La leva del ransomware industriale si estende oltre gli stabilimenti

Gli attacchi al settore manifatturiero aumentano nettamente nel 2026

L’attività ransomware contro le aziende manifatturiere ha subito un’accelerazione nei primi sette mesi del 2026, con 1.183 incidenti resi pubblici. Si tratta di un aumento del 40% rispetto allo stesso periodo del 2025.

Anche il quadro complessivo è significativo. Il 2026 Manufacturing & Distribution Ransomware Report di Black Kite ha contato 5.237 vittime rese pubbliche nel settore manifatturiero e della distribuzione tra gennaio 2023 e luglio 2026.

L’aumento non riflette soltanto la preferenza per i grandi marchi industriali. Le aziende manifatturiere sono obiettivi interessanti perché i programmi di produzione, gli impegni di consegna e i rapporti con i fornitori lasciano poco margine per lunghi periodi di inattività. Una violazione ai danni di un produttore di componenti di medie dimensioni può interrompere l’attività di aziende molto più grandi, mai compromesse direttamente.

Prima di tentare un’intrusione, inoltre, gli aggressori possono valutare i potenziali obiettivi. Le vulnerabilità osservabili pubblicamente — tra cui sistemi esposti a Internet e non aggiornati, servizi accessibili dall’esterno, credenziali trafugate e controlli di sicurezza configurati in modo errato — possono rivelare quali organizzazioni siano accessibili e al tempo stesso più esposte a gravi pressioni operative.

Questo crea un contesto negoziale favorevole agli operatori ransomware. Se una linea di produzione si ferma, il danno economico si accumula di ora in ora, mentre le consegne mancate trasferiscono l’interruzione a clienti e partner.

La tendenza non è legata a una singola vulnerabilità resa pubblica, a uno specifico prodotto software o a un determinato fornitore. Per gli incidenti conteggiati nel report non sono stati identificati CVE specifici, intervalli di versioni interessate, patch o interventi tecnici di remediation confermati.

Jaguar Land Rover mostra la possibile portata economica

L’attacco contro Jaguar Land Rover dimostra come un’interruzione legata al ransomware possa propagarsi da un singolo produttore all’intera economia.

Per tutto settembre 2025, l’azienda ha chiuso i propri stabilimenti nel Regno Unito in seguito all’incidente. Il blocco ha interrotto la produzione di circa 1.000 veicoli di lusso al giorno e ha coinvolto più di 5.000 altre aziende.

Le conseguenze si sono estese oltre i fornitori e i prestatori di servizi direttamente collegati. La Bank of England ha indicato l’incidente tra i fattori che hanno contribuito al rallentamento della crescita nazionale. In seguito, Jaguar Land Rover ha dichiarato che avrebbe eliminato 4.000 posti di lavoro, attribuendo i tagli all’attacco informatico.

Il Cyber Monitoring Centre del Regno Unito ha stimato l’impatto finanziario complessivo in 1,9 miliardi di sterline. Ha definito l’evento l’attacco informatico con il maggiore impatto economico nella storia del Regno Unito, superiore a quello dell’epidemia WannaCry del 2017.

L’entità del danno spiega perché le aziende manifatturiere offrano ai gruppi di estorsione una leva insolitamente forte. Il ripristino dell’IT aziendale potrebbe non riavviare immediatamente uno stabilimento. I macchinari di produzione, i sistemi di gestione delle scorte, i processi di controllo qualità, le comunicazioni con i fornitori e la programmazione delle consegne possono restare compromessi anche dopo le prime attività di contenimento.

I costi, inoltre, continuano a prodursi al di fuori della rete della vittima. I fornitori possono perdere ordini, le aziende di logistica possono non avere merci da trasportare e i clienti possono non riuscire a completare i propri prodotti.

I nuovi gruppi ransomware conquistano rapidamente vittime industriali

L’aumento del volume degli attacchi è stato accompagnato da un rapido ricambio tra gli operatori ransomware. Circa la metà degli attacchi al settore manifatturiero registrati nel 2026 è stata attribuita a gruppi che non esistevano due anni prima.

The Gentlemen è un esempio significativo di questa accelerazione. Black Kite ha osservato per la prima volta il gruppo nel settembre 2025. A metà del 2026, il gruppo aveva rivendicato 142 vittime nel settore manifatturiero e rappresentava il 12% degli attacchi dell’anno.

La classifica dei principali gruppi ransomware segnalati era la seguente:

1. Qilin
2. The Gentlemen
3. Akira
4. DragonForce
5. INC Ransom

Ferhat Dikbiyik, chief research and intelligence officer di Black Kite, ha collegato l’attrattiva del settore all’effetto immediato che le intrusioni possono avere sulla produzione e sugli impegni di consegna. Più a lungo uno stabilimento resta fermo, maggiore è la pressione a negoziare.

La comparsa di nuovi gruppi complica anche la pianificazione delle difese. Le organizzazioni non possono concentrarsi esclusivamente su un ristretto numero di marchi ransomware già affermati, soprattutto quando operatori più recenti riescono a conquistare rapidamente nuove vittime. L’esposizione rilevante è quella dell’infrastruttura accessibile e delle conseguenze operative, non semplicemente il nome associato a una rivendicazione su un sito di leak.

L’Europa assorbe una quota crescente degli obiettivi industriali

La distribuzione geografica si è spostata in modo sostanziale verso l’Europa. Gli attacchi nella regione sono aumentati dell’85%, mentre il totale degli attacchi negli Stati Uniti è stato descritto come quasi invariato rispetto al 2025.

