In breve
Secondo l'Operational Summary ACN, nel primo semestre 2026 i ransomware contro soggetti italiani sono stati 181, contro 206 nel 2025 (-12%).
Il 12% ha colpito soggetti critici, il 36% soggetti a media criticità e il 51% soggetti a criticità minore: non è un problema solo dei grandi.
I settori più interessati dal ransomware sono manifatturiero, vendita al dettaglio e tecnologico.
Per l'ACN gli attaccanti entrano soprattutto con credenziali compromesse, accessi remoti o VPN non protetti e vulnerabilità note.
Le difese prioritarie sono MFA, patch, backup separati con ripristino provato, formazione e un piano di risposta con le notifiche previste.
A luglio 2026 l'Agenzia per la Cybersicurezza Nazionale (ACN) ha pubblicato l'Operational Summary del primo semestre 2026, il rapporto con i dati operativi del CSIRT Italia. Secondo l'ACN, nei primi sei mesi dell'anno sono stati registrati 181 ransomware a danno di soggetti italiani, contro i 206 dello stesso periodo del 2025: un calo del 12%. L'Agenzia avverte però che il ransomware si conferma una delle minacce a maggiore impatto sulla continuità operativa delle vittime e sulla riservatezza delle informazioni.
In questo articolo vediamo cosa riporta esattamente il documento ACN, come leggere i numeri senza trarre conclusioni affrettate e, soprattutto, quali difese hanno più senso per una PMI. Il punto di partenza è semplice: l'ACN indica anche come entrano gli attaccanti, e quelle porte d'ingresso si chiudono quasi sempre con misure di base applicate con costanza.
Cosa dice l'Operational Summary ACN del primo semestre 2026
L'Operational Summary è un documento che l'ACN pubblica ogni mese e, in versione riepilogativa, ogni semestre. Raccoglie numeri e indicatori delle attività operative dell'Agenzia e li confronta con lo stesso periodo dell'anno precedente. Il CSIRT Italia, la struttura tecnico-operativa dell'ACN, è l'hub nazionale delle notifiche di incidente previste per legge, comprese quelle della NIS2.
Il documento precisa che i dati sono il risultato dell'analisi disponibile al momento della redazione e che possono essere aggiornati con nuove evidenze. È un dettaglio importante: sono numeri ufficiali, ma non definitivi.
I numeri del ransomware
Secondo l'ACN, nel primo semestre 2026 i ransomware a danno di soggetti italiani sono stati 181, contro i 206 del primo semestre 2025. Il calo è del 12%, ma l'Agenzia lo accompagna con una precisazione: resta una delle minacce a maggiore impatto sulla continuità operativa.
Il rapporto distribuisce le vittime in base alla loro criticità. Il 12% degli attacchi ransomware ha colpito soggetti critici, il 36% soggetti a media criticità e il restante 51% altri soggetti a criticità minore.
Il monitoraggio delle fonti aperte ha inoltre individuato 137 rivendicazioni di attacchi ransomware contro soggetti italiani. L'ACN ricorda che le rivendicazioni non sempre sono confermate dal soggetto coinvolto, quindi questo numero va letto come un indicatore, non come un conteggio delle vittime.
I settori più colpiti
Per il ransomware, l'ACN indica come settori più interessati manifatturiero, vendita al dettaglio e tecnologico. Se si guardano tutti gli eventi cyber del semestre, non solo il ransomware, i settori più interessati risultano manifatturiero, tecnologico e sanitario, mentre la Pubblica amministrazione centrale e locale risulta meno interessata rispetto al primo semestre 2025.
Il manifatturiero compare in entrambe le classifiche. Per una PMI produttiva è un segnale da prendere sul serio: un fermo dei sistemi significa spesso linee e consegne ferme, non solo email irraggiungibili.
Come entrano gli attaccanti secondo l'ACN
È la parte più utile del documento. Secondo l'ACN, i principali fattori abilitanti delle compromissioni ransomware sono tre:
l'uso di credenziali valide precedentemente compromesse;
lo sfruttamento di servizi di accesso remoto o VPN non adeguatamente configurati o protetti;
lo sfruttamento di vulnerabilità note e di servizi esposti su Internet.
