Il 79% degli attacchi ransomware parte oggi da un attacco all'identità, e il 71% delle grandi imprese fa già girare agenti AI a contatto con i propri sistemi core, anche se solo il 16% ne governa davvero l'accesso. Sono i due dati su cui si è focalizzata Alexandra Rose, Head - Global Affairs, Policy, & Partnerships di Sophos, nel corso dello stesso evento in cui l'azienda ha annunciato il sistema di difesa AI-native Fusion. I dati provengono dai report State of Ransomware e State of AI Security di Sophos e, insieme, forniscono una lettura esaustiva del modus operandi degli attaccanti e alcuni consigli pratici su come difendersi.

Rose ha aperto il suo intervento inquadrando il tema dal punto di vista della telemetria raccolta dalla base clienti Sophos: "ormai gli attacchi non sono quasi mai eventi isolati, spesso si muovono attraverso identità, email, endpoint, network" e un singolo attacco attraversa più punti di controllo diversi prima di essere individuato. È proprio questa capacità di muoversi lateralmente e velocemente a rendere la minaccia difficile da leggere se osservata da un solo strumento alla volta.

Partecipa agli ItalianSecurityAwards 2026 ed esprimi il tuo voto premiando le soluzioni di cybersecurity che reputi più innovative

A guidare questa dinamica è la variabile AI, che "sta comprimendo il tempo che intercorre tra l'intrusione iniziale o l'accesso iniziale, e il successivo impatto sulle operazioni del business".

Le categorie di minaccia

Rose ha individuato quattro categorie principali di minacce attive in questo momento. Il ransomware e il cybercrimine restano la minaccia dominante per la maggioranza dei clienti Sophos di ogni dimensione. "Per come operano questi threat actor, quando parlo di ransomware è importante sottolineare che riguarda ogni organizzazione di qualsiasi dimensione", ha spiegato Rose. I cyber criminali dietro al ransomware si preoccupano di entrare in rete, fare soldi e passare alla vittima successiva; non è un approccio per settore o per area geografica, è opportunismo e si gioca tutto sui vettori di accesso iniziale. Per questo motivo alla dinamica ransomware si aggiungono gli infostealer e gli initial access broker, che alimentano la filiera di questi attacchi trovando il modo di entrare in rete, principalmente attraverso l'identità o lo sfruttamento delle vulnerabilità.

La terza categoria riguarda gli APT, la cui attività resta significativa anche se la minaccia che rappresentano cambia da azienda ad azienda. "A differenza dei cyber criminali, per definizione gli attori sponsorizzati da stati svolgono attività mirate", ha spiegato Rose. L'ultima categoria è quella degli attacchi alla supply chain, che riguardano organizzazioni di ogni dimensione. "Sono interessanti perché comportano attacchi a qualcosa che spesso la vittima non ha sotto il suo diretto controllo, ma che dev’essere comunque monitorato". Il riferimento è ovviamente alla varietà di fornitori a cui si affidano le aziende: se un attaccante riesce a entrare in una di queste, tipicamente più piccola e meno presidiata, può poi muoversi lateralmente fino a raggiungere l’azienda più grande.

Il focus sul ransomware

L'edizione di quest'anno dello State of Ransomware si basa su un sondaggio condotto su oltre 2.100 imprese che hanno effettivamente subito un attacco ransomware, in 17 paesi diversi, e offre una prospettiva importante su quello che accade. Il primo dato riguarda un cambiamento rispetto agli ultimi tre anni: le vulnerabilità sfruttate, pur restando rilevanti, non sono più il principale vettore di accesso iniziale; oggi pesano per circa il 18%. Al primo posto c'è l'email con contenuti malevoli, a cui fa capo il 26% delle intrusioni, seguita dal phishing al 24% e, a ruota, dalle credenziali compromesse al 23%. Mettendo insieme questi dati, Rose conclude che "a prescindere dal canale, il 79% degli attacchi parte con un attacco all'identità.

E nel momento in cui gli attaccanti riescono a entrare in possesso di credenziali che permettono loro il movimento laterale, non hanno bisogno di scavare più a fondo. Ecco perché il 67% delle organizzazioni vittime di ransomware ha dichiarato che l'evento ransomware è coinciso con un significativo attacco all'identità. Rose fa notare che "quando parliamo di identità, non stiamo parlando solo di identità umane, ma di identità umane e macchina, che devono essere entrambe pensate e protette all'interno dell'organizzazione".

Il report dedica spazio anche al ruolo dei firewall, che restano una componente importante della postura di sicurezza: il 61% degli attacchi ransomware è stato segnalato dai firewall prima dell’effettivo rilascio. Tuttavia, non si può lasciare che l’attacco arrivi a questo punto perché, come fa notare Rose, nei casi in cui il firewall aveva segnalato l'attività pre-ransomware, si è comunque verificata cifratura dei dati nella metà dei casi. Invece, nel caso in cui i clienti non hanno ricevuto alcun alert dal firewall, o non avevano firewall attivi, le aziende che hanno subìto la cifratura dei dati sono salite al 71%.

Morale: sono gli strumenti XDR a dare contezza di quello che accade, mediante la raccolta, analisi e correlazione degli eventi di firewall, endpoint, email security e identity security, ancora meglio se monitorati da servizi gestiti.

Il ruolo dell'AI security

In tutto questo gioca un ruolo importante l'AI, che sta comprimendo le tempistiche degli attacchi, pur senza inventare nuovi tipi di attacco. Da una parte l’AI viene sfruttata per lo sviluppo di attacchi che combinano tecniche note a velocità inedite. Dall’altra l'AI diventa essa stessa un bersaglio. Per illustrare lo scenario di rischio, Rose ha citato l’esempio delle credenziali legate ai servizi AI che vengono rubate e abusate dai cyber criminali. La conclusione ovvia è che l'adozione dell'AI dev’essere accompagnata dalla governance, cosa che in molti contesti non si verifica.

Come accennato in apertura, risulta che il 71% delle grandi imprese fa oggi girare agenti AI a contatto con i propri sistemi core, ma solo il 16% di queste organizzazioni governa effettivamente quell'accesso. "I cyber criminali, sia che attacchino sistemi AI, sia che usino l'AI stessa per orchestrare gli attacchi, useranno il percorso di minor resistenza, e la mancanza di governance dell’AI ne è un esempio".