📚 I PEGGIORI ATTACCHI DEL 2025: analizziamo il RAPPORTO CLUSIT 2026

Ciao a tutti e benvenuti in questo nuovo video. Il canale compie ufficialmente un anno, in realtà ha compiuto gli anni 2 giorni fa, cioè mercoledì, ma è lo stesso, non ci formalizziamo. E visto che un anno fa il primo video che ho pubblicato sul canale riguardava l'analisi del rapporto Closet, che esce sempre verso metà-fine marzo, quest'anno ho deciso di fare la stessa cosa. Quindi anche quest'anno andiamo ad analizzare il rapporto Closet. Che cos'è questo benedetto rapporto? È una un saggio che riepiloga tutti gli attacchi che ci sono stati nell'anno precedente. Abbiamo visto che l'anno scorso gli attacchi sono stati tanti. L'Italia da sola ha accumulato il 10% degli attacchi informatici avvenuti a livello globale, e considerate le nostre dimensioni è veramente un numero spropositato, nel senso che significa che un attacco su 10 fatto nel mondo ha colpito proprio l'Italia. E vedremo se quest'anno la situazione è migliorata o peggiorata. Vi anticipo solo che han dovuto introdurre aprire una nuova categoria di rischio, perché i livelli grave e critico non bastavano più. Quindi da quest'anno entriamo anche nella categoria extreme. Bando alle ciance, sigla e iniziamo. Ho pensato che la cosa più utile fosse fare un confronto diretto fra il rapporto di quest'anno, quindi quello 2026, che leggiamo insieme mentre io mi prenderò degli appunti, e quello invece del 2025, per capire se effettivamente la situazione è migliorata o peggiorata rispetto all'anno scorso. Il rapporto si apre chiaramente come sempre con un indice e con una prefazione fatta dal presidente, che come l'anno scorso è Anna Vaccarelli. Intanto, già come si apre la prefazione, a me piace molto. Negli anni la cyber security si è trasformata da disciplina di nicchia a urgenza globale. E francamente la cosa più vera che potessero dire. Non è più lo dico sempre, una materia solo per gli addetti ai lavori, ma una cosa che riguarda tutti. Tutte le persone che hanno in mano un telefono o un computer devono avere le basi di sicurezza informatica, perché altrimenti siamo i primi a cadere in questa cosa. Si analizza quasi subito anche la situazione in Italia, dove si dice che è vero che le normative hanno aiutato un po' a migliorare la situazione, ma è vero anche che comunque l'ecosistema digitale nazionale non è immune. Anzi, vi dico già che non è che su questo la situazione sia poi tanto diversa rispetto all'anno scorso. In corso. Un settore particolarmente esposto è quello finanziario, quindi banca, assicurazione, tutto il resto. Chiaramente lì è dove stanno i dati più importanti dei cittadini, per quanto riguarda soprattutto le assicurazioni e gli operatori dei servizi di pagamento, e è dove c'è il denaro. E parlo soprattutto delle banche. Quindi ha più senso truffare 1000 cittadini o ha più senso truffare una banca e rubare i soldi di 1000 cittadini? Vedremo un attimo, in base a come andrà il rapporto, la scelta che hanno fatto i cybercriminali. Chiaramente comunque rimane un settore particolarmente esposto, e infatti anche uno dei settori più regolati, soprattutto per quanto riguarda il DORA, che è in assoluto la normativa più stringente sulla cybersicurezza per quanto riguarda appunto il settore finanziario. Non poteva non essere citata poi già nella prima pagina l'intelligenza artificiale. E in realtà la prima cosa che viene detta è anche abbastanza ottimistica, cioè si dice che l'intelligenza artificiale dà strumenti potenti per la difesa. Vero, ma ovviamente Ovviamente la cosa che a noi preoccupa di più qual è? Questa qua. D'altro canto è un'arma potente in mano agli attaccanti, e l'abbiamo visto in tutti i video in cui ho parlato dell'intelligenza artificiale. Pensiamo alla classica mail di phishing, a quanto non è più efficace, e pensiamo invece a che danni può fare una mail con lo stesso scopo però scritta bene da un'intelligenza artificiale. Andando avanti, una cosa che viene affrontata subito è il tema anche della sicurezza delle infrastrutture fisiche. Quindi si dice che i danni non sono più solo nella parte digitale, digitale, nel software, ma si intrecciano con l'infrastruttura fisica. Per esempio, fa riferimento al settore dei trasporti, che chiaramente non è solo un rischio di perdere il treno o perdere i dati dei cittadini, ma c'è un rischio anche a livello di vite umane. Infatti lo dice espressamente il nostro rapporto. Altri due concetti che vengono affrontati immediatamente sono il discorso dei digital twin, quindi le repliche digitali di sistemi fisici utilizzate per simulazioni, manutenzione e via dicendo, che chiaramente espongono a una nuova superficie di attacco. Il digital twin può essere usato per provare degli attacchi poi da lanciare contro l'infrastruttura vera e propria, e in generale può essere meno sicuro e quindi può dar poi vita a una nuova superficie in cui gli attaccanti possono provare a entrare. Un altro vettore di rischio invece è la supply chain. Ne abbiamo già parlato, abbiamo visto anche un caso molto grave rispetto alla