Gli Stati Uniti sono rimasti la regione più colpita, con 412 attacchi, ma la loro quota sull’attività segnalata è scesa dal 52% al 35%. L’Europa ha registrato 369 attacchi, mentre al resto del mondo ne sono stati attribuiti 402, quasi il doppio rispetto al volume precedente.

La Germania è stata il principale bersaglio dell’aumento europeo, con 77 attacchi. Il potenziale impatto nazionale è considerevole, poiché nel 2024 il settore manifatturiero rappresentava il 20% dell’economia tedesca.

SafePay è stato responsabile del 22% degli attacchi in Germania nel 2025 ed è rimasto tra i gruppi ransomware più attivi del Paese anche nel 2026. Tra gli altri Paesi europei più colpiti figurano l’Italia, con 57 incidenti, il Regno Unito, con 43, e la Francia, con 40.

I dati non indicano che gli Stati Uniti siano diventati strategicamente irrilevanti. Mostrano invece che gli operatori ransomware si stanno espandendo verso altri poli industriali, dove i fermi della produzione possono creare una leva comparabile.

La rete manifatturiera fortemente interconnessa dell’Europa può amplificare questo effetto. Un’organizzazione compromessa in un Paese può fornire componenti o servizi a produttori, distributori o clienti di diversi altri Paesi.

Le aziende di distribuzione creano punti critici di guasto

La distribuzione conta meno vittime rese pubbliche rispetto al settore manifatturiero e, in genere, le aziende colpite sono più piccole. Il suo ruolo nella catena di approvvigionamento rende tuttavia il settore strategicamente prezioso per gli aggressori.

Le aziende di autotrasporto, gli organizzatori di spedizioni e gli operatori di magazzino gestiscono merci appartenenti a più organizzazioni. Compromettere un singolo fornitore può quindi interferire contemporaneamente con l’attività di diversi clienti, anche se i sistemi di questi ultimi restano sicuri.

Nel 2025 il settore della distribuzione ha registrato 196 incidenti. Nella prima metà del 2026 gli incidenti sono stati 95.

Questi totali richiedono un contesto. Una campagna di Clop nei mesi di gennaio e febbraio 2025 ha prodotto 52 vittime, più di un quarto del totale annuale del settore. Escludendo quella campagna, il totale sottostante comparabile è aumentato da 75 incidenti nel 2025 a 95 nel 2026.

La propagazione lungo la catena di approvvigionamento può avvenire in entrambe le direzioni. A valle, l’incidente ai danni di Jaguar Land Rover ha coinvolto più di 5.000 altre organizzazioni. A monte, l’attacco di Clop contro il provider tecnologico Cleo ha portato alla fine a quasi 400 vittime rese pubbliche.

In entrambi i casi, le organizzazioni dipendenti potrebbero non essere in grado di risolvere il problema all’origine. Il sistema vulnerabile può appartenere a un fornitore o a un provider tecnologico che si trova al di fuori del loro controllo amministrativo.

Questo significa che l’inventario dei fornitori fa parte della superficie d’attacco effettiva di un’azienda manifatturiera. Un’impresa può disporre di solidi controlli interni e perdere comunque capacità produttiva quando un fornitore di componenti critici, un operatore di magazzino o un’azienda di trasporto diventa indisponibile.

Le difese devono coprire i sistemi esposti e le dipendenze operative

Non esiste una singola patch in grado di risolvere l’attività complessiva delle campagne descritta nelle analisi sul ransomware nel settore manifatturiero e della distribuzione. Le attività di difesa devono affrontare sia i percorsi di intrusione diretti sia le dipendenze esterne che trasformano una violazione in un arresto prolungato.

Le aziende manifatturiere e di distribuzione dovrebbero dare priorità a:

• Individuare e correggere i sistemi esposti a Internet e non aggiornati.
• Rimuovere i servizi accessibili dall’esterno che non sono necessari alle attività operative.
• Individuare le credenziali trafugate, ruotarle e monitorare eventuali utilizzi impropri successivi.
• Esaminare le interfacce di gestione esposte e i controlli di sicurezza configurati in modo errato.
• Verificare che le reti di produzione, di magazzino e aziendali possano essere isolate durante un’intrusione.
• Monitorare continuamente l’esposizione di sicurezza di fornitori e operatori logistici.
• Mappare le terze parti il cui malfunzionamento potrebbe bloccare la produzione o impedire il rispetto degli impegni di consegna.
• Richiedere ai fornitori di mantenere controlli di sicurezza definiti e di segnalare gli incidenti.
• Prepararsi a chiusure prolungate degli stabilimenti, interruzioni logistiche e indisponibilità dei fornitori.

Queste misure devono essere sottoposte a test operativi. Un piano di isolamento della rete è di utilità limitata se la sua attivazione disabilita anche processi essenziali per la sicurezza, la gestione delle scorte o il ripristino. La pianificazione di emergenza dovrebbe stabilire quali attività possano proseguire manualmente, per quanto tempo dureranno le scorte e quali fornitori dispongano di alternative praticabili.

Il Cyber Security and Resilience Bill del Regno Unito indica una risposta normativa parallela. La proposta consentirebbe ai ministri di bloccare le forniture a valle provenienti da provider considerati ad alto rischio. Di conseguenza, i fornitori potrebbero trovarsi a scegliere tra il rafforzamento della sicurezza e la perdita dell’accesso ai clienti soggetti alle restrizioni.

Il rischio ransomware nel settore manifatturiero non è più confinato all’organizzazione i cui sistemi vengono cifrati o compromessi. L’aumento del numero di incidenti, la rapida comparsa di nuovi gruppi e la concentrazione delle dipendenze fanno sì che compromissioni relativamente contenute possano generare conseguenze economiche sproporzionatamente ampie.