--- title: "Attacchi informatici in Italia: l’ACN conta eventi, non attacchi" url: "https://blog.sf-paris.dev/attacchi-informatici-italia-numeri-acn-3271/" lang: "it" translations: en: "https://blog.sf-paris.dev/en/italy-cyberattacks-acn-monthly-figures-3271/" author: "Simone Flavio" published: "2026-11-15T07:00:00+00:00" updated: "2026-11-13T17:07:56+00:00" categories: - "Notizie" tags: - "ACN" - "CSIRT Italia" - "Cybersicurezza" - "NIS2" summary: "Tra il 9 e l'11 novembre 2026 le testate hanno ripetuto lo stesso numero: 3.271. Sono, scrivono, gli attacchi informatici, le violazioni o gli eventi registrati in Italia nei primi nove mesi del 2026, più dei 2.729 di tutto il 2025." reading_time_minutes: 6 word_count: 1275 --- # Attacchi informatici in Italia: l’ACN conta eventi, non attacchi Quanti sono stati, davvero, gli attacchi informatici in Italia quest'anno? All'inizio di novembre diversi giornali hanno risposto con la stessa cifra: 3.271 nei primi nove mesi del 2026. È un dato dell'ACN, l'Agenzia per la cybersicurezza nazionale. Ma l'ACN conta «eventi», cioè segnalazioni, e il confronto con l'anno scorso, che i giornali mettono accanto, sembra indicare una forte crescita. Non dice però se gli attacchi siano aumentati: da gennaio più aziende sono obbligate a segnalare gli incidenti, e l'Agenzia ne conta di più. **In breve:** Gli «eventi» sono segnalazioni di qualcosa di anomalo; gli «incidenti» sono un sottoinsieme, quelli con impatto confermato. Gli eventi quasi coincidono con i report mensili dell'ACN, gli incidenti no. Il confronto con il 2025 non dice se gli attacchi aumentano. ## Eventi e incidenti Che cosa conta, allora, l'ACN? Due cose. Gli «eventi» sono le segnalazioni di qualcosa di anomalo sui sistemi di aziende ed enti: arrivano al CSIRT Italia, il centro nazionale che riceve le segnalazioni di incidenti, o sono rilevate dal centro stesso. Gli «incidenti» sono, per l'ACN, gli eventi con impatto confermato. Ne consegue che gli incidenti sono un sottoinsieme degli eventi, e che un evento non è sempre un attacco riuscito. È una deduzione, non una frase dell'ACN, che nei documenti letti non definisce «evento». Il «3.271» nasce da un'audizione al Senato del 13 ottobre: lo ha detto il direttore dell'ACN, insieme ad altre cifre che trovi nella tabella qui sotto. Euronews lo ha ripreso parlando di «violazioni» e di «attacchi informatici», parole diverse da «eventi». ## Mese per mese Ogni mese l'ACN pubblica un report con i numeri del mese e a volte rivede quelli dei mesi precedenti: la tabella riporta l'ultima versione di ciascun mese. Le revisioni possono essere grandi: gli incidenti di gennaio, per esempio, passano da 39 nella prima pubblicazione a 110 nell'ultima. | Mese (2026) | Eventi | Incidenti | | --- | --- | --- | | Gennaio | 225 | 110 | | Febbraio | 435 | 159 | | Marzo | 434 | 286 | | Aprile | 266 | 174 | | Maggio | 389 | 161 | | Giugno | 421 | 179 | | Luglio | 305 | 188 | | Agosto | 309 | 196 | | Settembre | 485 | 235 | | **Totale dei report** | **3.269** | **1.688** | | Detto al Senato il 13 ottobre | 3.271 | 1.922 | ![Grafico a barre su fondo scuro: eventi e incidenti con impatto confermato in Italia, mese per mese da gennaio a settembre 2026, dai report mensili dell'ACN. Somma dei mesi: 3.269 eventi e 1.688 incidenti. Picco degli eventi a settembre, 485.](https://blog.sf-paris.dev/wp-content/uploads/2026/11/acn-eventi-incidenti-2026-09c9f1c7-1.png) **Grafico 1.** Eventi e incidenti in Italia, mese per mese, gennaio-settembre 2026 (ACN, report mensili; elaborazione: Bruno). Gli eventi quasi coincidono: la somma dei mesi è 3.269, contro i 3.271 del Senato. Gli incidenti, invece, no: i report ne danno 1.688, il direttore ne ha indicati 1.922. L'ACN non spiega la differenza. Un dato di contesto: il direttore ha parlato il 13 ottobre, e il report di settembre è stato annunciato il 23 ottobre. E i prossimi mesi? Per ottobre, novembre e dicembre l'ACN prevede, con un modello statistico, tra 346 e 432 eventi al mese e intorno ai 225 incidenti; avverte però che la previsione «non può essere accurata». ## Il confronto con il 2025 E il confronto con il 2025? Dice meno di quanto sembra, e il motivo è la NIS2, la direttiva europea sulla sicurezza delle reti e dei servizi, che da gennaio è pienamente operativa. Lo dice anche il direttore dell'ACN: sotto la NIS2 ricadono 21.500 soggetti, in grande maggioranza privati, e nei primi nove mesi del 2026 sono arrivate oltre 1.500 notifiche, che per molte organizzazioni hanno voluto dire il primo contatto con l'Agenzia. Nei numeri si vede così: da maggio a dicembre 2025 circa un evento su quattro era un incidente, nel 2026 più di uno su due, e gli incidenti al mese sono più del