supply chain, parlo ovviamente del caso di SolarWinds, che infatti è già normato come tema. Cioè, la supply chain è oggetto diretto della NIS2, la direttiva europea. Anche questo oggetto di uno dei primissimi video che ho fatto, perché è stata una normativa che l'anno scorso ha un po' rivoluzionato tutto questo settore, che tratta appunto proprio dei pericoli della supply chain. Perché la catena di approvvigionamento, quindi la supply chain, è così pericolosa? Perché noi dipendiamo da fornitori terzi per hardware, software e servizi cloud. Quindi io posso essere l'azienda più sicura del mondo, posso avere dipendenti formati, posso avere le password complesse, l'autenticazione a più fattori, firewall, tutto quello che voglio, però se poi il mio fornitore di servizi cloud viene attaccato perché non è altrettanto sicuro, gli attaccanti potrebbero riuscire a entrare anche nei miei sistemi o comunque rubare i miei dati. Perché se io conservo tutti i miei dati nel cloud e il cloud viene hackerato, è chiaro che i miei dati vengono esposti. Quindi è molto importante non solo essere sicuri come azienda, ma anche scegliere fornitori di cui ci possiamo fidare al 100%, e questa è una cosa da non sottovalutare assolutamente. La prefazione poi si conclude chiaramente dicendo, come poi abbiamo accennato già prima, che la cyber security non può più essere concepita come qualcosa di riservato agli addetti ai lavori, o comunque come una serie di strumenti reattivi, cioè strumenti che intervengono dopo che il danno è già stato fatto. Bisogna intervenire prima, bisogna intervenire nel momento in cui c'è la possibilità di proteggere un sistema, bisogna avere le difese alte. E la parte degli strumenti reattivi, quindi andare a sistemare il danno una volta che si è creato, deve essere la cosa residuale. Cioè, nel momento in cui io riesco ad avere un'architettura sicura, è chiaro che avrò meno bisogno poi di strumenti che intervengono successivamente per andare a sistemare quello che purtroppo è capitato comunque nonostante le mie difese. Iniziamo pure ad andare a vedere quello che è effettivamente successo. Intanto vado a prendere anche la relativa parte di quello dell'anno scorso. L'anno scorso, nel 2025, quindi nel rapporto che si è concentrato su quello che è successo nel 2024, uno dei problemi più gravi era quello geopolitico. Stavamo ricevendo tantissimi attacchi anche noi in Italia da parte di attori russi o filorussi perché avevamo dato sostegno all'Ucraina. Quindi per via della guerra c'erano state un po' delle ripercussioni su tutti i paesi che si erano schierati dalla parte, diciamo, sbagliata secondo gli attaccanti. E quindi l'anno scorso avevamo questo problema qua. Quest'anno il problema è un po' più generico, cioè c'è una grandissima crescita in generale degli incidenti. Con una marcata accelerazione fra il 2024-2025 per un incremento del 48,7%, il più elevato mai registrato. Cioè, non so se ci rendiamo conto che nel giro di appena un anno gli attacchi sono aumentati quasi del 50%. Vuol dire che se l'anno scorso avevamo 100.000 attacchi, quest'anno ne abbiamo 150.000. È un numero ovviamente elevatissimo, soprattutto perché è avvenuto nel giro di un anno. Per questo che si parla molto dell'intelligenza artificiale, perché chiaramente ha un po' livellato innanzitutto la potenza degli hacker. Cioè adesso un hacker meno bravo con in mano l'intelligenza artificiale fa gli stessi danni di un hacker molto bravo senza l'intelligenza artificiale. È un po' perché comunque l'intelligenza artificiale ha anche la capacità di agire da sola, quindi con strumenti agentici, cioè strumenti di intelligenza artificiale in grado di svolgere dei compiti anche complessi in totale autonomia, gli attaccanti sono riusciti a fare molte più organizzazioni. Per questo c'è un aumento così alto. In realtà, secondo me, c'è anche un altro aspetto da considerare, che è che comunque sono aumentati anche gli obblighi di registrazione degli attacchi, almeno in Italia. Quindi quest'anno, con l'entrata in vigore della NIS2 nel 2025, sicuramente vediamo anche un aumento degli attacchi che vengono proprio dichiarati da parte delle organizzazioni, perché non è più solo un rischio di perdita, diciamo, di reputazione anche agli occhi esterni, quindi agli occhi dei clienti e fornitori, ma si rischiano anche delle sanzioni se l'attacco viene comunque scoperto o rivendicato dagli hacker e l'azienda non lo aveva regolarmente denunciato. Il problema però non è solo un aumento degli attacchi a livello quantitativo, ma è anche un aumento a livello di gravità. La gravità è cresciuta anno dopo anno e questa tendenza si conferma anche nel 2025. L'incremento complessivo della gravità implica un aumento chiaramente dei danni delitti. L'Italia continua a essere un bersaglio preferenziale, quindi comunque noi dobbiamo stare più attenti degli altri paesi. L'anno scorso avevo fatto un po' i calcoli e l'Italia da sola mi pare che avesse gli stessi danni di Germania, Regno Unito e Francia messi insieme. Quindi noi da soli abbiamo gli stessi danni di 3 paesi