Attacchi cyber in Italia: i numeri che contano nel 2026

La risposta breve: nel 2025 in Italia sono stati censiti 507 attacchi cyber gravi, il 42% in più rispetto ai 357 del 2024, secondo il Rapporto Clusit 2026. Significa che il 9,6% degli incidenti gravi mondiali colpisce un'organizzazione italiana: quasi uno su dieci. Se decidi budget e priorità, ecco i numeri che servono davvero, ognuno con la sua fonte, senza allarmismi e senza sconti.

Quanti attacchi cyber subisce l'Italia?

Il quadro di riferimento è il Rapporto Clusit 2026, che analizza gli attacchi noti, andati a buon fine e di particolare gravità avvenuti nel 2025. I numeri principali:

• Nel mondo: 5.265 attacchi gravi, +49% sul 2024, il valore più alto mai registrato dal 2011. Negli ultimi cinque anni la crescita cumulata è del 157%.
• In Italia: 507 attacchi gravi, +42% sul 2024, pari al 9,6% del totale mondiale.

Il punto che il Rapporto Clusit 2026 sottolinea è la sproporzione: l'Italia risulta un bersaglio "attraente al di là della sua dimensione economica". Subiamo una quota di attacchi molto superiore al peso del Paese nell'economia globale.

Il dato Clusit fotografa solo la punta dell'iceberg, gli incidenti pubblici e gravi. La telemetria dell'Agenzia per la Cybersicurezza Nazionale conferma la tendenza dal basso: secondo la Relazione annuale ACN nel 2025 gli eventi cyber in Italia sono cresciuti del 38% e il CSIRT Italia ha trattato 2.729 eventi, circa 227 al mese. Gli incidenti con impatto confermato sono cresciuti meno, +7%: segno che la capacità di rilevamento migliora, ma la pressione aumenta.

Chi viene colpito: quali settori sono nel mirino?

La distribuzione delle vittime in Italia nel 2025, sempre secondo il Rapporto Clusit 2026, dice molto su chi deve preoccuparsi e perché:

• Settore governativo, militare e forze dell'ordine: il più colpito, con oltre il 28% degli incidenti e una crescita del 290% in valore assoluto. La spinta arriva dall'attivismo di matrice geopolitica, cresciuto del 145% in un anno: il 64% degli attacchi attivisti censiti nel mondo ha riguardato l'Italia.
• Manifatturiero: primo settore privato, con il 12,6% degli incidenti. Il dato più significativo per chi produce: il 16% degli attacchi mondiali al manifatturiero ha riguardato realtà italiane, riflesso di un tessuto industriale ricco, distribuito e spesso con presidi IT sottodimensionati.
• Trasporti e logistica: 12% degli incidenti, con un'impennata del 134,6% anno su anno.
• Commercio: attacchi quasi raddoppiati rispetto al 2024.
• Sanità: in controtendenza in Italia, con l'1,8% degli incidenti, mentre a livello globale cresce del 19%.

C'è poi un dato che riguarda tutti, anche chi non si sente un bersaglio: a livello globale quasi un incidente su cinque colpisce obiettivi multipli (+96% sul 2024), cioè campagne indiscriminate che cercano vittime vulnerabili, non vittime interessanti. In Italia questa categoria vale il 12,4% degli incidenti. Tradotto per il mid-market: non serve avere segreti industriali per finire nella rete, basta avere una porta aperta. E il cybercrime a scopo di estorsione, che secondo Clusit muove l'89% degli incidenti globali (+55% in un anno), ragiona esattamente così: colpisce dove il ritorno è rapido, e una media impresa che non può fermarsi paga più in fretta di una multinazionale.

Come entrano gli attaccanti?

Le porte d'ingresso sono note e sono sempre le stesse tre. La Relazione annuale ACN 2025 le quantifica per l'Italia:

• Email: il 40% dei vettori iniziali rilevati. Phishing e spearphishing, oggi amplificati dall'uso dell'intelligenza artificiale, che rende i messaggi più credibili e le campagne più scalabili.
• Account validi compromessi: il 24%. Credenziali rubate o riutilizzate che permettono di entrare dalla porta principale, senza far scattare nulla.
• Sfruttamento di vulnerabilità: l'11%. Sistemi esposti e non aggiornati.

Il Rapporto Clusit 2026 conferma la tendenza: in Italia gli incidenti causati da phishing e ingegneria sociale sono cresciuti del 66% in un anno, e a livello globale lo sfruttamento di vulnerabilità è cresciuto del 65%. Anche IBM, nel report Cost of a Data Breach 2025, indica il phishing come primo vettore iniziale delle violazioni a livello globale, con il 16% dei casi. Nota a parte per il DDoS, che in Italia vale il 38,5% degli incidenti censiti da Clusit: è la tecnica preferita degli attacchi dimostrativi attivisti, fa rumore e fa notizia, ma il danno economico profondo passa quasi sempre dalle altre tre porte.

