Un accesso di manutenzione può fermare un impianto anche quando il sistema accetta la credenziale e il comando impartito è previsto dal software. È il rischio che attraversa il Threat Landscape Report Q3 2026 di NAIS: gli attaccanti sfruttano identità, fornitori e canali considerati affidabili, trasformando le dipendenze operative delle imprese in percorsi di intrusione.
Quando quei percorsi raggiungono refrigerazione, automazione e logistica, le conseguenze diventano materiali.
L’Italia compare nella rilevazione con 107 rivendicazioni ransomware tra luglio e settembre, distribuite su 35 gruppi. Il rapporto affianca a questi numeri un’analisi di incidenti e tecniche, estesa fino al 13 ottobre. La distinzione conta: le statistiche descrivono il trimestre, mentre alcuni casi OT, relativi alle tecnologie che controllano processi e impianti fisici, appartengono al mese successivo.
Indice degli argomenti
Report NAIS: l’Italia al terzo posto tra i Paesi europei analizzati
Le 107 rivendicazioni collocano l’Italia dietro Germania, con 164, e Regno Unito, con 113, davanti a Francia e Spagna. Nel campione italiano agosto concentra 49 casi, contro i 30 di luglio e i 28 di settembre.
Il gruppo The Gentlemen guida la graduatoria dei gruppi con 18 rivendicazioni, seguito da Qilin con 15 e Deadlock con 10. Sono pubblicazioni sui siti dei criminali, che possono avvenire anche a distanza dall’intrusione: il picco estivo misura la loro visibilità nel periodo.
La rilevazione usa fonti aperte, tra cui Ransomware.live e NCC Group. Come precisa NAIS, le rivendicazioni non equivalgono a incidenti confermati in modo indipendente; inoltre non comprendono tutte le violazioni, per esempio le rivendite di dati mai annunciate sui leak site. Il confronto restituisce la pressione osservabile del ransomware, senza misurare l’intera esposizione nazionale.
Per capire che cosa questa pressione comporti occorre guardare alle attività delle vittime.
Nel campione NAIS il manifatturiero è primo per numero di vittime sia nel mondo, con 482, sia in Europa, con 142. Seguono servizi professionali e tecnologia. La graduatoria evidenzia il peso delle imprese che sostengono produzione e filiere, nelle quali l’interruzione dei sistemi può propagarsi a ordini, consegne e servizi dei clienti.
Il manifatturiero e il raccordo con il Rapporto Clusit
La centralità della produzione trova un riscontro nel Rapporto Clusit 2026, aggiornamento di ottobre, che indica il manifatturiero come settore più colpito in Italia nel primo semestre. È la tendenza già approfondita nell’analisi sul cybercrime e sulla pressione alle imprese italiane.
Le due osservazioni convergono sull’importanza della continuità produttiva, pur descrivendo fenomeni e periodi differenti.
Clusit censisce incidenti noti di particolare gravità nel primo semestre; NAIS presenta rivendicazioni ransomware del terzo trimestre e, per i settori, graduatorie globali ed europee.
Quindi, i campioni non si possono sommare né usare per calcolare una crescita semestrale. Il dato NAIS, inoltre, non offre una classifica settoriale italiana con cui confermare numericamente quella Clusit. Il raccordo utile riguarda l’esigenza comune di proteggere le attività che dipendono dai sistemi digitali.
Questa esigenza porta dai volumi degli attacchi ai loro meccanismi. Il rapporto mette al centro le TTP, tattiche, tecniche e procedure: il modo in cui un avversario individua un punto debole, ottiene accesso, mantiene la propria presenza e produce un effetto.
Leggere i casi in questa chiave aiuta a cercare comportamenti riconoscibili anche quando cambiano malware e infrastrutture degli attaccanti.
Le TTP: identità valide e strumenti ordinari nella catena d’attacco
Il primo passaggio è spesso un’esposizione già conosciuta: una console raggiungibile da Internet, un accesso mai revocato, una credenziale ancora utilizzabile. L’autenticazione può riuscire regolarmente e l’azione successiva può usare software di amministrazione già autorizzato.
È il principio del living off the land, cioè impiegare risorse legittime dell’ambiente per condurre l’intrusione e confondersi con le attività ordinarie.
