ACN, eventi cyber a +57%: il ransomware pesa sulla continuità dei servizi

A settembre 2026 gli eventi cyber rilevati da ACN crescono del 57% rispetto ad agosto, ma il danno più concreto emerge da un attacco ransomware a un polo ospedaliero: una sede temporaneamente chiusa, l’altra costretta a limitare la gestione dei pazienti.

La ripresa dei DDoS hacktivisti e le campagne contro i siti web vulnerabili spiegano buona parte dell’aumento dei casi; la compromissione dei sistemi sanitari mostra invece dove la sicurezza informatica diventa continuità di un servizio essenziale.

L’Operational Summary di settembre 2026 dell’Agenzia per la cybersicurezza nazionale registra 485 eventi e 235 incidenti con impatto confermato. Il quadro richiede una risposta su più livelli: proteggere i servizi esposti, intervenire sulle identità compromesse e verificare che un’intrusione non possa rendere contemporaneamente indisponibili applicazioni, infrastrutture di virtualizzazione e sistemi di archiviazione.

Operational Summary ACN: che cosa cambia a settembre 2026

Gli eventi passano dai 309 di agosto a 485, con un incremento di 176. Nella serie riportata nell’edizione di settembre, gli incidenti salgono da 196 a 235: 39 in più, circa il 20%. Il mese interrompe così la relativa stabilità osservata tra luglio e agosto.

La crescita mensile si inserisce in un sistema di osservazione più ampio. Le notifiche, insieme alle informazioni da fonti aperte, commerciali e dai partner, alimentano il lavoro del CSIRT Italia, la struttura tecnico-operativa dell’Agenzia. Gli obblighi NIS2 operativi da gennaio 2026 hanno aumentato la visibilità su eventi e incidenti rispetto agli anni precedenti. ACN sottolinea che a questo ampliamento non corrisponde un aumento degli impatti, che restano allineati alla media dei mesi precedenti.

Il numero degli eventi descrive l’attività osservata: per decidere dove investire, deve essere letto insieme alla natura e alle conseguenze degli incidenti. L’andamento da marzo a settembre consente di collocare l’ultimo aumento nella sequenza dei mesi precedenti.

Anche il conteggio dei soggetti coinvolti richiede attenzione. I 485 eventi interessano 827 soggetti nazionali distinti, mentre il totale delle vittime nel rapporto è 1.036: uno stesso soggetto viene contato più volte quando compare in eventi differenti.

Un’organizzazione coinvolta in più episodi pesa, quindi, una volta nel primo indicatore e più volte nel secondo.

DDoS e defacement: il ritorno degli attacchi ai servizi esposti

A spingere l’aumento sono soprattutto i DDoS di matrice hacktivista, diretti perlopiù contro siti della pubblica amministrazione locale e imprese. Si tratta di attacchi che cercano di rendere un servizio indisponibile saturandone le risorse. Dopo l’inattività osservata tra giugno e agosto, il monitoraggio delle fonti aperte individua a settembre 39 rivendicazioni contro soggetti italiani.

La frequenza non restituisce da sola la gravità: solo nell’8,3% dei casi DDoS ACN ha accertato impatti, comunque limitati. Il gruppo filorusso autore delle rivendicazioni ha presentato gli attacchi come risposta al sostegno militare italiano all’Ucraina. È la motivazione dichiarata dagli attaccanti, che l’Agenzia riporta nel ricostruire il contesto delle campagne.

Accanto ai DDoS, le campagne di defacement, l’alterazione non autorizzata dei siti, hanno sfruttato opportunisticamente vulnerabilità di plugin e componenti dei sistemi di gestione dei contenuti, i CMS. Rispetto alla media del semestre precedente, il defacement segna l’incremento percentuale maggiore, pari al 209%. Il riferimento è la media semestrale, non il solo mese di agosto.

Le tipologie più frequenti negli eventi sono DDoS, compromissione di caselle e-mail e phishing, rispettivamente con 96, 81 e 59 rilevazioni. Il ransomware compare in 24 eventi. La distribuzione evidenzia la distanza tra frequenza e impatto operativo: minacce meno numerose possono provocare conseguenze più gravi. Le categorie possono sovrapporsi, perché uno stesso evento può essere associato a più minacce.