Quanto costa un attacco a un'azienda italiana?

Il riferimento più citato è IBM Cost of a Data Breach 2025: in Italia una violazione di dati costa in media 3,31 milioni di euro, in calo del 24% rispetto al 2024. Il calo è una buona notizia con un'avvertenza: nel report la differenza la fanno i tempi, chi identifica e contiene prima l'incidente spende meno. Il costo, cioè, non è fisso: è funzione della velocità di reazione. Per questo la metrica da portare in direzione non è solo "quanto costerebbe", ma quanto tempo serve per contenere un incidente (MTTR).

Attenzione anche a leggere la media come se fosse il conto finale. La media IBM riguarda la violazione di dati in sé; per un'azienda che produce o spedisce, il conto vero lo fa il fermo operativo: linee ferme, ordini bloccati, penali con i clienti. E nei casi di estorsione si aggiunge la richiesta di riscatto, con o senza pagamento. Il Rapporto Clusit 2026 aggiunge un elemento utile per calibrare il rischio senza drammatizzare: in Italia il 39% degli incidenti ha avuto impatti elevati, mentre il 52% si è fermato a gravità medio-bassa. La differenza tra i due gruppi, di nuovo, la fa quasi sempre la rapidità con cui l'attacco viene visto e fermato.

Quanto tempo passa prima di accorgersi di un attacco?

È il numero meno raccontato e più decisivo. Secondo Mandiant M-Trends 2025, il tempo mediano di permanenza di un attaccante nei sistemi prima di essere scoperto, il cosiddetto dwell time, è di 11 giorni a livello globale. E c'è un dettaglio che cambia la prospettiva: quando la scoperta avviene perché è l'attaccante stesso ad annunciarsi, tipicamente con una richiesta di riscatto, la mediana scende a 5 giorni. In altre parole: nei casi ransomware, dall'ingresso al ricatto passano in mediana cinque giorni. Chi non se ne accorge da solo in quella finestra, lo scopre dal messaggio di estorsione.

Cinque giorni includono almeno un weekend o qualche notte: esattamente le ore in cui la maggior parte delle aziende mid-market non ha nessuno che guarda. Abbiamo approfondito il tema, con i numeri per scenario, in quanto tempo serve per accorgersi di un attacco.

Cosa dice la normativa su tutto questo?

Questi numeri spiegano perché la regolazione europea ha alzato l'asticella. La direttiva NIS2, recepita in Italia con il D.Lgs 138/2024, chiede alle aziende dei settori essenziali e importanti esattamente le capacità che i dati mostrano carenti: gestione del rischio, notifica rapida degli incidenti, continuità operativa, sicurezza della supply chain. Con sanzioni fino a 10 milioni di euro o al 2% del fatturato globale per le entità essenziali, e responsabilità diretta degli organi di gestione. Non è un caso che i settori più colpiti dai dati Clusit, manifatturiero, trasporti e logistica in testa, siano in larga parte dentro il perimetro. Se vuoi capire se e come ti riguarda, parti dalla guida completa alla NIS2.

Cosa fare con questi numeri?

Se questi dati devono servire a decidere, e non a spaventare, le decisioni che ne discendono sono tre, in ordine:

1. Misura il tuo tempo di rilevamento e risposta. Il costo di un incidente è funzione della velocità con cui lo vedi e lo contieni: se oggi nessuno sa dire in quanto tempo l'azienda si accorgerebbe di un accesso anomalo, quello è il primo gap da chiudere.
2. Presidia le tre porte reali. Email, credenziali e vulnerabilità coprono i tre quarti dei vettori censiti da ACN: autenticazione a più fattori ovunque, monitoraggio degli account, ciclo di patch con priorità sulle esposizioni note.
3. Copri le ore in cui non guarda nessuno. Con una mediana di 5 giorni tra ingresso e riscatto, un presidio attivo solo in orario d'ufficio lascia all'attaccante più della metà del tempo utile. Serve rilevamento e risposta 24/7: costruito internamente o affidato a un servizio di cybersecurity gestita.

In sintesi: l'Italia concentra quasi un attacco grave su dieci a livello mondiale (Clusit 2026), si entra da email, credenziali e vulnerabilità (ACN), un breach costa in media 3,31 milioni di euro (IBM) e la finestra per accorgersene, nei casi peggiori, è di cinque giorni (Mandiant). Nessuno di questi numeri chiede panico. Tutti chiedono la stessa cosa: un tempo di reazione misurato in ore, non in settimane.