Acn: nel primo semestre 2026 resta elevata la pressione da parte delle minacce cyber

L’ACN, tramite CSIRT Italia, ha archiviato il primo semestre 2026, registrando 2.171 eventi cyber (+47% rispetto allo stesso periodo dell’anno precedente).

Di essi, circa la metà, ben 1.072 sono incidenti di cui è stato confermato l’impatto.

A contribuire alla crescita a doppia cifra è l’ampliamento del perimetro di osservazione grazie all’entrata a regime dells direttiva NIS2, non è cioè direttamente proporzionale alla minaccia.

“Il rapporto ACN di giugno ed il consuntivo semestrale confermano uno scenario caratterizzato dall’elevata pressione da parte delle minacce cibernetiche“, commenta Pierluigi Paganini, analista di cyber security e Ceo Cybhorus.

Acn: primo semestre 2026 in chiaroscuro

Durante il primo semestre, CSIRT Italia ha registrato 1.160 notifiche, di cui 953 obbligatorie e 207 volontarie, che provengono da 890 soggetti, di cui 690 hanno eseguito una segnalazione per la prima volta.

Si sta dunque ampliando la platea di organizzazioni la cui interazione è stabile con l’Agenzia, contribuendo così a inquadrare la minaccia nel panorama nazionale.

“Gli indicatori crescono, in particolare eventi, incidenti, vulnerabilità e comunicazioni di allertamento; restano centrali phishing, credenziali compromesse, esposizione di servizi e supply chain“, sottolinea Paganini: “Ad un’intensificazione dei fenomeni fortunatamente non si osserva un aumento delle attività distruttive nei confronti di operazioni di aziende private e pubbliche amministrazioni”.

Divario tra crescita degli alert e impatto reale

“Uno dei dati che merita maggiore attenzione è la grande distanza tra crescita degli alert e impatto reale. A giugno ACN segnala 424 eventi, 184 incidenti, 3.257 comunicazioni di allerta e 8.001 nuove CVE, ma allo stesso tempo riporta che gli effetti complessivi restano in linea con i mesi precedenti e che molti DDoS non hanno avuto impatti significativi. È un segnale interessante perché suggerisce un aumento della superficie osservata“, evidenzia Paganini.

L’ambito operativo

Persistono fenomeni come phishing, compromissione di caselle di posta elettronica, esposizione di dati, abuso di credenziali valide e sfruttamento di vulnerabilità note. Ma al contempo stesso calano alcune delle minacce do forte impatto quali attacchi ransomware (scesi a 181 casi, con una riduzione del 12%), mentre gli attacchi DDoS sono in declino del 32%, fermandosi a 407 eventi.

Il picco dei DDos durante le Olimpiadi sulla neve

A febbraio, in concomitanza con i Giochi Olimpici Invernali di Milano-Cortina 2026, si è verificato il maggiore picco di attività DDos.

Gruppi hacktivisti, supportati da Stati, hanno messo nel mirino alberghi, strutture ricettive dei comprensori olimpici, amministrazioni pubbliche e operatori dei trasporti.

Ma l’impatto è risultato contenuto: appena il 6% degli eventi di febbraio ha provocato indisponibilità, peraltro temporanea, dei siti colpiti, senza rubare dati.

Nuove CVE: non scende la pressione da parte delle minacce cyber

L’Acn, nl primo semestre 2026, ha pubblicato 606 alert e bollettini di sicurezza, in aumento di 275 unità rispetto allo stesso semestre del 2025. Ciò testimonia il rilevante aumento dell’attività informativa e preventiva che CSIRT rivolge ai soggetti pubblici e privati.

Sull’attività di monitoraggio proattivo pesa il significativo incremento delle falle informatiche pubblicate a livello globale.

Le nuove CVE censite nel semestre sono a quota 37.032 (+54%) rispetto al primo semestre 2025. Ma a promuovere il fenomeno è l’utilizzo in crescita di modelli di AI nell’ambito di analisi del codice e scoperta delle vulnerabilità.

