Największe cyberataki we Włoszech (2020–2026)

W skrócie: Włochy to jeden z najczęściej atakowanych krajów w Europie. Tylko w pierwszej połowie 2026 roku włoskie organizacje padły ofiarą 148 potwierdzonych ataków ransomware, przy czym najczęściej atakowanym sektorem był przemysł wytwórczy, a grupy Qilin i LockBit miały na koncie po ponad 20 włoskich ofiar. Poniższe ataki zmieniły sposób, w jaki włoskie firmy i instytucje publiczne postrzegają bezpieczeństwo: regionalny system opieki zdrowotnej unieruchomiony na tygodnie, sieć laboratoriów z 380 placówkami wyłączona z działania, awaria dostawcy usług w chmurze, która odcięła od sieci 1300 gmin. Większość z nich zaczęła się od jednego pracownika i jednej wiadomości e-mail.

Kalendarium: ataki, które wpłynęły na kształt włoskiego cyberbezpieczeństwa

2020 – Enel, Campari i Luxottica: oprogramowanie ransomware atakuje włoski przemysł

W 2020 roku trzy z najbardziej znanych włoskich firm padły ofiarą ataków w ciągu zaledwie kilku miesięcy. Gigant energetyczny Enel został zaatakowany dwukrotnie (przez Snake’a w czerwcu i Netwalkera w październiku; według doniesień żądano okupu w wysokości 14 mln euro, a hakerzy twierdzili, że ukradli 5 TB danych). Campari padło ofiarą ataku Ragnar Locker w listopadzie – żądano 15 mln dolarów, a ich systemy IT były unieruchomione przez kilka tygodni. We wrześniu atak dotknął firmę Luxottica, co spowodowało kilkudniowe wstrzymanie produkcji w Agordo i Sedico. Wniosek, jaki wyciągnął włoski przemysł: pojawiło się oprogramowanie ransomware, które atakuje fabryki, a nie tylko biura.

2020 – Leonardo: z pierwszej ręki

Nie każdy atak pochodzi z zewnątrz. W koncernie obronnym Leonardo pracownik działu IT przez dwa lata zainstalował złośliwe oprogramowanie na 94 stanowiskach roboczych i wykradł około 10 GB danych, w tym informacje o projektach wojskowych, zanim został aresztowany w grudniu 2020 roku. To wciąż najczęściej przytaczany we Włoszech przykład tego, dlaczego kontrola dostępu i monitorowanie mają znaczenie nawet w przypadku zaufanych pracowników.

2021 – Region Lacjum: opieka zdrowotna w regionie wstrzymana

1 sierpnia 2021 r. atak ransomware na systemy informatyczne regionu Lacjum spowodował, że portal do rezerwacji szczepień przeciwko COVID-19 oraz dziesiątki regionalnych usług przestały działać na kilka tygodni. Podobno punktem wejścia był zainfekowany laptop pracownika pracującego z domu, z którego atakujący dostali się do centrum danych. Kampania szczepień w Rzymie musiała przejść na tryb ręczny. To był pierwszy raz, kiedy atak we Włoszech dominował w krajowych wiadomościach przez kilka dni, co doprowadziło do powstania krajowej agencji ds. cyberbezpieczeństwa ACN, założonej jeszcze w tym samym miesiącu.

2022 – Gmina Palermo, Trenitalia i fala zmian w sektorze publicznym

W czerwcu 2022 r. miasto Palermo padło ofiarą ataku grupy Vice Society: miejskie usługi – od urzędu stanu cywilnego, przez fotoradary, po płatności online – były niedostępne przez kilka tygodni, a grupa opublikowała skradzione dokumenty. W marcu 2022 r. Ferrovie dello Stato / Trenitalia padły ofiarą ataku oprogramowania ransomware Hive, który zakłócił sprzedaż biletów. Lokalne służby zdrowia (między innymiASL Napoli 3 Sud w styczniu 2022 r.) doświadczyły zaszyfrowania systemów pacjentów. Rok 2022 był rokiem, w którym włoskie instytucje publiczne przekonały się, że są na celowniku.

2023 – Ferrari, ACEA i trend „wymuszeń bez szyfrowania”

W marcu 2023 roku firma Ferrari ujawniła, że hakerzy zdobyli dane kontaktowe klientów i zażądali okupu; firma odmówiła zapłaty i poinformowała o tym klientów bezpośrednio. W lutym 2023 roku rzymskie przedsiębiorstwo komunalne ACEA padło ofiarą ataku grupy Black Basta, co spowodowało zakłócenia w działaniu systemów wewnętrznych (nie miało to wpływu na dostawy prądu i wody). Oba przypadki pokazały, że hakerzy coraz częściej skupiają się na kradzieży danych i wymuszaniu okupu – nie muszą już niczego szyfrować, żeby wywrzeć presję.

