En resumen
Según el Operational Summary de la ACN, en el primer semestre de 2026 hubo 181 ransomware contra organizaciones italianas, frente a 206 en 2025 (-12%).
El 12% afectó a entidades críticas, el 36% a entidades de criticidad media y el 51% a entidades de criticidad menor: no es solo un problema de las grandes.
Los sectores más afectados por el ransomware son la industria manufacturera, el comercio minorista y el sector tecnológico.
Según la ACN, los atacantes entran sobre todo con credenciales comprometidas, accesos remotos o VPN sin proteger y vulnerabilidades conocidas.
Las defensas prioritarias son MFA, parches, copias separadas con restauración probada, formación y un plan de respuesta con las notificaciones previstas.
En julio de 2026 la Agencia Nacional de Ciberseguridad italiana (ACN) publicó el Operational Summary del primer semestre de 2026, el informe con los datos operativos del CSIRT Italia. Según la ACN, en los primeros seis meses del año se registraron 181 ataques de ransomware contra organizaciones italianas, frente a los 206 del mismo periodo de 2025: un descenso del 12%. Sin embargo, la Agencia advierte de que el ransomware sigue siendo una de las amenazas con mayor impacto en la continuidad operativa de las víctimas y en la confidencialidad de la información.
En este artículo vemos qué recoge exactamente el documento de la ACN, cómo leer las cifras sin sacar conclusiones precipitadas y, sobre todo, qué defensas tienen más sentido para una pyme. El punto de partida es sencillo: la ACN también indica cómo entran los atacantes, y esas puertas de entrada se cierran casi siempre con medidas básicas aplicadas con constancia.
Qué dice el Operational Summary de la ACN del primer semestre de 2026
El Operational Summary es un documento que la ACN publica cada mes y, en versión resumida, cada semestre. Reúne cifras e indicadores de las actividades operativas de la Agencia y los compara con el mismo periodo del año anterior. El CSIRT Italia, la estructura técnica y operativa de la ACN, es el centro nacional de notificaciones de incidentes exigidas por ley, incluidas las de NIS2.
El documento precisa que los datos son el resultado del análisis disponible en el momento de su redacción y que pueden actualizarse con nuevas evidencias. Es un detalle importante: son cifras oficiales, pero no definitivas.
Las cifras del ransomware
Según la ACN, en el primer semestre de 2026 hubo 181 ataques de ransomware contra organizaciones italianas, frente a los 206 del primer semestre de 2025. El descenso es del 12%, pero la Agencia añade una precisión: sigue siendo una de las amenazas con mayor impacto en la continuidad operativa.
El informe distribuye las víctimas según su criticidad. El 12% de los ataques de ransomware afectó a entidades críticas, el 36% a entidades de criticidad media y el 51% restante a otras entidades de criticidad menor.
El seguimiento de fuentes abiertas identificó además 137 reivindicaciones de ataques de ransomware contra organizaciones italianas. La ACN recuerda que las reivindicaciones no siempre se confirman por la organización afectada, así que esta cifra debe leerse como un indicador, no como un recuento de víctimas.
Los sectores más afectados
Para el ransomware, la ACN señala como sectores más afectados la industria manufacturera, el comercio minorista y el sector tecnológico. Si se observan todos los eventos cibernéticos del semestre, no solo el ransomware, los sectores más afectados son el manufacturero, el tecnológico y el sanitario, mientras que la Administración pública central y local resulta menos afectada que en el primer semestre de 2025.
La industria manufacturera aparece en ambas clasificaciones. Para una pyme industrial es una señal que hay que tomarse en serio: una caída de los sistemas suele significar líneas y entregas paradas, no solo correos inaccesibles.
Cómo entran los atacantes según la ACN
Es la parte más útil del documento. Según la ACN, los principales factores que facilitan las intrusiones de ransomware son tres:
el uso de credenciales válidas previamente comprometidas;
la explotación de servicios de acceso remoto o VPN no configurados o protegidos adecuadamente;
la explotación de vulnerabilidades conocidas y de servicios expuestos a internet.
