L’Italia va alla guerra ibrida (con le scarpe di cartone?)

Il 12 ottobre i frigoriferi di centinaia di supermercati francesi cominciano a scaldarsi senza una ragione tecnica. Qualcuno ha raggiunto da remoto i sistemi di refrigerazione e ne ha alterato le impostazioni. In Italia l’allerta scatta il giorno dopo, con un bollettino dell’Agenzia per la cybersicurezza nazionale (ACN) rivolto a supermercati, logistica alimentare, impiantisti e manutentori. Poi, nella notte tra l’1 e il 2 novembre, l’ondata si ripete in Belgio, Lussemburgo, Svezia, Irlanda ed Estonia, e stavolta tocca anche noi. Le prime conferme arrivano dalla Sicilia, poi emergono casi in Toscana ed Emilia-Romagna: Il Post parla di decine di supermercati e aziende. A Macerata un punto vendita getta circa 450 chili di alimenti dopo che i banchi hanno toccato i 40 gradi.

Il 3 novembre Palazzo Chigi riunisce il sottosegretario Alfredo Mantovano, il ministro dell’Agricoltura Francesco Lollobrigida, i vertici dei servizi e il direttore dell’ACN. Il giorno dopo è previsto un incontro con la grande distribuzione. La nota finale tiene insieme due messaggi. Massima attenzione, nessun allarme, con impatto limitato a negozi dotati di sistemi obsoleti. Due gruppi filorussi, NoName057(16) e Z-Pentest, rivendicano gli attacchi. Una rivendicazione, però, non è una prova, l’attribuzione resta aperta.

Il 4 novembre arriva un’altra notizia dalla Francia. Nella notte del 2, in tre sedi regionali dell’ente nazionale del sangue, la temperatura dei congelatori viene portata da -30 a 110 gradi dopo un attacco al fornitore Coolworld. Un tecnico se ne accorge in tempo e non ci sono conseguenze sanitarie. In Italia il Centro nazionale sangue invita le strutture trasfusionali a verificare le temperature, e l’ACN rinnova l’allerta a chi gestisce catene del freddo e sistemi di telecontrollo.

Poi il Brennero e le taglie. Tra il 6 e il 7 novembre BBT SE, la società che realizza la Galleria di Base, rende nota un’intrusione del 17 ottobre con accesso a dati non pubblici. L’azienda esclude rischi per i cantieri; i sospetti si concentrano sul gruppo russofono Everest, già comparso in Italia nel 2021 con la SIAE. Il 7 novembre il vicepremier Antonio Tajani rivela che i suoi dati e quelli dei familiari sono sul dark web. Su una pagina di NoName chiamata “Tribunale” compaiono diciotto presunti nemici della Federazione Russa, con la richiesta, a pagamento, di notizie su di loro. Tra i nomi ci sono il procuratore di Roma Francesco Lo Voi e il capo della Polizia postale Ivano Gabrielli. Lunedì 9 novembre la Procura di Roma ha aperto un fascicolo, affidato alla Polizia postale.

Gli episodi differiscono per tecnica, vittima e probabile autore, ma hanno un tratto comune: nessuno richiede capacità eccezionali. Sistemi industriali raggiungibili da internet, un fornitore, dati già in circolazione. È la parte ordinaria della sicurezza, quella che più spesso cede.

Da qui parte la nostra inchiesta. In cinque anni l’Italia ha costruito un’agenzia dedicata, ha recepito regole europee e ha creato un sistema di allerta. Siamo ora in grado di reggere davanti alla pressione di quella che viene chiamata “guerra ibrida”?

Un modello accentrato sulla Presidenza del Consiglio, con tre nodi ancora aperti. Quando in Italia scatta una crisi cyber, la catena di comando è più corta di quanto si pensi e più affollata di quanto serva. Al vertice c’è il presidente del Consiglio, che assegna la responsabilità sulla sicurezza della Repubblica a un’autorità delegata (oggi il sottosegretario Alfredo Mantovano, che ha presieduto il vertice del 3 novembre sui frigoriferi). La scelta rivela qual è l’architettura del nostro sistema di difesa. La cybersicurezza è rimasta dentro Palazzo Chigi, vicino a intelligence e decisione politica, e non è stata affidata a un singolo ministero.

Sotto c’è il Comitato interministeriale per la cybersicurezza, organo di indirizzo che nel novembre 2023, per esempio, ha dedicato una seduta alla difesa delle infrastrutture critiche. Il braccio operativo è l’Agenzia per la cybersicurezza nazionale, nata nell’estate 2021 con il decreto-legge 82, convertito dalla legge 109. L’ACN è insieme autorità di regolazione e vigilanza, centro di certificazione e struttura di risposta. Al suo interno lavora il CSIRT Italia, che nel 2025 ha trattato 2.729 eventi, pubblicato 738 alert sul portale pubblico e assistito direttamente le vittime in 55 casi. Accanto opera il Nucleo per la cybersicurezza, che raccorda Agenzia, intelligence e ministeri nelle crisi.

