Los mayores ciberataques en Italia (2020-2026)

En resumen: Italia es uno de los países más atacados de Europa. Solo en el primer semestre de 2026, las organizaciones italianas sufrieron 148 ataques confirmados de ransomware, siendo el sector manufacturero el más afectado, y los grupos Qilin y LockBit se atribuyeron cada uno más de 20 víctimas italianas. Los ataques que se describen a continuación son los que han cambiado la forma en que las empresas y los organismos públicos italianos conciben la seguridad: un sistema sanitario regional paralizado durante semanas, una red de laboratorios con 380 centros fuera de servicio y una interrupción en el servicio de un proveedor de servicios en la nube que dejó sin conexión a 1.300 municipios. La mayoría de ellos comenzaron con un solo empleado y un único correo electrónico.

Cronología: los ataques que marcaron un hito en la ciberseguridad italiana

2020 – Enel, Campari y Luxottica: el ransomware se abre paso en la industria italiana

En 2020, tres de las empresas más conocidas de Italia se vieron afectadas en cuestión de meses. El gigante energético Enel sufrió dos ataques (Snake en junio y Netwalker en octubre, con una demanda de rescate de 14 millones de euros y el robo de 5 TB de datos, según se informó). Campari sufrió un ataque de Ragnar Locker en noviembre, con una demanda de 15 millones de dólares y una interrupción de sus sistemas informáticos durante semanas. Luxottica sufrió un ataque en septiembre que paralizó la producción en Agordo y Sedico durante días. La lección que extrajo la industria italiana fue que el ransomware había llegado y que tenía como objetivo las fábricas, no solo las oficinas.

2020 – Leonardo: el conocedor de la situación

No todos los ataques provienen del exterior. En el grupo de defensa Leonardo, un empleado del departamento de informática instaló software malicioso en 94 puestos de trabajo a lo largo de dos años y sustrajo unos 10 GB de datos, incluida información sobre proyectos militares, antes de ser detenido en diciembre de 2020. Sigue siendo el ejemplo más citado en Italia de por qué el control de acceso y la supervisión son fundamentales, incluso con personal de confianza.

2021 – Región del Lacio: la asistencia sanitaria de una región paralizada

El 1 de agosto de 2021, un ataque de ransomware contra los sistemas informáticos de la región del Lacio dejó fuera de servicio durante semanas el portal de reservas para la vacunación contra la COVID-19 y decenas de servicios regionales. Según se informó, el punto de entrada fue el ordenador portátil comprometido de un empleado que trabajaba desde casa, desde el que los atacantes accedieron al centro de datos. La campaña de vacunación de Roma tuvo que recurrir a procesos manuales. Fue la primera vez que un ataque en Italia acaparó las noticias nacionales durante días, lo que impulsó la creación de la agencia nacional de ciberseguridad ACN, constituida ese mismo mes.

2022 – Ayuntamiento de Palermo, Trenitalia y la ola del sector público

En junio de 2022, el Ayuntamiento de Palermo fue víctima de Vice Society: los servicios municipales, desde el registro civil hasta las cámaras de tráfico y los pagos en línea, estuvieron inactivos durante semanas y el grupo publicó documentos sustraídos. En marzo de 2022, Ferrovie dello Stato / Trenitalia sufrió un ataque con el ransomware Hive que interrumpió la venta de billetes. Las autoridades sanitarias locales (la ASL Napoli 3 Sud en enero de 2022, entre otras) vieron cómo se cifraban los sistemas de sus pacientes. 2022 fue el año en que los organismos públicos italianos se dieron cuenta de que eran objetivos.

2023 – Ferrari, ACEA y la tendencia de la extorsión sin cifrado

En marzo de 2023, Ferrari reveló que unos atacantes habían obtenido los datos de contacto de sus clientes y exigido un rescate; la empresa se negó a pagar e informó directamente a los clientes. En febrero de 2023, la empresa de servicios públicos de Roma, ACEA, sufrió un ataque de Black Basta que provocó interrupciones en sus sistemas internos (el suministro de electricidad y agua no se vio afectado). Ambos casos pusieron de manifiesto el cambio hacia el robo de datos y la extorsión, en los que los atacantes ya no necesitan cifrar nada para ejercer presión.

