Il ransomware si è evoluto ancora una volta. È più veloce, più intelligente e più mirato che mai. Quello che un tempo era un semplice fastidio legato alla crittografia dei dati è diventato un motore di interruzione delle attività su larga scala, alimentato dall’intelligenza artificiale, dall’automazione e da un’economia del crimine informatico professionalizzata.
Nel 2026, il ransomware non riguarderà solo i file bloccati. Si tratterà di identità rubate, catene di fornitura compromesse e paralisi operativa che può diffondersi in pochi minuti.
«L’intelligenza artificiale agenziale è in grado di ragionare, pianificare e agire in modo autonomo, adattando gli attacchi in tempo reale e imparando dai difensori più velocemente di quanto questi possano rispondere», ha scritto Govind Rangasamy, responsabile delle soluzioni di recupero e vicepresidente del marketing di portafoglio di Commvault, nel suo libro *Il calcolo della resilienza informatica*.
Nei test controllati citati nel libro, il ransomware guidato dall’intelligenza artificiale è riuscito a sottrarre tutti i dati 100 volte più velocemente rispetto agli aggressori umani. Ciò rappresenta un cambiamento fondamentale che richiede difese altrettanto intelligenti.
Per i CISO e i leader IT, il 2026 sarà l’anno in cui la resilienza sostituirà la prevenzione come vero metro di misura della preparazione.
Tendenza 1: il ransomware basato sull’intelligenza artificiale assume un ruolo di primo piano
Gli autori delle minacce stanno ora impiegando l’IA agenziale, ovvero sistemi autonomi che pianificano ed eseguono campagne end-to-end. A differenza degli strumenti tradizionali che seguono gli script, questi agenti di IA possono adattarsi alle difese di rete, modificare i payload durante l’attacco e imparare dalle risposte dei sistemi di rilevamento.
Questa capacità potrebbe rendere obsoleti i playbook tradizionali. I difensori devono far fronte agli attacchi a velocità automatica con il rilevamento assistito dall’intelligenza artificiale, l’analisi comportamentale e i test di ricostruzione automatizzati che convalidano l’integrità del ripristino in modo continuo.
Tendenza 2: la fiducia nell’identità diventa il nuovo perimetro
Dopo anni di attenzione alla sicurezza “incentrata sull’identità”, il 2026 segna una nuova tappa. La fiducia nelle identità, non solo il controllo degli accessi, definirà la resilienza informatica.
Gli aggressori stanno sfruttando token rubati, chiavi API e autorizzazioni configurate in modo errato per muoversi all’interno di ambienti ibridi senza innescare allarmi. La sfida non consiste più nel verificare chi sia una persona, ma nel sapere se quell’identità sia ancora affidabile dopo essere stata compromessa.
Come scrive Rangasamy, «la resilienza non consiste nell’evitare il fallimento. Si tratta di riprendersi da esso».
La verifica continua e le ricostruzioni pulite e verificabili dell’infrastruttura di identità aiutano a ripristinare la fiducia più velocemente di quanto possano fare gli aggressori.
Tendenza 3: l’esplorazione della catena di fornitura e del SaaS accelera
Le bande di ransomware prendono sempre più di mira gli ecosistemi SaaS e di terze parti, dove una violazione può colpire centinaia di organizzazioni. Le piattaforme RaaS ora automatizzano la ricognizione delle relazioni con i fornitori, esponendo credenziali condivise, pipeline CI/CD e collegamenti API.
Le normative del 2026 richiederanno prove di resilienza da parte dei fornitori. Ciò significa non solo rapporti SOC 2, ma anche la dimostrazione della capacità di ricostruire le dipendenze.
Tendenza 4: il ransomware as a service diventa aziendale
Quello che un tempo assomigliava a un mercato di hacker ora funziona come un franchising di software. Gli operatori RaaS offrono prezzi differenziati, assistenza tecnica e personalizzazione agli affiliati.
