Tipi di attacchi informatici: i 10 principali, con esempi

I principali tipi di attacchi informatici sono dieci, e funzionano così: ingannano una persona (phishing e ingegneria sociale), eseguono codice malevolo (malware, ransomware), saturano un servizio (DDoS), entrano da falle o con password rubate (vulnerabilità, credenziali), colpiscono siti e comunicazioni (applicazioni web, intercettazione), passano dai fornitori (catena di fornitura) o usano strumenti già presenti (abuso di strumenti legittimi). Nel 2025, secondo il Rapporto Clusit 2026, in Italia il più frequente tra gli incidenti gravi è stato il DDoS (38,5%), seguito dal malware (23%).

Per ciascun tipo trovi come funziona, un esempio e il segnale da cui riconoscerlo, più i numeri sulla diffusione di Clusit, ENISA, ACN e Verizon. Se cerchi invece il quadro generale (chi attacca e perché), lo trovi nella guida alle minacce informatiche.

Cos'è un attacco informatico, in breve

Un attacco informatico, o cyberattacco, è un'azione deliberata per entrare in un sistema, rubarne i dati, bloccarlo o usarlo per altri scopi senza autorizzazione. Si distingue dalla minaccia, che è la possibilità del danno, e dall'incidente, che è il danno avvenuto. Nel linguaggio comune si dice anche attacco hacker, ma dietro gli attacchi alle aziende c'è soprattutto la criminalità in cerca di denaro: secondo il Rapporto Clusit 2026, nel 2025 la criminalità informatica a scopo di estorsione è stata il movente dell'89% degli incidenti gravi censiti nel mondo.

Qui i tipi sono classificati per tecnica, cioè per come l'attaccante ottiene il risultato, come fanno i rapporti periodici.

Quali sono i cyber attacchi più diffusi: i numeri

La risposta cambia a seconda di cosa si conta. Quattro fonti primarie, quattro angoli diversi:

• Incidenti gravi noti (Clusit). Il comunicato sul Rapporto Clusit 2026 (11 marzo 2026, dati 2025) indica nel mondo il malware come causa di un incidente su quattro, lo sfruttamento di vulnerabilità al 16,5% e per oltre un terzo dei casi una tecnica non dichiarata. In Italia prevalgono DDoS (38,5%), malware (23%) e phishing e ingegneria sociale (12,4%, in crescita del 66%).
• Incidenti registrati nell'UE (ENISA). L'ENISA Threat Landscape 2026 (settembre 2026, 8.257 incidenti del 2025) conta DDoS al 51,3% e accessi non autorizzati al 39,5%. Tra le tecniche di ingegneria sociale il phishing pesa per il 77,8%.
• Eventi gestiti in Italia (ACN). L'Operational Summary ACN del primo semestre 2026 elenca come ricorrenti DDoS, esposizione di dati, phishing, compromissione di caselle di posta, abuso di credenziali valide e sfruttamento di vulnerabilità note. In aumento credenziali, esposizione di dati e vulnerabilità; in calo DDoS, ransomware e configurazioni errate.
• Violazioni di dati confermate (Verizon). Il Verizon 2026 Data Breach Investigations Report indica lo sfruttamento di vulnerabilità come primo vettore di accesso iniziale nelle violazioni analizzate (31%, dal 20% dell'edizione 2025), davanti a phishing (16%) e abuso di credenziali (13%). Il ransomware è presente nel 48% delle violazioni.

La lettura d'insieme: il DDoS è il più frequente per numero, ma ENISA e ACN ne descrivono un impatto di solito limitato; il ransomware è meno numeroso ma, per ENISA, resta l'attacco con l'impatto più alto nel breve periodo, e per ACN è tra quelli che pesano di più sulla continuità operativa. Per i dati italiani settore per settore c'è la raccolta sugli attacchi cyber in Italia.

I tipi di attacchi informatici, uno per uno

1. Phishing e ingegneria sociale

Come funziona. L'attaccante non forza un sistema, convince una persona: un'e-mail, un SMS o una telefonata che sembrano legittimi spingono a cliccare un link, inserire una password, aprire un allegato o autorizzare un pagamento. Le varianti si distinguono per canale (smishing via SMS, vishing al telefono) e per bersaglio (spear phishing su una persona precisa, truffa del falso fornitore o del falso dirigente).

Esempio. ENISA segnala nel 2025 la diffusione di ClickFix: una pagina mostra un finto errore o una finta verifica per dimostrare di essere una persona e chiede alla vittima di incollare ed eseguire un comando per risolverlo. Il comando installa il malware.