Per i siti esposti, le contromisure indicate da ACN comprendono aggiornamenti tempestivi di CMS ed estensioni, controllo delle modifiche a file e configurazioni e isolamento dei siti sulla stessa infrastruttura.

Quest’ultimo presidio serve a contenere la propagazione della compromissione tra siti ospitati insieme. Per i DDoS, l’Agenzia raccomanda servizi di mitigazione, un piano di risposta e ridondanza della connettività, valutando anche operatori differenti.

Ransomware nella sanità: quando l’attacco interrompe l’assistenza

Gli effetti più rilevanti di settembre riguardano un polo ospedaliero articolato su due sedi. La compromissione dell’infrastruttura virtualizzata e dei sistemi di archiviazione ha determinato la chiusura temporanea di una struttura e limitazioni nella gestione dei pazienti nell’altra.

Le analisi hanno indicato come possibile punto d’ingresso lo sfruttamento di vulnerabilità in un apparato perimetrale: il rapporto mantiene questa ricostruzione sul piano dell’ipotesi.

Il caso rende concreto il problema delle dipendenze tra servizi e infrastrutture condivise. Se più applicazioni dipendono dagli stessi sistemi di virtualizzazione e archiviazione, la loro compromissione può estendere l’indisponibilità oltre il singolo applicativo.

Per questo, ACN affianca al patching degli apparati perimetrali la gestione separata e protetta di questi ambienti, con credenziali amministrative dedicate.

Meno rivendicazioni, ma conseguenze rilevanti

Il monitoraggio delle fonti aperte rileva 19 rivendicazioni ransomware contro soggetti italiani, contro le 49 di agosto. È un indicatore delle dichiarazioni pubbliche dei gruppi criminali: alcune rivendicazioni, ricorda il rapporto, non vengono confermate dalle vittime.

Il calo va quindi letto nel proprio perimetro, insieme agli incidenti gestiti e ai loro effetti sui servizi.

Negli attacchi ransomware del mese, i settori più interessati sono tecnologico, commercio all’ingrosso e al dettaglio e manifatturiero. I punti d’ingresso ricorrenti restano vulnerabilità, credenziali già compromesse e servizi remoti.

Gli impatti accertati comprendono cifratura dei dati e indisponibilità di applicazioni e servizi: la protezione degli accessi e delle infrastrutture che ospitano i carichi di lavoro deve quindi accompagnare la capacità di ripristino.

ACN indica autenticazione a più fattori, privilegio minimo, segmentazione ed EDR/XDR, cioè strumenti di rilevamento e risposta sugli endpoint e su più fonti di sicurezza.

Sul recupero, la raccomandazione è mantenere backup separati, non alterabili e provati periodicamente. Il test di ripristino verifica che le copie possano effettivamente restituire dati e servizi utilizzabili quando l’ambiente di produzione è compromesso.

Settori e credenziali: la sanità esposta su più fronti

La sanità richiede attenzione anche oltre la continuità dei servizi, per l’esposizione delle informazioni. Considerando l’insieme degli eventi, tecnologico, sanitario e manifatturiero guidano la graduatoria con 118, 117 e 112 vittime conteggiate; seguono PA locale, con 99, e commercio, con 82.

Ogni evento può coinvolgere più soggetti e una vittima può operare in più settori: i valori descrivono i coinvolgimenti censiti.

Le esposizioni cambiano da comparto a comparto. Nel tecnologico prevalgono sfruttamento di vulnerabilità e guasti; nel sanitario l’esposizione di dati; nel manifatturiero il defacement. Sul fronte sanitario, il CSIRT Italia ha inoltre individuato sulle piattaforme di scambio illecito una raccolta di indirizzi e-mail e credenziali riferibile in maggioranza a organizzazioni del settore.

La sicurezza delle identità è anche un tema trasversale. L’analisi dei dati provenienti da malware infostealer, specializzati nella sottrazione di informazioni, ha consentito di identificare 253 account istituzionali compromessi, i cui soggetti sono stati prontamente allertati.

