L’andamento globale delle minacce cyber nel primo semestre dell’anno evidenzia una dinamica ormai strutturale, caratterizzata da un aumento costante della frequenza e della severità degli incidenti.
Le evidenze emergono dal nuovo aggiornamento del Rapporto Clusit 2025, presentato dai membri del comitato scientifico e direttivo dell’associazione.
Tra i relatori, Sofia Scozzari, membro del Comitato Direttivo Clusit, ha illustrato i dati più rilevanti, fornendo un quadro dettagliato dell’evoluzione delle minacce e dell’impatto sul tessuto economico e istituzionale globale.
Indice degli argomenti
Un primo semestre segnato da un aumento senza precedenti
Secondo l’analisi Clusit, nella prima metà del 2025 sono stati registrati 2.755 attacchi gravi, con una crescita del 36% rispetto agli ultimi sei mesi del 2024.
La valutazione si basa esclusivamente su incidenti andati a buon fine e resi pubblici, un criterio che rende il campione particolarmente significativo in termini di danni reali.
Scozzari descrive questo scenario come «decisamente preoccupante», sottolineando come la soglia dei 2.000 attacchi, superata per la prima volta nel 2024, sia già stata largamente oltrepassata: «Ora ci stiamo avvicinando pericolosamente ai 3.000», ha affermato.
La media attuale è di 459 attacchi al mese, contro i poco più di 300 dell’anno precedente. Questo ritmo non rappresenta un semplice picco legato a contingenze specifiche, ma l’indicatore di un trend strutturale.
Il trend di attacchi informatici 2025, insomma, conferma una pressione crescente sulle infrastrutture critiche e sulle organizzazioni di ogni dimensione.
Il cyber crime resta il motore principale: l’87% degli attacchi
La motivazione economica continua a essere il fattore più comune alla base degli attacchi. Il cyber crime rappresenta l’87% del totale rilevato. Il suo peso rimane stabilmente dominante e consolida una tendenza ormai consolidata negli ultimi anni, spinta da gruppi sempre più organizzati e da modelli criminali che operano con logiche industriali.
Le altre categorie – espionage, sabotage e information warfare – mantengono una quota più contenuta, come evidenzia Scozzari: «Per loro stessa natura non diventano di pubblico dominio». Si tratta infatti di operazioni condotte da attori statali o parastatali, meno tracciabili nelle fonti aperte.
Un elemento significativo riguarda invece il ritorno dell’hacktivism, che torna a rappresentare circa il 10% del campione. L’aumento, collegato alle tensioni geopolitiche e ai conflitti in corso, rivela un rinnovato attivismo di gruppi che utilizzano il cyberspazio come leva ideologica. «Molti gruppi si schierano apertamente nei conflitti», ha spiegato Scozzari.
I settori più colpiti: sanità, industria e trasporti in prima linea
La distribuzione delle vittime evidenzia differenze rilevanti tra i vari comparti. I settori governativo, militare e di law enforcement restano tra i più colpiti, così come l’area healthcare, che secondo Scozzari presenta oggi la maggiore criticità: «Protegge vite umane, e un’azione disturbante può avere implicazioni molto importanti».
Il settore sanitario, infatti, non subisce soltanto esfiltrazioni o compromissioni di dati sensibili: gli attacchi possono tradursi in disservizi con impatto diretto sulla continuità assistenziale.
In modo altrettanto significativo crescono gli incidenti che colpiscono manifatturiero e trasporti/logistica, due nodi essenziali della supply chain globale.
L’interruzione di questi servizi può propagarsi rapidamente lungo le filiere produttive, generando danni economici e operativi che si estendono ben oltre il perimetro tecnico dell’incidente.
L’Europa al centro della scena: un quarto degli attacchi globali
Sul piano geografico, il Rapporto Clusit segnala un cambiamento rilevante nella distribuzione degli incidenti: l’Europa rappresenta oggi un quarto degli attacchi globali, con una quota in aumento. Gli Stati Uniti, tradizionalmente la principale area bersaglio, scendono dal 50% al 35%, mentre l’Asia sfiora il 20%.
