I numeri dei leak site segnalano una macchina ransomware sempre più difficile da ignorare
Un conteggio trimestrale dei post pubblici di estorsione indica un ecosistema ransomware che resta molto attivo, anche se i numeri visibili rappresentano solo una parte del quadro reale.
Il ransomware viene spesso descritto attraverso i titoli sui monitor bloccati e sulle operazioni paralizzate. Ma il campo di battaglia più rivelatore è il leak site: il palcoscenico pubblico in cui i gruppi di estorsione pubblicano i nomi delle vittime, fanno pressione per i pagamenti e cercano di trasformare i dati rubati in leva. Nel primo trimestre del 2026, quel palcoscenico è rimasto affollato, con 2.122 organizzazioni elencate pubblicamente su leak site del dark web: una cifra che colloca il trimestre vicino al vertice dell’intervallo storico per l’attività di inizio anno.
Fatti rapidi
- 2.122 organizzazioni sono state pubblicate su leak site del dark web nel primo trimestre del 2026.
- Il totale è stato descritto come il secondo primo trimestre più alto mai registrato.
- Il conteggio dei leak site misura la visibilità pubblica dell’estorsione, non ogni intrusione ransomware.
- I casi ransomware moderni possono includere crittografia, furto di dati o estorsione basata solo sui dati.
- Le pubblicazioni pubbliche sono una tattica di pressione, non una mappa completa dell’impatto sulle vittime.
Cosa significa davvero il numero
Il dettaglio chiave non è solo la dimensione del conteggio, ma il tipo di metrica che rappresenta. I dati dei leak site catturano le organizzazioni che gli aggressori hanno scelto di pubblicare, il che li rende un indicatore utile della pressione criminale ma una misura incompleta del compromesso totale. Alcuni attacchi non vengono mai pubblicati. Altri vengono pubblicati in ritardo. E alcuni incidenti coinvolgono furto ed estorsione senza la classica fase del “blocca i tuoi file”.
Ecco perché gli analisti trattano questo tipo di cifra come un segnale di visibilità e non come un conteggio completo degli incidenti. Il livello della pubblicazione pubblica può esagerare lo slancio in un senso, pur sottostimando in un altro il numero reale di intrusioni. Per i difensori, questa distinzione è importante: una rete silenziosa non significa necessariamente una rete pulita.
Perché il ransomware continua ad adattarsi
Il modello di minaccia più ampio è cambiato. I gruppi di estorsione moderni fanno sempre più affidamento sull’esfiltrazione dei dati e sulla minaccia di pubblicazione, il che significa che le organizzazioni possono subire pressioni anche quando i backup funzionano e la crittografia fallisce. In questo contesto, i controlli sull’identità, la segmentazione e il monitoraggio del traffico in uscita diventano importanti quanto la pianificazione del ripristino.
C’è anche una storia strutturale dietro il numero in evidenza. L’ecosistema sembra consolidarsi attorno a operatori meno numerosi ma più grandi, il che può rendere le campagne più organizzate e più durature anche quando il numero delle vittime oscilla. Questo non rende la minaccia più magica; la rende più industriale.
Al momento della stesura, le informazioni pubbliche non identificano le singole vittime, i specifici attori della minaccia dietro le pubblicazioni o l’esatto vettore di compromissione in ciascun caso. Le evidenze disponibili supportano un’analisi del rischio, non un verdetto sul livello di sicurezza di una singola organizzazione.
Lezione difensiva
La lezione per i team di sicurezza è semplice: monitorate l’attività dei leak site, ma non confondetela con una visibilità completa. Consideratela un input tra molti. La domanda migliore non è solo chi è apparso su una pagina pubblica di estorsione, ma se il vostro ambiente riuscirebbe a rilevare per primo i segnali a monte: abuso di credenziali, trasferimenti anomali verso l’esterno e tentativi di accedere a repository di dati critici. Nel ransomware, il momento più rumoroso è di solito l’ultimo. La vera battaglia avviene prima.
Conclusione
Il primo trimestre del 2026 mostra un’economia ransomware che continua a estrarre valore su larga scala, anche quando viene misurata solo in base a ciò che i criminali scelgono di pubblicare. Per i difensori, il messaggio è netto: gli elenchi pubblici delle vittime non sono la minaccia in sé, ma ricordano che le operazioni di estorsione restano persistenti, adattabili e progettate per trasformare i dati rubati in leva.
TECHCROOK
unità di backup esterna: Un’unità di backup offline è uno strumento pratico di ripristino quando il ransomware cifra i file o i dati vengono cancellati. Conserva una copia scollegata quando non è in uso e testa regolarmente i ripristini per assicurarti che il backup sia utilizzabile.
WIKICROOK
- Data Leak Site (DLS): Una pagina pubblica di estorsione usata per nominare le vittime e talvolta pubblicare i file rubati.
- Double Extortion: Una tattica che combina la crittografia dei file con la minaccia di divulgare i dati rubati.
- Data-Only Extortion: Un modello di attacco che si basa sul furto e sulle minacce di diffusione dei dati senza crittografare i sistemi.
- Outbound Traffic Monitoring: Il monitoraggio dei dati in uscita da una rete per individuare segnali di esfiltrazione o trasferimento non autorizzato.
- Network Segmentation: La separazione dei sistemi in modo che un singolo punto d’appoggio non possa raggiungere facilmente tutto ciò che è importante.
