Tre anni, un'unica causa radice: perché lo sfruttamento delle vulnerabilità continua a vincere nel 2026

Il dato più noioso del report Sophos 2025 è anche il più importante

Ogni anno il dibattito sul ransomware si fa più rumoroso attorno alle nuove tecniche di attacco. Phishing generato dall'intelligenza artificiale. Ingegneria sociale basata su deepfake. Machine learning avversariale. Binari living-off-the-land. Compromissioni della supply chain attraverso dipendenze oscure. La narrazione dominante suggerisce puntualmente che i difensori si trovino di fronte a una minaccia radicalmente nuova, che richiede strumenti radicalmente nuovi.

E ogni anno, il report State of Ransomware di Sophos torna da un sondaggio vendor-agnostico condotto su migliaia di vittime con la stessa risposta fuori moda.

Per il terzo anno consecutivo, le vulnerabilità sfruttate sono la causa radice tecnica più comune degli incidenti ransomware — responsabili del 32% degli attacchi nel 2025.

Non tecniche di intelligenza artificiale innovative. Non zero-day. Non attacchi esotici alla supply chain. Patch che esistevano ma non sono state applicate. Configurazioni note per essere errate. CVE con exploit pubblici e advisory dei vendor finite in una coda e mai più uscite.

Questo è il dato che dovrebbe mettere a disagio ogni responsabile della sicurezza aziendale, perché non può essere risolto acquistando un nuovo strumento. È un problema strutturale legato al modo in cui gli ambienti aziendali accumulano debito tecnico — e i dati del 2025 suggeriscono che nessun livello di investimento nel rilevamento avanzato riesca a colmarlo.

In BackupSec leggiamo la persistenza dello sfruttamento delle vulnerabilità come causa radice numero uno come un segnale strategico: il divario tra le debolezze di sicurezza note e quelle risolte è il predittore singolo più affidabile di quali organizzazioni compariranno nella colonna "ha pagato il riscatto" del prossimo anno. Questo articolo analizza perché quel divario persiste, perché non può essere colmato dalla sola prevenzione, e quali sono le implicazioni architetturali per le organizzazioni che operano nel 2026.

Cosa mostrano davvero i dati Sophos

Il report Sophos 2025 ha intervistato 3.400 responsabili IT e cybersecurity in 17 paesi, tutti provenienti da organizzazioni colpite da ransomware nei dodici mesi precedenti. Alla domanda sulla causa radice tecnica del loro incidente, la ripartizione è risultata sorprendentemente coerente di anno in anno:

• Vulnerabilità sfruttate: 32% degli attacchi — la causa numero uno per tre anni consecutivi.
• Credenziali compromesse: 23% — in calo rispetto al 29% del 2024.
• Email dannose: 19%.
• Phishing: 18% — in aumento rispetto all'11% dell'anno precedente.

I report settoriali confermano questo schema. Nel manifatturiero, le vulnerabilità sfruttate hanno rappresentato il 32% degli incidenti — di nuovo la causa principale. Nella distribuzione al dettaglio, il dato è stato del 30%, anch'esso il più alto. In praticamente ogni settore analizzato da Sophos, il risultato è lo stesso: un terzo di tutti gli attacchi ransomware andati a segno inizia con una vulnerabilità già corretta dal vendor, di cui il team di sicurezza è teoricamente a conoscenza, e che l'attaccante ha semplicemente sfruttato per primo.

Ciò che rende questo dato strategicamente importante non è solo la sua coerenza. È il fatto che sia rimasto la causa numero uno nonostante tre anni di investimenti intensi del settore in strumenti di vulnerability management, piattaforme di attack surface management, servizi di exposure assessment e automazione del patching. L'investimento è stato considerevole. Il risultato è rimasto invariato.

Questo dovrebbe dirci qualcosa di architetturale sul problema.

Perché il patching fallisce — anche quando le organizzazioni lo fanno

La risposta intuitiva a "il 32% degli attacchi parte da vulnerabilità note" è "allora bisogna applicare le patch più velocemente". Questa risposta è corretta ma operativamente insufficiente, e vale la pena esaminare onestamente i motivi per cui non basta.

Il problema del denominatore. Una tipica azienda di media dimensione gestisce migliaia di componenti software distinti tra sistemi operativi, applicazioni, firmware, immagini container e configurazioni SaaS. Le advisory dei vendor arrivano in modo continuo. Anche un team di sicurezza al massimo delle proprie capacità non può applicare la patch a ogni componente il giorno stesso in cui viene pubblicata una CVE. Il denominatore delle "cose sfruttabili" è strutturalmente più grande della capacità delle "cose aggiornabili in una settimana".

