Italia nel mirino hacker: perché siamo tra i Paesi più vulnerabili al mondo

L’Italia occupa il secondo posto mondiale per numero di accessi informatici compromessi messi in vendita dai cybercriminali e il quarto per vittime di ransomware. Si tratta di un risultato emerso dall’analisi dei mercati clandestini nei quali gli aggressori commerciano credenziali, accessi a server e reti aziendali già violate.

A fotografare la situazione è Intel 471, società statunitense specializzata in Cyber Threat Intelligence, ovvero raccolta e analisi delle informazioni sulle attività criminali online. Il suo rapporto dedicato all’Italia, relativo al periodo gennaio-settembre 2026, descrive una situazione anomala rispetto ad altri Paesi industrializzati. Perché proprio l’Italia sembra offrire così tante opportunità ai criminali informatici?

Chi è Intel 471 e perché ha studiato proprio l’Italia

Fondata nel 2014, Intel 471 opera nel settore dell’intelligence sulle minacce informatiche. Attraverso la piattaforma Verity471, gli analisti monitorano forum clandestini, mercati criminali, gruppi ransomware e infrastrutture utilizzate negli attacchi. L’attività comprende anche il ricorso a fonti umane per comprendere intenzioni e modalità operative degli aggressori.

Secondo Intel 471, circa il 7% degli accessi iniziali commercializzati nei mercati monitorati riguarda organizzazioni italiane. Soltanto gli USA, con circa il 30%, precedono l’Italia.

Gli Initial Access Broker (IAB) sono intermediari criminali che penetrano nei sistemi informatici oppure acquisiscono accessi compromessi, per poi rivenderli a gruppi interessati a furti di dati, estorsioni e attacchi ransomware.

Il 90% delle offerte relative all’Italia riguarda accessi commercializzati in blocco, spesso ottenuti sfruttando la stessa vulnerabilità su più organizzazioni.

Ancora più significativo è il metodo d’ingresso: nel 57% dei casi analizzati i criminali hanno sfruttato vulnerabilità software, mentre il 14% degli accessi deriva da attacchi brute force. Le applicazioni Web rappresentano il 49% degli accessi offerti; servizi VPN e Remote Desktop Web Access incidono ciascuno per l’11%.

Perché l’Italia è così vulnerabile? Tre possibili spiegazioni

La prima ipotesi riguarda il ritardo nell’aggiornamento e nella protezione dei sistemi informatici. Gianluca Tiepolo, analista presso Intel 471, osserva che l’adozione diffusa delle soluzioni EDR (Endpoint Detection and Response), capaci di rilevare comportamenti sospetti sui dispositivi aziendali, è arrivata in Italia relativamente tardi.

Un esempio concreto riguarda la piattaforma PHP: secondo il ricercatore, l’Italia presenta un’elevata concentrazione europea di installazioni PHP 4, 5 e 7 ormai fuori supporto.

La presenza di software obsoleto aumenta le opportunità di sfruttamento delle vulnerabilità note, come dimostrano anche le recenti vicende legate a PHP2Shell e alle vulnerabilità dei server Web.

La seconda spiegazione è economica: una vulnerabilità sfruttabile su centinaia di installazioni offre l’opportunità di aggredire più aziende con uno sforzo relativamente contenuto. I criminali non devono scegliere una vittima italiana: individuano i sistemi vulnerabili e colpiscono automaticamente quelli raggiungibili.

La terza riguarda la struttura produttiva nazionale. Le microimprese e le PMI costituiscono la quasi totalità delle aziende italiane; molte di esse non dispongono di personale specializzato, procedure continuative di aggiornamento o strumenti per individuare tempestivamente una compromissione.

Tutto questo non implica che l’Italia abbia infrastrutture meno sicure di altri Paesi: la ricerca di Intel 471 misura specifiche attività criminali osservabili e propone spiegazioni plausibili, non una graduatoria universale delle difese nazionali.

