De grootste cyberaanvallen in Italië (2020–2026)

In het kort: Italië is een van de meest aangevallen landen van Europa. Alleen al in de eerste helft van 2026 kregen Italiaanse organisaties 148 bevestigde ransomware aanvallen te verwerken, met de maakindustrie als meest getroffen sector en de groepen Qilin en LockBit die elk meer dan 20 Italiaanse slachtoffers claimden. De aanvallen hieronder hebben veranderd hoe Italiaanse bedrijven en overheden over beveiliging denken: een regionaal zorgsysteem wekenlang plat, een laboratoriumnetwerk met 380 vestigingen stilgelegd, een storing bij een cloudleverancier waardoor 1.300 gemeenten offline gingen. De meeste begonnen met één medewerker en één e-mail.

Tijdlijn: de aanvallen die de Italiaanse cybersecurity bepaalden

2020 – Enel, Campari en Luxottica: ransomware ontdekt de Italiaanse industrie

In 2020 werden drie van de bekendste bedrijven van Italië binnen een paar maanden getroffen. Energiereus Enel werd twee keer aangevallen (Snake in juni, Netwalker in oktober, met een gemelde losgeldeis van €14 miljoen en 5 TB aan naar verluidt gestolen data). Campari werd in november getroffen door Ragnar Locker, met een eis van $15 miljoen en wekenlange verstoring van de IT. Bij Luxottica legde een aanval in september de productie in Agordo en Sedico dagenlang stil. De les die de Italiaanse industrie trok: ransomware was gearriveerd, en het mikte op de fabrieken, niet alleen op het kantoor.

2020 – Leonardo: de insider

Niet elke aanval komt van buiten. Bij defensieconcern Leonardo installeerde een IT medewerker twee jaar lang malware op 94 werkstations en sluisde zo'n 10 GB aan data weg, waaronder informatie over militaire projecten, voordat hij in december 2020 werd gearresteerd. Het blijft het meest aangehaalde Italiaanse voorbeeld van waarom toegangsbeheer en monitoring ertoe doen, ook bij vertrouwd personeel.

2021 – Regio Lazio: de zorg van een hele regio bevroren

Op 1 augustus 2021 legde een ransomware aanval op de IT systemen van de regio Lazio het boekingsportaal voor COVID-19 vaccinaties en tientallen regionale diensten wekenlang plat. Het toegangspunt was naar verluidt de gecompromitteerde laptop van een thuiswerkende medewerker, van waaruit aanvallers het datacenter bereikten. De vaccinatiecampagne van Rome moest terugvallen op handmatige processen. Het was de eerste keer dat een Italiaanse aanval dagenlang het nationale nieuws beheerste, en het leidde tot de oprichting van het nationale cybersecurity agentschap ACN, diezelfde maand.

2022 – Gemeente Palermo, Trenitalia en de golf in de publieke sector

In juni 2022 werd de gemeente Palermo getroffen door Vice Society: stadsdiensten, van het bevolkingsregister tot verkeerscamera's en online betalingen, waren wekenlang offline en de groep publiceerde gestolen documenten. In maart 2022 kreeg Ferrovie dello Stato / Trenitalia een Hive ransomware aanval te verwerken die de kaartverkoop verstoorde. Lokale gezondheidsdiensten (ASL Napoli 3 Sud in januari 2022, onder andere) zagen patiëntsystemen versleuteld. 2022 was het jaar waarin Italiaanse overheden leerden dat zij doelwit waren.

2023 – Ferrari, ACEA en de trend van afpersing zonder versleuteling

In maart 2023 maakte Ferrari bekend dat aanvallers contactgegevens van klanten hadden buitgemaakt en losgeld eisten; het bedrijf weigerde te betalen en informeerde klanten rechtstreeks. In februari 2023 werd het Romeinse nutsbedrijf ACEA getroffen door Black Basta, met verstoring van interne systemen (de stroom en waterlevering bleven buiten schot). Beide zaken lieten de verschuiving zien naar datadiefstal en afpersing, waarbij aanvallers niets meer hoeven te versleutelen om druk uit te oefenen.

December 2023 – Westpole: één leverancier, 1.300 overheidsorganisaties

De aanval met de breedste impact op het Italiaanse dagelijks leven trof geen beroemd merk. Op 8 december 2023 viel LockBit cloudleverancier Westpole aan, die diensten host voor PA Digitale, leverancier van ongeveer 1.300 gemeenten, provincies en andere overheidsorganisaties. Salarisadministratie, boekhouding, postregistratie en bevolkingsregisters waren wekenlang niet beschikbaar, in sommige gevallen tot in januari. Het is de duidelijkste supply chain les van Italië: je beveiliging is zo goed als die van je leverancier.

April 2024 – Synlab Italia: 380 laboratoria stilgelegd

Op 18 april 2024 legde Synlab Italia, dat 380 laboratoria en medische centra runt die jaarlijks meer dan 35 miljoen analyses uitvoeren, zijn volledige Italiaanse IT omgeving stil na een ransomware aanval van Black Basta. Prikposten en labs schortten hun diensten op. Synlab weigerde te betalen; op 13 mei publiceerde de groep ongeveer 1,5 TB aan data, waaronder medische testuitslagen. Een analyse van de aanvalsketen wijst op een eerste besmetting via een kwaadaardige e-mail (QBot), weken voordat de ransomware werd uitgerold. De zaak is inmiddels in Italië hét standaardvoorbeeld van wat één klik in een zorgorganisatie kan kosten.

