Il panorama del cybercrime è sempre più articolato e rappresenta una minaccia strutturale per aziende, istituzioni e cittadini.
A rendere lo scenario ancora più complesso contribuisce l’intelligenza artificiale, che permette ai criminali di realizzare comunicazioni fraudolente più credibili, utilizzare deepfake e amplificare l’efficacia delle proprie attività.
Gli esperti distinguono cinque grandi categorie: hacktivisti, gruppi ransomware, specialisti in doxxing e swatting, unità informatiche legate agli Stati e intermediari che forniscono strumenti e servizi alla criminalità digitale.
Hacktivisti, la guerra informatica diventa geopolitica
Gli hacktivisti agiscono principalmente per motivazioni politiche e ideologiche. Negli ultimi anni le loro attività sono passate dalle campagne dimostrative alle operazioni di disturbo geopolitico contro istituzioni e infrastrutture digitali.
Tra i gruppi più attivi contro l’Italia figura NoName057(16), di origine russa. Nel 2025 gli analisti gli hanno attribuito circa il 48% delle attività di hacktivism registrate nel nostro Paese. Il collettivo ha colpito ripetutamente siti istituzionali e collaborato con organizzazioni come Cyber Army Russia Reborn e Z-Pentest.
Carr, comparso nel 2022, è noto anche per operazioni di intrusione e manipolazione dei dati. Secondo alcuni analisti avrebbe ricevuto sostegno dall’intelligence militare russa.
Z-Pentest si concentra invece sulle intrusioni e sulla diffusione di informazioni sottratte. Tra gli altri gruppi figurano SiegedSec, sciolto nel luglio 2024, IT Army of Ukraine e Distributed Denial of Secrets, collettivo che ha pubblicato oltre 12 terabyte di documenti e comunicazioni riservate russe.
Da segnalare anche Cyber Partisans e Silent Crow, protagonisti di operazioni contro obiettivi bielorussi e russi, tra cui l’attacco alle Ferrovie bielorusse e quello contro Aeroflot nel luglio 2025.
Doxxing e swatting, quando il bersaglio diventa la persona
Una parte della criminalità informatica punta direttamente a intimidire le vittime. Il doxxing consiste nella diffusione online di informazioni personali, mentre lo swatting utilizza false segnalazioni di emergenza per provocare interventi delle forze dell’ordine.
Il fenomeno coinvolge spesso gruppi composti da adolescenti. Tra i più pericolosi figura 764, parte dell’ecosistema criminale The Comms. I suoi membri prendono di mira soprattutto minori vulnerabili attraverso piattaforme di messaggistica e videogiochi, ricorrendo a ricatti, intimidazioni e sfruttamento.
Tra le organizzazioni più conosciute figurano anche LAPSUS$, ShinyHunters e Scattered Spider, coinvolte in furti di dati e attacchi contro aziende internazionali come Nvidia, Samsung, Microsoft, Uber e Rockstar Games.
Nel 2022 Scattered Spider riuscì a compromettere i sistemi di Mgm Resorts, provocando gravi disservizi nelle strutture della catena alberghiera.
Un altro nome è KillSec, nato come collettivo hacktivista e successivamente trasformato in gruppo mercenario. Il 30 settembre 2026 è stato smantellato nell’ambito dell’operazione internazionale Operation KillSwitch, coordinata da Europol ed Eurojust.
Ransomware, i gruppi criminali che colpiscono aziende e istituzioni
I gruppi ransomware rappresentano una delle minacce più gravi per il tessuto economico. Le loro attività puntano a bloccare i sistemi informatici delle vittime e a ottenere riscatti, spesso accompagnando le richieste con la minaccia di pubblicare i dati sottratti.
Secondo il rapporto TIM 2026, nel 2025 sono stati rivendicati in Italia 166 attacchi ransomware, con un aumento del 14% rispetto all’anno precedente. Il rapporto Zscaler ThreatLabz colloca il nostro Paese al quinto posto mondiale per numero di organizzazioni colpite. Nel primo semestre 2026 risultano coinvolte altre 148 aziende ed enti italiani.
Tra i gruppi più attivi figura LockBit, responsabile secondo l’Agenzia per la cybersicurezza nazionale dell’attacco dell’8 dicembre 2023 contro la Pubblica amministrazione digitale, che provocò disservizi in 540 Comuni e oltre 700 enti. Il gruppo ha rivendicato anche attacchi contro Sogei, Agenzia delle Entrate, Asl Napoli 3 e Acquedotto Pugliese.
