12 esempi di ransomware: gli attacchi che hanno cambiato il modo in cui le aziende si difendono

In breve: il ransomware è un malware che blocca i file o i sistemi di un’organizzazione e richiede un pagamento per sbloccarli. I dodici esempi di ransomware riportati di seguito spaziano da WannaCry nel 2017 all’attacco ai danni del fornitore olandese di software ospedaliero ChipSoft nel 2026, con cinque casi olandesi e uno belga. Il modo in cui avviene l’intrusione è solitamente banale: un’e-mail di phishing, una password facile da indovinare, un account privo di autenticazione a più fattori, un help desk che reimposta la password per la persona sbagliata. Il riscatto raramente rappresenta il vero costo. Lo sono invece le settimane di fermo e di ricostruzione.

Che cos’è il ransomware e quali insegnamenti si possono trarre da questi casi

Per la definizione e le varianti, si veda la voce “Che cos’è il ransomware?”. Per un elenco più ampio degli incidenti verificatisi nei Paesi Bassi, si veda la voce “I più gravi attacchi informatici nei Paesi Bassi”. Tre aspetti emergono chiaramente dai dodici casi:

• Gli hacker accedono ai sistemi più spesso di quanto non riescano a violarli. Una password o un clic sono solitamente il primo passo.
• C'è un intervallo di tempo tra l'inserimento dei dati e la crittografia. Nove giorni presso Change Healthcare, 69 presso l'Università di Maastricht.
• Il pagamento non risolve il problema. La KNVB ha pagato, ma non è riuscita comunque ad assicurarsi che i propri dati fossero al sicuro.

I 12 esempi di ransomware in sintesi

I 12 esempi di ransomware in dettaglio

1. WannaCry (2017): il worm che ha colpito il Servizio Sanitario Nazionale (NHS)

Cosa è successo: il 12 maggio 2017 WannaCry si è diffuso attraverso i sistemi Windows che non erano stati aggiornati. L’Europol ha contato oltre 200.000 vittime in almeno 150 paesi. In Inghilterra, secondo quanto rilevato dal National Audit Office, sono stati colpiti almeno 81 dei 236 trust del Servizio Sanitario Nazionale (NHS).

La lezione da trarre: nessuna organizzazione del Servizio Sanitario Nazionale (NHS) ha dovuto sostenere alcun costo. I sistemi infetti non erano stati aggiornati o non erano più supportati, quindi l’aggiornamento tempestivo rimane la difesa più economica.

2. NotPetya e Maersk (2017): 45.000 PC in dieci giorni

Cosa è successo: nel giugno 2017 NotPetya si è diffuso tramite un aggiornamento dannoso di un software di contabilità ucraino. Il gruppo marittimo Maersk ha subito danni collaterali e, secondo quanto dichiarato dal suo presidente, ha reinstallato 4.000 server, 45.000 PC e 2.500 applicazioni in dieci giorni. Costo: da 250 a 300 milioni di dollari.

La lezione: l'accesso era un aggiornamento attendibile. La segmentazione della rete e i backup offline determinano la durata del periodo di inattività.

3. Università di Maastricht (2019): 69 giorni dall’e-mail di phishing alla richiesta di riscatto

Cosa è successo: il 15 e il 16 ottobre 2019 sono state aperte due e-mail di phishing su due postazioni di lavoro. Il 23 dicembre il ransomware Clop ha crittografato 267 server Windows. L’università ha pagato 30 bitcoin, pari a circa 200.000 euro. Nel 2022 la polizia ne ha recuperato una parte, che a quel punto valeva circa 500.000 euro.

La lezione da trarre: gli hacker sono rimasti all’interno del sistema per 69 giorni. Una sola e-mail segnalata in quel periodo avrebbe potuto cambiare l’esito della vicenda.

4. Hof van Twente (2020): Welkom2020

Cosa è successo: la password dell’amministratore di questo comune olandese era “Welkom2020” e una modifica al firewall effettuata nel novembre 2020 ha esposto il server a Internet. Gli hacker hanno distrutto i backup. Il comune non ha pagato il riscatto; il ripristino è costato circa 4 milioni di euro.

La lezione: in seguito, un tribunale ha ritenuto responsabile il Comune stesso. Una password facile da indovinare senza un backup utilizzabile è la combinazione più costosa.

5. Colonial Pipeline (2021): un vecchio account VPN

Cosa è successo: il 7 maggio 2021 il gruppo DarkSide è riuscito a penetrare nel sistema dell’operatore statunitense di oleodotti utilizzando un vecchio account VPN con una password compromessa e privo di autenticazione a più fattori. Colonial ha interrotto il funzionamento dell’oleodotto per diversi giorni e ha pagato 4,4 milioni di dollari. Il Dipartimento di Giustizia degli Stati Uniti ha recuperato 2,3 milioni di dollari.

