Cybersecurity, 188 incidenti rilevati da CSIRT Italia nel mese di luglio

Nel mese di luglio 2026 il Computer Security Incident Response Team Italia (CSIRT Italia), la struttura nazionale per la risposta agli incidenti informatici operante nell’ambito dell’Agenzia per la Cybersicurezza Nazionale (ACN), ha registrato 188 incidenti, un numero sostanzialmente invariato rispetto a giugno. Gli eventi complessivamente rilevati sono stati invece 305, in diminuzione del 28% rispetto al mese precedente.

Il calo degli eventi è riconducibile soprattutto all’assenza, nel mese di luglio, di campagne Distributed Denial-of-Service (DDoS) di matrice hacktivista e alla diminuzione degli eventi che hanno interessato i fornitori di servizi informatici. La riduzione complessiva non esclude tuttavia la presenza di diverse forme di compromissione. Tra le principali minacce rilevate figurano il defacement, vale a dire l’alterazione non autorizzata di una pagina o di un sito web, la compromissione delle caselle di posta elettronica e l’esposizione di dati.

Tra gli episodi individuati nel corso del mese, una campagna di particolare rilievo ha interessato circa 60 siti web basati sul medesimo sistema di gestione dei contenuti, o Content Management System (CMS), vulnerabile. CSIRT Italia aveva già pubblicato nel mese di giugno un’allerta relativa alla vulnerabilità. Gli impatti della campagna sono rimasti circoscritti e non hanno prodotto ripercussioni sull’operatività dei soggetti coinvolti né sulla continuità dei servizi erogati.

Gli attacchi di tipo ransomware, attraverso i quali gli attaccanti rendono inaccessibili dati o sistemi e ne richiedono il ripristino in cambio di un pagamento, hanno interessato principalmente i settori della vendita al dettaglio, del manifatturiero e del comparto tecnologico.

Considerando nel complesso gli eventi rilevati, i settori maggiormente interessati sono stati la pubblica amministrazione locale, il manifatturiero, il settore tecnologico e le telecomunicazioni.

Parallelamente alla gestione degli incidenti, l’attività di monitoraggio condotta da CSIRT Italia ha consentito di individuare 3.210 sistemi e servizi a rischio, 1.026 in meno rispetto a giugno, e di allertare i soggetti interessati.

Una specifica attività di analisi ha riguardato i Content Management System (CMS) open source esposti alla rete. Le verifiche hanno consentito di individuare 1.074 istanze CMS compromesse, che sono state segnalate ai titolari dei sistemi interessati oppure, quando necessario, ai rispettivi fornitori di servizi per consentire le attività di bonifica.

Le evidenze relative alle compromissioni dei CMS si sono concentrate soprattutto nei settori della vendita al dettaglio, del manifatturiero, dell’università e della ricerca e della pubblica amministrazione locale.

È inoltre aumentato rispetto a giugno il numero delle comunicazioni inviate da CSIRT Italia ad amministrazioni e imprese italiane. Nel mese di luglio sono state complessivamente 8.952 e hanno avuto l’obiettivo di segnalare potenziali compromissioni o fattori di rischio, consentendo ai soggetti interessati di adottare le necessarie misure di intervento. Le comunicazioni sono state effettuate anche ai sensi dell’articolo 2, comma 1, della Legge n. 90/2024.

Il quadro delineato dai dati di luglio evidenzia quindi una diminuzione degli eventi complessivamente rilevati, ma non una riduzione generalizzata dell’attività di minaccia. Alla stabilità del numero degli incidenti si affianca infatti un’intensa attività di monitoraggio, che ha portato all’individuazione di migliaia di sistemi e servizi a rischio e di oltre mille istanze di sistemi di gestione dei contenuti compromesse.

I dati confermano così il ruolo di CSIRT Italia nell’attività di individuazione, analisi e segnalazione delle minacce cibernetiche rivolte a soggetti pubblici e privati, nell’ambito delle attività svolte dall’Agenzia per la Cybersicurezza Nazionale.