messi insieme. Descrive poi come funziona il rapporto e come va letto, e possiamo partire proprio dall'analisi degli incidenti noti del 2025 a livello globale. Vediamo già subito che il 2025 mi fa ridere un po', proprio come mettiamo direttamente le mani avanti. Il 2025 è l'era degli attacchi estremi, cioè non stiamo più parlando degli attacchini quelli, non so, medi, ma sì, qualche campagna di phishing, qualcosa del genere, ma stiamo proprio iniziando a parlare degli attacchi estremi. Non è un modo di dire, nel senso che è stata proprio introdotta una nuova categoria nell'ambito della gravità degli incidenti, che appunto è quella dedicata agli incidenti di tipo estremo. Oltre infatti all'aspetto quantitativo, quindi quanti incidenti ci sono stati nel 2025, che abbiamo visto che sono aumentati circa del 50%, da 3541 a 5265 incidenti in un solo anno, appunto incremento del 48,7%, in realtà quello che ci colpisce è l'aspetto qualitativo. Cioè, sono più attacchi, ok, ma sono tanti attacchi attacchi poco gravi o sono tanti attacchi molto gravi? È in realtà, purtroppo, c'è anche un incremento complessivo della gravità degli attacchi, +9% rispetto al 2024. Quindi gli incidenti sono il 9% più gravi. In effetti è stata introdotta una nuova categoria di gravità chiamata Extreme, collocata sopra Critical, proprio per dare evidenza appunto della portata di questi nuovi incidenti. L'anno scorso mi ricordo che si stava parlando in realtà di un qualcosa di positivo, perché nel 2024 la percentuale di attacchi critical era diminuita. In compenso era aumentata quella degli attacchi con severità alta. Mi fa specie quindi che non solo quest'anno ci siano più incidenti critici rispetto all'anno scorso, ma addirittura che sia stato necessario introdurre una nuova categoria dedicata appunto agli incidenti estremi. Se non ricordo male, poi fra l'altro, ma forse lo vediamo un po' più avanti, l'anno scorso si stava ragionando di togliere le categorie un po' più basse, quindi di togliere la categoria low e la categoria categoria media, o comunque di accorparle, perché effettivamente gli incidenti con gravità alta o critica erano più o meno l'80% del totale. E in effetti vediamo che quest'anno le categorie medium e low, quindi le categorie di gravità media e bassa, sono state unificate in un'unica fascia. Quindi adesso le fasce sono medio-bassa, alta-critica e estrema, che invece prima estrema non c'era. Ovviamente poi va avanti il rapporto Clusit dicendo che l'analisi si concentra solo sugli attacchi andati fine effettivamente avvenuti e confermati divenuti di dominio pubblico. Quindi non sappiamo quanti attacchi siano stati tentati, chiaramente, e non sappiamo quanti attacchi non siano stati denunciati nonostante si siano effettivamente verificati. Andiamo però a vedere un po' di grafici, così riusciamo a renderci conto meglio di quella che è la realtà. E andiamo a vedere l'analisi, appunto, a livello di grafici, dei principali incidenti cyber noti a livello globale. Poi vedremo bene anche l'Italia. Vado subito al confronto con l'anno scorso. Ecco qua. Allora, vediamo già che l'anno scorso era stato visto con uno sguardo molto preoccupato il fatto che ci fosse un aumento del 27% degli attacchi rispetto all'anno prima, perché effettivamente un conto è rimanere stabile, diciamo, con gli incidenti. Il nostro obiettivo sarebbe chiaramente che gli incidenti diminuissero. Quindi già, diciamo, se rimangono stabili è un po' una sconfitta. Se aumentano dell'1-2%, vabbè, possiamo ancora, diciamo, tenere la situazione sotto controllo. Ma già un l'aumento del 27% era risultato particolarmente preoccupante. Figuriamoci quest'anno che invece l'aumento è del 49%, cioè quest'anno gli incidenti sono aumentati in un modo sconvolgente. Vediamo fra l'altro anche un po' l'andamento rispetto agli anni precedenti, perché vediamo che nel 2021 gli incidenti successi erano 2049, poi 2489, poi 2779. Quell'anno quasi non c'è stato aumento. 3500, quindi un aumento comunque abbastanza impegnativo. Ma notate che è impennata nell'ultimo anno. Cioè, siamo veramente arrivati a 5200 incidenti, quindi un aumento del 50% rispetto all'anno prima. E se andiamo a vedere rispetto all'inizio, siamo già più del doppio in un anno, e l'inizio era solo 5 anni fa. Quindi sono trend chiaramente molto preoccupanti. A che cosa attribuisce il rapporto Clusit questa impennata? O comunque non come unica causa, ma sicuramente come con causa, l'intelligenza artificiale, la presenza ormai pervasiva dell'intelligenza artificiale che ha reso gli attacchi più facili da compiere, e soprattutto ha reso più facile compierne tanti, cioè attaccare tante aziende, tante realtà, tutte in una volta. Come media mensile, anche qua i numeri sono abbastanza preoccupanti, perché siamo passati da 171 incidenti al mese nel 2021 a 439 incidenti al mese del 2025. Ripeto che comunque qui va considerato che dal 2021 ad oggi sono entrate in vigore una serie di normative che portano con sé una serie di obblighi di denunciare gli incidenti. Però è innegabile che che comunque gli incidenti