L'attaccante dei 31 secondi: cosa significa il primo attacco ransomware autonomo per il ripristino

Quando l'attaccante ha smesso di avere bisogno di un essere umano

Il 2 luglio 2026, la società di sicurezza cloud Sysdig ha pubblicato i dettagli di una campagna ransomware che i suoi ricercatori hanno chiamato JadePuffer — il primo incidente documentato in cui un agente LLM ha condotto un'intera attack chain, dallo sfruttamento iniziale al rilascio di una richiesta di riscatto, in gran parte senza un operatore umano che dirigesse ogni singolo passaggio.

Non si tratta dell'ennesima storia su e-mail di phishing scritte dall'IA o chiamate vocali deepfake, il tipo di strumenti adiacenti all'IA che fanno parte del dibattito sul ransomware da anni. JadePuffer è diverso per natura: l'agente ha scansionato alla ricerca di un bersaglio vulnerabile, lo ha sfruttato, ha sottratto credenziali, si è spostato lateralmente verso un secondo sistema, ha effettuato l'escalation dei propri privilegi, ha cifrato i dati e ha lasciato una richiesta di riscatto — adattandosi agli errori lungo il percorso senza attendere istruzioni.

In BackupSec riteniamo che JadePuffer sia meno importante come singolo incidente che come anteprima. È il primo dato concreto per una domanda a cui ogni architettura di backup e ripristino dovrà prima o poi rispondere: cosa succede quando il ciclo decisionale dall'altra parte si comprime da ore a secondi?

Dentro l'attack chain di JadePuffer

Il resoconto di Sysdig sulla campagna ricostruisce una catena che nelle linee generali dovrebbe risultare familiare — è la stessa kill chain da cui i team di sicurezza si difendono da anni — con la differenza che a eseguire ogni anello è stato un agente autonomo, non un operatore umano:

1. Accesso iniziale. L'agente ha sfruttato CVE-2025-3248, una vulnerabilità di remote code execution per mancanza di autenticazione (CVSS 9.8) in Langflow, un framework Python open source per la creazione di applicazioni LLM. La vulnerabilità era stata corretta con una patch fin da aprile 2025 ed è stata aggiunta al catalogo Known Exploited Vulnerabilities (KEV) di CISA dopo che ne era stato confermato lo sfruttamento attivo — un caso da manuale di una patch che esisteva ma non era stata applicata in tempo.
2. Raccolta delle credenziali. Una volta all'interno, l'agente ha raccolto i segreti esposti sull'host compromesso: chiavi API, credenziali cloud e di database e dati di wallet di criptovalute.
3. Persistenza. Ha installato un cron job per mantenere il contatto con la propria infrastruttura di command-and-control ogni 30 minuti, senza bisogno che un umano ristabilisse l'accesso dopo ogni sessione.
4. Movimento laterale. Utilizzando le credenziali sottratte, l'agente si è spostato verso un secondo server, esposto separatamente su internet, su cui giravano MySQL e Nacos — una piattaforma di service discovery e configurazione ampiamente utilizzata.
5. Escalation dei privilegi. Ha sfruttato CVE-2021-29441, una falla di authentication bypass in Nacos, ha contraffatto un JSON Web Token utilizzando una chiave di firma predefinita ben nota, e ha iniettato un account backdoor con diritti di amministratore.
6. Impatto. L'agente ha cifrato 1.342 elementi di configurazione di Nacos con AES-256 e ha eliminato gli schemi di database associati.
7. Estorsione. Ha lasciato una richiesta di riscatto contenente un indirizzo Bitcoin e un indirizzo di contatto ProtonMail — l'unico passaggio della catena che presuppone che, prima o poi, un essere umano la legga.

Una precisazione onesta

Vogliamo essere precisi su cosa significhi "autonomo" in questo contesto, perché esagerare indebolirebbe l'argomentazione che stiamo per proporre.

Sysdig dichiara esplicitamente di non sapere come l'agente abbia originariamente ottenuto le credenziali root di MySQL utilizzate nel quarto passaggio. Si tratta di una lacuna reale nella narrazione della piena autonomia — da qualche parte in questa catena, un essere umano o un processo automatizzato separato potrebbe essere intervenuto in un modo che i ricercatori non sono riusciti a ricostruire. Ciò che Sysdig può verificare è che, dalla raccolta delle credenziali in poi, l'agente si è adattato agli errori e ha ritentato i passaggi senza che un operatore umano impartisse nuove istruzioni per ciascuno di essi.

