Minacce informatiche: attori, categorie e tendenze 2026

Le minacce informatiche sono le circostanze, gli eventi o le azioni che possono danneggiare reti, sistemi informativi e le persone che li usano. Si leggono su tre assi: chi attacca (criminalità informatica, attivisti, attori statali, persone interne), con quali effetti (estorsione, frode, interruzione, spionaggio) e come cambia il quadro. In Italia, secondo il Rapporto Clusit 2026, nel 2025 il 61% degli incidenti gravi noti ha avuto un movente criminale e il 39% attivista.

Qui trovi la definizione che usano le norme europee, chi sono gli attori, le grandi famiglie di minacce e le tendenze che emergono dai rapporti di Clusit, ENISA e ACN, con quello che ne deriva per un'azienda mid-market.

Cos'è una minaccia informatica: la definizione delle norme UE

La definizione giuridica sta nel Regolamento (UE) 2019/881, il Cybersecurity Act, all'articolo 2, punto 8: una minaccia informatica è «qualsiasi circostanza, evento o azione che potrebbe danneggiare, perturbare o avere un impatto negativo di altro tipo sulla rete e sui sistemi informativi, sugli utenti di tali sistemi e altre persone». La direttiva NIS2 (UE 2022/2555) la riprende all'articolo 6, punto 10, e al punto 11 definisce la minaccia informatica significativa: quella che, per le sue caratteristiche tecniche, si presume possa avere un grave impatto sui sistemi di un soggetto o dei suoi utenti, con perdite materiali o immateriali considerevoli.

Conta anche distinguere la minaccia dalle parole vicine, che la NIS2 definisce nello stesso articolo:

• Vulnerabilità (punto 15): il punto debole di un prodotto o servizio ICT che una minaccia può sfruttare.
• Incidente (punto 6): l'evento che compromette davvero disponibilità, autenticità, integrità o riservatezza di dati o servizi.
• Rischio (punto 9): la potenziale perdita causata da un incidente, espressa combinando entità della perdita e probabilità che l'incidente si verifichi.

In pratica: la minaccia esiste anche se non ti ha ancora colpito; diventa rischio quando incontra una tua vulnerabilità, e incidente quando va a segno. Il passaggio dalla minaccia alla decisione è il tema del cyber risk.

Chi c'è dietro: gli attori della minaccia

Clusit ed ENISA distinguono gli attaccanti per movente. Qui li raggruppiamo in quattro categorie, e il peso di ciascuna cambia molto tra il mondo, l'Europa e l'Italia.

Criminalità informatica

È chi attacca per denaro: ransomware, furto e vendita di dati, frodi. Secondo il Rapporto Clusit 2026, nel 2025 il cybercrime è stato il movente dell'89% degli incidenti gravi censiti nel mondo e del 61% di quelli italiani. Nell'Unione europea, l'ENISA Threat Landscape 2026 lo indica come la minaccia con l'impatto più alto nel breve periodo. È un'economia organizzata: chi sviluppa il ransomware lo affitta ad affiliati, e chi ruba credenziali le rivende. Quali gruppi sono più attivi contro aziende italiane lo vediamo in gruppi ransomware in Italia.

Attivisti (hacktivism)

Gruppi con motivazioni politiche o ideologiche, spesso legati ai conflitti in corso. In Italia sono la seconda categoria: 39% degli incidenti gravi nel 2025, con una crescita del 145% sul 2024 secondo Clusit. Nell'UE, ENISA attribuisce a motivazioni ideologiche il 57,3% delle attività registrate nel 2025 e colloca l'Italia al terzo posto per rivendicazioni hacktiviste (10,5%), dopo Germania e Francia. Lo strumento tipico è il DDoS, che fa rumore ma raramente fa danni gravi: ENISA precisa che queste rivendicazioni non hanno prodotto impatti significativi su larga scala.

Attori statali

Gruppi legati a uno Stato, che puntano a spionaggio, raccolta di informazioni strategiche e, in alcuni casi, sabotaggio. Sono pochi in numero (ENISA stima il cyberspionaggio intorno al 6% degli incidenti nell'UE; Clusit conta in Italia lo 0,4% degli incidenti nella categoria spionaggio e sabotaggio, contro il 3% globale), ma per ENISA sono la minaccia strategica di medio e lungo periodo. Secondo il rapporto ENISA, i gruppi attivi contro l'UE sono associati soprattutto a Russia (47,6%), Cina (15,5%), Corea del Nord (14,1%) e Iran (9%), e nei casi in cui il vettore d'ingresso è noto il più frequente è lo sfruttamento di vulnerabilità (70%).