La lezione da trarre: quell’account non avrebbe dovuto essere in uso. Eliminare gli account obsoleti e richiedere l’autenticazione a più fattori (MFA) per ogni accesso remoto.

6. Kaseya (2021): un unico fornitore, fino a 1.500 vittime

Cosa è successo: il 2 luglio 2021 il gruppo REvil ha sfruttato una vulnerabilità nel software VSA di Kaseya, utilizzato dai fornitori di servizi IT per gestire i sistemi dei propri clienti. Attraverso tali fornitori, il ransomware ha colpito da 800 a 1.500 aziende. REvil ha chiesto un riscatto di 70 milioni di dollari.

La lezione da trarre: i ricercatori olandesi del DIVD avevano già segnalato le vulnerabilità a Kaseya. È importante sapere quali fornitori dispongono di accesso amministrativo ai propri sistemi.

7. VDL Groep (2021): 105 aziende in stallo

Cosa è successo: nell’ottobre 2021 un attacco ha colpito il gruppo industriale olandese VDL e le sue 105 società, tra cui la casa automobilistica NedCar. Ci è voluto più di un mese prima che tutte le unità riprendessero la produzione. La polizia ha collegato l’attacco al malware Conti; un sospettato è stato arrestato a Kiev nel 2024.

La lezione: VDL non ha mai specificato se ne valga la pena. Per un produttore il costo sta nel tempo di inattività, quindi è bene provarlo.

8. Città di Anversa (2022): fino a 70 milioni di euro

Cosa è successo: nella notte tra il 5 e il 6 dicembre 2022 il gruppo Play ha colpito la città di Anversa, sottraendo oltre 500 GB di dati. La città afferma di non aver mai pagato alcun riscatto. Il consiglio comunale ha stimato il costo fino a 70 milioni di euro.

La lezione: la commissione di vigilanza fiamminga ha riscontrato la mancanza di aggiornamenti di sicurezza, un ricorso insufficiente all’autenticazione a due fattori e una segmentazione della rete inadeguata. Il problema risiedeva proprio nelle basi.

9. KNVB (2023): pagare senza tranquillità

Cosa è successo: nell’aprile 2023 il gruppo LockBit ha sottratto dati personali alla federazione calcistica olandese KNVB, presumibilmente dopo che un dipendente era caduto nella trappola di un’e-mail di phishing. Secondo RTL Nieuws, il riscatto richiesto ammontava a oltre 1 milione di euro. A settembre la KNVB ha confermato di aver pagato, senza però specificare l’importo.

La lezione: l’associazione ha affermato di non poter garantire che i dati sarebbero rimasti riservati. Un pagamento non è altro che una promessa acquistata dai criminali.

10. Change Healthcare (2024): nessuna autenticazione a più fattori (MFA) su un unico portale

Cosa è successo: il 12 febbraio 2024 alcuni hacker hanno effettuato l’accesso a un portale di accesso remoto di Change Healthcare, società statunitense specializzata nell’elaborazione dei pagamenti nel settore sanitario, utilizzando credenziali rubate. Il portale non disponeva di autenticazione a più fattori. Nove giorni dopo è stato diffuso il ransomware ALPHV/BlackCat. La società madre UnitedHealth ha confermato il pagamento del riscatto e ha dichiarato costi pari a 872 milioni di dollari per il primo trimestre.

La lezione: è bastato un solo controllo mancante. Sono stati compromessi i dati di 192,7 milioni di persone.

11. Marks & Spencer (2025): reimpostazione della password per la persona sbagliata

Cosa è successo: il 17 aprile 2025 alcuni hacker si sono spacciati per un dipendente di M&S e hanno indotto una terza parte a reimpostare una password, come ha riferito il presidente Archie Norman ai parlamentari. Ne è seguito l’attacco del ransomware DragonForce. Gli ordini online sono stati sospesi per settimane e l’utile semestrale è sceso da 391,1 milioni di sterline a 3,4 milioni di sterline.

La lezione: non serviva alcun difetto tecnico. Un servizio di assistenza deve prevedere una fase di verifica che un chiamante convincente non possa aggirare.

12. ChipSoft (2026): attacco ransomware ai danni del fornitore di cartelle cliniche

Cosa è successo: il 7 aprile 2026 il centro di sicurezza sanitaria Z-CERT ha confermato un attacco ransomware ai danni di ChipSoft, azienda che fornisce software per la gestione delle cartelle cliniche alla maggior parte degli ospedali olandesi. Undici ospedali hanno disattivato il software ChipSoft. Sono stati sottratti i dati dei pazienti di un numero considerevole di strutture sanitarie; ChipSoft ha successivamente dichiarato che se ne è impedita la divulgazione.

