L’attività ransomware ha registrato una brusca accelerazione nel luglio 2026. Secondo i dati diffusi da Check Point Research, la divisione di Threat Intelligence di Check Point Software Technologies, nel corso del mese sono state segnalate 964 vittime, il 49% in più rispetto a giugno e l’87% in più rispetto allo stesso periodo del 2025.
L’aumento si inserisce in un quadro più ampio di pressione sulle organizzazioni. A luglio, ogni azienda o ente monitorato ha subito in media 2.336 attacchi informatici alla settimana, con una crescita del 3% rispetto al mese precedente e del 16% su base annua. Rispetto a maggio, l’incremento medio ha raggiunto il 13,7%, un andamento che suggerisce una tendenza persistente e non un singolo picco isolato.
Alla crescita degli attacchi tradizionali si aggiunge un rischio più recente: l’esposizione di informazioni aziendali attraverso gli strumenti di intelligenza artificiale generativa. I dati di Check Point indicano che un prompt su 36 inviato dalle reti aziendali presentava un rischio elevato di perdita di dati sensibili, mentre le organizzazioni utilizzavano in media otto diversi strumenti di GenAI.
Il ransomware interrompe la relativa stabilità del primo semestre
Il dato più netto riguarda il ransomware, la forma di attacco nella quale i criminali bloccano o sottraggono dati e chiedono un pagamento per ripristinarli, non divulgarli o entrambe le cose. Nei modelli di doppia estorsione, in particolare, i gruppi non si limitano a cifrare i sistemi: minacciano anche di pubblicare i documenti sottratti per aumentare la pressione sulla vittima.
Durante la prima metà del 2026 erano stati osservati in media circa 672 incidenti ransomware al mese. Le 964 vittime segnalate a luglio rappresentano quindi una discontinuità rispetto all’andamento precedente, oltre che un aumento vicino al raddoppio su base annua.
Il dato richiede tuttavia una precisazione metodologica. Le informazioni utilizzate per misurare il fenomeno provengono dai cosiddetti “shame site”, i siti attraverso i quali i gruppi criminali rendono pubblici i nomi delle vittime. Queste fonti permettono di seguire una parte rilevante dell’attività ransomware, ma presentano limiti inevitabili: non tutti gli incidenti vengono pubblicati, alcune rivendicazioni possono essere incomplete o difficili da verificare e le organizzazioni che pagano rapidamente potrebbero non comparire.
Le 964 segnalazioni non devono quindi essere interpretate come il numero totale degli attacchi ransomware avvenuti nel mondo. Rappresentano piuttosto la porzione visibile del fenomeno attraverso le pubblicazioni dei gruppi di doppia estorsione. Anche con questa cautela, l’aumento mensile e annuale mostra un’accelerazione significativa.
Servizi alle imprese e manifattura tra i settori più esposti
I servizi alle imprese sono stati il comparto maggiormente colpito dal ransomware a luglio, con il 32,5% delle vittime pubblicate. In pratica, quasi un caso segnalato su tre ha riguardato aziende che forniscono servizi ad altre organizzazioni.
La concentrazione in questo settore può avere conseguenze che superano il perimetro della singola vittima. I fornitori di servizi gestiscono spesso dati, processi e collegamenti appartenenti a più clienti; una loro compromissione potrebbe quindi produrre effetti lungo l’intera catena di fornitura.
Al secondo posto si colloca il manifatturiero, con il 14,4% delle vittime, seguito dai beni e servizi di consumo con il 13,4%. Sanità e settore medicale rappresentano il 5,7%, l’Information Technology il 5,2% e i servizi finanziari il 4,9%. Seguono settore governativo, trasporti e logistica, automotive e istruzione.
Il dato relativo alla manifattura resta particolarmente rilevante perché un attacco può interrompere non soltanto i sistemi informatici amministrativi, ma anche la produzione, la logistica e i rapporti con i fornitori. Negli ambienti industriali, inoltre, il ripristino può essere complicato dalla presenza di tecnologie operative, macchinari e software con cicli di vita più lunghi rispetto alle normali applicazioni aziendali.
