Il rischio cyber per le imprese italiane cambia composizione: meno azioni dimostrative, più criminalità orientata al profitto. Nel primo semestre 2026 Clusit censisce 245 incidenti noti di particolare gravità in Italia e il manifatturiero diventa il settore più colpito. Il calo rispetto ai 280 casi dello stesso periodo del 2025 convive con una maggiore quota di eventi a impatto elevato.
È il passaggio decisivo del Rapporto Clusit 2026, aggiornamento di ottobre, presentato il 28 ottobre al Security Summit di Verona. A livello mondiale i casi raggiungono quota 4.911, record semestrale della rilevazione.
Per chi governa la sicurezza aziendale, il dato italiano sposta l’attenzione sulla capacità di mantenere e ripristinare le attività: il peso relativo del Paese scende, ma la pressione sulle imprese produttive resta evidente.
Indice degli argomenti
Rapporto Clusit 2026: che cosa dicono i 245 incidenti italiani
I 245 episodi italiani sono circa il 12,5% in meno rispetto al primo semestre 2025, ma quasi l’8% in più dei 227 del semestre successivo. Il confronto corretto restituisce quindi due movimenti distinti: una riduzione rispetto al picco di un anno prima e una ripresa rispetto alla seconda metà del 2025.
La quota sul totale mondiale si attesta al 5% anche perché il campione globale cresce molto più rapidamente.
Incidenti noti: Italia e mondo a confronto
| Periodo | Italia | Mondo |
|---|---|---|
| I semestre 2025 | 280 | 2.873 |
| II semestre 2025 | 227 | 2.392 |
| I semestre 2026 | 245 | 4.911 |
Fonte: Clusit, Rapporto 2026 – aggiornamento ottobre 2026. Incidenti cyber di particolare gravità rilevati da fonti aperte; pp. 16 e 22.
Questi numeri descrivono incidenti riusciti e diventati di pubblico dominio, con conseguenze significative sul piano economico, tecnologico, legale o reputazionale.
La ricerca usa fonti aperte: misura le tendenze della parte osservabile del fenomeno, mentre una quota di compromissioni resta fuori dalla conoscenza pubblica. La diminuzione dei casi censiti, da sola, offre dunque una lettura incompleta dell’esposizione delle aziende.
Il cybercrime torna dominante e cresce la quota di impatti elevati
Per capire che cosa cambia occorre guardare alle motivazioni. Il cybercrime rappresenta circa l’82% del campione italiano; l’hacktivism, cioè l’attività offensiva con finalità politiche o ideologiche, scende al 17%, contro il 38,7% dell’intero 2025. Diminuisce il peso degli attacchi dimostrativi e torna prevalente la criminalità che mira a ottenere un ritorno economico dalla compromissione delle vittime.
La trasformazione si riflette nella gravità. Circa il 57% degli incidenti italiani ha impatto elevato, il 35% medio o basso e l’8% critico. Per le aziende, questo rende particolarmente rilevanti le misure che limitano la propagazione dell’attacco e consentono di recuperare i servizi.
È la direzione richiamata da Anna Vaccarelli, presidente di Clusit, quando invita a considerare la cyber security «il fondamento della continuità operativa».
Il manifatturiero è il primo bersaglio: il rischio attraversa IT e produzione
La conseguenza più concreta per il sistema produttivo emerge dalla distribuzione delle vittime. Il manifatturiero raccoglie il 18,4% degli incidenti italiani: 45 casi su 245. A livello mondiale il settore conta 267 episodi ed è ottavo in classifica. Le vittime italiane pesano quindi per circa il 17% dei casi manifatturieri globali, una concentrazione ben superiore al 5% italiano sul totale degli incidenti di tutti i settori.
Subito dopo la manifattura compaiono le campagne contro obiettivi multipli, che interessano più settori. La crescita del comparto informatico e delle telecomunicazioni, all’8,6% del campione italiano, richiama invece il rischio di dipendenza dai fornitori: un incidente su un servizio digitale condiviso può ripercuotersi su più clienti.