I servizi (DIS, AISE, AISI) siedono ai vertici e portano la valutazione geopolitica. Sul piano penale indagano la Polizia postale, con il suo centro per la protezione delle infrastrutture critiche, la Guardia di Finanza e le procure. Quando è colpito un ente governativo interviene anche la Direzione nazionale antimafia e antiterrorismo. La Difesa ha un proprio comando per le reti militari. Poi vengono le autorità di settore (Banca d’Italia, Consob, IVASS, Garante privacy, AgID e le autorità NIS dei singoli comparti) e il controllo parlamentare del COPASIR.

I nodi sono tre. Il primo è il rapporto tra civile e militare. Tra la fine del 2025 e l’inizio del 2026 la stampa ha ricostruito un confronto tra Palazzo Chigi e il ministro della Difesa Guido Crosetto su dove collocare la cybersicurezza, con l’ipotesi di trasferirla alla Difesa poi accantonata. Sono ricostruzioni giornalistiche, che però trovano conferma indiretta nei richiami delle ultime settimane dello stesso Crosetto sul rischio di una guerra ibrida. Il punto è capire se il titolare della Difesa consideri l’attuale assetto del sistema una debolezza strutturale.

Il secondo punto riguarda chi guida l’Agenzia. Il 21 maggio 2026 Bruno Frattasi, nominato nel marzo 2023, ha rassegnato le dimissioni con quasi un anno di anticipo sulla scadenza, indicando motivi personali. Al suo posto il Consiglio dei ministri ha nominato Andrea Quacivi, manager con una lunga carriera in Sogei. Ufficialmente le dimissioni non sono legate agli scandali sugli accessi abusivi a banche date strategici, ma “Quotidiano Nazionale” e “Il Fatto Quotidiano” hanno scritto di un rapporto logorato con Palazzo Chigi. Il Fatto ha criticato anche la scelta di un profilo non tecnico, dopo l’ingegnere Roberto Baldoni, primo direttore. Michele Colajanni, docente di sicurezza informatica a Bologna, ha osservato in più occasioni che in Italia mancano figure che uniscano competenza tecnica e capacità manageriale. Questo è tanto più vero per i vertici dell’agenzia di Stato.

Il terzo nodo è la distanza tra decisione e impianto. La catena ha funzionato sinora nei tempi.  Allerta il 13 ottobre, vertice il giorno dopo le prime segnalazioni italiane. Ma un’allerta non obbliga nessuno, e a rispondere dei sistemi esposti non è lo Stato. Sono i gestori, i manutentori, le imprese. In una crisi la catena di comando arriva fino al telefono dell’ACN. Dopo comincia la catena dei fornitori, che nessun decreto ha ancora messo davvero in fila.

La pila di regole costruite in sette anni. Il primo mattone è del 2019. Il Perimetro di sicurezza nazionale cibernetica, decreto-legge 105, impone obblighi ai soggetti pubblici e privati con funzioni essenziali e controlli sulle forniture di tecnologia strategica. Nel 2021 il decreto 82 crea l’ACN. Nel maggio 2022 un DPCM adotta la Strategia nazionale 2022-2026, con 82 misure. Alla fine del 2025 l’Agenzia ne dichiara completate 60. La Strategia scade quest’anno e non è ancora chiaro che cosa la sostituirà.

Nel 2024 arrivano due provvedimenti che cambiano la scala. La legge 90 inasprisce i reati informatici, estende gli obblighi di notifica degli incidenti a molti soggetti pubblici e affida all’ACN la gestione delle segnalazioni di vulnerabilità (oltre 5.800 nel 2025). I termini (24 ore per la segnalazione, 72 per la notifica completa) vanno controllati sul testo. Un effetto è statistico. gli eventi riferibili alla Pubblica amministrazione passano da 756 a 1.140 (anche perché molti più enti devono dichiarare).

Il secondo provvedimento è il decreto legislativo 138, che recepisce la direttiva NIS2. Dopo oltre 30mila autodichiarazioni, l’elenco dei soggetti NIS conta oltre 20mila organizzazioni, di cui più di 5mila essenziali, una platea molto più ampia della disciplina precedente. I soggetti inseriti nell’elenco nel 2025 notificano gli incidenti significativi da gennaio 2026 e dovevano attuare le misure di sicurezza di base entro il 31 ottobre. Da novembre, cioè ora, l’ACN avvia la fase ispettiva formale. Sui soggetti essenziali può controllare anche in via preventiva, su quelli importanti solo quando dispone di indizi di violazione. Le sanzioni arrivano a 10 milioni di euro o al 2% del fatturato mondiale per i primi, a 7 milioni o all’1,4% per i secondi.