Questa distinzione è importante, e riteniamo che rafforzi l'argomentazione anziché indebolirla. Anche una catena solo parzialmente autonoma — in cui un umano definisce l'obiettivo e l'agente gestisce tutto, dalla ricognizione all'impatto — elimina già la principale fonte di latenza in un'operazione ransomware tradizionale: il tempo che un operatore umano dedica a riflettere, confrontarsi con un handler e decidere la mossa successiva.

Perché 31 secondi contano più di quanto sembri

Il dato più concreto nel resoconto di Sysdig non è la durata totale dell'attacco — non siamo a conoscenza di una cifra verificata su quanto sia durata, end to end, l'intera catena di JadePuffer, e non intendiamo inventarne una. Il dato verificato — e che, a nostro avviso, è più significativo di quanto lo sarebbe una durata totale ad effetto — è questo: quando un passaggio falliva, l'agente passava da un tentativo di accesso fallito a una soluzione funzionante in 31 secondi.

Confrontate questo comportamento con quello di un operatore umano quando un passaggio fallisce. Si ferma. Rivaluta la situazione. In un'operazione strutturata di ransomware-as-a-service, potrebbe scrivere a un handler e attendere indicazioni. Riprova su una tempistica misurata in minuti o ore, a volte a cavallo di un cambio turno. Questa latenza — l'intervallo tra il fallimento e il tentativo successivo — è sempre stata una delle poche cose a favore dei difensori. È il motivo per cui un alert delle 2 di notte può ancora essere gestito da un umano alle 8 del mattino senza che, nel frattempo, l'incidente sia necessariamente peggiorato in modo drastico.

Un agente che riduce questo intervallo a 31 secondi non si limita a muoversi più velocemente. Elimina il presupposto incorporato in quasi ogni runbook di incident response: che esista una finestra temporale a misura d'uomo tra il primo tentativo fallito di un attaccante e il successivo, e che un processo di detection and response operante su una scala temporale umana analoga possa ragionevolmente sperare di intervenire al suo interno.

I numeri che erano già veri prima dell'arrivo dell'IA

L'infrastruttura di backup non è diventata un bersaglio a causa dell'IA agentica. Lo era già, e i dati che lo dimostrano precedono JadePuffer di due anni.

• Il Data Protection Trends Report 2024 di Veeam ha rilevato che il 96% degli attacchi ransomware prende specificamente di mira i repository di backup, e che il 76% di questi tentativi ha successo.
• La ricerca 2024 di Sophos sui backup compromessi, condotta su un campione di 2.974 vittime di ransomware, ha rilevato che le organizzazioni con backup compromessi hanno pagato un costo di ripristino mediano di 3 milioni di dollari, otto volte superiore ai 375.000 dollari pagati dalle organizzazioni i cui backup sono rimasti intatti.

Questi numeri descrivono un mondo di attaccanti umani che avevano già capito che distruggere o cifrare il livello di backup è la mossa a più alta leva disponibile una volta che un'operazione ransomware ha guadagnato un punto d'appoggio. L'IA agentica non cambia nulla in questo calcolo. Ciò che cambia è chi — o cosa — è in grado di eseguirlo su larga scala, ventiquattr'ore su ventiquattro, senza bisogno di dormire, fare una pausa turno o attendere l'approvazione di un handler prima di provare la credenziale successiva.

L'X-Force Threat Index 2026 di IBM aggiunge contesto sulla tendenza che alimenta questo scenario: gli attacchi che partono dallo sfruttamento di applicazioni esposte pubblicamente — esattamente il vettore d'ingresso utilizzato da JadePuffer — sono aumentati del 44% su base annua, e il numero di gruppi ransomware ed estorsione attivi è cresciuto del 49% su base annua. La superficie di attacco era già in crescita prima ancora che qualcosa di tutto ciò avesse bisogno di un operatore autonomo.

Dalle finestre di rilevamento alla certezza del ripristino

Abbiamo già sostenuto che il fatto che lo sfruttamento delle vulnerabilità resti, anno dopo anno, la principale causa alla radice del ransomware sia un problema strutturale che non può essere risolto soltanto applicando le patch più velocemente — il divario tra vulnerabilità note e vulnerabilità chiuse è semplicemente troppo ampio, e si rinnova troppo di continuo, perché una prevenzione perfetta sia realistica. JadePuffer non smentisce questa tesi. La rende più netta.

