Ransomware: minacce a dipendenti e famiglie per far pagare

Cifrare i sistemi e minacciare la pubblicazione dei dati non basta più: per spingere un’azienda a pagare, alcuni gruppi di estorsione spostano la pressione sulle persone, cioè dipendenti, dirigenti e i loro familiari. È il dato che cinque testate hanno ripreso tra il 14 e il 15 ottobre 2026 dal 2026 Ransomware Risk Report di Semperis, un’indagine condotta nella prima metà del 2026 su 1.200 professionisti IT e della sicurezza di organizzazioni colpite da ransomware, in nove paesi e otto settori, tra cui finanza, sanità, manifattura, infrastrutture critiche e pubblica amministrazione.

Una premessa necessaria: sono risposte dichiarate in un sondaggio di un fornitore di sicurezza, non incidenti verificati uno per uno. Dark Reading lo sottolinea esplicitamente: le segnalazioni di minacce, pedinamenti e violenze sono allarmanti ma difficili da verificare.

Cosa dice l’indagine

Le percentuali riportate dalle testate non coincidono del tutto. Secondo The Register il 37% degli attacchi ha comportato minacce psicologiche o fisiche contro il personale (23% intimidazione psicologica, 17% minacce fisiche). CSO Online riporta invece un 41% di intimidazioni fisiche o psicologiche e indica il 37% come quota di casi in cui sono stati minacciati amici o familiari dei dipendenti, dato che anche DataBreaches.net attribuisce alle minacce contro i parenti.

Sul resto le fonti concordano:

• doxxing di dipendenti o familiari (dati personali come indirizzi di casa e numeri di telefono pubblicati online): 25%;
• swatting, cioè false segnalazioni di emergenza per far intervenire le forze dell’ordine a casa della vittima: 23%;
• dipendenti o familiari che hanno avuto bisogno di cure mediche o psicologiche: 25%;
• aziende che hanno ingaggiato personale di sicurezza aggiuntivo: 24%.

Solo CSO Online riporta che circa il 14% ha dovuto cambiare lavoro, sede o casa. Solo The Register riporta che il 53% degli intervistati dichiara che le minacce sono state messe in atto nell’ultimo anno, con questa ripartizione: messaggi, lettere o pacchi minatori 57%, minacce a familiari o amici 37%, intrusioni fisiche 19%, rapimenti 17%, lesioni 13%, pedinamenti 6%. Sempre secondo The Register, il 69% degli intervistati è stato colpito più volte negli ultimi 12 mesi e il 31% ha pagato più di una volta.

Come lavorano gli attaccanti

Il meccanismo descritto dalle fonti è una ricognizione sulla vita privata delle persone chiave, che si somma alla doppia estorsione classica. Secondo un esperto citato da CSO Online, gli attaccanti incrociano profili social e professionali, database dei data broker, dati già trapelati in violazioni precedenti e informazioni trovate nella rete dell’azienda colpita; l’intelligenza artificiale accelera la correlazione e la personalizzazione delle minacce.

Un consulente di incident response di Semperis, intervistato da The Register, racconta casi in cui dirigenti hanno ricevuto direttamente dai criminali foto delle scuole dei figli durante la trattativa, e parla di «violenza su commissione». Secondo lui le tattiche sono usate dai gruppi più noti e cita Scattered Spider, ShinyHunters e Lapsus$; ShinyHunters, in un’intervista alla stessa testata, nega di attaccare le persone. The Register ricorda anche il contesto: nell’estate 2026 Europol e i partner hanno segnalato per la rimozione 4.340 URL nell’ambito delle indagini su The Com, rete di gruppi online i cui membri, spesso giovanissimi, passano dall’hacking allo swatting e alla violenza fisica.

Nella nostra lettura, la fase preparatoria corrisponde a queste voci MITRE ATT&CK: Gather Victim Identity Information (T1589), Gather Victim Org Information: Identify Roles (T1591.004), Search Open Websites/Domains: Social Media (T1593.001) e Search Closed Sources (T1597); l’obiettivo finale è Financial Theft (T1657). Non ci sono CVE né malware specifici da rilevare.

L’indagine tocca anche l’intelligenza artificiale e le identità: secondo CSO Online l’84% degli intervistati ha subito attacchi che coinvolgevano l’IA, l’87% attacchi all’infrastruttura delle identità e il 44% la manipolazione dei propri agenti o sistemi di IA.

Impatto per le aziende europee e italiane

Le fonti non riportano il dettaglio per paese, quindi non è possibile dire quanto il fenomeno riguardi l’Italia. Il punto per chi gestisce la sicurezza è un altro: il piano di risposta agli incidenti di solito copre sistemi e dati, non la protezione delle persone.

Con la NIS2 (d.lgs. 138/2024) gestione degli incidenti, continuità operativa, gestione delle crisi e sicurezza delle risorse umane sono tra le misure obbligatorie per i soggetti essenziali e importanti: le minacce personali legate a un attacco rientrano a pieno titolo nello scenario di crisi. Per il GDPR, i dati dei dipendenti sottratti dalla rete aziendale (anagrafiche, indirizzi, familiari) sono una violazione di dati personali da valutare per la notifica al Garante entro 72 ore, e sono proprio il materiale che rende possibili queste minacce. In sanità, dove la pressione per ripristinare i servizi è già fortissima, il carico sulle persone aggrava ulteriormente la crisi.

Cosa fare subito

1. Inserisci le minacce personali nel piano di risposta: chi le riceve, come si documentano, quando e come HR, ufficio legale, sicurezza IT e sicurezza fisica coinvolgono le forze dell’ordine. In Italia minacce, atti persecutori ed estorsione sono reati: la denuncia va fatta subito.
2. Un canale riservato per i dipendenti che ricevono messaggi, pacchi o telefonate intimidatorie, anche a casa.
3. Riduci i dati personali dei dipendenti conservati e accessibili in rete: cartelle HR, fogli con indirizzi e familiari, esportazioni dimenticate. Limita gli accessi e sorveglia chi li legge.
4. Proteggi le identità: autenticazione resistente al phishing per gli account privilegiati, privilegi minimi, backup dell’infrastruttura delle identità con prove di ripristino.
5. Agenti di IA con un responsabile, permessi limitati e approvazione umana per le azioni ad alto impatto, come suggeriscono gli esperti citati da CSO Online.
6. Esercitazioni che includano lo scenario: identità compromesse, minaccia di pubblicazione dei dati e minacce ai familiari dei dirigenti.
7. Riduci l’esposizione pubblica dei ruoli chiave: organigrammi dettagliati, contatti diretti e informazioni personali facilmente collegabili.

Come aiuta ARXDOME

Le minacce alle persone si gestiscono con processi e autorità, ma partono quasi sempre da un’intrusione. ARX Expose segnala gli account aziendali finiti in violazioni e i domini simili al tuo, materiale tipico della ricognizione. ARX Sentry, nelle pagine del SOC dedicate alle identità, mostra accessi privilegiati, accessi notturni e modifiche agli account, e con il controllo dell’integrità dei file segnala le modifiche nelle cartelle stabilite, come quelle con i dati del personale. ARX Shield isola una macchina sospetta con un clic e ARX Trace raccoglie le prove per ricostruire che cosa è stato sottratto.

Ultimo aggiornamento: 15 ottobre 2026