A questo si aggiungono il regolamento DORA per il comparto finanziario, la legge italiana sull’intelligenza artificiale, che dà all’ACN e ad AgID compiti di vigilanza, e il Cyber Resilience Act europeo, i cui primi obblighi di segnalazione per i produttori sono scattati l’11 settembre 2026.

Sulla carta, dunque, l’Italia ha ciò che serve. Il problema è dove le regole incontrano gli impianti. I frigoriferi dei supermercati non sono l’infrastruttura a cui si pensa scrivendo una norma di sicurezza informatica, eppure vi dipendono cibo, margini e, in prospettiva, la sanità. Il bollettino dell’ACN del 13 ottobre indicava le verifiche da fare, ma era una raccomandazione. La prova dei prossimi mesi sarà l’applicazione. Quante ispezioni, con quali esiti, quante sanzioni, e se gli obblighi sulla filiera arriveranno ai manutentori e ai piccoli fornitori.

Sale operative, cloud, persone. Cosa c’è dietro l’Agenzia.  Tre cose sono misurabili. Infrastrutture, personale e capacità operativa. Sulle prime due i dati pubblici sono ancora parziali.Il capitolo più grosso viene dal PNRR. Secondo la documentazione parlamentare dell’epoca, alla cybersicurezza sono destinati circa 620 milioni, 241 per un’infrastruttura nazionale, 231 per le strutture operative del Perimetro, 150 per la difesa informatica di Interno, Difesa, Guardia di Finanza e altri ministeri. Sono risorse una tantum. Non è chiaro cosa verrà rifinanziato quando finiranno. Chi pagherà manutenzione, licenze e stipendi?

Veniamo al cloud. Il 21 luglio 2026 il governo ha dichiarato raggiunto il target europeo. Circa 13mila amministrazioni, il 75% del totale, hanno migrato dati e applicativi verso ambienti qualificati, con circa 1,9 miliardi del PNRR. Il Polo Strategico Nazionale, l’infrastruttura che ospita gli asset strategici dello Stato, accoglie oltre 280 amministrazioni centrali e strutture sanitarie e ha ottenuto un finanziamento di 231 milioni per la fase successiva al PNRR. Nella sua documentazione commerciale il PSN affianca al cloud proprio quattro grandi fornitori internazionali, con servizi sul territorio italiano. È il punto da cui parte il dibattito sulla sovranità tecnologica. In primavera un ufficiale dei Carabinieri, con un’immagine efficace, ha descritto un ecosistema italiano della cybersicurezza come una polizza contro i cosiddetti kill switch stranieri.

Nel 2025 il CSIRT Italia ha inviato 46.867 comunicazioni, pubblicato 738 alert sul portale pubblico e 804 su quello riservato, e condiviso indicatori di compromissione saliti da circa 125mila a oltre 800mila. Gli interventi a supporto delle vittime sono passati da 40 a 55. Il dato più vicino a un risultato è il rapporto tra eventi e incidenti: +38% contro +7%, che l’Agenzia attribuisce anche all’allertamento preventivo. Il regolamento del personale venne accompagnato da una stima dei costi. 20 milioni nel 2022, 42 nel 2023, 58 nel 2024, 74 nel 2025, 83 nel 2026 e 95 nel 2027. Una bozza di relazione tecnica indica una dotazione fino a 669 unità già quest’anno. A giugno 2026 il Ministero dell’Università e l’ACN hanno pubblicato un avviso da 12 milioni, di cui 4 per la linea “Protettori Digitali” rivolta agli studenti. Le stime sul fabbisogno scoperto di esperti vanno da circa 100mila a 300mila profili a seconda di fonte e definizione: ordini di grandezza, non dati.

Quanto spende lo Stato in cybersicurezza. Chi cerca la cifra della spesa pubblica trova numeri che non si possono sommare, perché misurano cose diverse. Si può però ricostruire una parte della serie, quella dei due fondi creati dalla legge di bilancio 2023, di cui qui sotto le dotazioni iniziali, in milioni di euro.

Sulla carta, il Fondo di attuazione non cambia. Lo stanziamento è di 150 milioni l’anno fino al 2037. Le assegnazioni, però, raccontano un’altra storia. Il DPCM dell’8 luglio 2024, pubblicato in Gazzetta Ufficiale il 4 settembre, ha distribuito alle amministrazioni 347,6 milioni per il periodo 2023-2026, a fronte di dotazioni iniziali che nello stesso arco ne sommavano 620 (420 più 200).

Nel 2024, dal Fondo di attuazione sono stati prelevati 37,8 milioni su 90 previsti, senza contare 44,5 milioni di residui dell’ACN riportati dal 2023. Dal Fondo di gestione ne sono usciti circa 21 su 50. Un DPCM più recente ripartisce per il triennio 2025-2027 circa 57,6 milioni: 37,4 dalla pianificazione triennale, 13,2 di residui 2024 e circa 7 dal Fondo di gestione.

