Ogni anno il Rapporto Clusit fotografa lo stato della sicurezza informatica in Italia e nel mondo. Ogni anno le cifre crescono. Ma il Rapporto Clusit 2026 segna qualcosa di diverso rispetto ai precedenti: non è solo una questione di numeri più grandi. È il modo in cui gli attacchi sono cambiati che dovrebbe far riflettere chiunque si occupi di sicurezza aziendale.
In questo articolo analizziamo i dati più rilevanti per le aziende italiane, e ti mostriamo come trasformare queste informazioni in azioni concrete.
Il phishing non si riconosce più a occhio nudo
Partiamo dal dato che, più di tutti, impatta le organizzazioni di qualsiasi dimensione.
Il 70,7% delle minacce veicolate via e-mail nel 2025 era phishing. Non è una novità. La novità è che il 73,1% degli attacchi e-mail è oggi individuale e verticalmente mirato: niente più campagne di massa con errori grammaticali evidenti e loghi sgranati. Gli attaccanti studiano il profilo della vittima, il suo ruolo aziendale, i suoi fornitori, il linguaggio che usa, e costruiscono messaggi quasi indistinguibili da una comunicazione autentica.
Tutto questo è reso possibile dall’intelligenza artificiale generativa, che abbatte i costi e i tempi di produzione di e-mail malevole personalizzate, permettendo anche ad attori con competenze tecniche limitate di condurre campagne sofisticate su larga scala.
Il risultato? I filtri antispam e antiphishing tradizionali intercettano sempre meno. Perché un messaggio costruito ad hoc, privo delle caratteristiche comuni di una campagna di massa, è strutturalmente più difficile da rilevare in modo automatico.
Ciò che rimane come ultima, e spesso unica, barriera efficace è il collaboratore.
L'Italia: un bersaglio e una fonte di attacchi
Questo non significa necessariamente che gli attacchi originino da soggetti italiani. Nella maggior parte dei casi si tratta di infrastrutture compromesse: server, dispositivi IoT, reti aziendali mal configurate, che vengono utilizzate come ponti per colpire altri bersagli. Un dettaglio tecnico, certo. Ma che racconta quanto sia diffusa la presenza di sistemi esposti e vulnerabili nel nostro paese.
Nel solo continente europeo, nel 2025, sono state rilevate circa 12 miliardi di richieste malevole a livello applicativo, con Cross-Site Scripting e SQL Injection tra le tecniche più utilizzate. Per il segmento enterprise, gli attacchi specifici verso i database hanno rappresentato l’11,6% degli attacchi registrati, una voce che nel 2024 non compariva nemmeno tra le prime posizioni.
Ransomware: quando "pagare e decriptare" è diventato il modello più semplice
Il ransomware si è evoluto in modo radicale. Se fino a qualche anno fa lo schema era lineare (cifratura dei dati, richiesta di riscatto, eventuale ripristino) oggi gli attaccanti operano con una logica da vera e propria organizzazione criminale strutturata.
Si parla ormai di tripla e quadrupla estorsione:
- Cifratura dei dati
- Minaccia di pubblicazione delle informazioni sottratte
- Attacco DDoS parallelo per aumentare la pressione
- Contatto diretto con clienti, fornitori e dipendenti della vittima
Gruppi come LockBit, RansomHub, Medusa e Akira hanno colpito nel 2025 settori strategici come pubblica amministrazione, manifatturiero, energia e servizi finanziari in tutta Europa. Il gruppo CL0P, in febbraio 2025, ha rivendicato 385 attacchi in un solo mese, un record assoluto per attività attribuita a un singolo gruppo in un periodo così breve.
Un elemento ulteriore e particolarmente insidioso: alcuni di questi gruppi hanno iniziato a sfruttare il GDPR e la NIS2 come leva di pressione, minacciando di denunciare le vittime al Garante in caso di mancato pagamento. La compliance normativa, pensata come strumento di protezione, viene così ribaltata in arma di ricatto.
