Il problema del 2,7: perché le vittime di ransomware si trovano tipicamente davanti a più di una debolezza

Il numero più sottovalutato del report Sophos 2025

Quando Sophos ha pubblicato il suo report State of Ransomware 2025 a giugno 2025, i risultati principali erano incoraggianti. I dati sono stati cifrati nel 50% degli attacchi, contro il 70% del 2024. Il 53% delle vittime si è ripreso completamente entro una settimana, contro il 35%. Il pagamento di riscatto mediano si è dimezzato, da 2 milioni a 1 milione di dollari. Sono numeri reali e contano. Ma il report ha anche esplorato per la prima volta un altro aspetto: i fattori organizzativi che hanno lasciato esposte le aziende. Una statistica di quella sezione, a nostro avviso, cambia il modo in cui i responsabili del rischio aziendale dovrebbero pensare al ransomware.

L'indagine ha coinvolto 3.400 responsabili IT e di cybersecurity in 17 paesi, tutti in organizzazioni con 100–5.000 dipendenti colpite da ransomware nei 12 mesi precedenti. Alla domanda sul perché la loro organizzazione fosse caduta vittima, i rispondenti hanno indicato in media 2,7 fattori concomitanti.

Non uno. Nemmeno due. In media, le vittime hanno indicato quasi tre condizioni operative dietro un singolo attacco.

Non è una nota a margine. È una prova solida che una difesa dal ransomware basata su un singolo controllo non corrisponde al modo in cui le vittime descrivono i propri incidenti, e che l'architettura di backup è diventata, senza fare rumore, uno dei controlli compensativi più importanti dello stack aziendale.

In BackupSec riteniamo che il dato 2,7 sia il numero strategicamente più utile del report. Questo articolo spiega che cosa misura, perché rende difficile difendere strategie basate solo sulla prevenzione e che cosa implica per le organizzazioni che ancora trattano il backup come un ripensamento rispetto alla sicurezza "vera".

Che cosa rappresenta davvero il 2,7

La domanda posta da Sophos era "Why do you think your organization fell victim to the ransomware attack?" (perché pensate che la vostra organizzazione sia caduta vittima dell'attacco ransomware?). I rispondenti potevano scegliere più di uno tra sette motivi operativi e, in media, ne hanno scelti 2,7. L'elenco completo, con la quota dei 3.400 rispondenti che ha indicato ciascuno:

• Mancanza di competenze: 40,2%. Non avere le capacità o le conoscenze per rilevare e fermare l'attacco in tempo.
• Lacuna di sicurezza sconosciuta: 40,1%. Una debolezza nelle difese di cui l'organizzazione non era consapevole.
• Carenza di personale/capacità: 39,4%. Esperti di cybersecurity insufficienti a monitorare i sistemi al momento dell'attacco.
• Mancanza di protezione: 39,0%. Non disporre dei prodotti e servizi di cybersecurity necessari.
• Lacuna di sicurezza nota non ancora affrontata: 38,2%.
• Protezione di scarsa qualità che non è riuscita a fermare l'attacco: 37,1%.
• Errore umano: 34,2%.

Dal modo in cui è stata posta la domanda derivano due conseguenze. Il 2,7 è una media, quindi alcune vittime hanno indicato un solo fattore e altre diversi. E registra ciò che i rispondenti ritengono abbia contribuito, non l'esito di un'indagine forense. I fattori inoltre si sovrappongono. Sophos li raggruppa in problemi di protezione (63% dei rispondenti), problemi di risorse (63%) e lacune di sicurezza (65%), e non rileva "no single stand-out source" (alcuna singola fonte predominante).

Sophos ha chiesto separatamente del punto d'ingresso tecnico. Le vulnerabilità sfruttate sono state la causa principale nel 32% degli attacchi, le credenziali compromesse nel 23%, le email malevole nel 19% e il phishing nel 18%. Queste quote descrivono come è entrato l'attaccante. Il 2,7 descrive le condizioni attorno all'ingresso.

La sintesi di Sophos stessa è che "victims are typically facing multiple operational challenges" (le vittime si trovano tipicamente ad affrontare molteplici sfide operative). Lo leggiamo come un problema strutturale, non come una serie di sfortune.

Se le vittime indicano tipicamente quasi tre condizioni concomitanti, allora il modello di difesa su cui la maggior parte delle aziende opera ancora, "trova la lacuna, chiudi la lacuna", si scontra con un attaccante a cui basta che una sola di esse sia sfruttabile. Nel frattempo, il difensore deve gestirle tutte contemporaneamente.