Vice Society, successivamente confluito nel cartello Rhysida, è noto per l’attacco al Comune di Palermo del 2022. L’incursione bloccò per oltre tre settimane diversi servizi comunali, compresi quelli anagrafici e la gestione della ZTL.
Tra gli altri protagonisti c’è Qilin, che nel primo semestre 2026 ha rivendicato 21 vittime in Italia, tra cui Retelit e Coop Italia. The Gentlemen, nato nel luglio 2025 da una scissione interna a Qilin, avrebbe invece colpito circa 300 vittime in tre mesi.
Infine Everest, uno dei gruppi più longevi, ha rivendicato attacchi contro la Siae e la Galleria del Brennero, dalla quale avrebbe sottratto circa 812 gigabyte di dati.
Cybercrime, il mercato nero degli accessi e dei malware
Dietro gli attacchi esiste una vera e propria filiera criminale. Gli Initial Access Broker (IAB) vendono accessi alle reti aziendali, mentre altri operatori sviluppano malware, gestiscono forum clandestini e forniscono servizi utilizzati dai gruppi ransomware.
Secondo i rapporti di threat intelligence (Intelligence sulle minacce informatiche/cyber, ndr), l’Italia rappresenta il secondo Paese per numero di annunci relativi alla vendita di accessi informatici, con una quota del 7%.
Un’altra minaccia arriva dagli infostealer, software malevoli che sottraggono password, cookie e informazioni finanziarie. Tra quelli maggiormente utilizzati in Italia figurano Vidar, AgentTesla e FormBook.
I gruppi APT, lo spionaggio informatico degli Stati
Accanto alla criminalità organizzata operano le unità APT, gruppi legati agli apparati statali e specializzati nello spionaggio, nella raccolta di informazioni strategiche e nel sabotaggio delle infrastrutture.
Tra i più conosciuti c’è Fancy Bear, associato all’intelligence militare russa. Al gruppo vengono attribuiti l’attacco al Bundestag tedesco del 2015 e l’intrusione contro il Democratic National Committee statunitense nel 2016.
Sempre alla Russia viene collegato Sandworm, specializzato in sabotaggio informatico. Gli analisti gli attribuiscono i blackout elettrici in Ucraina del 2015 e 2016 e la diffusione di NotPetya, che provocò danni economici superiori a 10 miliardi di dollari.
APT29, conosciuto anche come Cozy Bear, è invece associato ai servizi segreti esteri russi. Il gruppo è ritenuto responsabile dell’attacco SolarWinds del 2020, che compromise decine di agenzie governative e grandi aziende.
Tra i gruppi collegati alla Cina figura Volt Typhoon, accusato dagli Stati Uniti di infiltrarsi nelle infrastrutture critiche occidentali. Pechino ha respinto le accuse.
Lazarus Group rappresenta invece una delle principali organizzazioni informatiche attribuite alla Corea del Nord. È noto soprattutto per le operazioni finanziarie e i furti di criptovalute, con sottrazioni stimate in miliardi di dollari.
Tra i gruppi legati all’Iran figurano Charming Kitten, specializzato nello spionaggio, CyberAv3ngers, associato agli attacchi contro infrastrutture industriali, e OilRig, attivo soprattutto contro settori strategici ed energetici.
Infine Predatory Sparrow, ritenuto dagli analisti collegato all’intelligence israeliana, ha rivendicato operazioni contro obiettivi iraniani, tra cui la banca statale Bank Sepah e l’exchange di criptovalute Nobitex.
Cybercrime, una minaccia globale che riguarda anche l’Italia
Il panorama del cybercrime dimostra quanto siano ormai intrecciati criminalità informatica, interessi economici e strategie geopolitiche. Le organizzazioni collaborano, condividono risorse e cambiano continuamente identità e modalità operative.
Per l’Italia il rischio riguarda soprattutto pubbliche amministrazioni, aziende, strutture sanitarie e infrastrutture strategiche. La crescente diffusione dell’intelligenza artificiale e la dipendenza dai servizi digitali rendono la cybersicurezza una questione sempre più centrale per la sicurezza nazionale.
