La manifattura è il primo bersaglio degli incidenti cyber noti in Italia: raccoglie il 18,4% dei casi censiti nel primo semestre 2026. E le vittime italiane rappresentano il 17% di quelle manifatturiere mondiali, mentre il peso del Paese sul totale degli incidenti si ferma al 5%.
L’aggiornamento di ottobre del Rapporto Clusit 2026, presentato al Security Summit di Verona, censisce 245 incidenti cyber nel primo semestre dell’anno in Italia, contro i 280 rilevati nello stesso periodo del 2025, con una flessione del 12,5%.
Il confronto con il semestre immediatamente precedente mostra però un’inversione di tendenza: gli episodi tornano a crescere di circa l’8%. Cambia anche la composizione degli attacchi, con il ridimensionamento delle azioni dimostrative e un ulteriore rafforzamento del cybercrime, che rappresenta ormai circa l’82% del campione italiano.
Lo studio dell’Associazione italiana per la sicurezza informatica analizza gli incidenti di particolare gravità divenuti di dominio pubblico e ricostruiti attraverso fonti aperte. Tra i settori più colpiti, la manifattura si colloca al primo posto (18,4%), davanti agli attacchi rivolti a obiettivi appartenenti a più comparti (18%) e al settore governativo, militare e delle forze dell’ordine (11%).
Aumenta anche il peso dei fornitori tecnologici. Il settore ICT raggiunge l’8,6% degli incidenti italiani, con un incremento di 4,4 punti percentuali rispetto al 2025; la stessa quota spetta al commercio all’ingrosso e al dettaglio.
Indice degli argomenti
Manifattura e fornitori ICT: il rischio attraversa la filiera
La concentrazione degli incidenti nelle imprese produttive si accompagna a un cambiamento nelle tecniche rilevate.
Il malware torna al primo posto in Italia con il 43% dei casi, rispetto al 22,7% dell’intero 2025. Nella lettura dei ricercatori, le piccole e medie imprese manifatturiere restano obiettivi di una criminalità informatica sempre più efficiente e automatizzata.
«Nel nostro Paese sarà sempre più necessario gestire il rischio sistemico», osserva Luca Bechelli, del Comitato direttivo Clusit. Secondo Bechelli, oltre una certa frequenza di incidenti, manifattura, amministrazioni, infrastrutture critiche e servizi ICT possono trovarsi in una condizione di sofferenza costante, con ricadute sul funzionamento dei settori e sull’economia nazionale.
Il che suggerisce di collegare la valutazione dei fornitori ai processi aziendali che quei servizi sostengono. La domanda operativa diventa quali attività si fermerebbero in caso di indisponibilità, quali alternative esistano e come coordinare il ripristino. È una conseguenza della dipendenza tra organizzazioni che il rapporto mette in evidenza.
Il record mondiale degli incidenti gravi e il vuoto sui dettagli tecnici
Il quadro italiano si colloca in un semestre da record mondiale: Clusit conta 4.911 incidenti gravi noti, il 71% in più del primo semestre 2025 e il 105% in più del secondo, quando erano stati 2.392. In sei mesi si raggiunge il 93% degli episodi censiti nell’intero 2025. La media mensile sale a 819, contro i 439 dello scorso anno.
La crescita si concentra negli eventi per i quali la tecnica d’attacco non è pubblica. Questi casi passano da 943 nel primo semestre 2025 a 3.321 nello stesso periodo del 2026, circa due terzi del campione. Gli episodi con tecnica conosciuta scendono invece da 1.930 a 1.590. Il confronto mostra come aumenti soprattutto la parte del fenomeno sulla quale mancano dettagli tecnici accessibili.
I ricercatori parlano di «paradosso della trasparenza»: gli obblighi di notifica fanno emergere più incidenti, ma le informazioni trasmesse alle autorità non diventano automaticamente pubbliche. Le organizzazioni mantengono riservati i dettagli anche per ragioni reputazionali e per ridurre il rischio di nuovi attacchi. La maggiore visibilità dei casi convive così con una minore possibilità di ricostruirne i meccanismi.