È un risultato distinto dalla raccolta di credenziali sanitarie: il rapporto lo presenta tra le attività di monitoraggio proattivo.

Vulnerabilità e allertamento: cresce il lavoro di selezione delle priorità

Alla protezione delle identità si affianca la gestione delle falle sfruttabili nei sistemi. A settembre il CVE Program, che assegna identificativi univoci alle vulnerabilità divulgate pubblicamente, registra 15.074 nuove CVE, 2.355 in più rispetto ad agosto. Per 341 è disponibile almeno un proof of concept, una dimostrazione tecnica dello sfruttamento; per 25 viene rilevato lo sfruttamento attivo, 12 in più rispetto ad agosto.

Il salto dai record censiti alle vulnerabilità sfruttate rende evidente il problema di selezionare le priorità di intervento. Il numero complessivo descrive il volume delle nuove segnalazioni; per un’organizzazione contano la presenza del prodotto nel proprio ambiente, l’esposizione del servizio e le evidenze di sfruttamento.

La disponibilità di una dimostrazione tecnica è un ulteriore elemento, distinto dall’osservazione di attacchi reali.

Il monitoraggio della superficie esposta individua 8.213 sistemi e servizi a rischio, 908 in meno rispetto ad agosto. Le comunicazioni complessive di allertamento crescono invece a 10.839. All’interno di questo totale, 4.460 comunicazioni riguardano i servizi a rischio esposti dai soggetti della constituency, il perimetro di organizzazioni cui il CSIRT offre supporto. Volume degli asset individuati e numero delle comunicazioni misurano attività differenti.

Vulnerabilità e allertamento: agosto e settembre a confronto

Fonte: ACN, Operational Summary settembre 2026, pp. 7–8. Le righe descrivono indicatori distinti, non sommabili.

Il ruolo dell’AI e il perimetro delle evidenze

La pressione sulle attività di analisi è uno dei punti che collegano il quadro nazionale all’evoluzione tecnologica. ACN segnala oltre 77.000 CVE nei primi nove mesi del 2026 e osserva che l’accelerazione avviene in concomitanza con il crescente uso di modelli AI di frontiera, capaci di ridurre i tempi di analisi del codice, ricerca delle vulnerabilità e generazione di proof of concept. Il rapporto non quantifica quale quota dell’aumento sia attribuibile all’AI.

Il documento dedica inoltre un capitolo allo scenario globale, comprendendo casi di uso offensivo dell’AI e comportamenti di agenti osservati in ambienti sperimentali.

Questa sezione è costruita su fonti aperte internazionali, che ACN distingue esplicitamente dalle evidenze dei propri interventi e del monitoraggio nazionale. Per leggere il rischio serve conservare la stessa distinzione tra incidenti osservati in Italia, analisi esterne e risultati di test.

Dall’Operational Summary alle decisioni di sicurezza

La necessità di tradurre le notifiche in governo del rischio era già al centro dell’analisi dell’Operational Summary di maggio. Settembre rende questa esigenza concreta su tre fronti: servizi pubblicamente esposti, identità e ripristino. Il primo comprende tanto i portali quanto gli apparati di accesso remoto; il secondo riguarda le credenziali riutilizzabili dagli attaccanti; il terzo misura la possibilità di continuare a erogare i servizi dopo una compromissione.

Le contromisure del rapporto possono diventare verifiche assegnate a responsabili precisi. La tabella riassume le evidenze operative da chiedere per valutare la loro attuazione, traducendo le raccomandazioni ACN in controlli di gestione.

Contromisure e verifiche per i responsabili della sicurezza

Fonte delle misure: ACN, Operational Summary settembre 2026, pp. 5–6. Le verifiche operative sono un’elaborazione editoriale delle raccomandazioni.

Per un CISO, la domanda decisiva riguarda i servizi che l’organizzazione riesce a mantenere o ripristinare se vengono compromessi un apparato perimetrale, un’identità amministrativa o la piattaforma di virtualizzazione.

Il caso ospedaliero mostra perché la risposta richieda prove condivise con i responsabili dei processi: occorre conoscere quali attività si fermano, quali alternative sono disponibili e come verificarne il ritorno in esercizio.