La risposta breve
Il Rapporto Clusit 2026, aggiornato al primo semestre e presentato il 28 ottobre al Security Summit di Verona, conta 4.911 incidenti cyber gravi nel mondo: record assoluto, +71% in un anno. In Italia gli incidenti noti scendono a 245 (erano 280), ma il 57,6% è di gravità alta e il manifatturiero diventa il primo settore colpito, con il 18,4% del totale.
Per le aziende italiane il dato che conta non è il calo, ma lo spostamento: gli attacchi sono sempre più spesso estorsioni via malware e ransomware, contro chi ha impianti, linee produttive e sistemi gestionali da cui dipende il fatturato. Chi produce dovrebbe partire da una verifica concreta dell’esposizione, con penetration test e audit di sicurezza che coprano anche i sistemi di fabbrica, e da software progettato per il settore manifatturiero con la sicurezza già dentro.
Perché in Italia gli attacchi calano ma il rischio cresce?
Perché a calare è soprattutto la componente meno pericolosa per le imprese. Nel 2025 quasi quattro incidenti italiani su dieci erano azioni di hacktivismo, in gran parte attacchi DDoS dimostrativi contro siti istituzionali. Nel primo semestre 2026 l’hacktivismo scende a circa il 17% e i DDoS dal 38,5% al 17% delle tecniche. Il rapporto collega questa discesa anche alla legge 90/2024 sulla cybersicurezza nazionale e all’adeguamento alla direttiva NIS2.
Al loro posto avanza il cybercrimine con fini economici, che passa dal 60,9% all’82% degli incidenti. Il malware diventa la tecnica principale, dal 22,7% al 43%, e la gravità sale: gli incidenti di livello alto passano dal 39,3% al 57,6%, quelli critici restano intorno all’8%. In altre parole, meno rumore e più danni. Nel resto del mondo la tendenza è ancora più netta: il cybercrimine vale il 95,4% dei casi e in sei mesi è già stato raggiunto il 93% degli incidenti dell’intero 2025.
| Indicatore (Italia) | 2025 | 1° semestre 2026 |
|---|---|---|
| Incidenti di gravità alta | 39,3% | 57,6% |
| Cybercrimine sul totale | 60,9% | 82% |
| Hacktivismo sul totale | 38,7% | circa 17% |
| Malware tra le tecniche | 22,7% | 43% |
| DDoS tra le tecniche | 38,5% | 17% |
Fonte: aggiornamento del Rapporto Clusit 2026 presentato il 28 ottobre 2026, dati riportati da ANSA e Innovation Post.
Perché il manifatturiero è diventato il primo bersaglio?
Nel primo semestre il manifatturiero raccoglie il 18,4% degli incidenti italiani e supera gli altri settori: seguono gli attacchi a obiettivi multipli (18%), governo e difesa (11%), commercio al dettaglio e ICT (8,6% ciascuno). Sanità ed energia, che negli anni scorsi erano tra i bersagli più citati, scendono in fondo alla classifica.
Il focus di Clusit dedicato al settore, presentato a fine settembre al Security Summit OT di Milano, dà la misura del fenomeno: 45 incidenti andati a segno nel semestre e il ransomware presente nell’89% dei casi. Per Luca Bechelli, del comitato direttivo Clusit, il manifatturiero non è più un obiettivo occasionale ma un bersaglio sistematico del cybercrimine. La logica è economica: un fermo di produzione costa a ogni ora, e un’azienda con la linea bloccata è più incline a trattare.
A pesare è anche l’architettura tipica di molte fabbriche italiane: macchinari collegati alla rete aziendale per la manutenzione da remoto, sistemi gestionali e MES cresciuti per stratificazione, software industriale che non riceve aggiornamenti da anni. Ogni integrazione aggiunta senza segmentazione allarga la superficie d’attacco.
Che cosa cambia con l’agentic hacking?
Il rapporto segnala i primi segnali di agentic hacking: attacchi in cui agenti di intelligenza artificiale coordinano in automatico più tecniche e adattano la strategia in base alle vulnerabilità che incontrano. Clusit prevede scenari di attacco interamente automatizzati, con gruppi di agenti che agiscono in modo coordinato.