Il problema della criticità. Molte patch richiedono downtime, test di regressione o coordinamento con i responsabili di business che devono proteggere la continuità dei ricavi. I sistemi che più necessitano di patch — le applicazioni esposte a Internet, i sistemi di produzione legacy, l'infrastruttura OT e di controllo industriale — sono spesso quelli in cui il costo di business del downtime è più alto. Così le patch vengono pianificate, rimandate, raggruppate e infine dimenticate. Gli attaccanti lo sanno, e prendono di mira proprio le categorie di sistemi con maggiore probabilità di portare debito di manutenzione.

Il problema della scoperta. Non si può applicare una patch a ciò che non si vede. Gli stessi dati Sophos mostrano che le falle di sicurezza sconosciute sono state citate da oltre il 40% delle vittime come fattore contributivo. Nella distribuzione al dettaglio in particolare, il 46% degli incidenti è riconducibile a falle sconosciute. Non si tratta di vulnerabilità che le organizzazioni hanno scelto di non correggere — sono vulnerabilità che le organizzazioni non sapevano di avere. Shadow IT, sistemi non documentati, carichi di lavoro cloud dimenticati, integrazioni di terze parti con i propri alberi di dipendenze: l'attack surface dell'azienda moderna è genuinamente difficile da enumerare, e il divario tra ciò che mostra il proprio inventario degli asset e ciò che un attaccante può effettivamente raggiungere è dove vive la maggior parte delle vulnerabilità sfruttate.

Il problema della finestra temporale. Anche quando una vulnerabilità è nota e una patch è disponibile, il tempo tra la divulgazione e lo sfruttamento attivo si è drasticamente ridotto. Gli attori delle minacce monitorano le advisory dei vendor con la stessa diligenza dei team di sicurezza, e gli exploit armati per le CVE ad alto impatto ormai compaiono regolarmente entro pochi giorni — a volte ore — dalla divulgazione. La finestra di patching che esisteva cinque anni fa non esiste più per nessuna vulnerabilità abbastanza grave da attirare attenzione.

Nessuno di questi problemi si risolve acquistando un altro strumento di vulnerability management. Sono caratteristiche strutturali del modo in cui funzionano gli ambienti aziendali, e spiegano perché il dato del 32% non si sia mosso in tre anni nonostante l'enorme investimento difensivo.

La distrazione dell'intelligenza artificiale

Vale la pena affrontarlo direttamente: i dati Sophos 2025 sono anche un utile correttivo alla narrazione dominante sugli attacchi guidati dall'intelligenza artificiale.

Il dibattito del settore nel 2025 si è orientato pesantemente verso campagne di phishing generate dall'IA, ingegneria sociale basata su deepfake ed evasione abilitata dal machine learning. Queste minacce sono reali e meritano attenzione — soprattutto alla luce delle ricerche che mostrano come la grande maggioranza delle email di phishing contenga ormai contenuti generati dall'IA.

Ma i dati Sophos costituiscono un utile bagno di realtà su dove dovrebbero effettivamente essere allocati budget e attenzione. Il phishing potenziato dall'IA contribuisce all'aumento degli incidenti legati al phishing (dall'11% al 18% su base annua). Non sta però soppiantando lo sfruttamento delle vulnerabilità come vettore d'ingresso dominante. Il terzo di tutti gli attacchi che parte da sistemi non aggiornati non si sta riducendo perché gli attaccanti hanno accesso a modelli linguistici migliori. Semmai, il dibattito sull'IA ha funzionato come una distrazione dal problema poco affascinante e strutturale che, silenziosamente, causa un terzo di tutti gli incidenti ransomware da tre anni consecutivi.

L'implicazione strategica per i responsabili del rischio aziendale è di essere scettici verso qualsiasi narrazione di vendor che suggerisca che l'investimento difensivo più importante sia quello più recente. I dati Sophos indicano una direzione diversa: l'investimento difensivo più importante potrebbe essere quello che rende il noioso problema strutturale della vulnerability management meno determinante per i risultati complessivi.

Cosa significa davvero "meno determinante"

Ecco l'intuizione architetturale che deriva dall'accettare che lo sfruttamento delle vulnerabilità non può essere eliminato del tutto: se un terzo di tutti gli attacchi continuerà a partire da una patch che non è stata applicata in tempo, allora la domanda strategica si sposta da "come possiamo applicare le patch più velocemente?" a "cosa succede quando non lo facciamo?"

