Gli incidenti informatici gravi continuano a crescere nel mondo, raggiungendo nuovi livelli record. E se in Italia il numero degli episodi censiti appare relativamente più contenuto, a cambiare è soprattutto la natura delle minacce: meno attacchi dimostrativi, più cybercrime orientato al profitto. E le imprese manifatturiere sono il principale bersaglio dei criminali informatici.
È questa la fotografia che emerge dall’aggiornamento del Rapporto Clusit 2026, presentato il 28 ottobre al Security Summit di Verona.
Indice degli argomenti
I dati aggiornati sugli incidenti
Nei primi sei mesi dell’anno Clusit ha censito 4.911 incidenti informatici gravi a livello mondiale, il numero più alto mai registrato in un singolo semestre. Si tratta di un incremento del 71% rispetto al primo semestre 2025 e del 105% rispetto alla seconda metà dello scorso anno.
In Italia gli incidenti sono stati 245, contro i 280 del primo semestre 2025 e i 227 della seconda metà dell’anno. La quota italiana sul totale mondiale scende così al 5%, dal 9,6% registrato nell’intero 2025.
Un dato che, tuttavia, non deve essere interpretato come un ridimensionamento del rischio cyber per il nostro Paese, anzi. Ma partiamo dai dati mondiali.
Nel mondo gli incidenti raddoppiano in sei mesi
La crescita globale rilevata da Clusit è impressionante. I 4.911 incidenti del primo semestre 2026 rappresentano già il 93% di quelli registrati nell’intero 2025, quando il totale si era fermato a 5.265.
La media mensile ha raggiunto quota 819 incidenti, contro i 439 del 2025 e i 171 del 2021.
A guidare questa crescita è il cybercrime, responsabile del 95,4% degli incidenti mondiali, pari a 4.683 episodi. L’hacktivism, cioè gli attacchi informatici condotti prevalentemente per finalità ideologiche, politiche o dimostrative, si è invece ridotto a 62 episodi, in calo del 73% rispetto al primo semestre 2025.
Tra le vittime, il settore governativo, militare e delle forze dell’ordine torna al primo posto, con 751 incidenti, pari al 15,3% del totale. Seguono la categoria degli obiettivi multipli (14,1%) e il commercio all’ingrosso e al dettaglio (9,5%), che sale dalla nona alla terza posizione.
Ma c’è un elemento che impone una lettura più attenta di questi numeri.
Aumentano gli incidenti, diminuiscono le informazioni disponibili
Secondo i ricercatori Clusit la crescita degli incidenti a livello globale si concentra interamente nella categoria dei casi per i quali non è stato possibile identificare, attraverso le fonti pubbliche, la tecnica utilizzata dagli attaccanti.
Questi incidenti, classificati come undisclosed, sono passati dai 943 del primo semestre 2025 a 3.321 nel primo semestre 2026, arrivando a rappresentare circa due terzi del campione mondiale.
Gli incidenti per i quali la tecnica è nota sono invece diminuiti da 1.930 a 1.590.
È quello che Clusit definisce il “paradosso della trasparenza”: gli obblighi di notifica sempre più stringenti contribuiscono a far emergere un maggior numero di incidenti, ma non necessariamente a rendere pubbliche le informazioni che consentirebbero di comprenderne le modalità.
Le organizzazioni, infatti, tendono a mantenere riservati i dettagli tecnici degli attacchi, anche per ragioni reputazionali e per evitare di esporre ulteriormente i propri sistemi.
Il risultato è che aumenta la visibilità sull’esistenza degli incidenti, ma diminuisce la conoscenza delle tecniche utilizzate. Una situazione che rende più difficile ricostruire l’evoluzione effettiva delle minacce e individuare le contromisure più appropriate.
In Italia diminuisce l’hacktivism, torna protagonista il cybercrime
E veniamo all’Italia. Nel nostro Paese la situazione presenta alcune caratteristiche differenti rispetto al quadro mondiale. Gli incidenti gravi censiti nel primo semestre 2026 sono stati 245, in diminuzione del 12,5% rispetto allo stesso periodo del 2025, ma in aumento dell’8% rispetto al semestre immediatamente precedente.
A cambiare in modo significativo è soprattutto la composizione degli attacchi.
Nel 2025 l’hacktivism rappresentava il 38,7% degli incidenti italiani. Nei primi sei mesi del 2026 la sua incidenza è scesa a circa il 17%, mentre il cybercrime è risalito all’82% del totale, contro il 60,9% dell’intero 2025.
Questo cambiamento si riflette anche nelle tecniche utilizzate. Gli attacchi DDoS, che mirano a rendere indisponibili siti e servizi attraverso un sovraccarico di richieste, sono passati dal 38,5% al 17%.
Il malware è tornato a essere la tecnica più utilizzata, arrivando a rappresentare il 43% degli incidenti, contro il 22,7% del 2025.
Si tratta di un cambiamento importante perché segnala il maggiore peso delle attività criminali orientate a ottenere un ritorno economico, rispetto alle azioni dimostrative che avevano caratterizzato una parte significativa dello scenario italiano.
La riduzione dell’hacktivism è stata accompagnata da un ridimensionamento degli incidenti diretti contro il settore governativo, militare e delle forze dell’ordine, la cui quota è scesa dal 28,4% all’11%.
Secondo Clusit tra le possibili spiegazioni figurano il miglioramento delle procedure di difesa e ripristino dei servizi, le misure adottate in seguito alla Legge 90/2024 e alla direttiva NIS2, ma anche il minore interesse mediatico per gli attacchi dimostrativi.
