Panorama delle minacce cyber in Italia nei primi mesi del 2026

• Il quadro italiano del 2026 mostra un’evoluzione da attacchi numericamente molto diffusi verso minacce più mirate, diversificate e capaci di produrre impatti concreti. Nel primo semestre l’ACN ha rilevato 2.171 eventi cyber, in crescita del 47% rispetto allo stesso periodo del 2025, e 1.072 incidenti con impatto confermato, in aumento del 246%. La crescita di quest’ultimo dato deve però essere letta anche alla luce dell’ampliamento del perimetro di rilevazione e degli obblighi di notifica introdotti con la NIS2.

• Parallelamente, aumenta significativamente la superficie di vulnerabilità: nel semestre sono state rilevate 37.032 nuove CVE (+54%) e 24.303 asset a rischio. L’ACN segnala che la maggiore velocità nella scoperta e nello sfruttamento delle vulnerabilità è favorita anche dall’utilizzo di Frontier AI, impiegata dagli attaccanti per analizzare automaticamente il codice, individuare falle e generare rapidamente proof of concept.
• Nel primo semestre 2026, secondo l’ACN, sono stati registrati 181 attacchi ransomware, in calo del 12% rispetto ai 206 del primo semestre 2025. Il ransomware rappresenta tuttavia solo una parte di uno scenario cyber più ampio, caratterizzato dalla crescita degli incidenti con impatto confermato (+246%) e delle vulnerabilità rilevate (+54%). L’ACN segnala inoltre una forte crescita degli incidenti legati a furto di credenziali, sfruttamento di vulnerabilità ed esposizione di dati.
• Il manifatturiero rimane il principale bersaglio del ransomware, con il 39,9% delle vittime nel primo semestre 2026 (59 casi). La sua esposizione è legata in particolare all’elevato costo del fermo produttivo e alle problematiche di segmentazione delle reti OT. Seguono, a distanza, commercio e tecnologia.
• Il quadro cambia sensibilmente se si osservano i leak site dei gruppi ransomware. Ransomware.live rileva oltre 50 vittime italiane ad agosto, mentre Breachsense ne conta 48, contro le 19 di luglio: un incremento del 153% in un solo mese. Breachsense colloca così l’Italia al secondo posto mondiale per vittime pubblicamente rivendicate ad agosto, dietro agli Stati Uniti.

Attacco alla sanità italiana: colpito il Gruppo Policlinico Triestino

Settembre è iniziato male per la sanità italiana: l’attacco hacker al Gruppo Policlinico Triestino ha portato a un blocco completo del sistema informatico (come riporta RAInews), prestazioni sospese e migliaia di pazienti coinvolti. L’incidente, iniziato il 31 agosto, ha avuto come conseguenze disservizi in tutte le strutture regionali del gruppo, dai computer, ai telefoni, a posta elettronica e sito web. Al 7 settembre, con gli esami ancora bloccati, alcuni a Trieste stanno ricevendo mail di origine incerta (fonte RAInews).

Anche in questo caso, gli operatori sanitari hanno dovuto passare alla carta perché nessun sistema era in funzione: la paralisi ha travolto in modo particolare la casa di cura Salus, dove la direzione è stata costretta a sospendere temporaneamente i ricoveri ordinari, i prelievi di laboratorio, le visite specialistiche. La gravità della situazione è stata confermata anche dal direttore operativo del Policlinico Triestino, Vito Bonanno.

Si è trattato di un ransomware, in quanto gli hacker hanno poi avanzato una richiesta di riscatto in criptovalute per lo sblocco dei dati, a cui il gruppo ha risposto con un fermo rifiuto. Come riporta Pasquale Pillitteri, il 2 settembre il gruppo ransomware INC Ransom ha rivendicato l’attacco, inserendo il Policlinico Triestino S.p.A. nella lista delle sue vittime sul proprio leak. La rivendicazione riportava un campione di dati come prova. Al momento in cui scriviamo non si sa ancora quali tipologie di informazioni sarebbero state esfiltrate.

