Read in English: Click here
Translation provided by Dark Reading’s internal AI translation tool.
Secondo nuovi dati, l’Italia è vittima di un numero sproporzionatamente elevato di attacchi informatici. Non solo: le tipologie di attacchi che colpiscono le organizzazioni nel Paese sono molto diverse da quelle che colpiscono altre località. I ricercatori avanzano tre teorie per spiegarne il motivo.
È vero che alcune regioni e alcuni paesi sono esposti a un rischio informatico maggiore a causa di fattori economici, militari e politici. Israele è una calamita per gli hacktivisti e per le minacce persistenti avanzate (APT) regionali, legate agli Stati. La storia unica del Brasile lo rende un vero e proprio alveare di trojan bancari. L’economia degli Stati Uniti attirerà sempre la massima attenzione da parte dei truffatori. Non è però così ovvio il motivo per cui l’Italia sia un bersaglio così popolare per i criminali informatici.
«Uno dei motivi principali per cui abbiamo deciso di esaminare il panorama delle minacce in Italia è che il Paese continuava a comparire in cima alle nostre statistiche nei rapporti interni mensili», afferma Gianluca Tiepolo, analista di criminalità informatica presso Intel471. In un rapporto condiviso in esclusiva con Dark Reading prima della sua pubblicazione, Intel471 ha rilevato che l’Italia rappresenta un vero e proprio caso a sé stante nel panorama globale delle minacce informatiche. Le organizzazioni italiane subiscono attacchi a un ritmo ben superiore a quanto ci si potrebbe ragionevolmente aspettare, considerando le dimensioni del Paese, la sua economia e la sua situazione politica. Inoltre, gli attacchi sfruttanti le vulnerabilità e le infrastrutture web sono molto più comuni in Italia che altrove.
«Volevamo capire cosa fosse alla base di quelle statistiche», afferma Tiepolo. Alla fine, però, i dati dipingono un quadro quasi inspiegabile di ciò che sta accadendo nella terra della pasta e del Chianti.
Dati inspiegabili dal panorama delle minacce in Italia
L’Italia è il 25° Paese più grande al mondo ma, secondo questi nuovi dati, le sue organizzazioni rappresentano circa il 7% di tutti i dati di accesso iniziale venduti sui forum dei criminali informatici. A livello globale, è seconda solo agli Stati Uniti (30%). L’Italia si colloca inoltre al quarto posto tra i Paesi più presi di mira dal ransomware.
Ancora più strani sono i tipi di intrusioni informatiche che colpiscono le organizzazioni in Italia. Secondo i nuovi dati, gli initial access broker (IAB) hanno ottenuto il loro primo punto d’appoggio sfruttando vulnerabilità nel 57% dei casi. Le credenziali hanno spiegato solo il 23% dei casi. Nel frattempo, gli IAB hanno venduto l’accesso all’infrastruttura web di proprietà delle vittime nel 49% dei casi, con strumenti di accesso remoto e desktop remoto che rappresentano il 26% dei casi.
E allora? Forse queste cifre non saltano all’occhio. Ora, però, confrontiamole con i dati di Intel471 tratti dal suo rapporto “2026 Cyber Threat Trends & Outlook”:
A livello globale nel 2025, gli IAB hanno preso di mira gli strumenti di accesso remoto e di desktop remoto nel 67% dei casi — il 41% in più, in termini relativi, rispetto all’Italia. Nel frattempo, l’infrastruttura web — di gran lunga la risorsa più a rischio in Italia — rappresentava una frazione talmente esigua dei dati globali di Intel471 che l’azienda non si è nemmeno preoccupata di citarla nel proprio rapporto.
Allo stesso modo, secondo i dati globali dell’azienda, gli attacchi basati sulle credenziali sono oggi, in generale, otto volte più comuni di qualsiasi altro tipo di attacco. È emerso che il 49% delle inserzioni su IAB indicava le credenziali come tipo di attacco, rispetto al 23% dei dati specifici per l’Italia. E, cosa davvero esilarante, mentre in Italia rappresentano circa il 57% di tutti gli attacchi, le vulnerabilità sfruttate sono emerse solo nel 6,5% dei casi a livello globale.
Teoria n. 1: scarsa igiene della sicurezza informatica
Sebbene i dati sulla sicurezza informatica possano essere interpretati in modi diversi a seconda delle circostanze, l’Italia sembra davvero una sorta di “unicorno” del rischio informatico, afferma Tiepolo, aggiungendo che l’Italia è ormai da tempo in ritardo in termini di preparazione informatica.