siano effettivamente aumentati. Cioè, non è solo aumentata la quantità di incidenti denunciati, sono aumentati gli incidenti, punto. Ormai tutte le aziende vivono nel digitale, anche se per una piccola parte. I cybercriminali hanno capito che questo è un mercato che frutta, e frutta moltissimo, e quindi stanno aumentando questi attacchi. Vediamo un attimo l'anno scorso, ma appunto bene o male siamo lì. Eccoci qua, l'anno scorso. Qui addirittura analizza il 2019, dove erano 139 incidenti al mese, l'anno scorso erano 295 al mese. Ma da 295 del 2024 a 439 al mese del 2025, comunque c'è uno scarto pauroso. Andiamo avanti e cerchiamo di capire chi è che è dietro questi attacchi, quindi chi sono gli attaccanti. Distribuzione degli attaccanti per tipologia. Il cybercrime è la motivazione principale dietro agli incidenti, quindi la criminalità, banalmente. Quali altre motivazioni potevano esserci dietro? Attivismo, cyber guerra, ci potevano essere dietro obiettivi di spionaggio. Invece bene o male 9 attacchi su 10 sono di matrice criminale, quindi incidenti motivati dalla volontà di arricchirsi, di rubare informazioni, di fare dei danni alle aziende, alle persone. Rispetto all'anno scorso, andiamo a vedere un attimo, anche l'anno scorso 9 incidenti su 10 erano di matrice criminale. E nel 2024 l'86% del totale era di matrice cybercriminale, quest'anno 89,3% del totale. Però bene o male siamo lì. Come vedete altre categorie sono un po' di attivismo, 5,8%, un po' di spionaggio e sabotaggio, ma solo 3,4%, e un po' di information warfare. Si parla di information warfare per parlare di tutte quelle attività che hanno dietro motivazione di tipo geopolitico, quindi ad esempio fare campagne di disinformazione legate a elezioni o a guerre, cose di questo tipo. Ovviamente, se sono aumentati gli incidenti e sono quasi tutti di matrice cybercriminale, vediamo che rispetto all'anno prima gli incidenti di cybercrime sono il 55% in più. Ma questo, diciamo, in linea con tutto quello che ci siamo detti finora. Sono aumentati gli incidenti, sono sempre di matrice cybercriminale, anzi sono un po' di più di matrice cybercriminale, quindi chiaramente ci sarà un aumento rispetto all'anno scorso del 55% di questo tipo di attacchi. Andiamo un po' avanti e vediamo anche la distribuzione delle vittime. L'anno scorso c'è stata una curiosità diversità. Nel senso che, al di là del fatto che comunque bene o male vedremo che le categorie di vittime sono sempre più o meno le stesse, l'anno scorso c'è stato un attacco molto grave nel mondo news multimedia. Ma perché? C'è stato un attacco supply chain a un fornitore che gestisce il CRM di quasi tutte le testate italiane, quindi testate sia cartacee sia invece online, quindi digitali. E attaccare ovviamente chi gestisce l'infrastruttura di di tutte le testate giornalistiche, o comunque di una grossa fetta delle testate giornalistiche, aveva portato a un'impennata in questo settore. Ma visto che è un fenomeno limitato all'Italia, lo vedremo bene un po' più avanti. Per quanto riguarda invece l'aspetto globale, la distribuzione delle vittime bene o male rimane sempre quella. Le campagne di attacchi che colpiscono più settori sono sempre quelle che realizzano più risultati. Perché? Perché banalmente mi conviene strutturare un attacco e mandarlo a più settori, diciamo, non solo quindi a settori governativi, ad agenzie assicurative, banche, mondo della sanità. Io faccio un malware e lo mando a tutti i target. Sono quelli che funzionano di più come attacchi, sono i più redditizi, quindi ci sta che rimangano, diciamo, quelli più preponderanti. Tant'è che c'è una crescita del 96% rispetto all'anno scorso. Perché una crescita così alta secondo il rapporto Clusit? Perché c'è una capacità maggiore dei soggetti malevoli di massimizzare le proprie operazioni su scala. Quindi non mi interessa più tanto chi è la vittima, mi basta colpire. E questo chiaramente porta che colpire target diversi sia più redditizio rispetto al concentrarsi su un'unica tipologia di vittima. Confrontando un po' infatti le due distribuzioni delle vittime, vediamo che bene o male sono sempre lì, cioè i multiple target sono preponderanti, poi sotto abbiamo sempre governo e militare, abbiamo sempre la sanità, non è cambiato rispetto all'anno scorso. E è salito il manifatturiero, che invece era più giù in quello del 2025. L'ICT rimane comunque molto alto, la parte dell'educazione rimane molto in alto. Ecco, quest'anno molto interessante è andato giù la parte financial e insurance. Non sappiamo se è perché, ma mi vien da dire di sì, ci sono state comunque delle normative anche a livello europeo per rendere più forti questi settori, come appunto Regolamento DORA. Questo sicuramente ha portato ad avere misure di sicurezza maggiori e quindi una minore incidenza degli attacchi, e questo ovviamente è molto positivo. Anche Rapporto Clusit nota che torna in alto il settore manifatturiero in crescita del 79%, dopo che l'anno scorso era andato per un pochino un po' più giù. E quindi torna, diciamo, a essere uno dei più colpiti. In