Cyberattacchi, Viminale: più controlli su 45mila sistemi e servizi a rischio

Il Viminale rafforzerà il monitoraggio dei sistemi informatici più vulnerabili dopo la sequenza di attacchi, sabotaggi e intimidazioni digitali che ha interessato l’Italia e altri Paesi europei. Tra frigoriferi manipolati e allarmi bomba.

È l’indicazione emersa dalla riunione del Comitato nazionale per l’ordine e la sicurezza pubblica del 10 novembre, presieduta da Matteo Piantedosi, alla quale hanno partecipato i vertici delle forze di polizia, dell’intelligence e rappresentanti dell’Agenzia per la cybersicurezza nazionale (ACN).

I dettagli sui nuovi controlli però purtroppo mancano ed è il punto ora più importante.

La riunione, durata circa due ore, sposta l’attenzione dalla gestione dei singoli episodi alla ricerca delle infrastrutture ancora esposte. Il governo vuole limitare la possibilità che vulnerabilità informatiche vengano sfruttate per interrompere servizi, colpire impianti fisici o generare allarme pubblico. Non è stato però diffuso un piano esecutivo con l’elenco dei sistemi da controllare, le prescrizioni tecniche e le scadenze per i gestori.

La dimensione del problema è indicata dai numeri del CSIRT Italia: quasi 45mila asset e servizi a rischio individuati nei primi nove mesi del 2026, insieme a oltre 3.200 asset potenzialmente compromessi. Sono dati presentati da ACN il 13 ottobre, prima del vertice, durante l’audizione del direttore generale Andrea Quacivi al Senato: non rappresentano una nuova scoperta effettuata nella riunione di oggi.

“Il lavoro di monitoraggio e supporto che sta facendo lo CSIRT è un cambio di passo radicale rispetto a quanto era stato fatto prima dell’ACN e trova conferma in quanto riportano le aziende che quelle segnalazioni le hanno ricevute”, nota Claudio Telmon, del Clusit.

Quasi 45mila asset a rischio: cosa misurano i numeri di ACN

La comunicazione ufficiale ACN sull’audizione di Andrea Quacivi, collegata alla seduta del 13 ottobre della Commissione Affari esteri e Difesa del Senato, riferisce che il CSIRT Italia ha rilevato 3.271 eventi cyber tra gennaio e settembre 2026, contro 2.729 registrati in tutto il 2025. Di quelli del 2026, 1.922 sono stati classificati come incidenti con impatto confermato.

Il confronto evidenzia che nei primi nove mesi del 2026 è già stato superato il totale degli eventi dell’intero 2025. Tuttavia, i periodi hanno durata diversa e l’aumento non misura da solo una crescita equivalente degli attacchi riusciti: incidono anche l’ampliamento del monitoraggio e le nuove notifiche previste dalla disciplina NIS2.

Eventi cyber rilevati dal CSIRT Italia: confronto tra periodi diversi

Per leggere il dato di esposizione bisogna distinguere le categorie. Un asset a rischio non è una macchina violata: può essere un server con una vulnerabilità, un servizio accessibile da Internet o un sistema configurato in modo insicuro. Un asset definito potenzialmente compromesso presenta invece indizi che richiedono verifiche; l’accertamento di una compromissione richiede evidenze ulteriori. Anche gli incidenti con impatto confermato costituiscono una metrica distinta e non possono essere sommati agli altri conteggi.

“È importante quanto previsto dalla legge 90/2024, ovvero l’obbligo di intervenire a fronte di segnalazione da parte dello CSIRT, almeno per i soggetti NIS2: senza questo obbligo, probabilmente la reattività delle aziende sarebbe minore, e sarà più bassa comunque per i soggetti che non devono sottostare a questo obbligo”, aggiunge Telmon.

Le grandezze del monitoraggio nazionale, gennaio–settembre 2026

Fonti: audizione ACN al Senato, 13 ottobre 2026 e resoconto con i dati analitici. Indicatori con unità e basi diverse: non sono quote additive di un unico totale.

Perché il Viminale interviene dopo gli attacchi alla catena del freddo e gli allarmi bomba

Il monitoraggio rafforzato nasce da episodi con conseguenze di natura molto diversa. Gli attacchi ai controllori della refrigerazione hanno mostrato che un’interfaccia industriale lasciata raggiungibile da Internet può consentire modifiche dei parametri fisici, con rischi per gli alimenti, la produzione e, in alcune installazioni, la sicurezza dei lavoratori. Il caso coinvolge supermercati e altri operatori della catena del freddo in diversi Paesi europei, compresa l’Italia.

Gli allarmi bomba inviati agli aeroporti hanno invece costretto le autorità a verifiche e procedure di sicurezza, pur senza dimostrare che gli autori dei messaggi abbiano violato sistemi aeronautici. La possibile compromissione delle caselle email di alcune scuole, indicata come pista investigativa nelle ricostruzioni di ANSA e di Quotidiano Nazionale, deve ancora essere accertata: mostrerebbe, se confermata, come un account poco protetto possa diventare uno strumento per attaccare organizzazioni differenti.