Gli stessi ricercatori invitano tuttavia alla prudenza: per stabilire se si tratti di una tendenza consolidata bisognerà attendere i dati dell’intero 2026.
Il manifatturiero diventa il settore più colpito in Italia
La trasformazione del panorama delle minacce trova una conferma nella distribuzione delle vittime.
Il manifatturiero è oggi il settore più colpito in Italia, con il 18,4% degli incidenti registrati nei primi sei mesi del 2026, contro l’11,7% dell’intero 2025.
Un dato particolarmente significativo se confrontato con quello mondiale, dove il Manufacturing rappresenta soltanto il 5,4% degli incidenti e si colloca all’ottavo posto tra i settori coinvolti.
Le imprese manifatturiere italiane rappresentano il 17% delle vittime mondiali di questo settore, nonostante l’Italia pesi soltanto per il 5% sul totale degli incidenti globali.
Il fenomeno conferma la particolare esposizione del nostro tessuto produttivo al cybercrime, un tema che abbiamo già approfondito a settembre analizzando i dati dello speciale Clusit dedicato alla sicurezza industriale.
Dopo il manifatturiero, la categoria degli obiettivi multipli rappresenta il 18% dei casi italiani. Tra gli altri settori figurano quello governativo, militare e delle forze dell’ordine (11%), il commercio all’ingrosso e al dettaglio (8,6%) e l’ICT (8,6%).
Proprio il peso degli incidenti che coinvolgono i fornitori di tecnologie e servizi informatici richiama l’attenzione sul rischio di effetti a cascata sulle organizzazioni clienti e, più in generale, sulle filiere produttive.
“Nel nostro Paese sarà sempre più necessario gestire il rischio sistemico“, osserva Luca Bechelli, membro del Comitato Direttivo Clusit.
L’aumento della frequenza degli incidenti, infatti, può determinare una condizione di pressione persistente sulle organizzazioni maggiormente esposte, con conseguenze che non si esauriscono nella singola azienda colpita ma possono estendersi alla continuità dei servizi e al funzionamento del sistema economico.
Aumenta la quota degli incidenti ad alta gravità
Un altro segnale significativo riguarda la gravità degli incidenti.
Nel primo semestre 2026 il 57,6% degli incidenti registrati in Italia è stato classificato come di gravità elevata, contro il 39,3% dell’intero 2025. Un incremento di oltre 18 punti percentuali.
La quota degli episodi di gravità medio-bassa è scesa dal 52,5% al 34,7%, mentre quella degli incidenti critici è rimasta sostanzialmente stabile, intorno all’8%.
La classificazione di Clusit tiene conto dell’impatto economico, sociale e reputazionale degli incidenti sulle organizzazioni coinvolte.
La maggiore incidenza degli episodi di gravità elevata appare coerente con il ridimensionamento dell’hacktivism e il crescente peso degli attacchi criminali, che possono provocare danni economici e interruzioni operative più rilevanti.
Non mancano tuttavia alcuni segnali incoraggianti. Nel settore Energia e Utilities la quota degli incidenti italiani è passata dal 2,4% del 2025 all’1,2% del primo semestre 2026. Anche la Sanità registra una riduzione, collocandosi all’ultimo posto nella distribuzione delle vittime italiane, con lo 0,8%.
Secondo Clusit si tratta di segnali da monitorare con attenzione. Se confermati, potrebbero riflettere gli effetti del rafforzamento delle misure di sicurezza, degli investimenti finanziati dal PNRR e dell’applicazione delle nuove normative. Per il momento, però, non è possibile stabilire un rapporto causale certo.
L’intelligenza artificiale e la sfida della difesa automatizzata
A completare il quadro c’è il ruolo crescente dell’intelligenza artificiale.
Secondo i ricercatori Clusit l’AI sta diventando un moltiplicatore delle capacità degli attaccanti, contribuendo ad aumentare la sofisticazione delle minacce e ad abbassare le competenze necessarie per condurre determinate operazioni.
Gli esperti invitano però a evitare conclusioni affrettate: l’intelligenza artificiale non può essere considerata il principale motore dell’aumento degli incidenti osservato nel primo semestre 2026.
Il rischio più significativo riguarda piuttosto l’evoluzione verso l’agentic hacking, uno scenario in cui più agenti di intelligenza artificiale potrebbero operare in maniera coordinata, adattando autonomamente le strategie di attacco e combinando tecniche differenti per compromettere i sistemi delle organizzazioni.
Una prospettiva che renderebbe ancora più importante la capacità di individuare e contrastare gli attacchi con strumenti automatizzati, senza rinunciare alla supervisione e alla responsabilità umana.
Per le imprese, soprattutto quelle industriali, il tema va quindi oltre la protezione delle singole infrastrutture informatiche. La crescente interconnessione tra sistemi IT, ambienti OT, fornitori e processi produttivi impone di considerare la cybersecurity come una componente strutturale della continuità operativa e della gestione del rischio.
È questo anche il messaggio della presidente di Clusit, Anna Vaccarelli, secondo cui la cybersecurity deve essere considerata “il fondamento della continuità operativa”, anziché un semplice costo necessario per rispettare gli obblighi normativi.
La sfida, in altre parole, non è soltanto respingere un numero crescente di attacchi, ma costruire organizzazioni capaci di continuare a funzionare anche quando un incidente si verifica.
