Dall’operational summary dell’Acn di maggio emerge ancora una crescita a doppia cifra dei ransomware.
“Il report di maggio 2025 dell’Agenzia per la Cybersicurezza Nazionale evidenzia una recrudescenza dell’attività ransomware in Italia, con un incremento del 20% rispetto alla media semestrale”, commenta Dario Fadda, esperto di cyber sicurezza e collaboratore di Cybersecurity360.
“Il report Acn fotografa una realtà che ormai non dovrebbe più sorprendere nessuno”, mette in evidenza Sandro Sana, Ethical Hacker e membro del comitato scientifico Cyber 4.0, “attacchi in aumento, difese in affanno, e aziende che scoprono la cybersicurezza solo quando smettono di lavorare”.
Ecco il report mensile nei dettagli, “secondo cui, sebbene si sia registrato nel mese di maggio un aumento degli eventi cyber (+23% rispetto ad aprile), gli incidenti gravi sono rimasti stabili. Tali dati sono in linea con quanto osservato e riportato dalle principali aziende di cyber sicurezza. Interessante il dato relativo ai settori più colpiti”, sottolinea Pierluigi Paganini, analista di cyber security e Ceo Cybhorus.
Indice degli argomenti
Operational summary di Acn: a maggio
Maggio 2025 si è chiuso registrando 201 eventi, con un incremento del 23% rispetto al mese precedente. Invece il numero di incidenti (51) è leggermente sotto la media del semestre precedente.
I settori che contano più vittime in termini numerici sono stati: telecomunicazioni, servizi finanziari e vendita al dettaglio. “Notiamo l’assenza di settori come sanità e pubblica amministrazione, da sempre obiettivi privilegiati di gruppi criminali ed attori nation-state“, evidenzia Paganini.
Nel mese scorso Acn ha rilevato 17 attacchi ransomware. Fra quelli più significativi emerge quello che il gruppo INC1 ha rivendicato ai danni dell’Università di Roma Tre.
“Il dato più allarmante è la persistenza di gruppi strutturati come INC e Nova, capaci di colpire anche istituzioni accademiche” come quella citata, secondo Dario Fadda: “Dall’osservatorio Ransomfeed si può verificare che dei 17 attacchi evidenziati in questo report, 12 per il mese di maggio sono quelli che i criminali hanno rivendicato pubblicamente”.
In calo le campagne di hacktivism
Come già sottolineato nei due mesi precedenti, scendono le campagne di hacktivism connesse al conflitto russo-ucraino.
“Diminuiscono gli attacchi con matrice di hacktivismo, soprattutto in riferimento al conflitto russo-ucraino. Ritengo questa riduzione temporanea e dovuta ad una riorganizzazione di alcuni dei principali collettivi, così come una minore esposizione politica del nostro governo in merito alle trattative in corso per porre fine al conflitto così come il supporto esplicito a Kiev rimarcato più volte in passato”, avverte Paganini.
Dalle attività di monitoraggio del CSIRT Italia emerge un crollo anche degli attacchi DDoS e dei defacement rispetto al passato.
“Inevitabilmente quanto sta accadendo negli Stati Uniti sta catalizzando l’attenzione di numerosi gruppi di hacktivisti in passato più attivi sul fronte Israele-Gaza e Russia-Ucraina”, mette in guardia Paganini.
Invece ha rilevato una campagna di phishing di oltre 300 messaggi di posta elettronica, attraverso una casella compromessa a un operatore del settore energia. Secondo Paganini, “Ii phishing si conferma minaccia concreta quanto efficace, come dimostra la campagna verso un operatore energetico”.
I messaggi cercavano di trarre in inganno i destinatari, invitandoli ad immettere le proprie credenziali in un sito web malevolo, creato ad arte dall’attaccante.
“Un altro mese, un altro report che ci ricorda come il ransomware sia diventato il piano industriale di chi non ce l’ha”, mette in guardia Sandro Sana: “E noi? Ancora a discutere se serve davvero un backup offline. 1.977 dispositivi compromessi, ma la vera notizia è che ce ne sono ancora migliaia esposti. La superficie d’attacco italiana? Un colabrodo con la Pec”.
Come mitigare il rischio
La regola aurea è la consapevolezza. Infatti è necessario mantenere i sistemi, i software e le app aggiornati, effettuare download solo da marketplace ufficiali e non cadere vittime di phishing.
“Ancora più rilevante, però, è il legame tra i ransomware e le infrastrutture criminali smantellate durante l’Operation Endgame: la compromissione di quasi 2.000 asset in Italia dimostra quanto i botnet restino un nodo critico nella catena d’attacco. Questo conferma l’urgenza di rafforzare il monitoraggio proattivo e l’adozione tempestiva di patch, soprattutto nei settori più esposti come finanza, telecomunicazioni ed energia”, conclude Dario Fadda.
Inoltre occorre che gli utenti non riusino mai le stesse password e si avvalgano di password manager che generino credenziali uniche e complesse per ogni servizio.
Secondo Paganini, “sarà interessante verificare cosa accadrà nei prossimi mesi, e cruciale non abbassare la guardia soprattutto nel periodo estivo. La minaccia ransomware si conferma tra le principali”,
Ma “finché la cyber security resterà una voce di spesa e non di strategia, continueremo a rincorrere i breach col secchio in mano, mentre l’incendio divampa”, avverte Sandro Sana.
Ma “la buona notizia è relativa all’aumentata efficacia delle operazioni delle forze dell’ordine su scala internazionale, figlia dell’aumentata collaborazione tra agenzie cyber internazionali, ivi compresa l’Acn. Un plauso all’azione dell’ Europol (Operation Endgame), che ha permesso di identificare quasi 2.000 dispositivi compromessi anche in Italia”.