La lezione: gli ospedali in sé non erano l’obiettivo, eppure i loro servizi sono stati comunque interrotti. È necessario pianificare come operare in assenza di un fornitore essenziale.

Come si svolge un attacco ransomware

Tutti i casi seguono le stesse cinque fasi. Il nostro articolo sulle fasi di un attacco informatico le descrive in modo più approfondito.

1. Accesso iniziale. Un’e-mail di phishing, una password rubata o indovinata, oppure un sistema non aggiornato.
2. Movimento laterale. Gli aggressori esplorano la rete e acquisiscono ulteriori privilegi, spesso per giorni o settimane.
3. Esfiltrazione. Copiano i dati dall'organizzazione.
4. Crittografia. I file, i server e i backup vengono bloccati, spesso di notte o nei giorni festivi.
5. Doppia estorsione. Pagare per la chiave e pagare di nuovo per mantenere offline i dati rubati. Nel 2025 il gruppo Nova ha sottratto i dati relativi agli esami di circa 715.000 donne dal laboratorio olandese Clinical Diagnostics e ha chiesto un riscatto di 1,1 milioni di euro.

Famiglie di ransomware e ransomware-as-a-service

Clop, Conti, DarkSide, REvil, LockBit, ALPHV/BlackCat, Play, DragonForce: in questi casi, i nomi sono più che altro marchi che non gruppi fissi. Nel modello «ransomware-as-a-service», gli sviluppatori affittano il software e gli affiliati sferrano l’attacco in cambio di una quota del riscatto. Nei Paesi Bassi e in Belgio, LockBit ha registrato il maggior numero di vittime dal 2020, mentre Qilin è stato il gruppo più attivo nell’ultimo anno, secondo il Cyber Dreigingsradar 2026.

Cosa hanno in comune i 12 casi

• Un modo piuttosto comune per entrare. Phishing a Maastricht, una password debole a Hof van Twente, nessuna autenticazione a più fattori (MFA) presso Colonial e Change Healthcare, un help desk presso M&S.
• I fornitori come via d’accesso. Kaseya, ChipSoft e l’aggiornamento software all’origine di NotPetya hanno colpito clienti che non avevano fatto nulla di male.
• I costi legati al blocco delle attività superano quelli del riscatto. Lo dimostrano Maersk, VDL, Anversa e M&S.

Cosa possono fare i dipendenti per difendersi dal ransomware

In almeno la metà dei dodici casi, il primo passo prevedeva l’utilizzo di una persona o di una password. Ciò significa che quattro abitudini hanno un valore maggiore rispetto alla maggior parte degli strumenti:

• Segnalate immediatamente un’e-mail sospetta o un clic errato. La rapidità è più importante che attribuire colpe. La nostra panoramica sui tipi di attacchi di phishing illustra gli elementi a cui prestare attenzione.
• Utilizza una password unica e l'autenticazione a più fattori (MFA) su ogni account di lavoro.
• Verifica le richieste di reimpostazione della password o di accesso remoto, anche quando chi chiama sembra un tecnico informatico.
• Installa gli aggiornamenti quando richiesto.

Gli aspetti tecnici, dai backup alla segmentazione, sono trattati nella sezione dedicata alle misure di prevenzione del ransomware. Le organizzazioni più a rischio sono illustrate nella sezione dedicata ai fattori di rischio degli attacchi ransomware.

Domande frequenti

Qual è un esempio di attacco ransomware?

WannaCry nel 2017, che ha colpito oltre 200.000 vittime in almeno 150 paesi. Un esempio olandese è l’Università di Maastricht, che nel 2019 ha pagato 30 bitcoin dopo che 267 server erano stati crittografati.

Quali sono alcuni esempi noti di ransomware nei Paesi Bassi?

L'Università di Maastricht (2019), il Comune di Hof van Twente (2020), VDL Groep (2021), la KNVB (2023) e ChipSoft (2026). In Belgio, l'attacco ai danni del Comune di Anversa (2022) è quello meglio documentato.

Come hanno inizio la maggior parte degli attacchi ransomware?

A causa di un’e-mail di phishing, di una password rubata o poco sicura su un account privo di autenticazione a più fattori, oppure di un sistema non aggiornato.

È il caso di pagare il riscatto?

I casi illustrano entrambe le possibilità. L’Università di Maastricht e la KNVB hanno pagato; Hof van Twente e Anversa non l’hanno fatto e hanno ricostruito i sistemi. Il pagamento non garantisce la cancellazione dei dati e finanzia il prossimo attacco.