triplo. | Periodo | Eventi al mese | Incidenti al mese | Incidenti ogni 100 eventi | | --- | --- | --- | --- | | Maggio-dicembre 2025 | 235 | 55 | 23,5 | | Gennaio-settembre 2026 | 363 | 188 | 52 | Per il 2025 la tabella parte da maggio, perché i report di novembre e dicembre riportano anche i sei mesi precedenti. Poi c'è la durata. I giornali mettono accanto ai 3.271 di quest'anno, che sono nove mesi, i 2.729 di tutto il 2025, che sono dodici: non è un confronto alla pari. Anche il 2.729 non è sicuro: sommando i due rapporti semestrali che l'ACN ha pubblicato per lo scorso anno si arriva a 2.802 eventi, 73 di più, e la differenza non è spiegata. L'ACN aggiunge che più visibilità non vuol dire più danni: gli impatti degli incidenti sono nella media dei mesi precedenti. Più segnalazioni, quindi, sono coerenti con più aziende obbligate a notificare; non dimostrano né escludono un aumento reale degli attacchi. ## Settembre E settembre? È il mese con più eventi, 485 contro i 309 di agosto, e l'ACN ne indica due cause. La prima sono i DDoS, attacchi che sovraccaricano un sito per renderlo irraggiungibile, qui fatti da gruppi con motivazioni politiche. Secondo l'ACN, un gruppo filorusso li ha rivendicati, dichiarando di rispondere al sostegno militare dell'Italia all'Ucraina. Gli effetti sono stati limitati: impatti accertati «solo nell'8,3% dei casi». La seconda causa sono i defacement, cioè la modifica abusiva delle pagine di un sito, ottenuta sfruttando le falle dei programmi che lo gestiscono e delle loro estensioni. Resta il ransomware, il programma che cifra i dati e chiede un riscatto: per l'ACN è la minaccia più rilevante per gli impatti operativi. A settembre ha colpito soprattutto il settore tecnologico, il commercio e il manifatturiero, e l'accesso iniziale è passato da vulnerabilità, credenziali già compromesse e servizi di accesso remoto. In quel mese, scrive l'ACN, tra gli incidenti di ransomware quello con le conseguenze più rilevanti ha colpito un polo ospedaliero: una sede è stata chiusa temporaneamente, e nell'altra la gestione dei pazienti ha avuto limitazioni. ## Se hai un sito E se hai un sito, anche un blog o un negozio online, che cosa puoi fare? L'ACN indica nel suo documento di settembre le contromisure principali. Contro il defacement: aggiornare subito il programma che gestisce il sito e le sue estensioni, controllare le modifiche non autorizzate ai file, tenere i backup in un ambiente separato e dare a chi accede al sito solo i permessi necessari. Contro i DDoS servono un servizio anti-DDoS del proprio provider, un piano di risposta e più collegamenti a internet, per averne uno di riserva. Per il ransomware l'ACN rimanda a un documento dedicato sul suo sito. Il «3.271» non è il numero degli attacchi: sono gli eventi che l'ACN vede, e da gennaio ne vede di più. ## Domande frequenti
Quanti attacchi informatici ci sono stati in Italia nel 2026? Nessun dato lo dice. Da gennaio a settembre l'ACN registra 3.269 eventi e 1.688 incidenti nei report mensili; il direttore ne ha indicati 3.271 e 1.922 al Senato. Sono eventi, cioè segnalazioni, non un conteggio di attacchi.
Che differenza c'è tra evento e incidente? Un evento è la segnalazione di qualcosa di anomalo; un incidente è un evento con impatto confermato. A settembre, su 485 eventi, 235 sono stati classificati incidenti.
Gli attacchi sono aumentati rispetto al 2025? Questo confronto non lo dice: da gennaio la NIS2 fa segnalare più aziende, quindi l'ACN vede di più. Un aumento reale non si può escludere né dimostrare.
Che cos'è la NIS2? La direttiva europea sulla sicurezza delle reti e dei servizi, recepita in Italia nel 2024. Obbliga molti soggetti a notificare gli incidenti, in modo pienamente operativo dal gennaio 2026.
## Nota di metodo Totali, medie e percentuali sono calcoli sui dati dell'ACN, con l'ultima versione pubblicata di ogni mese (con le prime pubblicazioni i totali sarebbero 3.275 e 1.650). I dati del 2025 vengono dai report di novembre e dicembre. Il resoconto dell'audizione non è tra le fonti consultate: le parole del direttore sono quelle riportate dall'ACN. ## Fonti 1. ACN, «Operational Summary - settembre 2026», PDF. Primaria. 2. ACN, Operational Summary mensili (gennaio-settembre 2026; novembre e dicembre 2025). Primaria. 3. ACN, notizia sull'audizione del direttore in Commissione Affari esteri e Difesa, 14 ottobre 2026. Primaria. 4. ACN, notizia sull'audizione del direttore in Commissione bancaria, 5 novembre 2026. Primaria. 5. ACN, Operational Summary, primo e secondo semestre 2025. Primaria (copie). ; 6. Arena Digitale, 11 novembre 2026. Secondaria. 7. Euronews, 9 e 10 novembre 2026. Secondaria. ; 8. Affaritaliani, 10 novembre 2026. Secondaria.