I più gravi attacchi informatici in Italia (2020–2026)

In sintesi: l’Italia è uno dei paesi più colpiti dagli attacchi informatici in Europa. Solo nella prima metà del 2026, le organizzazioni italiane hanno subito 148 attacchi ransomware confermati; il settore manifatturiero è stato quello più preso di mira, mentre i gruppi Qilin e LockBit hanno rivendicato ciascuno più di 20 vittime italiane. Gli attacchi riportati di seguito sono quelli che hanno cambiato il modo in cui le aziende e gli enti pubblici italiani concepiscono la sicurezza: un sistema sanitario regionale bloccato per settimane, una rete di laboratori con 380 sedi messa fuori uso, un’interruzione del servizio di un provider cloud che ha lasciato offline 1.300 comuni. La maggior parte di essi è partita da un solo dipendente e da una sola e-mail.

Cronologia: gli attacchi che hanno segnato la storia della sicurezza informatica in Italia

2020 – Enel, Campari e Luxottica: il ransomware fa la sua comparsa nell’industria italiana

Nel 2020, tre delle aziende italiane più note sono state colpite nel giro di pochi mesi. Il colosso energetico Enel è stato attaccato due volte (da Snake a giugno e da Netwalker a ottobre, con una richiesta di riscatto di 14 milioni di euro e 5 TB di dati che si sostiene siano stati rubati). Campari è stata colpita da Ragnar Locker a novembre, con una richiesta di 15 milioni di dollari e un’interruzione dei servizi IT durata settimane. Luxottica ha subito un attacco a settembre che ha bloccato la produzione ad Agordo e Sedico per diversi giorni. La lezione che l’industria italiana ne ha tratto: il ransomware era arrivato e prendeva di mira le fabbriche, non solo gli uffici.

2020 – Leonardo: l'addetto ai lavori

Non tutti gli attacchi provengono dall’esterno. Presso il gruppo Leonardo, specializzato nella difesa, un dipendente del reparto IT ha installato malware su 94 postazioni di lavoro nell’arco di due anni e ha sottratto circa 10 GB di dati, tra cui informazioni su progetti militari, prima di essere arrestato nel dicembre 2020. Questo rimane l’esempio più citato in Italia a dimostrazione di quanto siano importanti il controllo degli accessi e il monitoraggio anche nei confronti del personale di fiducia.

2021 – Regione Lazio: il sistema sanitario di una regione in stallo

Il 1° agosto 2021, un attacco ransomware ai sistemi informatici della Regione Lazio ha messo fuori uso per settimane il portale di prenotazione delle vaccinazioni anti-COVID-19 e decine di servizi regionali. Secondo quanto riferito, il punto di ingresso è stato il computer portatile compromesso di un dipendente che lavorava da casa, dal quale gli aggressori hanno raggiunto il centro dati. La campagna vaccinale di Roma ha dovuto ricorrere a procedure manuali. È stata la prima volta che un attacco in Italia ha dominato le notizie nazionali per giorni e ha portato alla creazione dell’agenzia nazionale per la sicurezza informatica ACN, istituita quello stesso mese.

2022 – Il Comune di Palermo, Trenitalia e il settore pubblico

Nel giugno 2022, il Comune di Palermo è stato colpito da Vice Society: i servizi cittadini, dall’anagrafe alle telecamere del traffico ai pagamenti online, sono rimasti fuori uso per settimane e il gruppo ha pubblicato documenti rubati. Nel marzo 2022, Ferrovie dello Stato / Trenitalia ha subito un attacco ransomware da parte di Hive che ha interrotto la vendita dei biglietti. Le autorità sanitarie locali (tra cuil’ASL Napoli 3 Sud nel gennaio 2022) hanno visto i propri sistemi relativi ai pazienti sottoposti a crittografia. Il 2022 è stato l’anno in cui gli enti pubblici italiani hanno compreso di essere diventati bersagli.

2023 – Ferrari, ACEA e la tendenza all’estorsione senza crittografia

Nel marzo 2023, la Ferrari ha reso noto che alcuni hacker avevano sottratto i dati di contatto dei clienti e chiesto un riscatto; l’azienda si è rifiutata di pagare e ha informato direttamente i clienti. Nel febbraio 2023, l’azienda di servizi pubblici di Roma ACEA è stata colpita dal gruppo Black Basta, con conseguenti interruzioni dei sistemi interni (la fornitura di elettricità e acqua non ha subito ripercussioni). Entrambi i casi hanno evidenziato il passaggio al furto di dati e all’estorsione, in cui gli hacker non hanno più bisogno di crittografare nulla per esercitare pressione.

