Punti chiave
- Nel primo semestre 2026 l'ACN ha rilevato 137 rivendicazioni ransomware contro soggetti italiani: Qilin ne firma il 17%, LockBit 5.0 il 14%, SafePay e Akira il 6% ciascuno.
- Ad agosto 2026 le rivendicazioni sono salite a 49, il valore più alto degli ultimi dodici mesi: Qilin e The Gentlemen al 23% ciascuno, Titan al 18%.
- Il CSIRT Italia ha dedicato a Qilin un bollettino (28/05/2026): accesso da apparati perimetrali Ivanti e Fortinet non aggiornati e da credenziali VPN senza autenticazione a più fattori, poi cifratura degli hypervisor VMware ESXi e attacco ai backup.
- Akira, secondo l'advisory CISA AA24-109A, entra da VPN senza MFA e in alcuni casi ha esfiltrato dati in poco più di due ore dall'accesso iniziale.
- I gruppi cambiano, le porte d'ingresso no: apparati esposti, credenziali, fornitori, backup raggiungibili dalla rete. Sono questi i controlli da mettere in ordine.
- Una rivendicazione non è sempre un attacco confermato: l'ACN avverte che a volte il soggetto coinvolto non la conferma.
Secondo l'Agenzia per la Cybersicurezza Nazionale, il gruppo ransomware con più rivendicazioni contro soggetti italiani nel primo semestre 2026 è Qilin, con il 17% delle 137 rivendicazioni rilevate. Seguono LockBit 5.0 (14%), SafePay e Akira (6% ciascuno). Gli advisory pubblici descrivono porte d'ingresso ricorrenti: apparati esposti non aggiornati, credenziali VPN senza autenticazione a più fattori, fornitori. È lì che conviene lavorare.
Qui trovi i dati ACN sui gruppi attivi in Italia, cosa dicono gli advisory pubblici di CSIRT Italia, CISA ed Europol su Qilin, LockBit e Akira, e quali controlli ne derivano per un'azienda mid-market.
Una premessa sui numeri: rivendicazioni e incidenti non sono la stessa cosa
I gruppi ransomware pubblicano l'elenco delle loro vittime per fare pressione su chi non paga. L'ACN monitora queste pubblicazioni da fonti aperte e le conta come rivendicazioni, con un'avvertenza scritta in nota: talvolta il soggetto coinvolto non le conferma.
Separatamente, l'ACN conta gli eventi ransomware che rileva e tratta: nel primo semestre 2026 sono stati 181, contro i 206 dello stesso periodo del 2025, un calo del 12%. Le rivendicazioni dicono quindi chi è più attivo e visibile, non quanti attacchi ha fatto ciascun gruppo. Restano comunque il modo più diretto per capire con chi ha a che fare chi lavora in Italia.
Quali gruppi ransomware colpiscono l'Italia: i dati ACN
Primo semestre 2026
L'Operational Summary del primo semestre 2026 riporta 137 rivendicazioni a danno di soggetti italiani. La distribuzione per gruppo (Figura 12 del documento):
- Qilin: 17%
- LockBit 5.0: 14%
- SafePay: 6%
- Akira: 6%
- INC e DragonForce: 4% ciascuno
- Cl0p e SpaceBears: 3% ciascuno
- Una coda di gruppi all'1% e un 31% di altri gruppi
Lo stesso rapporto indica i settori più colpiti dal ransomware (manifatturiero, vendita al dettaglio, tecnologico) e la criticità delle vittime: il 12% erano soggetti critici, il 36% a media criticità, il 51% soggetti a criticità minore. Come fattori abilitanti l'ACN elenca le credenziali valide già compromesse, i servizi di accesso remoto o VPN configurati o protetti male e le vulnerabilità note su servizi esposti.
Agosto 2026
Nell'Operational Summary di agosto 2026 le rivendicazioni salgono a 49, il valore più alto dei dodici mesi riportati nel grafico. In testa ci sono Qilin e The Gentlemen (23% ciascuno), poi Titan (18%). L'ACN collega il picco a campagne di sfruttamento di vulnerabilità e segnala un incidente attribuito a Titan contro un fornitore ICT: la cifratura di un'area di dati condivisa ha avuto effetti anche sulle organizzazioni clienti che la usavano.
