ACN: troppe aziende vivono ancora la cyber come notifica e non come governo del rischio

Il report dell’Acn di maggio 2026 ha registrato un incremento del 47% degli eventi informatici senza impatti, mentre gli incidenti sono in declino.

Nel mese scorso, CSIRT Italia ha spedito circa 400 comunicazioni di allerta su base quotidiana.

Secondo Alessandro Curioni, Presidente e fondatore di DI.GI Academy, “il report ACN di maggio 2026 è un chiaroscuro“.

“Il dato dell’Operational Summary ACN va letto senza farsi ingannare dalla superficie: più eventi non significa automaticamente più disastro, ma certamente significa più esposizione, più rumore e più pressione sul sistema Paese. Il fatto che gli incidenti calino mentre gli eventi aumentano indica una maggiore capacità di intercettazione, ma anche una verità scomoda”, commenta Sandro Sana, Ethical Hacker e membro Comitato Scientifico Cyber 4.0. Ecco quale.

Report Acn: i dati di maggio 2026

L’Operational Summary di ACN di maggio 2026 ha contato 158 incidenti, in calo del 10% rispetto ai 175 di aprile. Invece crescono gli eventi (390, +47% rispetto al mese precedente), alimentati da tentati DDoS, opportunamente mitigati e dunque privi di effetti misurabili.

“La cattiva notizia è che il radar vede meglio anche perché la NIS2 ha acceso nuove luci nella stanza. Quella buona, con prudenza, è che l’aumento della visibilità non sembra tradursi in un aumento proporzionale degli impatti”, sottolinea Curioni.

In ambito attività di monitoraggio, il CSIRT Italia ha spedito 11.917 comunicazioni di allerta a PA e aziende, segnalando l’esposizione online di dispositivi e servizi a rischio o violati, con un aumento a quadrupla cifra (+4.688) rispetto ad aprile.

Vulnerabilità significative hanno riguardato prodotti e soluzioni di ampio uso in ambito enterprise ed infrastrutturale.

“Il fatto che gli incidenti calino mentre gli eventi aumentano indica una maggiore capacità di intercettazione, ma anche una verità scomoda: molte organizzazioni stanno ancora vivendo la cyber security come notifica, non come governo del rischio“, mette in guardia Sandro Sana.

Attacchi informativi DDoS in aumento

I settori che registrano più vittime di eventi cyber sono quello tecnologico, soprattutto per l’esposizione di dati, Pubblica amministrazione locale, per attacchi DDoS, e infine manifatturiero per mail compromesse a causa del phishing soprattutto.

A maggio aumentano gli attacchi informativi DDoS di radice hacktivista con impatti in gebnere limitati ed eventi associati a compromissioni di credenziali, per lo più ottenute via phishing o social engineering.

“DDoS, esposizione dati e phishing restano il ‘trio infame’: vecchi strumenti, risultati ancora dignitosamente pessimi”, avverte Curioni.

L’esposizione o l’esfiltrazione di dati rimane uno dei fattori di rischio e mostrano impatti reputazionali e operativi. Gli incidenti alla supply chain, che coinvolgono fornitori tecnologici, dove la compromissione genera impatti a catena lungo la filiera, hanno riguardato più organizzazioni.

“Se le credenziali compromesse come al solito il vero passepartout, le 7.003 nuove CVE ricordano che le vulnerabilità non sono eccezioni, ma parte integrante dell’arredo digitale”, evidenzia Curioni.

Come mitigare i rischi

Anche a maggio la posta elettronica è il vettore di accesso iniziale. Ad essa si affianca lo sfruttamento di credenziali valide già frutto di compromessione, perché l’abuso dell’identità digitale rimane centrale nelle dinamiche di attacco sotto il microscopio del CSIRT.

Sebbene con un’incidenza inferiore, non passano di moda lo sfruttamento di vulnerabilità e l’abuso di servizi remoti esposti.

“La NIS2 sta facendo emergere ciò che prima restava sommerso, ma vedere meglio il problema non equivale ad averlo risolto“, sottolinea Sandro Sana: “Il punto vero è trasformare questi dati in decisioni: patching, monitoraggio, gestione fornitori, incident response e continuità operativa; altrimenti i report mensili diventano solo un bollettino meteorologico della minaccia: utile, ma insufficiente se nessuno costruisce il tetto”.

Infatti “la cyber sicurezza nazionale non si misura solo dagli incidenti evitati, ma dalla maturità con cui imprese e PA sanno assorbire, contenere e documentare l’impatto e qui, diciamolo chiaramente, il margine di miglioramento è ancora enorme. Chiudo con una nota sulle 3.424 comunicazioni del CSIRT su 11.984 servizi a rischio esposti su internet: Possibile che ad accorgersene sia stato soltanto il nostro CSIRT?”, conclude Alessandro Curioni.