Questo schema richiede di correlare identità, dispositivo, orario e sequenza dei comandi. Un login riuscito non prova la legittimità dell’operazione: un manutentore che accede fuori dalla finestra concordata e modifica in serie più impianti presenta un rischio diverso dallo stesso account usato per un intervento approvato.
Le difese possono rilevare questi comportamenti; affidarsi soltanto a firme e reputazione del programma lascia invece scoperta una parte del problema.
Dalle TTP descritte dal report ai segnali da verificare
| Passaggio | Meccanismo richiamato da NAIS | Controllo difensivo proposto |
|---|---|---|
| Esposizione degli apparati | Console di gestione raggiungibili da Internet | Inventario delle esposizioni e verifica della raggiungibilità esterna |
| Abuso dell’identità | Credenziali valide o meccanismi di autenticazione prevedibili | Accessi fuori finestra, origine inattesa, account non più necessari |
| Uso di strumenti legittimi | Amministrazione remota e comandi previsti dal sistema | Sequenze di operazioni incompatibili con il compito autorizzato |
| Interruzione della telemetria | Limitazione del traffico dell’EDR descritta da NAIS | Mancato arrivo dei dati e modifiche alle regole di rete |
| Alterazione del processo OT | Variazioni della refrigerazione nel caso francese | Temperature e cicli operativi anomali, collegati ai log degli accessi |
Fonte: NAIS, Threat Landscape Q3 2026, pp. 2, 6 e 11–14. I controlli sono indicazioni operative ricavate dai meccanismi descritti, non prove della loro presenza in ogni incidente.
Quando l’EDR resta acceso ma perde la connessione
Il rapporto descrive anche una tecnica attribuita al gruppo Majinahanashi, richiamata negli approfondimenti di ottobre: regole della Windows Filtering Platform e politiche di Quality of Service limitano il traffico delle applicazioni di sicurezza. L’EDR può restare in esecuzione, ma perdere il collegamento con la piattaforma cloud che raccoglie la telemetria e consente la risposta remota.
Per un Security Operations Center, il centro che monitora e gestisce gli eventi di sicurezza, questo cambia il significato del controllo di salute dell’agente. Processo attivo e protezione operativa sono verifiche diverse.
Occorre controllare anche l’arrivo dei dati, segnalare le interruzioni inattese e cercare modifiche alle regole di rete. Il silenzio di un endpoint che prima comunicava regolarmente deve entrare nell’analisi dell’incidente.
Il caso OT: il rischio attraversa la catena del freddo
Le conseguenze di un comando apparentemente ordinario emergono nel caso delle centraline di refrigerazione francesi. Secondo la ricostruzione riportata da NAIS, nell’ottobre 2026 gli attacchi hanno interessato circa 500 supermercati, con alterazioni delle temperature e danni ai prodotti. L’attore non è identificato e il rapporto non presenta prove che l’operazione sia stata condotta con l’intelligenza artificiale.
Lo stesso allarme è stato poi riportato anche in Italia, con altri supermercati colpiti nello stesso modo.
Il presupposto tecnico ha un riscontro nell’advisory Synacktiv sui controllori Danfoss SM800 e SC255/SC355: nel 2023 i ricercatori documentavano un meccanismo alternativo di autenticazione basato su un codice giornaliero ricavabile dalla data. La raccomandazione di mitigazione era limitare l’accesso di rete. L’advisory riporta inoltre la risposta del produttore, che indicava SM800 e SC255 come prodotti a fine vita.
La distinzione fra modelli è essenziale: non tutta la famiglia Danfoss è priva di correzioni. Per AK-SM 800A, il diverso bollettino DSA-2023-08-01 indica vulnerabilità con identificativi CVE e l’aggiornamento software alla versione 3.3. Inventariare il nome commerciale senza conoscere modello, firmware e stato di supporto può quindi condurre alla decisione sbagliata.
Per gli apparati non aggiornabili, attendere una patch lascia aperto il percorso d’accesso. Bisogna intervenire sull’esposizione: eliminare la raggiungibilità diretta, separare le reti, consentire la manutenzione attraverso accessi controllati e registrati. Il monitoraggio deve poi includere il processo fisico: una variazione anomala di temperatura o un ciclo di sbrinamento fuori programma può rendere visibile l’abuso di un comando ammesso dal sistema.
