Il problema del 2,7: perché il ransomware moderno vince sempre, con la matematica dalla sua parte

Il numero più sottovalutato del report Sophos 2025

Quando Sophos ha pubblicato il suo report State of Ransomware 2025, la maggior parte della copertura mediatica si è concentrata sulle metriche principali: tassi di cifratura in calo, tempi di ripristino in miglioramento, pagamenti di riscatto in diminuzione. Sono numeri reali e importanti. Ma sepolta in una sezione del report esplorata per la prima volta quest'anno — i fattori organizzativi che hanno lasciato le aziende esposte — si trova una singola statistica che, a nostro avviso, ridefinisce completamente il modo in cui i responsabili del rischio aziendale dovrebbero pensare al ransomware.

Tra le 3.400 organizzazioni intervistate, le vittime hanno identificato in media 2,7 fattori concomitanti diversi alla base degli attacchi andati a segno contro di loro.

Non uno. Nemmeno due. Quasi tre debolezze indipendenti operanti simultaneamente in ogni incidente andato a segno.

Non è una nota a margine. È la prova matematica che l'era della difesa dal ransomware basata su un singolo controllo è finita — e che l'architettura di backup è diventata silenziosamente il controllo compensativo più importante dello stack aziendale moderno.

In BackupSec, riteniamo che il dato del 2,7 sia il numero strategicamente più utile dell'intero report. Questo articolo analizza cosa significhi realmente, perché rende matematicamente insostenibili le strategie basate solo sulla prevenzione, e cosa implica per le organizzazioni che continuano a trattare il backup come un ripiego rispetto alla sicurezza "vera".

Cosa rappresenta davvero il 2,7

Nel report Sophos 2025, per la prima volta, è stato chiesto agli intervistati di identificare i fattori organizzativi che hanno contribuito a essere colpiti — non solo il punto di ingresso tecnico, ma le condizioni operative più ampie che li hanno resi vulnerabili. I risultati delineano un quadro che nessun executive summary riesce a cogliere in modo pulito:

• Il 40,2% ha citato la mancanza di competenze — abilità o conoscenze insufficienti per rilevare e fermare l'attacco in tempo.
• Il 40,1% ha citato lacune di sicurezza sconosciute — debolezze nelle difese di cui non erano a conoscenza fino all'incidente.
• Percentuali significative hanno citato mancanza di capacità, mancanza di prodotti di protezione, lacune nella disciplina dei processi e visibilità incompleta sulla propria superficie di attacco.
• A questo si sono aggiunte cause tecniche di fondo: vulnerabilità sfruttate (32%), credenziali compromesse (23%), email malevole (19%) e phishing (18%).

Quando gli intervistati hanno sommato i fattori che ritenevano avessero contribuito al loro incidente, la media è risultata pari a 2,7. Sophos la definisce "una situazione complessa e sfaccettata". Noi la definiremmo in modo più preciso: inevitabilità strutturale.

Se ogni incidente ransomware andato a segno nel 2025 ha coinvolto quasi tre fallimenti indipendenti, allora il modello di difesa implicito su cui la maggior parte delle aziende continua a basarsi — "trova la lacuna, chiudi la lacuna" — si scontra con un attaccante che deve trovarne solo una delle tre. Il difensore, nel frattempo, deve gestirle tutte simultaneamente.

Non è un problema di sicurezza. È un problema di asimmetria.

L'asimmetria: una porta contro sette

Consideriamo la matematica dal punto di vista dell'attaccante.

Un operatore ransomware moderno — che si tratti di un gruppo allineato a uno stato, di un affiliato RaaS o di un operatore indipendente — non ha bisogno di identificare e sfruttare ogni debolezza del vostro ambiente. Deve trovare un solo percorso praticabile: un sistema non aggiornato, un insieme di credenziali compromesse, un bucket cloud configurato male, un utente vulnerabile al phishing, una lacuna amministrativa.