(La segnalazione dell’attacco sulla piattaforma ransomware.live, che indicizza i post pubblici degli operatori ransomware sui rispettivi siti di leak)

Sanità ai primi posti tra i settori più colpiti in Italia

La sanità si conferma anche quest’anno come uno dei settori più colpiti in Italia: come riporta l’Operational summary del primo semestre 2026 dell’ACN, l’Agenzia per la Cybersicurezza Nazionale, il settore sanitario si è posizionato tra i tre settori nazionali più interessati da eventi cyber, preceduto solo dai settori manifatturiero e tecnologico. In particolare, nel 2026 è stato registrato un aumento del numero di vittime nella sanità italiana: 173 vittime, con una crescita rispetto alle 128 vittime dello stesso periodo del 2025.

Figura – Numero di vittime di eventi cyber per settore e variazione percentuale rispetto al primo semestre 2025 (top 6), Operational summary ACN del primo semestre 2026

Dall’analisi di dettaglio delle minacce che hanno colpito il settore (vedi la figura successiva, sempre tratta dall’Operational summary del primo semestre 2026), emerge che la problematica principale è stata rappresentata dai guasti (con 58 casi), un grave segnale di scarsa maturità infrastrutturale ICT. Altre minacce particolarmente rilevanti per il settore includono: compromissione della casella e-mail (42 casi); attacchi alla catena di approvvigionamento (Supply chain attack) (34 casi); Phishing (27 casi); Esposizione dati (25 casi); Compromissioni da malware (22 casi); Intrusione tramite credenziali valide (21 casi); Brand Abuse (17 casi); Misconfiguration (errata configurazione) (13 casi); Ransomware: 11 casi. Un quadro che evidenzia come il settore sanitario italiano sia fortemente esposto sia a problematiche di natura tecnica e infrastrutturale (come i guasti), sia a vettori d’attacco che fanno leva sul fattore umano e sulla supply chain.

Figura – Numero di incidenti per settore e tipologia di minacce, Operational summary ACN del primo semestre 2026

Come evolve il panorama delle minacce cyber in Italia

Il panorama della cybersicurezza in Italia nel primo semestre 2026 rivela il passaggio progressivo da attacchi dimostrativi di massa a offensive mirate e molto dannose. Nonostante una flessione numerica degli eventi totali (dovuta principalmente al calo delle campagne DDoS), gli incidenti con impatto confermato sono in aumento, 188 in luglio con un +3% rispetto ai 182 di giugno (come riporta l’Operational Summary Report di luglio dell’ACN) e un balzo del 246% nell’intero primo semestre rispetto all’anno precedente (dai dati ACN relativi al primo semestre 2026). Questa crescita dipende però dall’aumentato perimetro di rilevazione (come fa notare l’ACN) dopo l’entrata in vigore della Direttiva NIS2 a gennaio 2026, con l’obbligo di notifica che sta facendo emergere incidenti precedentemente sommersi.

Indicatori chiave di attività

Le campagne DDoS sono scese del 32% nel primo semestre (407 casi). Hanno avuto picchi di intensità legata a situazioni con influenza geopolitica, quindi a febbraio (in concomitanza con i Giochi Olimpici Invernali di Milano Cortina 2026 con attacchi filorussi) e a fine maggio/giugno (in reazione al supporto politico italiano all’Ucraina), pur risolvendosi quasi sempre in rallentamenti temporanei senza impatti sistemici. A luglio non si sono registrate campagne DDoS di rilievo.

Le minacce in aumento sono quelle relative a furto di credenziali, sfruttamento di vulnerabilità ed esposizione dati: rispetto al 2025, si osserva una netta crescita degli incidenti legati alla compromissione e all’abuso di credenziali valide, all’esposizione dei dati e allo sfruttamento di vulnerabilità note. Questa tendenza si consolida a luglio, dove lo sfruttamento di vulnerabilità è risultato il primo vettore di accesso iniziale.

