Il ransomware si è evoluto di nuovo. È più veloce, più intelligente e più mirato che mai. Quello che una volta era un fastidio per la crittografia dei dati è diventato un motore di interruzione dell’attività su larga scala, alimentato dall’intelligenza artificiale, dall’automazione e da un’economia del crimine informatico professionalizzata.
Nel 2026, il ransomware non riguarderà solo i file bloccati. Si tratta di identità rubate, catene di fornitura compromesse e paralisi operativa che può diffondersi in pochi minuti.
“Agentic AI can reason, plan,eact autonomously, adapting attacks in real timeelearning from defenders faster than they can respond,” Govind Rangasamy, head of Recovery Solutionsevice president of Portfolio Marketing at Commvault, wrote in his book, La resa dei conti della resilienza informatica.
Nei test controllati citati nel libro, il ransomware guidato dall’intelligenza artificiale ha ottenuto l’esfiltrazione completa dei dati 100 volte più velocemente degli aggressori umani. Questo rappresenta un cambiamento fondamentale che richiede difese altrettanto intelligenti.
Per i CISO e i leader IT, il 2026 sarà l’anno in cui la resilienza sostituirà la prevenzione come vera misura della preparazione.
Tendenza 1: il ransomware con intelligenza artificiale agisce da protagonista
Gli attori delle minacce stanno ora impiegando l’IA agenziale, ovvero sistemi autodiretti che pianificano ed eseguono campagne end-to-end. A differenza degli strumenti tradizionali che seguono gli script, questi agenti di IA possono adattarsi alle difese di rete, cambiare i payload durante l’attacco e imparare dalle risposte del rilevamento.
Questa capacità potrebbe rendere obsoleti i playbook tradizionali. I difensori devono far fronte agli attacchi a velocità automatica con il rilevamento assistito dall’intelligenza artificiale, l’analisi comportamentale e i test di ricostruzione automatizzati che convalidano l’integrità del ripristino in modo continuo.
Tendenza 2: la fiducia nell’identità diventa il nuovo perimetro
After years of focus on “identity-centric” security, 2026 marks a new stage. Identity confidence, not just access control, will define cyber resilience.
Gli aggressori stanno sfruttando token rubati, chiavi API e autorizzazioni configurate in modo errato per muoversi all’interno di ambienti ibridi senza innescare allarmi. La sfida non consiste più nel verificare chi sia una persona, ma nel sapere se quell’identità sia ancora affidabile dopo essere stata compromessa.
As Rangasamy writes, “Resilience isn’t about avoiding failure. It’s about bouncing back from it.”
La verifica continua e le ricostruzioni pulite e verificabili dell’infrastruttura di identità aiutano a ripristinare la fiducia più velocemente di quanto gli aggressori possano fare.
Tendenza 3: lo sfruttamento della catena di fornitura e del SaaS accelera
Le bande di ransomware prendono sempre più di mira gli ecosistemi SaaS e di terze parti, dove una violazione può colpire centinaia di organizzazioni. Le piattaforme RaaS ora automatizzano la ricognizione delle relazioni con i fornitori, esponendo credenziali condivise, pipeline CI/CD e collegamenti API.
Le normative del 2026 richiederanno prove di resilienza del fornitore. Ciò significa non solo i rapporti SOC 2, ma anche la prova della capacità di ricostruzione delle dipendenze.
Tendenza 4: il ransomware come servizio diventa aziendale
Quello che una volta assomigliava a un mercato di hacker ora funziona come un franchising di software. Gli operatori RaaS offrono prezzi differenziati, assistenza tecnica e personalizzazione agli affiliati.
Questa industrializzazione del crimine informatico significa che anche gli attori poco qualificati possono noleggiare kit ransomware potenziati dall’intelligenza artificiale. Le organizzazioni devono considerare il RaaS come un vero e proprio concorrente del settore che innova più velocemente della maggior parte dei difensori aziendali.
Tendenza 5: aumento delle estorsioni di dati e dei ricatti Deepfake
Gli attacchi di sola crittografia stanno diventando meno comuni. Gli aggressori ora combinano il furto di dati, i deepfake generati dall’intelligenza artificiale e le comunicazioni sintetiche per estorcere pagamenti o danneggiare la reputazione. Questa nuova ondata di ransomware psicologico arma la fiducia stessa, non solo la tecnologia.
Tendenza 6: la resilienza diventa la metrica più importante
Le aziende leader stanno spostando l’attenzione dalla difesa alla resilienza dimostrata.
Rangasamy defines true cyber resilience as “rebuild confidence” – the verified ability to restore business-critical applications within hours.
La velocità da sola non è più sufficiente. Il ripristino deve essere pulito, non solo veloce.
Commvault’s whitepaper Ridefinire il Recovery informatico: introduzione al Mean Time to Clean Recoverypresenta l’MTCR come un nuovo parametro di riferimento per il successo del ripristino.
MTCR measures how quickly an organization can restore critical services using verified clean data, closing what Commvault calls the cyber resilience gap. It moves beyond traditional recovery time objectiveserecovery point objectives to focus on trust, validation,edata integrity – the factors that determine whether recovery truly works.
I pilastri chiave della resilienza includono ora:
- Backup immutabili, condotti in aria e convalidati regolarmente.
- Ricostruzioni automatizzate e guidate da policy di interi stack applicativi.
- Test caotici costanti per individuare i collegamenti deboli prima che lo facciano gli aggressori.
- Misurazione e rendicontazione dell’MTCR.
- Visibilità unificata su dati, identità e infrastruttura.
Tendenza 7: l’assicurazione e la regolamentazione in materia di cibernetica rendono più severa l’asticella
I governiegli assicuratori are increasingly looking for proof of validated recoveryetested rebuild capabilities. Organizations that can demonstrate cleanroom recoveryeverified data integrity see faster claim approvalsestronger regulatory standing. Resilience evidence is quickly becoming as essential as financial audits.
Il bilancio
Ransomware has matured into a data-driven, AI-accelerated industry. Survival now depends less on stopping every attackemore on recovering faster than the attacker can adapt. Your resilience posture – measured in hours, not days – is now a competitive edge.
As Rangasamy concludes, “The organizations that embrace the Rebuild function today will become those that not only survive tomorrow’s attacks but emerge stronger from them.”
Per saperne di più
Questo blog si basa su approfondimenti tratti daLa resa dei conti della resilienza informatica (O’Reilly Media, 2025), written by Commvault Head of Recovery SolutionseVice President of Portfolio Marketing Govind Rangasamy,efrom the Commvault whitepaper Ridefinire il Recovery informatico: introduzione al Mean Time to Clean Recovery. For more perspectives on agentic AI, cyber recovery,eresilience metrics, visit the Readiverse.
Katherine Demacopoulous is Senior Director of Global Content StrategyePrograms at Commvault.