Diciembre de 2023 – Westpole: un único proveedor, 1.300 organismos públicos

El ataque que más ha afectado a la vida cotidiana de los italianos no se dirigió contra una marca famosa. El 8 de diciembre de 2023, LockBit atacó al proveedor de servicios en la nube Westpole, que aloja los servicios de PA Digitale, un proveedor de unos 1.300 municipios, provincias y otros organismos públicos. Los sistemas de nóminas, contabilidad, protocolo y registros estuvieron fuera de servicio durante semanas, en algunos casos hasta bien entrado enero. Es la lección más clara que ha recibido Italia sobre la cadena de suministro: tu seguridad depende de la de tus proveedores.

Abril de 2024 – Synlab Italia: cierre de 380 laboratorios

El 18 de abril de 2024, Synlab Italia, que gestiona 380 laboratorios y centros médicos en los que se realizan más de 35 millones de análisis al año, cerró todo su entorno informático en Italia tras sufrir un ataque de ransomware perpetrado por Black Basta. Los centros de recogida de muestras y los laboratorios suspendieron sus servicios. Synlab se negó a pagar; el 13 de mayo, el grupo publicó alrededor de 1,5 TB de datos, incluidos los resultados de pruebas médicas. Un análisis de la cadena de ataque apunta a una infección inicial a través de un correo electrónico malicioso (QBot) semanas antes de que se desplegara el ransomware. El caso se ha convertido ahora en el ejemplo paradigmático en Italia de lo que puede costar un solo clic en una organización sanitaria.

2024 – InfoCert y el escándalo de los intermediarios de datos

En diciembre de 2024, el proveedor de identidad digital InfoCert denunció una filtración en un proveedor externo que dejó al descubierto los datos de 5,5 millones de clientes. A principios de otoño, la investigación «Equalize» sacó a la luz una red de inteligencia privada que había accedido ilegalmente a bases de datos gubernamentales sobre decenas de miles de personas, presuntamente con la ayuda de personas de dentro. Ambos casos hicieron de 2024 el año en que los italianos empezaron a preguntarse dónde se encuentran realmente sus datos.

2025-2026: Qilin, LockBit 5.0 y la ola del sector manufacturero

Los ataques de ransomware contra Italia no han disminuido. Los servicios de seguimiento registraron 148 ataques confirmados en el primer semestre de 2026, con un aumento de 16 ataques en julio a 48 en agosto de 2026, siendo el sector manufacturero el más afectado, seguido de la sanidad y los servicios. Entre los casos registrados en 2026 se incluyen una empresa de suministro de agua (Alto Calore Servizi) y un grupo hospitalario de Trieste, de los que se han atribuido la responsabilidad grupos de extorsión. Intel 471 describe el patrón actual en Italia como el siguiente: los intermediarios de acceso inicial venden acceso a VPN y al correo electrónico, a lo que le sigue el ransomware, y el vishing (phishing por voz) se utiliza cada vez más para conseguir que los empleados faciliten sus credenciales.

Resumen de los ataques más importantes

Lo que tienen en común los casos italianos

• El punto de entrada es una persona o un proveedor, no una vulnerabilidad de día cero. En el caso de Lazio, todo comenzó en el portátil de un empleado; en el de Synlab, al parecer, a través de un correo electrónico; en el de Westpole e InfoCert, a través de un proveedor; y en el de Leonardo, por medio de alguien de dentro de la empresa. Los cortafuegos no fueron el punto débil.
• El sector sanitario y las administraciones públicas son quienes pagan el precio más alto. No en forma de rescate, sino en semanas de inactividad y en la filtración de datos médicos y personales en sitios web de filtraciones.
• No pagar funciona, si puedes permitirte el tiempo de inactividad. Synlab y Ferrari se negaron; ambas se recuperaron. Además, ambas contaban con copias de seguridad y un plan de comunicación.
• El «vishing» es el nuevo «phishing». Los informes de 2026 señalan que las llamadas telefónicas a los empleados son la vía de acceso a las empresas italianas que más rápido está creciendo, por lo que la formación ahora debe abarcar el teléfono, y no solo el buzón de correo electrónico.

