Il 3 settembre 2026 un gruppo ransomware finora sconosciuto, che si fa chiamare Settra, ha inserito il dominio di DiaSorin, azienda biotech di Saluggia con base in Piemonte, nella lista delle vittime pubblicata sul proprio leak site. Due giorni prima, il 1° settembre, un altro gruppo, INC Ransom, aveva già colpito il Policlinico Triestino, causando l’interruzione di sistemi informativi, linee telefoniche e posta elettronica in Friuli Venezia Giulia. Due attacchi diversi, due gruppi diversi, un solo paese bersaglio: l’Italia, che secondo il Bitdefender Threat Debrief di settembre 2026 è salita al secondo posto al mondo per numero di vittime ransomware nel mese di agosto, superando Germania e Canada e restando dietro solo agli Stati Uniti.
Non è un episodio isolato. È il sintomo di una traiettoria che dura da mesi e che nelle ultime due settimane ha prodotto una concentrazione di eventi raramente vista prima: due nuovi gruppi RaaS (Settra e Panzer) attivi contemporaneamente contro bersagli italiani, un salto di posizione nelle classifiche globali di rischio e un report istituzionale, quello di TIM e Cyber Security Foundation, che certifica una crescita del 14% degli attacchi ransomware in Italia nel 2025. In questo articolo ricostruiamo i fatti verificati, analizziamo perché il settore sanitario e biotecnologico sono diventati bersagli prioritari e proviamo a capire dove sta andando la minaccia ransomware nel nostro paese da qui alla fine del 2026.
L’attacco di Settra a DiaSorin: cosa sappiamo davvero
Il tracker specializzato Ransomware.live registra la comparsa della voce “int.diasorin.com” sul leak site di Settra alle 12:02 UTC del 3 settembre 2026, con data stimata dell’intrusione al 25 agosto. DiaSorin, quotata a Piazza Affari e attiva nella diagnostica molecolare e immunodiagnostica su scala globale, non ha ancora confermato pubblicamente la violazione. Le fonti di settore che seguono il caso, tra cui il sito di threat intelligence Dexpose, descrivono l’annuncio di Settra come uno schema classico da doppia estorsione: rivendicazione dell’attacco, minaccia di pubblicare dati sensibili, nessuna cifra di riscatto resa nota e nessun campione dettagliato dei file sottratti.
È un punto importante da chiarire subito: al momento non esiste un elenco verificabile di categorie di dati compromessi, né un numero di record esposti confermato da fonti indipendenti. La voce sul leak site resta, per usare le parole con cui diversi tracker classificano questo tipo di annunci, una rivendicazione non ancora confermata dalla vittima. Questo non riduce la gravità del fatto che un’azienda sanitaria italiana di rilievo internazionale sia stata messa nel mirino, ma impone cautela nel riportare cifre che, semplicemente, non sono ancora pubbliche.
INC Ransom e il caso del Policlinico Triestino
Il secondo fronte aperto nella stessa settimana riguarda la sanità del Friuli Venezia Giulia. Il gruppo INC Ransom ha aggiunto il Policlinico Triestino S.p.A. al proprio leak site il 2 settembre 2026, con l’attacco stimato al giorno precedente. La direzione della struttura ha confermato l’incidente con una nota ufficiale datata 3 settembre, precisando che al momento non erano emersi elementi che confermassero il furto di dati dei pazienti. La struttura ha inoltre sporto denuncia alle autorità competenti, mentre la copertura di RAI TGR Friuli Venezia Giulia ha specificato che l’attribuzione a INC Ransom “necessita di verifica”.
Anche in questo caso il modello operativo ricalca quello ormai standard nel settore: la prova pubblicata sul leak site consiste in uno screenshot dimostrativo, senza volume dichiarato di file esfiltrati e senza scadenza di pagamento resa nota. È lo stesso schema di pressione psicologica usato da decine di gruppi RaaS negli ultimi tre anni, pensato per costringere la vittima a negoziare in condizioni di incertezza sull’entità reale del danno.
