Shaun Stockman è direttore senior dello sviluppo commerciale per le Americhe presso Ontrack, dove collabora con compagnie assicurative e team di risposta agli incidenti nell’ambito del recupero dei dati relativo ai sinistri causati dal ransomware.
Ormai mi viene posta questa domanda circa una volta alla settimana, di solito da qualcuno del settore assicurativo o della DFIR che conosce già la cifra del riscatto e vuole sapere quella reale. Secondo Sophos, nel 2026 la cifra reale per il solo recupero dei dati si avvicina a 1,7 milioni di dollari, senza contare il pagamento del riscatto né il mancato guadagno dovuto al periodo di inattività dei sistemi. Ho visto quella cifra relativa al recupero salire per tre anni consecutivi, anche se le richieste di riscatto stesse hanno iniziato a diminuire. Quel divario, tra ciò che gli aggressori chiedono e ciò che il recupero costa effettivamente, è la vera storia.
Nel suo rapporto del 2026, Sophos ha stimato il costo medio di ripristino – ovvero tutte le spese sostenute per recuperare sistemi e dati, escluso il riscatto stesso – a 1,7 milioni di dollari. Si tratta di un aumento dell’11% rispetto ai 1,53 milioni di dollari dell’anno precedente. Il rapporto di IBM sul costo di una violazione dei dati stima il costo totale di un incidente medio causato da ransomware, inclusi i rischi legali, la risoluzione del problema e l’interruzione dell’attività, a 5,08 milioni di dollari.
Credo che il dato più utile per gli addetti alle assicurazioni e alla gestione degli incidenti informatici sia il divario tra queste due cifre e il riscatto stesso. Secondo i dati di Sophos, il riscatto mediano si è attestato intorno ai 769.000 dollari. Il solo costo di ripristino è già più del doppio di tale cifra. Pagare il riscatto non è mai stata la parte più costosa; lo è invece la ricostruzione. Se volete una panoramica di come si svolge effettivamente questo processo di ricostruzione sul campo, abbiamo scritto un articolo più dettagliato sul recupero dei dati in seguito ad attacchi ransomware.
Questa è la parte che mi ha un po’ sorpreso. I dati di Coveware mostrano che la percentuale di vittime che scelgono di pagare ha toccato il minimo storico e che i pagamenti mediani sono crollati drasticamente, scendendo in un trimestre recente a circa 150.000 dollari. Allo stesso tempo, il 56% degli attacchi riesce ancora a crittografare i dati, in aumento rispetto al 50% dell’anno precedente. Un numero maggiore di attacchi va a segno e un numero minore di aziende paga per sbloccare ciò che è stato crittografato.
È proprio questa combinazione di fattori a far sì che i costi di ripristino stiano aumentando di per sé. Che un’azienda paghi o meno, qualcuno deve comunque ricostruire l’ambiente, ripristinare dai backup ove possibile e recuperare ciò che i backup non sono riusciti a salvare. Pagare non garantisce nemmeno un esito positivo. Le aziende che pagano recuperano, in media, solo circa il 60% dei propri dati. Credo che sia proprio questo il punto da ribadire a chiunque consideri ancora la decisione sul riscatto come la principale voce di costo. Non lo è. Abbiamo illustrato l’effettivo albero decisionale su questo argomento nell’articolo “Ransomware: dovremmo pagare il riscatto?”, che vale la pena leggere prima di dover prendere tale decisione sotto pressione.
Ho anche notato che l’importo del riscatto e quello del ripristino vengono trattati come un’unica voce in molti rapporti interni che vedo. Ma non lo sono. Un operatore o una società di risposta agli incidenti (IR) che stanzia fondi per il riscatto e considera il ripristino come un errore di arrotondamento finirà per sottovalutare di gran lunga l’esposizione reale. Il costo del ripristino si presenta indipendentemente dal fatto che il riscatto venga pagato o meno e, ultimamente, è di gran lunga il più elevato dei due.
Se dovessi indicare una voce che gli assicuratori sottovalutano, sarebbe il tempo di inattività. I produttori subiscono perdite stimate in 1,9 milioni di dollari al giorno mentre i sistemi sono inattivi. Le organizzazioni sanitarie registrano circa 900.000 dollari al giorno. Il tempo medio di inattività durante un incidente di ransomware oscilla tra i 21 e i 24 giorni, anche se la situazione sta migliorando. Sophos ha rilevato che nel 2025 il 53% delle organizzazioni si è completamente ripreso entro una settimana, in aumento rispetto al 35% dell’anno precedente.
Tale miglioramento deriva da una migliore preparazione e da un coinvolgimento più rapido degli specialisti del ripristino una volta confermato l’attacco, non dal pagamento più rapido dei riscatti. Le aziende che si ritrovano con tempi di inattività superiori ai 20 giorni sono solitamente quelle che decidono cosa fare dopo l’attacco anziché prima. Abbiamo illustrato come dovrebbe avvenire questo processo decisionale tempestivo nel gestire un attacco ransomware, e continuo a ritenere che le prime 48 ore siano più importanti di quasi qualsiasi altra fase della sequenza temporale.
