Rapporto Clusit ottobre 2026: gli incidenti aumentano, il tempo per reagire no

Il dato da cui partire è questo: 4.911 incidenti nel mondo in sei mesi. Quasi quanti ne erano stati registrati in tutto il 2025. L’aggiornamento di ottobre del Rapporto Clusit 2026 descrive una pressione che diventa sempre più difficile da gestire. Per un’azienda significa dover riconoscere un attacco e prendere decisioni prima che il problema si allarghi. E farlo mentre le attività devono continuare.

In Italia i numeri seguono un andamento diverso: il peso dell’Italia sul totale mondiale scende, mentre nel campione italiano cresce, rispetto al 2025, la quota degli incidenti classificati High. Cambiano anche i bersagli e il tipo di attacco. Il manifatturiero è al primo posto e il cybercrime torna a dominare. Sono segnali da prendere sul serio, soprattutto per chi deve tenere in piedi la produzione.

Nel mondo: 819 incidenti al mese

A livello mondiale, i 4.911 incidenti del primo semestre 2026 sono il 105% in più rispetto al semestre precedente e il 71% in più rispetto ai primi sei mesi del 2025. La media mensile sale a 819: nel 2025 era di 439, nel 2021 di 171.

C’è un confronto che rende bene l’idea. Febbraio, il mese meno intenso del nuovo semestre con 684 incidenti, supera aprile 2025, che con 511 era stato il peggiore di quell’anno.

Dietro questa crescita mondiale c’è soprattutto il cybercrime: 4.683 incidenti, il 95,4% del totale. In sei mesi siamo già vicini ai 4.704 dell’intero 2025. L’hacktivismo scende invece a 62 eventi, contro i 227 del primo semestre 2025. Il calo degli attacchi dimostrativi non compensa quindi la pressione di quelli orientati al guadagno. Per le aziende, è questa la parte del quadro che dovrebbe preoccupare di più.

I dati mondiali hanno un limite

Per 3.321 incidenti nel mondo, cioè circa due terzi di quelli analizzati, le informazioni pubbliche disponibili non permettono a Clusit di identificare la tecnica di attacco. Il Rapporto li classifica come Undisclosed. Gli eventi di cui conosciamo la tecnica sono invece 1.590, contro i 1.930 del primo semestre 2025. Sappiamo che un incidente è avvenuto, ma spesso mancano i dettagli necessari per capire come gli attaccanti siano entrati.

Questo va tenuto presente quando si leggono i numeri. Le notifiche alle autorità non rendono automaticamente pubbliche le informazioni tecniche. E il campione mondiale Clusit raccoglie incidenti significativi resi noti, non ogni tentativo di attacco o ogni violazione. Il record resta preoccupante, ma non permette di attribuire tutta la crescita a una sola causa. Ignorare questo limite sarebbe un errore, tanto quanto usarlo per minimizzare il problema.

In Italia: la quota mondiale scende, il rischio resta

In Italia gli incidenti gravi noti sono 245. Il Rapporto indica un aumento dell’8% rispetto ai 227 del secondo semestre 2025; nel primo semestre di quell’anno erano stati 280. La quota italiana sul totale mondiale scende dal 9,5% del semestre precedente al 5%.

È un dato che può trarre in inganno: se gli incidenti nel mondo aumentano molto più rapidamente, il peso dell’Italia si riduce. Questo, da solo, non dimostra che le nostre aziende siano più al sicuro.

Guardando soltanto all’Italia, il cybercrime pesa per circa l’82% degli incidenti. L’hacktivismo si ferma al 17%, contro il 38,7% dell’intero 2025. Il malware torna al primo posto tra le tecniche, con il 43% del campione italiano. I DDoS scendono al 17%, la stessa quota raggiunta da phishing e social engineering. Il tentativo di ingannare una persona resta quindi un problema concreto, anche quando l’azienda ha investito in protezioni tecniche.

Anche gli impatti meritano attenzione. Nel campione italiano, gli incidenti High arrivano a circa il 57%, quelli Critical a circa l’8%; Medium e Low rappresentano circa il 35%. Rispetto al 2025 si riduce il peso degli attacchi dimostrativi e cresce la quota degli incidenti High, mentre quella degli incidenti Critical resta sostanzialmente stabile. Prima di parlare di un miglioramento delle difese italiane servono conferme sui dati dell’intero anno. Nel frattempo, abbassare la guardia sarebbe una lettura troppo comoda.

Il manifatturiero: primo bersaglio in Italia

Il manifatturiero raccoglie il 18,4% degli incidenti italiani ed è il settore più colpito nel nostro Paese. Nel mondo è invece ottavo. Un altro dato chiarisce l’esposizione italiana: nel campione mondiale del comparto, il 17% delle vittime si trova in Italia. Per chi lavora sulla sicurezza industriale, il problema è molto pratico. Un incidente può coinvolgere sistemi dai quali dipendono produzione e continuità operativa, non soltanto documenti e caselle di posta.

L’indagine Women for Security sugli ambienti OT nelle imprese italiane, con 75 organizzazioni rispondenti, mostra alcune lacune da non sottovalutare. L’80% dichiara di usare VPN per gli accessi remoti industriali, ma soltanto il 21% dichiara di estendere gli aggiornamenti validati ai dispositivi OT e SCADA.

E solo 25 organizzazioni su 75 dichiarano di avere un inventario completo degli asset OT. Senza sapere con precisione quali sistemi sono presenti, gestire il rischio diventa più difficile.

