ACN, l’Agenzia per la Cybersicurezza Nazionale, ha divulgato i dati relativi allo stato della cybersecurity in Italia nella prima metà del 2026, che mostrano un incremento degli eventi cyber del 47%, con un totale di 2.171 eventi a fronte dei 1.474 registrati nel primo semestre del 2025. L’incremento non rispecchia però un proporzionale aumento degli attacchi reali nel nostro Paese, ma è l’effetto dell’entrata in vigore degli obblighi di notifica degli incidenti introdotto dalla NIS2, a partire da gennaio 2026. Obblighi che hanno quindi prodotto il positivo effetto di migliorare la visibilità sullo stato dei fenomeni cyber e sulle attività degli attaccanti in Italia. Il dato in crescita va pertanto letto nella direzione di una superiore capacità di intercettare e gestire questi fenomeni, che oggi grazie al nuovo quadro normativo emergono con maggiore tempestività e granularità.
Per tipologia di eventi registrati, ACN rimarca quindi in particolare un picco a febbraio delle campagne DDoS di natura hacktivista, in corrispondenza dell’apertura dei Giochi Olimpici Invernali Milano Cortina 2026, poi proseguite tra maggio e giugno. Questi attacchi sono stati caratterizzati prevalentemente da finalità dimostrative, senza quindi impatti di rilievo sulla continuità del servizio. Nel complesso, nella prima metà dell’anno gli attacchi DDoS rilevati sono stati 407, in diminuzione del -32% sul medesimo periodo dell’anno precedente. In decrescita sono stati anche gli attacchi ransomware, scesi del -12% con un totale di 181 attacchi registrati a danno di soggetti italiani. La minaccia ransomware si conferma tuttavia quella con il maggior impatto su continuità operativa e confidenzialità delle informazioni. In flessione sono quindi stati anche gli eventi legati a misconfiguration.
Nel semestre sono risultate ricorrenti anche altre tipologie di minaccia, tra cui phishing, esposizione di dati, compromissione delle caselle di posta elettronica, abuso di credenziali e sfruttamento di vulnerabilità note. Rispetto al primo semestre del 2025, si registra in particolare un aumento delle minacce legate alla compromissione delle credenziali, all’esposizione di dati e allo sfruttamento di vulnerabilità.
Sono stati inoltre rilevati numerosi incidenti che hanno coinvolto fornitori di servizi IT, con effetti propagatisi a cascata lungo intere filiere e interessando più organizzazioni appartenenti a settori industriali differenti. Questi attacchi, riconducibili alle dinamiche interne alle catene di fornitura, evidenziano ancora una volta l’importanza di valutare attentamente la postura di sicurezza dei fornitori in fase di selezione e durante il rapporto contrattuale. Una vulnerabilità presente nei sistemi di un fornitore rappresenta infatti un potenziale fattore di esposizione che deve essere adeguatamente considerato nella valutazione complessiva del rischio cyber dell’organizzazione.
A costituire i principali punti di ingresso per le attività malevole rilevate nella prima metà del 2026 sono state campagne fraudolente veicolate tramite posta elettronica, l’utilizzo di credenziali valide precedentemente compromesse, il phishing e, più in generale, le tecniche di social engineering. Il quadro evidenzia come gli attaccanti facciano leva non solo su vulnerabilità di natura tecnica, ma anche su comportamenti, processi e modalità di gestione delle identità digitali.
Il fattore umano continua pertanto a rivestire un ruolo centrale nella prevenzione degli attacchi. Una formazione continua e adeguata in materia di cybersecurity è essenziale per ridurre i comportamenti che possono esporre l’organizzazione alle minacce informatiche, come l’apertura di allegati o link malevoli ricevuti via e-mail, l’inserimento delle proprie credenziali su portali fraudolenti, il riutilizzo delle password per più servizi, il mancato ricorso a meccanismi di autenticazione robusta e la gestione non tempestiva degli account compromessi.
Un elemento positivo che viene evidenziato dai dati comunicati dall’ACN è infine il rafforzamento avvenuto nella capacità di prevenzione delle minacce. Il semestre è infatti stato caratterizzato da un importante aumento nel numero di nuove vulnerabilità scoperte, fenomeno riconducibile all’impiego di modelli frontier AI nelle attività di analisi del codice, nell’individuazione di vulnerabilità e generazione di Proof of Concept. CSIRT Italia nei primi sei mesi dell’anno ha in particolare individuato 24.303 asset e servizi a rischio, e 1.560 asset e servizi potenzialmente compromessi, informando tempestivamente i soggetti interessati per favorire la più rapida adozione delle necessarie misure di messa in sicurezza. Il monitoraggio attivo dell’ACN, con conseguente diramazione di comunicazioni e alert in funzione preventiva, si è in particolare concentrato su esposizioni di servizi remoti, interfacce di amministrazione e piattaforme di gestione, sistemi non aggiornati e account o asset potenzialmente compromessi. Diverse vulnerabilità sono quindi emerse, riferite a soluzioni di ampio utilizzo soprattutto in ambienti enterprise e infrastrutturali.
Alla luce dei dati divulgati dall’ACN, per le aziende resta centrale il fattore umano nella prevenzione degli attacchi informatici, insieme al rafforzamento dei controlli tecnici e delle attività di monitoraggio delle reti. Particolare attenzione deve essere dedicata alla gestione tempestiva delle vulnerabilità e ai processi e alle soluzioni per la gestione delle identità digitali. L’obiettivo deve essere quello di rendere sempre più proattiva la difesa informatica, intervenendo prima che un incidente possa produrre un danno. La conoscenza anticipata dei rischi rappresenta infatti un elemento fondamentale per individuare rapidamente le possibili minacce e intervenire tempestivamente, ad esempio prevenendo lo sfruttamento di vulnerabilità note.