Check Point Research (CPR), la divisione di Threat Intelligence di Check Point Software Technologies, specialista globale nelle soluzioni di sicurezza informatica, rileva che a luglio, il panorama delle minacce informatiche è stato caratterizzato da pressioni su più fronti. Gli attacchi informatici globali hanno continuato ad aumentare, l’attività ransomware si è discostata dal trend più stabile osservato nella prima parte dell’anno e l’esposizione legata alla GenAI è diventata un rischio operativo più evidente, dato l’uso di un numero crescente di strumenti da parte dei dipendenti che generano più prompt in tutta l’organizzazione. L’Italia è risultata nella top 5 dei Paesi presi di mira a livello globale, con il 3% degli attacchi complessivi e una media di 2.755 attacchi settimanali per organizzazione (+14%).
Gli attacchi informatici continuano ad aumentare
La curva globale degli attacchi ha continuato a crescere a luglio. Le organizzazioni hanno subito in media 2.336 attacchi informatici settimanali, con un aumento del 3% rispetto a giugno e del 16% rispetto a luglio 2025. Sebbene l’incremento mensile sia stato più moderato rispetto al trend di giugno, la tendenza più ampia resta chiara: il numero medio di attacchi settimanali per organizzazione è aumentato del 13,7% da maggio, segnalando una pressione persistente anziché un picco temporaneo.
L’istruzione resta il principale bersaglio
L’istruzione si è confermato il settore più preso di mira, con una media di 4.848 attacchi settimanali per organizzazione, in aumento del 14% su base annua. Il settore governativo si è posizionato al secondo posto con 3.044 attacchi settimanali, in crescita dell’11%, seguito dalle telecomunicazioni con 2.927 attacchi, in aumento del 6%. Energia e utility sono salite al quarto posto con 2.759 attacchi settimanali, in crescita del 20%, mentre hospitality, viaggi e tempo libero sono entrati nella top five con 2.614 attacchi, in aumento del 28%, probabilmente riflettendo una maggiore esposizione durante il periodo dei viaggi estivi.
L’America Latina guida per volume, mentre l’Europa registra una forte crescita
A livello regionale, l’America Latina ha continuato a registrare il volume di attacchi più elevato, con una media di 3.561 attacchi settimanali per organizzazione, in aumento del 19% rispetto a luglio 2025. A seguire la regione APAC con 3.316 attacchi settimanali, mentre l’Africa si è classificata terza nonostante un calo del 5% su base annua. L’Europa si è distinta per il tasso di crescita, con un aumento degli attacchi del 18% su base annua, mentre il Nord America è cresciuto del 9%.
Il rischio della GenAI passa dalla teoria alla pratica operativa quotidiana
Il rischio legato alla GenAI sta diventando una questione quotidiana per le aziende. La principale preoccupazione non riguarda soltanto il modo in cui vengono utilizzati gli strumenti di AI, ma anche ciò che i dipendenti vi inseriscono: dai dati dei clienti e documenti interni fino a informazioni su infrastrutture, aspetti legali, finanziari o HR. I dati di luglio mostrano quanto rapidamente questa esposizione possa aumentare:
- 1 prompt su 36 proveniente da reti aziendali presentava un rischio elevato di perdita di dati sensibili.
- L’88% delle organizzazioni che utilizzano regolarmente la GenAI è stato interessato da attività di prompt ad alto rischio.
- Il 22% dei prompt conteneva informazioni potenzialmente sensibili.
- Le organizzazioni hanno utilizzato in media 8 strumenti di GenAI, mentre l’utente medio ha generato 95 prompt nel corso del mese.
Questo rende la GenAI una questione sia di governance sia di sicurezza, soprattutto perché l’adozione procede più rapidamente di policy, formazione e controlli. L’esposizione è risultata più elevata in America Latina e Nord America, mentre Europa e APAC si sono posizionate leggermente al di sotto della media globale. Per settore, Servizi alle imprese e Sanità e medicale hanno registrato il rischio più elevato, seguiti da Information Technology e settore governativo.
Anche il tipo di informazioni esposte è importante. I dati personali si sono confermati la categoria sensibile più comune, presente nel 70% delle organizzazioni. Dati finanziari e Infrastruttura di rete e IT seguono entrambi al 68%, mentre i contenuti Legali e normativi compaiono nel 63% e i dati relativi a Dipendenti e HR nel 62%. Il problema non è limitato a un singolo team, caso d’uso o tipo di documento: interessa trasversalmente le informazioni fondamentali su cui le organizzazioni fanno affidamento ogni giorno.
