Un nuovo caso analizzato da Kaspersky mostra un cambio di paradigma nei ransomware: invece di installare malware su ogni PC, gli attaccanti hanno usato le Group Policy di Active Directory per colpire l’intero dominio in modo centralizzato. Per un’azienda questo conta molto, perché significa che uno degli strumenti più affidabili dell’amministrazione Windows può diventare, se compromesso, il veicolo dell’attacco stesso.
Cosa è successo davvero
Il 22 settembre 2026 Cyber Security 360 ha riportato l’analisi di un incidente studiato dal Global Emergency Response Team (GERT) di Kaspersky relativo a PAYLOAD, un ransomware con una caratteristica insolita: non segue il percorso classico che molti responsabili IT si aspettano.
Nel modello più noto, un attacco ransomware passa da alcune fasi abbastanza prevedibili: ingresso nella rete, aumento dei privilegi, spostamento laterale, disattivazione delle difese, diffusione del malware e infine cifratura dei sistemi. Nel caso di PAYLOAD, invece, manca proprio il passaggio che di solito fa scattare gli allarmi: non serve distribuire un malware tradizionale su ogni singolo computer.
Secondo quanto riportato, gli attaccanti hanno sfruttato le Group Policy di Active Directory per impartire istruzioni a livello di dominio. In pratica, hanno trasformato un meccanismo legittimo di amministrazione centralizzata in uno strumento di attacco. Il punto chiave non è solo tecnico: se il cuore della gestione Windows viene alterato, l’impatto può essere simultaneo su molti sistemi e molto più difficile da fermare in tempo.
Perché questo attacco è diverso dai ransomware “classici”
La differenza principale è che PAYLOAD, per come descritto nell’incidente analizzato, non ha bisogno di lasciare le tracce tipiche che molte aziende cercano: eseguibili sospetti sui PC, processi anomali, agent malevoli installati in massa o file immediatamente riconducibili a una campagna ransomware tradizionale.
Questo rende l’attacco più insidioso per tre motivi.
Il primo è psicologico e operativo: molte difese sono progettate per intercettare software malevolo sugli endpoint. Se l’azione dannosa passa invece da strumenti amministrativi interni e considerati affidabili, il rilevamento può arrivare tardi.
Il secondo è la scala. Active Directory esiste proprio per applicare regole e configurazioni a molti sistemi insieme. Se un criminale prende il controllo di quel livello, ottiene lo stesso vantaggio dell’amministratore di rete: velocità, ampiezza e uniformità di esecuzione.
Il terzo è la fiducia implicita. In tante infrastrutture Windows, le Group Policy sono una parte fondamentale della gestione quotidiana: installano configurazioni, definiscono permessi, applicano restrizioni. Proprio perché sono “normali”, rischiano di non essere osservate con il livello di attenzione riservato ad altri eventi di sicurezza.
Active Directory: perché è un obiettivo così prezioso
Per capire la gravità del caso, conviene uscire dal gergo tecnico. Active Directory non è semplicemente un componente server: è spesso il centro nevralgico dell’identità aziendale. Gestisce utenti, gruppi, autenticazioni, criteri di accesso e impostazioni comuni dei PC Windows.
Quando un attaccante ottiene un controllo elevato su questo ambiente, non sta solo entrando in un server. Sta entrando nel punto da cui si decide chi può fare cosa, dove e con quali autorizzazioni.
Per questo un attacco che sfrutta le Group Policy è particolarmente serio. Non colpisce un solo computer vulnerabile, ma il sistema che governa molti computer contemporaneamente. Per una PMI o per uno studio professionale con infrastruttura Microsoft, significa che la compromissione di Active Directory può trasformare un incidente locale in una crisi diffusa.
Cosa ci insegna il caso PAYLOAD
Il messaggio più importante è semplice: non basta più chiedersi se sui PC ci sia un malware riconoscibile. Bisogna chiedersi anche se gli strumenti di amministrazione interna siano protetti, monitorati e separati in modo adeguato.
Per anni molte aziende hanno concentrato gli sforzi soprattutto su antivirus, filtro e-mail e firewall perimetrali. Restano elementi essenziali, ma episodi come questo ricordano che la sicurezza moderna dipende molto anche dal controllo delle identità privilegiate, dalla qualità dell’amministrazione di dominio e dalla capacità di rilevare modifiche anomale nelle policy.
In altri termini, l’attacco non passa sempre dalla porta principale. A volte usa il telecomando dell’amministratore.
I segnali deboli che un’azienda rischia di sottovalutare
Un rischio concreto per molte organizzazioni è considerare “tecnici” e quindi secondari gli eventi relativi alle Group Policy, ai privilegi di dominio o agli account amministrativi. In realtà sono proprio questi gli ambiti che meritano maggiore attenzione.
Un cambiamento inatteso nelle policy, la creazione di nuovi privilegi, l’uso inconsueto di account con poteri elevati o attività amministrative fuori orario possono essere segnali da approfondire. Non sono automaticamente prova di compromissione, ma ignorarli è pericoloso.