De forma más general, para todas las actividades maliciosas del semestre la ACN indica como puntos de entrada más frecuentes las campañas maliciosas por correo electrónico, las credenciales válidas comprometidas, el phishing y la ingeniería social. La Agencia subraya que una parte relevante de los ataques se apoya en comportamientos y procesos: abrir adjuntos o enlaces maliciosos, introducir credenciales en portales fraudulentos, reutilizar contraseñas, no usar autenticación robusta o gestionar tarde las cuentas comprometidas. En algunos casos los ataques siguieron dinámicas de cadena de suministro, y la seguridad de los proveedores se convirtió en un factor de exposición para sus clientes.
Cómo leer las cifras sin malinterpretarlas
En el mismo semestre la ACN contabilizó 2.171 eventos cibernéticos, frente a 1.474 en el primer semestre de 2025 (+47%). Parece un repunte, pero la Agencia explica que el crecimiento se debe principalmente a las más de 1.000 notificaciones NIS recibidas por el CSIRT Italia tras la entrada en vigor de las obligaciones de notificación. Según la ACN, el dato no debe leerse como un aumento real de la amenaza, sino como una mayor capacidad para detectar fenómenos que antes podían no salir a la luz.
Lo mismo vale, a la inversa, para el descenso del ransomware: un -12% es una buena noticia, pero no significa que el riesgo para tu empresa haya disminuido. Estas son las principales cifras del informe en resumen.
Indicador (fuente: ACN, Operational Summary del primer semestre de 2026) | 1.er semestre 2026 | Comparación con el 1.er semestre 2025 |
|---|---|---|
Ataques de ransomware contra organizaciones italianas | 181 | 206 (-12%) |
Porcentaje de ataques de ransomware contra entidades críticas | 12% | no indicado |
Reivindicaciones de ransomware (fuentes abiertas) | 137 | no indicado en el texto |
Eventos cibernéticos totales | 2.171 | 1.474 (+47%, sobre todo por las notificaciones NIS) |
Incidentes con impacto confirmado | 1.072 | en aumento |
Qué significan estos datos para una pyme
El primer mensaje es que el ransomware no afecta solo a las grandes. Con la mitad de los ataques dirigidos a entidades de criticidad menor, la idea de ser «demasiado pequeños para interesar» no se confirma en los datos. La ACN no indica el tamaño de las víctimas, pero la distribución por criticidad basta para entender que el problema afecta a organizaciones de todo tipo.
El segundo mensaje es más alentador: las puertas de entrada que describe la ACN son carencias básicas, no ataques imposibles de prevenir. Credenciales robadas y reutilizadas, accesos remotos abiertos, sistemas sin actualizar, correos engañosos. Son áreas en las que una pyme puede actuar con recursos razonables, siempre que lo haga de forma ordenada y continua.
El tercer mensaje se refiere a la cadena de suministro. Si trabajas como proveedor de empresas más grandes o de entidades incluidas en NIS2, tu seguridad es parte de su seguridad. No es casualidad que los cuestionarios de seguridad de los clientes pregunten cada vez más por copias de seguridad, MFA y gestión de vulnerabilidades.
Las defensas que realmente cuentan
Las medidas siguientes son las que responden directamente a los factores señalados por la ACN. Ninguna por sí sola hace invulnerable a una empresa: el objetivo es reducir la probabilidad de un ataque con éxito y limitar los daños si se produce. Para una visión más amplia, consulta nuestra guía sobre las medidas mínimas de ciberseguridad para pymes.
Copias de seguridad separadas y restauración probada
El ransomware busca dejar inutilizables los datos y, a menudo, también las copias de seguridad accesibles desde la red. Por eso necesitas al menos una copia separada de la red de producción: offline, en un soporte desconectado o en un almacenamiento que no pueda modificarse ni borrarse durante un periodo determinado. Las copias también deben protegerse con credenciales distintas de las de uso diario.