realtà si mantiene al 5° posto il settore ICT, che in realtà però aumenta del 46% come ambito di rischio. Quando parliamo di mondo ICT stiamo parlando di tutto il settore tecnologico, quindi il fatto che aumenti così tanto, del 46%, è preoccupante, perché vuol dire che comunque non sono solo in pericolo le infrastrutture che, diciamo, di tecnologia hanno poco, ma sono particolarmente in pericolo quelle infrastrutture che in realtà dovrebbero essere molto blindate contro gli hacker. Cioè, banalmente, è chiaro che io mi preoccuperò di più di blindare un computer usato in amministrazione piuttosto che di blindare un macchinario utilizzato per la produzione, quindi un macchinario di tipo SCADA. Posso capire quindi che ci siano più attacchi contro questo secondo tipo di macchinari, ma è inaccettabile che il settore ICT sia così tanto colpito, con un aumento del 46%. Infatti dice anche il rapporto, non sono buone notizie perché in questo comparto in teoria la maggiore concentrazione di competenze e di budget dedicato alla tecnologia dovrebbe favorire una maggiore capacità di resistenza alle minacce crescenti, e invece purtroppo così non è. Passando alle buone notizie, se vogliamo, c'è invece una decrescita per il settore legato all'educazione, quindi le scuole a livello globale sono un po' meno colpite. Per quanto riguarda la distribuzione delle vittime, e torniamo anche qui a un confronto con l'anno scorso, ecco qua, vedete vediamo che in realtà l'Europa rispetto al totale ha una flessione, perché siamo al 25%, mentre l'anno scorso eravamo al 30%. Quindi in Europa prima c'erano il 30% degli attacchi globali e adesso solo il 25%. L'Asia invece l'anno scorso era al 12% e quest'anno invece siamo ben al 19%, quindi in Asia c'è un aumento netto degli attacchi. L'America invece bene o male rimane sempre lì, abbiamo un 33% quest'anno contro un 35% 5% dell'anno scorso. L'Africa si abbassa leggermente, l'Oceania si abbassa leggermente. Per il resto, bene o male, siamo lì. Quindi buone notizie per l'Europa, pessime per l'Asia, più o meno uguali per tutto il resto. Adesso voglio andare a vedere invece con voi le tecniche di attacco. Quindi andiamo a vedere come concretamente vengono attaccati questi stati, queste aziende, questi settori. Per un terzo degli incidenti registrati, in realtà, non è stato possibile determinare la tecnica utilizzata. Undisclosed vuol dire che non è stato reso reso noto. Ma il fatto che non sia stato reso noto vuol dire molto probabilmente che in realtà proprio non si sa come è avvenuto in concreto l'attacco. Il rapporto Clusit dice anche che probabilmente perché in realtà non c'è effettivamente una maggiore trasparenza pubblica che ci dovrebbe essere secondo le norme, perché le comunicazioni ufficiali si limitano solo agli elementi strettamente richiesti dalla normativa. E quindi io non ti dirò mai come sono entrati, ti dico solo che sono entrati. Questo vuol dire che nella maggior parte dei casi c'è effettivamente una colpa da parte della società. Ad esempio, è il utente classico che clicca sulla mail di phishing in cui non avrebbe dovuto cliccare. L'azienda, per evitare di essere ulteriormente danneggiata a livello reputazionale, non dice come sono entrati, dice solo: abbiamo subito un attacco. Peccato, perché comunque sarebbe utile per tutti. Vediamo poi, e anche qui torno al nostro grafico, ecco qua. L'anno scorso avevamo una prevalenza di malware al 32%, quest'anno invece il 33%, è l'undisclosed, quindi non è stato reso noto, e il malware è solo il 24,9%, mentre l'anno scorso appunto questi due valori erano scambiati. Paradossalmente anche a livello di percentuali sono quasi uguali, ma scambiati. Poi abbiamo vulnerabilità rimaste sempre più o meno uguali, 16% contro il 15% dell'anno scorso. Aumenta il phishing, allucinante come cosa, perché voglio dire, dovremmo essere tutti pronti ormai e corazzati contro il phishing, e invece phishing e social engineering in aumento, siamo quasi 10%. Questo grazie soprattutto all'intelligenza artificiale, perché ormai non c'è più la mail del principe nigeriano sgrammaticata, piena di errori di ortografia. Con l'intelligenza artificiale si fanno delle mail veramente perfette di phishing in cui è molto difficile non cadere. L'anno scorso invece il phishing era all'8%. Abbiamo poi il DDoS leggermente scambiato rispetto all'anno scorso, adesso un 6%, l'anno scorso era 8%, quindi se è scambiato con il phishing. Tecniche multiple di attacco sono bene o male sempre attorno al 5%. Poi abbiamo furto di identità al 2,6% e attacchi web all'1,5%. Qui bene o male rimaniamo sempre sugli stessi numeri, anzi c'è una minore percentuale di furto di identità e questo sicuramente è buono. Passerei all'analisi della gravità degli incidenti e poi andiamo a vedere invece cosa succede in Italia. Come vedete nei due grafici c'è una bella differenza Cioè, qua abbiamo una fetta in più che l'anno scorso non avevamo, che è quella di cui abbiamo parlato, la categoria extreme, che fra l'altro accumula già un 2,7%, quindi non è poco. Cioè, un 3% di incidenti di gravità