Il ransomware scala le gerarchie aziendali: i manager sono i bersagli principali.

Quando un attacco ransomware finisce sui giornali, l'attenzione si concentra solitamente sull'organizzazione che è stata violata, i sistemi cifrati, i dati rubati e le conseguenti interruzioni o richieste di riscatto. Si sa ben poco, se non nulla, sui dipendenti compromessi all'inizio dell'attacco e su cosa renda queste persone obiettivi appetibili.

Una nuova ricerca di Zscaler ThreatLabz analizza questa fase iniziale di un attacco ransomware reale. ThreatLabz ha identificato le vittime di una campagna associata a un gruppo ransomware noto per ottenere l'accesso iniziale, rubare grandi quantità di dati aziendali e cifrare selettivamente i sistemi critici. I risultati mostrano chi erano le vittime e come i loro ruoli e la loro autorità avrebbero potuto aiutare un aggressore a infiltrarsi più a fondo in un'organizzazione.

Questo fa parte di una ricerca in corso sui ransomware condotta da ThreatLabz. Il report di Zscaler ThreatLabz sui ransomware del 2026, in uscita nei prossimi due mesi, includerà dati aggiuntivi sulle vittime, le ultime tendenze, gli obiettivi e le tattiche dei ransomware, oltre a informazioni sui rischi a cui le aziende dovrebbero prepararsi.

I principali risultati in sintesi

Nell'arco di un mese, ThreatLabz ha identificato 351 vittime in 334 organizzazioni collegate a un'unica campagna ransomware.

• Il 62% delle vittime ricopriva posizioni dirigenziali o superiori.
• Circa il 75% delle vittime lavorava nei settori di contabilità e finanza, vendite, operazioni, risorse umane o marketing.
• Il 44% delle vittime erano membri della Generazione X; l'età media era di 46 anni.
• Il 50% lavorava per aziende del settore industriale o delle tecnologie dell'informazione.
• In oltre dieci organizzazioni ci sono stati più utenti compromessi

I denominatori comuni: management, denaro e accesso al business

I risultati suggeriscono che le vittime non sono state selezionate a caso. La maggior parte ricopriva posizioni dirigenziali o lavorava in settori aziendali che potevano fornire un accesso utile per stabilire una presenza, raggiungere ulteriori utenti e sistemi, rubare informazioni sensibili e aumentare la pressione attraverso l'estorsione e la crittografia dei dati.

I dipendenti con ruoli dirigenziali sono stati i più presi di mira: 62%

Quasi due terzi delle vittime ricoprivano ruoli dirigenziali o superiori. I team di sicurezza spesso definiscono gli utenti privilegiati come amministratori e altri soggetti con accesso elevato. Gli autori degli attacchi ransomware prendono di mira anche i dipendenti che godono di privilegi aziendali, ovvero l'accesso e l'autorità derivanti dai loro ruoli e dalle loro relazioni.

Il valore di un account dirigenziale compromesso risiede nell'ampiezza dell'accesso al business associato alla posizione ricoperta. I manager possono approvare i pagamenti, supervisionare budget e fornitori, esaminare i contratti, accedere a documenti riservati o coordinare il lavoro tra le diverse unità aziendali.

La generazione X ha rappresentato la quota maggiore di vittime: il 44%

Le vittime avevano un'età compresa tra i 23 e i 70 anni, con un'età media di 46 anni. La percentuale significativa di vittime appartenenti alla Generazione X potrebbe dipendere meno dall'età in sé e più dalla fase della carriera in cui molte di loro si trovano. I dipendenti della Generazione X hanno maggiori probabilità di ricoprire posizioni dirigenziali o di livello superiore, come descritto in precedenza, il che consente agli aggressori di accedere a sistemi, dati e potere decisionale.

La maggior parte delle vittime lavorava in cinque funzioni aziendali importanti: 75%

Circa tre quarti delle vittime lavoravano in cinque funzioni aziendali: contabilità e finanza, vendite, operazioni, risorse umane e marketing.

I dipendenti di contabilità e finanza (17,7%) possono avere accesso a fatture, pagamenti, approvazioni, dati bancari e registri dei fornitori. I team delle vendite (17,4%) lavorano con gli account dei clienti, i prezzi, i contratti e le trattative in corso. I team delle operazioni (16,8%) spesso coordinano fornitori e unità aziendali. Gli utenti compromessi che ricoprono questi ruoli possono fornire agli aggressori informazioni sensibili, tra cui dati finanziari, sistemi di pagamento e contratti cruciali per l'organizzazione.