L'AI: il campo di battaglia del prossimo decennio
Il Rapporto Clusit 2026 dedica ampio spazio a uno scenario che non è più futuribile: l’intelligenza artificiale è già integrata negli strumenti degli attaccanti, e il divario tra chi la usa in difesa e chi non la usa ancora si allarga ogni mese.
Sul fronte offensivo:
- L’AI accelera lo sviluppo di exploit su vulnerabilità appena divulgate, riducendo drasticamente il tempo utile per il patching
- Permette di automatizzare la produzione di varianti di malware, rendendo inefficaci le firme statiche
- Analizza le credenziali trapelate per individuare pattern ricorrenti nelle password, facilitando l’account takeover
Sul fronte difensivo, le organizzazioni che hanno integrato AI nei loro processi di sicurezza riportano risultati concreti e misurabili: in ambienti MDR evoluti, fino al 97% degli alert viene gestito automaticamente, permettendo agli analisti di concentrare la propria attenzione sui casi davvero critici.
Non si tratta di sostituire le persone. Si tratta di dare agli esseri umani gli strumenti giusti per prendere decisioni migliori, più velocemente.
Tre aree su cui agire subito
Dalla lettura del Rapporto emergono tre priorità concrete per qualsiasi organizzazione, indipendentemente dalle sue dimensioni:
- Ridurre il rischio umano con simulazioni reali
Il phishing mirato si combatte allenando le persone a riconoscerlo:non con corsi teorici, ma con simulazioni che replicano gli schemi di attacco reali. Non si tratta di “trovare i colpevoli”, ma di costruire una cultura della sicurezza che trasformi ogni collaboratore in una risorsa attiva di difesa. - Avere visibilità sulla propria superficie di attacco
Il 37% degli attacchi in area EMEA nel 2025 ha colpito endpoint API. Le credenziali compromesse sono il vettore di accesso iniziale più sfruttato. Non si può proteggere ciò che non si vede: mappare la superficie esposta è il prerequisito di qualsiasi strategia di sicurezza efficace. - Avere un piano di risposta testato,non solo scritto
La differenza tra un incidente contenuto e una crisi aziendale si misura in minuti. Le organizzazioni che si sono dimostrate più resilienti nel 2025 sono quelle che avevano già testato i propri piani di incident response, con playbook aggiornati e ruoli chiari.
HiSolution Console: un'unica dashboard per tutta la sicurezza IT
HiSolution Console è la piattaforma in cui è racchiuso l’intero ecosistema IT e networking della tua azienda. Al suo interno confluiscono i dati di tutti i servizi HiSolution: HiCompliance, HiPatch, HiLog, HiMFA, HiEndpoint, HiFirewall, HiDetect, HiMobile e HiTrack, in un’unica dashboard centralizzata.
Non più strumenti isolati da controllare uno a uno, ma un solo punto di accesso da cui monitorare compliance, patching, log, autenticazione multifattore, endpoint, firewall, rilevamento delle minacce, dispositivi mobili e asset di rete: tutta la postura di sicurezza della tua azienda, sempre sotto controllo.
Conclusione: i dati del Clusit 2026 non sono un allarme. Sono un piano d'azione.
Il Rapporto Clusit 2026 non è lettura piacevole. Ma è lettura necessaria. Perché ogni dato che contiene descrive uno scenario reale, già accaduto, che ha colpito aziende con strutture e dimensioni simili alle vostre.
La buona notizia è che gli strumenti per affrontare questi scenari esistono. Non richiedono budget da grande corporation. Richiedono metodo, consapevolezza e il partner giusto.
Vuoi capire quanto è davvero protetta la tua azienda?
Contattaci per una valutazione gratuita: i nostri esperti ti aiuteranno a identificare le priorità e a costruire un percorso di sicurezza su misura.
