Rapporto CLUSIT 2026: cosa ci dicono davvero i numeri
Il rapporto annuale CLUSIT sulla sicurezza informatica in Italia e nel mondo fotografa il 2025 come l'anno della svolta quantitativa: attacchi in crescita record, gravità in aumento, e un'Italia che pesa nelle statistiche molto più del suo PIL. Ecco una lettura ragionata dei dati che contano.
Ogni anno il CLUSIT — l'Associazione Italiana per la Sicurezza Informatica — pubblica il suo rapporto sullo stato della cybersecurity, e ogni anno la fotografia si fa più netta. L'edizione 2026, presentata a marzo in apertura del Security Summit, racconta un 2025 che segna un salto quantitativo del fenomeno. Provo a estrarne i dati più significativi e, soprattutto, a leggerli invece di limitarmi a elencarli.
I numeri di fondo
A livello globale, nel 2025 si sono registrati 5.265 incidenti gravi, con un aumento del 48,7% rispetto al 2024: il valore più alto mai rilevato dal CLUSIT. Negli ultimi cinque anni gli incidenti sono cresciuti del 157%. Non è più un trend, è un cambiamento strutturale del panorama.
L'Italia, in questo quadro, occupa una posizione sproporzionata. Nel 2025 ha subìto 507 incidenti gravi (erano 357 nel 2024, +42%), pari al 9,6% del totale mondiale. Per capire la sproporzione: l'Italia rappresenta circa il 2,5% del PIL globale, ma incassa quasi il 10% degli attacchi gravi. Questo la colloca al quarto posto nel mondo e al primo in Europa per numero di incidenti subiti.
Il dato che distingue l'Italia: l'hacktivism
C'è un elemento che rende il caso italiano diverso da tutti gli altri, ed è il peso dell'hacktivism — gli attacchi motivati da ragioni ideologiche o geopolitiche anziché economiche. Nel 2025 l'Italia ha concentrato da sola il 64% di tutto l'hacktivism mondiale. Non una quota, la maggioranza: su dieci attacchi hacktivisti documentati nel mondo, quasi sette hanno colpito obiettivi italiani.
Questo spiega altri due dati che altrimenti sembrerebbero anomali. Primo: se a livello globale il cybercrime a scopo economico resta la motivazione prevalente (circa 9 incidenti su 10), in Italia la sua quota scende al 61%, proprio perché l'attivismo occupa uno spazio abnorme. Secondo: la tecnica d'attacco più diffusa in Italia è ora il DDoS, salito dal 21% al 38,5% dei casi — ed è la tecnica tipica delle campagne dimostrative hacktiviste.
Vale però una precisazione che gli stessi ricercatori CLUSIT sottolineano: questi attacchi hanno spesso finalità dimostrative e impatti sostanziali limitati. Fanno rumore mediatico più che danni profondi. Il che non li rende irrilevanti — l'effetto reputazionale è reale — ma invita a contestualizzare invece di allarmarsi.
La gravità cresce, non solo la quantità
Il dato più preoccupante non è quanti attacchi ci sono, ma quanto fanno male. L'84% degli incidenti italiani del 2025 ricade nelle categorie "Alto" o "Critico", contro il 79% del 2024. E per la prima volta il rapporto introduce una categoria "Estremo", riservata agli episodi con impatti sistemici devastanti: già 142 casi a livello globale, il 2,7% del totale.
In Italia il comparto più bersagliato è stato quello governativo, militare e delle forze dell'ordine (oltre il 28% degli incidenti, con un incremento del 290% in valore assoluto), seguito dal manifatturiero — un dato che merita attenzione, perché circa il 16% degli attacchi mondiali al settore industriale ha colpito un'organizzazione italiana. La crescente interconnessione tra sistemi IT e OT, i macchinari connessi e i dispositivi IoT stanno allargando la superficie di attacco delle nostre imprese.
Il moltiplicatore: l'intelligenza artificiale
Attraversa tutto il rapporto un tema ormai pervasivo: l'AI come acceleratore, su entrambi i fronti. Sul lato offensivo, il phishing e il social engineering sono cresciuti del 75%, e il CLUSIT attribuisce esplicitamente questa impennata all'uso dell'AI generativa per produrre messaggi personalizzati e grammaticalmente corretti su scala industriale. Il vecchio smishing pieno di errori sta lasciando il posto a esche molto più credibili e difficili da smascherare automaticamente.
Sul lato difensivo, i sistemi agentici autonomi promettono di potenziare la capacità di risposta, ma introducono a loro volta nuove superfici manipolabili. È il paradosso di questa fase: lo stesso strumento che rafforza la difesa amplia l'attacco.
Il patch management resta il tallone d'Achille
Un ultimo punto, meno appariscente ma cruciale per chi fa il mio mestiere. Le vulnerabilità sfruttate come vettore di ingresso iniziale sono cresciute in modo marcato, e una percentuale significativa degli incidenti con impatto confermato aveva come causa una vulnerabilità nota, per cui esisteva già una patch al momento dell'attacco. La finestra media tra la disponibilità di una correzione e la sua applicazione in ambiente enterprise supera spesso i 30 giorni. In quell'intervallo, qualsiasi vulnerabilità con un exploit pubblico è uno strumento a disposizione di chiunque, non solo degli attaccanti più sofisticati.
È un punto che ribadisco sempre: il patch management non è un problema tecnico, è un problema organizzativo e di prioritizzazione del rischio.
A cosa serve leggere un rapporto così
Un rapporto come il CLUSIT rischia di essere letto, commentato sui social tra addetti ai lavori, e poi archiviato. Ma il suo valore vero è come strumento di conversazione con i decisori aziendali: serve a portare a chi firma i budget la dimensione reale del fenomeno, tradotta dal linguaggio degli specialisti a quello del rischio d'impresa. I numeri, da soli, non proteggono nessuno. Servono a giustificare le scelte che proteggono.
I dati citati provengono dal Rapporto CLUSIT 2026 (edizione presentata a marzo 2026, relativa agli incidenti del 2025), integrato dalle rilevazioni del SOC Fastweb + Vodafone e dalle segnalazioni della Polizia Postale. L'articolo ha finalità divulgative.
Commenti
Posta un commento