I più gravi attacchi informatici in Germania

Le aziende e gli enti pubblici tedeschi sono tra i più colpiti in Europa. Nel 2025 il Bundeskriminalamt ha registrato 333.922 casi di crimini informatici, con danni stimati in 202,4 miliardi di euro. Nello stesso anno sono stati segnalati 1.041 attacchi ransomware e la Germania si è classificata al terzo posto a livello mondiale per numero di incidenti confermati legati al ransomware.

Dietro a questi numeri si celano casi concreti: un fornitore di servizi IT comunali che ha messo fuori uso 72 comuni, un colosso dei ricambi auto che ha perso 40 terabyte di dati, un ospedale universitario che ha dovuto rifiutare dei pazienti. Questo articolo illustra sei attacchi documentati, i relativi costi e l’unico elemento che quasi tutti hanno in comune.

I più gravi attacchi informatici in Germania

1. Südwestfalen IT (2023): 72 comuni senza connessione a Internet

Il 30 ottobre 2023, il fornitore di servizi informatici comunali Südwestfalen IT è stato vittima di un attacco ransomware attribuito al gruppo Akira. Il centro dati ha interrotto le connessioni con i comuni che serviva, lasciando senza connessione 72 città e distretti aderenti contemporaneamente. I cittadini non hanno potuto immatricolare veicoli, richiedere documenti né usufruire dei servizi comunali.

Circa 170 persone hanno lavorato alle operazioni di ripristino, impiegando all’incirca 43.000 ore lavorative, e il ripristino completo dei servizi si è protratto fino all’autunno dell’anno successivo. Si tratta tuttora dell’incidente più grave e complesso del genere verificatosi in Germania.

2. Continental (2022): 40 terabyte rubati

Nell’estate del 2022, il gruppo LockBit è riuscito a penetrare nelle reti del fornitore automobilistico Continental, rimanendo inosservato per circa un mese. Ha sottratto circa 40 terabyte di dati: piani di bilancio, di investimento e strategici, fascicoli del personale e comunicazioni riservate dei dirigenti e del consiglio di sorveglianza. Tra i dati sottratti figuravano anche quelli relativi ai clienti, tra cui Volkswagen.

Gli autori dell'attacco hanno pubblicato un file contenente l'elenco dei percorsi di archiviazione di 55 milioni di file. Continental ha scritto a decine di migliaia di persone coinvolte e ha pubblicamente chiesto che venisse vietato il pagamento dei riscatti.

3. Ospedale universitario di Düsseldorf (2020): un ospedale che ha rifiutato di accogliere un paziente

Un attacco ransomware contro l’ospedale universitario di Düsseldorf ha costretto la struttura a sospendere il servizio di pronto soccorso. I sistemi sono stati crittografati e i pazienti hanno dovuto essere trasferiti in altri ospedali. Il caso ha attirato l’attenzione internazionale come uno degli esempi più eclatanti di ciò che accade quando le infrastrutture sanitarie essenziali smettono di funzionare. Le autorità di sicurezza tedesche hanno attribuito questo episodio, insieme ad altri incidenti, al gruppo noto come Double Spider.

4. Circondario di Anhalt-Bitterfeld (2021): la prima dichiarazione di emergenza informatica

A seguito di un attacco ransomware, il distretto di Anhalt-Bitterfeld ha dichiarato lo stato di calamità (Katastrophenfall). È stata la prima volta che un’autorità tedesca ha adottato tale misura a causa di un attacco informatico. L’erogazione delle prestazioni sociali e i servizi ai cittadini sono rimasti interrotti per settimane, e il distretto ha impiegato mesi per tornare alla normale operatività.

5. Funke Mediengruppe (2020): una casa editrice senza redazione

Uno dei maggiori gruppi editoriali tedeschi è stato colpito da un ransomware che si è diffuso nei sistemi redazionali e di produzione. I quotidiani sono stati pubblicati in edizioni d'emergenza. Come già nel caso di Düsseldorf e Anhalt-Bitterfeld, le autorità tedesche hanno indicato come responsabile il gruppo Double Spider.

6. Il quadro che si cela dietro i titoli dei giornali (2025)

I singoli casi fanno notizia, ma è la tendenza generale a contare di più. Nel 2025 il settore manifatturiero ha rappresentato il 23% di tutte le fughe di dati in Germania, seguito dai servizi legali e di consulenza con il 14% e dall’edilizia e dall’ingegneria con l’11%. Secondo Google Threat Intelligence, il gruppo SafePay è stato responsabile di circa un quarto delle fughe di dati rese pubbliche in Germania quell’anno. Gli obiettivi non sono più solo i nomi più noti.

Cosa hanno in comune questi casi

Leggendo i rapporti uno accanto all’altro, emerge uno schema ricorrente. Non si è trattato di esotici exploit zero-day contro sistemi ben protetti. In un caso dopo l’altro, gli aggressori sono riusciti a entrare attraverso una porta qualsiasi: credenziali rubate, un’e-mail convincente, un dipendente che ha agito senza porsi domande.

Il caso Continental è illuminante. Gli hacker sono rimasti all’interno della rete per circa un mese prima che qualcuno se ne accorgesse. Non si tratta di un fallimento dei firewall, ma di un fallimento dei sistemi di rilevamento e dei segnali umani che lo precedono. Qualcuno, da qualche parte, ha notato qualcosa che non quadrava.

Ecco perché il BSI e il BKA continuano a sottolineare lo stesso punto debole. I controlli tecnici bloccano le minacce note. Non impediscono però a un dipendente di aprire un allegato che sembra una fattura, di collegare una chiavetta USB trovata nel parcheggio o di approvare una richiesta di accesso dopo una telefonata da parte di qualcuno che sostiene di essere del supporto IT. Quest’ultimo metodo è stato utilizzato in alcune delle più gravi violazioni di sicurezza europee degli ultimi anni, e l’esca funziona esattamente secondo lo stesso principio: la curiosità, non una falla tecnica.

Come proteggere la tua organizzazione

I backup, l’applicazione delle patch e la segmentazione della rete costituiscono la base, e tutte le organizzazioni sopra citate ne disponevano in qualche forma. Ciò che distingue le aziende che hanno resistito a un attacco da quelle che hanno fatto notizia è solitamente la rapidità con cui qualcuno si è reso conto di ciò che stava accadendo.

Tale riconoscimento è acquisibile con l'allenamento. Tre fattori fanno la differenza nella pratica:

• Piccoli allenamenti regolari invece di una sessione annuale. La consapevolezza si affievolisce. Una sessione annuale insegna nozioni che vengono dimenticate già a marzo; la ripetizione settimanale crea un riflesso.
• Simulazioni realistiche di phishing. Leggere informazioni sul phishing non è la stessa cosa che riceverne una. Le simulazioni ti mostrano quali reparti necessitano di supporto prima che sia un malintenzionato a scoprirlo al posto tuo.
• Una cultura in cui segnalare i problemi è la norma. Il dipendente che si accorge di qualcosa e lo segnala entro cinque minuti vale più di quello che tace per cinque giorni.

Per le organizzazioni soggette alla direttiva NIS2, questa misura non è più facoltativa. La direttiva menziona esplicitamente la formazione sulla sensibilizzazione e la nostra guida sulla NIS2 illustra in dettaglio cosa ciò comporti nella pratica.