Rapporto CSIRT Italia H1 2026: Aumento Eventi Cyber e Impatto NIS2

Contesto

Il primo semestre del 2026 ha visto un aumento del 47% negli eventi cyber rispetto al primo semestre del 2025, passando da 1.474 a 2.171. Questo incremento è attribuito prevalentemente a oltre 1.000 notifiche NIS ricevute e gestite dal CSIRT Italia, e non riflette necessariamente un aumento reale della minaccia. Degli eventi totali, 1.072 sono stati classificati come incidenti con impatto confermato, mentre 1.099 sono stati eventi senza impatto confermato, in diminuzione del 6% rispetto ai 1.164 del 2025.
Le minacce ricorrenti nel semestre includono DDoS, esposizione dati, phishing, compromissioni di caselle di posta elettronica, abuso di credenziali valide e sfruttamento di vulnerabilità note. Rispetto al primo semestre 2025, si è osservato un aumento delle minacce legate alla compromissione di credenziali, all'esposizione di dati e allo sfruttamento di vulnerabilità, mentre DDoS, ransomware e misconfiguration sono risultati in flessione.
I settori maggiormente interessati da eventi cyber nel primo semestre 2026 sono stati Manifatturiero, Tecnologico e Sanitario. La Pubblica amministrazione centrale e locale è risultata meno interessata rispetto al 2025. Sono stati registrati 181 ransomware a danno di soggetti italiani (in diminuzione del 12% rispetto ai 206 del 2025), con i settori più colpiti Manifatturiero, Vendita al dettaglio e Tecnologico. I principali fattori abilitanti i ransomware sono l'utilizzo di credenziali valide compromesse, lo sfruttamento di servizi di accesso remoto o VPN non adeguatamente configurati o protetti, e lo sfruttamento di vulnerabilità note e servizi esposti.
Le campagne DDoS, spesso di natura hacktivista, hanno visto 407 incidenti (in diminuzione del 32% rispetto al 2025). Un picco si è avuto a febbraio, in concomitanza con i Giochi Olimpici Invernali Milano Cortina 2026, con gruppi filorussi che hanno interessato strutture ricettive, PA e trasporti. A maggio e giugno sono riprese campagne hacktiviste contro soggetti italiani, con impatti misurabili in circa 20 occasioni.
CSIRT Italia ha monitorato esposizioni di servizi remoti, interfacce amministrative e sistemi non aggiornati, individuando vulnerabilità in prodotti ampiamente utilizzati come Fortinet, Citrix, Cisco, Microsoft SharePoint ed Exchange, PostgreSQL, SolarWinds, Apache, N8n, Ubiquiti, Exim, Palo Alto, SAP NetWeaver, Roundcube. Nel periodo, ha inviato 7.634 comunicazioni di allertamento preventivo ai sensi dell'Art. 2 comma 1 della Legge n. 90/2024, identificando complessivamente 24.303 asset e servizi a rischio e 1.560 asset potenzialmente compromessi. I punti d'ingresso più frequenti sono stati campagne via e-mail, credenziali valide precedentemente compromesse, phishing e social engineering.

Perché conta

Il significativo aumento delle notifiche cyber, imputabile all'entrata a regime degli obblighi NIS2, evidenzia l'importanza di adeguare i processi interni di rilevamento e segnalazione per tutte le organizzazioni ricadenti nel perimetro della direttiva. Le ricorrenti minacce come l'esposizione di dati e la compromissione di credenziali pongono un rischio diretto di violazioni di dati personali, con conseguenti obblighi di notifica al Garante e agli interessati, e potenziali sanzioni ai sensi del GDPR. L'impatto di ransomware e DDoS sulla continuità operativa delle vittime, specialmente nei settori manifatturiero, tecnologico e sanitario, sottolinea la necessità di implementare controlli robusti per la resilienza e il ripristino, in linea con i principi di un Sistema di Gestione per la Sicurezza delle Informazioni basato su ISO/IEC 27001. La propagazione degli effetti di incidenti che coinvolgono fornitori di servizi IT lungo la filiera impone inoltre una maggiore attenzione alla sicurezza della supply chain, aspetto cruciale sia per la Direttiva NIS2 che per la gestione del rischio secondo ISO/IEC 27001 e il GDPR.

