Ogni anno il Rapporto Clusit fotografa lo stato della sicurezza informatica in Italia e nel mondo. Ogni anno le cifre crescono. Ma il Rapporto Clusit 2026 segna qualcosa di diverso rispetto ai precedenti: non è solo una questione di numeri più grandi. È il modo in cui gli attacchi sono cambiati che dovrebbe far riflettere chiunque si occupi di sicurezza aziendale. In questo articolo analizziamo i dati più rilevanti per le aziende italiane e ti mostriamo come trasformare queste informazioni in azioni concrete.
Il phishing non si riconosce più a occhio nudo
Partiamo dal dato che, più di tutti, impatta sulle organizzazioni di qualsiasi dimensione.
Il Rapporto Clusit 2026 colloca il phishing all’8% delle tecniche di attacco rilevate a livello globale, e al 4% in Italia. Un dato che potrebbe sembrare in calo, se non fosse che il fenomeno sta cambiando natura più che perdere peso: gli attacchi via e-mail sono sempre più spesso individuali e verticalmente mirati, costruiti su misura per la vittima. Niente più campagne di massa con errori grammaticali evidenti e loghi sgranati: gli attaccanti studiano il profilo della vittima, il suo ruolo aziendale, i suoi fornitori, il linguaggio che usa, e costruiscono messaggi quasi indistinguibili da una comunicazione autentica.
Tutto questo è reso possibile dall’intelligenza artificiale generativa, che abbatte i costi e i tempi di produzione di e-mail malevole personalizzate, permettendo anche ad attori con competenze tecniche limitate di condurre campagne sofisticate su larga scala.
Il risultato? I filtri antispam e antiphishing tradizionali intercettano sempre meno. Perché un messaggio costruito ad hoc, privo delle caratteristiche comuni di una campagna di massa, è strutturalmente più difficile da rilevare in modo automatico.
Ciò che rimane come ultima, e spesso unica, barriera efficace è il collaboratore.
L'Italia: un bersaglio e una fonte di attacchi
Un altro dato del Rapporto Clusit 2026 che merita attenzione riguarda il peso dell’Italia nel panorama globale: il nostro Paese rappresenta il 10,2% degli incidenti gravi censiti a livello mondiale nel 2025.
Nella maggior parte dei casi si tratta di infrastrutture compromesse: server, dispositivi IoT, reti aziendali mal configurate, che vengono utilizzate come ponti per colpire altri bersagli.
Un dettaglio tecnico, certo. Ma che racconta quanto sia diffusa la presenza di sistemi esposti e vulnerabili nel nostro Paese.
Nel corso del 2025 gli attacchi a livello applicativo, in particolare tramite tecniche come Cross-Site Scripting e SQL Injection, si confermano tra i vettori più utilizzati contro le organizzazioni europee. Anche gli attacchi mirati ai database restano una voce in crescita rispetto agli anni precedenti.
Ransomware: quando "pagare e decriptare" è diventato il modello più semplice
Il ransomware si è evoluto in modo radicale. Se fino a qualche anno fa lo schema era lineare (cifratura dei dati, richiesta di riscatto, eventuale ripristino) oggi gli attaccanti operano con una logica da vera e propria organizzazione criminale strutturata.
Si parla ormai di tripla e quadrupla estorsione:
- Cifratura dei dati
- Minaccia di pubblicazione delle informazioni sottratte
- Attacco DDoS parallelo per aumentare la pressione
- Contatto diretto con clienti, fornitori e dipendenti della vittima
Gruppi come LockBit, RansomHub, Medusa e Akira hanno colpito nel 2025 settori strategici come pubblica amministrazione, manifatturiero, energia e servizi finanziari in tutta Europa. Il gruppo CL0P, in febbraio 2025, ha rivendicato 385 attacchi in un solo mese, un record assoluto per attività attribuita a un singolo gruppo in un periodo così breve.
