Cybersecurity Italia 2026: Ransomware, IA e Minacce State-Sponsored
- Gli attacchi ransomware in Italia sono cresciuti del 14% nel 2025, con 166 eventi registrati.
- L'IA accelera lo sfruttamento delle vulnerabilità: il 28% delle 48.500 CVE del 2025 è stato colpito entro 24 ore.
- Il settore Government è il bersaglio principale, assorbendo il 46% degli attacchi DDoS.
- Cresce la tecnica 'living off the land', che utilizza software legittimi per eludere le difese.
Il 9 giugno 2026, presso la Camera dei Deputati di Roma, è stata presentata la seconda edizione del Cyber Security Report – Analisi delle Minacce ed Evoluzione dello Scenario. Il documento, prodotto dalla Cyber Security Foundation e da TIM con il supporto del TIM Research Centre e gli approfondimenti di Insikt Group (unità di Threat Intelligence di Recorded Future), traccia un perimetro di rischio che non è più solo tecnico, ma profondamente geopolitico.
48.500 vulnerabilità e la corsa contro il tempo
Il dato che definisce l'urgenza dell'attuale scenario è 48.500. Questo è il numero di nuove CVE (Common Vulnerabilities and Exposures) pubblicate nel corso del 2025. Se in passato il tempo tra la scoperta di una falla e il suo sfruttamento permetteva alle aziende di applicare le patch di sicurezza, oggi questa finestra temporale si è drasticamente ridotta.
Il rapporto evidenzia che il 28% di queste vulnerabilità è stato sfruttato attivamente entro le prime 24 ore dalla divulgazione pubblica. Per un imprenditore, questo significa che la gestione del rischio non può più basarsi su cicli di aggiornamento mensili o trimestrali, ma richiede una capacità di risposta quasi istantanea.
Analisi strategica: La velocità di exploit indica che gli attaccanti utilizzano sistemi di scansione automatizzati che monitorano i database delle CVE in tempo reale. La difesa non può più essere reattiva; l'unica strategia sostenibile è l'adozione di sistemi di difesa proattiva e l'automazione del patching, poiché l'errore umano nel tempo di risposta è diventato il principale vettore di ingresso.
Perché l'IA ha reso i criminali più veloci
L'intelligenza artificiale agisce come un moltiplicatore di forza. Secondo il comunicato ufficiale di TIM, l'IA accelera le minacce rendendole più scalabili. Non si tratta solo di scrivere codice malevolo più velocemente, ma di ottimizzare l'intera catena dell'attacco.
A livello globale, le rivendicazioni di ransomware hanno superato quota 7.400 nel 2025, segnando un balzo del 42% rispetto all'anno precedente. In Italia, l'incremento è stato del 14%, con 166 attacchi registrati. Questa crescita è alimentata dalla capacità dell'IA di personalizzare le esche per il phishing e di identificare automaticamente i punti deboli nelle infrastrutture target.
Tuttavia, l'IA non è un'arma a senso unico. Il report sottolinea come essa offra contemporaneamente nuove capacità per l'analisi e la difesa. La sfida per le imprese del 2026 è dunque una gara di velocità tra IA offensive e IA difensive.
Il Governo è il bersaglio preferito
L'analisi dei flussi di attacco rivela una concentrazione preoccupante verso le istituzioni. Il 46% degli eventi DDoS che colpiscono imprese e istituzioni in Italia riguarda il settore Government. Questo dato si sposa con le evidenze della Relazione Annuale sulla Politica dell’Informazione per la Sicurezza 2025, che indica come le amministrazioni centrali dello Stato costituiscano il 75% degli obiettivi pubblici, con un aumento di 10 punti percentuali rispetto all'anno precedente.
Il motivo di tale focus risiede nella natura strategica dei dati gestiti e nella loro utilità per operazioni di spionaggio o destabilizzazione. La distribuzione degli attacchi è quasi paritaria tra target pubblici (50%) e privati (49%). Nel settore privato, l'interesse si concentra su:
- Infrastrutture digitali e servizi IT (14%)
- Energia (12%)
- Trasporti (11%)
- Telecomunicazioni (5%)
Oltre il 50% dell'attività di sfruttamento risulta riconducibile ad attori state-sponsored. Queste operazioni, classificate come Advanced Persistent Threats (APT), sono descritte come 'particolarmente mirate e persistenti'. Nel 2024, gli attacchi APT contro obiettivi italiani sono aumentati di 12 punti percentuali rispetto al 2023.
Vivere sulla terra di nessuno del software legittimo
Una delle evoluzioni più insidiose riguarda le tecniche di infiltrazione. La Relazione sulla Sicurezza Nazionale evidenzia un crescente abuso di strumenti software legittimamente presenti all'interno dei dispositivi attaccati. Questa pratica, definita 'living off the land', permette agli aggressori di mimetizzarsi perfettamente nell'ambiente di lavoro della vittima.
