Centottantaquattro incidenti in un mese sono un dato che richiama l’attenzione. Ma per un’azienda la domanda utile non è se il numero sia alto o basso in assoluto. È capire quali meccanismi ricorrenti rendano possibile un accesso e quanto velocemente un problema esterno possa arrivare dentro il proprio perimetro.
I numeri servono quando aiutano a scegliere
Secondo l’Operational Summary pubblicato dall’Agenzia per la cybersicurezza nazionale, a giugno 2026 gli incidenti sono saliti a 184, contro i 161 di maggio. Gli eventi complessivi sono stati 424, con un aumento del 9%. Le attività DDoS di matrice hacktivista hanno contribuito al rialzo, nella maggior parte dei casi senza successo o con brevi interruzioni dei siti interessati.
Il dato più utile per chi dirige un’organizzazione è però un altro: molte compromissioni osservate sono state abilitate dall’uso di credenziali valide, ottenute anche tramite phishing, spear phishing o compromissione della posta elettronica. Per l’attaccante, presentarsi con un’identità autentica può essere più efficace che forzare una porta tecnica.
Una password corretta non prova che la persona sia quella giusta
Il report cita un incidente nel settore dei trasporti in cui credenziali VPN compromesse sono state usate per entrare nell’infrastruttura, svolgere ricognizione interna e tentare l’installazione di malware. È un esempio concreto del limite di una difesa basata soltanto sulla coppia nome utente e password.
La risposta non coincide con l’acquisto di un singolo strumento. Serve combinare autenticazione a più fattori resistente al phishing, privilegi proporzionati al ruolo, controllo degli accessi remoti, rilevamento dei comportamenti anomali e procedure rapide per revocare sessioni e credenziali. Anche la formazione conta, purché aiuti le persone a riconoscere richieste plausibili ma fuori contesto.
Il fornitore è parte del perimetro operativo
ACN segnala inoltre la compromissione di un fornitore di servizi SaaS, con effetti propagati a organizzazioni di più settori: dal manifatturiero ai servizi finanziari, fino a energia, trasporti e telecomunicazioni. È la rappresentazione più chiara di un rischio spesso sottovalutato: un servizio esterno può essere fuori dall’infrastruttura aziendale, ma non è fuori dal processo aziendale.
Governare questo rischio significa conoscere i servizi davvero critici, sapere quali dati e autorizzazioni ricevono, definire requisiti di notifica e avere un’alternativa quando un fornitore diventa indisponibile o compromesso. Il contratto è importante, ma non sostituisce la visibilità tecnica e un piano di continuità provato.
L’esposizione va cercata prima dell’incidente
Nel solo mese di giugno CSIRT Italia ha inviato 3.257 comunicazioni relative a 4.250 servizi esposti a rischio. L’analisi di dati provenienti da malware infostealer, progettati per sottrarre informazioni dai dispositivi, ha inoltre permesso di individuare 823 account potenzialmente compromessi riferibili a soggetti istituzionali.
Questi numeri ricordano che una parte importante della difesa avviene prima dell’allarme: censire i servizi pubblicati su Internet, ridurre ciò che non serve, correggere le vulnerabilità in base all’esposizione reale e verificare se credenziali o asset aziendali compaiano in fonti di rischio. Una lista di problemi non basta; occorre trasformarla in priorità, responsabilità e tempi di intervento.
Tre domande per il prossimo confronto tra direzione e IT
- Quali accessi remoti o account privilegiati potrebbero essere usati senza un controllo aggiuntivo credibile?
- Quali fornitori possono interrompere un processo critico o accedere a dati e sistemi sensibili?
- Quanto tempo serve oggi per riconoscere un’identità abusata, contenerla e ricostruire ciò che ha fatto?
Non sono domande da risolvere una volta per tutte. Sono un modo semplice per spostare il confronto dalla sicurezza dichiarata alla capacità reale di prevenire, osservare e rispondere.