Il punto non è una crescita uniforme del ransomware. Il cambio vero è la selezione dei bersagli: pochi gruppi stanno concentrando gli attacchi su nodi più deboli — fornitori e istituzioni specifiche — perché da lì si può bloccare a valle un ospedale o un campus senza forzare subito la rete principale.
Sul versante education, i dati del primo semestre 2026 mostrano 104 attacchi globali e un aumento dell’8% nelle università rispetto ai sei mesi precedenti. La spinta arriva soprattutto da The Gentlemen, cresciuto del 275% nella metà superiore dell’anno e responsabile di gran parte del rumore nel settore, mentre l’insieme dell’education è sceso per il calo nelle scuole primarie e secondarie. In parallelo, il quadro sanitario resta quello già emerso: laboratori, farmacie, telemedicine, equipment supplier e altri nodi della supply chain vengono colpiti perché l’interruzione lì si traduce in stop di referti, prescrizioni, apparecchiature e servizi connessi.
Per chi difende ospedali e università, il blast radius non coincide con il perimetro della rete interna. Se un fornitore esterno o un’istituzione collegata viene fermata, l’effetto può propagarsi sui servizi dipendenti anche senza una compromissione diretta del network principale.