Ora consideriamo la matematica dal punto di vista del difensore. Siete responsabili di:

1. Gestione delle vulnerabilità su migliaia di asset, con cicli che nessuna cadenza di patching riesce ad anticipare in modo affidabile.
2. Governance delle identità su utenti umani, account di servizio, identità federate e agenti sempre più autonomi.
3. Sicurezza delle email e degli strumenti di collaborazione, il punto di ingresso più comune e quello con la maggiore variabilità umana.
4. Protezione degli endpoint contro payload che evolvono più velocemente di quanto il rilevamento basato su firme riesca ad adattarsi.
5. Segmentazione della rete progettata sulla base di modelli di minaccia in continua evoluzione.
6. Configurazione di cloud e SaaS su decine o centinaia di servizi, ciascuno con il proprio modello di permessi.
7. Infrastruttura di backup e ripristino che deve funzionare in condizioni che il resto dello stack ha già fallito nel prevenire.

L'attaccante gioca una sola casella su questa scacchiera. Il difensore le gioca tutte e sette, ogni giorno, con risorse finite.

Il dato del 2,7 di Sophos è la conferma empirica che questa asimmetria non è più un'ipotesi. Negli incidenti reali verificatisi nel 2025, i difensori fallivano contemporaneamente in quasi tre caselle — non per negligenza, ma perché il modello è strutturalmente sfavorevole a una prevenzione completa.

Perché "basta correggere la causa principale" è cattiva matematica

Una risposta comune all'analisi di un incidente è identificare la "causa principale" e porvi rimedio. I framework di conformità rafforzano questo approccio, così come la maggior parte delle revisioni post-incidente. I dati Sophos 2025 rivelano perché questa impostazione, per quanto intuitivamente rassicurante, sia sempre più scollegata dal modo in cui gli incidenti moderni si sviluppano realmente.

Se l'incidente medio andato a segno coinvolge 2,7 fattori concomitanti, allora identificare un'unica causa principale è, per definizione, un'analisi incompleta. Vi dice da quale porta è entrato l'attaccante — non perché l'edificio avesse così tante porte non chiuse a chiave che una di esse sarebbe comunque sempre stata disponibile.

Questo ha rilevanza operativa perché le risorse spese a ossessionarsi sul vettore di ingresso specifico dell'incidente dell'anno scorso sono risorse non investite nelle lacune architetturali che determineranno quello dell'anno prossimo. I dati Sophos suggeriscono che le organizzazioni che operano in modalità "causa principale unica" sottoinvestono sistematicamente nei controlli stratificati che determinano se qualsiasi vettore di ingresso porti a un esito catastrofico.

La ridefinizione strategica è questa: in qualsiasi ambiente aziendale sufficientemente complesso, gli attaccanti troveranno prima o poi un percorso praticabile. La domanda che determina se quel percorso porti al pagamento di un riscatto non è "abbiamo chiuso ogni porta?", ma "la nostra architettura sopravvive quando una di esse si apre?"

Il controllo compensativo che la maggior parte delle aziende sottovaluta

Ecco l'intuizione architetturale che il dato del 2,7 rende ineludibile: quando la prevenzione fallirà con regolarità matematica, i livelli che determinano gli esiti per il business si spostano a valle.

È qui che l'architettura di backup passa da "igiene infrastrutturale" a "controllo strategico primario".

In un modello di minaccia a vettore singolo, il backup è un ripiego. In un modello di minaccia a 2,7 fattori, il backup è il controllo compensativo per ogni fallimento della prevenzione che si verificherà inevitabilmente. I dati Sophos 2025 lo mostrano in termini netti:

• Il 48% delle organizzazioni enterprise ha pagato il riscatto nonostante i miglioramenti nella prevenzione.
• L'utilizzo del backup per recuperare i dati cifrati è sceso al 53%, il livello più basso degli ultimi quattro anni, rispetto al 73% dell'anno precedente.
• Il costo medio di ripristino per le aziende enterprise ha raggiunto 1,83 milioni di dollari per le organizzazioni con 1.000–5.000 dipendenti — una cifra che esclude qualsiasi riscatto pagato.