L’Italia sale al secondo posto mondiale: i numeri di Bitdefender
Il dato che ha attirato più attenzione tra gli analisti è la posizione dell’Italia nella classifica dei paesi più colpiti da ransomware nel mese di agosto 2026, pubblicata dal Bitdefender Threat Debrief di settembre. Storicamente le posizioni dietro agli Stati Uniti erano occupate da Germania e Canada: ad agosto l’Italia li ha superati entrambi, piazzandosi seconda a livello globale. I gruppi che Bitdefender identifica come più attivi contro bersagli italiani nel periodo sono The Gentlemen, Clop, Qilin e Titan, a cui si aggiungono ora Settra e Panzer come operazioni emergenti.
Il quadro è confermato da un’angolazione diversa dal 2026 European Cyber Risk Report di Black Kite, che misura gli incidenti di rischio informatico su scala continentale: il Regno Unito guida con 347 incidenti (16,8% del totale europeo), seguito da Francia con 255 (12,3%), Italia con 240 (11,6%) e Spagna con 203 (9,8%). Anche in questa metrica, diversa da quella di Bitdefender ma coerente nella direzione, l’Italia si posiziona stabilmente tra i primi tre o quattro paesi europei più esposti.
| Paese | Incidenti di rischio cyber 2026 | Quota sul totale europeo |
|---|---|---|
| Regno Unito | 347 | 16,8% |
| Francia | 255 | 12,3% |
| Italia | 240 | 11,6% |
| Spagna | 203 | 9,8% |
Chi è Settra: profilo di un gruppo RaaS ancora poco documentato
A differenza di Panzer, il gruppo emerso ad agosto 2026 e già oggetto di una nostra analisi separata, su Settra circolano ancora pochissime informazioni tecniche verificabili. Non esistono al momento profili pubblici dettagliati sulla famiglia di malware utilizzata, sullo schema di cifratura o sulla catena di compromissione iniziale. Quello che è osservabile dall’esterno è il comportamento operativo: un leak site dove vengono elencati i domini delle vittime, una minaccia di pubblicazione dati come leva negoziale e un target selezionato nel settore biotech-sanitario, storicamente più propenso a pagare per evitare interruzioni operative critiche.
Questo comportamento è coerente con il modello di business ormai maturo del ransomware-as-a-service: sviluppatori centrali che forniscono malware, infrastruttura di comando e controllo e piattaforma di negoziazione, mentre affiliati indipendenti si occupano dell’intrusione, del movimento laterale nella rete compromessa e dell’esfiltrazione dei dati. I nuovi marchi come Settra competono per attrarre affiliati promettendo strumenti di cifratura più rapidi o schemi di ripartizione dei proventi più favorevoli, in un mercato criminale che si è consolidato attorno a poche decine di operazioni dominanti come Qilin, Clop e LockBit5.
Un anno record: la crescita del ransomware contro l’Italia
I numeri raccolti da fonti diverse convergono su una stessa direzione. Secondo il tracker Ransomfeed, le rivendicazioni contro organizzazioni italiane hanno raggiunto quota 212 nei primi mesi del 2026, superando già le 169 registrate in tutto il 2025. Il Cyber Security Report presentato da TIM e Cyber Security Foundation alla Camera dei Deputati il 14 settembre 2026 offre una fotografia leggermente diversa ma altrettanto preoccupante: secondo il comunicato stampa ufficiale del gruppo TIM, nel 2025 in Italia si sono registrati 166 casi di attacchi ransomware, in crescita del 14% rispetto al 2024, a fronte di una crescita globale del 42% (oltre 7.400 rivendicazioni nel mondo). Le differenze tra i due conteggi dipendono dalla metodologia di raccolta, ma la tendenza di fondo, un’accelerazione netta rispetto agli anni precedenti, è la stessa in entrambi i casi.
Il report TIM aggiunge un dettaglio geografico rilevante per chi opera in Italia: circa quattro episodi su dieci si concentrano nel Nord-Ovest, con la sola Lombardia che rappresenta oltre il 30% del totale nazionale. È l’area a più alta densità industriale e manifatturiera del paese, e non sorprende che sia anche quella più esposta, dato che i gruppi ransomware continuano a privilegiare le imprese con catene produttive complesse e margini di negoziazione più ampi in caso di interruzione operativa.