Segnale. Urgenza, richiesta fuori dalla procedura abituale, un canale insolito per quella richiesta. Le varianti sono raccolte nei tipi di phishing, e la parte sulle persone nell'articolo sul social engineering.

2. Malware

Come funziona. Software malevolo che, una volta eseguito, fa quello che vuole chi lo controlla: ruba dati (infostealer), registra cosa si digita (keylogger), apre un accesso remoto (RAT, trojan ad accesso remoto), scarica altro codice. Arriva di solito da un allegato, da un sito compromesso o da un falso aggiornamento.

Esempio. Un infostealer installato sul portatile di un dipendente raccoglie le password salvate nel browser e i cookie di sessione, che vengono poi venduti e usati per entrare nei servizi cloud aziendali.

Segnale. Processi sconosciuti, connessioni verso indirizzi mai visti, antivirus disattivato. Secondo Clusit è la tecnica più efficace tra quelle note: nel mondo ha causato un incidente grave su quattro nel 2025.

3. Ransomware

Come funziona. È un malware che cifra file e sistemi e chiede un riscatto per la chiave. Oggi quasi sempre è preceduto dal furto dei dati, per poter minacciare anche la pubblicazione (doppia estorsione).

Esempio. Gli attaccanti entrano con le credenziali VPN di un ex dipendente, restano nella rete per giorni, copiano i dati e poi cifrano server e backup raggiungibili in una notte.

Segnale. Prima della cifratura: account amministrativi usati in orari insoliti, grandi trasferimenti di dati verso l'esterno, backup cancellati. ACN conta 181 ransomware contro soggetti italiani nel primo semestre 2026 (-12%) e indica come fattori abilitanti principali credenziali valide già compromesse, accessi remoti e VPN configurati male, vulnerabilità note su servizi esposti. Approfondimento: ransomware, cos'è e come si gestisce.

4. DDoS (Distributed Denial of Service)

Come funziona. Migliaia di dispositivi compromessi inviano insieme richieste a un sito o a un servizio fino a renderlo lento o irraggiungibile. Non ruba dati: interrompe il servizio.

Esempio. Secondo ACN, a febbraio 2026, in concomitanza con l'apertura dei Giochi Olimpici Invernali Milano Cortina, gruppi filorussi hanno colpito strutture ricettive, pubbliche amministrazioni e operatori dei trasporti; solo il 6% degli eventi di quel mese ha reso i siti temporaneamente indisponibili.

Segnale. Traffico anomalo e improvviso, spesso in coincidenza con eventi politici. ACN ne ha censiti 407 nel primo semestre 2026 (-32%). Dettagli nella guida all'attacco DDoS.

5. Sfruttamento di vulnerabilità

Come funziona. L'attaccante usa un difetto di un software o di un apparato per entrare senza credenziali. Si parla di zero-day quando la falla non ha ancora una correzione, e di N-day quando la correzione esiste ma non è stata installata.

Esempio. Un firewall o un gateway VPN esposto su internet non viene aggiornato dopo la pubblicazione di una vulnerabilità critica: in pochi giorni compaiono scansioni automatiche che cercano proprio quell'apparato.

Segnale. Sta più nell'inventario che nei log: apparati esposti con versioni vecchie. Per Verizon è il primo vettore di accesso iniziale nel 2026; per ENISA il 60,4% degli accessi non autorizzati con vettore identificato. ACN collega l'aumento delle nuove vulnerabilità del semestre, verosimilmente, all'uso dei modelli di AI di frontiera per trovarle.

6. Furto e abuso di credenziali

Come funziona. Invece di forzare la porta, l'attaccante usa la chiave: password rubate da un infostealer, riciclate da un altro servizio violato (credential stuffing) o indovinate provando poche password comuni su molti account (password spraying). Se c'è l'autenticazione a più fattori, prova a farsela approvare con notifiche ripetute o con una telefonata.

Esempio. La password della posta di un commerciale, riusata su un sito violato anni prima, permette di leggere le e-mail e di inserirsi in una trattativa con un fornitore.

Segnale. Accessi da Paesi o dispositivi insoliti, regole di inoltro della posta create all'improvviso. ACN lo indica in aumento nel primo semestre 2026 e tra i punti d'ingresso più frequenti.

7. Attacchi alle applicazioni web

Come funziona. Sfruttano errori nel codice di siti, portali e API: input non controllati che permettono di interrogare il database (SQL injection), di eseguire script nel browser di altri utenti (cross-site scripting) o di leggere dati di altri clienti cambiando un identificativo nell'indirizzo.