Stati Uniti al primo posto, Italia nella top five del ransomware
Il Nord America ha concentrato il 45% degli incidenti ransomware segnalati, mantenendo il primato regionale. L’Europa ha rappresentato il 28% delle vittime e la regione Asia-Pacifico il 17%. Un ulteriore 5% dei casi non è stato associato a un’area geografica definita ed è stato escluso dal confronto regionale.
A livello nazionale, gli Stati Uniti hanno raccolto il 39,4% delle vittime pubblicate. Seguono Germania con il 5%, Canada con il 4,4%, Regno Unito con il 3,5% e Italia con il 3%. Il nostro Paese si colloca così tra i primi cinque per numero di vittime ransomware rese note dai gruppi criminali nel mese.
Anche il dato generale sugli attacchi mostra una pressione rilevante sull’Italia. Check Point Research ha registrato una media di 2.755 attacchi settimanali per organizzazione, il 14% in più su base annua. Questo valore non riguarda esclusivamente il ransomware, ma l’insieme degli attacchi informatici rilevati.
La presenza dell’Italia nelle posizioni più alte non significa necessariamente che le imprese italiane siano intrinsecamente meno protette di quelle di ogni altro Paese. Il risultato può essere influenzato dal numero di organizzazioni monitorate, dalla struttura produttiva e dalla visibilità delle vittime. Indica però che il mercato italiano rappresenta un obiettivo concreto per gruppi capaci di colpire aziende di differenti dimensioni e settori.
The Gentlemen e Qilin guidano le rivendicazioni
Nel panorama dei gruppi ransomware, The Gentlemen e Qilin sono risultati i più attivi a luglio: ciascuno è stato associato al 14% degli attacchi pubblicati. DeadLock si è collocato al terzo posto con il 10% e 97 vittime segnalate.
The Gentlemen viene descritto come un’operazione Ransomware-as-a-Service avviata a metà del 2025. Il modello Ransomware-as-a-Service, o RaaS, separa generalmente lo sviluppo e la gestione dell’infrastruttura criminale dall’esecuzione concreta degli attacchi: gli affiliati utilizzano strumenti e servizi messi a disposizione dagli operatori, condividendo con loro una parte dei ricavi.
Il gruppo combinerebbe l’attività ransomware con quella di “initial access broker”, ossia la compravendita di accessi già compromessi alle reti aziendali. Questa integrazione può abbreviare i tempi necessari per passare dall’intrusione iniziale all’estorsione.
Qilin è invece un gruppo già consolidato, con vittime segnalate a partire dal 2022. Secondo l’analisi, il suo modello di affiliazione e una nuova fase di reclutamento avrebbero contribuito alla crescita delle rivendicazioni.
DeadLock, osservato per la prima volta nel luglio 2025, avrebbe impiegato tecniche basate su blockchain per modificare gli indirizzi proxy utilizzati nelle comunicazioni di comando e controllo. Al gruppo viene attribuito anche l’impiego di strumenti legittimi per la gestione remota. È una strategia rilevante perché l’uso di programmi normalmente impiegati dagli amministratori può rendere più difficile distinguere le operazioni autorizzate dalle attività dell’attaccante.
L’istruzione rimane il settore più attaccato
Considerando l’insieme delle minacce informatiche, e non soltanto il ransomware, l’istruzione è rimasta il settore più bersagliato. Scuole, università e altre organizzazioni educative hanno ricevuto in media 4.848 attacchi settimanali, il 14% in più rispetto a luglio 2025.
Il settore governativo si è posizionato al secondo posto con 3.044 attacchi alla settimana per organizzazione, in aumento dell’11%. Le telecomunicazioni hanno raggiunto quota 2.927, con una crescita del 6%.