Metà delle vittime lavorava nel settore industriale o informatico: 50%

La distribuzione delle vittime per settore comprende diversi comparti, con il settore industriale e quello IT che rappresentano rispettivamente il 35,5% e il 14,6%.

Per i gruppi ransomware, i dipendenti di organizzazioni industriali possono fornire l'accesso a sistemi critici di produzione, distribuzione o logistica. Nel settore dell'informatica, gli account compromessi possono esporre la proprietà intellettuale e le piattaforme utilizzate per fornire servizi digitali. L'interruzione di questi sistemi può rapidamente generare pressioni operative e finanziarie. La crittografia di una piattaforma di produzione, di logistica o di erogazione di servizi potrebbe interrompere l'attività aziendale e i ricavi, mentre i dati operativi o tecnici rubati potrebbero essere utilizzati per rafforzare le richieste estorsive.

Chi sono le vittime

I profili che seguono sono esempi concreti delle vittime rappresentate nella ricerca.

Questi dipendenti non necessitano di diritti di amministratore per creare seri rischi aziendali. Il loro accesso quotidiano può fornire agli aggressori un percorso verso dati sensibili, processi finanziari e operativi, applicazioni aziendali e comunicazioni interne.

Rafforzare le difese contro i ransomware per i ruoli manageriali

I ruoli manageriali richiedono misure di protezione specifiche, in grado di tenere conto delle modalità con cui gli aggressori prendono di mira i dipendenti e di ciò a cui possono accedere una volta compromesso un account. Poiché l'intelligenza artificiale rende la ricognizione, la personalizzazione e l'impersonificazione più rapide e convincenti, gli autori di ransomware possono prendere di mira questi dipendenti con meno segnali di allarme evidenti. A tal fine, le priorità principali per i team di sicurezza includono: 

• Limitare le comunicazioni esterne sulle piattaforme di collaborazione. Bloccare messaggi e chiamate indesiderati provenienti da utenti esterni su piattaforme come Microsoft Teams e Slack.
• Preparare i dipendenti ad affrontare eventuali tentativi di impersonificazione. Formare gli utenti affinché verifichino le richieste insolite provenienti da presunti membri del personale IT attraverso i canali di comunicazione interni affidabili e le informazioni presenti nella directory aziendale prima di intraprendere qualsiasi azione.  
• Implementare una protezione inline contro le minacce di rete e la sicurezza degli endpoint. Utilizzare soluzioni di rilevamento di rete e degli endpoint basate sull'intelligenza artificiale per identificare contenuti dannosi, comportamenti sospetti e attività di attacco prima che possano avanzare.
• Monitorare costantemente l'attività per individuare eventuali segnali di compromissione. Prestare attenzione a comportamenti anomali tra utenti, dispositivi, applicazioni, trasferimenti di dati e strumenti di accesso remoto. In questa campagna, in oltre dieci organizzazioni sono state registrate più vittime, sottolineando la necessità di monitorare e indagare anche oltre il primo account colpito.
• Applica l'accesso a privilegi minimi. Limita l'accesso di ciascun dipendente alle applicazioni, ai sistemi e ai dati necessari per il proprio ruolo, e riduci ciò a cui gli aggressori possono accedere tramite un account compromesso. 
• Implementa un'architettura zero trust per contenere gli attacchi. Segmenta l'accesso per impedire agli aggressori di spostarsi lateralmente e raggiungere altri sistemi dopo aver ottenuto un punto d'ingresso iniziale.

Non perderti le novità: ulteriori ricerche sui ransomware in arrivo

Comprendere quali dipendenti vengono presi di mira dai gruppi di ransomware fornisce informazioni importanti su dove l'accesso non autorizzato alle informazioni aziendali crea vulnerabilità. Inoltre, rivela dove è necessario implementare controlli più rigorosi per impedire che un account compromesso porti al furto di dati, alla crittografia o a interruzioni più ampie.

Consulta il documento per una sintesi immediata dei risultati di questa ricerca.

Segui ThreatLabz su X e il nostro blog di ricerca sulla sicurezza per rimanere al corrente delle ultime scoperte in materia di minacce, analisi delle campagne e approfondimenti sulla sicurezza.

Rimani al corrente delle novità con il prossimo Report di ThreatLabz sui ransomware del 2026 per saperne di più sulle vittime di questa campagna e consultare ricerche approfondite sull'attività dei ransomware nel corso dell'ultimo anno, i gruppi che la gestiscono, l'evoluzione delle tendenze in materia di furto di dati ed estorsione e molto altro.