- Il paradosso del ransomware nel 2025
- I numeri: più attacchi, meno pagamenti, riscatti alle stelle
- 85 gruppi attivi: una galassia criminale in espansione
- Scuole e università nel mirino: il fronte italiano
- Come difendersi: le lezioni del 2025
- Domande frequenti
Il paradosso del ransomware nel 2025
C'è un dato che colpisce più di tutti, in mezzo alla valanga di statistiche sulla cybersecurity dell'ultimo anno: gli attacchi ransomware sono cresciuti del 50% rispetto al 2024, eppure la percentuale di vittime che ha effettivamente pagato il riscatto è crollata al 28%. Mai così bassa. Un paradosso solo apparente, che racconta due storie parallele: da un lato, un'industria criminale che macina numeri da capogiro; dall'altro, una crescente consapevolezza — tra aziende, istituzioni e, sempre più spesso, anche nel mondo dell'istruzione — che pagare non conviene. O quantomeno, non è più l'unica strada percorribile.
I dati arrivano dagli Stati Uniti, epicentro globale sia degli attacchi sia della risposta in termini di policy e investimenti. Ma il fenomeno, come vedremo, ha ricadute dirette anche sul sistema educativo italiano.
I numeri: più attacchi, meno pagamenti, riscatti alle stelle
Partiamo dai fatti nudi. Nel corso del 2025, i pagamenti totali legati a ransomware hanno raggiunto quota 820 milioni di dollari. Una cifra monstre, certo, ma inferiore alle attese se si considera l'impennata delle offensive. Il motivo? Appunto, sempre meno vittime decidono di cedere.
Il dato che però fa tremare i polsi è un altro: il riscatto mediano è schizzato del 368%, passando da 12.738 a 59.556 dollari. Tradotto: chi paga, paga molto di più. I gruppi criminali, di fronte a un tasso di "conversione" in calo, hanno alzato la posta. Una logica brutale ma efficace — dal loro punto di vista.
La dinamica ricorda quella di un mercato sotto pressione. Meno clienti (le vittime disposte a pagare), prezzi unitari più alti. Il risultato netto, almeno per ora, resta comunque una raccolta complessiva enorme.
85 gruppi attivi: una galassia criminale in espansione
Stando a quanto emerge dalle rilevazioni di settore, nel 2025 sono stati identificati 85 gruppi di estorsione attivi. Un ecosistema frammentato e in continua evoluzione, dove accanto ai "brand" più noti del cybercrimine proliferano cellule più piccole, spesso specializzate per settore o area geografica.
Questa polverizzazione rende la minaccia più capillare e imprevedibile. Non si tratta più di poche organizzazioni sofisticate, ma di una rete diffusa che sfrutta strumenti sempre più accessibili — i cosiddetti Ransomware-as-a-Service (RaaS) — abbassando la soglia tecnica necessaria per lanciare un attacco. Il tema dell'uso etico e responsabile della tecnologia, del resto, è al centro di un dibattito che coinvolge anche i colossi dell'intelligenza artificiale: basti pensare alla recente decisione di Anthropic di porre limiti all'uso militare del proprio modello Claude, una scelta che ha riacceso la discussione sui confini tra innovazione e sicurezza.
Scuole e università nel mirino: il fronte italiano
Se il quadro globale è allarmante, quello che riguarda il settore dell'istruzione lo è forse di più. Scuole e università rappresentano da anni uno dei bersagli preferiti dagli attaccanti, per una ragione semplice: dispongono di enormi quantità di dati sensibili — anagrafiche di studenti, personale, informazioni sanitarie — ma spesso non possiedono le risorse né le competenze per difenderli adeguatamente.
In Italia, la situazione è resa più complessa dalla frammentazione del sistema. Migliaia di istituti scolastici con infrastrutture IT eterogenee, budget risicati per la sicurezza informatica, personale tecnico spesso insufficiente. Gli atenei, pur dotati mediamente di strutture più solide, non sono immuni: negli ultimi anni diversi episodi hanno coinvolto università italiane, con blocchi dei sistemi informativi, esfiltrazione di dati di ricerca e interruzione dei servizi agli studenti.