Minaccia interna ed errori

Non tutte le minacce arrivano da fuori. ENISA segnala nel 2025 una quota crescente di accessi non autorizzati da parte di persone interne, che collega probabilmente a un gruppo nordcoreano i cui membri si propongono come lavoratori IT anche ad aziende europee. E nei pochi casi di accesso non autorizzato in cui ha potuto identificare il vettore, ENISA attribuisce il 20,7% a configurazioni errate ed esposizioni accidentali. Un servizio lasciato esposto per sbaglio non è un attacco, ma lo rende possibile.

Una nota che vale per tutte e quattro le categorie: secondo ENISA i confini si stanno confondendo. Criminali, attivisti e gruppi statali usano sempre più spesso le stesse porte d'ingresso e gli stessi strumenti. Per chi deve organizzare i controlli è una buona notizia, perché chiudere le stesse porte serve contro tutti.

Le grandi famiglie di minacce

Più che elencare le tecniche, conviene raggruppare le minacce per l'effetto che hanno su un'azienda. Sono cinque famiglie. L'elenco delle tecniche, con esempi, è in tipi di attacchi informatici.

Estorsione: ransomware e furto di dati

Il criminale cifra i sistemi, ruba i dati, o fa entrambe le cose, e chiede un pagamento. Nell'UE, secondo ENISA, ransomware (47,3%) e violazioni di dati (36%) sono la maggior parte delle attività a scopo di lucro registrate nel 2025, e l'Italia è il terzo Paese per rivendicazioni ransomware (13,6%), dopo Germania e Francia. L'Operational Summary ACN del primo semestre 2026 conta 181 casi di ransomware contro soggetti italiani, il 12% in meno dello stesso periodo del 2025, con i settori manifatturiero, vendita al dettaglio e tecnologico in testa.

Il furto di dati passa da una fase tecnica precisa, l'esfiltrazione: cos'è e come si rileva in azienda è spiegato in esfiltrazione dei dati.

Frode e inganno delle persone

Phishing, smishing via SMS, falsi fornitori, truffe del falso dirigente: la leva è la fiducia, non una falla tecnica. Secondo ENISA, il phishing rappresenta il 77,8% delle tecniche di ingegneria sociale osservate, con la diffusione di kit pronti all'uso e di tecniche come ClickFix, che spinge la vittima a risolvere un finto problema e così le fa eseguire codice malevolo. In Italia, Clusit attribuisce a phishing e ingegneria sociale il 12,4% degli incidenti gravi del 2025, in crescita del 66%, e ne attribuisce l'aumento, probabilmente, all'uso ormai diffuso dell'intelligenza artificiale per scrivere messaggi più credibili.

Interruzione del servizio

È la famiglia del DDoS, che rende irraggiungibili siti e servizi online. In Italia è stata la tecnica più frequente tra gli incidenti gravi del 2025 (38,5% secondo Clusit), in linea con la crescita dell'attivismo. ACN ne ha censiti 407 nel primo semestre 2026, il 32% in meno dell'anno prima, e ne ridimensiona l'impatto: durante il picco di febbraio, legato alle Olimpiadi invernali, solo il 6% degli eventi ha reso i siti colpiti temporaneamente indisponibili.

Accesso non autorizzato e spionaggio

Qui l'obiettivo è entrare e restare: con credenziali rubate, sfruttando una vulnerabilità su un apparato esposto, abusando di un accesso remoto mal configurato. Nel primo semestre 2026 ACN registra in aumento proprio la compromissione di credenziali, l'esposizione di dati e lo sfruttamento di vulnerabilità. Chi entra così può cifrare, rubare o osservare: la stessa porta serve al criminale e allo spione.

Catena di fornitura e dipendenze digitali

Un attacco a un fornitore di software, a un provider di servizi gestiti o a una piattaforma cloud si propaga ai suoi clienti. ENISA ne ha osservati diversi casi su larga scala nel 2025 e segnala come particolarmente preoccupante l'aumento delle compromissioni di librerie e pacchetti software molto diffusi. ACN, nello stesso periodo, descrive incidenti su fornitori IT i cui effetti si sono estesi lungo la filiera a organizzazioni di settori diversi.

