Les organisations italiennes représentent environ 7 % des données d'accès initial vendues sur les forums cybercriminels selon les recherches d'Intel471, derrière les États-Unis à 30 %, d'après Dark Reading. Ce qui frappe, c'est la manière dont les courtiers ont obtenu l'accès : l'exploitation de vulnérabilités représente 57 % des cas italiens, contre 23 % pour les cas impliquant des identifiants.
Ces résultats placent les logiciels et l'infrastructure web exposés au centre du tableau italien. Les causes restent toutefois hypothétiques. Intel471 évoque un rythme de correction plus lent, la possibilité de réutiliser les mêmes méthodes d'exploitation dans plusieurs organisations, ainsi que le grand nombre de petites entreprises en Italie comme explications possibles.
Les vulnérabilités dominent les constats italiens
Dark Reading a rapporté les conclusions d'un rapport d'Intel471 partagé avant sa publication. Les courtiers en accès initial obtiennent une première prise dans les organisations et revendent cet accès à d'autres criminels. Leurs annonces décrivent un marché d'accès compromis ; elles ne constituent pas un recensement de toutes les cyberattaques.
Dans les données italiennes, 49 % des ventes d'accès concernaient une infrastructure web appartenant à la victime, tandis que les outils d'accès à distance et de bureau à distance en représentaient 26 %. Selon la recherche, l'Italie figurait également au quatrième rang des pays les plus visés par les rançongiciels.
Cette configuration diffère nettement des chiffres mondiaux d'Intel471 pour 2025, publiés dans son rapport Cyber Threat Trends & Outlook 2026. À l'échelle mondiale, les outils d'accès à distance et de bureau à distance représentaient 67 % des annonces de courtiers. Les identifiants étaient présentés comme type d'attaque dans 49 % des annonces, alors que les vulnérabilités exploitées apparaissaient dans 6,5 % des cas.
Ces comparaisons portent sur des jeux de données différents. Elles n'expliquent pas pourquoi les organisations italiennes apparaissent aussi nettement sur le marché des accès.
Les ventes en gros suggèrent des compromissions reproductibles
Gianluca Tiepolo, analyste en cybercriminalité chez Intel471, a indiqué à Dark Reading que 90 % des offres d'accès initial italiennes étaient des offres « en gros ». Il les attribue à une exploitation large de vulnérabilités plutôt qu'à des opérations visant spécifiquement l'Italie.
Selon l'évaluation de Tiepolo, les organisations italiennes corrigent leurs systèmes plus lentement que celles d'autres pays. Il a également décrit une adoption historiquement plus tardive des technologies de sécurité, en précisant que les outils de détection et de réponse sur les terminaux (EDR) se sont répandus en Italie vers 2020-2021. Il s'agit d'explications proposées, et non de causes démontrées.
Une autre hypothèse liée à cette question est que des technologies courantes et des vulnérabilités non corrigées permettent aux criminels de réutiliser une méthode d'exploitation fonctionnelle dans de nombreuses entreprises exposées, ce qui réduit l'effort nécessaire pour chaque compromission. Les chercheurs n'ont pas identifié les technologies ou vulnérabilités particulières qui étayeraient cette explication.
La société de sécurité milanaise Cleafy a indiqué à Dark Reading avoir observé des attaquants réutiliser outils, infrastructures et techniques contre des cibles bancaires italiennes. Cleafy a expressément mis en garde : ces observations n'établissent pas l'existence d'un marché de l'accès initial italien disproportionnellement important.
La structure économique de l'Italie offre une autre explication possible. Dark Reading a cité un rapport de l'OCDE indiquant que les PME représentaient 99,9 % des entreprises italiennes en 2023, dont 94,8 % de microentreprises. Tiepolo a indiqué que les données d'Intel471 sur l'extorsion montraient un ciblage disproportionné des petites et moyennes entreprises, ce qui pourrait contribuer à expliquer la place de l'Italie.
Les travaux mettent donc en évidence, comme constats principaux, les ventes d'accès liées aux vulnérabilités et les compromissions en masse. Le rythme plus lent des correctifs, la réutilisation des attaques et la structure du tissu économique restent des pistes à examiner, et non des causes établies.