Cosa fare

• Verificare la corretta configurazione e protezione dei servizi di accesso remoto e VPN.
• Implementare un processo rigoroso di patch management per le vulnerabilità note e gli aggiornamenti di sistema.
• Adottare soluzioni di gestione delle credenziali forti e autenticazione a più fattori per prevenire l'abuso di credenziali compromesse.
• Formare il personale sulle minacce di phishing e social engineering per ridurre la superficie di attacco via e-mail.
• Monitorare attivamente esposizioni di servizi remoti, interfacce amministrative e asset potenzialmente compromessi.
• Predisporre procedure di notifica degli incidenti conformi agli obblighi previsti dalla Direttiva NIS2.

Cosa evitare

• Utilizzare credenziali valide precedentemente compromesse per l'accesso a sistemi critici.
• Mantenere servizi di accesso remoto o VPN non adeguatamente configurati o protetti.
• Ignorare l'aggiornamento dei sistemi e la gestione delle vulnerabilità note.
• Esporre interfacce amministrative o piattaforme di gestione senza adeguata protezione.

Implicazioni pratiche

Il rapporto del CSIRT Italia evidenzia un panorama di minacce persistenti, con una maggiore visibilità degli incidenti dovuta all'entrata in vigore degli obblighi NIS2. Le organizzazioni devono affrontare rischi elevati legati alla compromissione delle credenziali, all'esposizione di dati e alle vulnerabilità dei sistemi. La sicurezza della supply chain è cruciale, dato che gli incidenti ai fornitori possono propagarsi. È fondamentale adottare misure proattive e reattive per proteggere dati e continuità operativa.

Azioni da fare

• Revisionare e rafforzare le politiche di gestione delle credenziali e l'implementazione dell'autenticazione a più fattori (MFA).
• Stabilire un programma di gestione delle patch e delle vulnerabilità che prioritizzi gli aggiornamenti critici.
• Conducire valutazioni di sicurezza sui servizi di accesso remoto e sulle VPN per garantirne la robustezza.
• Implementare programmi di formazione continua per i dipendenti sulle minacce di phishing e social engineering.
• Effettuare un'analisi dei rischi per la supply chain, valutando la sicurezza dei fornitori di servizi IT.
• Garantire la conformità ai requisiti di notifica degli incidenti previsti da NIS2 e GDPR.

Errori da evitare

• Non rispondere prontamente agli allertamenti del CSIRT Italia riguardo asset a rischio o compromessi.
• Sottovalutare l'importanza della protezione degli accessi remoti e delle interfacce di gestione.
• Ignorare le minacce persistenti come ransomware e DDoS, mancando di implementare piani di continuità operativa.
• Non considerare l'impatto potenziale di incidenti che coinvolgono i propri fornitori di servizi.

Domande di self-assessment

• La nostra organizzazione ha implementato un sistema per gestire efficacemente le notifiche di incidenti secondo la Direttiva NIS2?
• Come gestiamo e proteggiamo le credenziali di accesso, in particolare quelle privilegiate e per l'accesso remoto?
• Qual è il nostro processo per identificare, valutare e mitigare le vulnerabilità note nei nostri sistemi e software?
• Abbiamo una chiara comprensione dei rischi cyber associati alla nostra catena di fornitura e dei controlli messi in atto dai nostri fornitori?
• Siamo preparati ad affrontare un attacco ransomware o DDoS, garantendo la continuità operativa e il ripristino dei servizi?

Riferimenti

Normativa nazionale: Direttiva NIS2 · Legge n. 90/2024 Art. 2 comma 1 · GDPR · ISO/IEC 27001