AGI – Nei primi sei mesi del 2026 l'Agenzia per la cybersicurezza nazionale, attraverso lo Csirt (Computer security incident response team) Italia ha gestito 2.171 eventi cyber, il 47% in più rispetto allo stesso periodo dell'anno scorso. Di questi, 1.072 sono risultati incidenti con impatto confermato, ma "l'aumento è riconducibile principalmente all'estensione del perimetro di osservazione determinato dalla direttiva Nis2 e non a un incremento proporzionale della minaccia". È quanto emerge dall'Operational Summary dell'Agenzia, che evidenzia come proprio l'entrata a regime degli obblighi di notifica previsti dalla direttiva Nis2 abbia "ampliato la capacità dello Stato di osservare, rilevare e gestire gli eventi cibernetici, rafforzando la resilienza del sistema Paese".
In sostanza, "gli obblighi di notifica ampliano la visibilità sugli eventi cyber: raddoppiano le attività di monitoraggio preventivo e aumentano gli alert mentre diminuiscono gli asset potenzialmente compromessi".
L'analisi dei vettori di compromissione conferma che la componente umana continua a rappresentare uno dei principali fattori di rischio. Le campagne malevole veicolate tramite posta elettronica costituiscono il 40% degli accessi iniziali, mentre l'utilizzo di credenziali valide compromesse rappresenta il 26% dei casi. Nel complesso, quasi due terzi delle compromissioni derivano da comportamenti degli utenti o da carenze nella gestione delle identità digitali, piuttosto che dallo sfruttamento diretto di vulnerabilità software: apertura di allegati o link malevoli, inserimento di credenziali su portali fraudolenti, riutilizzo di password su servizi diversi, mancato ricorso a meccanismi di autenticazione robusta, gestione non tempestiva di account compromessi.
Tra gennaio e giugno lo Csirt Italia ha ricevuto 1.160 notifiche, di cui 953 obbligatorie e 207 volontarie, provenienti da 890 soggetti, dei quali 690 hanno effettuato una segnalazione per la prima volta, a conferma dell'ampliamento della platea di organizzazioni che interagiscono stabilmente con l'Agenzia. Il contesto operativo conferma la persistenza di fenomeni quali phishing, compromissione di caselle di posta elettronica, esposizione di dati, abuso di credenziali valide e sfruttamento di vulnerabilità note. Al tempo stesso si registra una diminuzione di alcune delle minacce più impattanti: gli attacchi ransomware sono scesi a 181, con una riduzione del 12%, mentre gli attacchi DDoS sono diminuiti del 32%, passando a 407. Il maggiore picco di attività DDoS è stato registrato nel mese di febbraio, in concomitanza con i Giochi olimpici invernali di Milano-Cortina 2026, quando gruppi hacktivisti sostenuti da Stati hanno preso di mira strutture ricettive dei comprensori olimpici, amministrazioni pubbliche e operatori dei trasporti. L'impatto è risultato "complessivamente limitato: solo il 6% degli eventi di febbraio ha determinato indisponibilità, peraltro temporanea, dei siti colpiti, senza furti di dati".
Parallelamente è proseguito il rafforzamento delle attività di prevenzione e monitoraggio svolte da Acn attraverso lo Csirt Italia. Nel primo semestre sono stati pubblicati 606 alert e bollettini di sicurezza, 275 in più rispetto allo stesso periodo del 2025. "L'attività di monitoraggio proattivo - spiega il report - ha risentito del forte aumento delle vulnerabilità informatiche pubblicate a livello globale". Le nuove Cve (Common vulnerabilities and exposures) censite nel semestre sono state 37.032, con una crescita del 54% rispetto al primo semestre 2025, "un fenomeno verosimilmente favorito anche dal crescente impiego di modelli di intelligenza artificiale nelle attività di analisi del codice e individuazione delle vulnerabilità".
L'aumento delle vulnerabilità note si è tradotto in un corrispondente ampliamento della superficie di rischio rilevabile. Gli asset e servizi che espongono potenziali rischi, sistemi raggiungibili da Internet che, per versione del software installato o per modalità di configurazione risultano attaccabili, sono saliti a 24.303, in aumento di 5.781 unità". Contestualmente, Acn ha intensificato le attività di allertamento, inviando oltre 43.600 comunicazioni ai soggetti interessati, più del doppio rispetto al corrispondente periodo del 2025, favorendo l'adozione tempestiva delle necessarie misure di mitigazione. Gli asset potenzialmente compromessi sistemi per i quali è stato rilevato un comportamento associabile ad un'effettiva attività malevola scendono invece a 1.560, da 4.408 del corrispondente periodo 2025, con una flessione del 64,6%. Anche in questo caso, "l'andamento dei due indicatori consente una lettura in termini di efficacia dell'allertamento preventivo: a fronte di una superficie esposta in crescita, un'attività di segnalazione più capillare e tempestiva sembra aver ridotto la finestra di sfruttamento disponibile agli attori ostili".