La classifica seguente mostra le prime cinque categorie, senza esaurire l’intero campione.
Per una fabbrica, l’interruzione può originarsi anche nei sistemi informatici che sostengono la produzione. Se diventano indisponibili ordini, pianificazione, identità digitali o servizi logistici, la continuità dei macchinari può non bastare a mantenere il flusso produttivo.
È per questo che la valutazione del rischio deve ricostruire le dipendenze tra Information Technology (IT), tecnologie operative (OT) e servizi esterni, individuando quali indisponibilità possono fermare la consegna del prodotto.
La fotografia OT: gli accessi protetti convivono con processi ancora incompleti
Il rapporto offre un riscontro sulle difficoltà di governare queste dipendenze attraverso l’Assessment Cybersecurity OT delle Women for Security: 75 organizzazioni hanno risposto a 60 domande in 17 aree tematiche.
L’indagine descrive le imprese partecipanti, con livelli di maturità disomogenei. Il divario più interessante è tra la diffusione di alcune protezioni e la gestione continuativa del ciclo di vita dei sistemi.
Sicurezza OT: alcuni controlli dichiarati dalle organizzazioni
| Controllo | Quota del campione |
|---|---|
| VPN per gli accessi remoti OT | 80% |
| Segmentazione degli asset collegati a cloud o web | 73% |
| Vulnerability assessment periodico sugli asset OT critici | 27% |
| Policy per il ciclo di vita degli asset OT | 25% |
| Test di nuovi macchinari o modifiche in ambiente separato | 25% |
| Aggiornamenti software e del sistema operativo validati estesi ai dispositivi OT/SCADA | 21% |
Fonte: Clusit, Rapporto 2026 – aggiornamento ottobre 2026. Assessment Cybersecurity OT, Women for Security: 75 organizzazioni, 60 domande, 17 aree; pp. 116–117. Percentuali riferite alle risposte del campione, arrotondate come nella fonte.
Una VPN protegge il collegamento remoto, ma la gestione dell’accesso richiede anche identità individuali, privilegi limitati e tracciabilità delle sessioni. Come priorità operativa, conviene verificare chi può raggiungere gli impianti, per quali attività e per quanto tempo.
Gli aggiornamenti OT richiedono invece validazione e finestre compatibili con il processo: dove il rilascio deve attendere, segmentazione e restrizione delle comunicazioni possono contribuire a ridurre l’esposizione.
Le responsabilità devono essere concordate tra sicurezza, IT, produzione e manutentori.
Malware e phishing: le priorità della difesa italiana
Questa attenzione agli accessi trova riscontro anche nelle tecniche censite. In Italia il malware rappresenta il 43% degli incidenti, contro il 22,7% dell’intero 2025; phishing e ingegneria sociale pesano per il 17%.
Gli attacchi DDoS, che saturano un servizio per renderlo irraggiungibile, scendono dal 38,5% del 2025 al 17% del primo semestre 2026, coerentemente con il ridimensionamento dell’hacktivism. Per un ulteriore 20% dei casi la tecnica resta sconosciuta alle fonti pubbliche.
Il malware torna così al centro della difesa, insieme al controllo degli account e delle postazioni. Sul piano operativo, sono prioritari autenticazione multifattore resistente al phishing per gli accessi più esposti, riduzione dei privilegi amministrativi e capacità di rilevare e contenere comportamenti anomali.
Le copie di sicurezza devono essere protette dalla compromissione delle credenziali usate nell’operatività ordinaria e sottoposte a prove di ripristino: è il recupero verificato a indicare se un servizio può tornare disponibile nei tempi richiesti.
Il rischio dei fornitori aggiunge una domanda: quali attività restano possibili se il servizio esterno si ferma? La risposta richiede di identificare dipendenze critiche, tempi di recupero concordati e procedure alternative.
