Cyberattacchi, in Italia aumentano gli episodi più gravi

Nel primo semestre 2026, in Italia il 57,6% degli incidenti informatici censiti ha avuto gravità alta, contro il 39,3% dell’intero 2025.

Il dato arriva dall’aggiornamento di ottobre del Rapporto Clusit e si accompagna a una riduzione della quota italiana sul totale mondiale: dal 9,5% del semestre precedente al 5%. Gli episodi registrati nel Paese sono stati 245, rispetto ai 227 degli ultimi sei mesi del 2025 e ai 280 della prima metà dello stesso anno.

La situazione italiana

Il numero nazionale è cresciuto dell’8% rispetto al semestre precedente, ma con un ritmo molto più contenuto rispetto all’aumento globale del 105%. Il ritorno della quota italiana su valori vicini a quelli del 2021 potrebbe dipendere da difese più efficaci adottate dalle organizzazioni, ma Clusit invita ad attendere i prossimi dati prima di trarre conclusioni.

La diminuzione del peso percentuale non coincide comunque con un calo della pericolosità. Gli attacchi con gravità media o bassa sono scesi al 34,7%, mentre quelli critici hanno rappresentato il 7,7%. Non sono stati rilevati episodi nella categoria di gravità estrema.

Il record degli incidenti mondiali

Nel mondo, tra gennaio e giugno 2026, sono stati conteggiati 4.911 incidenti informatici significativi. Il dato supera del 105% quello del semestre precedente e del 71% quello dei primi sei mesi del 2025; equivale inoltre al 93% di tutti gli episodi raccolti nell’intero 2025.

La media mensile è salita dai 171 casi del 2021 agli 819 del primo semestre 2026, quasi quintuplicando in cinque anni. A febbraio gli episodi erano stati 684, già più dei 511 registrati nell’aprile 2025, mentre giugno ha raggiunto quota 984, il valore mensile più elevato della serie analizzata.

Tecniche di attacco spesso ignote

Il conteggio riguarda soltanto gli incidenti diventati pubblici e ritenuti significativi per effetti economici, tecnologici, legali o reputazionali. Non rappresenta quindi la totalità delle intrusioni avvenute nel mondo, ma consente di seguire l’evoluzione della minaccia.

Su 4.911 casi, 3.321 sono stati classificati come non dichiarati: le informazioni disponibili non permettono di stabilire quale tecnica sia stata impiegata. Nel primo semestre 2025 erano 943, mentre gli episodi con modalità conosciuta sono diminuiti da 1.930 a 1.590. I casi non ricostruibili costituiscono così circa due terzi del totale.

Pubbliche amministrazioni nel mirino

Il gruppo più colpito è tornato a essere quello formato da amministrazioni pubbliche, strutture militari e forze dell’ordine, con 751 episodi, pari al 15,3% del totale. Rispetto ai 388 casi della prima metà del 2025, il dato è quasi raddoppiato.

Seguono gli attacchi rivolti contemporaneamente a organizzazioni di comparti diversi, con 690 episodi e una quota del 14,1%, in aumento del 20%. Il commercio all’ingrosso e al dettaglio ha invece registrato 467 casi, il 9,5% del totale, oltre quattro volte quelli del periodo corrispondente del 2025. Più indietro figurano i servizi ICT, con 422 episodi, e l’istruzione, con 406.

Sanità e catene digitali esposte

Nel settore sanitario gli incidenti sono stati 335, un numero quasi invariato rispetto alla prima metà del 2025. La loro gravità è però superiore alla media: il 58% è rientrato nelle categorie critica o estrema, contro il 24% del campione complessivo.

Un singolo attacco contro un fornitore tecnologico può inoltre propagarsi a molti clienti collegati, sfruttando i rapporti di dipendenza presenti nella catena di fornitura. Per questo le conseguenze possono coinvolgere numerose organizzazioni anche quando l’obiettivo iniziale è uno solo.

Il peso del profitto criminale

La motivazione economica è stata indicata per 4.683 incidenti, pari al 95,4% dei casi globali analizzati. Il numero è quasi uguale a quello raggiunto nell’intero 2025; il restante 4,6% comprende attivismo informatico, spionaggio, sabotaggio e guerra dell’informazione.

Il rapporto descrive una criminalità organizzata come un mercato di servizi: programmi dannosi e campagne offensive possono essere acquistati anche da soggetti privi di competenze avanzate. L’intelligenza artificiale potrebbe rendere queste operazioni ancora più accessibili e automatizzare attività specialistiche. Secondo Clusit, tuttavia, non è ancora il principale motore della crescita osservata nel primo semestre; il rischio futuro riguarda anche la collaborazione autonoma tra più agenti artificiali per cercare vulnerabilità e combinare tecniche diverse.