ACN: "A giugno 2026 più incidenti di maggio ma calo nel semestre"

L’Agenzia per la Cybersicurezza Nazionale ha fatto il punto su eventi e incidenti cyber nel mese di giugno 2026, nonché nel primo semestre di quest’anno. Fondamentale la piena implementazione della NIS2.

Nel mese di giugno 2026 l’Operational Summary dell’Agenzia per la Cybersicurezza Nazionale (ACN) ha evidenziato “184 incidenti cyber in Italia, in aumento del 14% rispetto ai 161 di maggio. Il numero di eventi complessivo (424) è in aumento del 9% rispetto al mese precedente“.

Inoltre, l’Operational Summary semestrale registra che “il primo semestre del 2026 ha visto gli eventi cyber in aumento del 47% rispetto al primo semestre del 2025 (2.171 a fronte di 1.474)“. Il tutto, “prevalentemente in ragione delle oltre 1.000 notifiche NIS ricevute e gestite dal CSIRT Italia“.

Di questi eventi 1.072 hanno ottenuto la classificazione di “incidenti con impatto confermato“. Al contempo, gli eventi senza impatto confermato sono stati 1.099, sostanzialmente allineati ai 1.164 del primo semestre 2025 (in diminuzione del 6%).

Si consideri che il recepimento della Direttiva (UE) 2022/2555 (NIS2) nell’ordinamento ha ridefinito il quadro della gestione di eventi e incidenti informatici da parte dell’Agenzia. Tanto che gli attacchi ransomware sono scesi a 181 casi, con una riduzione del 12%, mentre gli attacchi DDoS sono diminuiti del 32%, passando a 407 eventi.

Da rimarcare che “il maggiore picco di attività DDoS è stato registrato nel mese di febbraio, in concomitanza con i Giochi Olimpici Invernali di Milano-Cortina 2026“.

Principali eventi cyber di giugno e del semestre

Sempre partendo dalla doppia analisi, di giugno e del semestre, nel primo caso i settori maggiormente colpiti sono:

telecomunicazioni.
Tecnologico.
Pubblica amministrazione locale

Rispetto a giugno si confermano il tecnologico e Pubblica amministrazione locale, mentre le telecomunicazioni hanno preso il posto del manifatturiero. A colpire le telecomunicazioni sono state soprattutto compromissioni da e-mail, il Tecnologico da malware e intrusioni, la Pubblica amministrazione locale da DDoS.

Per gli eventi cyber nel primo semestre 2026 al centro ci sono_

manifatturiero.
Tecnologico.
Sanitario.

Rispetto al primo semestre 2025, risulta meno interessata la Pubblica amministrazione centrale e locale. Nei primi due settori il principale motivo di minaccia è stato quello degli attacchi ransomware.

Andamento delle minacce e principali vettori d’attacco

A giugno 2026 l’ACN ha individuato 424 eventi cyber, in aumento del 9% rispetto a maggio. Questi ultimi hanno interessato, anche più volte:

364 soggetti nazionali, di cui 282 appartenenti alla constituency.
I restanti hanno riguardato cittadini e società private operanti in settori non critici..

Nel primo semestre del 2026 c’è stata l’individuazione di 2.171 eventi cyber, in aumento del 47% rispetto al primo semestre 2025. Questi ultimi hanno interessato, in diversi casi più volte:

1.476 soggetti nazionali, di cui 1.093 appartenenti alla constituency.
I restanti hanno riguardato cittadini e società private operanti in settori non critici.

Nel complesso, dei 2.171 eventi cyber, 1.072 sono stati classificati quali incidenti, in aumento del 246% – sempre considerando i nuovi obblighi in vigore da NIS2 – rispetto al semestre iniziale del 2025.

Gli asset potenzialmente compromessi — sistemi per i quali è stato rilevato un comportamento associabile ad un’effettiva attività malevola in corso — calano a 1.560. Dai 4.408 del corrispondente periodo 2025, con una flessione del 64,6%.

Per i trenta giorni del mese di giugno 2026 la posta elettronica si conferma “il principale vettore di accesso iniziale“. In stretta connessione, emerge lo sfruttamento di credenziali valide già compromesse, a riprova dell’importanza della difesa dell’identità digitale.

In relazione ai primi sei mesi del 2026 invece il contesto operativo ha confermato la persistenza soprattutto di alcuni fenomeni cybercriminali. Ossia:

phishing.
Compromissione di caselle di posta elettronica.
Esposizione di dati.
Abuso di credenziali valide.
Sfruttamento di vulnerabilità note

Le comunicazioni del CSIRT Italia

Al contempo, nei 30 giorni in esame c’è stata la pubblicazione di 8.001 nuove vulnerabilità, in aumento (+998) rispetto a maggio. Di queste, 628 presentano almeno un Proof of Concept (PoC), in diminuzione (−94), e per 16 CVE è stato rilevato lo sfruttamento attivo, stabile (+0) in confronto ai 31 giorni precedenti.

Nell’attività proattiva di monitoraggio della superficie esposta dei soggetti nazionali, il CSIRT Italia a giugno 2026 ha inviato 3.257 comunicazioni di allertamento a P.A. e imprese della constituency. Questo in relazione all’esposizione su Internet di 4.250 servizi a rischio.

Le nuove CVE censite nel semestre di riferimento sono state 37.032, con una crescita del 54% rispetto al primo semestre 2025. Un fenomeno, sottolinea l’ACN, “verosimilmente favorito anche dal crescente impiego di modelli di intelligenza artificiale nelle attività di analisi del codice e individuazione delle vulnerabilità“.

Ransomware e DDoS

Sempre nell’ottica dell’analisi degli aspetti cybercriminali a giugno 2026, il 15% degli attacchi ransomware ha colpito soggetti critici. Il 27% ha colpito soggetti a media criticità, ed il restante 58% ha coinvolto altri soggetti a criticità minore.

Nel confronto invece tra i primi sei mesi del 2026, il 12% degli attacchi ransomware ha colpito soggetti critici. Si ha poi un 36% di operazioni contro i soggetti a media criticità, ed il restante 51% ha coinvolto altri soggetti a criticità minore.

Il monitoraggio di fonti aperte nel mese di giugno 2026 ha permesso di individuare 20 rivendicazioni di attacchi ransomware – le stesse di maggio – a danno di soggetti italiani.

Sempre contro soggetti italiani, la stessa modalità di monitoraggio (da fonti aperte) nel primo semestre 2026 ha permesso di individuare 137 rivendicazioni di attacchi ransomware (comunque in calo).