I Dati della Ricerca Zscaler ThreatLabz
Molto più di rado, invece, si parla delle persone che hanno dato il via alla compromissione.
Una nuova ricerca di Zscaler ThreatLabz sposta l’attenzione su questa fase iniziale e mostra come il ransomware segua spesso l’organigramma aziendale, cercando non soltanto amministratori di sistema, ma anche figure con alti privilegi operativi.
L’analisi riguarda le vittime di una campagna associata a un gruppo specializzato nell’ottenere l’accesso iniziale, rubare grandi quantità di dati aziendali e cifrare in modo selettivo quelli più critici.
Nell’arco di un mese, ThreatLabz ha individuato 351 vittime distribuite in 334 organizzazioni.
Il campione non sembra casuale: il 62% delle persone colpite aveva un titolo manageriale o superiore, mentre circa il 75% lavorava in ambiti come contabilità e finanza, vendite, risorse umane o marketing.
Nell’analisi, il 44% dei soggetti colpiti apparteneva alla Generazione X, con un’età media di 46 anni, e il 50% operava in aziende industriali o informatiche.
Inoltre, più di una dozzina di organizzazioni aveva subito la compromissione di più dipendenti, un elemento che suggerisce campagne capaci di espandersi oltre il primo account violato.
Ransomware e manager: una preda ambita
Il fulcro della ricerca rimangono però i dati allarmanti sui manager.
Nei programmi di sicurezza, gli utenti privilegiati vengono spesso identificati con amministratori e account dotati di permessi tecnici elevati.
Gli aggressori, però, considerano altrettanto interessante il privilegio derivante dal ruolo.
Un manager, in virtù del suo ruolo, può approvare pagamenti, controllare budget e fornitori, esaminare contratti, accedere a documenti riservati e svolgere altre attività aziendali importanti, molto allettanti per i cybercriminali.
Anche senza diritti da amministratore, il suo account può quindi offrire una mappa dei processi interni e un percorso verso applicazioni, dati e persone ulteriori, potendo ampliare la strategia offensiva attraverso un punto debole.
La Distribuzione per Funzione Aziendale
La suddetta elevata presenza della Generazione X delle vittime, pari al 44% sul totale, non indica per forza una vulnerabilità legata all’età. Gli individui analizzati avevano tra 23 e 70 anni, ma l’età media era di 46 anni.
Anche la distribuzione per funzione conferma il valore operativo degli account.
Contabilità e finanza rappresentavano il 17,7% delle vittime: figure operative che, per loro stessa natura, possono gestire fatture, pagamenti e non solo.
Il reparto vendite è poco dietro, fermandosi al 17,4%, hanno accesso ad account dei clienti, prezzi, contratti, trattative in corso e previsioni sui ricavi.
La gestione operativa, si assesta al 16,8%: rientrano in questo contesto figure che coordinano fornitori e reparti diversi.
A queste aree si aggiungono risorse umane e marketing: complessivamente, i cinque ambiti raccolgono circa tre quarti delle figure aziendali compromesse.
Per quanto concerne i settori interessati, come già accennato, il 35,5% delle vittime lavorava nel ramo industriale e il 14,6% in quello informatico, per un totale del 50%.
L’Impatto sui Settori Industriale e IT
Nelle aziende industriali, un account compromesso può diventare un punto di passaggio verso sistemi che sostengono produzione, distribuzione e logistica.
Nelle imprese IT, di contro, a rischio sono la proprietà intellettuale, le piattaforme digitali e infrastrutture utilizzate per erogare servizi.
In un ambiente produttivo, a prescindere dalla sua natura, la cifratura di dati sensibili può causare dei danni ingenti, bloccando attività e conseguentemente riducendo i ricavi.
Intelligenza Artificiale, phishing e richieste di estorsione aggiuntive
La ricerca arriva mentre altri studi descrivono un ransomware sempre più centrato sulle persone e sulle identità singole.