Se si leggono questi numeri sullo sfondo del fattore 2,7, il quadro diventa coerente: le organizzazioni stanno migliorando nel prevenire alcuni attacchi, ma non stanno migliorando l'architettura di ripristino che determina gli esiti quando la prevenzione fallisce. Il risultato è un divario crescente tra la maturità della prevenzione e quella del ripristino — ed è esattamente in quel divario che si annidano i pagamenti di riscatto.

Per i responsabili del rischio aziendale, questo implica una specifica riallocazione dell'attenzione architetturale. Gli investimenti in rilevamento, identità e patching restano tutti essenziali. Ma nessuno di essi elimina il fattore 2,7: si limitano a spostare quali tre porte siano aperte in un dato giorno. Il controllo che determina se una porta aperta diventi un incidente esistenziale è quello che la maggior parte delle organizzazioni ha meno modernizzato: l'architettura che conserva copie pulite, immutabili e validate dei dati critici per il business ed è in grado di ripristinarle in condizioni avverse.

Come si presenta il 2,7 in un incidente reale

Per rendere il concetto concreto, consideriamo come si compone tipicamente il 2,7 in un ambiente aziendale reale. I fattori specifici variano, ma lo schema è costante:

Il primo fattore è di solito un vettore di ingresso: un dispositivo perimetrale non aggiornato, una credenziale compromessa riutilizzata su più sistemi, o un'email di phishing andata a segno. Questo è il fallimento che il report post-incidente definirà "causa principale".

Il secondo fattore è tipicamente un fallimento a livello di privilegi o visibilità che ha permesso al punto d'appoggio iniziale di espandersi: permessi permanenti eccessivi, lacune nel rilevamento dei movimenti laterali, o segmentazione inadeguata tra le unità di business.

Il terzo fattore è quasi sempre un fallimento a livello del layer di ripristino che ha trasformato una violazione contenuta in un riscatto pagato: credenziali di backup raggiungibili dall'ambiente di produzione, policy di retention modificabili da amministratori compromessi, o procedure di ripristino mai testate rispetto allo scenario reale che il team si trova ora ad affrontare.

I primi due fattori ricevono l'attenzione nella risposta agli incidenti. Il terzo determina l'esito finanziario. Ed è proprio il terzo quello che la maggior parte delle aziende è meno attrezzata a valutare onestamente prima che un incidente imponga la questione.

Questa è la realtà operativa a cui punta il dato del 2,7. I fattori non sono astratti — sono la sequenza specifica di fallimenti che trasforma un evento di sicurezza gestibile in una crisi di livello board.

Cosa significa questo per l'allocazione del rischio

Se si accetta il dato del 2,7 come architetturalmente significativo — e il dataset Sophos sottostante, basato su 3.400 organizzazioni, rende difficile liquidarlo — ne conseguono diverse conclusioni sull'allocazione delle risorse.

Diversificare gli investimenti lungo l'intera catena dei fallimenti, non all'interno di un singolo livello. Raddoppiare gli sforzi sulla sicurezza delle email lasciando invariata l'architettura di ripristino sposta quale fattore fallisce per primo; non riduce il numero totale di fallimenti. I budget di sicurezza aziendale che allocano risorse in modo sproporzionato alla prevenzione, trattando il backup come una voce di costo commoditizzata, operano contro un modello di minaccia che non riflette più il modo in cui gli incidenti si sviluppano realmente.

Valutare le architetture rispetto a scenari multi-fattore, non a test su un singolo vettore. Un penetration test che conferma la tenuta di una singola difesa non è prova che il vostro ambiente sopravviva a un attacco reale. I dati Sophos dimostrano che gli attacchi reali sfruttano quasi tre debolezze simultaneamente. Le esercitazioni tabletop e gli impegni di red team dovrebbero essere progettati per testare esplicitamente questa condizione composita.