«Sono italiano», dice. «Ho lavorato con molti clienti italiani diversi. Quello che posso dire è che l’Italia è probabilmente leggermente indietro rispetto ad altri paesi europei, semplicemente in termini di [adozione delle] tecnologie di sicurezza. Ad esempio, le tecnologie di rilevamento e risposta sugli endpoint (EDR) sono diventate popolari in Italia intorno al 2020–2021. Prima del 2020, la maggior parte delle aziende italiane non utilizzava la tecnologia EDR. Quindi, forse storicamente, l’Italia è un po’ indietro nell’investire effettivamente in prodotti e tecnologie di sicurezza informatica».
Inoltre, i criminali informatici opportunisti stanno sfruttando in massa vulnerabilità note, diffuse e spesso piuttosto datate per mietere un numero maggiore di vittime in Italia rispetto ad altri paesi. «I dati che abbiamo visto la scorsa settimana da PHP2Shell, credo, confermano questa valutazione. L’Italia è il paese europeo con il maggior numero di versioni PHP 4, 5 e 7, che sono ormai fuori supporto», osserva Tiepolo.
«Ben il 90% delle offerte di accesso iniziale rivolte all’Italia sono quelle che chiamiamo “offerte all’ingrosso”», ipotizza. «Non si tratta di offerte mirate specificatamente all’Italia, ma semplicemente di sfruttamento delle vulnerabilità. La nostra valutazione è che l’Italia sia probabilmente più lenta di altri paesi nell’applicare le patch ai propri sistemi».
Teoria n. 2: un effetto rete del rischio informatico
Un’altra possibilità correlata è che l’Italia si trovi vittima di una sorta di effetto rete delle vulnerabilità informatiche. La logica è più o meno questa: se determinate tecnologie sono particolarmente diffuse in un paese come l’Italia e le organizzazioni sono lente nell’affrontare le vulnerabilità di tali tecnologie, allora quel paese diventa un’economia di scala attraente.
Come ha scritto Intel471 nel proprio rapporto: «Una volta che un attore sviluppa un metodo di sfruttamento efficace, può applicare tale metodo ad altri sistemi esposti senza dover condurre un’attività di ricognizione separata ed estesa contro ciascuna organizzazione. Ciò riduce lo sforzo necessario per compromettere aziende la cui dimensione o il cui profilo potrebbero altrimenti offrire un incentivo limitato per un’intrusione mirata».
I ricercatori non hanno potuto specificare esattamente a quali tecnologie, vulnerabilità o metodi di sfruttamento questa teoria possa riferirsi, ma hanno osservato che essa si inserisce nel dato secondo cui il 90% delle offerte di accesso iniziale alle organizzazioni italiane online viene venduto all’ingrosso.
Senza avallare specificatamente i dati o le conclusioni di Intel471, i rappresentanti della società di sicurezza informatica Cleafy, con sede a Milano, hanno dichiarato a Dark Reading di aver osservato modelli sostanzialmente simili.
«La nostra ricerca sulle minacce evidenzia effettivamente un modello correlato: gli autori degli attacchi riutilizzano strumenti, infrastrutture e tecniche per estendere le campagne a diversi obiettivi bancari italiani», ha scritto l’azienda via e-mail. Ha citato casi come il kit di iniezione web drIBAN, che gli autori degli attacchi hanno utilizzato per sfruttare il sistema di Posta Elettronica Certificata (PEC), ampiamente diffuso in Italia. Casi come quello di drIBAN «non dimostrano che l’Italia abbia un mercato di accesso iniziale sproporzionatamente ampio, ma illustrano come le tecniche di attacco e le infrastrutture riutilizzabili possano aiutare i criminali informatici a estendere le operazioni su più obiettivi».
Teoria n. 3: le piccole e medie imprese spostano i dati
C’è un altro fattore, potenzialmente significativo, che spiega perché l’Italia appaia così diversa dagli altri paesi nei set di dati sugli attacchi informatici: la prevalenza delle piccole imprese.
La maggior parte delle imprese, ovunque, è di piccole dimensioni, ma, almeno rispetto ad altre economie avanzate, ciò è particolarmente vero in Italia. Una “panoramica dei dati per l’Italia” del maggio 2024 redatta da McKinsey ha rilevato che le “MSME” — micro, piccole e medie imprese — hanno contribuito all’economia e all’occupazione italiane in misura superiore di circa il 10% rispetto alla loro quota relativa in altre economie avanzate. Lo scorso marzo, inoltre, l’Organizzazione per la cooperazione e lo sviluppo economico (OCSE) ha pubblicato un rapporto in cui si indicava che nel 2023 il 99,9% delle imprese italiane era costituito da PMI e il 94,8% da microimprese.
«L’Italia ha molte piccole e medie imprese», afferma Tiepolo. «Una delle cose emerse dai dati — in particolare quelli relativi alle estorsioni — è che questi gruppi prendono di mira [in modo sproporzionato] le piccole e medie imprese. Quindi questo potrebbe essere uno dei motivi per cui [l’Italia si distingue] rispetto ad altri paesi che hanno un maggior numero di grandi aziende».