estrema è tantissimo. Vuol dire che 3 incidenti su 100 sono di una gravità totalmente inedita rispetto agli anni scorsi. Abbiamo poi un 28,2% di incidenti critici, l'anno scorso era un 29%, quindi bene o male con i numeri siamo lì. Abbiamo una quantità di incidenti di gravità alta al 55%, l'anno scorso era al 50%, quindi anche lì bene o male siamo lì. E solo il 13% sono incidenti di gravità bassa o media, l'anno scorso era un 22%. Quindi in realtà rispetto all'anno scorso mi sembra che la situazione sia veramente molto peggiorata, perché gli incidenti gravità media o bassa sono solo 13 su 100. Tutti gli altri incidenti sono almeno di gravità alta. L'anno scorso almeno un incidente su 4 era di gravità media. Come vedete, non c'è stato nessun incidente di gravità bassa, e questo è il motivo per cui hanno accorpato le due categorie. Per capire meglio però la parte della gravità, è importante che noi capiamo in che modo la gravità è collegata al tipo di attacco. E qui vediamo una cosa, in realtà quasi tutti gli incidenti di gravità estrema, quindi questo rosso sono in questo settore qua, che paradossalmente è il più basso. In realtà abbiamo visto che la parte, diciamo, geopolitica degli attacchi, quindi la information warfare, è quella che incide meno a livello di quantità degli attacchi. Cioè, sono pochi gli incidenti che hanno questo scopo qua, però quelli che vanno a segno sono quelli che accumulano la maggior parte di incidenti di gravità estrema. Quindi sono pochi incidenti, ma sono molto, molto gravi, sono quelli con la gravità più alta di tutti. La seconda categoria di attacchi che in realtà accumula questo tipo di gravità, quindi la gravità estrema, è quella dello spionaggio sabotaggio, che se ci ricordiamo sono sempre nell'ambito bene o male della guerra fra paesi, di attori statali e via dicendo. Quindi diciamo che togliendo dal conteggio tutte le parti che possono avere ad oggetto una guerra fra più stati, o appunto degli attori statali, dei malintenzionati sponsorizzati dagli stati, nel resto dei casi è molto difficile che arriviamo a degli attacchi di gravità estrema. Anche il cybercrime, che abbiamo detto che da solo detiene la maggior parte degli incidenti, ha come impatto bene o male quasi tutti incidenti di gravità alta. Quindi non siamo nel mondo dell'estremo, siamo un pochettino nel mondo del critico, ecco, questo sì, ma per la maggior parte si parla di incidenti di gravità alta. Quindi tutto sommato è è vero che gli incidenti di tipo cybercrime sono tantissimi, ma è vero anche che almeno non sono quelli che a livello di gravità impattano di più. L'anno scorso, giusto per fare un confronto, non c'era la gravità in realtà estrema, c'era solo la gravità critica. Però bene o male vediamo che come situazione siamo qua. L'information warfare e lo spionaggio e sabotaggio erano quelli che accumulavano più incidenti di gravità di tipo critico. Veniamo, direi, all'Italia, perché voglio analizzare quella che è la situazione per noi. Eccoci qua. Allora, fra il 2021 e il 2025 il campione ha incluso 1432 incidenti noti, che ha preso di mira realtà italiane. Di questi, 507, quindi circa il 35% del totale, sono avvenuti nell'ultimo anno. Abbiamo una nuova impennata, ci dice il rapporto, perché bene o male negli ultimi 2 anni il valore era sui 320, mentre mentre adesso c'è un aumento del 42%. Quindi nel 2025 c'è stato un 42% in più di incidenti cyber rispetto appunto all'anno scorso. Come percentuale rispetto al resto del mondo siamo fra virgolette solo al 9,6%. Dico fra virgolette perché l'anno scorso eravamo al 10%, cioè l'anno scorso il 10% degli attacchi, 1 su 10, avveniva in Italia. Quest'anno per fortuna solo il 9,6% %. Praticamente identico in realtà come numero. Come tipo di attaccanti, anche in Italia si conferma come maggiore presente il gruppo dei cybercriminali, con però anche un aumento per quanto riguarda gli attivisti. Molto meno invece spionaggio, sabotaggio, information warfare. Il 61% degli incidenti è di tipo cybercrime, molto più bassa rispetto all'anno scorso quando era il 78% del totale. Quindi in realtà effettivamente ci sono meno incidenti di matrice cybercrime, ma evidentemente è aumentata invece la parte di attivismo. Infatti voglio andare a vedere il nostro grafico a torta. Ecco, l'anno scorso cybercrime 78% e 22% attivismo, 0% spionaggio, sabotaggio e guerra di informazione. Quest'anno abbiamo invece cybercrime 60%, ma attivismo 38,7%, e una piccolissima percentuale, una muscola, fettina di torta dedicata allo spionaggio, al sabotaggio. Quindi appunto è diminuito il cybercrime ma è aumentato l'attivismo. Quindi non so, alla fine gli incidenti bene o male rimangono quelli, il motivo per cui viene fatto un attacco è diverso, ma non è detto che allora sia per forza meglio. Cioè comunque stiamo parlando di danni che vengono fatti. Come vedete, l'attivismo, passando da 80 nel 2024 a 196 nel 2025, registra un aumento del 145%, cioè un aumento scandaloso. E noi potremmo chiederci: ma perché questo aumento? Il rapporto Clusit ci ragiona e ci riflette, dice: il