Non è un problema di sicurezza. È un problema di asimmetria.

L'asimmetria: una porta contro sette

Consideriamo i conti dal punto di vista dell'attaccante.

Un operatore ransomware moderno (un gruppo allineato a uno Stato, un affiliato RaaS o una crew indipendente) non ha bisogno di individuare e sfruttare ogni debolezza del vostro ambiente. Gli basta un unico percorso praticabile: un sistema non aggiornato, un set di credenziali compromesse, un bucket cloud configurato male, un utente vulnerabile al phishing, una lacuna amministrativa.

Ora consideriamo i conti dal punto di vista del difensore. Siete responsabili di:

1. Gestione delle vulnerabilità su migliaia di asset, con cicli rispetto ai quali nessuna cadenza di patching riesce a restare costantemente in vantaggio.
2. Governance delle identità su utenti umani, service account, identità federate e agenti sempre più autonomi.
3. Sicurezza di email e strumenti di collaborazione, un importante punto d'ingresso e quello con la maggiore variabilità umana. Nell'indagine Sophos, email malevole e phishing insieme sono stati la causa principale del 37% degli attacchi.
4. Protezione degli endpoint contro payload che evolvono più in fretta di quanto il rilevamento basato su firme riesca ad adattarsi.
5. Segmentazione di rete progettata contro modelli di minaccia che cambiano di continuo.
6. Configurazione di cloud e SaaS su decine o centinaia di servizi, ciascuno con il proprio modello di permessi.
7. Infrastruttura di backup e ripristino che deve funzionare in condizioni che il resto del vostro stack non è già riuscito a prevenire.

L'attaccante gioca una sola casella di questa scacchiera. Il difensore le gioca tutte e sette, ogni giorno, con risorse limitate.

Questi sette domini sono una nostra impostazione, non le sette opzioni di risposta di Sophos. L'elenco di Sophos descrive condizioni organizzative come competenze, capacità e lacune sconosciute, e queste attraversano tutti i domini sopra elencati. Il dato 2,7 sostiene comunque l'asimmetria con i dati. Le vittime hanno descritto i loro attacchi (l'indagine riguardava i 12 mesi precedenti, quindi molti sono avvenuti nel 2024) come il prodotto di quasi tre condizioni concomitanti in media. Non è un segno di negligenza. È un segno che una prevenzione completa è strutturalmente difficile da ottenere.

Perché "basta correggere la causa principale" è un calcolo sbagliato

Una risposta comune all'analisi degli incidenti è individuare la "causa principale" e porvi rimedio. La maggior parte delle analisi post-incidente rafforza questo modo di pensare. I dati Sophos 2025 mostrano perché questa impostazione, per quanto intuitivamente soddisfacente, non coglie il modo in cui le vittime stesse descrivono ciò che è andato storto.

Se le vittime indicano in media 2,7 fattori concomitanti, allora un'analisi che si ferma a un'unica causa principale è probabilmente incompleta. Vi dice da quale porta è entrato l'attaccante. Non vi dice perché l'edificio avesse così tante porte aperte che una di esse sarebbe stata comunque disponibile.

Questo conta sul piano operativo. Le risorse spese sul vettore d'ingresso specifico dell'incidente dell'anno scorso sono risorse non spese sulle lacune architetturali che determineranno quello dell'anno prossimo. La nostra lettura dei dati Sophos è che le organizzazioni che ragionano per singola causa principale probabilmente investono troppo poco nei controlli a più livelli che determinano se un qualsiasi vettore d'ingresso porterà a un esito catastrofico.

Il cambio di prospettiva strategico è questo: in qualsiasi ambiente aziendale sufficientemente complesso, prima o poi gli attaccanti troveranno un percorso praticabile. La domanda che determina se quel percorso porterà al pagamento di un riscatto non è "abbiamo chiuso ogni porta?" ma "la nostra architettura sopravvive quando una di esse si apre?"

Il controllo compensativo che la maggior parte delle aziende sottovaluta

Ecco l'intuizione architetturale a cui rimanda il dato 2,7: quando la prevenzione fallisce con una certa regolarità, i livelli che determinano gli esiti per il business si spostano a valle.

È qui che l'architettura di backup passa da "igiene infrastrutturale" a "controllo strategico primario".