Perché sanità e biotech sono diventati bersagli prioritari
Gli attacchi a DiaSorin e al Policlinico Triestino non sono coincidenze isolate, ma si inseriscono in un quadro più ampio di violazioni di dati e attacchi informatici che nel 2026 ha colpito ripetutamente aziende italiane di settori diversi, dalla contabilità cloud di TeamSystem alla logistica. Confermano una tendenza già visibile da tempo: il settore sanitario e biotecnologico è tra i più colpiti perché unisce dati estremamente sensibili, obblighi normativi stringenti e una tolleranza quasi nulla ai tempi di inattività. Un laboratorio diagnostico o un ospedale non può permettersi settimane di fermo dei sistemi informativi senza mettere a rischio la continuità delle cure, e questo li rende, agli occhi dei gruppi ransomware, bersagli con una probabilità di pagamento più alta rispetto alla media.
A questo si aggiunge un fattore strutturale: molte strutture sanitarie italiane, soprattutto quelle di dimensioni medio-piccole o le cliniche private, hanno investito meno in segmentazione di rete, backup offline testati regolarmente e piani di risposta agli incidenti rispetto a banche o grandi gruppi industriali. È lo stesso gap che la direttiva NIS2, ora in fase di applicazione anche in Italia con le ispezioni dell’Agenzia per la Cybersicurezza Nazionale, punta a colmare imponendo requisiti minimi di sicurezza a un numero crescente di soggetti considerati essenziali o importanti.
Il confronto tra i gruppi ransomware attivi contro l’Italia
Nel giro di poche settimane il panorama delle minacce contro organizzazioni italiane si è affollato di nomi nuovi accanto a operazioni già consolidate. Qilin resta uno dei gruppi più attivi in assoluto, come dimostra il caso di Retelit, colpita con l’esfiltrazione di 300 GB di dati. Titan ha rivendicato nove aziende italiane in un solo giorno, mentre Clop continua a sfruttare vulnerabilità nella supply chain software per colpire più vittime con un singolo attacco. Accanto a questi nomi consolidati si inseriscono ora Settra e Panzer, entrambi emersi nell’estate 2026 e con un numero di vittime ancora limitato ma in crescita.
| Gruppo | Vittima italiana recente | Settore | Data rivendicazione |
|---|---|---|---|
| Settra | DiaSorin S.p.A. | Biotech / diagnostica | 3 settembre 2026 |
| INC Ransom | Policlinico Triestino S.p.A. | Sanità | 2 settembre 2026 |
| Panzer | NTE Italianteitalia | Costruzioni | 22 agosto 2026 |
| Panzer | Doimo Cucine | Manifatturiero / arredamento | 19 agosto 2026 |
| Qilin | Retelit | Telecomunicazioni | 2026 (rivelato dopo 2 mesi di silenzio) |
Le vulnerabilità sfruttate: dal catalogo CISA KEV al rischio supply chain
Parallelamente alle rivendicazioni sui leak site, il mese di settembre 2026 ha visto nuove aggiunte al catalogo delle vulnerabilità note sfruttate mantenuto dalla statunitense CISA, diverse delle quali riguardano prodotti largamente diffusi anche nelle infrastrutture IT italiane. Tra le voci più recenti figurano due falle in JFrog Artifactory (CVE-2026-42016 e CVE-2026-42018), una in ConnectWise ScreenConnect (CVE-2026-84869), una in GitLab CE/EE (CVE-2026-85706) e due in MikroTik RouterOS (CVE-2026-67277 e CVE-2026-86060), tutte confermate come già sfruttate attivamente prima dell’inclusione nel catalogo.