Più in generale, per tutte le attività malevole del semestre l'ACN indica come punti d'ingresso più frequenti le campagne malevole via email, le credenziali valide compromesse, il phishing e il social engineering. L'Agenzia sottolinea che una quota rilevante degli attacchi fa leva su comportamenti e processi: aprire allegati o link malevoli, inserire credenziali su portali fraudolenti, riutilizzare le password, non usare l'autenticazione robusta, gestire in ritardo gli account compromessi. In alcuni casi gli attacchi hanno seguito dinamiche di supply chain, con la sicurezza dei fornitori diventata un fattore di esposizione per i clienti.
Come leggere i numeri senza fraintenderli
Nello stesso semestre l'ACN ha contato 2.171 eventi cyber, contro 1.474 del primo semestre 2025 (+47%). Sembra un'impennata, ma l'Agenzia spiega che la crescita dipende prevalentemente dalle oltre 1.000 notifiche NIS ricevute dal CSIRT Italia dopo l'entrata in vigore degli obblighi di notifica. Secondo l'ACN, il dato non va letto come un aumento reale della minaccia, ma come una maggiore capacità di intercettare fenomeni che prima potevano non emergere.
Vale lo stesso, al contrario, per il calo del ransomware: un -12% è una buona notizia, ma non dice che il rischio per la tua azienda è diminuito. Ecco i principali dati del rapporto in sintesi.
Indicatore (fonte: ACN, Operational Summary I semestre 2026) | I semestre 2026 | Confronto con I semestre 2025 |
|---|---|---|
Ransomware a danno di soggetti italiani | 181 | 206 (-12%) |
Quota di attacchi ransomware su soggetti critici | 12% | non indicato |
Rivendicazioni ransomware (fonti aperte) | 137 | non indicato nel testo |
Eventi cyber complessivi | 2.171 | 1.474 (+47%, soprattutto per le notifiche NIS) |
Incidenti con impatto confermato | 1.072 | in aumento |
Cosa significano questi dati per una PMI
Il primo messaggio è che il ransomware non riguarda solo i grandi. Con la metà degli attacchi rivolta a soggetti a criticità minore, l'idea di essere "troppo piccoli per interessare" non trova conferma nei dati. L'ACN non indica la dimensione delle vittime, ma la distribuzione per criticità basta a capire che il problema tocca organizzazioni di ogni tipo.
Il secondo messaggio è più incoraggiante: le porte d'ingresso descritte dall'ACN sono lacune di base, non attacchi impossibili da prevenire. Credenziali rubate e riutilizzate, accessi remoti lasciati aperti, sistemi non aggiornati, email ingannevoli. Sono tutte aree su cui una PMI può intervenire con risorse ragionevoli, a patto di farlo in modo ordinato e continuo.
Il terzo messaggio riguarda la filiera. Se lavori come fornitore per aziende più grandi o per soggetti che rientrano nella NIS2, la tua sicurezza è parte della loro sicurezza. Non a caso i questionari di sicurezza dei clienti chiedono sempre più spesso di backup, MFA e gestione delle vulnerabilità.
Le difese che contano davvero
Le misure che seguono sono quelle che rispondono direttamente ai fattori abilitanti indicati dall'ACN. Nessuna da sola rende un'azienda invulnerabile: l'obiettivo è ridurre la probabilità di un attacco riuscito e limitarne i danni se succede. Per un quadro più ampio trovi le misure minime di cybersecurity per le PMI in una guida dedicata.
Backup separati e ripristino provato
Il ransomware punta a rendere inutilizzabili i dati, e spesso anche i backup raggiungibili dalla rete. Per questo serve almeno una copia separata dalla rete di produzione: offline, su supporto scollegato, oppure in un archivio che non può essere modificato o cancellato per un certo periodo. Le copie vanno anche protette con credenziali diverse da quelle di tutti i giorni.