Le vulnerabilità note crescono man mano che si estende la superficie di rischio rilevabile. Sono aumentati a 24.303 (+5.781 unità) gli asset e servizi che presentano esposizione a potenziali cyber rischi: sistemi online attaccabili a causa della versione del software installato o per modalità di configurazione.

La prevenzione

ACN sta rafforzando le attività di allertamento, fino a spedire oltre 43.600 comunicazioni ai soggetti interessati, più del doppio rispetto allo stesso semestre del 2025, al fine di promuovere l’adozione tempestiva delle contromisure di mitigazione.

Gli asset potenzialmente compromessi – sistemi per cui si è rilevato un comportamento attribuibile a un’attività malevola in corso – calano invece da 4.408 del primo semestre 2025 a 1.560 nel 2026, (-64,6%).

Allertamento preventivo

L’andamento dei due indicatori permette una lettura in termini di efficienza dell’allertamento ai fini preventivi. Dunque, cresce la superficie esposta, ma l’attività di segnalazione più capillare e tempestiva pare essere riuscita a ridurre la finestra di sfruttamento disponibile agli attori ostili, limitando il numero di sistemi davvero compromessi.

I vettori d’attacco e il fattore umano

Un secondo elemento notevole che emerge dal report dell’Acn sul primo semestre 2026 “è il peso delle credenziali valide compromesse, reale volano degli accessi iniziali. Questo contrasta con l’idea, spesso diffusa, di attacchi sempre sofisticati: qui il problema dominante sembra ancora molto spesso umano e organizzativo, non solo tecnico”, mette in chiaro Paganini.

Infatti, dai vettori di compromissione emerge che il fattore umano pesiste a costituire uno dei principali componenti di rischio.

Le campagne malevole, che si veicolano via posta elettronica, rappresentano il 40% degli accessi iniziali, mentre l’uso di credenziali valide compromesse costituisce il 26% dei casi.

La componente umana

Ma, complessivamente, quasi due terzi delle compromissioni provengono da comportamenti degli utenti o da lacune nella gestione delle identità digitali, invece che dallo sfruttamento diretto di falle software: apertura di allegati o link malevoli, inserimento di credenziali su portali fraudolenti, riutilizzo di password su servizi diversi, mancato ricorso a meccanismi di autenticazione robusta, gestione non tempestiva di account compromessi.

La lacuna nel report dell’ACN: manca categoria su attacchi basati su AI

Ancora una volta brilla per assenza nei rapporti ACN una trattazione esplicita degli attacchi basati su intelligenza artificiale come categoria autonoma.

“Questa assenza credo sia imputabile ad una lacuna analitica, piuttosto che una lacuna sostanziale: il documento fotografa bene i vettori classici, ma non misura quanto l’AI stia già accelerando ricognizione, social engineering, phishing e automazione delle campagne. In parallelo, fonti esterne segnalano che i modelli di frontiera stanno abbassando i tempi e la soglia tecnica degli attacchi, e che anche i malware “camuffati” da servizi AI sono in aumento”, avvisa Paganini che si definisce preoccupato per l’assenza della categoria nell’operationalò summary dell’ACN:
“Sebbene l’AI non generi sempre nuove famiglie di attacco, rende quelle esistenti più rapide, scalabili e credibili; quindi la mancanza di un indicatore dedicato limita la lettura del rischio emergente”, avverte Paganini: “A conferma di quando sostengo, i rapporti di altre aziende di cyber sicurezza, come Check Point, che nel suo Threat Intelligence Report mette in evidenza anche minacce AI-native, come EvilTokens, una phishing-as-a-service che usa l’AI per rubare token Microsoft 365, e altre tecniche su agenti e marketplace”.
Questo non dimostra che ACN “sbagli”, ma, secondo Paganini, significa “che il suo rapporto è più orientato a ciò che vede e classifica operativamente, mentre altri report intercettano prima il lato emergente dell’AI come moltiplicatore della minaccia. Perciò sì, la mancata trattazione esplicita degli attacchi AI è una lacuna: non perché il fenomeno domini già i numeri, ma perché sta diventando un fattore di accelerazione che il quadro di giugno non misura ancora bene“.