Attacchi informatici in Italia: i dati ACN di settembre 2026 e cosa insegnano

Aggiornato a novembre 2026. Gli attacchi informatici in Italia sono tornati a crescere con decisione: a settembre 2026 l'Agenzia per la Cybersicurezza Nazionale ha registrato 485 eventi cyber, contro i 309 di agosto. In questo articolo leggo i numeri dell'ultimo rapporto mensile dell'ACN con gli occhi di chi gestisce la sicurezza in azienda: quali settori sono più colpiti, da dove entrano gli attaccanti e quali controlli conviene fare subito.

I numeri del mese

Il riferimento è l'Operational Summary di settembre 2026 dell'ACN, il rapporto mensile che riassume ciò che il CSIRT Italia ha osservato e trattato. Le cifre principali, riportate anche nella sintesi di Cybersecurity360, sono queste.

Il rapporto conta 827 soggetti nazionali distinti coinvolti. La differenza tra evento e incidente è importante: l'evento è un fatto rilevante per la sicurezza, l'incidente è un evento che ha avuto un impatto confermato su sistemi, dati o servizi.

Le minacce più frequenti

Un evento può rientrare in più categorie, ma la classifica del mese è chiara. Al primo posto ci sono gli attacchi DDoS (96 casi), seguiti dalla compromissione di caselle di posta (81) e dal phishing (59). Seguono esposizione di dati (53), guasti (52) e sfruttamento di vulnerabilità (52). Il defacement dei siti web, cioè la modifica non autorizzata delle pagine, è la voce cresciuta di più rispetto alla media del semestre precedente.

Il ransomware è meno frequente in numero di eventi (24), ma resta la minaccia più grave per impatto operativo: nel mese un polo ospedaliero ha dovuto chiudere temporaneamente una sede e limitare l'attività dell'altra. Le rivendicazioni di gruppi ransomware su soggetti italiani sono state 19, contro le 49 di agosto: un calo che non va letto come un miglioramento, perché le rivendicazioni pubbliche sono solo una parte degli attacchi.

I settori più colpiti dagli attacchi informatici in Italia

Per numero di vittime guidano il settore tecnologico (118), la sanità (117) e la manifattura (112), seguiti dalla pubblica amministrazione locale (99) e dal commercio (82). La presenza della manifattura e del commercio in cima alla lista conferma ciò che vedo ogni giorno: non servono dati sensibili o grandi dimensioni per diventare un bersaglio. Basta un sistema esposto e non aggiornato, o una casella di posta con una password rubata.

Le porte d'ingresso: il dato più utile

Il passaggio del rapporto che considero più prezioso è quello sui vettori di accesso iniziale. I tre principali sono:

1. sfruttamento di vulnerabilità di sistemi esposti su internet;
2. posta elettronica, con phishing e spear phishing;
3. credenziali valide già compromesse, spesso rubate da malware che raccolgono le password salvate nei browser.

Su quest'ultimo punto il CSIRT ha individuato e allertato 253 account istituzionali compromessi. E sul primo il dato è eloquente: le vulnerabilità con sfruttamento attivo rilevato sono quasi raddoppiate in un mese, da 13 a 25.

Sono porte d'ingresso note, che si chiudono con misure note. È la parte buona della notizia.

Cinque controlli da fare questa settimana

Dalla mia esperienza di responsabile della sicurezza, questi sono i controlli che riducono di più il rischio con il minimo sforzo:

1. Inventario di ciò che è esposto. Elenca server, VPN, firewall, siti e servizi raggiungibili da internet. Non si protegge ciò che non si conosce.
2. Patch prioritarie. Applica subito gli aggiornamenti per le vulnerabilità sfruttate attivamente sui sistemi esposti; il resto segue un calendario.
3. Autenticazione a più fattori ovunque. Posta, VPN, accessi remoti e pannelli amministrativi: l'autenticazione a più fattori rende inutile buona parte delle credenziali rubate.
4. Allerta e risposta. Verifica chi riceve le comunicazioni del CSIRT, dei fornitori e dei sistemi di monitoraggio, e chi decide cosa fare quando arrivano.
5. Piano anti DDoS per i servizi critici. Se un sito o un portale è essenziale per vendere o servire i clienti, chiedi al fornitore quali protezioni sono attive.

Come leggere un rapporto ACN in azienda

Il rapporto mensile dell'ACN non è solo una statistica: è uno strumento di lavoro. Il mio consiglio è dedicargli trenta minuti al mese con chi gestisce l'IT, seguendo tre domande. Le minacce più frequenti del mese ci riguardano? Abbiamo sistemi o servizi simili a quelli colpiti? Le vulnerabilità sfruttate attivamente sono presenti nei nostri sistemi? Le risposte diventano tre azioni concrete da chiudere entro il mese successivo.

Lo stesso esercizio è utile per il consiglio di amministrazione. Riportare in una pagina i dati nazionali accanto a quelli interni, come patch applicate, accessi anomali bloccati e formazione svolta, aiuta chi decide a capire dove investire e dimostra un'attenzione costante alla gestione del rischio.

Cosa cambia per i soggetti NIS2

Il 31 ottobre 2026 è scaduto il termine per l'adozione delle misure di sicurezza di base da parte dei soggetti NIS2 in elenco dal 2025. Da ora l'attenzione si sposta sui controlli e sulla capacità di dimostrare ciò che è stato fatto. Un incidente, inoltre, non va solo gestito ma anche notificato al CSIRT Italia nei tempi previsti: ho riassunto il percorso in incidente informatico, cosa fare nelle prime 24 ore.

Cosa fare adesso

I numeri di settembre non descrivono minacce nuove, ma un ritmo più alto. Il modo migliore per reagire è chiudere le porte d'ingresso più usate: sistemi esposti non aggiornati, caselle di posta senza autenticazione a più fattori, credenziali riutilizzate. Per capire in pochi minuti dove sei, puoi usare l'autovalutazione NIS2; se ti serve un piano concreto e proporzionato, trovi il mio approccio nella pagina sul consulente NIS2.