Archiviato il boom dovuto alla Direttiva NIS2, l’Acn chiude il report del mese di aprile 2026, registrando segnali di assestamento.
Ma “ad aprile il quadro delineato dall’ACN resta severo”, commenta Pierluigi Paganini, analista di cyber security e Ceo Cybhorus. Ecco perché.
Indice degli argomenti
Acn: i dati dell’operational summary 2026
Secondo l’Operational Summary dell’Agenzia per la Cybersicurezza Nazionale, scendono gli eventi e gli incidenti cyber in Italia, dopo il boom dei primi mesi dell’anno, mentre entravano progressivamente a regime gli obblighi di notifica fissati dalla NIS2.
“Il calo degli eventi e degli incidenti rispetto a marzo non attenua la portata del fenomeno, bensì conferma una fase di assestamento dopo l’ampliamento della visibilità introdotto dagli obblighi NIS2”, avverte Paganini.
Il CSIRT ha contato 265 eventi cyber e 174 incidenti, in declino ambedue del 39% rispetto a marzo.
Secondo l’Acn, è una fase di assestamento che segue l’estensione dei soggetti sottoposti ad obbligo di notifica.
Fra le principali minacce fotografate ad aprile si osservano l’esposizioni di dati, campagne di phishing e compromissioni di email.
I settori più colpiti sono il manifatturiero, tecnologico e la pubblica amministrazione centrale. Gli episodi di esposizione dati hanno soprattutto colpito il settore manifatturiero. Invece le compromissioni di caselle e-mail interessano il settore tecnologico e delle Telco.
“La lettura più utile non è il dato grezzo, ma la sua coerenza con i mesi precedenti e con l’esposizione persistente di settori come manifatturiero, tecnologia e pubblica amministrazione centrale”, sottolinea Paganini.
Attacchi ransomware
Gli attacchi ransomware coinvolgono i settori manifatturiero, trasporti ed altre aziende private.
I vettori di compromissione sono soprattutto legati all’uso di credenziali valide già frutto di violazioni e allo sfruttamento di servizi di accesso remoto non settati ad hoc.
Monitoraggio proattivo: ma resta una dissonanza fra il report Acn e quelli dei vendor di sicurezza
Il CSIRT Italia ha avviato un monitoraggio proattivo, spedendo nel mese di aprile circa 1.500 comunicazioni di avvisi relativi all’esposizione su Internet di 2.212 servizi a rischio.
L’analisi dei log derivanti da malware di tipo infostealer ha inoltre permesso di identificare 7 account potenzialmente compromessi attribuibili a soggetti istituzionali, subito messi in allerta.
“Merita un apprezzamento particolare il Monitoraggio proattivo, che mostra una postura operativa matura: 1.500 comunicazioni dirette, 2.212 servizi a rischio individuati e 7 account istituzionali potenzialmente compromessi allertati tempestivamente non sono numeri accessori, ma un indicatore concreto di capacità preventiva.
La posta elettronica rimane il vettore di accesso iniziale, ma segue a ruota lo sfruttamento di credenziali valide già compromesse.
“Anche l’attenzione alle vulnerabilità critiche e ai prodotti maggiormente esposti restituisce un impianto analitico robusto, orientato a ridurre la finestra di sfruttamento”, suggerisce Paganini, analizzando il report che ha pubblicato 5.885 nuove vulnerabilità (CVE), in lieve calo rispetto a marzo.
Di queste, però, 1.251 sono accompagnate da proof of concept. Invece per 10 falle si rileva lo sfruttamento attivo.
Tra le criticità più rilevanti spiccano falle relative a Fortinet FortiClient EMS, Apache Tomcat e Red Hat Enterprise Linux 10, che potrebbero permettere esecuzione di codice da remoto o accessi non autorizzati a dati sensibili.
Per queste vulnerabilità, CSIRT Italia ha inviato specifiche attività di allertamento.
“Resta infine una dissonanza rispetto ai principali report del trimestre pubblicati dalle aziende di sicurezza: qui non emerge ancora una lettura esplicita degli attacchi AI-driven, ormai ricorrenti nelle analisi internazionali e destinati a ridefinire profondamente il panorama delle minacce. È un’assenza che pesa, perché l’automazione offensiva supportata da AI non è più un tema laterale, ma un fattore strutturale che sta già cambiando scala, velocità e precisione delle campagne malevole”, conclude Paganini.