Le tendenze: cosa dicono Clusit, ENISA e ACN

1. Più incidenti noti, ma va letto cosa si misura. Clusit conta 5.265 incidenti gravi nel mondo nel 2025 (+49%) e 507 in Italia (+42%), il 9,6% del totale mondiale. ACN registra 2.171 eventi cyber nel primo semestre 2026, il 47% in più, ma avverte che la crescita deriva soprattutto dalle oltre 1.000 notifiche NIS ricevute dal CSIRT Italia. Le parole dell'Agenzia: «Il dato non deve pertanto essere interpretato come un aumento reale della minaccia o degli impatti subiti dai soggetti nazionali». Si vede di più, non per forza succede di più.
2. Le porte d'ingresso restano le stesse. Per ACN i principali fattori abilitanti del ransomware sono credenziali valide già compromesse, accessi remoti e VPN configurati male e vulnerabilità note su servizi esposti. I punti d'ingresso più frequenti del semestre sono email malevole, credenziali compromesse e ingegneria sociale.
3. Le vulnerabilità arrivano più in fretta. ACN attribuisce l'aumento delle nuove vulnerabilità del primo semestre 2026, verosimilmente, all'uso crescente di modelli di AI di frontiera per analizzare il codice, trovare vulnerabilità e generare Proof of Concept. Nello stesso semestre il CSIRT Italia ha individuato 24.303 asset e servizi a rischio e 1.560 asset potenzialmente compromessi, avvisando i soggetti interessati.
4. L'intelligenza artificiale accelera chi attacca. ENISA osserva che nel 2025 l'AI è stata usata soprattutto per rendere più veloci e scalabili tecniche già note, come il phishing su misura, e ritiene probabile che nel 2026 un numero crescente di fasi dell'attacco sia gestito direttamente dall'AI.
5. La geopolitica muove l'attivismo. Sia ENISA sia ACN legano le ondate di DDoS a eventi politici e internazionali: per ACN, a maggio 2026 le campagne contro soggetti italiani sono riprese dopo le notizie sul sostegno italiano all'Ucraina.

Per i numeri italiani nel dettaglio, settore per settore, c'è la nostra raccolta sugli attacchi cyber in Italia.

Cosa significa per un'azienda mid-market

Il quadro delle minacce serve a scegliere dove mettere tempo e budget. Secondo il Cost of a Data Breach 2026 di IBM, una violazione di dati costa in media 3,55 milioni di euro in Italia: abbastanza per giustificare un metodo. Dalle fonti viste sopra discendono alcune priorità concrete:

• Identità prima di tutto. Autenticazione a più fattori su posta, VPN e accessi amministrativi, e una procedura per bloccare in fretta un account compromesso.
• Superficie esposta sotto controllo. Sapere quali apparati e servizi sono raggiungibili da internet e aggiornarli per primi, a partire dalle vulnerabilità sfruttate davvero.
• Backup che reggono un ransomware. Una copia isolata dalla rete e un ripristino provato, non solo pianificato.
• Persone preparate. Formazione sul phishing aggiornata alle tecniche nuove, come i messaggi scritti con l'AI e le finte richieste di risolvere un problema tipiche di ClickFix.
• Fornitori nel perimetro. Sapere quali fornitori hanno accesso ai tuoi sistemi e cosa succede se uno di loro viene compromesso.
• Rilevamento e risposta. Chi entra con credenziali valide non fa scattare allarmi ovvi: serve qualcuno che guardi i log e sappia riconoscere un comportamento anomalo.

Per tenere il quadro aggiornato sulle minacce che riguardano il tuo settore e la tua tecnologia serve la threat intelligence. Per mettere in fila le misure in un percorso, parti dalla guida alla sicurezza informatica aziendale.

In sintesi

Le minacce informatiche si capiscono meglio per attore e per effetto che per elenco di tecniche. In Italia pesano soprattutto la criminalità informatica, che cerca denaro, e l'attivismo, che cerca visibilità; nell'UE gli attori statali restano pochi ma strategici. Le porte d'ingresso sono poche e ricorrenti: credenziali, vulnerabilità esposte, persone, fornitori. Lavorare su quelle riduce il rischio contro tutti gli attori insieme.

Se vuoi capire quali di queste minacce riguardano davvero la tua azienda e da dove partire, guarda i nostri servizi di cybersecurity.