Il tracker CVE Daily calcola anche il cosiddetto “lag”, cioè il tempo intercorso tra la prima evidenza di sfruttamento e l’inserimento ufficiale nel catalogo CISA: per CVE-2026-84869 su ConnectWise ScreenConnect il ritardo è stato di 3 giorni, con una probabilità di sfruttamento stimata (EPSS) del 31,6%, mentre le due vulnerabilità MikroTik RouterOS mostrano un EPSS compreso tra il 33% e il 36,7%. Sono margini temporali che, in un panorama dove i gruppi ransomware automatizzano la scansione delle reti esposte, si traducono spesso nella differenza tra un patch management tempestivo e una violazione riuscita.
| CVE | Prodotto | Aggiunta al catalogo KEV | EPSS stimato |
|---|---|---|---|
| CVE-2026-42016 | JFrog Artifactory | 11 settembre 2026 | 18,4% |
| CVE-2026-42018 | JFrog Artifactory | 11 settembre 2026 | 28,0% |
| CVE-2026-84869 | ConnectWise ScreenConnect | Settembre 2026 | 31,6% |
| CVE-2026-67277 | MikroTik RouterOS | Settembre 2026 | 33% – 36,7% |
| CVE-2026-86060 | MikroTik RouterOS | Settembre 2026 | 33% – 36,7% |
Contesto storico: dal 2020 a oggi, come è cambiato il ransomware in Italia
Per capire la portata del salto registrato nel 2026 serve guardare indietro. Nel biennio 2020-2021 gli attacchi ransomware contro organizzazioni italiane erano ancora eventi sporadici, concentrati soprattutto su grandi gruppi industriali e occasionalmente sulla pubblica amministrazione locale. A partire dal 2022 la diffusione del modello ransomware-as-a-service ha abbassato drasticamente la barriera d’ingresso per nuovi attori criminali, moltiplicando il numero di gruppi attivi e, di conseguenza, il numero di vittime. Il 2023 e il 2024 hanno visto consolidarsi operazioni come LockBit, poi colpita da un’operazione internazionale di law enforcement, e Clop, specializzata nello sfruttamento massivo di vulnerabilità nella supply chain software.
Il 2025, con 166 casi secondo TIM e Cyber Security Foundation, ha segnato un’ulteriore accelerazione rispetto al 2024. Il 2026, con l’Italia che sale al secondo posto mondiale nella classifica Bitdefender e con almeno tre nuovi gruppi RaaS (Panzer, Settra e altri ancora non completamente profilati) attivi in parallelo, sembra confermare che la traiettoria di crescita non solo continua ma accelera ulteriormente, spinta anche dalla proliferazione di toolkit di attacco sempre più accessibili e dalla crescente professionalizzazione del cosiddetto ecosistema di affiliazione.
L’impatto sul mercato: assicurazioni, reputazione e costi operativi
L’ascesa dell’Italia nelle classifiche di rischio ha ricadute concrete sul mercato assicurativo cyber, dove i premi delle polizze contro il ransomware tendono a seguire da vicino le statistiche di sinistrosità nazionale. Un paese che sale dalla quarta o quinta posizione europea al secondo posto mondiale per vittime mensili diventa, agli occhi degli assicuratori, una giurisdizione a rischio più elevato, con effetti diretti su premi e franchigie per le imprese che vogliono coprirsi da questo tipo di eventi.
Sul fronte reputazionale, il precedente più recente in Italia resta la sanzione da 1,7 milioni di euro comminata a WINDTRE dal Garante Privacy per carenze nella sicurezza dei sistemi che avevano portato a due violazioni non autorizzate e all’esposizione dei dati di oltre 365.000 clienti. È un segnale che le autorità italiane, complice anche l’entrata in vigore progressiva della NIS2, stanno alzando il livello di attenzione anche sulle conseguenze economiche per le aziende che non adottano misure di sicurezza adeguate, indipendentemente dal fatto che la violazione derivi da un attacco ransomware o da un difetto di configurazione.
La risposta delle istituzioni italiane ed europee
La cornice normativa entro cui si muovono oggi le aziende italiane è cambiata radicalmente rispetto a pochi anni fa. La direttiva NIS2 ha ampliato in modo significativo il perimetro dei soggetti obbligati a rispettare requisiti minimi di sicurezza informatica, includendo esplicitamente strutture sanitarie, operatori delle infrastrutture critiche e un ampio numero di imprese manifatturiere di medie dimensioni, con sanzioni che possono arrivare fino a 10 milioni di euro per le violazioni più gravi. L’Agenzia per la Cybersicurezza Nazionale ha avviato un programma di ispezioni su migliaia di aziende proprio a partire dall’autunno 2026, con l’obiettivo dichiarato di verificare l’effettiva adozione delle misure minime richieste.