Un elemento ulteriore e particolarmente insidioso: alcuni di questi gruppi hanno iniziato a sfruttare il GDPR e la NIS2 come leva di pressione, minacciando di denunciare le vittime al Garante in caso di mancato pagamento. La compliance normativa, pensata come strumento di protezione, viene così ribaltata in arma di ricatto.
L'AI: il campo di battaglia del prossimo decennio
Il Rapporto Clusit 2026 dedica ampio spazio a uno scenario che non è più futuribile: l’intelligenza artificiale è già integrata negli strumenti degli attaccanti, e il divario tra chi la usa in difesa e chi non la usa ancora si allarga ogni mese.
Sul fronte offensivo:
- L’AI accelera lo sviluppo di exploit su vulnerabilità appena divulgate, riducendo drasticamente il tempo utile per il patching
- Permette di automatizzare la produzione di varianti di malware, rendendo inefficaci le firme statiche
- Analizza le credenziali trapelate per individuare pattern ricorrenti nelle password, facilitando l’account takeover
Sul fronte difensivo, le organizzazioni che hanno integrato l’AI nei loro processi di sicurezza riportano risultati concreti e misurabili: la quota di alert gestiti in automatico nei processi di detection and response è in costante crescita, permettendo agli analisti di concentrare la propria attenzione sui casi davvero critici.
Non si tratta di sostituire le persone. Si tratta di dare agli esseri umani gli strumenti giusti per prendere decisioni migliori, più velocemente.
Tre aree su cui agire subito
Dalla lettura del Rapporto emergono tre priorità concrete per qualsiasi organizzazione, indipendentemente dalle sue dimensioni:
- Ridurre il rischio umano con simulazioni reali. Il phishing mirato si combatte allenando le persone a riconoscerlo: non con corsi teorici, ma con simulazioni che replicano gli schemi di attacco reali. Non si tratta di «trovare i colpevoli», ma di costruire una cultura della sicurezza che trasformi ogni collaboratore in una risorsa attiva di difesa.
- Avere visibilità sulla propria superficie di attacco. Gli endpoint e le API restano tra i bersagli più colpiti nell’area EMEA nel corso del 2025. Le credenziali compromesse continuano a essere il vettore di accesso iniziale più sfruttato. Non si può proteggere ciò che non si vede: mappare la superficie esposta è il prerequisito di qualsiasi strategia di sicurezza efficace.
- Avere un piano di risposta testato, non solo scritto. La differenza tra un incidente contenuto e una crisi aziendale si misura in minuti. Le organizzazioni che si sono dimostrate più resilienti nel 2025 sono quelle che avevano già testato i propri piani di incident response, con playbook aggiornati e ruoli chiari.
Da questi dati alla soluzione: HiSolution Console, un'unica dashboard per tutta la sicurezza IT
Lavoriamo ogni giorno con aziende che affrontano esattamente questi scenari. Le soluzioni che abbiamo sviluppato nascono da questa esperienza sul campo, e convergono in un unico strumento: HiSolution Console.
È la piattaforma in cui confluisce l’intero ecosistema di sicurezza IT della tua azienda: i dati dei servizi HiSolution si integrano con quelli delle principali soluzioni di terze parti già in uso, in un’unica dashboard centralizzata.
Non più strumenti isolati da controllare uno a uno, ma un solo punto di accesso da cui monitorare l’intera postura di sicurezza della tua azienda, sempre aggiornata e sotto controllo.
Conclusione: i dati del Clusit 2026 non sono un allarme. Sono un piano d'azione.
Il Rapporto Clusit 2026 non è lettura piacevole. Ma è lettura necessaria. Perché ogni dato che contiene descrive uno scenario reale, già accaduto, che ha colpito aziende con strutture e dimensioni simili alla tua.
La buona notizia è che gli strumenti per affrontare questi scenari esistono. Non richiedono budget da grande corporation. Richiedono metodo, consapevolezza e il partner giusto.
Vuoi capire quanto è davvero protetta la tua azienda?
Contattaci per una valutazione gratuita: i nostri esperti ti aiuteranno a identificare le priorità e a costruire un percorso di sicurezza su misura.