Questa indagine descrive il suo campione, non tutta l’industria italiana. Il problema che mette in luce, però, è concreto: proteggere un accesso remoto non risolve le carenze nella gestione dei sistemi e delle loro dipendenze. E avere un backup non significa automaticamente saper riavviare un impianto. Per ripartire in sicurezza servono procedure, configurazioni e una sequenza di recupero verificata prima dell’emergenza.

Nel mondo crescono anche i rischi per settori e fornitori

Tornando allo scenario mondiale, il comparto governativo, militare e delle forze dell’ordine è al primo posto con 751 incidenti, il 15,3% del totale. Il commercio all’ingrosso e al dettaglio arriva a 467 eventi, contro i 101 del primo semestre 2025. L’ICT ne registra 422, più dei 375 dell’intero anno precedente.

Quest’ultimo dato interessa anche chi non vende servizi informatici: un fornitore compromesso può trasferire il problema ai suoi clienti. La sicurezza di un’azienda dipende anche da connessioni e accessi che ha affidato ad altri.

Sempre nel mondo, la sanità registra 335 incidenti, sostanzialmente in linea con i 337 del primo semestre 2025. Ma il 58% degli eventi del settore ha impatto Critical o Extreme, contro il 24% del campione mondiale complessivo. Guardare soltanto al numero degli incidenti farebbe perdere il punto più importante: quanto pesano le conseguenze quando uno di questi attacchi riesce.

AI: attacchi più facili, difese sotto pressione

Sull’intelligenza artificiale serve precisione, non uno slogan. Il Rapporto chiarisce che l’AI non è ancora il fattore determinante della crescita degli incidenti mondiali nel primo semestre 2026. Attribuirle tutto sarebbe sbagliato. Questo non rende il suo ruolo meno preoccupante: può facilitare alcune attività offensive, rendere le campagne più sofisticate e abbassare le competenze necessarie per avviarle.

Il Rapporto guarda anche all’agentic hacking: sistemi di AI che potrebbero coordinarsi, combinare tecniche e vulnerabilità e adattare le proprie azioni. È uno scenario di evoluzione, non la spiegazione di tutti gli incidenti già registrati. Per chi difende, però, la domanda è attuale: quanto tempo passa tra il primo segnale e una decisione? Se ogni passaggio dipende da verifiche manuali e responsabilità poco chiare, la risposta rischia di arrivare tardi.

Un altro problema, che non riguarda soltanto l’Italia, è la Shadow AI. Parliamo di strumenti usati in azienda senza autorizzazione o senza controlli adeguati. Un account personale, dati aziendali caricati su un servizio esterno, un’attività automatizzata senza valutarne i rischi. Sono situazioni che possono sfuggire a chi si occupa di sicurezza. E ciò che non è visibile diventa difficile da controllare, anche quando nasce con l’intenzione di lavorare più in fretta.

Banche italiane: un pagamento autenticato può essere una frode

Per il settore bancario italiano, il contributo CERTFin offre un campione diverso da quello degli incidenti Clusit. Il Report CERTFin 2026 include dati riferiti al 2025 e raccoglie le segnalazioni di 35 organizzazioni rappresentative di oltre il 90% del settore bancario italiano.

La manipolazione del pagatore pesa per l’81% delle modalità di frode nel Retail e per il 70% nel Corporate. In pratica, la vittima viene convinta a disporre un pagamento che crede legittimo.

Nello stesso campione bancario italiano, il 96% delle frodi effettive risulta eseguito con autenticazione forte correttamente completata. Quando il cliente viene manipolato, l’autenticazione forte può essere completata correttamente senza impedire la frode. È un dato che dovrebbe far riflettere anche le imprese: verificare chi autorizza un’operazione non basta a garantire che quell’operazione abbia senso e sia legittima.

Avere gli strumenti non basta, se la risposta si inceppa

Il rischio comune è affidarsi a protezioni che lavorano separate. Nel nostro contributo al Rapporto, Veronica Leonardi di CYBEROO affronta questo problema attraverso la cybersecurity sistemica: mettere in relazione tecnologia, governance, compliance, processi e persone.

Tradotto nel lavoro quotidiano, significa sapere chi prende in carico un segnale, chi può isolare un sistema, quali attività rischiano di fermarsi e chi deve decidere. Se queste risposte mancano, un alert può restare sullo schermo mentre il problema continua.

Lo stesso vale per NIS2 e Cyber Resilience Act. Rafforzano l’attenzione al rischio e alle responsabilità, ma i documenti non fermano un attacco. Bisogna sapere quali servizi proteggere per primi, quali fornitori possono esporli e se le procedure di risposta e ripristino funzionano davvero. Scoprirlo durante un incidente significa dover correggere gli errori nel momento peggiore.

L’aggiornamento di ottobre 2026 del Rapporto Clusit mostra come sta cambiando il rischio per le organizzazioni. Nel mondo gli incidenti aumentano; in Italia la quota sul totale scende, ma nel campione italiano cresce, rispetto al 2025, la quota degli incidenti classificati High.

La domanda da farsi non è soltanto quali strumenti siano installati. È cosa succederebbe domani se un sistema essenziale venisse compromesso: chi se ne accorgerebbe, chi deciderebbe e come si ripartirebbe. Se le risposte sono vaghe, il problema è già lì. Aspettare l’incidente per chiarirle è un rischio che nessuna azienda dovrebbe prendere.