Energia e utility sono salite al quarto posto con 2.759 attacchi settimanali e un aumento del 20% su base annua. Hospitality, viaggi e tempo libero hanno completato le prime cinque posizioni con 2.614 attacchi e una crescita del 28%. Secondo l’interpretazione proposta da Check Point, quest’ultimo incremento potrebbe essere collegato alla maggiore esposizione del settore durante la stagione dei viaggi estivi.
Le organizzazioni educative rappresentano un bersaglio complesso da difendere: gestiscono grandi quantità di dati personali, devono offrire accesso a popolazioni numerose e variabili e utilizzano spesso infrastrutture eterogenee. A questi fattori possono aggiungersi risorse economiche e personale di sicurezza inferiori rispetto a quelli delle grandi imprese.
America Latina prima per volume, Europa in forte crescita
L’America Latina ha registrato il maggior numero medio di attacchi, con 3.561 eventi settimanali per organizzazione, il 19% in più rispetto all’anno precedente. La regione Asia-Pacifico ha raggiunto quota 3.316, in crescita del 12%.
L’Africa si è collocata al terzo posto con 3.237 attacchi settimanali, nonostante una diminuzione del 5% su base annua. L’Europa ha registrato un volume inferiore, pari a 2.051 attacchi, ma uno dei tassi di crescita più elevati: +18% rispetto a luglio 2025. Il Nord America ha chiuso il confronto con una media di 1.613 attacchi e un aumento del 9%.
Il volume assoluto e il tasso di crescita descrivono aspetti differenti del rischio. Una regione può avere un numero medio di attacchi più contenuto ma attraversare una fase di rapida accelerazione. Per le organizzazioni europee, il dato annuale suggerisce quindi la necessità di valutare non soltanto la situazione attuale, ma anche la velocità con cui il panorama delle minacce sta cambiando.
La GenAI introduce un nuovo problema di esposizione dei dati
La diffusione dell’intelligenza artificiale generativa sta creando un’ulteriore superficie di rischio. Il pericolo non dipende necessariamente da un attacco diretto al modello: può nascere anche dalle informazioni che i dipendenti inseriscono nei prompt per ottenere analisi, riassunti, traduzioni, codice o documenti.
A luglio, un prompt su 36 proveniente da reti aziendali presentava un rischio elevato di esposizione di dati sensibili. L’88% delle organizzazioni che utilizzavano regolarmente la GenAI è stato interessato da attività di prompt considerate ad alto rischio, mentre il 22% dei prompt conteneva informazioni potenzialmente sensibili.
Secondo i dati raccolti, ogni organizzazione utilizzava in media otto strumenti di intelligenza artificiale generativa e ciascun utente produceva mediamente 95 prompt nel corso del mese. La moltiplicazione dei servizi rende più difficile applicare policy uniformi, controllare dove vengano conservati i contenuti e sapere quali condizioni di trattamento siano previste dai singoli fornitori.
I dati personali sono risultati la categoria sensibile più diffusa, riscontrata nel 70% delle organizzazioni. Dati finanziari e informazioni sull’infrastruttura di rete e IT erano presenti nel 68%, quelli legali e normativi nel 63% e i contenuti relativi a dipendenti e risorse umane nel 62%.
Servizi alle imprese, sanità e settore medicale hanno mostrato il rischio più elevato, seguiti dall’Information Technology e dal comparto governativo. Il quadro suggerisce che la GenAI non sia più soltanto un tema di sperimentazione tecnologica: è diventata una questione di governance dei dati che coinvolge trasversalmente reparti, persone e processi.
Policy e formazione non avanzano alla velocità degli strumenti
L’adozione di otto servizi diversi in una singola organizzazione può produrre una frammentazione difficile da governare. Alcuni strumenti potrebbero essere autorizzati e gestiti centralmente; altri potrebbero essere stati introdotti autonomamente dai dipendenti, senza una valutazione della sicurezza o delle modalità con cui i dati vengono utilizzati.