Su scala globale il cybercrime pesa per il 95,4%, con 4.683 incidenti. Il comparto governativo, militare e delle forze dell’ordine torna in testa tra le vittime, con 751 casi e il 15,3% del totale. Il commercio all’ingrosso e al dettaglio sale dal nono al terzo posto, con 467 episodi: oltre quattro volte quelli dello stesso semestre 2025.
In Italia meno hacktivism, ma cresce il peso degli impatti elevati
Il prevalere delle motivazioni economiche si accompagna alla contrazione dell’hacktivism, cioè delle azioni informatiche con finalità politiche o dimostrative. In Italia la sua quota scende dal 38,7% dell’intero 2025 al 17% del primo semestre 2026.
Nello stesso confronto, gli attacchi distribuiti di negazione del servizio, o DDoS, passano dal 38,5% al 17%: sono azioni che puntano a rendere indisponibili i servizi e che colpiscono frequentemente la pubblica amministrazione.
La diversa composizione si riflette sulla gravità. Gli incidenti italiani con impatto elevato raggiungono il 57%, con un aumento di quasi 20 punti percentuali rispetto al 2025; quelli medio-bassi si fermano al 35% e i critici all’8%. Secondo Clusit, il maggiore peso del cybercrime contribuisce a spiegare conseguenze più significative per le vittime.
La gravità degli incidenti in Italia
| Livello di gravità | Quota nel I semestre 2026 |
|---|---|
| Elevato | 57% |
| Medio-basso | 35% |
| Critico | 8% |
Fonte: Clusit, aggiornamento ottobre 2026. Distribuzione sui 245 incidenti noti in Italia nel primo semestre 2026
Restano segnali favorevoli da verificare nel tempo. Energia e utilities riducono la propria quota dal 2,4% del 2025 all’1,2% del semestre, mentre la sanità si colloca all’ultimo posto nella distribuzione italiana. Gli autori invitano a leggere questi risultati con prudenza sui miglioramenti settoriali, perché il confronto con altri rapporti nazionali e internazionali restituisce un quadro ancora incerto.
Tra le possibili spiegazioni, Clusit indica difese e procedure migliori, ripristini più rapidi e gli effetti delle iniziative pubbliche e delle normative sulla sicurezza. L’associazione considera il possibile contributo di NIS2, legge 90/2024 e investimenti del Piano nazionale di ripresa e resilienza (PNRR) un’ipotesi da consolidare con i dati dell’intero 2026. La diminuzione delle azioni dimostrative può risentire anche del loro minore richiamo mediatico.
L’intelligenza artificiale accelera gli attacchi e la risposta
Alla trasformazione del rischio si aggiunge l’intelligenza artificiale. Per i ricercatori Clusit è un moltiplicatore delle capacità offensive: facilita attività sofisticate e abbassa la barriera d’ingresso per soggetti meno esperti. Gli autori escludono però che possa essere considerata il motore della crescita degli incidenti osservata nel primo semestre 2026.
L’evoluzione attesa è l’agentic hacking: gruppi di agenti AI che coordinano azioni, adattano le strategie e combinano tecniche e vulnerabilità per compromettere i sistemi. Clusit richiama i primi segnali di questo sviluppo e prospetta attacchi interamente automatizzati. Per la difesa, la conseguenza è la necessità di accorciare i tempi di rilevazione e risposta, con contromisure automatizzate e una governance capace di adeguarsi al cambiamento.
La misura dei risultati resta la capacità di contenere gli effetti degli incidenti e riprendere le attività. Anna Vaccarelli, presidente di Clusit, richiama il rischio di interpretare il minore peso italiano sul totale mondiale come un rassicurante arretramento della minaccia. La cybersecurity, afferma, «va considerata il fondamento della continuità operativa». Per le imprese questo significa valutare insieme protezione, dipendenze dai fornitori e capacità di ripristino dei servizi da cui dipende il business.
Partecipa alla community