Il risultato più noioso dei dati Sophos è anche il più importante
Ogni anno il dibattito sul ransomware si fa più rumoroso attorno alle nuove tecniche di attacco. Phishing generato dall'AI. Social engineering con deepfake. Adversarial machine learning. Binari living-off-the-land. Compromissioni della supply chain attraverso dipendenze oscure. La narrazione suggerisce puntualmente che i difensori si trovano davanti a una minaccia radicalmente nuova che richiede strumenti radicalmente nuovi.
Per tre indagini consecutive, il report State of Ransomware di Sophos è tornato con una risposta meno alla moda. L'edizione 2025 la riassume in una riga:
"For the third year running, victims identified exploited vulnerabilities as the most common technical root cause of attack, used in 32% of incidents."
(Per il terzo anno consecutivo, le vittime hanno indicato le vulnerabilità sfruttate come la causa tecnica principale più comune degli attacchi, utilizzata nel 32% degli incidenti.)
Non una tecnica esotica. Una falla in un software che la vittima stava già usando, sfruttata come via d'ingresso. Sophos non suddivide quella categoria tra zero-day e falle per cui esisteva già una patch, per cui l'indagine non può dire quanti di quegli incidenti fossero correggibili il giorno dell'attacco. Ciò che dice è che, per tre anni, le vittime non hanno indicato più spesso nessun altro singolo punto d'ingresso.
Da allora la serie si è interrotta. Nell'edizione 2026, le vulnerabilità sfruttate sono scese al 18%, dietro alle email malevole (26%), al phishing (24%) e alle credenziali compromesse (23%). Torneremo su questo cambiamento più avanti, perché rafforza l'argomentazione invece di indebolirla: il principale punto d'ingresso è cambiato nell'arco di un solo anno, e il problema di ripristino del difensore non è cambiato con esso.
In BackupSec leggiamo la serie triennale come un segnale strategico. Il divario tra debolezze di sicurezza note e debolezze chiuse non si riduce seguendo i tempi della prevenzione. Questo articolo esamina perché quel divario persiste, perché la sola prevenzione non può colmarlo e che cosa significa per l'architettura di backup nel 2026.
Che cosa mostrano davvero i dati Sophos
Il report Sophos 2025 si basa su un'indagine indipendente e vendor-agnostic commissionata da Sophos e condotta da uno specialista terzo tra gennaio e marzo 2025. Copre 3.400 responsabili IT e di cybersecurity in 17 paesi, tutti in organizzazioni con 100–5.000 dipendenti colpite da ransomware nei dodici mesi precedenti. Sophos intitola ciascun report all'anno in cui si è svolta l'indagine e osserva che "many of the attacks referenced occurred in 2024" (molti degli attacchi citati sono avvenuti nel 2024). Alla domanda sulla causa principale hanno risposto tutti i 3.400 rispondenti:
- Vulnerabilità sfruttate: 32% degli attacchi, la causa n. 1 per il terzo anno consecutivo (36% nel report 2023, 32% nel 2024).
- Credenziali compromesse: 23%, in calo dal 29% del 2024.
- Email malevole: 19%.
- Phishing: 18%, in aumento dall'11% dell'anno precedente.
I report di settore basati sulla stessa indagine 2025 seguono per lo più lo stesso schema. Nel manifatturiero, le vulnerabilità sfruttate sono state la causa principale con il 32%. Nel retail, sono state in testa per il terzo anno consecutivo con il 30%. Non tutti i settori rientrano nello schema: nella sanità, le vulnerabilità sfruttate sono finite in cima alla lista con il 33% "for the first time in three years" (per la prima volta in tre anni). Lo schema era ampio, non universale.
Un'avvertenza sull'indagine in sé. Registra ciò che le vittime ritengono sia stata la causa principale, e i dati sugli incidenti di Sophos stessa danno una lettura un po' diversa. Nei casi di incident response e MDR del 2024 analizzati nel suo 2025 Active Adversary Report, le credenziali compromesse erano in testa (41%) e le vulnerabilità sfruttate al secondo posto (22%). In entrambi i casi, lo sfruttamento si colloca in cima o vicino alla cima.
Ciò che rende importante il risultato dell'indagine è la sua persistenza. La quota è scesa dal 36% al 32% e poi si è mantenuta lì, e per tre anni nulla l'ha superata.
Questo dovrebbe dirci qualcosa di architetturale sul problema.
Perché il patching fallisce, anche quando le organizzazioni lo fanno
La risposta intuitiva a "un terzo degli attacchi inizia con una vulnerabilità sfruttata" è "allora applichiamo le patch più in fretta". È una risposta corretta ma operativamente insufficiente, e vale la pena esaminare con onestà le ragioni per cui non basta.