Accanto ai fondi ordinari ci sono gli investimenti straordinari. Il PNRR destina alla cybersicurezza circa 620 milioni. Poi ci sono i valori di gara: il 15 ottobre 2026 Consip ha annunciato tre iniziative per la PA per oltre 1,2 miliardi, di cui 826 milioni per servizi di sicurezza da remoto, 317 per sistemi di protezione e 112 per infrastrutture. A giugno 2026 si è aggiunto l’avviso da 12 milioni del Ministero dell’Università con l’ACN, mentre il capitolo istitutivo dell’Agenzia, nel 2021, valeva 2 milioni.

Gli investimenti privati. Nel 2025 oltre un terzo delle grandi imprese italiane, il 34%, ha subito attacchi con costi di ripristino significativi e il 3% anche con effetti sull’operatività. è quanto afferma l’Osservatorio Cybersecurity & Data Protection del Politecnico di Milano. Sette grandi aziende su dieci hanno previsto di aumentare la spesa cyber nell’anno in corso, spinte dalla NIS2 e dalla paura degli attacchi potenziati dall’intelligenza artificiale.

Per le grandi imprese la direzione è chiara. La criticità si concentra però nella taglia imprenditoriale sotto la media impresa. L’ACN osserva nella relazione 2025 che la maggior parte delle vittime di ransomware è composta da piccole imprese, soprattutto manifatturiere, con livelli di protezione limitati. Il Cyber Index PMI 2025, promosso da Confindustria e Generali con il Politecnico e la partnership dell’ACN, indica che solo il 16% delle piccole e medie imprese ha una postura di sicurezza adeguata. Il segnale positivo è che, per la prima volta, le imprese “mature” superano quelle “principianti”; quello negativo è che un terzo dei principianti dichiara che gli attacchi non sono un rischio concreto.

Chi si è mosso per tempo ora lo rivendica. All’indomani degli attacchi ai supermercati, Paolo Lucchi, presidente di Legacoop Romagna, ha sostenuto che le cooperative del territorio lavorano sulla prevenzione da due anni, e che i fatti di queste settimane confermano l’utilità di aver cominciato in anticipo.

Il quadro nazionale, del resto, va nella stessa direzione. I dati di Clusit (l’associazione italiana oer la sicurezza informatica) mostrano uno spostamento netto delle minacce verso l’industria: nel primo semestre 2026 il manifatturiero è il settore più colpito in Italia, con il 18,4% degli incidenti censiti, contro l’11,7% registrato nell’intero 2025. Cresce anche la pesantezza degli attacchi: la quota di incidenti italiani di gravità elevata sale al 57,6%, dal 39,3% dell’anno precedente.

Resta da capire come gli aggressori riescano a entrare. Secondo l’ACN, nel caso del ransomware le strade sono tre e ricorrenti, credenziali valide già compromesse, vulnerabilità note e non sanate, accessi remoti esposti su Internet. Nessuna delle tre richiede strumenti sofisticati, e sono proprio le falle che una manutenzione ordinaria e costante può chiudere. Un elemento che richiama da vicino quanto emerso sui supermercati, dove, secondo gli inquirenti francesi, gli hacker hanno sfruttato vecchie versioni di un software di gestione.

La sanità è un caso a parte. Secondo l’ACN è, nel primo semestre 2026, tra i tre settori più colpiti insieme a tecnologico e manifatturiero. Clusit conta nel 2025 564 incidenti gravi nella sanità mondiale, il 20% in più, quasi tutti di matrice criminale e per il 47% ransomware. Pier Paolo Greco, presidente di Assinter Italia, che riunisce le aziende digitali della PA, osserva che un ospedale non può fermarsi e per questo è più esposto al ricatto, e propone di federare i centri operativi di sicurezza delle 21 regioni in una rete di monitoraggio.

Resta aperta la questione di chi paga quando l’attacco colpisce il “mondo fisico”. Le polizze cyber, nate per coprire i danni informatici, non sempre arrivano ai danni materiali che un attacco può provocare. Il caso dei supermercati è emblematico: la merce buttata perché i frigoriferi sono stati portati fuori temperatura è un danno concreto, che in molti contratti rientra nelle garanzie delle polizze sui beni e non in quelle cyber, spesso con clausole di esclusione per gli eventi di origine informatica. Il rischio è ricadere in una zona grigia in cui ciascun assicuratore rimanda all’altro. Per l’impresa significa scoprire a danno avvenuto che la copertura non c’è, o non è quella attesa, e che i tempi per un eventuale rimborso si allungano proprio quando la liquidità serve di più.

