Ransomware e AI: come cambiano gli attacchi alle PMI

Gli attacchi ransomware stanno entrando in una nuova fase: non si limitano più a sfruttare vulnerabilità note, ma usano anche agenti di intelligenza artificiale per accelerare ricognizione, movimento laterale ed estorsione. Per un’azienda questo significa una cosa molto concreta: se sono esposti su Internet VPN, strumenti di assistenza remota, pannelli di gestione o credenziali riutilizzate, il tempo tra la falla e il danno si accorcia drasticamente.

Il 23 ottobre 2026 The Hacker News ha riportato i risultati di una ricerca di SOCRadar su un’infrastruttura esposta collegata ad affiliati dei gruppi ransomware INC e The Gentlemen. Il punto chiave non è solo “hanno usato l’AI”, ma come l’hanno usata: un operatore umano impartisce istruzioni e approva i passaggi, mentre gran parte dell’operatività tecnica viene eseguita da un framework automatizzato. In pratica, più velocità, più scala, più pressione sulle difese aziendali.

Cosa è emerso dall’indagine

Secondo la ricerca, al centro dell’operazione c’è un framework chiamato “Phantom”, descritto come una sorta di catena di attacco autonoma per attività di intrusione. L’attore analizzato viene valutato come russofono e non agisce solo come esecutore di intrusioni e di estorsione sui dati, ma anche come fornitore di infrastruttura a supporto di altri partner nell’ecosistema ransomware.

Dall’analisi di una directory esposta su un server sono emersi 8.257 messaggi distribuiti su 133 sessioni. Questo dettaglio è rilevante perché mostra un’attività strutturata, non sperimentale: non stiamo parlando di un singolo attacco improvvisato, ma di un modello operativo ripetibile.

L’aspetto più interessante è la struttura “AI-executed, human-approved”: l’operatore fornisce un prompt specifico per la vittima e verifica gli step, mentre l’esecuzione pratica passa attraverso strumenti di codifica e modelli commerciali ospitati da terze parti. Quando i modelli rifiutavano determinate richieste, gli operatori avrebbero riformulato i prompt come se si trattasse di una valutazione autorizzata di red team. Questo suggerisce un uso pragmatico dell’AI: non sostituisce il criminale, ma gli consente di lavorare più in fretta e con procedure più standardizzate.

Come entrano in azienda

La ricerca indica che l’accesso iniziale avveniva sfruttando su larga scala sistemi edge e di accesso remoto esposti su Internet. Fra i bersagli citati compaiono FortiClient EMS, SimpleHelp, cPanel e gateway VPN. In altre parole, gli aggressori hanno concentrato l’attenzione su tutto ciò che permette accesso remoto, amministrazione o gestione centralizzata.

Le vulnerabilità menzionate nei registri operativi comprendono:

• CVE-2024-57727, SimpleHelp path traversal, indicata come sfruttata attivamente
• CVE-2026-35616, bypass di autenticazione in Fortinet FortiClient, indicata come sfruttata attivamente
• CVE-2026-41940, bypass di autenticazione in cPanel/WHM, indicata come sfruttata attivamente
• CVE-2026-15409, SSRF su SonicWall SMA 1000, preparata per il targeting ma senza compromissioni confermate
• CVE-2026-63030 su WordPress, descritta come sviluppata
• CVE-2026-42208 su LiteLLM, descritta come sviluppata o referenziata
• CVE-2026-9082 su Drupal, descritta come sviluppata o referenziata

Il dato importante, per chi gestisce un’azienda, è che l’obiettivo non è solo “bucare un server”. Gli attaccanti cercano il punto d’ingresso più semplice e poi allargano rapidamente il perimetro. Se il dispositivo esposto non è aggiornato o se dietro c’è una password riutilizzata, il danno si moltiplica.

Cosa fanno dopo l’accesso iniziale

Una volta entrati, gli operatori seguivano uno schema ricorrente: mappatura del dominio, tentativi di elevazione a domain admin, furto di credenziali, selezione dei dati più sensibili e raccolta tramite tunnel reverse-SOCKS. Le aree considerate prioritarie comprendevano finanza, risorse umane, legale ed executive management.

Questo è un cambio di prospettiva che le aziende devono interiorizzare. Il ransomware non è più solo cifratura dei file e blocco operativo. Sempre più spesso il cuore dell’estorsione è il dato: contratti, stipendi, documentazione HR, bilanci, corrispondenza dirigenziale, informazioni su clienti e partner.

La ricerca sottolinea anche il peso del riutilizzo delle credenziali. In un caso, una sola password riutilizzata avrebbe consentito accesso a VPN, server, piattaforme RMM, backup e sistemi di gestione della sicurezza. È un esempio perfetto di come un’abitudine apparentemente banale trasformi un incidente in una compromissione totale.

Sul fronte evasione, gli operatori avrebbero tentato di indebolire i prodotti di sicurezza con tecniche BYOVD, cioè l’abuso di driver legittimi ma vulnerabili per disattivare o aggirare le difese. I loro stessi log, però, riporterebbero risultati non sempre uniformi contro gli EDR aziendali: un segnale utile, perché conferma che difese ben configurate possono ancora fare la differenza.

Gli strumenti usati: automazione, tunnel e persistenza

L’ecosistema descritto da SOCRadar includeva più componenti specializzate. Phantom sarebbe il framework offensivo AI con 18 moduli, capace di supportare attività come ricognizione, reverse engineering, ricerca di exploit, steganografia, analisi della telemetria e identificazione degli EDR.