Questa industrializzazione del crimine informatico significa che anche gli attori poco qualificati possono noleggiare kit di ransomware potenziati dall’intelligenza artificiale. Le organizzazioni devono considerare il RaaS come un vero e proprio concorrente del settore che innova più velocemente della maggior parte dei difensori aziendali.
Tendenza 5: aumento delle estorsioni di dati e dei ricatti Deepfake
Gli attacchi basati esclusivamente sulla crittografia stanno diventando meno comuni. Gli aggressori ora combinano il furto di dati, i deepfake generati dall’intelligenza artificiale e le comunicazioni sintetiche per estorcere pagamenti o danneggiare la reputazione. Questa nuova ondata di ransomware psicologico prende di mira la fiducia stessa, non solo la tecnologia.
Tendenza 6: la resilienza diventa il parametro più importante
Le aziende leader stanno spostando l’attenzione dalla difesa alla resilienza dimostrata.
Rangasamy definisce la vera cyber-resilienza come «ricostruzione della fiducia», ovvero la capacità verificata di ripristinare le applicazioni business-critical entro poche ore.
La velocità da sola non è più sufficiente. Il ripristino deve essere pulito, non solo veloce.
Il white paper di Commvault «Redefining Cyber Recovery: Introducing Mean Time to Clean Recovery» (Ridefinire il ripristino informatico: introduzione al Mean Time to Clean Recovery) presenta l’MTCR come un nuovo parametro di riferimento per il successo del ripristino.
L’MTCR misura la velocità con cui un’organizzazione è in grado di ripristinare i servizi critici utilizzando dati puliti e verificati, colmando quello che Commvault definisce il divario di cyber-resilienza. Va oltre i tradizionali obiettivi relativi ai tempi e al punto di ripristino per concentrarsi su fiducia, convalida e integrità dei dati, ovvero i fattori che determinano se il ripristino funziona davvero.
I pilastri fondamentali della resilienza includono ora:
- Backup immutabili, eseguiti in tempo reale e convalidati regolarmente.
- Ripristini automatizzati e guidati da policy di interi stack applicativi.
- Test caotici costanti per individuare i punti deboli prima che lo facciano gli aggressori.
- Misurazione e rendicontazione dell’MTCR.
- Visibilità unificata su dati, identità e infrastruttura.
Tendenza 7: l’assicurazione e la regolamentazione in materia di sicurezza informatica inaspriscono i requisiti
I governi e gli assicuratori richiedono sempre più spesso prove di capacità di Recovery convalidate e di ricostruzione testata. Le organizzazioni in grado di dimostrare una Cleanroom Recovery e un’integrità dei dati verificata ottengono approvazioni più rapide dei sinistri e una posizione normativa più solida. Le prove di resilienza stanno rapidamente diventando essenziali quanto gli audit finanziari.
Il bilancio
Il ransomware si è evoluto in un settore basato sui dati e accelerato dall’intelligenza artificiale. La sopravvivenza ora dipende meno dal bloccare ogni attacco e più dal ripristinarsi più velocemente di quanto l’autore dell’attacco riesca ad adattarsi. Il vostro livello di resilienza – misurato in ore, non in giorni – è ora un vantaggio competitivo.
Come conclude Rangasamy, «le organizzazioni che oggi adottano la funzione Rebuild saranno quelle che non solo sopravviveranno agli attacchi di domani, ma ne usciranno rafforzate».
Per saperne di più
Questo blog si basa su approfondimenti tratti da *Il calcolo della resilienza informatica* (O’Reilly Media, 2025), scritto da Govind Rangasamy, Head of Recovery Solutions e Vice President of Portfolio Marketing di Commvault, e dal white paper di Commvault *Redefining Cyber Recovery: Introducing Mean Time to Clean Recovery*. Per ulteriori approfondimenti sull’IA agenziale, il cyber Recovery e le metriche di resilienza, visitate il Readiverse.
Katherine Demacopoulous è direttrice senior della strategia e dei programmi globali relativi ai contenuti presso Commvault.