La classifica cambia di mese in mese. Europol, nell'IOCTA 2026, conta oltre 120 brand ransomware attivi nel 2025 e descrive un ecosistema frammentato, con gruppi che durano poco, cambiano nome e condividono affiliati e codice.
Qilin: cosa dice il bollettino del CSIRT Italia
Su Qilin c'è una fonte italiana dedicata: il bollettino BL01/260528/CSIRT-ITA del 28 maggio 2026. Il CSIRT scrive di aver registrato dall'inizio del 2026 un numero significativo di attacchi attribuibili al gruppo, "prevalentemente rivolti a PMI, tra cui figurano tuttavia anche importanti fornitori di servizi cloud".
Il profilo: attivo dal 2022, modello Ransomware-as-a-Service (chi sviluppa il malware lo mette a disposizione di affiliati che conducono gli attacchi), codice passato da Go a Rust, doppia estorsione con esfiltrazione prima della cifratura. Europol aggiunge che nel 2025 Qilin si è affermato come una delle famiglie ransomware dominanti e che lascia agli affiliati l'80-85% del riscatto, una delle quote più alte del mercato.
Come entra e cosa colpisce
- Apparati perimetrali non aggiornati: vulnerabilità note su Ivanti Endpoint Manager Mobile (CVE-2026-1281, CVE-2026-1340) e su Fortinet FortiOS e FortiProxy (CVE-2024-21762, CVE-2024-55591).
- Credenziali VPN: brute force su SSL VPN (il bollettino cita SonicWall come esempio) o accessi comprati da initial access broker, comprese utenze di fornitori e consulenti. Il CSIRT indica l'assenza di autenticazione a più fattori come una delle principali carenze delle organizzazioni colpite.
- Fornitori: compromissione di servizi cloud e VPN dei fornitori per arrivare ai clienti.
- Hypervisor e backup: cifratura dei datastore VMware ESXi e sfruttamento di CVE-2023-27532 in Veeam Backup & Replication per estrarre credenziali e neutralizzare i backup online.
- Tracce cancellate: strumenti di amministrazione legittimi (Atera, Splashtop, ScreenConnect) usati come canale di comando, log di sistema cancellati, EDR disattivati, esfiltrazione con Rclone, WinSCP e FileZilla.
LockBit 5.0: il ritorno di un nome noto
LockBit è stato per anni il riferimento del settore: secondo l'advisory CISA AA23-165A nel 2022 era la variante ransomware più usata al mondo. Nel febbraio 2024 un'operazione internazionale di polizia, con il coordinamento europeo di Europol, ne ha colpito l'infrastruttura.
Secondo l'IOCTA 2026, nel 2025 LockBit ha tentato più volte di ripartire con successo limitato, ha subito a maggio una fuga di dati interni e a settembre ha rilasciato la versione 5.0, con varianti per Windows, Linux e VMware. In Italia, nel primo semestre 2026, la sigla LockBit 5.0 è la seconda per rivendicazioni secondo l'ACN. Europol segnala anche una coalizione fra DragonForce, LockBit e Qilin annunciata a settembre 2025.
Akira: quello che serve sapere dall'advisory CISA
Akira è attivo da marzo 2023 e, secondo Europol, ha legami con il gruppo Conti. L'advisory CISA AA24-109A, aggiornato il 13 novembre 2025, è uno dei documenti pubblici più completi su un gruppo attivo anche in Italia:
- prende di mira soprattutto aziende medio-piccole, ma ha colpito anche organizzazioni più grandi, con una preferenza per istruzione, manifattura critica, IT, sanità, servizi finanziari e agroalimentare;
- entra spesso da VPN senza autenticazione a più fattori, sfruttando vulnerabilità note su apparati Cisco e SonicWall (CVE-2024-40766), e attacca Veeam (CVE-2023-27532, CVE-2024-40711);
- cifra ambienti VMware ESXi e in un incidente di giugno 2025 ha colpito anche hypervisor Nutanix AHV;
- in alcuni incidenti ha esfiltrato dati in poco più di due ore dall'accesso iniziale;
- a fine settembre 2025 aveva incassato circa 244,17 milioni di dollari di riscatti.