Un backup che non è mai stato ripristinato è una speranza, non una garanzia. L'ACN, nei consigli per le PMI, raccomanda di testare periodicamente il ripristino completo, dando priorità ai dati critici. Misura anche quanto tempo serve davvero per tornare operativi: è il dato che ti dirà se il backup basta o se serve un piano di continuità.
MFA e gestione delle credenziali
Visto che le credenziali valide compromesse sono il primo fattore abilitante indicato dall'ACN, l'autenticazione multifattore è la difesa con il miglior rapporto tra sforzo e beneficio. L'ACN raccomanda di attivarla ovunque possibile, soprattutto su email, archivi cloud, account privilegiati e accessi remoti.
Accanto alla MFA servono password robuste e non riutilizzate, un password manager aziendale e una procedura per disattivare subito gli account di chi lascia l'azienda o di cui si sospetta la compromissione. L'ACN cita proprio la gestione non tempestiva degli account compromessi tra i comportamenti che favoriscono gli attacchi.
Patch e riduzione dei servizi esposti
Lo sfruttamento di vulnerabilità note è il terzo fattore abilitante. La risposta è un processo di aggiornamento con priorità chiare: prima i sistemi esposti su Internet e quelli con vulnerabilità già sfruttate attivamente, poi il resto.
Il secondo passo è ridurre la superficie: ogni servizio esposto su Internet che non serve davvero è una porta in più. Fai un inventario di cosa è raggiungibile dall'esterno e chiudi ciò che non è necessario. Un vulnerability assessment periodico ti aiuta a vederlo con gli occhi di un attaccante; per capire quale verifica scegliere leggi la guida su penetration test e vulnerability assessment.
Accessi remoti e VPN
L'ACN cita espressamente i servizi di accesso remoto o VPN non adeguatamente configurati o protetti. Per una PMI significa tre cose: MFA obbligatoria su ogni accesso remoto, software della VPN sempre aggiornato, nessun desktop remoto esposto direttamente su Internet.
Attenzione anche agli accessi dei fornitori: l'ACN raccomanda di limitarli a quanto strettamente necessario e di definirli nei contratti. Un accesso di manutenzione lasciato sempre attivo è esattamente il tipo di porta che un attaccante cerca.
Segmentazione e privilegi minimi
Quando un attaccante entra, il danno dipende da quanto riesce a muoversi. Separare la rete in zone (uffici, produzione, server, ospiti, backup) limita la propagazione e protegge i sistemi più importanti. Nelle aziende manifatturiere la separazione tra rete IT e rete di produzione merita un'attenzione particolare.
Lo stesso vale per i privilegi. L'ACN consiglia di non dare agli utenti diritti di amministratore sui propri computer e di limitare gli account privilegiati alle persone che ne hanno davvero bisogno, che devono usare un account ordinario per il lavoro quotidiano.
Formazione anti-phishing e cultura della segnalazione
Email malevole, phishing e social engineering sono tra i punti d'ingresso più frequenti secondo l'ACN, che parla esplicitamente di centralità del fattore umano. La formazione funziona quando è breve, frequente e concreta: esempi reali, simulazioni di phishing, istruzioni chiare su cosa fare.
Il punto più importante è la segnalazione. Un dipendente che ha cliccato su un link sospetto e lo dice subito permette di intervenire in tempo; uno che teme di essere rimproverato tace. Crea un canale semplice per segnalare e ringrazia chi lo usa.
Fornitori e filiera
L'ACN segnala attacchi con dinamiche di supply chain e incidenti presso fornitori di servizi IT i cui effetti si sono propagati a più organizzazioni. Chiedi ai fornitori critici che misure applicano, inserisci nei contratti clausole sugli incidenti e verifica chi ha accesso ai tuoi sistemi e con quali permessi.