Una copia de seguridad que nunca se ha restaurado es una esperanza, no una garantía. La ACN, en sus consejos para pymes, recomienda probar periódicamente la restauración completa, dando prioridad a los datos críticos. Mide también cuánto tiempo se necesita de verdad para volver a funcionar: ese dato te dirá si la copia basta o si necesitas un plan de continuidad.
MFA y gestión de credenciales
Puesto que las credenciales válidas comprometidas son el primer factor señalado por la ACN, la autenticación multifactor es la defensa con mejor relación entre esfuerzo y beneficio. La ACN recomienda activarla siempre que sea posible, sobre todo en el correo, los archivos en la nube, las cuentas privilegiadas y los accesos remotos.
Junto a la MFA necesitas contraseñas robustas y no reutilizadas, un gestor de contraseñas corporativo y un procedimiento para desactivar de inmediato las cuentas de quien deja la empresa o de las que se sospecha que están comprometidas. La ACN cita precisamente la gestión tardía de las cuentas comprometidas entre los comportamientos que facilitan los ataques.
Parches y reducción de servicios expuestos
La explotación de vulnerabilidades conocidas es el tercer factor. La respuesta es un proceso de actualización con prioridades claras: primero los sistemas expuestos a internet y los que tienen vulnerabilidades ya explotadas activamente, después el resto.
El segundo paso es reducir la superficie: cada servicio expuesto a internet que no necesitas de verdad es una puerta más. Haz un inventario de lo que es accesible desde fuera y cierra lo que no sea necesario. Una evaluación de vulnerabilidades periódica te ayuda a verlo con los ojos de un atacante; para elegir la prueba adecuada, lee nuestra guía sobre pentest y evaluación de vulnerabilidades.
Accesos remotos y VPN
La ACN menciona expresamente los servicios de acceso remoto o VPN no configurados o protegidos adecuadamente. Para una pyme significa tres cosas: MFA obligatoria en todo acceso remoto, software de la VPN siempre actualizado y ningún escritorio remoto expuesto directamente a internet.
Cuidado también con los accesos de los proveedores: la ACN recomienda limitarlos a lo estrictamente necesario y definirlos en los contratos. Un acceso de mantenimiento siempre activo es exactamente el tipo de puerta que busca un atacante.
Segmentación y mínimo privilegio
Cuando un atacante entra, el daño depende de cuánto pueda moverse. Dividir la red en zonas (oficinas, producción, servidores, invitados, copias de seguridad) limita la propagación y protege los sistemas más importantes. En las empresas industriales, la separación entre red IT y red de producción merece una atención especial.
Lo mismo vale para los privilegios. La ACN aconseja no dar a los usuarios derechos de administrador en sus propios equipos y limitar las cuentas privilegiadas a las personas que realmente las necesitan, que deben usar una cuenta ordinaria para el trabajo diario.
Formación antiphishing y cultura de la notificación
Los correos maliciosos, el phishing y la ingeniería social están entre los puntos de entrada más frecuentes según la ACN, que habla expresamente del papel central del factor humano. La formación funciona cuando es breve, frecuente y concreta: ejemplos reales, simulaciones de phishing, instrucciones claras sobre qué hacer.
El punto más importante es la notificación interna. Un empleado que ha hecho clic en un enlace sospechoso y lo dice enseguida permite intervenir a tiempo; uno que teme una reprimenda se calla. Crea un canal sencillo para avisar y agradece a quien lo use.
Proveedores y cadena de suministro
La ACN señala ataques con dinámicas de cadena de suministro e incidentes en proveedores de servicios IT cuyos efectos se propagaron a varias organizaciones. Pregunta a tus proveedores críticos qué medidas aplican, incluye en los contratos cláusulas sobre incidentes y comprueba quién tiene acceso a tus sistemas y con qué permisos.
Factor señalado por la ACN | Defensa prioritaria | Más información |
|---|---|---|
Credenciales válidas comprometidas | MFA, gestor de contraseñas, revocación rápida de cuentas | |
Acceso remoto o VPN sin proteger | MFA en todo acceso remoto, actualizaciones, accesos de proveedores limitados | |
Vulnerabilidades conocidas y servicios expuestos | Parches por prioridad, inventario de servicios expuestos, pruebas periódicas | |
Correos maliciosos y phishing | Formación, simulaciones, canal de aviso | |
Impacto en la continuidad operativa | Copias separadas, pruebas de restauración, plan de continuidad |
Qué hacer ya: checklist para las próximas semanas
Esta es una secuencia realista para una pyme. No hace falta hacerlo todo en un día: hace falta asignar cada punto a una persona con una fecha.