Il secondo nodo è la catena dei fornitori. La Banca d’Italia segnala che i soli intermediari sottoposti alla sua vigilanza hanno circa 100mila contratti con fornitori informatici. È una cifra che dà l’idea di quanto il sistema finanziario, uno dei settori più regolati, dipenda da soggetti esterni. Ogni contratto è un punto di contatto con l’esterno e quindi una possibile porta d’ingresso. Un’azienda può curare con attenzione i propri sistemi ed essere comunque esposta per la debolezza di chi le fornisce software, manutenzione o servizi in remoto. L’attacco ai supermercati lo mostra efficacemente. I bersagli erano le catene della distribuzione, ma il varco si è aperto in un programma di gestione sviluppato da terzi e rimasto in versioni datate.

Dopo ogni crisi il Paese ha corretto una falla. Ma non ha mai agito in anticipo. Se si cerca una data di nascita della cybersicurezza italiana come questione pubblica, la scelta può cadere plausibilmente  sul 10 gennaio 2017. La Polizia postale arresta a Roma i fratelli Giulio e Francesca Maria Occhionero nell’inchiesta Eye Pyramid. Da anni i due, secondo l’accusa, spiavano con un malware politici, istituzioni, studi professionali e imprenditori, tra cui gli ex premier Matteo Renzi e Mario Monti e Mario Draghi, allora presidente della Bce. Gli investigatori trovano un archivio di oltre 18mila nomi utente. Il Garante della Privacy dell’epoca, Antonello Soro, parla di una punta dell’iceberg e di presìdi inadeguati. Il capo della Polizia rimuove il responsabile della Polizia postale, che non avrebbe informato i vertici dell’indagine.

Nel 2019 nasce il Perimetro di sicurezza nazionale cibernetica. Il 2020 è l’anno del ransomware industriale: Geox a giugno, l’ENAC a luglio, Luxottica a settembre con la produzione ferma per una giornata, Enel colpita due volte, Campari il 1° novembre con 2 terabyte di dati rubati e una richiesta di 15 milioni di dollari. È la stagione della doppia estorsione, in cui i dati vengono cifrati e minacciati di pubblicazione. Nel secondo trimestre 2020, secondo Exprivia, i crimini informatici in Italia crescono di oltre il 250% rispetto al trimestre precedente.

Nell’estate 2021 un ransomware colpisce il centro elaborazione dati della Regione Lazio e blocca il portale per i vaccini. Secondo la ricostruzione resa nota, l’accesso sarebbe partito dal computer di un dipendente della società informatica regionale in smart working. L’ACN nasce pochi giorni dopo. Nel febbraio 2023 un attacco informatico di vasta portata porta Palazzo Chigi a convocare un vertice. Il governo comunica che nessuna istituzione o azienda primaria è stata colpita.

Il 18 aprile 2024 tocca a Synlab Italia, rete di 380 laboratori con circa 35 milioni di esami l’anno. Il ransomware cifra i sistemi, tutte le attività vengono sospese, il gruppo Black Basta rivendica 1,5 terabyte di dati e il 13 maggio li pubblica sul dark web. Pochi mesi dopo il caso Equalize ricostruisce un sistema di accessi abusivi a banche dati riservate, tra cui lo SDI del Viminale: a luglio 2026 la Procura di Milano ha chiesto il rinvio a giudizio di 74 persone, con oltre 800 presunte vittime.

Nel 2025 il caso Paragon mostra un altro volto del rischio. A gennaio WhatsApp avvisa circa 90 giornalisti e attivisti di un attacco con lo spyware Graphite. Il 4 giugno il COPASIR approva all’unanimità una relazione: lo spyware è stato usato dai servizi, dall’AISI dal 2023 e dall’AISE dal 2024, ma non emergono prove che sia stato usato, come si era ipotizzato, contro il direttore di Fanpage Francesco Cancellato; il contratto tra l’azienda israeliana che fornisce lo spyware ai servizi è sospeso il 14 febbraio e poi rescisso. Una consulenza tecnica delle procure di Roma e Napoli, riferita a marzo 2026, conclude invece che Cancellato è stato spiato, anche se resta ignoto da chi.

Il 13 maggio 2026 la Procura di Napoli porta alla luce un altro fronte interno. Due poliziotti avrebbero fatto 730mila accessi abusivi alle banche dati in due anni, rivendendo informazioni con un tariffario da 6 a 25 euro. Le misure cautelari sono 29, e l’indagine nasce da una segnalazione dell’INPS.

A settembre un raggiro mostra quanto sia fragile la fiducia nei canali ufficiali. Per mesi qualcuno ha scritto a Revolut, la banca digitale londinese con 5 milioni di clienti in Italia, fingendosi la Polizia postale e chiedendo dati di clienti per presunte indagini. Le email partivano da un indirizzo di posta certificata vero, intestato alla prefettura di Reggio Calabria, e per questo sembravano autentiche. Revolut ha risposto e ha consegnato documenti, Iban, foto e transazioni di circa 680 clienti. Nessuno ha forzato i suoi sistemi. Si è trattato non di un’intrusione informatica, ma di una truffa dall’impianto tradizionale, pur essendosi consumata in ambiente digitale. C’erano diversi indizi di un possibile raggiro, dalla richiesta attribuita alla Procura di Milano, ma partita da un indirizzo mail calabrese, sino ai numeri di protocollo sbagliati.

