L’Italia digitale continua a somigliare a un portone lasciato accostato: magari non entra sempre qualcuno, magari l’allarme suona in tempo, magari il danno resta limitato. Ma intanto il portone resta lì, con la serratura mezza girata e una fila di curiosi, criminali, hacktivisti e gruppi legati a Stati ostili pronti a provarci. Nel primo semestre del 2026 l’Agenzia per la cybersicurezza nazionale, attraverso il Csirt Italia, ha gestito 2.171 eventi cyber. Il dato segna un aumento del 47% rispetto allo stesso periodo del 2025. Di questi eventi, 1.072 hanno prodotto un impatto confermato.
Il numero fa impressione, anche se Acn invita a leggerlo con attenzione. L’aumento non indica automaticamente una minaccia cresciuta nella stessa proporzione. Pesa molto l’allargamento del perimetro di osservazione introdotto dalla direttiva Nis2, che ha portato più soggetti dentro il sistema delle notifiche e delle segnalazioni. In parole povere: non è detto che gli hacker siano diventati quasi una volta e mezzo più attivi. Di sicuro, però, l’Italia guarda meglio ciò che prima vedeva meno.
Più segnalazioni, più soggetti e più incidenti cyber
Nel semestre il Csirt Italia ha ricevuto 1.160 notifiche. Di queste, 953 risultano obbligatorie e 207 volontarie. Le segnalazioni arrivano da 890 soggetti diversi e 690 hanno interagito con l’Agenzia per la prima volta. È un dato importante perché racconta l’effetto concreto della nuova architettura di sicurezza nazionale: più aziende, enti e organizzazioni entrano nel radar e contribuiscono a comporre il quadro della minaccia.
Il problema, però, resta enorme. Il contesto operativo continua a vedere phishing, compromissione di caselle di posta elettronica, esposizione di dati, abuso di credenziali valide e sfruttamento di vulnerabilità note. Non scenari da film, quindi, ma la solita guerra quotidiana fatta di password deboli, software non aggiornati, configurazioni sbagliate e utenti presi all’amo con messaggi sempre più credibili.
Milano-Cortina, il picco di febbraio e gli attacchi DDoS
Il picco più significativo di attività DDoS è arrivato a febbraio, durante i Giochi Olimpici Invernali di Milano-Cortina 2026. In quel periodo gruppi hacktivisti sostenuti da Stati ostili hanno preso di mira strutture ricettive dei comprensori olimpici, amministrazioni pubbliche e operatori dei trasporti. Il bersaglio era chiaro: colpire la visibilità internazionale dell’Italia durante uno degli eventi più esposti dell’anno.
L’impatto complessivo, però, è rimasto limitato. Solo il 6% degli eventi DDoS registrati a febbraio ha provocato indisponibilità dei siti colpiti, e sempre in modo temporaneo. Non risultano furti di dati legati a quella specifica ondata. Insomma, molto rumore, qualche sito giù per poco tempo, ma nessun disastro sistemico. Una buona notizia, certo. Anche se resta il punto politico e operativo: i grandi eventi attirano attacchi e l’Italia deve ormai considerarli parte del pacchetto.
Ransomware e DDoS in calo, ma la superficie di rischio cresce
Dentro il quadro generale compaiono anche due segnali meno negativi. Gli attacchi ransomware sono scesi a 181 casi, con una riduzione del 12%. Gli attacchi DDoS sono diminuiti del 32%, passando a 407 eventi. Numeri che suggeriscono una contrazione di alcune minacce tra le più impattanti, almeno nel periodo osservato.
Ma sarebbe un errore cantare vittoria. Nel primo semestre Acn ha pubblicato 606 alert e bollettini di sicurezza, 275 in più rispetto allo stesso periodo del 2025. L’attività preventiva cresce perché cresce anche la massa dei problemi da controllare. A livello globale, nel semestre sono state censite 37.032 vulnerabilità informatiche, con un aumento del 54% rispetto al primo semestre 2025. Un fenomeno che Acn collega verosimilmente anche all’uso crescente di modelli di intelligenza artificiale nelle attività di analisi del codice e individuazione delle falle.
Asset vulnerabili e comunicazioni di allerta
Il dato più concreto riguarda gli asset e i servizi esposti a potenziali rischi: sistemi raggiungibili da Internet che, per versione del software installato o per configurazione, risultano attaccabili. Sono saliti a 24.303, con un aumento di 5.781 unità. Qui il colabrodo diventa meno metafora e più inventario tecnico.
Acn ha intensificato le attività di allertamento, inviando oltre 43.600 comunicazioni ai soggetti interessati, più del doppio rispetto allo stesso periodo del 2025. L’obiettivo è favorire interventi rapidi di mitigazione prima che una vulnerabilità diventi un incidente. Un punto incoraggiante arriva dagli asset potenzialmente compromessi, cioè sistemi sui quali emerge un comportamento associabile ad attività malevola in corso: scendono a 1.560, contro i 4.408 del primo semestre 2025, con una flessione del 64,6%.
Il bilancio, quindi, non racconta solo un Paese sotto attacco. Racconta anche un Paese che vede di più, segnala di più e interviene di più. Ma proprio perché vede di più scopre quanto sia vasta la propria superficie esposta. E nel mondo cyber questa è la regola più crudele: non basta chiudere una falla, bisogna sapere quante porte sono ancora aperte.