Ransomware: a pagare sono soprattutto le aziende più piccole

L’Italia risulta quarta al mondo e seconda nell’Unione Europea, dopo la Germania, per vittime di ransomware ed estorsione censite da Intel 471.

Il 46% delle vittime italiane appartiene ai settori manifatturiero e dei prodotti industriali e di consumo. Tra le imprese per le quali erano disponibili stime del fatturato, l’85% non raggiunge i 45 milioni di euro annui.

Tre organizzazioni criminali, Qilin, The Gentlemen e LockBit 5.0, concentrano il 40% delle vittime italiane individuate. Chi tiene le fila di questi gruppi non si limita a cifrare documenti: sottraggono informazioni, compromettono infrastrutture virtualizzate e cercano di neutralizzare i backup per ostacolare il ripristino. Intel 471 ha ad esempio documentato le tecniche utilizzate dal gruppo The Gentlemen.

Il problema non riguarda soltanto i dati. Un’azienda manifatturiera può interrompere la produzione perché non riesce più ad accedere agli ordini, ai gestionali o alle specifiche tecniche, anche senza un attacco diretto ai macchinari.

Telefonate fraudolente e attacchi politici: gli altri fronti

Intel 471 segnala una crescita in Italia del vishing, il phishing telefonico. Nei forum criminali compaiono annunci che cercano operatori esperti capaci di parlare con vittime italiane e impersonare banche, aziende o servizi di assistenza.

Parallelamente, il gruppo filorusso NoName057(16) continua a colpire siti istituzionali e aziende italiane attraverso attacchi DDoS, spesso motivati dal sostegno italiano all’Ucraina. Il gruppo è già finito al centro di una operazione internazionale coordinata da Europol.

Sono minacce differenti: il ransomware punta principalmente al profitto, mentre gli attacchi “hacktivisti” cercano visibilità e interruzioni dei servizi.

Come uscire dall’emergenza: cosa devono fare aziende e istituzioni

Per ridurre concretamente l’esposizione agli attacchi informatici è indispensabile intervenire sulle debolezze che i criminali sfruttano per ottenere il primo accesso alle reti aziendali, spesso attraverso servizi esposti su Internet e software non aggiornati.

Le priorità sono 8 e riguardano sia le grandi organizzazioni che le PMI, così come la Pubblica Amministrazione, con interventi che possono essere applicati anche senza disporre di un reparto di cybersecurity interno:

