27 agosto 2026 – Il mondo della cybersecurity italiana è stato scosso da una notizia di eccezionale gravità: un attacco hacker su larga scala ha colpito il gruppo Spaggiari, noto fornitore di software per il settore scolastico, portando all’esfiltrazione di quasi 6,1 terabyte di dati. L’incidente non è solo un campanello d’allarme per la singola azienda, ma rappresenta un perfetto esempio delle nuove e sofisticate tattiche che stanno ridefinendo il panorama delle minacce informatiche a livello globale.
Questo episodio si inserisce in un contesto di profonda trasformazione, analizzato nel dettaglio dal recente report annuale di Kaspersky, pubblicato in occasione dell’Anti-Ransomware Day. Sebbene i dati del 2025 indichino una diminuzione generale nella percentuale di organizzazioni colpite da ransomware, la minaccia è tutt’altro che debellata. Al contrario, è diventata più mirata, potente e dannosa, soprattutto per alcuni settori critici.
Un panorama in evoluzione: il report Kaspersky 2025
Secondo l’analisi di Kaspersky, la riduzione del numero di attacchi non deve essere interpretata come un calo del rischio. I gruppi cybercriminali si stanno concentrando su obiettivi di maggior valore, massimizzando l’impatto di ogni singola operazione. Il comparto manifatturiero, ad esempio, ha subito danni economici stimati da Kaspersky e VDC Research in oltre 18 miliardi di dollari solo nei primi tre trimestri del 2025. Questo dimostra come la qualità e la distruttività degli attacchi stiano prevalendo sulla quantità.
L’attacco a Spaggiari, con la sua enorme mole di dati esfiltrati, conferma questa tendenza: non più attacchi a pioggia, ma operazioni chirurgiche pensate per paralizzare le vittime e massimizzare il potenziale di estorsione.
Le nuove frontiere dell’attacco: tecniche e strumenti
L’evoluzione non riguarda solo la scelta dei bersagli, ma anche e soprattutto le metodologie impiegate. Il report di Kaspersky individua tre tendenze principali che caratterizzano il ransomware moderno e che probabilmente sono state impiegate anche nel caso Spaggiari.
EDR Killer e la tecnica BYOVD: eludere le difese
Una delle fasi più critiche e pianificate di un attacco moderno è l’elusione delle difese. Gli hacker non si limitano più a sperare di non essere scoperti, ma disattivano attivamente le soluzioni di sicurezza. A questo scopo si stanno diffondendo gli “EDR killer”, strumenti progettati per neutralizzare i sistemi di Endpoint Detection and Response.
La tecnica più insidiosa è la BYOVD (Bring Your Own Vulnerable Driver). Gli aggressori introducono nel sistema un driver di terze parti, legittimo ma affetto da una vulnerabilità nota. Sfruttando questa debolezza, ottengono privilegi a livello del kernel del sistema operativo, diventando di fatto “invisibili” e in grado di terminare i processi di antivirus ed EDR prima di procedere con l’attacco vero e proprio.
Il ransomware si prepara al futuro: la crittografia post-quantistica
In una dimostrazione di lungimiranza tecnologica, i cybercriminali stanno già pensando alla prossima era dell’informatica: quella quantistica. Kaspersky ha individuato una nuova famiglia di ransomware, denominata PE32, che utilizza algoritmi di crittografia post-quantistica. Nello specifico, implementa lo schema ML-KEM basato su Kyber1024, progettato per resistere alla potenza di calcolo dei futuri computer quantistici, che renderebbero obsoleti gli attuali standard crittografici.
Questa evoluzione indica un livello di sofisticazione senza precedenti: i criminali non solo criptano i dati per il presente, ma si assicurano che rimangano illeggibili anche in futuro, aumentando la pressione sulla vittima.
Estorsione senza crittografia: il dato come unica leva
Paradossalmente, un’altra tendenza in forte crescita è l’abbandono della crittografia. Con un numero sempre minore di aziende disposte a pagare il riscatto (solo il 28% delle vittime nel 2025, secondo Kaspersky), la cifratura dei file sta perdendo la sua efficacia come strumento di estorsione. Di conseguenza, molti gruppi si concentrano esclusivamente sul furto di dati sensibili, minacciandone la pubblicazione.
L’attacco a Spaggiari, con i suoi 6,1 TB di dati prelevati, rientra perfettamente in questo modello. La minaccia non è tanto l’indisponibilità dei sistemi, quanto il danno reputazionale, legale ed economico derivante dalla diffusione di informazioni riservate di studenti, docenti e personale amministrativo.
L’ecosistema del cybercrimine: il mercato degli accessi iniziali
L’efficacia di questi attacchi è amplificata da un ecosistema criminale sempre più strutturato e professionale. Gli Initial Access Broker (IAB) sono diventati un anello fondamentale della catena. Si tratta di specialisti che si occupano di violare le reti aziendali per poi vendere l’accesso al miglior offerente, tipicamente un gruppo ransomware.
Questi accessi vengono venduti su piattaforme dedicate e sfruttano vettori comuni come credenziali compromesse per protocolli RDP e VPN. Kaspersky segnala una crescita preoccupante degli accessi tramite portali RDWeb (Remote Desktop Web Access), spesso meno monitorati e protetti rispetto ad altri punti di ingresso.
Strategie di difesa multilivello: come proteggersi
Di fronte a un avversario così evoluto, la difesa non può più basarsi su un singolo strumento. Kaspersky sottolinea la necessità di adottare una strategia multilivello che integri tecnologia, processi e consapevolezza umana.
- Misure tecnologiche e procedurali:
- Patch management tempestivo: Applicare le patch di sicurezza non appena disponibili per chiudere le vulnerabilità note.
- Autenticazione a più fattori (MFA): Rendere obbligatoria l’MFA per tutti gli accessi remoti (VPN, RDP, RDWeb) per impedire l’abuso di credenziali rubate.
- Segmentazione della rete: Isolare i sistemi critici per limitare la propagazione laterale di un attaccante all’interno della rete.
- Backup immutabili e test di ripristino: Disporre di copie dei dati che non possano essere alterate o cancellate da un ransomware e testare periodicamente le procedure di disaster recovery.
- Il fattore umano:
- Formazione continua: Addestrare costantemente il personale a riconoscere tentativi di phishing e social engineering, che restano i principali vettori per ottenere il primo accesso.
In conclusione, l’attacco a Spaggiari non è un evento isolato, ma il sintomo di una guerra informatica in continua evoluzione. Solo un approccio olistico, che combini difese tecnologiche avanzate, processi di sicurezza rigorosi e una solida cultura della sicurezza a tutti i livelli aziendali, può sperare di contrastare efficacemente le minacce del presente e del futuro.
La redazione di Unidos S.r.l.
Fonte analisi: newsletter Avangate