Il problema del denominatore. Un'organizzazione di medie dimensioni può facilmente gestire migliaia di componenti software distinti tra sistemi operativi, applicazioni, firmware, immagini di container e configurazioni SaaS. Gli advisory dei vendor arrivano di continuo. Nemmeno un team di sicurezza al massimo della forma può applicare le patch a ogni componente il giorno in cui viene pubblicata una CVE. Il denominatore delle "cose che potrebbero essere sfruttate" è strutturalmente più grande della capacità delle "cose che si possono correggere questa settimana".
Il problema della criticità. Molte patch richiedono downtime, test di regressione o coordinamento con i responsabili di business che proteggono i ricavi. I sistemi che hanno più bisogno di patch (applicazioni esposte all'esterno, sistemi di produzione legacy, infrastrutture OT e di controllo industriale) sono spesso quelli in cui il downtime costa di più. Così le patch vengono pianificate, rinviate, raggruppate e infine dimenticate. Quel debito di manutenzione è esattamente il primo posto in cui guarderà un attaccante in cerca di una via d'ingresso.
Il problema della scoperta. Non si può correggere ciò che non si vede. Nell'indagine Sophos 2025, lacune di sicurezza di cui l'organizzazione non era consapevole sono state un fattore concomitante nel 40,1% degli attacchi, appena dietro alla mancanza di competenze (40,2%). I rispondenti hanno indicato in media 2,7 fattori concomitanti, quindi si tratta di cause concorrenti, non di cause uniche. Nel retail, le lacune di sicurezza sconosciute sono state la causa operativa più citata, indicata dal 46% delle vittime. Shadow IT, sistemi non documentati, workload cloud dimenticati e integrazioni di terze parti con i propri alberi di dipendenze rendono la superficie d'attacco moderna davvero difficile da censire. Il divario tra ciò che mostra il vostro inventario degli asset e ciò che un attaccante può effettivamente raggiungere è il luogo in cui si trovano molte vulnerabilità sfruttate.
Il problema della finestra temporale. Anche quando una vulnerabilità è nota e la patch esiste, il tempo che intercorre prima dello sfruttamento è crollato. L'analisi del time-to-exploit di Mandiant ha misurato una media di 63 giorni nel 2018–2019, 32 giorni nel 2021–2022 e cinque giorni nel 2023. Tra le falle monitorate che sono state sfruttate dopo la disponibilità di una patch, il 12% è stato sfruttato entro un giorno e il 29% entro una settimana. E il 70% delle vulnerabilità sfruttate monitorate nel 2023 è stato usato come zero-day, prima che esistesse qualsiasi patch. La finestra di patching di qualche anno fa non esiste più.
Nessuno di questi problemi si risolve acquistando un altro strumento di vulnerability management. Sono caratteristiche strutturali del modo in cui le organizzazioni gestiscono l'IT, e aiutano a spiegare perché le vulnerabilità sfruttate sono rimaste in cima alla lista Sophos per tre anni.
La distrazione dell'AI
I dati Sophos 2025 sono stati anche un utile correttivo alla narrazione dominante sugli attacchi guidati dall'AI.
Il dibattito del settore nel 2025 era fortemente orientato verso campagne di phishing generate dall'AI, social engineering con deepfake ed evasione basata sul machine learning. Sono minacce reali e meritano attenzione. Il phishing è effettivamente cresciuto nell'indagine 2025, dall'11% al 18% degli attacchi. Sophos non dice quanto di quella crescita sia dovuto a esche scritte dall'AI, e non possiamo dirlo nemmeno noi. Ciò che i dati 2025 mostrano è che il phishing non ha scalzato le vulnerabilità sfruttate come principale punto d'ingresso.
L'edizione 2026 fa evolvere il quadro. Gli attacchi via email sono passati in testa: email malevole (26%) e phishing (24%) insieme hanno rappresentato la metà di tutti gli incidenti, mentre le vulnerabilità sfruttate sono scese di 14 punti al 18%. Nemmeno questo cambiamento Sophos lo attribuisce all'AI.
La lezione pratica per i responsabili del rischio è diffidare di qualsiasi narrazione, compresa la nostra, secondo cui l'investimento difensivo più importante è quello sul vettore che guida la classifica di quest'anno. Il primo posto è cambiato nell'arco di dodici mesi. Una difesa che dipende dalla chiusura di una porta specifica scommette su un bersaglio mobile. L'investimento più duraturo è quello che rende ogni singolo vettore d'ingresso meno determinante per l'esito.