L'uso di software legittimi offre tre vantaggi tattici agli attaccanti: limita il traffico malevolo tra l'attaccante e la vittima, rendendo l'individuazione estremamente difficile; complica l'analisi forense, poiché non ci sono file malevoli esterni da analizzare; permette l'esecuzione di attività ostili anche a personale con limitata esperienza tecnica.
Analisi di business: Per un'azienda, questo significa che non è più sufficiente avere un antivirus che cerchi 'virus' noti. La sicurezza deve spostarsi verso l'analisi comportamentale. Se un software legittimo di amministrazione di sistema inizia a trasferire grandi quantità di dati verso un server esterno a mezzanotte, il sistema di difesa deve allertare, a prescindere dalla legittimità del software utilizzato.
La difesa delle infrastrutture critiche tra NIS2 e l'offensiva state-sponsored
L'Italia si trova al centro di una convergenza tra tensioni geopolitiche e nuovi obblighi normativi. La militarizzazione del cyberspazio da parte di attori nation-state rende le infrastrutture critiche dei bersagli primari. In questo contesto, l'implementazione della direttiva NIS2 diventa un imperativo non solo legale, ma di sopravvivenza operativa.
La pressione sugli operatori di servizi essenziali è costante. Il fatto che il 50% degli attacchi rilevati sia riconducibile a apparati governativi stranieri suggerisce che l'obiettivo non sia sempre il profitto economico (tipico del ransomware), ma il controllo o il sabotaggio di asset strategici. Per approfondire l'evoluzione di queste minacce, è possibile consultare il Rapporto TIM 2026 o i dettagli disponibili sul sito del Gruppo TIM.
Per le imprese italiane, l'integrazione tra AI Act e NIS2 impone una revisione della governance del dato. L'uso di IA per la difesa deve essere bilanciato con la conformità normativa, evitando che gli strumenti di monitoraggio diventino essi stessi vulnerabilità o violazioni della privacy.
Scenari futuri e indicatori:
1. Automazione totale dell'exploit: Se la percentuale di CVE sfruttate entro 24 ore dovesse superare il 50%, assisteremo al collasso dei modelli di patching manuale. Indicatore: Rapporto CVE/Tempo di exploit nel report 2027.
2. Spostamento verso l'Edge Computing: Con l'irrigidimento delle difese centralizzate, gli attacchi APT potrebbero spostarsi verso i dispositivi IoT industriali. Indicatore: Aumento della quota di attacchi al settore energia/trasporti oltre il 20%.
3. Standardizzazione della difesa IA: L'emergere di framework di difesa IA certificati a livello UE. Indicatore: Pubblicazione di linee guida tecniche specifiche nell'ambito dell'AI Act per la cybersecurity.
Implicazioni per l'ecosistema impresa in Italia ed Europa
L'attuale scenario impone alle imprese italiane di superare la visione della cybersecurity come costo IT per considerarla come gestione del rischio aziendale. L'allineamento alla NIS2 non deve essere un esercizio di compliance burocratica, ma l'occasione per mappare le dipendenze dalla supply chain software, specialmente a fronte della tecnica 'living off the land'. A livello europeo, l'intersezione tra AI Act e le minacce state-sponsored richiederà una cooperazione senza precedenti tra intelligence pubblica e provider di servizi digitali privati per contrastare attacchi che viaggiano a velocità algoritmica.
Domande frequenti
Qual è l'impatto dell'IA sugli attacchi informatici secondo il report?
L'IA agisce come un acceleratore che rende le minacce più scalabili e veloci, contribuendo a ridurre drasticamente il tempo tra la pubblicazione di una vulnerabilità (CVE) e il suo sfruttamento attivo.
Cosa si intende per tecnica 'living off the land'?
È l'abuso di strumenti software legittimi già presenti nei sistemi della vittima per eseguire attività malevole, rendendo l'attacco più difficile da individuare e l'analisi forense più complessa.
Quali sono i settori privati più colpiti in Italia?
I settori più colpiti sono le infrastrutture digitali e i servizi IT (14%), l'energia (12%) e i trasporti (11%).
Qual è la differenza tra ransomware e APT in termini di obiettivi?
Mentre il ransomware mira spesso all'estorsione economica (con un aumento del 14% in Italia), le APT (Advanced Persistent Threats) sono operazioni mirate e persistenti, spesso condotte da attori state-sponsored per scopi strategici o di spionaggio.
Fonti: Shattered, Gruppotim, Ictsecuritymagazine ·
glacom · IA per aziende e PMI: da dove si comincia davvero →Scrivila qui: Susanna, l assistente AI di glacom, ti risponde via email con un approfondimento gratuito.
Nessuna consulenza personalizzata (finanziaria, legale o medica): solo informazione e fonti. Email usata solo per rispondere.
oppure scrivile su: WhatsApp · Telegram · SimpleX · Delta Chat · Email