2024 – InfoCert en het databrokerschandaal

In december 2024 meldde aanbieder van digitale identiteiten InfoCert een datalek bij een externe leverancier waarbij gegevens van 5,5 miljoen klanten werden blootgelegd. Eerder dat najaar onthulde het Equalize-onderzoek een privé inlichtingennetwerk dat illegaal overheidsdatabases over tienduizenden mensen had geraadpleegd, naar verluidt met hulp van insiders. Beide zaken maakten 2024 tot het jaar waarin Italianen zich gingen afvragen waar hun data eigenlijk staan.

2025–2026 – Qilin, LockBit 5.0 en de golf in de maakindustrie

Ransomware tegen Italië nam niet af. Trackers telden 148 bevestigde aanvallen in de eerste helft van 2026, een sprong van 16 aanvallen in juli naar 48 in augustus 2026, en de maakindustrie als meest getroffen sector, gevolgd door zorg en dienstverlening. Benoemde zaken uit 2026 zijn onder meer een waterbedrijf (Alto Calore Servizi) en een ziekenhuisgroep in Triëst die door afpersingsgroepen werden geclaimd. Intel 471 beschrijft het huidige patroon voor Italië als initial access brokers die VPN en e-mailtoegang verkopen, gevolgd door ransomware, waarbij vishing (telefonische phishing) steeds vaker wordt gebruikt om medewerkers hun inloggegevens te laten afgeven.

De grootste aanvallen in één oogopslag

Wat de Italiaanse zaken gemeen hebben

• Het toegangspunt is een mens of een leverancier, geen zero-day. Lazio begon op een laptop van een medewerker, Synlab naar verluidt met een e-mail, Westpole en InfoCert via een leverancier, Leonardo met een insider. Firewalls waren niet de zwakke plek.
• Zorg en overheid betalen de hoogste prijs. Niet in losgeld, maar in weken downtime en in medische en persoonsgegevens op leksites.
• Niet betalen werkt, als je de downtime kunt dragen. Synlab en Ferrari weigerden; beide herstelden. Beide hadden ook back-ups en een communicatieplan.
• Vishing is de nieuwe phishing. De rapporten over 2026 noemen telefoontjes naar medewerkers als de snelst groeiende ingang bij Italiaanse bedrijven, en daarom moet training nu ook over de telefoon gaan, niet alleen over de inbox.

Wat dit betekent voor Italiaanse mkb bedrijven onder NIS2

Italië zette NIS2 vroeg om, via wetsbesluit 138/2024, van kracht sinds oktober 2024, met ACN als toezichthouder. Middelgrote en grote bedrijven in 18 sectoren (en kleinere die door ACN zijn aangewezen) moeten zich registreren, incidenten binnen 24 en 72 uur melden en de minimummaatregelen van artikel 21 invoeren, waaronder expliciet cybersecuritytraining voor personeel en bestuur. Elke zaak hierboven past bij een van die maatregelen: leveranciersbeveiliging (Westpole, InfoCert), toegangsbeheer (Leonardo, Lazio), training en phishingweerbaarheid (Synlab, de vishing golf van 2026). Voor een praktische uitwerking, zie onze NIS2 gids 2026 en wat NIS2 betekent voor bestuurders.

Vijf lessen voor elk bedrijf, in Italië of daarbuiten

1. Train de mensen die klikken. Doorlopende, korte training verslaat een jaarlijkse module; de aanvallen van 2026 beginnen met e-mails en telefoontjes naar gewone medewerkers. De security awareness training van Guardey is precies voor dat ritme gebouwd, ook in het Italiaans.
2. Test met simulaties, ook per telefoon. Maandelijkse phishing simulaties laten zien wie zou klikken voordat een aanvaller dat doet.
3. Stel je leveranciers de Westpole vraag. Wie host je salarisadministratie, je register, je identity provider, en wat gebeurt er met jou als zij plat liggen?
4. Dwing MFA af op VPN en e-mail. De access brokers die in 2026 toegang tot Italië verkopen, verkopen inloggegevens; MFA maakt de meeste daarvan waardeloos.
5. Besluit nu of je zou betalen. Synlab en Ferrari hadden dat vóór de aanval besloten. Back-ups, een herstelplan en een communicatieplan maken "nee" een realistisch antwoord.

Veelgestelde vragen

Wat was de grootste cyberaanval in Italië?

Qua impact op het dagelijks leven de Westpole aanval van december 2023, waardoor zo'n 1.300 overheidsorganisaties wekenlang zonder kernsystemen zaten. Qua gevoeligheid van de data de Synlab Italia aanval van 2024, waarbij 1,5 TB inclusief medische uitslagen lekte. Qua symbolische betekenis de aanval op de regio Lazio in 2021, die leidde tot de oprichting van ACN.

Hoeveel cyberaanvallen krijgt Italië per jaar?

Trackers telden alleen al in de eerste helft van 2026 148 bevestigde ransomware aanvallen; Europese rapporten zetten Italië op de vierde plaats in Europa qua ransomware slachtoffers, na Duitsland, het VK en Frankrijk. Phishing en business email compromise komen veel vaker voor, maar worden zelden openbaar gemeld.

Welke sectoren worden in Italië het meest aangevallen?

De maakindustrie voorop (de Italiaanse industriële basis zit vol middelgrote bedrijven), daarna zorg, overheid en zakelijke dienstverlening.

Geldt NIS2 voor mijn bedrijf in Italië?

Ben je een middelgroot of groot bedrijf (50+ medewerkers of €10 miljoen omzet) in een van de 18 NIS2 sectoren, dan ja, en dan hoor je al geregistreerd te zijn bij ACN. Bekijk onze NIS2 gids voor de sectorlijst.