Il fenomeno, che supera la media globale, vede il ransomware a doppia estorsione come minaccia predominante.
[In pillole] La sintesi per chi va di fretta:
Il settore manifatturiero italiano è un bersaglio primario per i cybercriminali, con un'ondata di attacchi in crescita esponenziale e superiore alla media globale. La minaccia principale è il ransomware con doppia estorsione, che colpisce soprattutto le PMI, vulnerabili per la loro struttura. L’aumento degli incidenti mette a rischio la continuità operativa e l'intera filiera produttiva del paese.
Una pressione costante e superiore alla media
La situazione si è ulteriormente definita nei primi mesi del 2026. A gennaio, le organizzazioni italiane hanno dovuto fronteggiare una media di 2.403 attacchi informatici ogni settimana. Si tratta di un valore superiore del 15% rispetto alla media globale, che si attesta a 2.090 attacchi settimanali, e in crescita del 3% rispetto allo stesso periodo dell’anno precedente.
Come descritto da Check Point Research, questo incremento non è dovuto a un singolo evento di vasta portata, ma a un accumulo progressivo di campagne malevole che esercitano una pressione continua su tutto il sistema. Per un’azienda, specialmente se di piccole o medie dimensioni, questo si traduce in un flusso quasi ininterrotto di tentativi di phishing, scansioni di vulnerabilità e accessi non autorizzati.
Anche gli attacchi che non vanno a buon fine hanno un costo, perché costringono a investire risorse in monitoraggio, gestione degli allarmi e aggiornamenti costanti dei sistemi di difesa.
Questa pressione non colpisce in modo uniforme, ma si concentra su alcuni settori ritenuti più vulnerabili o più redditizi. Il quadro che emerge dai dati è quello di un paese sotto un assedio digitale costante, in cui i criminali informatici sembrano aver identificato delle debolezze strutturali da sfruttare con metodica precisione. Non si tratta più di attacchi casuali, ma di operazioni mirate che puntano a massimizzare il profitto con il minimo sforzo.
La domanda che sorge spontanea è quali siano le tecniche specifiche utilizzate per penetrare le difese di aziende così strategiche e quali siano le conseguenze economiche di queste intrusioni.
Il ransomware e la strategia della doppia estorsione
La minaccia predominante che caratterizza questo scenario è il ransomware, un tipo di software malevolo che cifra i dati dei sistemi infettati e chiede un riscatto per ripristinarli. Tuttavia, la tecnica si è evoluta. I gruppi criminali più attivi, come Qilin, LockBit e Akira, praticano sistematicamente la cosiddetta doppia estorsione: non si limitano a bloccare l’accesso ai dati, ma li esfiltrano prima di cifrarli, minacciando di pubblicarli online qualora il riscatto non venisse pagato.
Questa strategia aumenta enormemente la pressione sulla vittima, che si trova a dover gestire non solo un blocco operativo, ma anche una potenziale violazione della privacy dei clienti, la diffusione di segreti industriali e un grave danno reputazionale.
Solamente nel gennaio del 2026, come riportato su DC Labs, sono stati rivendicati 17 attacchi ransomware di questo tipo contro aziende italiane, quasi uno al giorno.
Tra le vittime identificate figurano nomi noti del settore manifatturiero come Cressi, specializzata in attrezzature subacquee, Labeltex, attiva nel tessile, e Casadei, storico marchio di calzature di lusso. Questi casi dimostrano come nessun settore produttivo sia immune.
– Leggi anche: AI e clima, il greenwashing delle Big Tech: promesse senza prove
L’Agenzia per la Cybersicurezza Nazionale (ACN) ha confermato questa tendenza, rilevando nel primo semestre 2025 un aumento del 53% degli eventi cyber, con una crescita del 98% dei casi classificati come incidenti con un impatto confermato.
Il mese di febbraio 2025, in particolare, è stato un momento critico, con 91 attacchi ransomware andati a segno contro settori strategici, tra cui università, strutture sanitarie e fornitori della Pubblica Amministrazione, preannunciando la vulnerabilità trasversale che si osserva oggi.
Questa escalation non sembra rallentare, e il vero problema risiede nel capire perché proprio il sistema produttivo italiano sia diventato un terreno così fertile per queste attività criminali.
La fragilità di un tessuto fatto di piccole imprese
Una delle spiegazioni più plausibili della particolare vulnerabilità italiana risiede nella struttura stessa del suo tessuto economico. A differenza di altri paesi, l’Italia è composta prevalentemente da piccole e medie imprese (PMI), molte delle quali non dispongono di risorse, competenze o strutture interne dedicate alla sicurezza informatica.
Questa condizione porta spesso alla presenza di sistemi non aggiornati, configurazioni di rete insicure e policy di accesso ai dati poco rigorose, che rappresentano delle porte d’ingresso ideali per gli aggressori. La vulnerabilità delle piccole e medie imprese non è inevitabile, ma spesso conseguenza di architetture tecnologiche legacy e non integrate. Un sistema ERP moderno e robusto consente alle PMI di centralizzare la gestione dei dati critici, implementare controlli di accesso rigorosi e mantenere una visibilità completa sui processi operativi — una combinazione essenziale per ridurre le superfici d’attacco e rispondere rapidamente ai tentativi di infiltrazione, specialmente in un contesto dove la continuità della filiera produttiva è vitale
Come analizzato dal Clusit, i criminali informatici hanno sviluppato una strategia specifica per colpire il settore manifatturiero italiano: attaccare simultaneamente più anelli della stessa catena di fornitura (supply chain).
In un sistema produttivo dove le aziende sono strettamente interconnesse, compromettere un fornitore di componenti o un partner logistico può avere effetti a cascata su decine di altre imprese, paralizzando intere filiere.
Questa frammentazione, che è storicamente uno dei punti di forza del “Made in Italy”, si trasforma così in un punto debole sul fronte della sicurezza.
A questo si aggiunge un nuovo fattore di rischio legato all’adozione non governata dell’intelligenza artificiale generativa. Nelle aziende, l’uso di strumenti come ChatGPT o altri modelli linguistici avviene spesso senza un controllo centrale.
Si stima che un prompt su 30 inviato da una rete aziendale a questi servizi contenga dati sensibili, come documenti interni, informazioni sui clienti o codice sorgente proprietario.
Le grandi aziende tecnologiche che promuovono l’adozione di massa di queste tecnologie raramente si soffermano sui rischi connessi a un loro uso incontrollato, lasciando alle singole imprese l’onere di gestire una superficie d’attacco completamente nuova e poco compresa.
La combinazione di una vulnerabilità strutturale, legata alla dimensione delle imprese, e di una tecnologica, legata a innovazioni introdotte senza adeguate misure di sicurezza, crea le condizioni per una pressione che difficilmente diminuirà nel prossimo futuro.