Se il presupposto di lavoro del settore è stato che un processo di detection and response con tempistiche umane possa ragionevolmente sperare di individuare un'intrusione da qualche parte tra l'accesso iniziale e l'impatto irreversibile, un agente che si autocorregge in 31 secondi mette direttamente in discussione questo presupposto. La risposta non può essere "rilevare e reagire più velocemente di una macchina", perché non è una gara che i difensori possano aspettarsi di continuare a vincere all'infinito. La risposta deve essere architetturale: rendere l'esito di un'intrusione rapida e adattiva sopravvivibile, indipendentemente da quanto l'attaccante diventi più veloce.

In concreto, ciò significa che le proprietà rilevanti per l'infrastruttura di backup e ripristino non cambiano per il fatto che l'attaccante sia un agente IA anziché un umano — diventano non negoziabili anziché aspirazionali:

• La separazione di credenziali e identità che non dipenda dal fatto che un umano noti in tempo un'attività insolita. Se le credenziali che raggiungono il vostro ambiente di backup sono le stesse che un agente può sottrarre da un host compromesso in pochi secondi, l'isolamento deve essere strutturale, non procedurale.
• L'immutabilità validata, non semplicemente configurata. Un retention lock che una credenziale con privilegi sufficienti può disattivare silenziosamente è un controllo che presuppone che un attaccante umano esiti. Un agente non esiterà.
• Il test di ripristino che presuppone che l'attaccante conosca già il vostro ambiente. L'agente di JadePuffer si è adattato in tempo reale ai passaggi falliti. Un piano di ripristino testato soltanto contro un singolo scenario di guasto atteso è un piano costruito per un avversario più lento e più prevedibile di quello oggi dimostrabilmente possibile.

Cosa significa per i risk manager aziendali

JadePuffer è una singola campagna documentata, non la prova che ogni operazione ransomware sia ormai autonoma. Ma stabilisce qualcosa che in precedenza era teorico: la capacità tecnica di un agente LLM di condurre una vera attack chain, end to end, con un ciclo di autocorrezione misurato in secondi, ora esiste ed è stata utilizzata contro un bersaglio reale.

Per i responsabili del rischio, la domanda pratica non è più se il ransomware agentico diventerà più comune — la traiettoria delle capacità dell'IA è stata sufficientemente coerente da rendere la scommessa contraria la posizione più rischiosa. La domanda pratica è se i presupposti della vostra architettura di ripristino siano stati costruiti per un avversario con tempistiche umane o per uno che non ha più bisogno di esserlo.

Dove entra in gioco BackupSec

In BackupSec abbiamo costruito il nostro approccio attorno a una premessa che JadePuffer rende più urgente, non meno applicabile: la prevenzione fallirà, e il livello che determina l'esito è quello costruito per sopravvivere al fallimento — indipendentemente da quanto velocemente si muovesse ciò che lo ha causato.

• ZeroMON vi offre un'osservabilità continua e in tempo reale sul vostro patrimonio di backup — audit trail forensi, rilevamento del configuration drift e avvisi di anomalia sui metadati dei job di backup — in modo che un tentativo di raccolta credenziali di 31 secondi contro il vostro livello di ripristino sia visibile nel momento in cui accade, e non scoperto durante una revisione post-incidente.
• ZeroTAM mette a disposizione del vostro team un advisor dedicato alla sicurezza dei backup, per mettere alla prova se la separazione delle identità, l'immutabilità e la postura di isolamento siano state progettate per un attaccante con tempistiche umane, o se resisterebbero a uno che si adatta in tempo reale.
• ZeroPEN esegue il pentest della vostra infrastruttura di backup nello stesso modo in cui la userebbe un agente autonomo — testando i piani di gestione, i controlli di accesso e le impostazioni di immutabilità alla ricerca dello stesso tipo di percorso di concatenazione delle credenziali sfruttato da JadePuffer — per poi eseguire scenari di ripristino reali che dimostrino che il recupero funziona indipendentemente da come si sia verificata l'intrusione.

BackupSec viene distribuito on-premise, si connette alle vostre applicazioni di backup tramite un accesso API in sola lettura e non sposta mai i dati di backup al di fuori del vostro ambiente. La domanda che JadePuffer solleva non è se le vostre difese siano veloci. È se la vostra architettura di ripristino sia mai stata costruita in modo da avere bisogno che lo siano.

Parla con BackupSec per convalidare la vostra architettura di ripristino →

Questa analisi si basa sulla ricerca di Sysdig del luglio 2026 sulla campagna JadePuffer, sull'X-Force Threat Index 2026 di IBM, sul Data Protection Trends Report 2024 di Veeam e sulla ricerca 2024 di Sophos sui backup compromessi. L'interpretazione e il framework qui presentati sono di BackupSec. Per discutere di come questa analisi si applichi al vostro ambiente specifico, contattate il nostro team →