Nel mese di luglio 2026 il Computer Security Incident Response Team Italia (CSIRT Italia), la struttura nazionale per la risposta agli incidenti informatici operante nell’ambito dell’Agenzia per la Cybersicurezza Nazionale (ACN), ha registrato 188 incidenti, un numero sostanzialmente invariato rispetto a giugno. Gli eventi complessivamente rilevati sono stati invece 305, in diminuzione del 28% rispetto al mese precedente.

Il calo degli eventi è riconducibile soprattutto all’assenza, nel mese di luglio, di campagne Distributed Denial-of-Service (DDoS) di matrice hacktivista e alla diminuzione degli eventi che hanno interessato i fornitori di servizi informatici. La riduzione complessiva non esclude tuttavia la presenza di diverse forme di compromissione. Tra le principali minacce rilevate figurano il defacement, vale a dire l’alterazione non autorizzata di una pagina o di un sito web, la compromissione delle caselle di posta elettronica e l’esposizione di dati.

Tra gli episodi individuati nel corso del mese, una campagna di particolare rilievo ha interessato circa 60 siti web basati sul medesimo sistema di gestione dei contenuti, o Content Management System (CMS), vulnerabile. CSIRT Italia aveva già pubblicato nel mese di giugno un’allerta relativa alla vulnerabilità. Gli impatti della campagna sono rimasti circoscritti e non hanno prodotto ripercussioni sull’operatività dei soggetti coinvolti né sulla continuità dei servizi erogati.

Gli attacchi di tipo ransomware, attraverso i quali gli attaccanti rendono inaccessibili dati o sistemi e ne richiedono il ripristino in cambio di un pagamento, hanno interessato principalmente i settori della vendita al dettaglio, del manifatturiero e del comparto tecnologico.

Considerando nel complesso gli eventi rilevati, i settori maggiormente interessati sono stati la pubblica amministrazione locale, il manifatturiero, il settore tecnologico e le telecomunicazioni.

Parallelamente alla gestione degli incidenti, l’attività di monitoraggio condotta da CSIRT Italia ha consentito di individuare 3.210 sistemi e servizi a rischio, 1.026 in meno rispetto a giugno, e di allertare i soggetti interessati.

Una specifica attività di analisi ha riguardato i Content Management System (CMS) open source esposti alla rete. Le verifiche hanno consentito di individuare 1.074 istanze CMS compromesse, che sono state segnalate ai titolari dei sistemi interessati oppure, quando necessario, ai rispettivi fornitori di servizi per consentire le attività di bonifica.

Le evidenze relative alle compromissioni dei CMS si sono concentrate soprattutto nei settori della vendita al dettaglio, del manifatturiero, dell’università e della ricerca e della pubblica amministrazione locale.

È inoltre aumentato rispetto a giugno il numero delle comunicazioni inviate da CSIRT Italia ad amministrazioni e imprese italiane. Nel mese di luglio sono state complessivamente 8.952 e hanno avuto l’obiettivo di segnalare potenziali compromissioni o fattori di rischio, consentendo ai soggetti interessati di adottare le necessarie misure di intervento. Le comunicazioni sono state effettuate anche ai sensi dell’articolo 2, comma 1, della Legge n. 90/2024.

Il quadro delineato dai dati di luglio evidenzia quindi una diminuzione degli eventi complessivamente rilevati, ma non una riduzione generalizzata dell’attività di minaccia. Alla stabilità del numero degli incidenti si affianca infatti un’intensa attività di monitoraggio, che ha portato all’individuazione di migliaia di sistemi e servizi a rischio e di oltre mille istanze di sistemi di gestione dei contenuti compromesse.

I dati confermano così il ruolo di CSIRT Italia nell’attività di individuazione, analisi e segnalazione delle minacce cibernetiche rivolte a soggetti pubblici e privati, nell’ambito delle attività svolte dall’Agenzia per la Cybersicurezza Nazionale.

Approfondimenti:

• Operational Summary luglio 2026 – PDF