Nel marzo 2024 un affiliato della gang ransomware BlackCat si è rivolto a un forum di cybercriminali con una lamentela. Aveva eseguito l’attacco a Change Healthcare – una delle più grandi violazioni di dati sanitari nella storia degli Stati Uniti – e non aveva mai ricevuto la sua parte di riscatto. Gli operatori di BlackCat avevano preso il denaro ed erano spariti, pubblicando un falso avviso di sequestro da parte dell’FBI sul loro sito di leak. La disputa assomiglia a una controversia tra appaltatori. Se si elimina l’elemento criminale e il presunto doppio gioco, ciò che resta è qualcosa che qualsiasi responsabile aziendale riconosce: accordi commerciali, quotazioni, concorrenza e clienti che si aspettano valore in cambio del denaro speso. Il ransomware di oggi funziona esattamente così. A un occhio inesperto, gli attacchi sembrano semplici violazioni con una richiesta di riscatto: qualcuno entra, blocca (e ruba) file critici, lascia una richiesta economica e attende. Ma questa visione è incompleta: si concentra sulla fase finale, mentre tutto ciò che ha reso possibile l’attacco resta ‘fuori campo’. Eppure, è proprio lì che si costruisce il successo dell’operazione.

Troppo economico per fallire

Dietro la facciata del ransomware si nasconde un sistema in Franchising, o una gig economy, con un mercato del lavoro, strumenti, servizi in abbonamento, fornitori, partner e persino SLA. Questo ecosistema prepara il terreno molto prima di arrivare alla richiesta di riscatto. Quindi, considerare un attacco come un evento casuale porta a predisporre difese incomplete, incapaci di valutare quanto le minacce siano dotate di risorse.

In questi attacchi ogni hacker è responsabile solo per la sua parte. Lo sviluppatore che manutiene la piattaforma ransomware non si preoccupa di entrare nell’ambiente della vittima. L’affiliato paga una quota per l’accesso, utilizzando credenziali che non ha raccolto personalmente. Il broker di accesso iniziale, ossia quello che vende i punti d’ingresso nelle reti aziendali, non sa cosa intende fare l’acquirente con quelle credenziali. Ma tutti insieme applicano la logica del franchising all’antica ‘arte’ dell’estorsione. E ogni volta che un settore si struttura in questo modo, segue una crescita dei volumi.

Samuele Zaniboni, Manager of Sales Engineering di ESET Italia

I dati di ESET mostrano che nella seconda metà del 2025 il ransomware è cresciuto del 13%, dopo un incremento del 30% nei primi sei mesi. Il report DBIR 2025 di Verizon evidenzia che la quota di violazioni legate al ransomware è passata dal 32% al 44%, mentre il pagamento medio è sceso da 150.000 a 115.000 dollari. Gli attacchi si stanno spostando verso realtà più piccole e meno protette, come evidenzia Mandiant. E più bersagli uniti a richieste di riscatto più contenute equivalgono a una strategia basata sui volumi.

Il ransomware non è “casuale”

Le operazioni ransomware sono progettate per scalare indipendentemente dal fatto che i singoli partecipanti possiedano competenze elevate. Certo, i meccanismi di quello che viene definito Ransomware-as-a-service (RaaS) sono più disordinati rispetto a quelli di una catena di fast food, ma la logica di fondo è uguale. L’industria del ransomware si basa sulla fiducia dei suoi partecipanti, oltre che sugli incentivi. Ed è noto che sono proprio gli incentivi a determinare i risultati. Non a caso il settore è decisamente affollato.

Le forze dell'ordine, naturalmente, non restano a guardare. Ma chiudere un’azienda in un mercato competitivo non significa chiudere tutto il mercato. Finché esistono gli incentivi, la scomparsa di un gruppo ransomware spinge gli altri a prenderne il posto. Emergono nuovi attori, altri si riorganizzano, i ‘clienti’ scelgono nuovi fornitori e le strategie collaudate continuano a circolare. Persino i conflitti interni tra gruppi cybercriminali finiscono per funzionare come un meccanismo di selezione, eliminando i più deboli. Per esempio, quando LockBit e BlackCat sono stati colpiti dalle forze dell’ordine nel 2024, i loro affiliati si sono spostati verso RansomHub. Nel 2025, DragonForce – all’epoca un attore relativamente minore – ha violato i siti di leak di diversi rivali, metendo fuori uso quello di RansomHub, allora leader del settore. Quando RansomHub ha cessato le attività, Akira e Qilin ne hanno assorbito la quota di mercato. Questo schema si ripete perché la barriera all’ingresso è bassa, gli strumenti sono disponibili come servizio e la forza lavoro è così facilmente sostituibile che l’offerta può contare sempre su nuovi partecipanti.