1. Individuare tutti i sistemi raggiungibili da Internet. Il primo passo consiste nel censire server, firewall, VPN, NAS, applicazioni Web e servizi di accesso remoto. Strumenti come Shodan e Censys permettono di individuare servizi pubblicamente visibili, mentre Nmap consente di verificare porte e servizi sui propri indirizzi IP autorizzati. Un’interfaccia amministrativa di un firewall o un server RDP esposto direttamente su Internet rappresenta una superficie d’attacco da eliminare o limitare rigorosamente.
2. Aggiornare il software ed eliminare le versioni fuori supporto. È necessario mantenere un inventario delle tecnologie utilizzate, verificare le versioni installate e dare priorità alle vulnerabilità già sfruttate dai criminali. Il catalogo KEV della CISA (Cybersecurity and Infrastructure Security Agency) raccoglie le vulnerabilità per le quali esistono conferme di uno sfruttamento concreto. Per i server web è fondamentale controllare anche le versioni di PHP, framework, plugin e CMS: rimuovere una web shell senza correggere la vulnerabilità che ne ha consentito l’installazione può rendere inutile la bonifica.
3. Mettere in sicurezza VPN, RDP e account amministrativi. Gli accessi remoti devono utilizzare l’autenticazione multifattore, preferibilmente resistente al phishing, come passkey e chiavi di sicurezza FIDO2/WebAuthn. Conviene disabilitare gli account inutilizzati, limitare i tentativi di autenticazione, impedire l’esposizione diretta di RDP e consentire l’accesso alle interfacce amministrative soltanto da reti o dispositivi autorizzati. Dove possibile, gli amministratori dovrebbero utilizzare account distinti da quelli impiegati per le normali attività.
4. Rilevare rapidamente le intrusioni. Un antivirus tradizionale potrebbe non riconoscere un aggressore che utilizza credenziali legittime o strumenti di amministrazione già presenti. Soluzioni EDR per gli endpoint e strumenti come Wazuh o Suricata possono contribuire a raccogliere eventi, individuare comportamenti sospetti e generare avvisi. È importante monitorare accessi VPN anomali, nuove utenze privilegiate, modifiche alle configurazioni dei firewall e tentativi di disattivazione dei sistemi di sicurezza.
5. Proteggere i backup e verificare che funzionino davvero. La regola del backup 3-2-1 rimane un riferimento utile: tre copie dei dati, su due tipologie di supporti, con almeno una copia conservata separatamente. Per contrastare i ransomware è opportuno prevedere anche backup immutabili od offline, non cancellabili mediante le credenziali normalmente utilizzate dagli amministratori. Almeno su base periodica bisogna eseguire un ripristino di prova: avere un backup non significa automaticamente poter recuperare l’operatività.
6. Segmentare la rete per impedire la propagazione degli attacchi. Server, postazioni degli utenti, dispositivi IoT, sistemi produttivi e infrastrutture di backup non dovrebbero condividere una rete priva di restrizioni. VLAN e regole firewall permettono di limitare le comunicazioni tra segmenti; per esempio, un PC amministrativo non dovrebbe poter raggiungere indiscriminatamente tutti i server. La segmentazione deve essere accompagnata da regole di controllo del traffico, altrimenti la semplice separazione in VLAN offre benefici limitati.
7. Prepararsi agli incidenti e contrastare il phishing telefonico. È utile stabilire chi contattare, quali sistemi isolare e come preservare i log in caso di compromissione. Il personale deve inoltre sapere che una telefonata apparentemente proveniente dall’assistenza tecnica non autorizza mai a comunicare password, codici OTP o approvare richieste MFA inattese. Le operazioni sensibili, come il ripristino di un account amministrativo, dovrebbero richiedere una verifica attraverso un canale indipendente.
8. Rendere la sicurezza sostenibile anche per le PMI. Le organizzazioni più piccole possono affidare monitoraggio e gestione degli incidenti a un fornitore MDR (Managed Detection and Response) o a un servizio di sicurezza gestito, purché siano definiti tempi di intervento, responsabilità e modalità di escalation. A livello nazionale, l’Agenzia per la Cybersicurezza Nazionale e le associazioni di categoria possono favorire la diffusione di strumenti, formazione e procedure accessibili anche alle imprese con risorse limitate.

Qualche considerazione finale

I dati ISTAT aiutano a comprendere l’urgenza degli interventi: nel 2024 appena il 32,2% delle imprese italiane con almeno 10 addetti adottava almeno 7 delle 11 misure di sicurezza informatica considerate dall’indagine, contro il 38,5% della media europea.

La vulnerabilità italiana non dipende insomma da un’unica debolezza, ma dall’accumulo di problemi spesso evitabili. La ricerca Intel 471 evidenzia soprattutto un aspetto: i criminali non devono scegliere un’azienda come bersaglio. Possono individuare sistemi vulnerabili attraverso scansioni automatizzate, comprometterli e rivenderne l’accesso ad altri gruppi. La difesa più efficace comincia quindi prima dell’attacco, eliminando quelle esposizioni che rendono un’organizzazione un bersaglio facile e conveniente.

Infine, ricorre sempre il tema dell’hacking etico: sarebbe importante che l’Italia desse un segnale forte iniziando a fidarsi di chi segnala nuove vulnerabilità in modo collaborativo, corretto e responsabile.