A livello europeo, il quadro si completa con il Cyber Resilience Act, che introduce requisiti di sicurezza by design per i prodotti digitali immessi sul mercato, e con esercitazioni su scala continentale come Cyber Europe, pensate per testare la capacità di risposta coordinata tra stati membri in caso di incidenti che coinvolgano più paesi contemporaneamente. Il caso Settra-DiaSorin e quello INC Ransom-Policlinico Triestino, entrambi nel settore sanitario-biotech, cadono peraltro in un momento in cui l’attenzione normativa su questo comparto specifico è già massima.
Cosa dicono i report di settore
Il quadro tracciato dai principali osservatori del settore converge su alcuni punti fermi. Il Bitdefender Threat Debrief di settembre 2026 descrive un salto di posizione dell’Italia definito storicamente anomalo rispetto ai dati degli anni precedenti, quando le prime posizioni dietro gli Stati Uniti erano occupate stabilmente da Germania e Canada. Il report di TIM e Cyber Security Foundation, presentato alla Camera dei Deputati, inquadra la crescita degli attacchi come conseguenza diretta di due fattori concorrenti: l’utilizzo crescente di strumenti di intelligenza artificiale da parte degli attaccanti per automatizzare le fasi di ricognizione e sfruttamento, e un contesto geopolitico che alimenta sia il crimine informatico a scopo di lucro sia le operazioni sponsorizzate da stati.
Anche l’analisi pubblicata da Security Affairs, basata sui dati del tracker RansomNews, colloca LockBit5 e Qilin come i gruppi leader per numero di attacchi contro organizzazioni italiane, con una media di 24,7 attacchi al mese e 5,7 alla settimana nel periodo analizzato, un ritmo che il settore manifatturiero continua a subire più di ogni altro comparto economico nazionale.
Le previsioni per la fine del 2026
Sulla base dei dati raccolti negli ultimi mesi, alcune traiettorie appaiono più probabili di altre da qui alla fine dell’anno. Primo: il numero di gruppi RaaS attivi contro bersagli italiani continuerà probabilmente a crescere, perché la barriera d’ingresso nel mercato criminale resta bassa e la domanda di affiliati da parte dei nuovi marchi come Settra è ancora nella fase di espansione. Secondo: il settore sanitario e biotech resterà un bersaglio prioritario, complice la combinazione di dati sensibili, tolleranza minima ai tempi di fermo e, in molti casi, investimenti in sicurezza ancora insufficienti rispetto alla dimensione del rischio.
Terzo: le ispezioni ACN legate alla NIS2 inizieranno a produrre le prime sanzioni pubbliche entro la fine dell’anno o nei primi mesi del 2027, con un effetto deterrente che si farà sentire soprattutto sulle imprese di medie dimensioni finora meno attente alla compliance. Quarto: è plausibile un’ulteriore crescita degli attacchi basati sulla sola esfiltrazione dei dati senza cifratura, un modello già osservato da Bitdefender in altri contesti internazionali, che riduce i tempi dell’attacco e rende più difficile il rilevamento da parte dei sistemi di difesa tradizionali. Quinto: è ragionevole attendersi che l’Italia resti stabilmente tra i primi tre-cinque paesi europei più colpiti almeno fino alla piena entrata a regime degli obblighi NIS2, prevista per il biennio 2027-2028.
Come proteggersi: le raccomandazioni pratiche per le aziende italiane
Al netto delle differenze tra gruppo e gruppo, le tecniche di intrusione iniziale restano in larga parte le stesse da anni: sfruttamento di vulnerabilità note e non patchate, credenziali compromesse o riutilizzate, e phishing mirato contro il personale con privilegi elevati. Le raccomandazioni che emergono con più forza dai report citati in questo articolo restano quindi quelle di base ma spesso disattese: applicare tempestivamente le patch per le vulnerabilità incluse nel catalogo CISA KEV, segmentare la rete per limitare il movimento laterale, mantenere backup offline testati regolarmente e attivare l’autenticazione a più fattori su tutti gli accessi privilegiati.
