Il 2026 non è l'anno in cui gli attacchi informatici sono diventati più sofisticati. È l'anno in cui sono diventati sistematici. Ospedali costretti a tornare a carta e penna, distributori di carburante compromessi, 700 terabyte di dati rubati a un operatore telefonico nazionale, 293 milioni di dollari evaporati da un exchange crypto in una sola notte. Non sono scenari da film: sono fatti documentati tra gennaio e settembre 2026.
In questo articolo trovi i casi concreti dell'anno, i numeri ufficiali (ACN per l'Italia, ITRC per gli Stati Uniti), gli schemi di attacco che si ripetono e una checklist operativa di contromisure. Se gestisci un'azienda, un reparto IT o semplicemente dei dati altrui, questa è la fotografia che ti serve.
In sintesi: nel primo semestre 2026 l'ITRC ha censito 1.803 violazioni di dati e 471,2 milioni di notifiche alle vittime, superando già l'intero 2025. In Italia l'ACN ha registrato 436 eventi cyber nel solo mese di febbraio, +94% rispetto a gennaio. Il vettore dominante non è più il malware, ma l'accesso legittimo rubato a fornitori e terze parti.
Il 2026 è già l'anno peggiore di sempre: i numeri
Il quadro globale
L'Identity Theft Resource Center ha contato 1.803 compromissioni nei primi sei mesi del 2026, con 471,2 milioni di notifiche di violazione inviate alle persone coinvolte. Per dare una misura: quel dato supera già il totale di tutto il 2025. Non significa necessariamente che gli attaccanti siano raddoppiati, significa che colpiscono bersagli sempre più concentrati. Una singola piattaforma compromessa oggi vale decine di milioni di identità.
Il quadro italiano
L'Agenzia per la Cybersicurezza Nazionale ha fotografato un'escalation netta nei primi mesi dell'anno: 225 eventi cyber a gennaio 2026 (+42% rispetto a dicembre) e 436 eventi a febbraio (+94%), con 174 incidenti confermati (+60%). Nella stessa finestra sono cresciuti in modo marcato il brand abuse, il phishing mirato e le scansioni automatizzate alla ricerca di servizi esposti.
Il Rapporto Cybersecurity TIM 2026 aggiunge un dato che pesa: 166 attacchi ransomware andati a segno in Italia (+14%), a fronte di circa 48.500 nuove vulnerabilità censite a livello globale. Il punto più scomodo del rapporto riguarda la consapevolezza: solo una minoranza ridottissima delle aziende italiane dichiara una conoscenza matura del proprio livello di esposizione.
I casi più gravi del 2026
Instructure e Canvas: 3,65 TB, 275 milioni di utenti
È la violazione simbolo dell'anno. A maggio 2026 il gruppo ShinyHunters ha compromesso l'infrastruttura cloud di Instructure, la società dietro Canvas, la piattaforma didattica usata da circa 9.000 istituti scolastici e universitari. Risultato: 3,65 terabyte esfiltrati, dati riconducibili a circa 275 milioni di utenti, tra nomi di studenti, identificativi interni e comunicazioni private. Il riscatto risulta pagato.
La lezione è brutale e vale per qualsiasi settore: quando migliaia di organizzazioni appoggiano i propri dati su un unico fornitore, la superficie d'attacco non è la tua, è la sua.
Telus: 700 terabyte rivendicati
A marzo 2026 lo stesso gruppo ha rivendicato l'attacco all'operatore canadese Telus, parlando di circa 700 TB sottratti: dati personali dei clienti, tabulati di traffico, esiti di controlli sul personale e persino codice sorgente. Un volume del genere non si porta via in un'ora. Significa persistenza non rilevata per settimane, che è il vero indicatore di maturità difensiva di un'organizzazione.
293 milioni di dollari: il più grande colpo DeFi dell'anno
Ad aprile 2026 un gruppo riconducibile alla Corea del Nord ha sfruttato una vulnerabilità su una grande piattaforma crypto, con perdite stimate da LayerZero Labs intorno ai 293 milioni di dollari. È il più grande attacco DeFi del 2026 e conferma una tendenza ormai strutturale: per alcuni attori statali il cybercrime finanziario non è criminalità, è bilancio pubblico.
La sanità sotto assedio
Due episodi raccontano meglio di ogni statistica cosa succede quando un attacco tocca la vita reale.
- ChipSoft, aprile 2026: la violazione attribuita al gruppo Embargo ha colpito il fornitore software usato dal 70% degli ospedali olandesi, con disservizi operativi diffusi.
- University of Mississippi Medical Center, febbraio 2026: un ransomware ha costretto alla chiusura di tutte le 35 sedi cliniche dello Stato. Con il sistema EHR Epic fuori uso, il personale è tornato a carta e penna.
A questi si sono aggiunti, a giugno, la compromissione di server REDCap presso istituti di ricerca medica da parte di attori statali cinesi e diverse violazioni che hanno esposto i dati di pazienti con dispositivi di monitoraggio cardiaco.
Istituzioni e infrastrutture critiche
Il 2026 ha spostato il bersaglio dalle aziende ai servizi essenziali:
- Commissione Europea, marzo 2026: colpita l'infrastruttura cloud che ospita la piattaforma web Europa. A febbraio, insieme all'Autorità olandese per la protezione dei dati e al Consiglio giudiziario, era già stata bersaglio dello sfruttamento di zero-day critici su Ivanti Endpoint Manager Mobile.
- Distributori di carburante negli Stati Uniti, maggio 2026: sospetti attori iraniani hanno violato i sistemi di misurazione automatica dei serbatoi (ATG) esposti su internet in più Stati.
