Il punto non è una nuova tecnica di ransomware. La novità è che la pressione su grandi gruppi ha spinto il mercato a riconcentrarsi su pochi operatori, e questo rende l’ecosistema più stabile per i criminali anche se i nomi cambiano in fretta. Il rischio si sposta verso infrastrutture di estorsione più centralizzate, con più affiliati e più capacità di assorbire domanda.
I dati citati da Check Point e Sophos indicano che Qilin ha raggiunto circa il 16% della quota di mercato criminale. Sophos lo colloca a 1.496 vittime pubblicate negli ultimi 12 mesi, davanti ad Akira e The Gentlemen, segnalando un forte vantaggio dopo la disruption di LockBit, RansomHub e altri programmi RaaS. Restano però nuovi contendenti capaci di crescere in fretta, quindi la concentrazione non elimina la volatilità: la sposta su meno attori, ma più forti.
La conseguenza pratica è un panorama più facile da monitorare per chi fa threat intelligence, ma più efficiente per chi estorce. La metrica che conta oggi è la capacità di attrarre affiliati e di assorbire il traffico criminale lasciato libero dai gruppi colpiti, non la sola etichetta del brand.