Dicembre 2023 – Westpole: un unico fornitore, 1.300 enti pubblici

L'attacco che ha avuto il maggiore impatto sulla vita quotidiana degli italiani non ha colpito un marchio famoso. L’8 dicembre 2023, LockBit ha attaccato il provider cloud Westpole, che ospita i servizi di PA Digitale, fornitore di circa 1.300 comuni, province e altri enti pubblici. I sistemi relativi alle buste paga, alla contabilità, al protocollo e ai registri sono rimasti inattivi per settimane, in alcuni casi fino a gennaio. È la lezione più chiara che l’Italia abbia imparato in materia di catena di approvvigionamento: la sicurezza dipende da quella del proprio fornitore.

Aprile 2024 – Synlab Italia: 380 laboratori chiusi

Il 18 aprile 2024, Synlab Italia, che gestisce 380 laboratori e centri medici che effettuano oltre 35 milioni di analisi all’anno, ha bloccato l’intero sistema informatico italiano a seguito di un attacco ransomware sferrato da Black Basta. I centri di prelievo e i laboratori hanno sospeso i servizi. Synlab si è rifiutata di pagare; il 13 maggio il gruppo ha pubblicato circa 1,5 TB di dati, compresi i risultati degli esami medici. Un’analisi della catena di attacco indica un’infezione iniziale tramite un’e-mail dannosa (QBot) avvenuta settimane prima della diffusione del ransomware. Il caso è ormai l’esempio emblematico in Italia di quanto possa costare un solo clic all’interno di un’organizzazione sanitaria.

2024 – InfoCert e lo scandalo dei broker di dati

Nel dicembre 2024, InfoCert, fornitore di servizi di identità digitale, ha segnalato una violazione presso un fornitore terzo che ha comportato la divulgazione dei dati di 5,5 milioni di clienti. All’inizio dell’autunno, l’inchiesta “Equalize” aveva portato alla luce l’esistenza di una rete di intelligence privata che aveva acceduto illegalmente a banche dati governative contenenti informazioni su decine di migliaia di persone, presumibilmente con l’aiuto di persone interne alle istituzioni. Entrambi i casi hanno fatto sì che il 2024 fosse l’anno in cui gli italiani hanno iniziato a chiedersi dove fossero effettivamente conservati i propri dati.

2025–2026 – Qilin, LockBit 5.0 e l’ondata del settore manifatturiero

Gli attacchi ransomware contro l’Italia non hanno subito rallentamenti. Gli analisti hanno registrato 148 attacchi confermati nella prima metà del 2026, con un’impennata dai 16 attacchi di luglio ai 48 di agosto 2026; il settore manifatturiero è risultato il più colpito, seguito da quello sanitario e dai servizi. Tra i casi segnalati nel 2026 figurano un’azienda di servizi idrici (Alto Calore Servizi) e un gruppo ospedaliero di Trieste, presi di mira da gruppi di estorsori. Intel 471 descrive l’attuale schema operativo in Italia come segue: broker di accesso iniziale che vendono accesso a VPN e alla posta elettronica, seguiti dal ransomware, con il vishing (phishing vocale) sempre più utilizzato per indurre i dipendenti a fornire le proprie credenziali.

I principali attacchi in sintesi

Cosa hanno in comune i casi italiani

• Il punto di ingresso è una persona o un fornitore, non una vulnerabilità zero-day. Nel caso della Lazio, tutto è partito dal portatile di un dipendente; secondo quanto riferito, nel caso di Synlab da un’e-mail; nel caso di Westpole e InfoCert tramite un fornitore; nel caso di Leonardo da una persona interna. I firewall non erano il punto debole.
• Il settore sanitario e gli enti pubblici pagano il prezzo più alto. Non in termini di riscatto, ma in settimane di inattività e nella divulgazione di dati medici e personali su siti di leak.
• Non pagare è una strategia efficace, se ci si può permettere il periodo di inattività. Synlab e Ferrari hanno rifiutato; entrambe si sono riprese. Entrambe disponevano inoltre di sistemi di backup e di un piano di comunicazione.
• Il vishing è il nuovo phishing. I rapporti del 2026 indicano le chiamate telefoniche ai dipendenti come il metodo in più rapida crescita per introdursi nelle aziende italiane; ecco perché la formazione deve ora estendersi anche al telefono, non solo alla casella di posta elettronica.

