sia economie sviluppate che in via di sviluppo. Secondo i dati raccolti da Dark Lab, sono state documentate 3535 vittime di attacchi a livello globale, con un aumento di circa 1000 incidenti rispetto al H1 2024. Si tratta di un numero che rappresenta solo una frazione della reale portata del problema. Gli Stati Uniti si confermano il paese più colpito, con 1861 vittime documentate, seguiti da Canada 202, Regno Unito 152 e Germania 145.

L’industria e i servizi emergono come i settori economici più bersagliati dagli attacchi ransomware. Con 595 attacchi registrati, il comparto industriale è quello maggiormente colpito, a causa delle vulnerabilità presenti nelle sue infrastrutture IT. Il settore dei servizi segue con 580 attacchi, evidenziando rischi significativi nella gestione dei dati critici. Anche il Retail con 371 e le costruzioni con 310 sono settori particolarmente esposti.

In conclusione, il ransomware si conferma come uno dei business più consolidati e redditizi delle underground criminali, senza mostrare segnali di flessione, come evidenziato dalle tendenze di questo report. Ciò dimostra che, nonostante i consistenti sforzi messi in campo dalle organizzazioni negli ultimi anni, questa minaccia resta tra le più insidiose, con cui le aziende sono costrette a confrontarsi quotidianamente.

[strong]Scarica DarkMirror H1-2025: Report sulla minaccia ransomware[/strong]

Trend Ransomware a livello Italia

Nel periodo di osservazione sono stati documentati 85 attacchi ransomware documentati in Italia, sottolineando l’urgenza di rafforzare la sicurezza nei settori più vulnerabili. L’attività ransomware si concentra principalmente nei comparti industriale e dei servizi, considerati priorità dai threat actor, mentre pubblica amministrazione, sanità ed educazione, pur meno colpiti, restano a rischio.

Pochi gruppi dominano il panorama, con Akira in testa e altri come Qilin e Sarcoma attivi in modo significativo, accompagnati da una serie di attori meno frequenti ma costanti.

Il gruppo Akira si distingue come il threat actor più attivo, responsabile di 15 attacchi. Seguono Qilin con 9 attacchi, Sarcoma con 8, quindi Fog e Ransomhub entrambi con 5 attacchi. Lockbit3 totalizza 4 attacchi, mentre Dragonforce e Lynx si attestano su 3 attacchi ciascuno. Nova e Arcusmedia chiudono la classifica con 2 attacchi ciascuno.

[strong]Scarica DarkMirror H1-2025: Report sulla minaccia ransomware[/strong]
Heatmap – Distribuzione Attacchi Ransomware Top10 Gruppi (H1 2025) La heatmap offre una lettura immediata sulla concentrazione e la diversificazione delle campagne ransomware condotte dai dieci principali gruppi criminali nel primo semestre 2025.

Settori Coinvolti

Dall’analisi settoriale, il ransomware mostra una netta predilezione per il settore industriale, che risulta il più colpito a livello mondiale con 595 attacchi. Segue il settore dei servizi (580 attacchi) e quello retail (371 attacchi), dimostrando che gli attacchi non risparmiano le infrastrutture critiche e i servizi essenziali.

Salgono tra i primi posti anche i settori della costruzione (310 attacchi) e della finanza (277 attacchi), evidenziando una preoccupazione crescente per la sicurezza e la resilienza di questi settori.

Il settore sanitario, con 164 attacchi, rimane particolarmente vulnerabile, ma è preceduto dai settori industriale, dei servizi, retail, costruzione, finanza e tecnologia (180 attacchi). Anche il settore pubblico, dei trasporti e legale sono frequentemente bersagliati, mostrando come la dipendenza dalle tecnologie digitali e la gestione dei dati siano fattori che aumentano l’attrattività per i criminali informatici.

