Nel corso del mese di luglio del 2026, l'Agenzia per la Cybersicurezza Nazionale (ACN), ovvero l'istituzione statale nata con il compito di tutelare gli interessi strategici del paese nel settore cibernetico e di prevenire le minacce informatiche, ha rilevato una dinamica solo apparentemente contraddittoria. È calato del 28% il numero degli eventi ostili, ma gli attacchi che si sono tradotti in veri e propri incidenti con impatto confermato sono cresciuti, segnando un incremento del 3%. Il report pubblicato dall’ACN porta alla luce la presenza di minacce più mirate e nel complesso dannose e, più in generale, un cambiamento in corso all’interno del panorama della cybersecurity.

I settori maggiormente colpiti sono la pubblica amministrazione locale, il comparto manifatturiero e quello tecnologico, con minacce veicolate soprattutto tramite lo sfruttamento di vulnerabilità e tecniche di phishing.

Per contrastare tali rischi, il CSIRT Italia – Computer Security Incident Response Team è il team nazionale che previene, monitora e coordina la risposta agli incidenti di cybersicurezza – ha intensificato la propria attività di prevenzione inviando quasi novemila avvisi di sicurezza a enti e imprese nazionali.

Meno attacchi di massa ma più colpi a segno

I dati raccolti mostrano che gli eventi informatici complessivi rilevati sul territorio italiano sono stati 305, registrando una netta flessione del 28% rispetto ai 423 registrati durante lo scorso mese di giugno.

Una contrazione che, come riporta l’ACN, è figlia della quasi totale assenza di campagne Distributed Denial of Service (DDoS), tipicamente di matrice hacktivista, che prendono di mira siti o servizi web tempestandoli di una quantità di traffico tale da renderli irraggiungibili o comunque inutilizzabili.

Inoltre, nota l’ACN, si è registrato un minore numero di violazioni che hanno coinvolto direttamente le aziende di Information Technology, ovvero i fornitori di servizi legati alle tecnologie dell'informazione e alla gestione delle infrastrutture digitali. Tuttavia, a fronte di questo calo degli attacchi dimostrativi, gli incidenti informatici reali, quelli che hanno superato le difese provocando disservizi o furti di dati confermati, sono saliti a 188 rispetto ai 182 di giugno, con una variazione al rialzo del 3%.

I municipi e le fabbriche nel mirino dei cyber criminali

La mappa delle vittime disegnata dall'Agenzia per la Cybersicurezza Nazionale rivela una forte concentrazione delle offensive digitali su settori specifici della vita economica e sociale del Paese.

Il bersaglio più colpito è stato quello della Pubblica amministrazione locale, che comprende gli enti pubblici territoriali come i comuni, le province e le amministrazioni regionali della penisola.

In questo specifico comparto, l'arma preferita dai pirati informatici è stata il defacement, la modifica non autorizzata della pagina web visibile di un sito, solitamente sostituita con messaggi propagandistici o derisori.

A seguire, il settore manifatturiero, colpito principalmente da campagne di phishing, email o messaggi ingannevoli creati per spingere i dipendenti a rivelare informazioni riservate, e dalla compromissione delle caselle di posta elettronica aziendale.

Il settore tecnologico ha invece sofferto soprattutto di esposizione dei dati sensibili, mentre le telecomunicazioni hanno registrato intrusioni nei sistemi di posta. La vulnerabilità delle fabbriche italiane e del comparto tecnologico non è una novità di questa estate, in quanto entrambi i settori erano già risultati i più bersagliati durante l'intera prima metà dell'anno.

La falla nel sistema che ha aperto le porte ai sabotatori

Le vulnerabilità strutturali dei sistemi informatici sono state identificate come le porte d'accesso iniziali usate dagli aggressori durante il mese di luglio.

L'attenzione degli analisti statali si è concentrata in particolare su una vasta campagna di attacco che ha sfruttato le debolezze di Joomla, un diffuso Content Management System, programma di gestione per la creazione e manutenzione di siti internet. Questa specifica campagna ha interessato e colpito oltre sessanta siti web, appartenenti principalmente a enti pubblici locali della Pubblica amministrazione. Oltre allo sfruttamento di queste falle software, i criminali hanno fatto largo uso dei messaggi di posta elettronica, ideati per veicolare anche il cosiddetto spear phishing, una variante molto insidiosa di truffa via email indirizzata in modo mirato e personalizzato a singoli dipendenti di rilievo per massimizzare le probabilità di successo.

Migliaia di allarmi

Il CSIRT, ovvero il braccio operativo dell'Agenzia per la Cybersicurezza Nazionale, ha individuato 3.210 sistemi e servizi informatici italiani esposti a rischi gravi, con una diminuzione di 1.026 rispetto a giugno. Per proteggere questi asset, la struttura ha inviato 2.095 comunicazioni di allerta destinate ai soggetti gestori che esponevano pubblicamente su internet servizi a rischio.

Parallelamente, per quanto riguarda gli infostealer, ovvero virus progettati per rubare segretamente le password e le credenziali memorizzate sui dispositivi degli utenti, gli esperti del CSIRT hanno scoperto e allertato 147 esponenti di istituzioni pubbliche.

Il ricatto dei dati criptati e l'assenza di attacchi di blocco

Il quadro complessivo del mese di luglio si completa con l'analisi degli attacchi a scopo di estorsione condotti tramite ransomware, virus che cifrano i file di un computer rendendoli inutilizzabili fino al pagamento di un riscatto.

Le autorità preposte hanno intercettato diciannove rivendicazioni di attacchi ransomware contro realtà italiane, dato stabile rispetto alle venti registrate nel mese di giugno. Di questi attacchi, il 23% ha colpito organizzazioni classificate come altamente critiche per il funzionamento del Paese, il 12% ha interessato soggetti a media criticità e il restante 65% ha coinvolto aziende operanti in settori con criticità minore, colpendo in particolare il commercio al dettaglio, il manifatturiero e la tecnologia.