Per le organizzazioni sanitarie e biotech, che restano tra le più esposte come dimostrano i casi DiaSorin e Policlinico Triestino, la priorità aggiuntiva è dotarsi di un piano di risposta agli incidenti testato periodicamente, che consenta di mantenere operative le funzioni cliniche essenziali anche in caso di compromissione dei sistemi informativi centrali. È lo stesso principio su cui insiste la NIS2 quando impone ai soggetti essenziali di dimostrare non solo l’adozione di misure preventive, ma anche una capacità di risposta e recupero verificabile.
Domande frequenti
Chi è il gruppo ransomware Settra?
Settra è un gruppo ransomware emerso pubblicamente il 3 settembre 2026, quando ha rivendicato un attacco contro l’azienda biotech italiana DiaSorin. Al momento non sono disponibili profili tecnici dettagliati sulla famiglia di malware utilizzata o sulle tecniche di intrusione impiegate.
DiaSorin ha confermato l’attacco informatico?
No, al momento della pubblicazione di questo articolo DiaSorin non ha rilasciato una conferma pubblica della violazione rivendicata da Settra. La voce sul leak site del gruppo resta una rivendicazione non ancora verificata da fonti indipendenti.
Perché l’Italia è salita al secondo posto mondiale per vittime ransomware?
Secondo il Bitdefender Threat Debrief di settembre 2026, ad agosto l’Italia ha superato Germania e Canada nella classifica dei paesi più colpiti, posizionandosi seconda al mondo dietro gli Stati Uniti. La causa è la concentrazione di più gruppi ransomware attivi contemporaneamente contro bersagli italiani, tra cui The Gentlemen, Clop, Qilin, Titan e i nuovi Settra e Panzer.
Cosa è successo al Policlinico Triestino?
Il gruppo INC Ransom ha rivendicato un attacco contro la struttura il 2 settembre 2026, con l’intrusione stimata al giorno precedente. La direzione ha confermato l’incidente ma ha dichiarato che non erano emersi elementi a conferma del furto di dati dei pazienti, e ha sporto denuncia alle autorità.
Quali vulnerabilità sono state aggiunte di recente al catalogo CISA KEV?
A settembre 2026 sono state aggiunte, tra le altre, due vulnerabilità in JFrog Artifactory (CVE-2026-42016 e CVE-2026-42018), una in ConnectWise ScreenConnect (CVE-2026-84869), una in GitLab CE/EE (CVE-2026-85706) e due in MikroTik RouterOS (CVE-2026-67277 e CVE-2026-86060), tutte già sfruttate attivamente prima dell’inserimento nel catalogo.
Quanto è cresciuto il ransomware in Italia nel 2025 e nel 2026?
Secondo il report di TIM e Cyber Security Foundation, nel 2025 in Italia sono stati registrati 166 casi di ransomware, in crescita del 14% rispetto al 2024, a fronte di una crescita globale del 42%. Secondo il tracker Ransomfeed, nel 2026 le rivendicazioni hanno già superato quota 212, oltre il totale dell’intero 2025.
Cosa prevede la direttiva NIS2 per le aziende colpite da ransomware?
La NIS2 impone a un ampio numero di soggetti pubblici e privati, tra cui strutture sanitarie e imprese manifatturiere, requisiti minimi di sicurezza informatica e obblighi di notifica degli incidenti, con sanzioni che possono arrivare fino a 10 milioni di euro in caso di violazioni gravi. L’Agenzia per la Cybersicurezza Nazionale ha avviato ispezioni su migliaia di aziende a partire dall’autunno 2026.
Le aziende italiane colpite da ransomware pagano il riscatto?
Non esistono dati pubblici aggregati e verificabili sulla percentuale di aziende italiane che pagano un riscatto dopo un attacco ransomware, poiché la maggior parte delle negoziazioni avviene in modo riservato. Le linee guida di sicurezza informatica, incluse quelle richiamate dalla NIS2, sconsigliano comunque il pagamento, che non garantisce né il recupero dei dati né la loro effettiva cancellazione da parte degli attaccanti.
