L’Italia è il settimo paese al mondo per violazioni ransomware dichiarate, con 243 attacchi confermati nel 2025. Nello stesso periodo, l'ecosistema criminale cresce del 236% a livello globale. I dati emergono dal Cyber Risk Report 2026 di TrendAI, in cui i capolista sono, nell’ordine, Stati Uniti, Canada, Germania, Regno Unito, Francia e Spagna. Il conteggio complessivo dei primi dieci gruppi ransomware monitorati da TrendAI Research è passato da 1.518 vittime confermate nel 2024 a 5.096 nel 2025.

Il rapporto si basa sul Cyber Risk Index, che quantifica il divario tra le difese di un'azienda e la probabilità di subire un attacco, moltiplicando esposizione e configurazione di sicurezza di ogni singola risorsa per la sua criticità. Il punteggio risultante, compreso tra 0 e 100, si divide in tre fasce: rischio basso (0-30), medio (31-69) e alto (70-100). A livello globale tutte le organizzazioni monitorate sono nella fascia di rischio medio.

Partecipa agli ItalianSecurityAwards 2026 ed esprimi il tuo voto premiando le soluzioni di cybersecurity che reputi più innovative

L'andamento mensile del 2025 assomiglia a un giro sulle montagne russe: si parte da 34,6 a gennaio, si raggiunge il picco di 37,4 ad aprile, si scende a un minimo di 34,1 a luglio, per poi risalire e stabilizzarsi a 36,7 tra novembre e dicembre. Il dato di aprile potrebbe coincidere con l'avvio di nuovi progetti e implementazioni cloud legati all'inizio dell'anno fiscale in molte organizzazioni, quando vengono introdotti nuovi rischi ma i controlli di sicurezza non sono ancora pronti.

Settori e dimensioni aziendali

Il mining compare per la prima volta in cima alla classifica dei comparti più a rischio, seguito da sanità, agricoltura, telco, istruzione, pubblica amministrazione, comunicazione, servizi finanziari, utility e assicurativo. La sanità è un componente noto della top 3, anche per via di misconfigurazioni, parco dispositivi legacy un tempo medio di patch (MTTP) di 41,5 giorni nel 2024, che è il più lento tra tutti i settori monitorati. L'agricoltura mostra invece una correlazione diretta tra trasformazione digitale e superficie d'attacco: l'adozione di sistemi di irrigazione connessi, mezzi automatizzati e piattaforme di supply chain ha ampliato rapidamente l'esposizione, con due eventi di Data Loss Prevention, su email e cloud app, tra i principali rischi rilevati.

Le imprese di medie dimensioni (tra i 5.001 e i 10.000 dipendenti) registrano il CRI più elevato tra tutte le fasce dimensionali nel 2025, a quota 41,5, nonostante un miglioramento di 2,5 punti rispetto al 2024. Secondo il report, a questa scala la complessità di rete è paragonabile a quella delle aziende più grandi, ma senza la stessa maturità nei processi di sicurezza. Le organizzazioni con oltre 10.000 dipendenti registrano invece il miglioramento più marcato di qualsiasi fascia, con un calo di 3,8 punti, complice l'investimento in SOC dedicati e playbook di risposta automatizzati. Le piccole imprese, fino a 100 dipendenti, restano la fascia a rischio più basso in assoluto ma sono l'unico segmento a registrare un aumento del CRI rispetto al 2024, un dato che il report collega al crescente interesse degli attaccanti verso le piccole realtà come punto d'accesso a supply chain più ampie.

Tra gli eventi di rischio più rilevati nel 2025, l'accesso ad applicazioni cloud rischiose mantiene la prima posizione per il secondo anno consecutivo, seguito dagli account Microsoft Entra ID inattivi, a conferma che la gestione del ciclo di vita delle identità resta un problema sistemico. Tra le new entry compare al quinto posto il rilevamento di violazioni delle policy ZTSA (Zero Trust Secure Access) legate al controllo degli accessi privati: è un segnale della crescente adozione di modelli Zero Trust che rende visibili violazioni prima non intercettate.

Sul fronte degli errori di configurazione, le impostazioni di Web Reputation restano per il secondo anno consecutivo quello più diffuso nell'intera base clienti monitorata, davanti al controllo dispositivi e al supporto dell'agente di sicurezza endpoint.Nel cloud, la classifica include Application Control, seguite da Firewall e Log Inspection, che equivalgono a un divario persistente tra l'adozione di strumenti di protezione dei carichi di lavoro cloud e la loro effettiva ottimizzazione operativa.

Il capitolo dedicato alle vulnerabilità evidenzia che sono tra i rischi più sottovalutati: tre delle dieci vulnerabilità più rilevate nell'anno hanno un punteggio di severità CVSS medio, e si è registrata più volte una rischiosa combinazione di più CVE. I punti di accesso più sfruttati dagli attaccanti risultano essere gli indirizzi IP pubblici, seguiti dai domini con 2.781. Invece, tra le risorse più colpite come bersaglio finale di un percorso d'attacco completato, gli account utente dominano, seguiti dai dispositivi endpoint.

Sul fronte dei gruppi ransomware, Qilin svetta in cima alla classifica del 2025 con 1.262 violazioni confermate (+1.270% rispetto all’anno precedente) che il report attribuisce a un'espansione operativa aggressiva del modello ransomware-as-a-service e al reclutamento di affiliati dopo la disgregazione di gruppi concorrenti. Akira si colloca al secondo posto con 857 violazioni (+708% rispetto al 2024), mentre INC Ransom debutta in classifica con 558 violazioni e si distingue per il targeting di settori ad alto valore come sanità e istruzione. Tra le altre new entry figurano SafePay con 509 violazioni, Lynx con 279 e DragonForce con 264 (un ex gruppo hacktivista evoluto a operatore ransomware).