Il problema, soprattutto nelle PMI, è che spesso la gestione quotidiana dell’IT assorbe tutto il tempo disponibile: utenti da supportare, aggiornamenti da fare, stampanti, posta elettronica, software gestionali. In questo contesto il controllo puntuale di Active Directory finisce facilmente in secondo piano.
Ed è proprio qui che si apre lo spazio per attacchi più sofisticati.
Cosa significa per la tua azienda
Se la tua rete Windows usa Active Directory, il caso PAYLOAD è un promemoria molto pratico: la sicurezza del dominio va trattata come una priorità di business, non come un dettaglio tecnico.
Ecco le azioni più utili, soprattutto per una PMI italiana.
1. Riduci e separa i privilegi amministrativi. Non tutti gli addetti IT devono avere gli stessi diritti, e gli account amministrativi non dovrebbero essere usati per le attività ordinarie. Meno privilegi distribuiti significa meno possibilità di abuso o furto di credenziali.
2. Controlla chi può modificare le Group Policy. Le policy di dominio devono avere proprietari chiari, procedure autorizzative e registrazione delle modifiche. Se tutti possono intervenire, il rischio cresce molto.
3. Monitora le variazioni critiche nel dominio. Le modifiche a GPO, gruppi privilegiati e account amministrativi dovrebbero generare verifiche tempestive. Non serve solo prevenire: serve anche accorgersi rapidamente se qualcosa cambia in modo anomalo.
4. Metti in sicurezza backup e procedure di ripristino. Se un attacco colpisce in modo centralizzato, la capacità di recupero è decisiva. Backup separati, verificati e ripristinabili riducono i tempi di fermo. Se vuoi rafforzare questo aspetto, una soluzione di remote backup ben progettata è uno dei punti da cui partire.
5. Aggiorna la gestione quotidiana degli endpoint e dei server. Una buona amministrazione non è solo manutenzione ordinaria: include controllo delle configurazioni, patching, inventario e verifica degli asset critici. In questo senso, servizi strutturati di desktop IT management aiutano a mantenere standard più coerenti.
6. Prepara una risposta agli incidenti prima che serva. Sapere in anticipo chi decide, chi isola i sistemi, chi contatta fornitori e consulenti e come si comunica all’interno dell’azienda riduce il caos nei momenti peggiori.
7. Fai verificare l’architettura di sicurezza, non solo i singoli PC. L’attenzione deve includere identità, dominio, policy, accessi remoti e amministrazione dei server. Un approccio più ampio alla sicurezza informatica è oggi indispensabile.
Perché le PMI sono particolarmente esposte
Le grandi aziende, almeno in teoria, hanno team dedicati alla sicurezza e monitoraggio continuo. Le PMI invece spesso dipendono da infrastrutture molto importanti gestite con risorse limitate. Questo non significa essere meno prudenti; significa avere meno tempo e meno specialisti per seguire tutto.
Active Directory, proprio perché semplifica la gestione centralizzata, è diffusissima anche in ambienti non enormi. Ma la centralizzazione, se non è governata bene, centralizza anche il rischio.
Un’altra criticità tipica è l’eredità tecnica: account amministrativi storici, policy stratificate negli anni, utenti con privilegi non più necessari, server rimasti troppo a lungo in produzione senza revisione completa. Un attaccante trae vantaggio esattamente da questo tipo di complessità silenziosa.
La lezione strategica: fiducia sì, ma verificata
Il caso PAYLOAD non dimostra che Active Directory sia “insicuro” in sé. Dimostra piuttosto che ogni strumento potente di amministrazione, se compromesso, diventa un moltiplicatore di danno.
La lezione per imprenditori e responsabili d’ufficio è molto concreta: non bisogna valutare la sicurezza solo in base a quanti antivirus ci sono o a quanti messaggi di phishing vengono bloccati. Bisogna capire anche quali sistemi interni hanno il potere di cambiare l’intera rete e quali controlli proteggono quel potere.
In breve, la domanda giusta non è solo “possiamo essere infettati?”, ma anche “quali strumenti interni potrebbero essere usati contro di noi se qualcuno ottenesse accesso privilegiato?”.
Domande frequenti
PAYLOAD cifra i file come un ransomware tradizionale?
Dalle informazioni riportate sul caso analizzato da Kaspersky, l’elemento distintivo è soprattutto il metodo di distribuzione tramite Group Policy, non il classico malware installato su ogni PC.
Se abbiamo un antivirus aggiornato siamo protetti?
Non necessariamente in modo sufficiente. Se l’attacco sfrutta strumenti amministrativi legittimi, l’antivirus da solo può non bastare: servono controlli su privilegi, policy e attività di dominio.
Questo rischio riguarda solo le grandi aziende?
No. Anche una PMI con infrastruttura Windows e Active Directory può essere colpita, perché il bersaglio è il sistema di amministrazione centralizzata, non solo la dimensione dell’organizzazione.