Panorama ransomware estate 2025: il manifatturiero nel mirino

La telemetria di settore raccolta tra marzo e agosto 2025 racconta una stagione intensa per gli operatori del ransomware. Il dato che salta subito all'occhio non riguarda il numero assoluto di attacchi, ma la loro concentrazione: il settore manifatturiero ha assorbito quasi la totalità degli alert rilevati. Per chi gestisce impianti industriali e infrastrutture OT, è un segnale che merita attenzione operativa, non solo una statistica da rapporto.

I numeri della stagione

La distribuzione degli alert per settore è netta:

Settore	Quota alert
Manifatturiero	83,82%
Trasporti	13,87%
Servizi al consumatore	1,16%

Sul piano geografico, gli Stati Uniti restano l'epicentro con il 56,42% degli incidenti, seguiti dal Regno Unito (14,53%) e dal Giappone (6,7%). La fotografia è chiara: il manifatturiero è il bersaglio prioritario, e non per caso. Fermare una linea di produzione genera pressione immediata e costi diretti, una leva che gli operatori del riscatto conoscono bene.

Chi era attivo

Tre famiglie hanno dominato il periodo, ognuna con una storia diversa:

• BlackSuit: evoluzione diretta di Royal e discendente della galassia Conti, leader degli alert a maggio. Le operazioni combinate hanno superato i 370 milioni di dollari in riscatti, prima di una flessione ad agosto in seguito a un'operazione di takedown delle autorità statunitensi a luglio.
• Cl0p (TA505): specializzata nello sfruttamento di vulnerabilità zero-day nelle soluzioni di trasferimento file (MOVEit, GoAnywhere, Accellion). Ancora ben presente a due anni dalle prime campagne, a conferma di quanto sia persistente una catena di compromissione che funziona.
• Black Basta: oltre 500 organizzazioni colpite fino a metà 2024. Nonostante il leak interno delle operazioni a febbraio 2025, i moduli già distribuiti continuano a essere rilevati.

Sul fronte delle tecniche emergenti, è comparso anche un prototipo di ransomware assistito da intelligenza artificiale (PromptLock), ancora in fase iniziale ma indicativo della direzione che il fenomeno potrebbe prendere.

Perché l'OT è esposto in modo diverso

Un dettaglio del rilevamento merita una riflessione: parte degli alert è arrivata da sensori endpoint installati su macchine HMI, non solo dal monitoraggio del traffico di rete. È la prova che la minaccia non si ferma all'IT aziendale, ma tocca i sistemi che governano direttamente il processo produttivo.

Qui sta la differenza sostanziale rispetto a un ambiente puramente informatico. In un impianto non si può semplicemente isolare e reinstallare: un'azione di contenimento mal calibrata può fermare la produzione tanto quanto l'attacco stesso. Per questo la difesa in ambito industriale richiede un approccio che tenga insieme sicurezza e continuità operativa.

L'angolo MON5

L'esperienza sul campo conferma le priorità indicate dalla ricerca, ma con una declinazione specifica per il mondo OT:

• Visibilità prima di tutto. Non si protegge ciò che non si vede. Mappare in modo completo gli asset di impianto, comprese le HMI e i dispositivi di edge spesso fuori dal radar dell'IT, è il presupposto di qualsiasi strategia di difesa.
• Vulnerabilità nel contesto reale. Un CVE critico su carta può essere irrilevante se il dispositivo è segmentato e non esposto, oppure urgente se governa una funzione di sicurezza. Correlare le vulnerabilità con il contesto d'impianto evita di disperdere risorse su priorità sbagliate.
• Anomalie senza fermare la linea. Il monitoraggio passivo del traffico e dei comportamenti permette di intercettare i segnali precoci di una compromissione, dal movimento laterale alle comunicazioni verso indicatori noti, senza interrompere il processo produttivo.

Il messaggio della stagione 2025 è semplice da enunciare e impegnativo da attuare: il manifatturiero è oggi il fronte caldo del ransomware, e la difesa degli ambienti OT non può essere un copia-incolla delle pratiche IT. Serve visibilità continua, contestualizzazione del rischio e capacità di reagire senza spegnere l'impianto.

Analisi e commento a cura di MON5 su ricerca e dati di pubblico dominio del settore OT/ICS.