Accanto a questo compaiono:

• WormGPT-MCP, con 32 server MCP collegati ad altrettanti moduli
• Ghost C2, una famiglia di impianti polimorfici per il controllo remoto dei sistemi compromessi
• RevSocks, usato per muoversi all’interno della rete e preparare l’esfiltrazione
• QuickLine, un agente collegato a Mythic e mascherato dietro Cloudflare
• strumenti per disattivare EDR, inclusi componenti che abusano del driver zam64.sys
• programmi per l’esfiltrazione dei dati, come rks3 e BackupAgent

Per una PMI, l’insegnamento non è memorizzare tutti questi nomi. È capire che l’attaccante moderno non opera con un solo malware, ma con una catena di strumenti: uno entra, uno si muove, uno ruba credenziali, uno esfiltra dati, uno mantiene la persistenza, uno ostacola le difese. E l’AI contribuisce a coordinare questa catena.

Perché l’estorsione sui dati è il vero rischio

L’analisi dei registri di estorsione avrebbe mostrato un approccio fortemente orientato ai dati sottratti. Gli aggressori esaminavano i documenti finanziari per stimare quanto la vittima potesse pagare senza coinvolgere banca o assicurazione, inviavano campioni “dimostrativi” del materiale rubato, aumentavano la pressione con chiamate di vishing e minacciavano di avvisare clienti, partner e autorità.

Se il pagamento non arrivava entro 24-72 ore, i dati venivano pubblicati sui leak site. Non sono emersi portafogli o prove di pagamento che permettano di ricostruire gli esiti economici finali, ma il metodo è chiaro: l’interruzione operativa è solo una leva; il danno reputazionale e normativo è spesso l’arma principale.

Secondo la ricerca, le organizzazioni prese di mira sarebbero state 62, di cui quattro finite sui siti di leak di INC e The Gentlemen. Oltre il 50% dei bersagli era negli Stati Uniti. I settori più colpiti risultano industriale, manifatturiero ed energia, seguiti da sanità e farmaceutico. Sono comparti dove la continuità operativa e la riservatezza dei dati hanno un valore immediato, e quindi aumentano la pressione a pagare.

Cosa significa per la tua azienda

Per una PMI italiana il messaggio è semplice: non serve essere una multinazionale per finire nel mirino. Se hai servizi esposti su Internet, accessi remoti, fornitori che usano strumenti di assistenza, backup accessibili con le stesse credenziali del dominio o password riutilizzate, oggi il tuo rischio è più alto perché l’attaccante può automatizzare meglio il lavoro.

Le priorità pratiche sono queste:

1. Verifica subito cosa è esposto su Internet. VPN, firewall, pannelli cPanel, strumenti RMM, accessi di assistenza remota e gateway di sicurezza devono essere censiti, aggiornati e protetti. Se non sai con certezza cosa è pubblicamente raggiungibile, il primo problema è di visibilità.

2. Riduci il riutilizzo delle credenziali. Password diverse per servizi critici, autenticazione multifattore dove disponibile, revisione degli account privilegiati e dismissione degli accessi non più necessari. Il riuso delle password resta uno dei moltiplicatori di danno più sottovalutati.

3. Segmenta backup e strumenti di gestione. Se backup, sicurezza endpoint e amministrazione remota sono raggiungibili con le stesse credenziali dell’infrastruttura ordinaria, un singolo furto di account può compromettere tutto. È fondamentale avere copie di sicurezza separate e verificabili, anche con soluzioni di remote backup.

4. Aggiorna con priorità i sistemi esposti. Non tutti gli aggiornamenti hanno lo stesso peso: quelli che riguardano accesso remoto, autenticazione e console amministrative devono stare in cima alla lista.

5. Controlla i privilegi e i movimenti laterali. Se un account utente può arrivare troppo facilmente a cartelle HR, dati finanziari o server critici, l’attaccante troverà poca resistenza. Servono separazione dei ruoli, condivisioni riviste e amministrazione più rigorosa degli endpoint, anche tramite servizi di desktop IT management.

6. Preparati all’incidente prima che accada. Chi decide? Chi isola i sistemi? Come si comunica a clienti e fornitori? Come si gestisce l’eventuale impatto sui dati personali? In presenza di dati personali, la componente normativa non è secondaria e va integrata con le misure di sicurezza informatica.

Il punto non è inseguire ogni nuovo nome di malware, ma abbassare la superficie d’attacco e impedire che un accesso iniziale diventi una compromissione completa.

Una lezione chiara: l’AI non rende gli attacchi “magici”, li rende più efficienti

C’è un rischio di fraintendimento quando si parla di cybercrime e intelligenza artificiale. Non siamo davanti a una macchina che attacca da sola senza limiti. Siamo davanti a gruppi criminali che usano l’AI per standardizzare procedure, documentare meglio le vittime, accelerare analisi e rendere più rapida la catena decisionale.

Per le aziende, quindi, la risposta non è il panico ma la disciplina operativa: patching prioritario, MFA, controllo degli accessi, backup separati, monitoraggio e procedure. Gli attaccanti guadagnano velocità; le imprese devono guadagnare ordine.

Domande frequenti

L’intelligenza artificiale rende inevitabile il ransomware?

No. L’AI può accelerare alcune fasi dell’attacco, ma non annulla il valore di patching, MFA, segmentazione, backup isolati e monitoraggio. Le difese di base ben applicate restano decisive.

Le PMI sono davvero un bersaglio interessante?

Sì. Spesso hanno meno risorse interne, molti servizi esposti e processi dipendenti da pochi sistemi critici. Questo le rende obiettivi pratici per campagne scalabili.

Se ho un backup, sono al sicuro?

Non sempre. Se il backup è raggiungibile con le stesse credenziali o dallo stesso perimetro compromesso, può essere cancellato o cifrato. Il backup deve essere separato, verificato e ripristinabile.