La diffusione di informazioni personali di rappresentanti delle istituzioni, infine, ha reso evidente una terza dimensione: gli attacchi possono puntare alle persone e all’ordine pubblico, oltre che alla disponibilità dei servizi. Sono vicende diverse per tecniche e obiettivi. La concomitanza temporale non dimostra che abbiano una regia comune, né autorizza ad attribuirle tutte alla stessa organizzazione o a uno Stato.

Che cosa significa rafforzare il monitoraggio dei sistemi vulnerabili

Il punto operativo è passare dall’elenco delle vulnerabilità alla riduzione dell’esposizione reale. Un’amministrazione o un’impresa può possedere server, router, sistemi di telecontrollo e software gestiti da fornitori diversi. Per capire dove intervenire deve sapere quali apparati sono effettivamente esposti, chi può accedervi, quali versioni software eseguono e quali funzioni aziendali dipendono dal loro funzionamento.

Un controllore della refrigerazione, per esempio, non richiede solo una password più robusta. Se l’interfaccia di manutenzione è pubblicamente accessibile, occorre rimuovere l’accesso diretto da Internet, controllare i collegamenti dei manutentori, separare le reti operative e verificare che gli allarmi su temperatura e malfunzionamenti non dipendano esclusivamente dallo stesso sistema che può essere manomesso.

Per portali web, servizi di posta e server amministrativi, le verifiche immediate riguardano patch sulle vulnerabilità già sfruttate, autenticazione robusta e log degli accessi. I dati ACN sugli asset potenzialmente compromessi rendono inoltre necessario un secondo passaggio: quando emergono indizi di intrusione, non basta correggere la falla, ma occorre accertare che non siano rimasti account illeciti, modifiche alle configurazioni o altri meccanismi di persistenza.

Perché il rafforzamento annunciato produca risultati misurabili sarà decisivo sapere quali sistemi saranno individuati come prioritari, come saranno contattati i gestori, entro quanto tempo dovranno intervenire e come verrà verificata la correzione. Il primo resoconto del Comitato non specifica questi elementi né indica nuove risorse stanziate.

CSIRT, intelligence e Procure: il coordinamento non sostituisce la sicurezza dei gestori

Il vertice riunisce competenze differenti. ACN e CSIRT Italia si occupano del monitoraggio tecnico, degli allertamenti e della risposta agli incidenti; le forze di polizia e la magistratura accertano le responsabilità penali; intelligence e strutture di sicurezza valutano minacce e possibili effetti sulla sicurezza nazionale. La collaborazione serve a collegare le evidenze raccolte in casi differenti senza confondere gli ambiti istituzionali.

Il sistema di allertamento è già attivo. Quacivi ha riferito al Senato che nei primi nove mesi dell’anno il CSIRT ha inviato quasi 72mila comunicazioni di allertamento e pubblicato oltre mille avvisi. Una parte della sfida è dunque ottenere che gli avvisi si trasformino in verifiche e correzioni nei sistemi realmente esposti, anche quando sono amministrati da soggetti terzi.

La disciplina NIS2 ha ampliato il numero dei soggetti tenuti a notificare determinati incidenti: oltre 1.500 notifiche ricevute nei primi nove mesi secondo l’audizione ACN. L’ampliamento della platea e delle segnalazioni rende più visibile il fenomeno, ma non prova che ogni categoria di attacco stia crescendo alla stessa velocità. Il rafforzamento del monitoraggio annunciato dal Viminale, per quanto noto, non introduce da solo una nuova scadenza NIS2.

Il banco di prova: individuare gli asset esposti e verificare che vengano protetti

La decisione del Comitato fissa una priorità, ma la sua efficacia dipenderà dall’attuazione. La prima domanda riguarda la capacità di passare dal censimento dei sistemi vulnerabili a una riduzione documentata dei punti di accesso: quante interfacce saranno chiuse, quante vulnerabilità eliminate, quante compromissioni accertate e bonificate.

La seconda domanda riguarda le organizzazioni con minori risorse tecniche, comprese piccole amministrazioni, scuole e imprese che affidano l’IT a fornitori esterni. Un sistema vulnerabile può diventare il punto di partenza di una minaccia rivolta altrove: è la ragione per cui la sicurezza di queste realtà incide anche sulla protezione dei servizi nazionali.

Il Viminale ha annunciato un rafforzamento del monitoraggio; i criteri, le responsabilità operative e i risultati attesi dovranno essere resi riconoscibili nelle prossime comunicazioni. Per chi gestisce reti e servizi digitali, la priorità non cambia: conoscere la propria superficie esposta, correggere le vulnerabilità e verificare gli indizi di intrusione prima che si trasformino in danni ai cittadini o interruzioni delle attività.

“Gli incidenti sulla catena del freddo mostrano come il rischio, anche dal punto di vista dell’impatto sociale, non riguardi solo le aziende che sono nel perimetro di normative specifiche come la NIS2: la distribuzione al dettaglio, ad esempio, non è di principio in perimetro. È importante che le aziende prendano coscienza del fatto che si tratta di rischi concreti”, dice Telmon.