Per un’impresa la conseguenza pratica è il tempo. Se la ricerca e lo sfruttamento di una falla vengono automatizzati, la finestra tra la pubblicazione di una vulnerabilità e il primo attacco si accorcia, e un ciclo di aggiornamento trimestrale smette di essere sufficiente. La presidente di Clusit Anna Vaccarelli, come riporta ANSA, invita a considerare la sicurezza una responsabilità collettiva a sostegno della resilienza nazionale, non un costo di compliance.
Che cosa possono fare le aziende manifatturiere adesso?
Il quadro descritto da Clusit premia chi riduce l’esposizione prima dell’incidente. Per un’azienda produttiva italiana le priorità sono abbastanza chiare.
- Mappare cosa è raggiungibile dall’esterno. Accessi remoti dei fornitori, VPN, portali clienti, interfacce dei macchinari: ciò che non si conosce non si protegge.
- Separare la rete di fabbrica da quella d’ufficio. Un ransomware entrato da una casella email non deve poter arrivare alle linee di produzione.
- Testare le applicazioni proprie. MES, portali B2B e integrazioni con l’ERP sono spesso software su misura mai sottoposto a penetration test.
- Modernizzare il software non più aggiornabile. I componenti fuori supporto vanno sostituiti o isolati con un piano di modernizzazione del software, non lasciati in produzione per inerzia.
- Provare il ripristino. Backup separati e un ripristino testato davvero sono ciò che, nel caso peggiore, evita di dover trattare con chi ha cifrato i dati. Sul tema riscatti, vedi anche il nostro articolo su quante aziende italiane pagano.
Per molte imprese questi passi coincidono con gli obblighi già in arrivo: le misure di sicurezza richieste dalla NIS2 riguardano anche una parte rilevante del manifatturiero. Nei progetti che seguiamo con aziende europee, il punto debole ricorrente non è l’assenza di strumenti di difesa ma il software applicativo cresciuto senza requisiti di sicurezza: è lì che conviene intervenire per primo.
Domande frequenti
Che cosa dice il Rapporto Clusit 2026 sul primo semestre?
L’aggiornamento del Rapporto Clusit 2026, presentato il 28 ottobre 2026 al Security Summit di Verona, conta 4.911 incidenti cyber gravi nel mondo tra gennaio e giugno: il numero più alto mai registrato in un semestre, +71% sul primo semestre 2025. In Italia gli incidenti noti sono 245, contro i 280 dello stesso periodo dell’anno precedente.
Perché in Italia gli attacchi calano ma il rischio non diminuisce?
Perché cala soprattutto l’hacktivismo dimostrativo, mentre cresce il cybercrimine a scopo economico: in Italia è l’82% degli incidenti, contro il 60,9% del 2025. Gli attacchi di gravità alta passano dal 39,3% al 57,6% e il malware sale dal 22,7% al 43% delle tecniche.
Quanto è colpito il manifatturiero italiano?
Il manifatturiero è diventato il primo settore per incidenti in Italia, con il 18,4% del totale nel semestre, davanti a sanità ed energia che invece calano. Secondo il focus di Clusit sul settore presentato a fine settembre, gli incidenti sono stati 45 e nell’89% dei casi si è trattato di ransomware.
Che cos’è l’agentic hacking citato da Clusit?
Sono attacchi in cui agenti di intelligenza artificiale coordinano in modo automatico più tecniche e adattano la strategia in corsa. Il rapporto ne segnala i primi segnali e prevede scenari di attacco interamente automatizzati: per le aziende significa tempi di reazione più brevi tra scoperta di una vulnerabilità e sfruttamento.
Fonti
ANSA — Record di incidenti cyber nel mondo, primi segnali di ‘agentic hacking’ con l’IA, 28 ottobre 2026
Innovation Post — Nel primo semestre 2026 record di cyber attacchi. In Italia il manifatturiero è il primo bersaglio, 28 ottobre 2026
ZeroUno — Cyberattacchi in Italia, il 18,4% nel manifatturiero, 29 settembre 2026