Il caso allarga la sicurezza OT oltre la fabbrica. Refrigerazione di farmacie e ospedali, climatizzazione degli edifici, raffreddamento dei data center e automazione dei magazzini sostengono attività essenziali anche nelle imprese di servizi.
Il confine utile è la dipendenza operativa: se il dispositivo può compromettere merci, sicurezza o disponibilità, deve avere un responsabile e controlli coerenti con l’effetto di un suo malfunzionamento.
Cyberwarfare: gli effetti sugli impianti non bastano ad attribuire l’attacco
La possibilità di alterare un processo fisico rende queste tecniche rilevanti anche nell’analisi della cyberwarfare: gli stessi accessi possono consentire raccolta di informazioni, preparazione di interruzioni e sabotaggio. La tecnica, però, non identifica il mandante. Il campione NAIS comprende criminalità e incidenti di origine incerta; presentarlo come una misura degli attacchi statali confonderebbe capacità tecniche e attribuzione geopolitica.
Per chi difende un impianto, resta utile ragionare sull’effetto raggiungibile dall’avversario. Un accesso remoto può dare visibilità sulla produzione o permettere di cambiarne i parametri. Per questo i privilegi devono seguire il compito autorizzato, con finestre temporali, account individuali e revoca a fine intervento. La difesa deve poter contenere l’abuso anche prima di sapere chi lo stia conducendo.
L’AI può rendere più rapidi i compiti ripetitivi della catena offensiva, dalla ricerca delle esposizioni all’analisi delle informazioni raccolte. Ma il caso OT discusso dal rapporto mostra soprattutto quanto danno possano produrre debolezze note e accessibili. Per stabilire le priorità aziendali contano la raggiungibilità del sistema e l’effetto del suo abuso, anche quando l’attaccante usa strumenti ordinari.
Remediation e hardening: misurare il tempo in cui il rischio resta aperto
Il punto di intervento comune è il periodo che separa la conoscenza di una debolezza dalla sua rimozione o mitigazione. Un punteggio tecnico di gravità aiuta a classificare la vulnerabilità, ma la priorità deve includere esposizione, sfruttabilità e impatto operativo. Una debolezza considerata secondaria può diventare urgente se consente l’accesso a un impianto essenziale.
«Il fattore che oggi può fare la differenza nella capacità di un’azienda di difendersi è il tempo. Il nostro report mostra come vulnerabilità note da mesi, o addirittura da anni, continuino a essere sfruttate con conseguenze importanti. Spesso non si tratta delle falle più gravi, ma di quelle considerate “sottosoglia”: debolezze che non raggiungono i livelli di criticità per cui scatta un intervento prioritario e che proprio per questo restano aperte più a lungo, offrendo agli attaccanti un punto di ingresso», osserva Carlo Testa, CEO e General Manager di NAIS.
«In uno scenario in cui molte attività offensive sono automatizzate, il ritardo nella correzione diventa esso stesso un fattore di rischio. Per questo correggere non basta: serve un lavoro costante di hardening, che riduca in modo strutturale la superficie di esposizione eliminando configurazioni deboli, servizi e accessi non necessari, prima che qualcuno possa sfruttarli. Tempi di remediation e livello di hardening sono gli indicatori su cui il management dovrebbe iniziare a misurare concretamente l’efficacia della propria strategia di cybersecurity», aggiunge Testa.
Per rendere operativa questa indicazione, il management può chiedere quanti sistemi critici restino esposti, da quanti giorni, quali accessi dei fornitori siano ancora attivi e quali mitigazioni siano state verificate. È utile separare la correzione tecnica dalla riduzione effettiva del rischio: chiudere una segnalazione nel sistema di ticketing non dimostra che il servizio sia diventato irraggiungibile o che la credenziale sia stata invalidata.
Negli impianti in cui aggiornare richiede un fermo, la misura deve comprendere la protezione temporanea e la data dell’intervento definitivo.
La prova conclusiva consiste nel verificare il percorso prima sfruttabile: controllare che l’accesso pubblico sia chiuso, che il manutentore possa operare soltanto nelle condizioni approvate e che un’anomalia di processo raggiunga chi deve intervenire.
È su queste evidenze che una politica di sicurezza diventa una capacità di difesa misurabile.
Partecipa alla community