Il nuovo bersaglio del ransomware sono le persone

Il confine tra criminalità informatica e criminalità “fisica” è sempre più sottile. Se cifrare i dati, bloccare i sistemi o minacciare la pubblicazione di informazioni riservate non basta a convincere un’organizzazione a pagare, i criminali possono spostare la pressione su un altro terreno: quello delle persone.

Dipendenti, dirigenti e familiari diventano bersagli di intimidazioni che possono arrivare fino alle minacce di violenza fisica o alla diffusione di informazioni personali.

È una delle tendenze che emergono dal 2026 Ransomware Report di Semperis, realizzato in collaborazione con la società di ricerca Censuswide su 1.200 professionisti di cyber security di nove Paesi. L’indagine, condotta nella prima metà del 2026, descrive le esperienze di organizzazioni che hanno già subito almeno un attacco ransomware riuscito.

Quindi, non una fotografia “astratta” dello scenario, ma un’analisi delle strategie di pressione sperimentate da chi è già finito nel mirino dei pirati informatici.

Quando l’attacco informatico non basta più

I cyber criminali specializzati in attacchi ransomware, stando a quanto emerge dal report, non si limitano più a fare leva su vulnerabilità, tecniche di phishing e malware.

Per ottenere l’accesso ai sistemi aziendali della potenziale vittima sono disposti a tutto. Anche ad arrivare alle minacce fisiche.

Le vittime, quindi, si trovano a dover affrontare una minaccia che coinvolge la sicurezza personale, la vita privata e la capacità di continuare a lavorare senza temere conseguenze fuori dall’ufficio.

Non è il primo “passaggio evolutivo” registrato nel settore. La storia del ransomware è anche una storia di adattamento delle tecniche estorsive. Nelle prime fasi della sua diffusione, il meccanismo era relativamente semplice: cifrare i file e chiedere denaro in cambio della chiave crittografica che ne consente la decodifica.

L’implementazione di policy rigorose attraverso i sistemi di backup e il miglioramento delle procedure di recupero hanno ridotto l’efficacia di quella strategia. Gli aggressori hanno quindi affiancato alla cifratura il furto dei dati e la minaccia di renderli pubblici.

È la cosiddetta doppia estorsione: anche quando un’organizzazione dispone di copie di sicurezza e può recuperare i propri sistemi, resta esposta alla possibilità che informazioni riservate vengano diffuse online. Il ricatto si è spostato dalla disponibilità dei dati alla loro riservatezza, dalla necessità di ripristinare i servizi al timore di un danno reputazionali.

Il rapporto Semperis descrive un ulteriore passaggio. La minaccia può essere indirizzata non soltanto all’azienda colpita, ma anche alle singole persone che vi lavorano. Nel caso della minaccia di pubblicazione di informazioni si passa, per esempio, da quelle che possono riguardare il business dell’impresa a quelle che riguardano il dipendente, come quelle sulla sua abitazione, sui familiari o sulle abitudini personali.

L’obiettivo resta sempre quello di estorcere denaro, ma cambia l’obiettivo.

L’evoluzione del ransomware

Il dato più significativo che emerge dallo studio è che nel 37% degli attacchi è stato fatto uso di minacce psicologiche o fisiche contro gli impiegati dell’azienda. Il fenomeno, però, non si esaurisce nelle intimidazioni rivolte direttamente ai dipendenti: il 37% degli intervistati segnala anche minacce contro familiari o amici, mentre il 17% riferisce addirittura di avere ricevuto delle minacce fisiche.

In oltre la metà dei casi, secondo il rapporto, gli aggressori hanno dato seguito alle minacce.

I dati del sondaggio mostrano che la cancellazione, la distruzione o la pubblicazione dei dati rimangono le minacce più comuni, segnalate dal 56% degli intervistati. Il blocco dei sistemi o il sabotaggio operativo si colloca invece al 40%.

A quelle che potremmo considerare tradizionali conseguenze di un attacco ransomware, però, si aggiungono fenomeni come il ricatto, l’estorsione e l’umiliazione pubblica (41%). Le intimidazioni psicologiche sono indicate dal 23% degli intervistati e le minacce fisiche dal 17%.

Queste categorie possono sovrapporsi: uno stesso attacco può combinare cifratura, esfiltrazione dei dati, ricatto e intimidazione personale.

Non si tratta, quindi, di strategie alternative, ma di strumenti diversi possono essere utilizzati all’interno dello stesso schema estorsivo per individuare i bersagli più vulnerabili e aumentare il costo – economico e personale – di un rifiuto.

Doxxing e swatting: attacco alla vita privata

Tra le conseguenze documentate dal rapporto, ci sono due fenomeni particolari che dimostrano con particolare chiarezza il passaggio dalla sfera digitale a quella fisica.

Il primo è il doxxing, cioè la pubblicazione o diffusione di informazioni personali con finalità intimidatorie o punitive. Indirizzi, recapiti e altri dati che permettono di identificare una persona possono essere utilizzati per esporla a molestie, minacce e contatti indesiderati. Nel rapporto, emerge come il 25% delle organizzazioni interpellate abbia registrato episodi di doxxing che hanno coinvolto dipendenti o familiari.

Il secondo è lo swatting: una falsa segnalazione di emergenza che ha il solo scopo di provocare l’intervento delle forze di polizia presso l’abitazione o un altro luogo frequentato dalla vittima. È una pratica che può trasformare un attacco informatico in un episodio potenzialmente pericoloso per chi lo subisce e per le persone che intervengono, facendo leva sull’urgenza e sull’impossibilità di distinguere immediatamente una segnalazione autentica da una manipolazione.

Nel campione analizzato da Semperis, il 23% segnala episodi di swatting che hanno coinvolto il personale o le famiglie. Il 24% riferisce la necessità di adottare misure di sicurezza aggiuntive, mentre il 25% dichiara che le persone coinvolte hanno avuto bisogno di assistenza medica o psicologica. Nel 14% dei casi, le conseguenze hanno spinto qualcuno a trasferirsi, cambiare sede di lavoro o modificare la propria situazione professionale.

Il (pessimo) primato italiano

I dati riportati da Semperis riguardo l’Italia sono sconfortanti e confermano il legame sempre più stretto tra criminalità informatica e tradizionale. Tra le organizzazioni italiane intervistate, il 41% riferisce intimidazioni psicologiche, il 38% segnala episodi di swatting e il 63% dichiara che dipendenti o familiari sono stati vittime di doxxing.

Ancora più significativo è il dato secondo cui il 32% sarebbero stati minacciati di rapimento, il 22% avrebbe ricevuto minacce di violenza fisica e, nel 74% dei casi, le minacce sarebbero state effettivamente messe in atto. È una percentuale che suggerisce come le intimidazioni non possano essere liquidate automaticamente come una forma di pressione puramente retorica, ma rappresentino una minaccia concreta.

Anche se il rapporto non specifica la numerosità del sottocampione italiano, il dato si inserisce comunque in un quadro internazionale nel quale le conseguenze personali del ransomware assumono un peso crescente.

Per le aziende, la questione non riguarda più soltanto la protezione dei dati dei clienti o la capacità di ripristinare i servizi. Comprende anche la gestione delle minacce rivolte a chi lavora nell’organizzazione e alle persone che gli sono vicine.