In questo articolo Indice dei contenuti 2 sezioni
Sul fronte degli attacchi hacker l’Italia si ritrova in una posizione decisamente scomoda. Il nostro Paese è secondo al mondo per numero di accessi informatici compromessi messi in vendita dai cybercriminali e quarto per vittime di ransomware. Il dato arriva dall’analisi dei mercati clandestini dove gli aggressori commerciano credenziali, accessi a server e reti aziendali già violate. A scattare la fotografia è Intel 471, società statunitense fondata nel 2014 e specializzata nella raccolta e nell’analisi delle informazioni sulle attività criminali online. Il suo rapporto copre il periodo da gennaio a settembre 2026 e descrive una situazione anomala rispetto ad altri Paesi industrializzati.
Accessi in vendita e software datato
Attraverso la piattaforma Verity471 gli analisti tengono d’occhio forum nascosti, gruppi criminali e infrastrutture usate negli attacchi, con il supporto anche di fonti umane. Secondo i loro numeri circa il 7% degli accessi iniziali commercializzati riguarda organizzazioni italiane. Davanti ci sono soltanto gli Stati Uniti, con circa il 30%. A gestire questo commercio sono gli Initial Access Broker, intermediari che entrano nei sistemi o acquistano accessi già compromessi per poi rivenderli a chi punta a furti di dati ed estorsioni. Il 90% delle offerte legate all’Italia riguarda accessi venduti in blocco, spesso ottenuti sfruttando la stessa falla su più aziende.
Il metodo d’ingresso dice parecchio. Nel 57% dei casi i criminali hanno approfittato di vulnerabilità software, mentre il 14% degli accessi nasce da attacchi brute force. Le applicazioni Web pesano per il 49%, mentre i servizi VPN e Remote Desktop Web Access arrivano all’11% ciascuno. Gianluca Tiepolo, analista di Intel 471, fa notare che le soluzioni EDR, capaci di individuare comportamenti sospetti sui dispositivi aziendali, si sono diffuse nel nostro Paese con un certo ritardo. C’è poi il caso di PHP: l’Italia mostra un’elevata concentrazione europea di installazioni PHP 4, 5 e 7 ormai senza supporto. Per chi attacca il ragionamento è semplice e molto economico. Basta una falla presente su centinaia di sistemi per colpire tante aziende con poca fatica, senza nemmeno scegliere una vittima italiana in particolare. A tutto questo si aggiunge la struttura produttiva fatta quasi solo di microimprese e PMI, spesso prive di personale specializzato e di procedure di aggiornamento costanti. Il rapporto comunque non sostiene che le infrastrutture italiane siano meno sicure di altre. Misura attività criminali osservabili e propone spiegazioni plausibili.
Chi paga il conto e come difendersi
Sul fronte del ransomware l’Italia è quarta al mondo e seconda nell’Unione Europea dopo la Germania. Il 46% delle vittime appartiene al settore manifatturiero e a quello dei prodotti industriali e di consumo, e tra le imprese con fatturato stimato l’85% resta sotto i 45 milioni di euro annui. Tre gruppi, Qilin, The Gentlemen e LockBit 5.0, concentrano il 40% delle vittime italiane. Non si limitano a cifrare i file ma rubano dati, compromettono infrastrutture virtualizzate e provano a neutralizzare i backup. Un’azienda può così fermare la produzione perché non riesce più ad aprire ordini o gestionali, anche senza che nessuno tocchi i macchinari. Intanto cresce il vishing, cioè il phishing telefonico, mentre il gruppo filorusso NoName057(16) continua a colpire siti istituzionali con attacchi DDoS legati al sostegno italiano all’Ucraina.
Le contromisure indicate partono dal censimento di tutti i sistemi esposti su Internet, magari con strumenti come Shodan, Censys o Nmap. Serve poi aggiornare il software ed eliminare le versioni fuori supporto, dando precedenza alle falle già sfruttate e raccolte nel catalogo KEV della CISA. Gli accessi remoti vanno protetti con l’autenticazione multifattore, meglio se basata su passkey o chiavi FIDO2/WebAuthn, evitando di lasciare RDP direttamente raggiungibile. Contano anche il monitoraggio delle intrusioni con soluzioni EDR o strumenti come Wazuh e Suricata, backup immutabili oppure offline da testare con ripristini periodici e una rete suddivisa in segmenti tramite VLAN e regole firewall. Il personale infine deve sapere che una telefonata in apparenza dall’assistenza tecnica non autorizza mai a comunicare password, codici OTP o ad approvare richieste MFA inattese.
Fonte: TecnoAndroid