Analisi sui settori italiani più colpiti

I settori più colpiti rimangono il manifatturiero, la tecnologia e la sanità, con una pressione crescente sul comparto del welfare e della pubblica amministrazione locale. Se si guarda ai singoli mesi estivi, la mappa dei bersagli mostra dinamiche specifiche:

• Pubblica amministrazione locale: nel mese di luglio 2026 è stata il bersaglio principale delle offensive digitali, colpita in particolare da attacchi di defacement (modifica delle pagine web) e da una vasta campagna di sfruttamento che ha colpito oltre 60 portali basati sul CMS Joomla.
• Settore manifatturiero: si conferma costantemente ai vertici dei settori più colpiti, preso di mira soprattutto tramite campagne di phishing mirate (spear phishing) e compromissioni delle caselle di posta elettronica aziendale. Se si restringe però l’analisi alla sola minaccia ransomware, il settore manifatturiero domina incontrastato, rappresentando da solo il 39,9% delle vittime totali nel primo semestre del 2026 (con 59 vittime confermate), seguito a grande distanza dal commercio/vendita al dettaglio e dal tecnologico.
• Settore ICT: hanno sofferto principalmente di esposizione di dati sensibili e di intrusioni nei sistemi di telecomunicazione e cloud.

Evoluzione della minaccia ransomware nel trimestre giugno-agosto 2026

Sebbene l’ACN indichi una leggera diminuzione di incidenti ransomware in Italia nel primo semestre 2026 rispetto all’anno precedente (181 attacchi contro 206, -12%), altre fonti, come le piattaforme Ransomfeed e Ransomware.live, mostrano invece andamenti crescenti. Il portale di monitoraggio Ransomware.live conta, oltre 50 vittime italiane nel mese di agosto (rispetto alle 1.165 nel mondo), in crescita del 257% rispetto alle 14  del 2025. Anche il portale Ransomware.live mostra un netto incremento di attacchi ransomware in Italia per il mese di agosto.

(Fonte: ransomfeed https://ransomfeed.it/ , 9 settembre 2026)

(Fonte: Ransomware.live, https://www.ransomware.live/countrystats/IT, 9 settembre 2026)

Secondo i dati di Breachsense, basati sul numero di vittime pubblicate sui leak site dei gruppi ransomware, ad agosto 2026 avevamo 48 organizzazioni italiane pubblicamente rivendicate come vittime; rispetto alla classifica mondiale, l’Italia era salita al 2° posto dietro agli USA e prima di Germania, Canada e Regno Unito. Rispetto al conteggio di luglio, in cui le vittime erano 19, la crescita è stata di +153% in un solo mese.

(Fonte: Ransomware Attacks in August 2026: Monthly Report, Josh Amishav, Last updated Sep 1, 2026  https://www.breachsense.com/ransomware-reports/august-2026/?utm_source=chatgpt.com )

Da notare però che queste piattaforme hanno una modalità di conteggio diversa rispetto all’ACN: si basano su informazioni sui leak site dei gruppi ransomware, mentre l’ACN conta le notifiche delle realtà colpite. Considerando che gli attacchi ransomware si stanno orientando verso pubblicazione dei dati senza cifratura, è possibile che qualche vittima abbia scoperto in ritardo di essere stata presa di mira. Inoltre, un claim sul leak site non equivale necessariamente a un incidente confermato. Ransomnews, che invece adotta una metodologia molto più conservativa, contando soltanto incidenti verificati attraverso una fonte pubblica indipendente, registra solo 16 attacchi ransomware in Italia fino ad agosto 2026, ma avverte esplicitamente che il dato è incompleto e che le conferme arrivano con ritardo.

Le tendenze del ransomware in Italia

Rispetto al passato, dove poche sigle note dominavano il mercato criminale (come LockBit), oggi lo scenario è estremamente parcellizzato. Questo è diventato evidente nella settimana tra il 6 e il 13 agosto quando, in soli sette giorni, l’Italia ha registrato 15 rivendicazioni ransomware da parte di ben 8 gruppi criminali diversi (Cl0p, Qilin, Play, Space Bears, TheGentlemen, BravoX, Krybit e l’esordiente Majinahanashi). Questo picco di attacchi ransomware (rappresentando il 5% del totale mondiale di quel periodo) è stato probabilmente alimentato dalla disponibilità di nuovi exploit per strumenti di gestione remota (RMM).

