Le organizzazioni italiane rappresentano circa il 7% dei dati di accesso iniziale venduti sui forum di cybercriminalità, secondo la ricerca di Intel471, subito dopo gli Stati Uniti, al 30%, come riportato da Dark Reading. Il dato più significativo riguarda il modo in cui i broker hanno ottenuto l'accesso: lo sfruttamento di vulnerabilità è stato alla base del 57% dei casi italiani, contro il 23% di quelli che coinvolgevano credenziali.
I risultati mettono al centro del quadro italiano il software esposto e l'infrastruttura web. Le ragioni, però, restano ipotesi. Intel471 indica come possibili spiegazioni un ritardo nell'applicazione delle patch, la possibilità di riutilizzare gli stessi metodi di sfruttamento in più organizzazioni e il grande numero di piccole imprese presenti in Italia.
Le vulnerabilità dominano i dati italiani
Dark Reading ha riportato i risultati di un rapporto di Intel471 condiviso prima della pubblicazione. I broker di accesso iniziale ottengono punti d'appoggio nelle organizzazioni e rivendono tale accesso ad altri criminali. Le loro inserzioni descrivono un mercato di accessi compromessi; non sono un censimento di tutti gli attacchi informatici.
Nei dati italiani, il 49% delle vendite di accessi riguardava infrastrutture web di proprietà della vittima, mentre gli strumenti di accesso remoto e desktop remoto erano coinvolti nel 26% dei casi. Secondo la ricerca, l'Italia si è inoltre classificata al quarto posto tra i Paesi più colpiti dai ransomware.
Il quadro differisce nettamente dalle cifre globali di Intel471 per il 2025, pubblicate nel rapporto 2026 Cyber Threat Trends & Outlook. A livello globale, gli strumenti di accesso remoto e desktop remoto rappresentavano il 67% delle inserzioni dei broker. Le credenziali erano pubblicizzate come tipo di attacco nel 49% delle inserzioni, mentre le vulnerabilità sfruttate comparivano nel 6,5% dei casi.
Questi confronti riguardano set di dati diversi. Non spiegano perché le organizzazioni italiane compaiano con tanta evidenza nel mercato degli accessi.
Le vendite all'ingrosso suggeriscono compromissioni ripetibili
L'analista di cybercriminalità di Intel471 Gianluca Tiepolo ha dichiarato a Dark Reading che il 90% delle offerte italiane di accesso iniziale era costituito da offerte «all'ingrosso». Secondo lui, tali offerte derivano da uno sfruttamento ampio delle vulnerabilità, piuttosto che da operazioni mirate specificamente all'Italia.
Secondo la valutazione di Tiepolo, le organizzazioni italiane applicano le patch più lentamente rispetto a quelle di altri Paesi. Ha inoltre descritto un'adozione storicamente più lenta delle tecnologie di sicurezza, affermando che gli strumenti di endpoint detection and response si sono diffusi in Italia intorno al 2020–2021. Si tratta di spiegazioni proposte per i risultati, non di cause dimostrate.
Un'ulteriore ipotesi è che tecnologie comuni e vulnerabilità non risolte permettano ai criminali di riutilizzare un metodo di sfruttamento già funzionante in molte aziende esposte, riducendo lo sforzo necessario per ogni compromissione. I ricercatori non hanno individuato le specifiche tecnologie o vulnerabilità che confermerebbero questa spiegazione.
La società di sicurezza con sede a Milano Cleafy ha riferito a Dark Reading di aver osservato attaccanti che riutilizzano strumenti, infrastrutture e tecniche contro obiettivi del settore bancario italiano. Cleafy ha però esplicitamente avvertito che tali osservazioni non dimostrano l'esistenza di un mercato italiano di accesso iniziale sproporzionatamente grande.
La composizione del tessuto produttivo italiano offre un'altra possibile spiegazione. Dark Reading ha citato un rapporto dell'OCSE secondo cui nel 2023 le PMI rappresentavano il 99,9% delle imprese italiane, con le microimprese al 94,8%. Tiepolo ha detto che i dati di Intel471 sulle estorsioni mostravano un'attenzione sproporzionata verso piccole e medie imprese, fattore che potrebbe contribuire a spiegare la centralità dell'Italia.
La ricerca evidenzia quindi come risultati centrali le vendite di accessi basate sulle vulnerabilità e le compromissioni in serie. Il ritardo nell'applicazione delle patch, la riutilizzabilità degli attacchi e la composizione del tessuto imprenditoriale restano spiegazioni da verificare, non cause accertate.