Misurare l'affidabilità del ripristino, non il completamento del backup. Il tasso di utilizzo del backup del 53% nei dati Sophos sulle enterprise non racconta una storia di backup che falliscono in generale. Racconta di architetture di backup progettate per fallimenti a fattore singolo (un server si è guastato, un utente ha cancellato un file) a cui viene chiesto di funzionare in condizioni multi-fattore (l'attaccante è stato nella rete per due settimane e ha toccato tutto). Sono problemi diversi, e la maggior parte degli ambienti di backup enterprise è stata costruita per il primo.

Trattare il layer di ripristino come il controllo compensativo che è ormai diventato. Quando la prevenzione fallirà con regolarità matematica, il layer che determina gli esiti è quello che conserva copie pulite, isolate e immutabili dei dati ed è in grado di ripristinarle rapidamente in condizioni ostili. Quel layer deve essere progettato, governato e testato con lo stesso rigore dell'ambiente di produzione che protegge.

Dove entra in gioco BackupSec

In BackupSec, il nostro intero approccio si fonda su un'unica premessa architetturale: la prevenzione prima o poi fallirà, e quando ciò accade, è il layer di ripristino a determinare se il fallimento sia recuperabile o esistenziale.

Il dato del 2,7 emerso dai dati Sophos è, per molti versi, la giustificazione empirica di questa premessa. I tre servizi che offriamo — osservabilità, consulenza e prova di ripristino verificata tramite pentest — sono progettati per rispondere alle domande che il dato del 2,7 costringe i responsabili del rischio aziendale ad affrontare:

• ZeroMON risponde a "Cosa sta facendo realmente il nostro ambiente di backup in questo momento?" — attraverso il monitoraggio continuo delle operazioni di backup e dei segnali di sicurezza, audit trail forensi in tempo reale, rilevamento del configuration drift e visibilità Veeam-ready su tutto il parco backup.
• ZeroTAM risponde a "Abbiamo le competenze per interpretare ciò che stiamo osservando?" — attraverso un advisor dedicato alla sicurezza del backup che conosce il vostro ambiente, le vostre priorità di ripristino e la vostra architettura, disponibile per una guida proattiva e per la risposta alle crisi senza gli attriti dei ticket di supporto a rotazione.
• ZeroPEN risponde a "Siamo realmente in grado di recuperare quando il layer di prevenzione fallisce?" — attraverso penetration test sul backup mirati ai vostri piani di gestione, controlli di accesso e postura di immutabilità, seguiti da scenari di ripristino reali che convalidano un recupero pulito, completo e puntuale rispetto agli RTO e RPO dichiarati.

BackupSec viene distribuito on-premise, si connette tramite accesso API in sola lettura e non sposta mai dati di backup o telemetria al di fuori del vostro ambiente. Non sostituiamo la vostra piattaforma di backup: rendiamo il layer di ripristino che quella piattaforma supporta osservabile, consigliabile e dimostrabile nelle condizioni multi-fattore descritte dai dati Sophos.

Se la vostra organizzazione, leggendo il report Sophos 2025, conclude che la risposta sia chiudere ogni porta, i dati vi stanno dicendo qualcos'altro: le porte non resteranno tutte chiuse, e l'architettura che determina cosa succede quando una di esse si apre è la conversazione che vale la pena avere nel 2026.

Parla con BackupSec della convalida del ripristino →

Questa analisi si basa sul report Sophos State of Ransomware 2025 e sul più ampio panorama della ricerca sul ransomware del 2025. L'interpretazione e il framework qui presentati sono elaborazioni originali di BackupSec. Per discutere come questa analisi si applichi al vostro ambiente specifico, contattate il nostro team →