Che cosa significa davvero "meno determinante"
Ecco l'intuizione architetturale che deriva dall'accettare che lo sfruttamento non possa essere eliminato del tutto. Se una quota significativa degli attacchi continuerà a iniziare da una falla che non avete corretto in tempo (circa un terzo in tre indagini Sophos consecutive, e ancora quasi uno su cinque nella quarta), la domanda strategica passa da "come applichiamo le patch più in fretta?" a "che cosa succede quando non ci riusciamo?"
È la domanda che la maggior parte delle architetture di sicurezza continua a evitare.
In un modello di difesa in cui si presume che la prevenzione funzioni, lo sfruttamento delle vulnerabilità è trattato come un fallimento da eliminare. In un modello di difesa che prende sul serio i dati Sophos, è trattato come una condizione ricorrente che il resto dell'architettura deve assorbire senza un esito catastrofico.
Il passaggio dall'eliminazione all'assorbimento è lo stesso che l'ingegneria dell'affidabilità matura ha compiuto anni fa. Nei sistemi distribuiti non si elimina il guasto. Si progettano sistemi che degradano in modo controllato quando i guasti si verificano. Si misura il tempo medio di ripristino, non solo il tempo medio tra i guasti. Si tratta la resilienza come una proprietà architetturale primaria, non come un lavoro di pulizia dopo che la prevenzione ha fallito.
La sicurezza sta lentamente iniziando ad applicare la stessa logica. I dati Sophos sono, nella nostra lettura, una prova solida che questa transizione è in ritardo.
Dove l'architettura di backup diventa il punto di svolta
Quando una vulnerabilità viene sfruttata e un attaccante stabilisce un punto d'appoggio, la catena che segue è ben documentata: movimento laterale, escalation dei privilegi, ricognizione, esfiltrazione e, infine, distribuzione del payload. Ed è anche rapida. Nei casi del 2024 alla base del 2025 Active Adversary Report di Sophos, il dwell time mediano nei casi di incident response ransomware è stato di 4 giorni, e di 3 giorni nei casi MDR. È il tempo a disposizione di un attaccante per individuare e neutralizzare i controlli che altrimenti consentirebbero il ripristino, ed è più breve della maggior parte dei cicli di revisione.
Il più importante di questi controlli è l'ambiente di backup.
Se la vostra infrastruttura di backup è raggiungibile da un sistema compromesso tramite una vulnerabilità sfruttata, la vulnerabilità non ha solo reso possibile un attacco. Ha permesso all'attacco di vincere. Una CVE sfruttata su un'applicazione esposta su Internet conta, sul piano architetturale, meno per ciò che fa su quell'host che per ciò che permette a un attaccante di fare al vostro livello di ripristino nei giorni successivi.
È questo il punto di svolta implicito nei dati Sophos. Le vulnerabilità sfruttate resteranno una delle principali vie d'ingresso, qualunque sia la loro posizione in classifica in un dato anno. La variabile che determina gli esiti è se la vostra architettura di ripristino sia raggiungibile dai sistemi in cui si stabiliscono quei punti d'appoggio.
In concreto, questo significa:
Separazione delle identità. Le credenziali che proteggono i sistemi di produzione non devono concedere accesso all'infrastruttura di backup. Se un account domain administrator compromesso può raggiungere il vostro repository di backup, i vostri backup fanno parte della superficie d'attacco esposta dalla vulnerabilità non corretta.
Immutabilità validata. Le policy di retention basate sul software possono essere modificate da chiunque abbia privilegi sufficienti. I blocchi di retention imposti a livello hardware o di piattaforma sono progettati per resistere a questo, ma "configurato" e "funzionante davvero come previsto" sono affermazioni diverse, e solo un test le distingue. Che l'immutabilità sia imposta dalla piattaforma di backup, dal livello di storage o da un hardened repository, la proprietà che conta è se sia stata testata in condizioni ostili, non semplicemente abilitata in un pannello di impostazioni.
Isolamento di rete e di fiducia. Un ambiente di backup che si trova nello stesso dominio di rete dei sistemi di produzione fa parte della produzione dal punto di vista del threat modeling. L'isolamento logico e fisico è ciò che trasforma l'infrastruttura di backup da "un altro bersaglio" a "il livello che sopravvive quando gli altri bersagli non ce la fanno".
Validazione regolare dei restore. Nell'indagine Sophos 2025, solo il 54% delle organizzazioni i cui dati erano stati cifrati li ha ripristinati dai backup, il tasso più basso in sei anni e il terzo calo consecutivo. Sophos non chiede agli altri il perché. Riporta però che il 29% ha usato "other means" (altri mezzi), che secondo Sophos includono probabilmente chiavi di decifratura rese pubbliche (erano ammesse più risposte). Il suo unico dato diretto sui backup falliti è circoscritto: delle 151 organizzazioni che hanno pagato più della richiesta iniziale, il 38% ha dichiarato che i propri backup non avevano funzionato o erano malfunzionanti. L'edizione 2026 mostra una ripresa, con il 66% delle vittime con dati cifrati che ha ripristinato dai backup. In ogni caso, un backup mai ripristinato in condizioni realistiche è un'ipotesi, non un controllo.