Fattore abilitante indicato dall'ACN | Difesa prioritaria | Approfondimento |
|---|---|---|
Credenziali valide compromesse | MFA, password manager, revoca rapida degli account | |
Accesso remoto o VPN non protetti | MFA su ogni accesso remoto, aggiornamenti, accessi fornitori limitati | |
Vulnerabilità note e servizi esposti | Patch con priorità, inventario dei servizi esposti, test periodici | |
Email malevole e phishing | Formazione, simulazioni, canale di segnalazione | |
Impatto sulla continuità operativa | Backup separati, test di ripristino, piano di continuità |
Cosa fare subito: checklist per le prossime settimane
Questa è una sequenza realistica per una PMI. Non serve fare tutto in un giorno: serve assegnare ogni punto a una persona con una data.
Verifica che esista almeno una copia di backup separata dalla rete e prova a ripristinare un sistema critico.
Attiva la MFA su email, cloud, VPN e account amministrativi, partendo da quelli con più privilegi.
Elenca i servizi raggiungibili da Internet e chiudi quelli non necessari.
Controlla lo stato degli aggiornamenti su firewall, VPN, server e sistemi esposti, e iscriviti agli alert del CSIRT Italia.
Rivedi gli accessi remoti dei fornitori e disattiva quelli non più utilizzati.
Organizza una breve sessione anti-phishing e comunica a tutti come segnalare un'email sospetta.
Scrivi su una pagina chi chiamare in caso di incidente: referente interno, fornitore IT, consulente legale, DPO se presente.
Se succede: risposta, continuità e notifiche
Anche con buone difese, nessuna azienda può escludere del tutto un incidente. La differenza la fa la preparazione: sapere chi decide e cosa fare nelle prime ore riduce i danni e gli errori.
Le prime ore
Il piano di risposta deve indicare almeno chi coordina, come si isolano dalla rete i sistemi colpiti, chi contatta il fornitore IT e come si conservano le evidenze utili all'analisi. Evita di cancellare o reinstallare tutto d'impulso: le tracce servono a capire da dove è entrato l'attaccante e se ha portato via dati. L'ACN raccomanda di definire in anticipo ruoli e contatti e di fare esercitazioni periodiche sulla gestione degli incidenti.
Le notifiche
Un ransomware che colpisce dati personali è quasi sempre anche una violazione dei dati personali ai sensi del GDPR: anche la sola indisponibilità dei dati è una violazione. In questo caso l'articolo 33 chiede al titolare di notificarla al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, salvo che sia improbabile che presenti un rischio per le persone. Gli esempi delle linee guida EDPB mostrano che la valutazione cambia molto se esistono backup adeguati e se i dati sono stati esfiltrati. Tutti i passaggi sono spiegati nella guida sulle prime 72 ore dopo un data breach.
Se la tua azienda rientra tra i soggetti NIS2, verifica gli obblighi del D.Lgs. 138/2024: per gli incidenti significativi sono previste una pre-notifica al CSIRT Italia entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Le due notifiche, GDPR e NIS2, sono distinte e non si sostituiscono. Se non rientri nella NIS2, il CSIRT Italia mette comunque a disposizione un canale per segnalare un incidente informatico.
La continuità operativa
Il vero costo di un ransomware è spesso il fermo. Per questo le difese tecniche vanno affiancate da un piano di continuità: quali processi sono vitali, in quanto tempo vanno ripristinati, quanti dati puoi permetterti di perdere, come lavorare in modalità ridotta. Definire RTO e RPO realistici e verificare che backup e ripristino li rispettino è il collegamento tra sicurezza e continuità. Trovi un percorso passo passo nella guida al piano di business continuity per le PMI.
Nel medio periodo: dalle singole misure a un sistema
Le misure della checklist danno risultati rapidi, ma tendono a degradarsi: un accesso aperto per un'urgenza e mai chiuso, un aggiornamento rimandato, un backup che smette di funzionare senza che nessuno se ne accorga. Per tenerle in piedi nel tempo serve un sistema di gestione.