fenomeno activism è l'anomalia italiana. L'Italia appare particolarmente vulnerabile a incidenti di tipologia activism, cioè attivismo appunto fatto hackerando dei sistemi, che normalmente hanno conseguenze non particolarmente rilevanti perché mirano a fare delle dimostrazioni, non mirano a fare un danneggiamento vero e proprio o a rubare denaro, rubare informazioni. Sono più che altro, diciamo, atti dimostrativi, però sono comunque molto incisivi. Anche perché comunque normalmente l'attivismo si concentra contro le organizzazioni pubbliche, quindi vuol dire che le nostre pubbliche amministrazioni sono meno pronte rispetto a quelle degli altri stati a reagire ad attacchi di questo tipo. Ed è una cosa un po' imbarazzante. Ma la domanda è: perché nel nostro paese di più di più rispetto agli altri paesi? Intanto perché, come dice il rapporto, noi siamo più impreparati. Impreparati perché gli atti di attivismo, di tipo activism appunto, sono rivolti normalmente alle pubbliche amministrazioni. Le nostre pubbliche amministrazioni non sono abbastanza forti contro gli attacchi informatici, quindi sono anche meno resistenti quando qualcuno vuole fare una dimostrazione. Perché se io voglio dimostrare il mio punto di vista, il mio orientamento politico, o voglio dire che qualcosa cosa non mi è piaciuto, lo faccio attaccando direttamente una pubblica amministrazione, non un cittadino o un'impresa. E le nostre pubbliche amministrazioni sono più deboli. D'altra parte però, dice anche il rapporto, noi siamo più maturi da un certo punto di vista per quanto riguarda la comunicazione. Quindi forse non è che abbiamo più attacchi, è che quando abbiamo attacchi di questo tipo lo diciamo di più rispetto agli altri stati. Le vittime comunque non possono che essere i settori governativo, militare e in generale servizi pubblici essenziali, le pubbliche amministrazioni. E infatti è il primo posto fra quelli colpiti. E va da sé, perché comunque se il cybercrime è preponderante ma gli attacchi di tipo attivista sono comunque super incidenti, vuol dire che ovviamente il settore più colpito sarà proprio quello delle pubbliche amministrazioni. L'anno scorso non mi ricordo se era sempre al primo posto. No, l'anno scorso c'è stato effettivamente quel problema del settore news e multimedia, quello che dicevo prima, l'attacco al CRM che gestisce un po' tutte le testate italiane, o comunque una gran parte delle testate italiane digitali, che quindi ha portato a un aumento spropositato di questo tipo di attacchi. Quindi sono aumentati tantissimi gli attacchi contro questo settore qua, perché in realtà hanno attaccato un solo fornitore, ma era quello giusto, e quindi a cascata sono stati colpiti tutti i giornali che si avvalevano di quel CRM. Tant'è che era stata fatta proprio un approfondimento su Il Caso News Multimedia. Ecco, questo me lo ricordavo bene perché è stato proprio un caso, diciamo, unico nel suo genere. Quest'anno non abbiamo chiaramente questo problema. Andiamo quindi a vedere chi sono i più colpiti. Primi fra tutti: governo, militare, eccetera. Andiamo a vedere invece l'anno scorso: news multimedia. Al secondo posto: settore manifatturiero, entrambi gli anni. Terzo posto: target multipli, entrambi gli anni. Quindi bene o male mi sembra tutto rimasto più o meno uguale. News multimedia, per fortuna, adesso è all'ultimo posto. Quindi proprio l'anno scorso scorso era stato un caso unico nel suo genere. Anzi, ha falsato anche un po' le percentuali, se vogliamo. Molto interessante il settore financial e insurance, che bene o male rimane— ecco, quest'anno è un po' di più, quindi un 2,4%, mentre l'anno scorso era un 2%. Però è positivissimo questo dato, perché se solo 2 attacchi su 100 riguardano il settore finanziario, vuol dire che le normative funzionano. E infatti anche il rapporto Clusit ce lo dice: regolamento DORA in primis hanno contribuito efficacemente a rafforzare la capacità di difesa del settore, a dimostrazione del fatto che ste norme non sono solo carta. Io ovviamente lo dico sempre, cioè il fatto che venga normato un determinato obbligo di protezione dei sistemi non è per dare lavoro a gente che come me si occupa di compliance, o per dare lavoro agli ingegneri informatici, è Perché banalmente, se io non rendo obbligatorie le misure di sicurezza, le aziende non le applicano perché costano. Le aziende investono nella sicurezza informatica solo dopo che hanno ricevuto un incidente. Allora io cosa faccio? Ti costringo, se non le implementi ti sanziono, e va là che il danno ce l'hai comunque. Quindi purtroppo le norme servono. Facciamo ora una rapida panoramica della distribuzione delle tecniche di attacco, che quest'anno, ecco qua, vede al primo posto il DDoS, cioè il buttare giù i sistemi. Questo perché? Perché è aumentato tantissimo il settore dell'attivismo, e una delle cose che fanno gli attivisti più di tutte le altre è proprio l'attacco di tipo DDoS. L'abbiamo già visto in un video, sapete già quindi che cos'è, o comunque lo potete scoprire molto facilmente. Comunque, in generale, è quando si mandano