Il cambio di prospettiva strategico
Per i responsabili del rischio, i tre anni consecutivi dello sfruttamento delle vulnerabilità in cima alla lista non sono un atto d'accusa contro i programmi di vulnerability management. Sono la prova che il vulnerability management, per quanto ben eseguito, non può reggere da solo l'intero peso della difesa dal ransomware.
Il dato 2025 secondo cui il 32% degli attacchi è iniziato con una vulnerabilità sfruttata va letto insieme a un altro dato della stessa indagine: il 49% delle organizzazioni i cui dati erano stati cifrati ha pagato il riscatto, contro il 56% dell'anno precedente. Nell'edizione 2026 il tasso è stato del 48%, e Sophos colloca la media dei quattro anni intorno al 50%. Nella nostra lettura, questi numeri sono collegati. Descrivono una postura in cui alla prevenzione si chiede di essere infallibile perché non si può contare sul livello di ripristino. La correzione non consiste nel rendere la prevenzione più infallibile. Consiste nel rendere il ripristino abbastanza affidabile da far sì che i fallimenti della prevenzione non decidano gli esiti per il business.
Quella correzione è architetturale, ed è in ritardo. Le organizzazioni che colmeranno il divario saranno quelle il cui livello di ripristino è in grado di assorbire un incidente indipendentemente dalla porta da cui è entrato. I dati 2026 mostrano quanto rapidamente possa cambiare la porta più trafficata.
Il ruolo di BackupSec
In BackupSec partiamo dalla premessa che la prevenzione a volte fallirà e che, quando succede, l'esito dipende da due cose: se esistono copie dei dati pulite e isolate, e se qualcuno ha verificato che il livello di backup regga contro l'attacco in arrivo.
Tre dei nostri servizi corrispondono alle lacune descritte sopra:
- ZeroMON monitora Veeam Backup & Replication. Gira on-premises come OVA, si connette con un account in sola lettura e non invia nulla a BackupSec né a terze parti. Tiene traccia dello stato di salute dei job e delle modifiche di configurazione in Veeam (chi ha cambiato cosa e quando), mostra lo stato di immutabilità così come lo riportano le impostazioni dei repository di Veeam stesso, mostra i risultati del Security & Compliance Analyzer di Veeam e include un honeypot che registra scansioni e tentativi di connessione verso l'appliance ZeroMON come segnale precoce di ricognizione. Gli alert vengono inviati via email e tramite notifica in-app. Poiché legge la configurazione di Veeam, non verifica i lock a livello di oggetto sullo storage stesso.
- ZeroTAM mette a disposizione del vostro team un advisor dedicato alla sicurezza dei backup per architettura, pianificazione del ripristino da ransomware e capacità, con supporto prioritario in caso di crisi. È un lavoro di consulenza, non un software.
- ZeroPEN è un penetration test guidato dalle minacce su Veeam Backup & Replication, oltre che su Veeam ONE ed Enterprise Manager. Simula una kill chain ransomware in otto fasi mappate su MITRE ATT&CK, dall'accesso iniziale, passando per la compromissione del server Veeam, l'accesso ai repository e la neutralizzazione dei backup, fino alla prova della capacità di cifratura. Non è distruttivo: "ZeroPEN never deletes real backups, performs real encryption, or stops production or backup services" (ZeroPEN non elimina mai backup reali, non esegue cifrature reali e non arresta servizi di produzione o di backup). Ottenete evidenze pronte per l'audit di ciò che un attaccante con un punto d'appoggio potrebbe raggiungere, e un retest per le criticità gravi.
Il dato del 32% non è mai stato un destino, e il dato del 18% del 2026 non è una tregua. Entrambi descrivono la porta d'ingresso. Ciò che decide l'esito è se il livello di ripristino cede insieme al livello di prevenzione. Disaccoppiare i due non vi rende immuni alle vulnerabilità sfruttate. Rende molto meno probabile che una patch mancata decida se pagherete.
Parlate con BackupSec del penetration testing dei backup →
Questa analisi si basa sui report Sophos State of Ransomware 2025 e 2026, sui report di settore Sophos 2025 per manifatturiero, retail e sanità, sul 2025 Active Adversary Report di Sophos e sull'analisi del time-to-exploit 2023 di Mandiant. L'interpretazione e il framework sono di BackupSec. Per capire come si applica al vostro ambiente, contattate il nostro team →