Qué significa esto para las pymes italianas en el marco de la NIS2

Italia transpuso la Directiva NIS2 con antelación, mediante el Decreto Legislativo 138/2024, en vigor desde octubre de 2024, con la ACN como autoridad supervisora. Las empresas medianas y grandes de 18 sectores (y las más pequeñas designadas por la ACN) deben registrarse, notificar los incidentes en un plazo de 24 y 72 horas, e implementar las medidas mínimas del artículo 21, que incluyen explícitamente la formación en ciberseguridad para el personal y la dirección. Cada uno de los casos anteriores se corresponde con una de esas medidas: seguridad de los proveedores (Westpole, InfoCert), control de acceso (Leonardo, Lazio), formación y resiliencia frente al phishing (Synlab, la ola de vishing de 2026). Para un desglose práctico, consulta nuestra guía sobre la NIS2 de 2026 y lo que la NIS2 significa para los directivos.

Cinco lecciones para cualquier empresa, ya sea en Italia o en cualquier otro lugar

1. Forma a las personas que hacen clic. Una formación continua y breve es más eficaz que un módulo anual; los ataques de 2026 empiezan con correos electrónicos y llamadas telefónicas dirigidas a empleados de a pie. La formación en concienciación sobre seguridad de Guardey está diseñada precisamente para ese ritmo, y también está disponible en italiano.
2. Realiza pruebas con simulaciones, incluyendo la voz. Las simulaciones mensuales de phishing revelan quién haría clic antes que un atacante.
3. Haz a tus proveedores la pregunta de Westpole: ¿Quién aloja tu sistema de nóminas, tu registro y tu proveedor de identidad? ¿Y qué te pasa si estos servicios dejan de funcionar?
4. Aplicar la autenticación multifactorial (MFA) en la VPN y el correo electrónico. Los intermediarios de acceso que operan en Italia en 2026 venden credenciales; la autenticación multifactorial hace que la mayoría de ellas pierdan todo su valor.
5. Decide ahora si estarías dispuesto a pagar. Synlab y Ferrari ya lo habían decidido antes del ataque. Las copias de seguridad, un plan de recuperación y un plan de comunicación hacen que un «no» sea una respuesta realista.

Preguntas más frecuentes

¿Cuál fue el mayor ciberataque que se ha producido en Italia?

Por su impacto en la vida cotidiana, el ataque a Westpole de diciembre de 2023, que dejó a unos 1.300 organismos públicos sin sus sistemas básicos durante semanas. Por la sensibilidad de los datos, el ataque a Synlab Italia de 2024, que provocó la filtración de 1,5 TB de datos, incluidos resultados médicos. Por su importancia simbólica, el ataque a la región del Lacio de 2021, que dio lugar a la creación de la ACN.

¿Cuántos ciberataques sufre Italia al año?

Los organismos de seguimiento registraron 148 ataques confirmados de ransomware solo en el primer semestre de 2026; según informes europeos, Italia ocupa el cuarto lugar en Europa en cuanto al número de víctimas de ransomware, por detrás de Alemania, el Reino Unido y Francia. El phishing y el suplantación de identidad en el correo electrónico empresarial son mucho más frecuentes, pero rara vez se denuncian públicamente.

¿Qué sectores son los más afectados en Italia?

En primer lugar, el sector manufacturero (la base industrial de Italia está formada en gran parte por empresas medianas); a continuación, la sanidad, la administración pública y los servicios profesionales.

¿Se aplica la normativa NIS2 a mi empresa en Italia?

Si eres una empresa mediana o grande (más de 50 empleados o 10 millones de euros de facturación) y perteneces a uno de los 18 sectores del NIS2, sí, y ya deberías estar registrada en la ACN. Consulta nuestra guía sobre el NIS2 para ver la lista de sectores.