La sola valutazione documentale del fornitore lascia aperto il problema operativo se l’azienda non ha verificato come lavorare durante la sua indisponibilità.
Il record mondiale e il paradosso della trasparenza
Il cambiamento italiano si inserisce in un’accelerazione globale. I 4.911 incidenti del primo semestre 2026 superano del 71% i 2.873 dello stesso periodo del 2025 e del 105% i 2.392 del semestre precedente. In sei mesi è già stato raggiunto circa il 93% dei 5.265 casi dell’intero 2025. Il cybercrime genera 4.683 episodi, pari al 95,4% del totale mondiale.
Per interpretare l’aumento è però determinante un secondo dato: crescono i casi con tecnica non pubblicamente identificabile. Passano da 943 a 3.321 tra il primo semestre 2025 e il primo semestre 2026. Nello stesso confronto, i casi con tecnica nota scendono da 1.930 a 1.590. L’intero incremento netto del campione si concentra quindi nella componente meno trasparente.
Clusit descrive questo fenomeno come “paradosso della trasparenza”: gli obblighi di notifica aiutano a far emergere gli incidenti, mentre le informazioni inviate alle autorità possono restare riservate.
La conoscenza pubblica delle tecniche cresce meno della visibilità degli eventi. Il rapporto considera anche possibili difficoltà investigative e scelte di comunicazione delle vittime: il campione documenta l’aumento dei casi noti, senza isolare quanto dipenda da ciascuna di queste dinamiche.
La conseguenza per chi pianifica i controlli è concreta: le quote delle tecniche descrivono ciò che è classificabile. Una categoria poco rappresentata non autorizza a trascurare il relativo presidio.
Il recente ENISA Threat Landscape 2026, riferito agli eventi del 2025 che interessano l’Unione europea, richiama a sua volta l’importanza delle vulnerabilità e degli attacchi alle dipendenze digitali. Periodi e perimetri differenti aiutano a leggere dimensioni diverse del rischio, senza sommare le rispettive statistiche.
L’intelligenza artificiale accelera il rischio, ma non spiega il record
La minore disponibilità di dettagli impone precisione anche nel valutare il ruolo dell’intelligenza artificiale. Clusit la considera un moltiplicatore delle capacità offensive, capace di aiutare attori meno esperti e rendere più sofisticate le operazioni. Gli autori precisano però che l’AI non è ancora il fattore determinante della crescita osservata nel primo semestre 2026.
Il rapporto guarda soprattutto all’evoluzione verso l’agentic hacking: agenti software che coordinano attività offensive, adattano le azioni ai risultati e concatenano più debolezze.
È uno scenario prospettico che rende rilevante la velocità di risposta.
Per prepararsi, le aziende possono automatizzare operazioni delimitate e verificabili, come la revoca di una sessione compromessa, stabilendo in anticipo quando sia richiesta una decisione umana. Negli impianti, le azioni di contenimento devono essere valutate anche rispetto agli effetti sul processo produttivo.
Come tradurre il Rapporto Clusit in decisioni aziendali
Nel quadro italiano restano segnali favorevoli: energia e utilities riducono la quota dal 2,4% degli incidenti del 2025 all’1,2% del semestre, mentre la sanità si colloca all’ultimo posto della distribuzione nazionale. Clusit invita a verificare la stabilità di questi risultati. Il possibile contributo di difese migliori, iniziative pubbliche e normative viene proposto come interpretazione da consolidare con i dati dell’intero 2026.
Per il management, la decisione già praticabile riguarda invece la verifica delle dipendenze che possono fermare l’impresa. Un’esercitazione dovrebbe partire da un servizio indispensabile, identificare sistemi e fornitori necessari al suo funzionamento e provare il recupero con le risorse realmente disponibili.
Se il ripristino dipende da un account, un tecnico o una copia dei dati non accessibili durante la crisi, quel vincolo deve entrare nel piano degli interventi.
È su questi tempi e su queste dipendenze che la continuità operativa diventa misurabile.
Partecipa alla community