Revolut si accorge dell’inganno quando chiama direttamente le autorità italiane, che negano di aver mai inviato richieste. Il 12 settembre segnala all’ACN un possibile incidente informatico e il 15 conferma pubblicamente di aver consegnato i dati di circa 680 clienti a quella casella PEC, ritenendo la richiesta ufficiale. Un gruppo che si fa chiamare “IAmNotAVillain” avrebbe poi chiesto a Revolut un riscatto di 3 milioni di dollari da pagare entro 24 ore. Sostiene anche di aver copiato 147 gigabyte di documenti dai sistemi delle forze dell’ordine italiane, ma questa affermazione non trova riscontri.

Il 30 settembre il ministro dell’Interno Matteo Piantedosi interviene alla Camera e dice due cose. La casella PEC risultava intestata alla prefettura di Reggio Calabria, ma la prefettura non l’aveva mai usata. Il titolare del Viminale sottolinea che Revolut avrebbe dovuto controllare meglio una richiesta così anomala prima di rispondere. Il ministro non spiega però come i criminali abbiano preso il controllo di quella casella. Sul caso indaga la Procura di Reggio Calabria.

Quanto costa difendersi. A Macerata, la mattina dopo la notte tra l’1 e il 2 novembre, un supermercato getta circa 450 chili di alimenti: i banchi frigo avevano toccato i 40 gradi. È una perdita da qualche migliaio di euro, e proprio per questo è ingannevole. È la parte visibile di un conto che in Italia si scrive a molte voci e che nessuno somma. Qui si prova a metterle in fila, distinguendo i dati rilevati dalle stime.

La voce più solida è quella delle truffe. Il bilancio 2025 della Polizia postale registra 51.560 casi trattati, 293 arresti e 7.590 denunciati. Il cybercrime economico-finanziario ha generato 27.085 procedimenti e somme sottratte superiori a 269 milioni di euro. Secondo l’analisi della Fabi (Federazione autonoma lavoratori del settore bancario) sui dati della Polizia, la serie delle truffe online e delle frodi informatiche valeva circa 177 milioni nel 2023 e 229 nel 2024. Il 2025 segna dunque un aumento del 17,4% in un anno e del 75,9% rispetto al 2022: in quattro anni gli italiani hanno perso oltre 828 milioni di euro. I casi sono meno numerosi, ma ciascuno costa di più.

Due datu della Polizia postale sembrano muoversi in senso contrario. Gli attacchi informatici trattati dal centro per la protezione delle infrastrutture critiche, che riguardano anche enti pubblici, aziende e privati, sono calati: 9.250 nel 2025 contro gli 11.887 del 2024, il 22,2% in meno, e gli alert inviati sono scesi da 59.373 a circa 49mila. I soldi sottratti ai cittadini con truffe e frodi, invece, sono cresciuti del 17,4%. Meno attacchi dunque, ma più danni, perché il costo dell’insicurezza non dipende ovviamente da quanti attacchi ci sono, ma da quanto riescono a portare via.

Hackmanac, fonte del Global Cyber Loss Report, nel primo semestre 2026 ha osservato 12.943 incidenti informatici in 162 Paesi e ne ha stimato le perdite economiche. I numeri che riguardano l’Italia parlano 407 incidenti osservati, perdite stimate in 468,18 milioni di dollari (il 33,3% in più rispetto al semestre precedente), nono posto al mondo, con un costo mediano di 611mila dollari per incidente, un valore più basso della media perché pochi casi enormi la trascinano verso l’alto. Sono però stime su incidenti osservati, non danni accertati, e non vanno confrontate con i 245 incidenti gravi censiti da Clusit nello stesso semestre, perché il perimetro è diverso. Hackmanac conta più episodi, Clusit solo quelli gravi e noti. Il Report Cost of a Data Breach IBM 2026 indica un costo medio di 3,55 milioni di euro per ogni violazione dei dati nelle organizzazioni italiane analizzate, che sale a 4,65 milioni nel settore energetico.

I numeri medi possono sembrare molto elevati, ma i casi concreti dimostrano che non lo sono. Nel 2020, per Campari, gli hacker chiesero 15 milioni di dollari dopo aver copiato 2 terabyte di dati. Nell’aprile 2024 Synlab Italia, rete di 380 laboratori con circa 35 milioni di esami l’anno, sospese tutte le attività, e il mese dopo 1,5 terabyte di dati comparvero sul dark web. A settembre 2026 il gruppo che ha ingannato Revolut ha chiesto 3 milioni di dollari in 24 ore. E il listino dei dati riservati dello Stato scoperto dalla Procura di Napoli va da 6 euro per un accesso all’INPS a 25 per lo SDI, su 730mila accessi abusivi in due anni.