Questa è la domanda che la maggior parte delle architetture di sicurezza aziendale sta ancora evitando.

In un modello di difesa in cui si presume che la prevenzione funzioni, lo sfruttamento delle vulnerabilità viene trattato come un fallimento da eliminare. In un modello di difesa che prende sul serio i dati Sophos, lo sfruttamento delle vulnerabilità viene trattato come una condizione ricorrente che il resto dell'architettura deve assorbire senza produrre esiti catastrofici.

Il passaggio dall'eliminazione all'assorbimento è lo stesso cambiamento architetturale che l'ingegneria della affidabilità matura ha attraversato un decennio fa. Non si eliminano i guasti nei sistemi distribuiti. Si progettano sistemi che si degradano in modo controllato quando i guasti si verificano. Si misura il tempo medio di ripristino, non solo il tempo medio tra i guasti. Si tratta la resilienza come proprietà architetturale primaria, non come una pulizia secondaria dopo il fallimento della prevenzione.

La sicurezza aziendale sta iniziando, molto lentamente, ad applicare la stessa logica. I dati Sophos 2025 rappresentano, a nostro avviso, la prova empirica più forte finora raccolta del fatto che questa transizione sia ormai improrogabile.

Dove l'architettura di backup diventa il punto di svolta

Quando una vulnerabilità viene sfruttata e un attaccante stabilisce un punto d'appoggio, la catena di eventi che segue è ben documentata: movimento laterale, escalation dei privilegi, ricognizione dei dati di valore, esfiltrazione e infine distribuzione del payload. Gli attori delle minacce moderni trascorrono in media dai 12 ai 22 giorni all'interno degli ambienti compromessi prima di distribuire il ransomware — tempo che utilizzano specificamente per identificare e neutralizzare i controlli che altrimenti consentirebbero il recovery.

Il più importante di questi controlli, in assoluto, è l'ambiente di backup.

Se la vostra infrastruttura di backup può essere raggiunta da un sistema che è stato compromesso tramite una vulnerabilità sfruttata, allora quella vulnerabilità non ha semplicemente reso possibile un attacco — ha reso possibile la sua vittoria. La CVE sfruttata su un'applicazione esposta a Internet diventa architetturalmente significativa non per ciò che fa sull'host in cui è stata sfruttata, ma per ciò che consente a un attaccante di fare al vostro livello di recovery nelle due settimane successive.

Questo è il punto di svolta architetturale che i dati Sophos implicano. Lo sfruttamento delle vulnerabilità continuerà a essere la causa radice numero uno per il futuro prevedibile. La variabile che determina gli esiti è se la vostra architettura di recovery sia raggiungibile dai sistemi in cui quelle vulnerabilità saranno inevitabilmente sfruttate.

Concretamente, questo significa:

Separazione delle identità. Le credenziali che proteggono i sistemi di produzione non devono garantire l'accesso all'infrastruttura di backup. Se un account amministratore di dominio compromesso può raggiungere il vostro repository di backup, i vostri backup fanno parte della superficie di attacco esposta dalla vulnerabilità non corretta.

Immutabilità validata. Le policy di retention basate su software possono essere modificate da chiunque disponga di privilegi sufficienti. I blocchi di retention imposti a livello hardware o di piattaforma sono progettati per resistere a questo — ma il divario tra "configurato" ed "effettivamente funzionante come previsto" è dove molti ambienti di backup aziendali falliscono negli incidenti reali. Che la vostra immutabilità sia applicata dalla piattaforma di backup, dal livello di storage o da un repository hardened, la proprietà che conta è se sia stata testata in condizioni avversarie, non semplicemente attivata in un pannello di configurazione.

Isolamento di rete e di trust. Un ambiente di backup che si trova sullo stesso dominio di rete dei sistemi di produzione è, dal punto di vista del threat modeling, parte della produzione stessa. L'isolamento logico e fisico è ciò che trasforma l'infrastruttura di backup da "un altro bersaglio" a "il livello che sopravvive quando gli altri bersagli non lo fanno".

Validazione continua del ripristino. Un backup che non è stato testato nelle condizioni specifiche di un attacco reale è un'ipotesi, non un controllo. I dati del 2025 mostrano che il 53% delle aziende non ha utilizzato i backup per il recovery dopo incidenti ransomware andati a segno, pur disponendo di backup. La spiegazione più probabile è che i backup di cui disponevano non erano mai stati validati rispetto agli scenari effettivamente verificatisi. Progettare un'architettura contro questa modalità di fallimento richiede test, non semplice esecuzione.

