NCC Group: 2.865 vittime di ransomware nel terzo trimestre 2026, il 23% in più

NCC Group ha registrato 2.865 rivendicazioni di vittime di ransomware nel terzo trimestre del 2026, il 23% in più rispetto alle 2.325 del secondo trimestre. I dati sono nel Cyber Threat Intelligence Report Review of Q3 2026 della società. Il settore industriale ha rappresentato il 29% degli attacchi del trimestre.

A settembre gli attacchi calano

A settembre gli attacchi sono diminuiti del 26% su base mensile, scendendo a 821. Quel mese il Nord America ne ha registrati più di tutti, 390, davanti all'Europa con 211. Qilin resta il gruppo più attivo per il sesto trimestre consecutivo, con 365 vittime. Seguono The Gentlemen con 356 e INC Ransom con 109.

Infrastrutture critiche sotto attacco

Il rapporto cita un attacco informatico sferrato a luglio contro un piccolo impianto britannico di generazione elettrica, che ha costretto a fermare le operazioni per circa quattro giorni. L'incidente non ha toccato la rete elettrica nazionale. Le tecniche, secondo il rapporto, sono coerenti con quelle già associate in passato a campagne legate all'Iran, compresi gli attacchi contro controllori industriali esposti su internet. Il governo britannico non ha attribuito formalmente l'attacco e le tecniche restano non confermate.

Il rapporto indica anche il punto di contatto tra IT e tecnologie operative, dove manutenzione remota e gestione centralizzata collegano le reti degli impianti ai sistemi d'ufficio. La raccomandazione è segmentare la rete, rafforzare i controlli sugli accessi privilegiati e monitorare gli ambienti OT senza interruzioni.

Vulnerabilità sfruttate e broker di accesso

Nel trimestre più di 40 vulnerabilità che riguardano applicazioni aziendali, apparati VPN, gateway di posta elettronica e piattaforme di gestione sono entrate nel catalogo CISA delle vulnerabilità note e sfruttate. Gunra, un'operazione ransomware-as-a-service, aveva colpito 53 vittime in più settori entro la fine del terzo trimestre. Ha sfruttato CVE-2024-55591 e CVE-2025-24472 su dispositivi Fortinet esposti su internet, poi ha usato credenziali rubate, dirottamento di sessione e strumenti amministrativi per spostarsi tra i sistemi prima di installare il ransomware.

I broker di accesso iniziale offrivano accessi compromessi a VPN, Remote Desktop Protocol e SSH, oltre che a identità cloud, repository di codice sorgente e piattaforme di gestione della sicurezza. Tra i gruppi emergenti figurano Deadlock e Storm, che aveva rivendicato 78 vittime entro la fine di settembre.

L'intelligenza artificiale nella catena d'attacco

NCC Group descrive BraZetsu, un framework malware per Windows potenziato con l'IA e diventato un toolkit specializzato per l'accesso iniziale. Secondo il rapporto, usa modelli di IA per automatizzare il profilo delle vittime, analizzare gli ambienti compromessi e individuare i sistemi aziendali di valore. Cerca software aziendali, dati finanziari, certificati digitali e credenziali cloud, e aiuta gli operatori a vendere l'accesso compromesso ad altri criminali.

Il rapporto segnala anche i rischi degli agenti di IA legittimi: prompt injection, permessi eccessivi e accesso involontario a sistemi esterni. Cita incidenti che hanno coinvolto sistemi governativi statunitensi e australiani, con agenti che hanno raggiunto risorse oltre l'ambito previsto. I ricercatori affermano che quegli incidenti non implicano necessariamente intenti malevoli, ma possono produrre conseguenze simili a intrusioni informatiche tradizionali.

Le raccomandazioni di NCC Group puntano sulle basi: segmentare le reti, controllare gli accessi privilegiati e monitorare di continuo gli ambienti OT. I numeri del rapporto spiegano perché questi controlli contano. Un solo apparato esposto o una credenziale rubata possono ancora aprire la strada alla cifratura e all'estorsione.