Il quaranta per cento degli attacchi ransomware include ormai minacce esplicite di violenza fisica contro i dipendenti che si rifiutano di pagare; negli Stati Uniti la percentuale sale al 46%. Il dato arriva da uno studio del vendor di identity security Semperis, che trova riscontro anche in una recente analisi di Barracuda Networks: il modello della doppia estorsione, ormai familiare a chi segue il settore, sta lasciando spazio a una forma di coercizione più aggressiva, che punta a colpire le persone prima ancora dei sistemi.

Per anni il ransomware è stato un crimine a distanza. Gli attaccanti operano da un Paese differente rispetto a quello delle vittime e l'unica leva estorsiva era la minaccia di cifrare i dati o di pubblicarli online. Questo schema, cristallizzato nella cosiddetta doppia estorsione, ha dominato la scena per anni. Complici la maggiore efficacia delle difese, la forte sensibilizzazione sulla necessità di non pagare i riscatti, e la frammentazione dell'ecosistema criminale che aumenta la competizione, i gruppi criminali stanno cercando nuove leve fra cui, secondo diverse fonti di threat intelligence, la paura fisica.

Partecipa agli ItalianSecurityAwards 2026 ed esprimi il tuo voto premiando le soluzioni di cybersecurity che reputi più innovative

Dalla cifratura alla casa del dipendente

Il salto di qualità descritto da Barracuda riguarda la raccolta sistematica di dati personali sui dipendenti: indirizzo di casa, dettagli sui familiari, abitudini. In alcune circostanze documentate, gli attaccanti hanno provato a spostare la pressione dal canale digitale a quello fisico, facendo percepire alla vittima un rischio diretto e concreto.

Episodi raccolti da BBC News danno sostanza a questa tendenza. Un portavoce di Semperis ha raccontato di aver trovato un biglietto minatorio sulla porta di casa propria mentre seguiva un incidente per conto di un'agenzia governativa statunitense. Zac Warren di Tanium ha descritto il caso di un ospedale colpito da ransomware i cui infermieri hanno ricevuto telefonate in cui gli interlocutori li chiamavano per nome e snocciolavano il loro indirizzo di casa e numero di previdenza sociale.

Il meccanismo è quello del cosiddetto violence-as-a-service: i gruppi ransomware, poco inclini a esporsi direttamente in azioni di intimidazione fisica, pubblicano annunci su forum criminali in cui offrono compensi in denaro e reclutano manodopera locale per attuare le minacce fisiche. Anche l'FBI ha preso nota del fenomeno, con un alert diffuso dal Bureau che riguarda la rete criminale nota come "The Com", che è scarsamente strutturato ma che l’agenzia reputa responsabile di tattiche che vanno dal lancio di mattoni contro le finestre agli incendi dolosi, fino a casi di sequestro di persona e sparatorie.

Il punto di massima escalation, dove criminalità informatica e criminalità organizzata si sovrappongono, si è concretizza nell’ambito delle criptovalute, quando la polizia francese ha liberato il padre di un imprenditore crypto milionario, sequestrato e tenuto in ostaggio in un sobborgo di Parigi. Nell’anno precedente in Europa sono stati censiti oltre diciotto episodi simili ai danni di detentori di ingenti patrimoni in criptovalute.

Il tema che ricorre trasversalmente nei report di threat intelligence più recenti è la convergenza tra rischio informatico, rischio fisico e rischio geopolitico. Le organizzazioni si trovano di fronte ad attacchi multilivello che combinano compromissione tecnica, conseguenze nel mondo reale e pressione psicologica, in un quadro in cui i confini tradizionali della sicurezza perdono significato.

Come difendersi

Fra le varie soluzioni proposte, la più urgente è un coordinamento più stretto tra sicurezza informatica, sicurezza fisica, risorse umane e vertice aziendale, per gestire un ambito di minaccia che va oltre il perimetro IT e abbraccia scenari di molestia, doxxing e minacce dirette ai dipendenti. Gli esperti indicano inoltre la tutela delle persone come parte integrante della strategia di sicurezza, attuata mediante una revisione delle modalità di gestione dei dati del personale, con l’obiettivo di ridurre l'esposizione non necessaria di informazioni personali.

Infine, è caldeggiata l'integrazione tra risposta agli incidenti informatici e gestione delle crisi: i piani di incident response dovrebbero includere strategie di comunicazione, coinvolgimento delle Forze dell'Ordine e percorsi di escalation specifici per le minacce fisiche, con esercitazioni che combinino scenari cyber e fisici così da individuare le lacune prima che diventino critiche. Ultima ma non meno importante è la velocità di rilevamento e risposta: minore è il tempo di permanenza di un attaccante nella rete, minore è la possibilità che raccolga informazioni utili a un'escalation verso l'intimidazione fisica.