Ransomware · 74 giorni fa
Il punto che cambia è semplice: il ransomware entra sempre più spesso da credenziali vere o rubate, non da una falla software. La difesa che punta prima su exploit e malware detection perde il varco principale quando l’attaccante può autenticarsi come un utente legittimo e passare da accessi remoti, applicazioni esposte o pannelli firewall già fidati dal sistema.
La nuova analisi di Sophos attribuisce il 79% degli attacchi a identità compromesse e login legittimi. Tra i casi esaminati, le email malevole pesano per il 26%, il phishing per il 24% e il brute force per il 23%; nello stesso periodo, gli attacchi partiti dallo sfruttamento di vulnerabilità note scendono dal 32% al 18%.
Per i team IAM, SOC e difesa ransomware, il segnale è che password deboli, MFA aggirata o accessi remoti esposti restano un punto di rottura più probabile di una catena di exploit. Il rischio non cambia per il solo fatto di non usare Sophos: qualsiasi ambiente che si affida a login validi per VPN, remote access o interfacce admin esposte ha lo stesso problema di ingresso.
4 fonti che coprono questa storia
Ransom demands are down, email is the top way attackers get in - Help Net Security
The State of Ransomware 2026 shows email and stolen logins now drive most attacks, ransom demands falling, recovery costs climbing.
Srsly Risky Biz: Ransomware uses AI to amp up negotiations
Tom Uren and James Wilson talk about different ways ransomware groups are taking advantage of AI.
Identity Attacks Overtake Exploits as Top Ransomware Cause
Phishing and malicious email now cause half of all ransomware attacks, overtaking vulnerabilities.
Compromised Logins Surge as the Most Common Entry Point for Ransomware
Research of incidents by Sophos finds that phishing, brute force attacks and other identity-based threats have surpassed software vulnerabilities as means of delivering ransomware
Part of the PlainSec briefing for 2026-07-16