Il fenomeno va interpretato alla luce di due dinamiche parallele: la crescente digitalizzazione delle economie europee e un miglioramento dei sistemi di reporting e trasparenza.
Al contrario, aree come Africa e Oceania restano sotto-rappresentate nei dati, non per assenza di minacce, ma per carenza di fonti affidabili. «In molti territori africani il livello di digitalizzazione è ancora limitato e le fonti di dati sono frammentarie», ha ricordato Scozzari.
Le tecniche utilizzate: ransomware, vulnerabilità e DDoS
Dal punto di vista tecnico, un quarto degli attacchi coinvolge malware, con i ransomware che continuano a dominare per diffusione e redditività. Il modello criminale si conferma fra i più remunerativi: blocco delle infrastrutture, estorsione, minacce alla pubblicazione dei dati.
Accanto ai malware cresce lo sfruttamento di vulnerabilità, incluse quelle zero-day, particolarmente critiche poiché prive di patch o contromisure ufficiali. Allo stesso tempo si registra un aumento degli attacchi DDoS, spesso collegati all’attività hacktivista. «Il DDoS è la tecnica più usata da chi vuole dare visibilità a un messaggio politico o ideologico», ha osservato Scozzari.
Rimane inoltre significativa la quota di attacchi classificati come “undisclosed”, ovvero senza tecnica nota: un indicatore della crescente sofisticazione e complessità delle campagne.
Gravità in aumento: l’82% degli attacchi è “high” o “critical”
Uno degli aspetti più allarmanti del trend di attacchi informatici 2025 riguarda la severità. L’82% degli incidenti analizzati per il primo semestre rientra nelle categorie “high” o “critical”, contro il 77% dell’anno precedente. Gli episodi a bassa intensità risultano ormai residuali.
La dinamica non sorprende gli esperti. Come sottolinea Scozzari: «Gli attaccanti non fanno più semplici tentativi, vogliono davvero fare male. Vogliono ottenere un risultato e sono molto determinati».
Questa evoluzione testimonia un cambio di passo nelle strategie delle cyber gang, sempre più sistematiche e orientate a massimizzare l’impatto.
Dalla quantità alla qualità: una maturità criminale crescente
Il rapporto tra tipologia di attaccante e livello di impatto conferma un quadro coerente: il cyber crime domina per frequenza, mentre le operazioni di spionaggio e guerra informativa, pur meno numerose, risultano spesso devastanti.
Ancora una volta, il comparto healthcare emerge come l’ambito più vulnerabile, con incidenti capaci di paralizzare strutture e interrompere servizi essenziali.
La tendenza più evidente riguarda però la trasformazione del cybercrime in un ecosistema professionale. Le gang analizzano i target, valutano il rendimento delle operazioni, distribuiscono ruoli e responsabilità. Il trend di attacchi informatici 2025 mostra dunque non solo un aumento quantitativo, ma un salto di qualità nella preparazione tecnica e organizzativa.
Un equilibrio globale sempre più fragile
Il quadro fornito dal Rapporto Clusit 2025 evidenzia come l’aumento della frequenza sia accompagnato da una crescita parallela della severità degli impatti.
Le tecniche sono spesso le stesse – ransomware, DDoS, sfruttamento di vulnerabilità – ma gli effetti risultano più estesi e profondi.
La superficie di attacco si espande insieme alla digitalizzazione, mentre il confine tra infrastrutture critiche e servizi commerciali diventa sempre più sottile.
Il dato del +36% segna una nuova accelerazione in un trend che prosegue da oltre dieci anni.
Come ricorda Scozzari, la sfida non riguarda più soltanto la frequenza degli incidenti, ma la comprensione della loro profondità: dietro ogni cifra c’è un servizio interrotto, un sistema compromesso, una fiducia digitale incrinata.