[strong]Scarica DarkMirror H1-2025: Report sulla minaccia ransomware[/strong]

Conclusioni

Il 2024 e’ stato un anno di grandi cambiamenti per l’ecosistema che alimenta il ransomware ed altre minacce digitali. Operazioni da parte di agenzie ed intelligence governative hanno impattato pesantemente RaaS come LockBit, campagne infostealer e Malware-as-a-Service oltre ad effettuare arresti su (parte) dei responsabili dietro a queste azioni. Il leak del backend di LockBit (oltre ad analisi sui wallet dei RaaS) ha fatto riflettere diversi analisti sul declino dei pagamenti dei riscatti che ha portato ad un incremento dei file rubati alle vittime pubblicati sui DLS dei gruppi come previsto dal modello di estorsione perpetrato dagli attaccanti, questo a portato ad uno spike sul numero di vittime (visibili) osservate dai diversi threat analysts. In tale report mostreremo la nostra analisi su tali movimenti cercando di ridimensionare la minaccia che nonostante le risposte da parte delle forze dell’ordine sembra non abbia nessuna intenzione di lasciare la scena.

Il ransomware rimane tuttora una delle minacce più persistenti ed impattanti sulla scena che riesce ad evolversi non solo a livello operativo ma anche per business model avanzando alternative per incentivare gli operatori a portare avanti le loro campagne. La nascita di realta’ come DragonForce fanno emergere un approccio proattivo al compensare la decadenza di RaaS come ALPHV/BlackCat e LockBit cercando di recuperare la fetta di mercato e gli affiliati che si stanno spargendo nei RaaS esistenti o creando dei nuovi.

Collettivi come Cl0p e Hunters stanno cambiando la loro metodologia ed approccio per la monetizzazione rimuovendo l’uso del loro ransomware (Hunters) o focalizzandosi sulla scoperta, creazione ed uso di 0-day su larga scala (Cl0p). Gli attori in gioco stanno mostrando una resistenza fuori dal comune che va ben oltre il semplice rebranding alla quale eravamo abituati negli anni precedenti e questo, unito alla frammentazione dei diversi RaaS, rende difficile la protezione dalle campagne in corso vista la loro natura silenziosa e di difficile scoperta tecnico-operativa. L’altra faccia della medaglia porta l’attenzione su attori non meglio identificati che portano avanti azioni di depistaggio attivo ai RaaS (come il leak di LockBit e deface di Everest) donando alla comunità infosec materiale prezioso per le analisi.

Oggi più che mai, vista la complessità dello scenario, bisogna affiancare l’informazione sulle minacce ad ogni livello tecnico dei difensori per poter rispondere in maniera adeguata ai mutamenti del mondo ransomware. Inoltre non possiamo non appoggiare le operazioni delle forze dell’ordine che, seppur non portino a sopprimere completamente il modello RaaS, riescono ad irrompere e sabotare le funzioni di RaaS e MaaS cercando di disincentivare o fermare i responsabili creando un clima sempre più avverso per loro. Nonostante alcuni specifici individui non possono essere raggiunti (per motivi geografici, politici o tecnici), altri componenti chiave (eg:/ sviluppatori, negoziatori, operatori, affiliati) sono stati fermati e gestiti dalla giustizia.

La prima meta’ del 2025, nonostante la (apparente) decadenza nel pagamento dei riscatti e le attività di polizia/intelligence, ha messo a dura prova le minacce che seppure alcuni casi isolati siano stati disarmati riescono comunque a mantenere un ambiente florido per le loro attività sottolineando per le organizzazioni l’importanza della sicurezza informatica che deve essere presente e continuativa nel tempo.

In conclusione, il ransomware si conferma come uno dei business più consolidati e redditizi delle underground criminali, senza mostrare segnali di flessione, come evidenziato dalle tendenze di questo report. Ciò dimostra che, nonostante i consistenti sforzi messi in campo dalle organizzazioni negli ultimi anni, questa minaccia resta tra le più insidiose, con cui le aziende sono costrette a confrontarsi quotidianamente.

Scarica DarkMirror H1-2025: Report sulla minaccia ransomware

L'articolo Esce DarkMirror H1 2025. Il report sulla minaccia Ransomware di Dark Lab proviene da il blog della sicurezza informatica.