Nel 2025 il ransomware rappresentava il 28% di tutte le richieste di risarcimento relative alle assicurazioni informatiche, ma il 52% dei costi totali dei sinistri. Il risarcimento medio per un attacco ransomware si aggira intorno ai 631.000 dollari, rendendola di gran lunga la categoria di attacchi più costosa. La gravità è aumentata di oltre il 30% dal 2020, trainata dalle richieste di estorsione, dall’interruzione dell’attività aziendale e dai costi di risposta alle violazioni che si sommano l’uno all’altro.
L’aspetto che vorrei sottolineare per chiunque operi nel settore assicurativo è il tasso di rifiuto. Circa il 21% delle richieste di risarcimento per attacchi informatici è stato rifiutato o parzialmente rifiutato nel 2025, in aumento rispetto al 15% del 2023. Il motivo più comune è stato il mancato rispetto dei controlli di sicurezza previsti dalla polizza, quali l’autenticazione a più fattori (MFA) e i piani documentati di risposta agli incidenti. Non sono del tutto sicuro che tale cifra rimarrà stabile, ma la tendenza è chiara. Gli assicuratori stanno applicando criteri di sottoscrizione più rigorosi e verificando le richieste di risarcimento rispetto ai controlli previsti con maggiore attenzione rispetto al passato.
Ci sono due cose che vorrei dire a qualsiasi responsabile IT, referente assicurativo o partner DFIR che sta leggendo questo articolo. Innanzitutto, non lasciate che la decisione sul riscatto ritardi quella relativa al ripristino. Coinvolgete uno specialista nel recupero dei dati parallelamente alla negoziazione del riscatto, non dopo. I tempi di ripristino e quelli della negoziazione dovrebbero procedere contemporaneamente, perché il tempo di inattività costa ogni giorno di più rispetto alla maggior parte delle richieste di riscatto per singolo incidente. In secondo luogo, se operate nel settore assicurativo, anticipate i requisiti di controllo prima del rinnovo. Una richiesta di risarcimento respinta, oltre a una fattura di ripristino di 1,7 milioni di dollari, è uno dei problemi più facilmente evitabili nell’intero processo.
Aggiungerei anche un aspetto minore che spesso viene trascurato. Coinvolgere gli specialisti del ripristino sin dalle prime fasi spesso permette di ridurre entrambe le cifre contemporaneamente: meno tempi di inattività, poiché i sistemi tornano operativi più rapidamente, e un fascicolo di sinistro più chiaro, poiché l’intervento di ripristino viene documentato fin dal primo giorno anziché ricostruito a posteriori. Tale documentazione è più importante di quanto ci si aspetti una volta che l’assicuratore inizia a verificare il sinistro rispetto ai controlli previsti dalla polizza.
È più economico pagare il riscatto piuttosto che provvedere al ripristino autonomamente?
No, non nella maggior parte dei casi. Il pagamento non elimina i costi di ricostruzione e le aziende che pagano recuperano in media solo circa il 60% dei propri dati. Il riscatto è spesso inferiore alla fattura per il ripristino che ne consegue.
Quanto tempo richiederà il ripristino completo nel 2026?
Il tempo medio di inattività è ancora compreso tra 21 e 24 giorni, ma sempre più organizzazioni si riprendono più rapidamente. Sophos ha rilevato che nel 2025 il 53% delle aziende si è ripreso completamente entro una settimana, in aumento rispetto al 35% dell’anno precedente.
Perché le compagnie assicurative respingono le richieste di risarcimento relative al ransomware?
Il motivo più comune è la mancata osservanza dei controlli di sicurezza previsti dalla polizza, in particolare l’autenticazione a più fattori (MFA) e la pianificazione documentata della risposta agli incidenti. Ciò ha rappresentato circa un terzo di tutti i rifiuti nel 2025.
Qual è il principale fattore di costo in un attacco ransomware?
I tempi di inattività. Si stima che i produttori perdano 1,9 milioni di dollari al giorno e le organizzazioni sanitarie circa 900.000 dollari al giorno mentre i sistemi sono inattivi, e tale cifra aumenta più rapidamente rispetto alla maggior parte delle richieste di riscatto.
Il costo del ripristino è la cifra che continua a salire, e non credo che questa tendenza si invertirà a breve. Il dibattito sul riscatto attira gran parte dell’attenzione, ma è nella fase di ricostruzione che si manifesta il vero conto da pagare. Preferirei che i team assicurativi e i partner di risposta agli incidenti pianificassero fin da ora tenendo conto di quella cifra, piuttosto che esserne colti di sorpresa durante il prossimo incidente.
Fonti: Sophos, The State of Ransomware 2026; IBM, Cost of a Data Breach Report; Coveware by Veeam, Cyber Extortion Payment Trends