tantissime richieste a un sito web web o un servizio per fare in modo che si intasi e non riesca a gestire le richieste normali. Il DDoS è quindi al 38,5%, mentre l'anno scorso era al 21%. Il malware invece scende al 22%, mentre l'anno scorso era al 38%. Quindi vediamo comunque uno scambio fra questi due, però bene o male siamo lì. Noto che fra l'altro l'undisclosed, che avevamo visto che invece era molto in alto a livello globale come tipologia di attacco, c'è la maggior parte degli incidenti non ha un'origine che noi possiamo scoprire, non è stata dichiarata. E invece da noi è sempre comunque abbastanza basso, 7% l'anno scorso, 21% quest'anno. Comunque bene o male noi siamo un po' più trasparenti su quali sono le tecniche di attacco che vengono usate dai cybercriminali. Anche in Italia comunque, lo dice anche il rapporto, il phishing sta vivendo una nuova primavera grazie all'uso dell'intelligenza artificiale. Ed è una cosa che ci siamo già detti. Per quanto riguarda la gravità degli incidenti in Italia, a livello estremo veramente pochissimi, per fortuna. Critico molto basso, un 7,7%. Per il resto la maggior parte sono di tipo gravità medio-bassa, e il restante è gravità alta. Perché gravità medio-bassa per la maggior parte? Perché un po' il cybercrime, come abbiamo visto anche a livello globale, generalmente non ha una gravità altissima. Cioè, puntano a colpire nel mucchio e a fare pochi danni su più aziende, piuttosto che fare un mega danno su un'azienda sola, e anche perché è aumentato molto l'attivismo. L'attivismo è dimostrativo e quindi la gravità dell'attacco non è mai molto alta. Vediamo l'anno scorso, giusto per fare un confronto. Ecco, l'anno scorso avevamo critico al 9%, quindi sono diminuiti quest'anno, alto 53%, e anche quello è diminuito molto, e medio era 38%. Quindi abbiamo avuto molti più incidenti, ma per fortuna meno gravi. Il rapporto si chiude poi, almeno per questa parte, con un'analisi, diciamo, dei trend. Vengono date anche delle indicazioni su come il CLUSIT suggerisce di far fronte a queste nuove minacce. Il consiglio è quello sicuramente di non lasciare alle normative il compito di dettare la nostra agenda di cybersecurity. Siamo noi, noi inteso come organizzazioni, come enti, come pubblica amministrazioni, a doverci per primi muovere in questo senso, ad aumentare appunto la nostra cybersecurity. Però ovviamente visto che le normative ci sono, ovviamente dobbiamo adeguarci all'AI Act, alla NIS2 e al Cyber Resilience Act, 3 normative di cui ho già parlato nel canale, anche spiegando come andranno a intervenire. Soprattutto l'AI Act e il Cyber Resilience Act mi incuriosiscono molto. Un'altra cosa che nota il rapporto è che i trend di crescita si spostano anno dopo anno in settori e soggetti che negli anni precedenti risultavano meno colpiti, cioè come se i cybercriminali leggessero il rapporto dicesse: oh, non abbiamo colpito il settore news e multimedia, o colpiamolo. Ma probabilmente perché in realtà sono settori che, essendo meno colpiti, meno attenzionati, spesso tengono le difese più basse. E quindi ha senso che i cybercriminali si spostino su questi settori. Di solito c'è sempre una seconda fase di lezione imparata, e quindi quando un settore non è mai stato particolarmente colpito è più facile ottenere dei risultati. Su di loro. Una cosa che il rapporto dice, e che non mi sento che sia mai sufficientemente sottolineata, è che a mancare è soprattutto la consapevolezza. Infatti dice: resta ancora fondamentale mantenere alta l'attenzione al tema della consapevolezza delle persone. Le persone sono sempre l'anello più debole della catena. E infatti abbiamo una crescita del 66% degli incidenti basati sul phishing, un tasso che lo stesso rapporto definisce inaccettabile sia per le medie imprese sia per le grandi organizzazioni. Ed è proprio così, cioè è impossibile che nel 2026 ancora stiamo qua a parlare di phishing. Vuol dire proprio che ancora le persone, i dipendenti, non hanno consapevolezza di quelli che sono i rischi, del fatto che a volte le mail non sono provenienti dalla persona da cui sembrano provenire, che a volte hanno dei minuti malevoli, dei link sbagliati. Insomma, manca proprio la consapevolezza delle persone. Il rapporto poi prosegue. Io vi invito chiaramente a leggervelo tutto perché è veramente molto interessante. Spiega come vengono calcolati questi dati, l'analisi di FastWeb e di Vodafone. Ma scorrendo ce ne sono anche altri, c'è anche l'analisi di Acronis e via dicendo. Bene, direi che abbiamo fatto una bella carrellata di quello che è successo l'anno scorso. Mi piace sempre molto il rapporto Cluesit perché ci fa capire dove dobbiamo concentrarci, quali sono i punti più deboli rispetto a tutto il resto, quindi, e anche capire quali sono le minacce a cui dobbiamo prestare più attenzione. Come sempre, spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti cosa ne pensate, cosa pensate anche di questi trend, quindi se sono per voi preoccupanti o se invece li ritenete tutto sommato non così dannosi. Noi ci rivediamo al prossimo video.