I dati presentati dal direttore ACN Andrea Quacivi in Parlamento distinguono 137 eventi nel bancario e 31 nell’assicurativo, con 47 incidenti a impatto confermato
Nei primi nove mesi del 2026 il CSIRT Italia ha rilevato 168 eventi cyber a carico di banche e assicurazioni: 137 nel settore bancario e 31 in quello assicurativo. Di questi, 47 sono stati classificati come incidenti, ossia eventi con impatto confermato: 44 nelle banche e tre nelle assicurazioni. È il bilancio illustrato il 5 novembre dal direttore generale dell’Agenzia per la cybersicurezza nazionale, Andrea Quacivi, alla Commissione parlamentare d’inchiesta sul sistema bancario, finanziario e assicurativo.
Il principale canale di attacco al comparto resta la posta elettronica, seguita dall’utilizzo di credenziali precedentemente sottratte e dallo sfruttamento di vulnerabilità. Un quadro che evidenzia la centralità degli accessi e delle identità digitali, ma anche differenze significative nella natura degli eventi che interessano banche e compagnie.
Banche e assicurazioni: due profili di minaccia differenti
Nel bancario il 64% degli eventi è riconducibile alla criminalità informatica, il 32% a gruppi hacktivisti e il 4% a soggetti interni. Nell’assicurativo prevale invece la matrice hacktivista, cui è attribuito l’83% degli eventi, costituiti quasi interamente da attacchi DDoS. L’impatto sulle assicurazioni risulta confermato in meno di un caso su dieci.
Quacivi ha richiamato la dimensione sistemica del problema: la minaccia al comparto può incidere «sull’affidabilità dei servizi, la fiducia dei cittadini e più in generale sulla stabilità del sistema Paese». Da qui la necessità di una collaborazione che non si esaurisca nei presidi dei singoli operatori, ma coinvolga istituzioni e autorità, a partire da ACN e Banca d’Italia.
A settembre aumentano gli eventi nel quadro nazionale
Anche per i restanti settori il quadro è preoccupante: l’Operational Summary pubblicato da CSIRT Italia ha individuato nel solo mese di settembre – a livello nazionale per tutti i settori – 485 eventi cyber, contro i 309 del mese precedente, con un aumento del 57%. Gli incidenti con impatto confermato sono stati 235, rispetto ai 196 di agosto.
A settembre gli eventi hanno coinvolto 827 soggetti nazionali distinti. Il conteggio complessivo delle vittime raggiunge invece 1.036, perché uno stesso soggetto può essere contato più volte se interessato da eventi differenti. I settori con il maggior numero di vittime sono stati tecnologico, sanitario e manifatturiero.
Il principale accesso iniziale è stato lo sfruttamento di vulnerabilità, seguito dalle email utilizzate per phishing e spear phishing e dalle credenziali valide già compromesse. La prevalenza delle vulnerabilità nel mese è collegata soprattutto a campagne di defacement, cioè di alterazione dei contenuti dei siti web, che hanno sfruttato opportunisticamente falle in plugin e altri componenti delle piattaforme di gestione dei contenuti. Il defacement è risultato la minaccia con il maggiore incremento percentuale rispetto alla media del semestre precedente.
Ransomware: il rischio più rilevante per la continuità operativa
Se il numero degli eventi è influenzato dalle campagne DDoS e di defacement, il ransomware resta, secondo il bollettino, la minaccia più rilevante sul piano operativo. A settembre gli attacchi hanno interessato prevalentemente tecnologia, commercio e manifattura, ma le conseguenze più importanti descritte nel rapporto riguardano un polo ospedaliero articolato su due sedi.
La compromissione dell’infrastruttura virtualizzata e dei sistemi di archiviazione ha determinato la chiusura temporanea di una struttura e limitazioni nella gestione dei pazienti nell’altra. Le analisi hanno indicato il possibile sfruttamento di una vulnerabilità in un apparato perimetrale come ingresso iniziale. Negli incidenti ransomware del mese ricorrono inoltre credenziali già compromesse e servizi di accesso remoto violati.
© Riproduzione riservata