Tra il 3 e il 6 novembre Eurocontrol ha contato 35 allarmi bomba sui voli europei. Un ritardo può costare, secondo parametri citati da un docente dell’Università di Bologna, tra 160 e 2.010 euro al minuto per volo; un’ora di volo di un Eurofighter costa circa 75mila euro. In Francia gli attacchi hanno spento i frigoriferi di circa 700 supermercati, e il presidente di Intermarché ha parlato di perdite per decine di milioni di euro. In Italia Palazzo Chigi sostiene che l’impatto iniziale sia stato limitato, a partire dal numero di punti vendita coinvolti. Ma in altri Paesi, a partire dal Belgio, le cose non sono andate così, e nei Paesi Bassi l’attacco è arrivato sino ai dettaglianti, piccole macellerie di quartiere che non appartenevano a catene o gruppi organizzati.

Chi paga? In parte le assicurazioni, ma il mercato è giovane. L’IVASS (Istituto per la vigilanza delle assicurazioni), nella relazione presentata il 18 giugno 2026, descrive il segmento delle polizze cyber per le imprese come ancora in una fase iniziale, tuttora frenato dalla mancanza di dati storici per misurare il rischio. Nel mondo, secondo Munich Re, i premi cyber valevano 15,3 miliardi di dollari nel 2024, con una previsione di circa 16,3 per il 2025, meno dell’1% del totale dei premi. Le polizze, va ricordato, non sempre coprono i danni materiali, come la merce distrutta in un supermercato, il cui costo ricade sulle imprese, se non coperte verso altri tipi di rischi.

Le cifre più grandi vanno maneggiate con cautela. Spesso si parte da un costo globale del cybercrime e lo si attribuisce all’Italia in proporzione, per cui il risultato dipende dall’ipotesi iniziale. Il Centro Studi Uilca, il sindacato dei bancari, ha stimato nel 2022 un danno di 20-25 miliardi, come proiezione fino al 2024. Nel 2026 sono circolate cifre di 60-66 miliardi l’anno, il 3,5% del PIL, ma senza una fonte originale né un metodo dichiarato. Le somme accertate sono molto più piccole, e vanno citate come ordini di grandezza, mai come perdite misurate.Il broker Howden ha stimato in 300 miliardi di euro il costo degli attacchi per le quattro maggiori economie europee in cinque anni. Sono ordini di grandezza, non dati: vanno citati dichiarando la fonte.

Il confronto più utile è con la spesa per difendersi. Il mercato italiano della cybersicurezza vale 2,78 miliardi di euro l’anno. Le sole somme sottratte accertate dalla Polizia postale equivalgono a quasi un decimo di quella cifra, e le perdite stimate da Hackmanac in sei mesi a circa 468 milioni di dollari. Il danno, però, non è mai solo la cifra rubata. Sono i tempi di fermo, la fiducia perduta, le sanzioni. La prevenzione, pur costosa, resta quasi sempre più economica del ripristino.

I dati di tutti finiscono nel dark web. Il dark web, per la sicurezza italiana, non è più soltanto il luogo in cui si vendono dati rubati. È il posto dove finiscono i dati di tutti, e dove un’informazione personale può diventare un’arma. Il 7 novembre il vicepremier Antonio Tajani ha reso noto che i suoi dati e quelli dei familiari erano stati diffusi. Sulla sezione “Tribunale” del sito del gruppo filorusso di hacker NoName057(16), attiva dal 26 ottobre secondo le ricostruzioni della stampa, compaiono diciotto bersagli con schede dettagliate di numeri di telefono, e-mail e indirizzi, e la richiesta di notizie a pagamento. Oltre a Tajani ci sono il procuratore di Roma Francesco Lo Voi, il capo della Polizia postale Ivano Gabrielli, il sindaco di Aviano Paolo Tassan-Zanin, tre giornalisti d’inchiesta tedeschi e un magistrato della procura generale di Francoforte. Non sono nomi casuali. Nell’estate 2025 Lo Voi e Gabrielli hanno partecipato con le loro indagini all’operazione Eastwood, coordinata da Europol ed Eurojust contro il collettivo. La Procura di Roma ha aperto un fascicolo, affidando alla Polizia postale e al CNAIPIC le indagini. Le minacce a Lo Voi sono passate per competenza a Perugia. Si ipotizzano accesso abusivo a sistema informatico e minacce. Secondo “Il Sole 24 Ore”, la Polizia postale avrebbe già ricostruito il ruolo di una decina di persone legate al gruppo. I contatti esposti risultano ancora in uso.

