Las organizaciones italianas representan alrededor del 7 % de los datos de acceso inicial vendidos en foros de cibercrimen según la investigación de Intel471, solo por detrás de Estados Unidos, con el 30 %, según Dark Reading. El hallazgo más llamativo es cómo lograron entrar los intermediarios: la explotación de vulnerabilidades explicó el 57 % de los casos italianos, frente al 23 % de los que implicaban credenciales.
Los resultados sitúan el software expuesto y la infraestructura web en el centro del panorama italiano. Sin embargo, las razones siguen siendo hipótesis. Intel471 apunta, como posibles explicaciones, a una aplicación más lenta de parches, a oportunidades para reutilizar métodos de explotación en distintas organizaciones y a la gran cantidad de pequeñas empresas que hay en Italia.
Las vulnerabilidades dominan los hallazgos italianos
Dark Reading informó de los hallazgos a partir de un informe de Intel471 compartido antes de su publicación. Los intermediarios de acceso inicial obtienen puntos de apoyo en organizaciones y venden ese acceso a otros delincuentes. Sus anuncios describen un mercado de accesos comprometidos; no son un censo de todos los ciberataques.
En los datos italianos, el 49 % de las ventas de acceso implicaba infraestructura web propiedad de la víctima, mientras que las herramientas de acceso remoto y de escritorio remoto representaban el 26 %. Según la investigación, Italia también ocupaba el cuarto puesto entre los países más atacados con ransomware.
El patrón difiere notablemente de las cifras globales de Intel471 para 2025, publicadas en su informe 2026 Cyber Threat Trends & Outlook. A nivel mundial, las herramientas de acceso remoto y de escritorio remoto representaban el 67 % de los anuncios de intermediarios. Las credenciales se anunciaban como tipo de ataque en el 49 % de los anuncios, mientras que las vulnerabilidades explotadas aparecían en el 6,5 % de los casos.
Esas comparaciones describen conjuntos de datos distintos. No explican por qué las organizaciones italianas aparecen tan destacadas en el mercado de accesos.
Las ventas en bloque sugieren compromisos repetibles
El analista de cibercrimen de Intel471 Gianluca Tiepolo explicó a Dark Reading que el 90 % de las ofertas italianas de acceso inicial eran ofertas «al por mayor». Según él, estas eran resultado de una explotación amplia de vulnerabilidades y no de operaciones dirigidas específicamente a Italia.
La valoración de Tiepolo es que las organizaciones italianas aplican parches más lentamente que las de otros países. También describió una adopción históricamente más lenta de tecnologías de seguridad y afirmó que las herramientas de detección y respuesta en endpoints se popularizaron en Italia alrededor de 2020-2021. Se trata de explicaciones propuestas para los hallazgos, no de causas demostradas.
Una hipótesis relacionada es que las tecnologías comunes y las vulnerabilidades sin resolver permiten a los delincuentes reutilizar un método de explotación que funciona en muchas empresas expuestas, lo que reduce el esfuerzo necesario para cada compromiso. Los investigadores no identificaron las tecnologías o vulnerabilidades concretas que permitirían confirmar esta explicación.
La empresa de seguridad con sede en Milán Cleafy explicó a Dark Reading que había observado a atacantes reutilizar herramientas, infraestructura y técnicas en objetivos del sector bancario italiano. Cleafy advirtió expresamente de que esas observaciones no demuestran que el mercado italiano de acceso inicial sea desproporcionadamente grande.
La composición empresarial de Italia ofrece otra posible explicación. Dark Reading citó un informe de la OCDE que señala que las pymes representaban el 99,9 % de las empresas italianas en 2023, y las microempresas el 94,8 %. Tiepolo afirmó que los datos de extorsión de Intel471 mostraban una selección desproporcionada de pequeñas y medianas empresas, lo que podría ayudar a explicar la prominencia de Italia.
Por tanto, la investigación destaca como hallazgos centrales las ventas de acceso impulsadas por vulnerabilidades y los compromisos en bloque. La aplicación más lenta de parches, los ataques reutilizables y la composición empresarial siguen siendo explicaciones por investigar, y no causas establecidas.