Bloccare indiscriminatamente la GenAI rischierebbe di spingere gli utenti verso servizi non controllati. Consentirne l’impiego senza regole, d’altra parte, può esporre informazioni personali, finanziarie, tecniche o legali. La risposta richiede quindi una combinazione di strumenti approvati, classificazione dei dati, formazione e controlli proporzionati ai casi d’uso.
Le aziende dovranno chiarire quali contenuti possano essere inseriti nei modelli, quali applicazioni siano consentite e come gestire le eccezioni. Sarà inoltre necessario verificare se i dati vengano conservati, utilizzati per addestrare i sistemi o trasferiti verso infrastrutture esterne.
Il mercato della sicurezza potrebbe beneficiare della domanda di soluzioni capaci di rendere visibile l’impiego dell’IA e di applicare regole coerenti tra servizi diversi. Resta però da verificare quanto questi strumenti riescano a distinguere un uso legittimo da uno rischioso senza rallentare il lavoro o produrre un numero eccessivo di segnalazioni.
L’email resta una porta d’ingresso ad alto volume
Mentre emergono nuovi rischi legati alla GenAI, l’email continua a rappresentare uno dei principali punti di ingresso per gli attaccanti. A luglio, un messaggio ogni 128, pari allo 0,78%, è stato classificato come phishing.
Un ulteriore 20% delle email analizzate è rientrato in categorie indesiderate o rischiose, tra cui spam, messaggi sospetti e graymail. Quest’ultima definizione comprende comunicazioni non necessariamente malevole, ma poco desiderate o difficili da classificare, che aumentano il rumore all’interno delle caselle di posta.
L’Africa ha registrato il tasso di phishing più elevato, con un messaggio ogni 106, seguita dal Nord America con uno ogni 117. Le email fraudolente possono avviare catene di attacco più estese, dal furto delle credenziali alla distribuzione di malware, fino alla Business Email Compromise, nella quale il criminale impersona dirigenti, fornitori o partner per ottenere pagamenti o informazioni riservate.
La persistenza dell’email dimostra che l’innovazione delle minacce non sostituisce necessariamente le tecniche precedenti. Gli attaccanti possono combinare canali tradizionali, strumenti legittimi, credenziali rubate e infrastrutture più sofisticate all’interno della stessa operazione.
La difesa deve coprire identità, dati e infrastrutture
I dati di luglio descrivono un panorama nel quale più fattori di rischio si sovrappongono: crescita generale degli attacchi, accelerazione del ransomware, phishing ad alto volume ed esposizione di dati attraverso gli strumenti di intelligenza artificiale.
Per le aziende, la conseguenza è che la sicurezza non può essere affidata a un singolo prodotto o concentrata soltanto sulla rete. È necessario coordinare la protezione di endpoint, servizi cloud, posta elettronica, identità digitali e applicazioni di IA, mantenendo al tempo stesso una visione dei dati che attraversano questi ambienti.
Check Point propone un approccio orientato alla prevenzione e un’architettura unificata per proteggere reti ibride, ambienti multicloud, spazi di lavoro digitali e sistemi di IA. Queste indicazioni riflettono la strategia commerciale dell’azienda; i dati presentati non costituiscono un confronto indipendente tra le sue soluzioni e quelle di altri fornitori.
La priorità operativa resta la riduzione delle opportunità a disposizione degli attaccanti: autenticazione resistente al phishing, privilegi limitati, segmentazione delle reti, backup separati e verificati, aggiornamento dei sistemi e controllo dell’uso della GenAI. Nessuna singola misura elimina il rischio, ma una difesa distribuita può impedire che la compromissione iniziale si trasformi in un incidente esteso.
L’aumento dell’87% delle vittime ransomware segnalate non permette ancora di stabilire se luglio rappresenti l’inizio di una nuova fase di crescita o un picco temporaneo. Mostra però quanto rapidamente possa cambiare il livello della minaccia. La capacità di vedere dove si muovono dati, credenziali e attività anomale diventa quindi essenziale quanto la capacità di bloccare il singolo attacco.