Resta il dato di fondo. Per l’Osservatorio Cyber di CRIF, nel primo semestre 2026 sono circolati sul dark web 2,5 miliardi di dati unici. L’Italia è terza al mondo, dopo Stati Uniti e Francia, per account rubati con gli infostealer, i programmi che sottraggono password dai computer infetti, ed è sesta per indirizzi e-mail compromessi. Nel 2025 il 51,8% degli utenti ha ricevuto almeno un alert di esposizione e le segnalazioni sono state oltre 2,2 milioni.

L’esposizione di dati, rilevata monitorando le piattaforme in cui credenziali e informazioni sono pubblicate e vendute, è spesso il primo passaggio di intrusioni, esfiltrazioni e ransomware. Il ciclo è noto. Un computer infettato produce credenziali, le credenziali finiscono in vendita, qualcuno le usa per entrare. Il 24% dei vettori principali degli incidenti riguarda proprio account validi.

Ma non tutto passa dal dark web. L’inchiesta della Procura di Napoli mostra un mercato grigio per così dire “di prossimità”. Poliziotti e funzionari infedeli che interrogavano le banche dati dello Stato e rivendevano le informazioni a società di investigazione, con un tariffario da 6 euro per un accesso all’INPS a 25 per lo SDI. Colajanni ha ricordato che gli accessi sono tracciati e dotati di alert automatici: qualcuno non ha vigilato. È lo stesso schema del caso Equalize, che non riguarda hacker esterni ma insider e intermediari.

Restano tre fatti che nessuna smentita cancella. Un dato esposto non si ritira. La pressione si sposta dal denaro alla persona, con doxing e taglie. E la difesa dei singoli è di fatto individuale, con controlli dell’indirizzo e-mail, gestori di password e avvisi bancari, mentre quella delle istituzioni passa per il monitoraggio dell’ACN e il lavoro della Polizia postale. Dopo l’esposizione, chi risponde del danno? Oggi nessuna norma lo dice.

L’evoluzione del rischio nelle ultime settimane. I dati sul 2025 dicevano due cose opposte, e vanno lette insieme. Per l’ACN il quadro è di una minaccia che cresce e di una resilienza che cresce di più. Gli eventi aumentano del 38%, gli incidenti con impatto confermato solo del 7%, la quota di attacchi DDoS con effetti scende dal 15% a meno dell’11%. Il merito, secondo l’Agenzia, è dell’allertamento preventivo.

Clusit racconta un’altra storia. Nel 2025 gli incidenti gravi censiti in Italia sono 507, il 42% in più, pari al 9,6% del totale mondiale, più di quanto peserebbe l’economia italiana. Nel primo semestre 2026 sono 245, in calo del 12,5% su un anno prima, ma la quota italiana scende al 5% soprattutto perché il totale mondiale è esploso (4.911 incidenti nel semestre). E in Italia la quota di casi di gravità elevata sale al 57,6%. Meno casi, più gravi. Le due letture non sono in contraddizione: l’ACN misura ciò che ha visto e gestito, comprese le azioni dimostrative; Clusit conta gli incidenti gravi e pubblici. Nessuno ha però un termometro completo.

Nelle ultime settimane abbiamo assistito a un salto qualitativo, dal dato al fisico. Colpire la catena del freddo significa agire su cibo, margini e, come mostra il caso francese del sangue, sulla sanità. L’altro aspetto che è cambiato è la scelta del fornitore come punto debole e dunque come target. Nei supermercati sono i sistemi obsoleti e i manutentori; in Francia il bersaglio è stato Coolworld, non l’ente del sangue; al Brennero un soggetto privato che gestisce un’opera strategica. L’altra novità è l’intimidazione personale, con taglie su dati di cariche istituzionali, che sposta il confine tra sicurezza informatica e sicurezza fisica.

Sullo sfondo c’è la velocità. Il 26 maggio la Banca centrale europea ha riunito i vertici delle banche europee sul rischio posto da modelli di intelligenza artificiale di frontiera, capaci di scoprire vulnerabilità con rapidità inedita; un membro del board, Frank Elderson, ha spiegato che da una patch si può ricostruire la falla corretta in tempi dell’ordine della mezz’ora. Se è così, il tempo tra correzione e sfruttamento si accorcia e i sistemi obsoleti diventano più pericolosi.

Il banco di prova è vicino: da questo mese l’ACN inizia le ispezioni NIS2 su una platea di oltre 20mila soggetti. Il dibattito politico seguirà due linee. Per Il Fatto Quotidiano l’Italia digitale è un colabrodo, soprattutto per gli accessi abusivi agli archivi dello Stato; Palazzo Chigi ha parlato di massima attenzione e nessun allarme, con impatto limitato. La realtà stanno nel mezzo.  L’Italia ha strumenti che prima non aveva e risultati misurabili, ma il perimetro da proteggere è più ampio di quello che riesce a controllare. Il rischio, oggi, non sta tanto nel colpo più sofisticato, quanto nella capillarità di punti deboli ordinari. Chi organizza la pressione ibrida lo sa, e sceglie i bersagli che costano poco e fanno rumore.