SafePay, The Gentlemen, Titan e gli altri
Per SafePay, The Gentlemen e Titan i dati che citiamo sono solo quelli dell'ACN riportati sopra. Su DragonForce, Europol descrive un gruppo prevalentemente di lingua russa, attivo dal 2023, che costruisce i suoi payload da codice trapelato di Conti e LockBit e offre agli affiliati servizi di analisi dei dati rubati per aumentare la pressione sulle vittime.
Il punto pratico è che, con oltre 120 brand attivi, la difesa non può inseguire i nomi. Può partire da ciò che i documenti ufficiali descrivono in modo ricorrente.
Cosa hanno in comune: le stesse porte d'ingresso
Mettendo in fila ACN, CSIRT Italia, CISA ed Europol, lo schema si ripete:
- Vulnerabilità note su apparati esposti: VPN, firewall, MDM, con CVE pubbliche e già catalogate.
- Credenziali valide, rubate, comprate o indovinate, su accessi remoti senza secondo fattore.
- Fornitori come via d'accesso o come punto di impatto condiviso, come nel caso Titan di agosto.
- Hypervisor e backup come bersaglio principale: la stessa vulnerabilità Veeam (CVE-2023-27532) compare sia nel bollettino su Qilin sia nell'advisory su Akira.
- Strumenti legittimi di amministrazione remota e di trasferimento file, usati per il controllo remoto e l'esfiltrazione.
Cosa implica per la difesa
Le raccomandazioni del CSIRT Italia e di CISA convergono. In pratica, per un'azienda mid-market:
- Aggiorna prima ciò che è esposto. Inventario di VPN, firewall, MDM e interfacce di gestione raggiungibili da Internet, e patch con priorità sulle vulnerabilità sfruttate attivamente. Gli apparati fuori supporto vanno dismessi o isolati. Come organizzare il processo è spiegato nella guida al patch management.
- Autenticazione a più fattori su ogni accesso remoto, comprese le utenze di fornitori e consulenti. CISA raccomanda un MFA resistente al phishing.
- Backup che l'attaccante non raggiunge: almeno una copia offline o immutabile, con credenziali dedicate, e prove di ripristino regolari. Il software di backup va aggiornato come un apparato esposto.
- Gestione degli hypervisor separata: reti di amministrazione dedicate e postazioni riservate alle attività privilegiate, come indica il CSIRT.
- EDR su tutti gli host e log centralizzati in modalità append-only, così che un attaccante che cancella le tracce in locale non cancelli anche la timeline.
- Sorveglianza degli strumenti di accesso remoto: un Atera o uno ScreenConnect che nessuno ha installato è un segnale da trattare come allarme.
- Monitoraggio continuo: se l'esfiltrazione può chiudersi in due ore, il tempo che passa fra ingresso e scoperta decide il danno. Il concetto è spiegato nell'articolo sul dwell time.
- Notifica pronta: per i soggetti NIS2 un incidente significativo richiede la pre-notifica al CSIRT Italia entro 24 ore e la notifica entro 72 (art. 25 del D.Lgs. 138/2024). I passaggi sono nella guida alla notifica degli incidenti NIS2.
Un dettaglio utile: nell'Operational Summary di agosto l'ACN scrive che per ogni rivendicazione rilevata il CSIRT Italia ha contattato il soggetto interessato per dare supporto e indicare le misure di mitigazione. Un contatto del CSIRT va quindi trattato come un avviso operativo, non come una formalità.
In sintesi
Nel 2026 i gruppi ransomware più attivi contro soggetti italiani, secondo l'ACN, sono Qilin, LockBit 5.0, SafePay e Akira, con The Gentlemen e Titan emersi ad agosto. I nomi cambiano in fretta, le tecniche molto meno: apparati esposti non aggiornati, credenziali senza secondo fattore, fornitori, hypervisor e backup. Per il quadro generale degli attacchi in Italia c'è la nostra analisi sugli attacchi cyber in Italia.
Se vuoi capire quanto la tua infrastruttura è esposta a queste tecniche e chi la sorveglia di notte, trovi come lavoriamo nella pagina dei servizi di cybersecurity.