Comprueba que existe al menos una copia de seguridad separada de la red e intenta restaurar un sistema crítico.
Activa la MFA en el correo, la nube, la VPN y las cuentas de administrador, empezando por las que tienen más privilegios.
Haz una lista de los servicios accesibles desde internet y cierra los que no sean necesarios.
Revisa el estado de las actualizaciones de cortafuegos, VPN, servidores y sistemas expuestos, y suscríbete a las alertas del CSIRT Italia.
Revisa los accesos remotos de los proveedores y desactiva los que ya no se usen.
Organiza una breve sesión antiphishing y explica a todos cómo avisar de un correo sospechoso.
Escribe en una página a quién llamar ante un incidente: responsable interno, proveedor IT, asesor jurídico y DPD si lo tienes.
Si ocurre: respuesta, continuidad y notificaciones
Incluso con buenas defensas, ninguna empresa puede descartar del todo un incidente. La diferencia la marca la preparación: saber quién decide y qué hacer en las primeras horas reduce los daños y los errores.
Las primeras horas
El plan de respuesta debe indicar al menos quién coordina, cómo se aíslan de la red los sistemas afectados, quién contacta con el proveedor IT y cómo se conservan las evidencias útiles para el análisis. Evita borrar o reinstalar todo por impulso: las huellas sirven para entender por dónde entró el atacante y si se llevó datos. La ACN recomienda definir de antemano funciones y contactos y hacer ejercicios periódicos de gestión de incidentes.
Las notificaciones
Un ransomware que afecta a datos personales es casi siempre también una violación de datos personales según el RGPD: la mera indisponibilidad de los datos ya es una violación. En ese caso el artículo 33 exige al responsable notificarla a la autoridad de control sin dilación indebida y, si es posible, en un plazo de 72 horas desde que tuvo constancia de ella, salvo que sea improbable que suponga un riesgo para las personas. Los ejemplos de las directrices del CEPD muestran que la valoración cambia mucho según existan copias de seguridad adecuadas y según se hayan exfiltrado datos. Todos los pasos se explican en la guía sobre las primeras 72 horas tras una brecha de datos.
Si tu empresa está incluida entre las entidades NIS2 en Italia, revisa las obligaciones del Decreto Legislativo 138/2024: para los incidentes significativos se prevén una alerta temprana al CSIRT Italia en 24 horas, una notificación en 72 horas y un informe final en un mes. Las dos notificaciones, RGPD y NIS2, son distintas y no se sustituyen. Si tu empresa no está incluida en NIS2, el CSIRT Italia pone igualmente a disposición un canal para comunicar un incidente informático.
La continuidad operativa
El verdadero coste de un ransomware suele ser la parada. Por eso las defensas técnicas deben acompañarse de un plan de continuidad: qué procesos son vitales, en cuánto tiempo deben restablecerse, cuántos datos puedes permitirte perder, cómo trabajar en modo reducido. Definir RTO y RPO realistas y comprobar que las copias y la restauración los cumplen es el vínculo entre seguridad y continuidad. Encontrarás un recorrido paso a paso en la guía sobre el plan de continuidad de negocio para pymes.
A medio plazo: de las medidas sueltas a un sistema
Las medidas de la checklist dan resultados rápidos, pero tienden a degradarse: un acceso abierto por una urgencia y nunca cerrado, una actualización aplazada, una copia que deja de funcionar sin que nadie lo note. Para mantenerlas en el tiempo hace falta un sistema de gestión.