Secondo il report 2026 AI-Era Ransomware di Proofpoint, basato su 953 professionisti della sicurezza in 12 Paesi, il 65% delle organizzazioni colpite ha dichiarato che l’Intelligenza Artificiale ha reso l’attacco più efficace.
Il 34% degli incidenti è iniziato con email di phishing o altre forme di social engineering via posta elettronica, con tanto di link dannosi, allegati malevoli, furto di credenziali e BEC (Business Email Compromise) sono indicati tra i principali meccanismi d’ingresso.
Proofpoint rileva inoltre che quasi due terzi delle organizzazioni hanno confermato il furto di dati e che il 37% di quelle che hanno pagato un riscatto ha ricevuto una richiesta di estorsione aggiuntiva.
Questa evoluzione rende particolarmente importante proteggere i ruoli manageriali: le aziende dovrebbero limitare messaggi e chiamate non richieste provenienti dall’esterno su piattaforme di collaborazione come Microsoft Teams e Slack, e formare i dipendenti a verificare attraverso canali interni affidabili ogni richiesta insolita attribuita al reparto IT o a un fornitore.
Servono inoltre protezioni online per la rete ed endpoint, capaci di riconoscere contenuti malevoli e comportamenti sospetti, insieme a un monitoraggio continuo di utenti, dispositivi, applicazioni, trasferimenti di dati e strumenti di accesso remoto.
Il principio del privilegio minimo deve ridurre l’accesso alle sole applicazioni, ai sistemi e ai dati indispensabili per ciascun incarico.
Un’architettura Zero Trust, con segmentazione degli accessi, può contenere il movimento laterale dopo la compromissione iniziale.
Rapid7 ha infatti osservato che l’esfiltrazione precede la cifratura nel 74% delle campagne di estorsione analizzate nel secondo trimestre del 2025, mentre il movimento laterale compare nel 60% degli incidenti; tra le tecniche ricorrenti figurano l’abuso di PowerShell, gli strumenti nativi e il trasferimento furtivo verso il cloud.
Per approfondire è possibile accedere direttamente al report, sul sito ufficiale di Zscaler ThreatLabz.
Quattro profili potenzialmente a rischio
Nei profili individuati dagli specialisti tra quelli potenzialmente a rischio compare innanzitutto un Regional Sales Manager di un’azienda industriale, con accesso agli account dei clienti, ai contratti, ai listini, alle previsioni sui ricavi e alle comunicazioni commerciali.
La compromissione di questo account potrebbe consentire di interferire con ordini di prodotti e servizi, mettendo a rischio anche i rapporti con i clienti.
Come Difendersi: Best Practices di Sicurezza
Un altro bersaglio è stato un Accounts Payable Manager del settore IT, che può gestire fatture, dati di pagamento, approvazioni finanziarie e informazioni sui fornitori.
Un attaccante potrebbe sfruttare tali accessi per bloccare o manipolare i pagamenti, causando ritardi nella fornitura di prodotti e servizi essenziali.
La campagna ha inoltre coinvolto un Senior Project Manager di un’azienda consumer, potenzialmente con accesso a documenti e informazioni riservate.
La sua compromissione potrebbe ritardare il lancio di prodotti o l’apertura di nuove sedi, danneggiando le principali fonti di ricavo dell’azienda.
Infine, un Property Manager del settore immobiliare può accedere a contratti di locazione, fatture dei fornitori, dati dei clienti e informazioni finanziarie.
Un attacco rivolto a questo ruolo potrebbe provocare interruzioni nei servizi, problemi legali e una riduzione dei ricavi derivanti dagli immobili.
ThreatLabz continuerà questa attività nel prossimo Zscaler ThreatLabz 2026 Ransomware Report, atteso nei prossimi mesi.
Il rapporto dovrebbe aggiungere dati rilevanti sulle vittime della campagna presa in considerazione, sul gruppo coinvolto e sull’evoluzione del furto di dati e delle estorsioni.