Cosa comporta tutto ciò per le PMI italiane nell’ambito del NIS2

L’Italia ha recepito tempestivamente la direttiva NIS2, tramite il decreto legislativo 138/2024, in vigore dall’ottobre 2024, con l’ACN come autorità di vigilanza. Le medie e grandi imprese di 18 settori (e quelle di dimensioni inferiori designate dall’ACN) sono tenute a registrarsi, a segnalare gli incidenti entro 24 e 72 ore e ad attuare le misure minime previste dall’articolo 21, che includono esplicitamente la formazione in materia di sicurezza informatica per il personale e per il management. Ciascuno dei casi sopra citati corrisponde a una di queste misure: sicurezza dei fornitori (Westpole, InfoCert), controllo degli accessi (Leonardo, Lazio), formazione e resilienza al phishing (Synlab, l’ondata di vishing del 2026). Per un’analisi pratica, consulta la nostra guida alla NIS2 2026 e cosa comporta la NIS2 per gli amministratori.

Cinque insegnamenti per qualsiasi azienda, in Italia o altrove

1. Forma chi usa il mouse. Una formazione continua e breve è più efficace di un modulo annuale; gli attacchi del 2026 iniziano con e-mail e telefonate rivolte ai dipendenti comuni. La formazione sulla sicurezza informatica di Guardey è pensata proprio per seguire questo ritmo, ed è disponibile anche in italiano.
2. Test tramite simulazioni, voce inclusa. Le simulazioni mensili di phishing rivelano chi cliccherebbe prima ancora che lo faccia un hacker.
3. Ponete ai vostri fornitori la domanda di Westpole. Chi gestisce il vostro sistema di gestione delle buste paga, il vostro registro e il vostro provider di identità, e cosa succede se questi servizi smettono di funzionare?
4. Applicare l'autenticazione a più fattori (MFA) alla VPN e alla posta elettronica. Nel 2026, i broker di accesso che operano in Italia venderanno credenziali; l'autenticazione a più fattori renderà la maggior parte di esse prive di valore.
5. Decidi subito se saresti disposto a pagare. Synlab e Ferrari avevano già deciso prima dell’attacco. I backup, un piano di ripristino e un piano di comunicazione rendono il “no” una risposta realistica.

Domande frequenti

Qual è stato il più grave attacco informatico verificatosi in Italia?

Per quanto riguarda l’impatto sulla vita quotidiana, l’attacco a Westpole del dicembre 2023, che ha lasciato circa 1.300 enti pubblici senza i sistemi fondamentali per settimane. Per quanto riguarda la sensibilità dei dati, l’attacco a Synlab Italia del 2024, che ha causato la fuga di 1,5 TB di dati, tra cui referti medici. Per quanto riguarda il peso simbolico, l’attacco alla Regione Lazio del 2021, che ha portato alla creazione dell’ACN.

Quanti attacchi informatici subisce l'Italia ogni anno?

Solo nella prima metà del 2026, gli osservatori hanno registrato 148 attacchi ransomware confermati; secondo i dati europei, l’Italia si colloca al quarto posto in Europa per numero di vittime di ransomware, dopo Germania, Regno Unito e Francia. Il phishing e il business email compromise sono fenomeni ben più frequenti, ma raramente vengono resi noti pubblicamente.

Quali sono i settori più colpiti in Italia?

In primo luogo il settore manifatturiero (il tessuto industriale italiano è caratterizzato da una forte presenza di medie imprese), seguito dal settore sanitario, dalla pubblica amministrazione e dai servizi professionali.

La normativa NIS2 si applica alla mia azienda in Italia?

Se la vostra azienda è di medie o grandi dimensioni (oltre 50 dipendenti o 10 milioni di euro di fatturato) e opera in uno dei 18 settori NIS2, sì, e dovreste già essere registrati presso l’ACN. Consultate la nostra guida NIS2 per l’elenco dei settori.