Il riposizionamento strategico

Per i responsabili del rischio aziendale, la persistenza dello sfruttamento delle vulnerabilità come causa radice numero uno non è un atto d'accusa contro i programmi di vulnerability management. È la prova che la vulnerability management — per quanto ben eseguita — è strutturalmente incapace di sostenere da sola l'intero peso della difesa contro il ransomware.

Il dato Sophos secondo cui il 32% degli attacchi parte da vulnerabilità note dovrebbe essere letto insieme al dato secondo cui il 48% delle aziende vittime ha pagato il riscatto. Questi numeri sono collegati. Descrivono una postura difensiva in cui alla prevenzione viene chiesto di essere infallibile perché non ci si può affidare al livello di recovery. La correzione strategica non consiste nel rendere la prevenzione più infallibile — consiste nel rendere il recovery abbastanza affidabile da far sì che i fallimenti della prevenzione non determinino gli esiti di business.

Quella correzione è architetturale. Ed è anche improrogabile. Le organizzazioni che colmeranno il divario nei prossimi dodici mesi saranno quelle il cui livello di recovery riuscirà ad assorbire l'inevitabile terzo degli incidenti che continuerà a partire da un sistema non aggiornato. Le organizzazioni che non lo faranno continueranno a comparire, anno dopo anno, nella stessa riga del report Sophos.

Dove entra in gioco BackupSec

In BackupSec, il nostro servizio si basa sulla premessa che la prevenzione fallirà all'incirca nella proporzione descritta dai dati Sophos — e che il livello che determina gli esiti quando ciò accade è l'infrastruttura di recovery che custodisce copie pulite e isolate dei dati critici per il business, insieme alla disciplina operativa che dimostra che possono essere ripristinate.

Ciascuno dei nostri tre servizi affronta un divario specifico che la persistenza dello sfruttamento delle vulnerabilità come causa radice numero uno mette in luce:

• ZeroMON fornisce osservabilità continua sulle operazioni di backup, sul configuration drift e sui segnali di sicurezza — così che, quando una vulnerabilità viene sfruttata e un attaccante trascorre due settimane all'interno della rete, l'attività di ricognizione rivolta al vostro ambiente di backup sia visibile, non silenziosa.
• ZeroTAM offre al vostro team un consulente dedicato alla sicurezza dei backup per le decisioni architetturali, la pianificazione della capacità e la strategia di recovery — colmando il divario strutturale di competenze che determina se il vostro livello di backup sia raggiungibile dai sistemi con maggiore probabilità di essere compromessi tramite vulnerabilità non corrette.
• ZeroPEN è, a nostro avviso, la risposta più direttamente rilevante al dato del 32%. Sottoponiamo a penetration test i vostri piani di gestione dei backup, i controlli di accesso, le impostazioni di immutabilità e la postura di isolamento nello stesso modo in cui lo farebbe un attaccante partito da una vulnerabilità sfruttata — quindi eseguiamo scenari di ripristino reali per validare che il recovery funzioni in modo pulito, completo e puntuale. Il risultato non è un elenco di riscontri da correggere. È una prova documentata che il vostro livello di backup sopravvive alle condizioni specifiche descritte dai dati Sophos.

BackupSec viene distribuito on-premise. Ci colleghiamo alle vostre applicazioni di backup tramite accesso API in sola lettura. I vostri dati di backup, la telemetria e i dettagli di configurazione restano all'interno del vostro ambiente.

Il dato del 32% non è un destino ineluttabile. È la descrizione di una condizione strutturale che determina gli esiti solo quando il livello di recovery è strutturato per fallire insieme al livello di prevenzione. Le organizzazioni che disaccoppiano i due smettono di essere vulnerabili alla causa radice dominante del ransomware nel 2026 — non perché hanno applicato le patch più velocemente, ma perché hanno validato che il patching non è determinante per i loro esiti di recovery.

Parla con BackupSec di penetration test sui backup e validazione del recovery →

Questa analisi si basa sul report Sophos State of Ransomware 2025 e sul più ampio panorama di ricerca sul ransomware del 2025. L'interpretazione e il framework qui presentati sono elaborazioni proprie di BackupSec. Per discutere come questa analisi si applichi al vostro ambiente specifico, contatta il nostro team →