I gruppi più attivi negli ultimi 12 mesi, in base alle rivendicazioni pubblicate sui loro siti di leak. I dati provengono dal dataset pubblico di ransomware.live, che raccoglie e archivia gli annunci dei gruppi criminali.
Come funzionano i gruppi ransomware
Oggi la maggior parte degli attacchi ransomware segue il modello Ransomware-as-a-Service: un gruppo sviluppa il software di cifratura e gestisce l’infrastruttura, mentre degli “affiliati” entrano nelle reti delle vittime e lanciano l’attacco, dividendo poi il riscatto. Per questo lo stesso marchio può colpire in settori e paesi molto diversi nello stesso periodo.
Quasi tutti i gruppi praticano la doppia estorsione: prima di cifrare i sistemi copiano i dati, poi minacciano di pubblicarli se il riscatto non viene pagato. Il sito di leak è la vetrina in cui annunciano le vittime e, alla scadenza, pubblicano i file.
Come leggere la classifica
- Le rivendicazioni non sono prove: indicano che un gruppo dichiara di aver colpito un’organizzazione. A volte gli annunci sono esagerati, duplicati o riguardano dati già sottratti in passato.
- Il conteggio è per difetto: chi paga il riscatto di solito non compare sul sito di leak, quindi il numero reale di attacchi è più alto.
- I nomi cambiano: dopo un’operazione delle forze dell’ordine o una lite interna, i gruppi spesso spariscono e ricompaiono con un nuovo nome e lo stesso personale.
Per una visione d’insieme torna alla pagina Ransomware: attacchi e rivendicazioni; per i casi che riguardano il nostro paese consulta Ransomware in Italia.