Grudzień 2023 r. – Westpole: jeden dostawca, 1 300 instytucji publicznych

Atak, który najbardziej wpłynął na codzienne życie Włochów, nie dotknął żadnej znanej marki. 8 grudnia 2023 r. grupa LockBit zaatakowała dostawcę usług w chmurze Westpole, który obsługuje serwis PA Digitale – dostawcę usług dla około 1300 gmin, prowincji i innych instytucji publicznych. Systemy płacowe, księgowe, protokołowe i ewidencyjne były niedostępne przez kilka tygodni, a w niektórych przypadkach nawet do stycznia. To dla Włoch jasna lekcja dotycząca łańcucha dostaw: twoje bezpieczeństwo jest tak dobre, jak bezpieczeństwo twojego dostawcy.

Kwiecień 2024 r. – Synlab Italia: zamknięto 380 laboratoriów

18 kwietnia 2024 r. firma Synlab Italia, która prowadzi 380 laboratoriów i ośrodków medycznych wykonujących ponad 35 milionów badań rocznie, wyłączyła całe swoje włoskie środowisko IT po ataku ransomware przeprowadzonym przez grupę Black Basta. Punkty pobrań próbek i laboratoria zawiesiły działalność. Synlab odmówił zapłaty; 13 maja grupa opublikowała około 1,5 TB danych, w tym wyniki badań medycznych. Jedna z analiz przebiegu ataku wskazuje na początkową infekcję za pośrednictwem złośliwego e-maila (QBot) na kilka tygodni przed uruchomieniem oprogramowania ransomware. Ta sprawa stała się teraz we Włoszech klasycznym przykładem tego, ile może kosztować jedno kliknięcie w organizacji opieki zdrowotnej.

2024 – InfoCert i afera z brokerami danych

W grudniu 2024 roku dostawca usług tożsamości cyfrowej InfoCert zgłosił naruszenie bezpieczeństwa u zewnętrznego dostawcy, w wyniku którego ujawniono dane 5,5 miliona klientów. Jesienią tego samego roku śledztwo w sprawie Equalize ujawniło istnienie prywatnej sieci wywiadowczej, która nielegalnie uzyskała dostęp do rządowych baz danych dotyczących dziesiątek tysięcy osób, rzekomo z pomocą osób z wewnątrz. Obie te sprawy sprawiły, że rok 2024 stał się rokiem, w którym Włosi zaczęli się zastanawiać, gdzie tak naprawdę znajdują się ich dane.

2025–2026 – Qilin, LockBit 5.0 i fala ataków na przemysł

Ataki ransomware na Włochy nie zwolniły tempa. Serwisy monitorujące odnotowały 148 potwierdzonych ataków w pierwszej połowie 2026 roku – liczba ta gwałtownie wzrosła z 16 ataków w lipcu do 48 w sierpniu 2026 roku. Najbardziej dotkniętym sektorem okazał się przemysł, a zaraz po nim opieka zdrowotna i usługi. Wśród znanych przypadków z 2026 roku znalazły się: przedsiębiorstwo wodociągowe (Alto Calore Servizi) oraz grupa szpitali w Trieście, które padły ofiarą grup wymuszających okup. Intel 471 opisuje obecny schemat ataków we Włoszech jako następujący: pośrednicy zapewniający wstępny dostęp sprzedają dostęp do sieci VPN i poczty e-mail, po czym następuje atak ransomware, przy czym coraz częściej wykorzystuje się vishing (phishing głosowy), by skłonić pracowników do podania danych logowania.

Największe ataki w skrócie

Co łączy te włoskie przypadki

• Punktem wejścia jest osoba lub dostawca, a nie luka typu zero-day. W przypadku Lazio wszystko zaczęło się od laptopa pracownika, w Synlab podobno od e-maila, w Westpole i InfoCert – od dostawcy, a w Leonardo – od kogoś z wewnątrz. Zapory sieciowe nie były słabym punktem.
• Najwięcej płacą placówki służby zdrowia i instytucje publiczne. Nie w postaci okupu, ale w postaci tygodni przestoju oraz danych medycznych i osobowych, które trafiają na strony z wyciekami.
• Nie płacenie się opłaca, jeśli stać cię na przestój. Synlab i Ferrari odmówiły; obie firmy wyszły z tego cało. Obie miały też kopie zapasowe i plan komunikacji.
• Vishing to nowa forma phishingu. Raporty z 2026 roku wskazują, że rozmowy telefoniczne z pracownikami to najszybciej rozwijający się sposób ataku na włoskie firmy, dlatego szkolenia muszą teraz obejmować nie tylko skrzynkę odbiorczą, ale też rozmowy telefoniczne.