In un modello di minaccia a vettore singolo, il backup è una soluzione di ripiego. In un modello di minaccia multifattoriale, il backup è il controllo compensativo per i fallimenti della prevenzione che si verificheranno. Il primo report State of Ransomware in Enterprise 2025 di Sophos, basato sui 1.733 rispondenti di organizzazioni con 1.000–5.000 dipendenti, mostra la posta in gioco:

• Il 48% delle vittime enterprise i cui dati erano stati cifrati ha pagato il riscatto per riaverli, contro il 55% del 2024.
• L'uso dei backup da parte delle aziende enterprise per ripristinare i dati cifrati è sceso al 53%, il minimo in quattro anni, contro il 73% del 2024.
• Le organizzazioni con 1.000–5.000 dipendenti hanno speso in media 1,83 milioni di dollari per il ripristino, escluso l'eventuale riscatto pagato, secondo il report principale 2025.

Sophos legge insieme i dati su pagamenti e backup come segnali che puntano, testualmente, "to stronger resistance to demands together with weaknesses and lack of backup resilience" (verso una maggiore resistenza alle richieste insieme a debolezze e a una mancanza di resilienza dei backup). Osserva anche che il 30% delle aziende con dati cifrati ha usato altri mezzi per ripristinarli, per cui il calo nell'uso dei backup non è solo una storia di backup che falliscono. Il quadro resta comunque coerente. Meno attacchi arrivano alla cifratura, ma quando ci arrivano i backup hanno sostenuto il ripristino solo in circa la metà dei casi enterprise. Il divario tra maturità della prevenzione e maturità del ripristino è esattamente il terreno su cui prosperano i pagamenti dei riscatti.

Per i responsabili del rischio aziendale, ciò implica una specifica riallocazione dell'attenzione architetturale. Gli investimenti in rilevamento, identità e patching restano tutti essenziali. Ma nessuno di essi elimina il 2,7. Cambiano soltanto quali tre porte sono aperte in un dato giorno. Il controllo che determina se una porta aperta diventa un incidente esistenziale è quello che la maggior parte delle organizzazioni ha modernizzato meno: l'architettura che conserva copie pulite, immutabili e validate dei dati critici per il business ed è in grado di ripristinarle in condizioni ostili.

Come può presentarsi il 2,7 in un incidente

Sophos non scompone il 2,7 in una sequenza, quindi quanto segue è un nostro esempio di come i fattori concomitanti possano combinarsi in un ambiente aziendale, non un dato dell'indagine:

Il primo fattore è di solito un vettore d'ingresso: un dispositivo perimetrale non aggiornato, una credenziale compromessa riutilizzata su più sistemi o un'email di phishing andata a segno. È il fallimento che il report post-incidente chiamerà "causa principale".

Il secondo fattore è tipicamente un fallimento di privilegi o di visibilità che ha permesso di espandere il punto d'appoggio iniziale: permessi permanenti eccessivi, lacune nel rilevamento del movimento laterale o segmentazione inadeguata tra le business unit.

Il terzo fattore è quello su cui ci concentriamo: un fallimento del livello di ripristino che trasforma un breach contenuto in un riscatto pagato. Credenziali di backup raggiungibili dalla produzione, policy di retention modificabili da amministratori compromessi o procedure di restore mai testate contro lo scenario che il team si trova ora ad affrontare. Sophos offre qui un solo dato circoscritto: nel report principale 2025, delle 151 organizzazioni che hanno pagato più della richiesta di riscatto iniziale, il 38% ha dichiarato che i propri backup non avevano funzionato o erano malfunzionanti.

I primi due fattori ricevono l'attenzione durante l'incident response. Il terzo spesso decide l'esito finanziario, ed è difficile da valutare onestamente finché un incidente non pone la questione.

È questa la realtà operativa a cui rimanda il dato 2,7. I fattori non sono astratti: insieme costituiscono la sequenza di fallimenti che trasforma un evento di sicurezza gestibile in una crisi a livello di consiglio di amministrazione.

Cosa significa per l'allocazione del rischio

Se accettate il dato 2,7 come significativo sul piano architetturale (e un'indagine su 3.400 organizzazioni vittime rende difficile liquidarlo), ne derivano diverse conclusioni in termini di allocazione.

Diversificate gli investimenti lungo la catena dei fallimenti, non all'interno di un singolo livello. Raddoppiare gli sforzi sulla sicurezza email lasciando invariata l'architettura di ripristino cambia quale fattore cede per primo; non riduce il numero totale di fallimenti. I budget di sicurezza aziendali che destinano una quota sproporzionata alla prevenzione trattando il backup come una voce di spesa indifferenziata operano contro un modello di minaccia che non rispecchia il modo in cui le vittime descrivono i propri incidenti.