L’email resta un importante punto di ingresso per il rischio informatico
Nonostante la crescente attenzione verso superfici di attacco più recenti, a luglio l’email è rimasta un canale di rischio ad alto volume. Un’email ogni 128, pari allo 0,78%, è stata classificata come phishing, mentre un ulteriore 20% è rientrato in categorie indesiderate o rischiose come graymail, spam e messaggi sospetti, aumentando il carico quotidiano che i team di sicurezza devono filtrare e analizzare.
L’Africa ha registrato il tasso di phishing più elevato, con un’email ogni 106 classificata come phishing, seguita dal Nord America con una ogni 117. Al di là delle differenze regionali, la tendenza conferma il ruolo dell’email come punto di partenza comune per catene di attacco più ampie, dal furto di credenziali e dalla distribuzione di malware fino alla Business Email Compromise. A luglio, questa escalation è risultata particolarmente evidente nell’attività ransomware.
Il ransomware rompe gli schemi
* Questi dati sul ransomware provengono dai cosiddetti “shame site” gestiti da gruppi di doppia estorsione, che rendono pubbliche informazioni sulle vittime. Sebbene queste fonti presentino bias intrinseci, offrono indicazioni preziose sul panorama ransomware.
Il cambiamento più netto di luglio ha riguardato il ransomware. Gli attacchi segnalati hanno raggiunto quota 964, con un aumento dell’87% rispetto a luglio 2025 e del 49% rispetto a giugno. Si tratta di una netta discontinuità rispetto alla prima metà del 2026, quando l’attività ransomware mensile si attestava in media intorno a 672 incidenti.
L’aumento è stato diffuso e ha interessato più regioni e settori, ma i Servizi alle imprese sono rimasti il comparto più colpito, rappresentando quasi un terzo delle vittime segnalate.
La regione più colpita è rimasta il Nord America, rappresentando il 45% degli incidenti ransomware segnalati. L’Europa ha seguito con il 28%, mentre l’APAC ha rappresentato il 17%.
A livello nazionale, gli Stati Uniti hanno continuato a dominare il numero di vittime con il 39,4% degli attacchi segnalati, seguiti da Germania, Canada, Regno Unito e Italia.
The Gentlemen e Qilin guidano un panorama ransomware in evoluzione
The Gentlemen e Qilin sono stati i gruppi ransomware più diffusi a luglio, ciascuno responsabile del 14% degli attacchi pubblicati. DeadLock è salito tra i primi tre, con il 10% e 97 vittime segnalate.
- The Gentlemen: Un’operazione Ransomware-as-a-Service in rapida crescita, lanciata a metà del 2025. Il gruppo combina operazioni ransomware con attività di initial access brokering, riuscendo così a scalare rapidamente in un breve periodo di tempo.
- Qilin: Un gruppo Ransomware-as-a-Service consolidato, con segnalazioni di vittime risalenti al 2022. Il suo maturo modello di affiliazione e la rinnovata attività di reclutamento lo hanno aiutato ad aumentare le vittime pubblicate e a recuperare slancio.
- DeadLock: Un gruppo osservato per la prima volta nel luglio 2025. Ha attirato l’attenzione per l’utilizzo di tecniche basate su blockchain per ruotare gli indirizzi proxy di command-and-control, insieme all’uso di strumenti legittimi di gestione remota.
Cosa ci dice luglio
Il panorama delle minacce di luglio è stato definito dall’accumularsi di più fattori di rischio, piuttosto che da una singola minaccia dominante. Gli attacchi globali hanno continuato ad aumentare, il ransomware ha registrato una forte accelerazione e l’esposizione legata alla GenAI è diventata più evidente come parte delle normali attività aziendali. Per i team di sicurezza, il messaggio è chiaro: la prevenzione non può limitarsi a un solo livello o a una sola categoria di minaccia. Le organizzazioni hanno bisogno di una protezione coordinata su rete, cloud, endpoint, email e utilizzo dell’AI, supportata dalla visibilità necessaria per comprendere dove si stanno spostando i dati sensibili e le attività degli attaccanti.