Co to oznacza dla włoskich MŚP w ramach NIS2

Włochy wcześnie wdrożyły dyrektywę NIS2 na mocy dekretu ustawodawczego nr 138/2024, który obowiązuje od października 2024 r., a organem nadzorczym jest ACN. Średnie i duże firmy z 18 sektorów (oraz mniejsze wyznaczone przez ACN) muszą się zarejestrować, zgłaszać incydenty w ciągu 24 i 72 godzin oraz wdrożyć minimalne środki określone w art. 21, które wyraźnie obejmują szkolenia z cyberbezpieczeństwa dla pracowników i kadry kierowniczej. Każdy z powyższych przypadków odnosi się do jednego z tych środków: bezpieczeństwo dostawców (Westpole, InfoCert), kontrola dostępu (Leonardo, Lazio), szkolenia i odporność na phishing (Synlab, fala vishingu z 2026 r.). Praktyczne omówienie znajdziesz w naszym przewodniku po NIS2 z 2026 r. oraz w artykule o tym, co NIS2 oznacza dla kadry kierowniczej.

Pięć wniosków dla każdej firmy, czy to we Włoszech, czy gdzie indziej

1. Szkol ludzi, którzy klikają. Ciągłe, krótkie szkolenia są lepsze niż coroczny moduł; ataki z 2026 roku zaczynają się od e-maili i telefonów do zwykłych pracowników. Szkolenia Guardey z zakresu świadomości bezpieczeństwa są stworzone właśnie z myślą o takim rytmie – dostępne są też po włosku.
2. Przetestuj to za pomocą symulacji, w tym z wykorzystaniem głosu. Comiesięczne symulacje ataków phishingowych pokazują, kto kliknie, zanim zrobi to atakujący.
3. Zadaj swoim dostawcom pytanie Westpole’a. Kto obsługuje waszą listę płac, rejestr i usługę uwierzytelniania, i co się z wami stanie, jeśli te systemy przestaną działać?
4. Wprowadź uwierzytelnianie wieloskładnikowe (MFA) w sieci VPN i poczcie e-mail. Pośrednicy dostępu działający we Włoszech w 2026 roku sprzedają dane logowania; dzięki MFA większość z nich staje się bezużyteczna.
5. Zdecyduj już teraz, czy byś zapłacił. Synlab i Ferrari podjęły decyzję jeszcze przed atakiem. Kopie zapasowe, plan awaryjny i plan komunikacyjny sprawiają, że „nie” to realistyczna odpowiedź.

Często zadawane pytania

Jaki był największy cyberatak we Włoszech?

Jeśli chodzi o wpływ na codzienne życie – atak na Westpole z grudnia 2023 r., w wyniku którego około 1 300 instytucji publicznych przez kilka tygodni nie miało dostępu do kluczowych systemów. Jeśli chodzi o wrażliwość danych – atak na Synlab Italia z 2024 r., w wyniku którego wyciekło 1,5 TB danych, w tym wyniki badań medycznych. Jeśli chodzi o znaczenie symboliczne – atak na region Lacjum z 2021 r., który doprowadził do powstania ACN.

Ile cyberataków odnotowuje Włochy rocznie?

Tylko w pierwszej połowie 2026 roku specjaliści od monitorowania odnotowali 148 potwierdzonych ataków ransomware; według europejskich raportów Włochy zajmują czwarte miejsce w Europie pod względem liczby ofiar ransomware, zaraz po Niemczech, Wielkiej Brytanii i Francji. Ataki phishingowe i przejęcia firmowych kont e-mail są znacznie częstsze, ale rzadko się o nich mówi publicznie.

Które sektory są w Włoszech najczęściej atakowane?

Najpierw przemysł (włoska baza przemysłowa składa się głównie ze średnich przedsiębiorstw), potem opieka zdrowotna, administracja publiczna i usługi specjalistyczne.

Czy rozporządzenie NIS2 dotyczy mojej firmy we Włoszech?

Jeśli prowadzisz średnią lub dużą firmę (ponad 50 pracowników lub obroty w wysokości 10 mln euro) w jednym z 18 sektorów objętych programem NIS2, to tak – powinieneś już być zarejestrowany w ACN. Listę sektorów znajdziesz w naszym przewodniku po programie NIS2.