Esempio. L'area clienti di un e-commerce mostra l'ordine 1052 a chi è autenticato come cliente dell'ordine 1051, se si modifica il numero nell'URL.

Segnale. Richieste anomale nei log del web server, errori del database esposti all'utente. Clusit li registra in crescita del 62% nel mondo nel 2025.

8. Intercettazione (man-in-the-middle)

Come funziona. L'attaccante si mette tra due parti che comunicano e legge o modifica il traffico: una rete Wi-Fi falsa con il nome di quella dell'hotel, un proxy malevolo, un kit di phishing che inoltra in tempo reale le credenziali e il codice MFA al sito vero e ruba la sessione.

Esempio. Un dipendente in aeroporto si collega a una rete gratuita creata dall'attaccante e fa login alla posta su una pagina contraffatta.

Segnale. Avvisi sui certificati, accessi riusciti da due posizioni diverse a distanza di secondi.

9. Attacchi alla catena di fornitura

Come funziona. Si colpisce un fornitore (software, servizi IT gestiti, piattaforme cloud) per arrivare ai suoi clienti.

Esempio. ENISA segnala l'aumento delle compromissioni di librerie e pacchetti software molto diffusi, come nella campagna Shai-Hulud sui pacchetti npm. ACN descrive per il primo semestre 2026 incidenti su fornitori IT i cui effetti si sono propagati a organizzazioni di settori diversi.

Segnale. Comportamenti nuovi di software fidato, accessi del fornitore fuori dagli orari concordati. Verizon conta un coinvolgimento di terze parti nel 48% delle violazioni del suo campione 2026.

10. Abuso di strumenti legittimi e minaccia interna

Come funziona. In entrambi i casi non serve codice malevolo. L'attaccante già dentro usa gli strumenti di amministrazione del sistema (PowerShell, accesso remoto, utility di backup) e si confonde con l'IT; oppure chi agisce ha già un accesso legittimo, come un dipendente infedele o un collaboratore assunto sotto falsa identità.

Esempio. ENISA collega l'aumento degli accessi non autorizzati da parte di interni, probabilmente, a Famous Chollima, un gruppo associato alla Corea del Nord i cui membri si candidano come lavoratori IT anche in aziende europee.

Segnale. Strumenti amministrativi usati da account o macchine che di solito non li usano. La tecnica è spiegata nell'articolo sul living off the land.

Nella realtà gli attacchi si combinano

Un incidente vero mette in fila diversi tipi. Un caso tipico: un'e-mail di phishing ruba una password (tipi 1 e 6), l'attaccante entra in VPN, si muove con gli strumenti di sistema (tipo 10), copia i dati e lancia il ransomware (tipo 3). Per questo i rapporti contano spesso le tecniche multiple a parte: Clusit le registra in crescita del 58% nel 2025.

Il modello che descrive queste fasi in sequenza è la cyber kill chain: ogni fase è un punto in cui l'attacco si può vedere e fermare prima dell'impatto.

Da dove partire in un'azienda mid-market

Non serve un controllo diverso per ogni tipo di attacco. Le fonti indicano poche porte d'ingresso ricorrenti, e chiuderle copre gran parte dell'elenco:

• Identità (tipi 1, 6, 8): autenticazione a più fattori resistente al phishing su posta, VPN e accessi amministrativi, e una procedura per bloccare in fretta un account compromesso.
• Superficie esposta (tipi 5, 7): inventario di ciò che è raggiungibile da internet e aggiornamenti in ordine di rischio, partendo dalle vulnerabilità già sfruttate.
• Backup isolati e ripristino provato (tipo 3): una copia che il ransomware non raggiunge e un test di ripristino fatto davvero.
• Fornitori (tipo 9): sapere chi ha accesso ai tuoi sistemi, con quali permessi e come viene revocato.
• Rilevamento e risposta (tipi 2, 6, 10): chi entra con credenziali valide o con strumenti legittimi non fa scattare allarmi ovvi. Serve qualcuno che legga i log e intervenga, anche di notte.

In sintesi

I tipi di attacchi informatici sono tanti nei nomi e pochi nella sostanza: ingannare una persona, usare una credenziale rubata, sfruttare una falla non corretta, interrompere un servizio, passare da un fornitore. Il DDoS è il più frequente nei numeri italiani ed europei, ma ransomware, abuso di credenziali e vulnerabilità sono le strade che portano agli incidenti con più impatto. Conoscerli serve a decidere dove guardare per primi.

Se vuoi capire quali di questi attacchi sono più probabili nel tuo contesto e come accorgertene in tempo, guarda i nostri servizi di cybersecurity.