Valutate le architetture rispetto a scenari multifattoriali, non a test su un singolo vettore. Un test che conferma la tenuta di una difesa non prova che il vostro ambiente sopravviva a un attacco reale. Nell'indagine Sophos, le vittime hanno indicato in media quasi tre fattori concomitanti. Le esercitazioni tabletop e gli engagement di red team dovrebbero essere progettati per testare esplicitamente questa condizione composta.

Misurate la fiducia nel ripristino, non il completamento dei backup. Sophos non dice perché l'uso dei backup nelle aziende enterprise sia sceso al 53%, e parte del calo riflette altri metodi di ripristino. La nostra lettura è che molte architetture di backup sono state progettate per guasti a fattore singolo (un server si è guastato, un utente ha cancellato un file) e ora si chiede loro di funzionare in condizioni multifattoriali (l'attaccante è nella rete da due settimane e ha toccato tutto). Sono problemi diversi. La raccomandazione di Sophos stessa è di "make quality backups and regularly practice restoring data from them" (creare backup di qualità ed esercitarsi regolarmente a ripristinare i dati da essi).

Trattate il livello di ripristino come il controllo compensativo che è diventato. Quando la prevenzione a volte fallirà, il livello che determina gli esiti è quello che conserva copie dei dati pulite, isolate e immutabili ed è in grado di ripristinarle rapidamente in condizioni ostili. Quel livello va progettato, governato e testato con lo stesso rigore dell'ambiente di produzione che protegge.

Il ruolo di BackupSec

In BackupSec il nostro approccio si fonda su una premessa: prima o poi la prevenzione fallirà da qualche parte, e quando succede è il livello di ripristino a decidere se il fallimento è recuperabile o esistenziale.

Tre dei nostri servizi corrispondono alle domande sollevate dal dato 2,7:

• ZeroMON risponde alla domanda "Che cosa sta facendo davvero il nostro ambiente di backup in questo momento?" Monitora Veeam Backup & Replication: stato di salute dei job, modifiche di configurazione con chi, cosa e quando (Forensic & Audit), una checklist del Security Analyzer, report e un honeypot sull'appliance di monitoraggio. Mostra lo stato di immutabilità così come lo riportano le impostazioni dei repository di Veeam stesso; legge la configurazione di Veeam e non verifica i lock a livello di oggetto sullo storage. Gli alert vengono inviati via email e tramite notifica in-app. ZeroMON si installa on-premises come OVA, si connette con un account in sola lettura e non invia nulla a BackupSec né a terze parti.
• ZeroTAM risponde alla domanda "Abbiamo le competenze per interpretare ciò che vediamo?" È la domanda che sta dietro al fattore più comune dell'elenco Sophos. Un advisor dedicato alla sicurezza dei backup copre architettura, pianificazione del ripristino da ransomware e capacità, con supporto prioritario durante una crisi. È consulenza, non software.
• ZeroPEN risponde alla domanda "Fin dove arriverebbe un attaccante contro i nostri backup?" È un penetration test guidato dalle minacce su Veeam Backup & Replication, Veeam ONE ed Enterprise Manager che simula una kill chain ransomware in otto fasi mappate su MITRE ATT&CK, dall'accesso iniziale alla neutralizzazione dei backup fino alla prova della capacità di cifratura. Non è distruttivo: "never deletes real backups, performs real encryption, or stops production or backup services" (non elimina mai backup reali, non esegue cifrature reali e non arresta servizi di produzione o di backup). I risultati sono accompagnati da evidenze pronte per l'audit e le criticità gravi vengono sottoposte a retest.

Non sostituiamo la vostra piattaforma di backup. Contribuiamo a rendere il livello di ripristino che essa supporta osservabile, compreso e testato rispetto alle condizioni multifattoriali descritte dai dati Sophos.

Se la vostra organizzazione legge il report Sophos 2025 e conclude che la risposta è chiudere ogni porta, i dati vi stanno dicendo qualcos'altro: le porte non resteranno tutte chiuse, e l'architettura che determina che cosa succede quando una di esse si apre è la conversazione che vale la pena affrontare nel 2026.

Parlate con BackupSec →

Questa analisi si basa sui report State of Ransomware 2025 e State of Ransomware in Enterprise 2025 di Sophos. L'interpretazione e il framework sono di BackupSec. Per capire come questa analisi si applica al vostro ambiente, contattate il nostro team →