La ISO 27001 es la norma internacional para el sistema de gestión de la seguridad de la información: parte de la evaluación de riesgos y exige elegir los controles adecuados, asignar responsabilidades, medir y mejorar. Copias de seguridad, control de accesos, gestión de vulnerabilidades, formación, proveedores y gestión de incidentes son temas de los controles del Anexo A. Si tu empresa también tiene que afrontar NIS2, la guía sobre ISO 27001 y NIS2 explica cómo se relacionan.
Junto al sistema hacen falta verificaciones externas periódicas. Un test de penetración de aplicaciones web muestra si los servicios expuestos pueden explotarse de verdad, mientras que la ISO 22301 estructura la continuidad operativa con un método reconocido. No son obligaciones para todos: son herramientas que se eligen según los riesgos y las exigencias de los clientes, con un recorrido proporcionado a tu empresa.
Cómo te ayuda Complaion con la seguridad de la información y la NIS2
Complaion acompaña a las empresas en la seguridad de la información y en las certificaciones que la hacen verificable. Un Lead Auditor dedicado parte de tu situación, comprueba qué tienes ya y qué falta, y te propone el camino más adecuado entre certificación ISO 27001, adecuación a la NIS2 e ISO 22301 para la continuidad del negocio.
La plataforma recoge las evidencias, gestiona políticas y procedimientos, mantiene el calendario de controles y te prepara para la auditoría. El Lead Auditor también realiza la auditoría interna, para que sepas si las medidas funcionan antes de una verificación externa. En la parte técnica puedes añadir un test de penetración.
Más de 1.000 clientes ya han elegido Complaion. Si quieres saber por dónde empezar, contáctanos.
Preguntas frecuentes sobre el ransomware en Italia
¿Cuántos ataques de ransomware hubo en Italia en 2026?
Según el Operational Summary de la ACN del primer semestre de 2026, en los primeros seis meses del año se registraron 181 ataques de ransomware contra organizaciones italianas, frente a 206 en el mismo periodo de 2025, con un descenso del 12%. La ACN advierte de que los datos pueden actualizarse con nuevas evidencias. Para el segundo semestre, consulta los próximos informes de la ACN.
¿El descenso del ransomware significa que el riesgo ha disminuido?
No necesariamente. El número de casos registrados ha bajado, pero según la ACN el ransomware sigue siendo una de las amenazas con mayor impacto en la continuidad operativa y en la confidencialidad de la información. Para una empresa concreta lo que más cuenta es si las principales puertas de entrada están cerradas: credenciales, accesos remotos, vulnerabilidades conocidas.
¿Qué sectores sufren más el ransomware en Italia?
En el primer semestre de 2026 la ACN señala como sectores más afectados por el ransomware la industria manufacturera, el comercio minorista y el sector tecnológico. Considerando todos los eventos cibernéticos, los más afectados son el manufacturero, el tecnológico y el sanitario. La industria manufacturera aparece en ambas clasificaciones.
¿Cuál es la defensa más eficaz contra el ransomware para una pyme?
No existe una medida única. Las defensas con mejor relación entre esfuerzo y beneficio son la autenticación multifactor, las actualizaciones de los sistemas expuestos y una copia de seguridad separada de la red con restauración probada. Juntas cubren los factores señalados por la ACN y limitan el daño si un ataque tiene éxito.
¿Hay que notificar un ataque de ransomware a la autoridad de protección de datos?
Si afecta a datos personales, normalmente sí: la mera indisponibilidad de los datos es una violación de datos personales. La notificación debe hacerse en 72 horas desde que se tiene constancia, salvo que sea improbable un riesgo para las personas, y la valoración depende de elementos como las copias de seguridad y una posible exfiltración. Si tu empresa está incluida en NIS2, hay también una notificación al CSIRT Italia, separada y con plazos propios.
¿La ISO 27001 protege del ransomware?
Ninguna certificación hace inmune a una empresa. Sin embargo, la ISO 27001 exige evaluar los riesgos, elegir controles adecuados y verificarlos a lo largo del tiempo, y muchos de esos controles se refieren precisamente a copias de seguridad, accesos, vulnerabilidades, formación y gestión de incidentes. Su valor está en mantener las defensas activas y documentadas, año tras año.
