Un record che dovrebbe far rumore
Quante aziende italiane devono finire sul sito di una gang prima che si parli di emergenza? Tra il 6 e il 13 agosto 2026 ne sono state rivendicate quindici in sette giorni: il valore più alto mai visto in Italia in una singola settimana, il 5% delle vittime pubblicate nel mondo nello stesso periodo. Per anni siamo stati un bersaglio secondario, sotto la media dei Paesi comparabili. Quel margine si è chiuso: 148 attacchi confermati nel primo semestre, quasi 25 al mese, oltre 13 terabyte di dati rubati.
Non più una gang, ma decine
Fino al 2024 il panorama era dominato da pochi nomi, con LockBit capofila. Oggi è frammentato. Nella settimana nera di agosto hanno colpito otto gruppi diversi: Qilin, TheGentlemen, Majinahanashi, Cl0p, Play, Space Bears e altri. "Rivendicazione" vuol dire che il gruppo pubblica il nome della vittima su un sito, di solito con un campione dei dati rubati, per fare pressione. L'intrusione vera è spesso avvenuta mesi prima: Retelit è stata violata l'8 giugno e lo ha reso noto solo a fine luglio, con 300 GB già portati via.
Perché le piccole imprese familiari
I settori più colpiti sono manifattura, servizi professionali e sanità. Il profilo ricorrente è la PMI industriale a conduzione familiare del Nord-Ovest: Lombardia, Piemonte e Liguria da sole fanno il 42% delle vittime. Il motivo è pratico. Sono aziende con una superficie digitale ormai ampia, poche persone dedicate alla sicurezza e spesso lo stesso fornitore IT esterno di molte altre. Quando la produzione si ferma, la tentazione di pagare pur di ripartire è forte.
Come entrano
Il canale che pesa di più adesso è quello dei gestionali per l'assistenza remota usati dai fornitori IT. Una falla in uno di questi strumenti — ad agosto la CVE-2026-18577 nella piattaforma N-able N-central, un aggiramento dell'autenticazione — apre la porta a tutti i clienti collegati a quel fornitore. Accanto restano i soliti noti: credenziali rubate e phishing. La differenza è la velocità: dal momento in cui una vulnerabilità diventa pubblica allo sfruttamento reale possono passare poche ore.
💬 Il mio commento
I numeri dell'articolo fanno tutti una certa impressione, ma la cosa su cui mi sono fermato non è un numero: è il modo in cui entrano. Sempre più spesso l'attacco non parte da una leggerezza dell'azienda colpita, ma da un buco nel software che il suo fornitore IT usa per amministrarla da remoto — una CVE come quella su N-able N-central — e nel giro di poche ore chi ci sta dietro arriva a tutti i clienti collegati a quel fornitore. È un tema scomodo, lo ammetto, perché mette in discussione un rapporto di fiducia costruito in anni e perché la singola PMI non può farci granché su un prodotto che non gestisce. Però secondo me qualcosa si può pretendere: che il fornitore aggiorni in fretta quegli strumenti, che l'accesso remoto passi da un'autenticazione a più fattori, che resti traccia di chi entra e quando.
Con le piccole imprese familiari che seguo il discorso torna sempre agli stessi due punti. Primo: i backup non servono a niente se nessuno li prova mai; vanno testati ripristinando davvero qualcosa ogni tanto, e almeno una copia deve stare dove chi entra in rete non la raggiunge. Mi è capitato di vedere aziende con backup regolari scoprire a disastro avvenuto che erano cifrati anche quelli. Secondo: decidere in anticipo chi si chiama e cosa si fa nelle prime due ore, perché è lì che si gioca la differenza tra ripartire in qualche giorno o in qualche settimana. Se vuoi capire quanto la catena del tuo fornitore IT ti espone, o mettere alla prova backup e piano di risposta prima che serva sul serio, scrivimi e guardiamo insieme come è messa la tua situazione.