Cybersecurity
News
Novembre 12, 2026
In questi giorni si parla molto in Europa degli attacchi informatici ai refrigeratori e, in generale, del fatto che l’Italia sta subendo una raffica particolarmente intensa di attacchi. Il clamore è comprensibile, ma vale la pena guardare davvero cosa dicono i numeri sul nostro Paese, con una premessa: l’Italia non ha un solo posto nelle classifiche del ransomware, ne ha cinque, e cambiano a seconda di cosa si conta.
Per fare questo ci siamo avvalsi di un report di Intel 471 dedicato all’Italia, di recente pubblicazione, e di numerose fonti di dati, disponibili pubblicamente o a pagamento, a supporto della Threat Intelligence Analysis (TIA).
Per gli accessi aziendali messi in vendita sui mercati criminali, Intel 471 ci colloca al secondo posto al mondo e al primo in Europa nel 2026, con circa il 7% del totale, contro il 30% degli Stati Uniti. Sulle vittime di ransomware ed estorsione ci mette quarti al mondo e secondi in UE, dopo la Germania, con circa il 3% delle vittime mondiali. Contemporaneamente, vari aggregatori di segnalazioni, come Ransomfeed, che raccoglie le rivendicazioni pubblicate dai gruppi criminali, ci vedono sesti nel 2025 e quinti nel 2026 (dati al 10 novembre), dietro Stati Uniti, Canada, Germania e Regno Unito, e quinti anche nel totale storico, cioè su tutti gli anni disponibili.
Non c’è contraddizione: le classifiche misurano fenomeni diversi. Un accesso iniziale (initial access) è l’ingresso nella rete di un’azienda, ottenuto con credenziali rubate o sfruttando una vulnerabilità, che un criminale rivende ad altri. Metterlo in vendita, però, non significa che qualcuno lo userà. Una rivendicazione è l’annuncio di un gruppo ransomware, non la conferma di un attacco. Per questo attribuiamo un peso del 7% al mercato degli accessi e del 3% alle vittime. Quest’ultimo dato è in linea con quello di Ransomfeed, che conferma il 3,0% di rivendicazioni nel 2026: l’Italia compare più spesso nel mercato degli accessi che tra le vittime.
Su un punto, le fonti concordano: le rivendicazioni italiane sono in crescita. Da gennaio a ottobre 2026 sono aumentate del 92% rispetto allo stesso periodo del 2025, contro il 43% a livello mondiale. Poiché i dati di ottobre sono ancora incompleti, l’aumento potrebbe però risultare sottostimato. La nostra quota sul totale mondiale passa dal 2,3% al 3,0% e, nell’UE, saliamo dal terzo al secondo posto, anche se nel 2025 la Francia ci precedeva per soli 7 casi. Ransomfeed, però, è un progetto italiano e potrebbe monitorare l’Italia più di altri paesi.
La crescita si concentra in pochi gruppi e procede a scatti
Qilin, The Gentlemen e LockBit 5.0 sono responsabili del 37% delle rivendicazioni italiane nel 2026, rispetto al 22% del 2025. The Gentlemen, in particolare, passa da 2 a 35 casi. Intel 471 attribuisce loro il 40% dell’attività ransomware in Italia: le fonti utilizzano dati diversi, ma i risultati sono compatibili tra loro. Il picco di agosto — 52 rivendicazioni secondo Ransomfeed e 49 secondo l’ACN — è attribuito dall’ACN «presumibilmente» a campagne che sfruttano vulnerabilità, il valore più alto degli ultimi dodici mesi.
Quanto alle modalità, il tema dell’opportunismo trova conferma. Secondo Intel 471, il 57% degli accessi italiani in vendita deriva da vulnerabilità sfruttate; a livello globale, invece, prevalgono le credenziali. SC Media riferisce che il 49% riguarda le infrastrutture web delle vittime. Un analista dell’azienda stima che il 90% delle offerte italiane sia «wholesale»: include dati italiani, ma non solo, perché sfrutta le vulnerabilità ovunque si presentino. L’analista attribuisce questo fenomeno alla lentezza nell’applicare gli aggiornamenti e al gran numero di versioni di PHP non più supportate: un’interpretazione plausibile, che però i dati raccolti qui non misurano.
Non è un problema solo delle grandi imprese
Tra le vittime italiane per cui è stimato il fatturato, secondo Intel 471, l’85% fattura meno di 50 milioni di dollari e il 60% meno di 10 milioni; il 46% opera nel settore manifatturiero o produce beni industriali e di consumo. Lo stesso report segnala annunci sui circuiti criminali alla ricerca di operatori telefonici madrelingua italiani: un segnale d’allarme per il vishing, cioè il social engineering condotto per telefono.
Per chi difende, la posizione in classifica vale poco: sono più utili due verifiche derivanti da quanto riportato. La prima è sapere quali applicazioni web sono accessibili da Internet e quali vulnerabilità note restano aperte. La seconda è verificare se hypervisor e backup resistono a un attaccante già presente nella rete: Intel 471 descrive infatti, per The Gentlemen, la compromissione degli host ESXi e la cancellazione dei backup Veeam, mentre l’ACN segnala, per Qilin, la cifratura selettiva di hypervisor e backup.
Fonti e limiti
- Tutte le cifre contano rivendicazioni e offerte, non attacchi riusciti; dati al 10 novembre 2026, con ottobre e novembre ancora incompleti.
- Conteggi: Ransomfeed e ransomware.live. Intel 471 (posizioni, quote, 40%, fatturato, settori, The Gentlemen): blog «Why is Italy a top target for cybercrime?» (4 novembre 2026) e pagina del report.
- Infrastrutture web: SC Media. Agosto 2026 e Qilin: ACN, Operational Summary di agosto 2026, letto tramite ICT Security Magazine
Autore:
Enrico Frumento
Cybersecurity Research Lead, Cefriel
Mauro Lomazzi
Business Line Manager Cybersecurity, Cefriel