Il settore manifatturiero italiano resta il bersaglio primario del ransomware, rappresentando il 39,9% delle vittime totali di ransomware. Geograficamente, il Nord-Ovest concentra il 42,6% delle vittime nazionali, spinto dall’alta densità industriale di Lombardia (45 vittime) e della provincia di Milano (22 vittime). La scarsa tolleranza al fermo macchina e la ridotta segmentazione delle reti industriali (OT) rendono le fabbriche il target economicamente più remunerativo per le estorsioni. Oltre al bersaglio industriale, i gruppi ransomware stanno colpendo realtà con dati ad altissima sensibilità sociale. Tra i casi rilevanti figurano l’attacco di TheGentlemen alle ACLI (con il rischio di esporre dati previdenziali e fiscali di lavoratori e pensionati)  e la rivendicazione di Majinahanashi contro lo Studio Radiologico C.D.A. in Puglia, con il potenziale furto di referti e immagini diagnostiche.

L’accelerazione tramite “Frontier AI”

Il volume di nuove vulnerabilità CVE è cresciuto del 54% nel primo semestre 2026. Gli analisti attribuiscono questa accelerazione all’uso massivo di modelli di intelligenza artificiale di frontiera da parte degli aggressori per:

1. Analisi automatizzata del codice per individuare falle.
2. Generazione rapida di Proof of Concept (PoC).
3. Riduzione dei tempi tra la scoperta di una vulnerabilità e il suo sfruttamento reale.

A luglio l’incremento è proseguito con altre 9.919 nuove CVE. Questo incremento esponenziale viene ricondotto dall’ACN all’uso crescente di modelli di Frontier AI (Intelligenza Artificiale di frontiera) sia nella ricerca automatizzata delle falle nel codice sorgente, sia nella generazione rapida di Proof of Concept (PoC) per lo sfruttamento delle stesse. I punti di ingresso più sfruttati confermano la costante vulnerabilità del perimetro umano ed enterprise. I vettori principali rimangono le campagne e-mail malevole, il phishing/spear phishing, il furto di credenziali e l’esposizione di servizi remoti o VPN non protetti. L’Agenzia ribadisce che gran parte delle intrusioni non sfrutta solo debolezze tecniche, ma fa leva su comportamenti scorretti degli utenti (mancato uso di autenticazione forte, riutilizzo delle password, gestione tardiva di account compromessi). Assume inoltre crescente rilevanza la minaccia lungo la supply chain, in cui le debolezze di sicurezza dei fornitori IT si propagano a cascata sui clienti.

Le contromisure raccomandate dal CSIRT

Di fronte a una minaccia che si muove in tempi di ore anziché di mesi, l’ACN ha intensificato l’attività proattiva inviando oltre 12.000 comunicazioni dirette nel primo semestre. Le raccomandazioni tecniche cardine per le organizzazioni italiane includono:

1. Patching ultra-rapido: applicare i correttivi di sicurezza per le vulnerabilità note e sfruttate (catalogo KEV) entro 48-72 ore dalla pubblicazione, specialmente se riguardano strumenti di accesso remoto o piattaforme di gestione IT.
2. Segmentazione di rete: separare rigorosamente la rete aziendale (IT) da quella industriale e di produzione (OT).

3. Gestione identità: implementare meccanismi di autenticazione robusta e monitoraggio degli accessi anomali, specialmente per account amministrativi e RMM di terze parti.

1. Backup offline e immutabili: testare periodicamente procedure di ripristino reali.
2. Trasparenza: ridurre il divario temporale tra il rilevamento di un incidente e la sua notifica alle autorità (evitando ritardi reputazionali dannosi per l’intera supply chain).