Il fenomeno della "Red Queen's Race"

Il cybercrimine non si ferma mai. Il vecchio manuale operativo del ransomware – bloccare i file e chiedere il riscatto – ha lasciato spazio a doppie estorsioni, in cui gli attaccanti rubano i dati aziendali e ne pubblicano dei campioni su siti di leak dedicati. L’FBI e la CISA descrivono ormai il ransomware come un problema di “furto di dati ed estorsione”. Anche le tecniche cambiano rapidamente. Solo due anni fa, ClickFix – una tecnica di social engineering in cui un falso messaggio di errore induce gli utenti a copiare, incollare ed eseguire comandi malevoli – era quasi sconosciuta. Oggi è utilizzata sia da gruppi sostenuti da Stati sia da organizzazioni cybercriminali. Questa rapidità di adattamento non è sorprendente. Anche in natura le specie in competizione si adattano continuamente. I predatori diventano più veloci, quindi anche le prede diventano più veloci. Le prede sviluppano il mimetismo, quindi i predatori sviluppano una vista più acuta. La biologia chiama questo fenomeno “effetto Regina Rossa”, dal personaggio di Lewis Carroll in Attraverso lo specchio, che deve continuare a correre solo per restare nello stesso punto. L’effetto Regina Rossa descrive qualcosa di molto specifico: un adattamento che non produce un vantaggio netto, perché l’altra parte si adatta in parallelo. Oggi la sua manifestazione più evidente riguarda gli strumenti dei difensori e i “contro-strumenti” degli attaccanti. I prodotti di Endpoint detection and response e di eXtended detection and response (EDR/XDR) sono fondamentali per individuare le attività che gli affiliati ransomware svolgono all’interno delle reti compromesse. Ma più questi strumenti migliorano, più i criminali ricorrono a soluzioni per disattivarli.

I ricercatori di ESET segnalano quasi 90 “EDR killer” attualmente in uso. 54 di questi sfruttano la stessa tecnica di base: caricare sul dispositivo target un driver legittimo, ma vulnerabile, e utilizzarlo per ottenere privilegi a livello kernel, disattivando il prodotto di sicurezza. La tecnica è nota come Bring Your Own Vulnerable Driver (BYOVD). E i driver vulnerabili sono ormai una commodity: lo stesso driver compare in strumenti diversi e non correlati, mentre lo stesso strumento può essere riadattato per utilizzare driver differenti nel corso delle campagne. Questi “EDR killer” vengono distribuiti assieme a servizi di offuscamento in abbonamento, aggiornati regolarmente per restare un passo avanti rispetto ai sistemi di rilevamento. Generalmente sono gli affiliati, e non gli operatori ransomware, a scegliere quale “killer” utilizzare: la decisione di acquisto avviene quindi a livello di franchising. Quando il prodotto difensivo si aggiorna, anche il servizio di offuscamento si adegua. Ancora una volta, effetto Regina Rossa.

E grazie all’AI questi anti-strumenti possono migliorare ancora. I ricercatori di ESET sospettano che l’AI abbia contribuito allo sviluppo di alcuni EDR killer come i tool del gruppo Warlock. Altri ricercatori hanno descritto fenomeni definiti “vibeware”: malware generato con l’AI e prodotto in grandi volumi per saturare l’ambiente target con codice usa e getta, sperando che una parte superi le difese. Questo significa che la barriera nella creazione di malware si è abbassata al punto che oggi il limite non è più la competenza tecnica, ma l’intento.

Leggere il mercato

Considerare il ransomware solo come attacco porta a implementare difese incomplete. Occorre osservarlo come industria. Come sta evolvendo la dinamica della Regina Rossa tra strumenti difensivi e anti-strumenti? Quali tecniche e procedure malevole sono attualmente in circolazione? Lo stack di sicurezza è in grado di contrastare un attacco BYOVD? Se non si è in grado di rispondere a queste domande, è possibile che quando il “prodotto” dell’industria criminale arriva fino alla vittima, gran parte della catena dell’attacco si sia già completata. In altre parole: non si può prevedere quale gruppo colpirà, quando o attraverso quale vettore, ma si può mantenere aggiornata una mappa di dove si stanno muovendo gli attori attivi e capire se alcune di quelle traiettorie possano incrociare la nostra organizzazione.