La protezione dei dati nelle università e nelle scuole italiane è regolata dal GDPR e dalle linee guida dell'Agenzia per la Cybersicurezza Nazionale (ACN), che ha più volte sollecitato il rafforzamento delle difese nel comparto pubblico. Eppure, tra raccomandazioni e attuazione concreta, il divario resta ampio. La questione è tanto più urgente se si considera che la digitalizzazione della scuola — accelerata dalla pandemia e oggi consolidata con il Piano Nazionale Scuola Digitale — ha moltiplicato le superfici di attacco senza che le contromisure crescessero allo stesso ritmo.
Il nodo delle risorse e della formazione
Uno dei problemi strutturali è la carenza di formazione specifica in cybersecurity per il personale scolastico. Dirigenti, segretari, docenti: tutti gestiscono quotidianamente dati digitali, spesso senza una preparazione adeguata a riconoscere un tentativo di phishing — il vettore di ingresso più comune per un attacco ransomware.
I fondi del PNRR destinati alla digitalizzazione scolastica includono, almeno sulla carta, investimenti in sicurezza. Ma la quota effettivamente dedicata alla cybersecurity risulta ancora marginale rispetto a quella assorbita da hardware, connettività e piattaforme didattiche.
Come difendersi: le lezioni del 2025
Il calo dei pagamenti al 28% non è frutto del caso. Riflette un cambio di paradigma che, lentamente, si sta diffondendo anche nel settore educativo. Alcune buone pratiche emergono con chiarezza dall'analisi dell'ultimo anno:
- Backup regolari e testati: la prima linea di difesa resta la capacità di ripristinare i dati senza dover trattare con i criminali. Backup offline, separati dalla rete principale, verificati periodicamente.
- Segmentazione della rete: isolare i sistemi critici — registri elettronici, piattaforme di gestione studenti, archivi di ricerca — riduce drasticamente il raggio d'azione di un attacco.
- Formazione continua del personale: simulazioni di phishing, protocolli chiari per la segnalazione di anomalie, aggiornamento costante. Non è un costo, è un investimento.
- Piani di risposta agli incidenti: sapere cosa fare prima che l'attacco avvenga. Troppe scuole e università italiane non dispongono ancora di un incident response plan formalizzato.
- Aggiornamento dei sistemi: il patching tempestivo delle vulnerabilità note resta una delle misure più efficaci — e più trascurate.
La direzione è tracciata. I numeri del 2025 dimostrano che resistere si può, e che la resilienza paga più del riscatto — letteralmente. Ma il settore dell'istruzione, in Italia e non solo, ha ancora molta strada da fare per colmare il gap con i comparti più maturi sul fronte della sicurezza digitale. I prossimi mesi, con l'attuazione delle misure previste dalla Strategia Nazionale di Cybersicurezza 2022-2026, diranno se le parole si tradurranno finalmente in fatti.
Domande frequenti
Cos'è un attacco ransomware?
Un attacco ransomware è un'azione criminale informatica in cui un software malevolo cifra i dati della vittima, rendendoli inaccessibili. Gli attaccanti chiedono poi un riscatto (ransom) — solitamente in criptovaluta — in cambio della chiave per decrittare i file. In molti casi, la minaccia include anche la pubblicazione dei dati rubati.
Perché scuole e università sono bersagli frequenti?
Gli istituti scolastici e gli atenei gestiscono grandi volumi di dati personali sensibili ma dispongono spesso di budget limitati per la sicurezza informatica, infrastrutture obsolete e personale non adeguatamente formato. Questo li rende obiettivi relativamente facili per i gruppi criminali.
Conviene pagare il riscatto?
Le autorità — dall'FBI all'ACN italiana — sconsigliano categoricamente il pagamento. Pagare non garantisce il recupero dei dati, finanzia le organizzazioni criminali e rende la vittima un bersaglio per attacchi futuri. I dati del 2025, con solo il 28% delle vittime che ha pagato, confermano che questa consapevolezza si sta diffondendo.
Come possono le scuole italiane proteggersi dal ransomware?
Le misure prioritarie includono: backup regolari e offline, aggiornamento costante di software e sistemi operativi, formazione del personale sul riconoscimento del phishing, segmentazione della rete e predisposizione di un piano di risposta agli incidenti. L'Agenzia per la Cybersicurezza Nazionale pubblica linee guida specifiche anche per il settore pubblico.
Quanto è cresciuto il riscatto medio nel 2025?
Il riscatto mediano è aumentato del 368% nel 2025, passando da 12.738 a 59.556 dollari. Questo incremento è legato alla strategia dei gruppi criminali di compensare il calo della percentuale di vittime disposte a pagare con richieste economiche molto più elevate.