La ISO 27001 è lo standard internazionale per il sistema di gestione della sicurezza delle informazioni: parte dalla valutazione dei rischi e chiede di scegliere i controlli adatti, assegnare responsabilità, misurare e migliorare. Backup, controllo degli accessi, gestione delle vulnerabilità, formazione, fornitori e gestione degli incidenti sono tutti temi dei controlli dell'Annex A. Se la tua azienda deve confrontarsi anche con la NIS2, la guida su ISO 27001 e NIS2 spiega come le due cose si collegano.
Accanto al sistema servono verifiche periodiche dall'esterno. Un penetration test sulle applicazioni web mostra se i servizi esposti possono essere sfruttati davvero, mentre la ISO 22301 struttura la continuità operativa con un metodo riconosciuto. Non sono obblighi per tutti: sono strumenti da scegliere in base ai rischi e alle richieste dei clienti, con un percorso proporzionato alla tua realtà.
Come Complaion ti aiuta con sicurezza delle informazioni e NIS2
Complaion accompagna le aziende nella sicurezza delle informazioni e nelle certificazioni che la rendono verificabile. Un Lead Auditor dedicato parte dalla tua situazione, verifica cosa hai già e cosa manca e ti propone il percorso più adatto tra certificazione ISO 27001, adeguamento NIS2 e ISO 22301 per la continuità operativa.
La piattaforma raccoglie le evidenze, gestisce politiche e procedure, tiene lo scadenziario dei controlli e ti prepara all'audit. Il Lead Auditor conduce anche l'audit interno, così sai se le misure funzionano prima di una verifica esterna. Per la parte tecnica puoi affiancare un penetration test.
Oltre 1.000 clienti hanno già scelto Complaion. Se vuoi capire da dove partire, contattaci.
Domande frequenti sul ransomware in Italia
Quanti attacchi ransomware ci sono stati in Italia nel 2026?
Secondo l'Operational Summary ACN del primo semestre 2026, nei primi sei mesi dell'anno sono stati registrati 181 ransomware a danno di soggetti italiani, contro 206 nello stesso periodo del 2025, con un calo del 12%. L'ACN avverte che i dati possono essere aggiornati con nuove evidenze. Per il secondo semestre fai riferimento ai prossimi rapporti ACN.
Il calo del ransomware significa che il rischio è diminuito?
Non necessariamente. Il numero di casi registrati è sceso, ma secondo l'ACN il ransomware resta una delle minacce a maggiore impatto sulla continuità operativa e sulla riservatezza delle informazioni. Per una singola azienda conta soprattutto se le porte d'ingresso principali sono chiuse: credenziali, accessi remoti, vulnerabilità note.
Quali settori sono più colpiti dal ransomware in Italia?
Nel primo semestre 2026 l'ACN indica come settori più interessati dal ransomware il manifatturiero, la vendita al dettaglio e il tecnologico. Considerando tutti gli eventi cyber, i più interessati sono manifatturiero, tecnologico e sanitario. Il settore manifatturiero compare in entrambe le classifiche.
Qual è la difesa più efficace contro il ransomware per una PMI?
Non esiste una misura unica. Le difese con il miglior rapporto tra sforzo e beneficio sono l'autenticazione multifattore, gli aggiornamenti dei sistemi esposti e una copia di backup separata dalla rete con ripristino provato. Insieme coprono i fattori abilitanti indicati dall'ACN e limitano il danno se un attacco va a segno.
Un attacco ransomware va notificato al Garante privacy?
Se colpisce dati personali, di solito sì: anche la sola indisponibilità dei dati è una violazione dei dati personali. La notifica va fatta entro 72 ore dalla conoscenza, salvo che sia improbabile un rischio per le persone, e la valutazione dipende da elementi come backup ed eventuale esfiltrazione. Se rientri nella NIS2 c'è anche la notifica al CSIRT Italia, separata e con tempi propri.
La ISO 27001 protegge dal ransomware?
Nessuna certificazione rende un'azienda immune. La ISO 27001 però richiede di valutare i rischi, scegliere controlli adeguati e verificarli nel tempo, e molti di questi controlli riguardano proprio backup, accessi, vulnerabilità, formazione e gestione degli incidenti. Il valore sta nel mantenere le difese attive e documentate, anno dopo anno.