- Utility idriche del Minnesota e l'operatore giapponese KDDI, luglio 2026: disservizi operativi su infrastrutture critiche.
- Singapore, febbraio 2026: il gruppo UNC3886, collegato alla Cina, ha violato tutti e quattro i principali operatori telefonici del Paese in una campagna di spionaggio durata mesi.
- Foster City, California, marzo 2026: un ransomware ha sospeso tutti i servizi pubblici a esclusione delle emergenze.
Sul fronte corporate, l'anno ha toccato anche Stryker (marzo, con blocco di ordini, produzione e spedizioni), Coca-Cola Fairlife ed EY (luglio), Tata Electronics (giugno, con file riservati relativi ad Apple e Tesla) e NVIDIA GeForce NOW (maggio, tramite l'operatore terzo GFN.am in Armenia).
Italia nel mirino: cosa sta succedendo davvero
Le rivendicazioni ransomware del 2026
Il bersaglio italiano tipico non è la multinazionale. È l'azienda manifatturiera da 80 dipendenti, lo studio professionale, l'associazione di categoria. Tra le rivendicazioni censite nel 2026 figurano AGENCAVI (manifatturiero, marzo), CNA (giugno, attacco rivendicato dal gruppo deadlock), Studio Sardano e SistNet (luglio). Sono realtà che raramente dispongono di un SOC interno e che, proprio per questo, vengono scelte.
La filiera è il vero punto debole
Ad aprile 2026 è stata colpita Sistemi Informativi, controllata italiana di IBM. È il paradigma dell'attacco 2026: non si sfonda la porta principale, si entra dal fornitore. Se un partner ha accesso ai tuoi sistemi, il suo livello di sicurezza è il tuo livello di sicurezza. Non esiste altro modo di leggerlo.
I quattro schemi ricorrenti degli attacchi 2026
1. Supply chain e terze parti
Instructure, ChipSoft, GFN.am, Sistemi Informativi: quattro casi, un solo schema. L'attaccante sceglie l'anello con il ritorno più alto e il presidio più basso, poi si muove lateralmente verso i clienti finali.
2. Identità rubate al posto del malware
A giugno 2026 è emerso il caso di attori statali cinesi che hanno mantenuto accesso occulto a una rete isolata per circa un decennio, dirottando i processi di autenticazione. Nessun exploit spettacolare: credenziali e sessioni valide. Gli antivirus non vedono nulla di anomalo, perché formalmente non c'è nulla di anomalo.
3. Doppia e tripla estorsione
La cifratura è diventata la parte meno rilevante. Prima si esfiltra, poi si cifra, poi si minaccia la pubblicazione, infine si contattano clienti e partner della vittima. Il caso Die Linke (marzo 2026, ransomware Qilin) e quello Crunchbase (gennaio, oltre 2 milioni di record pubblicati dopo il rifiuto del riscatto) mostrano entrambe le uscite possibili.
4. Offensiva assistita dall'AI
Nel 2026 sono comparsi il trojan msaRAT (gruppo Chaos) e JADEPUFFER, agente ransomware autonomo guidato dall'AI. Il salto non è nella potenza del singolo attacco, ma nella scala: campagne personalizzate, continue e a costo marginale prossimo allo zero.
Cosa deve fare un'azienda, subito
Otto azioni concrete, in ordine di rapporto tra impatto e sforzo.
- MFA resistente al phishing (FIDO2, passkey) su email, VPN, console cloud e accessi amministrativi. L'OTP via SMS non è più una difesa.
- Censimento e governo degli accessi di terze parti: chi entra, da dove, con quali privilegi, con quale scadenza. Nessun accesso permanente ai fornitori.
- Backup immutabili e testati, con almeno una copia offline. Un backup mai ripristinato in prova è un'ipotesi, non un backup.
- Patching prioritizzato sulle vulnerabilità effettivamente sfruttate: il caso Ivanti è stato devastante perché le correzioni esistevano già.
- EDR e monitoraggio continuo, con particolare attenzione alle autenticazioni anomale e ai trasferimenti di dati in uscita. 700 TB non escono in silenzio da una rete sorvegliata.
- Piano di incident response provato almeno una volta l'anno, con ruoli, catena decisionale, contatti legali e comunicazione ai clienti già definiti.
- Formazione continua su phishing e social engineering, con simulazioni reali e misurate.
- Compliance NIS2 e GDPR trattata come progetto di sicurezza, non come adempimento documentale.
Domande frequenti
Qual è stato l'attacco hacker più grave del 2026?
Per volume di dati e persone coinvolte, la violazione di Instructure (Canvas): 3,65 TB esfiltrati e circa 275 milioni di utenti interessati in circa 9.000 istituti educativi, attribuita al gruppo ShinyHunters a maggio 2026.
Quanti attacchi ransomware ha subito l'Italia nel 2026?
Il Rapporto Cybersecurity TIM 2026 ha censito 166 attacchi ransomware andati a segno in Italia, con un incremento del 14% rispetto all'anno precedente. L'ACN ha registrato 436 eventi cyber nel solo febbraio 2026, di cui 174 classificati come incidenti.
Qual è oggi il principale vettore di attacco per le aziende?
La catena di fornitura e le terze parti. Nella maggior parte dei casi gravi del 2026 l'accesso iniziale è avvenuto tramite un fornitore, un operatore esterno o credenziali legittime rubate, non tramite malware introdotto direttamente nell'organizzazione bersaglio.
Le PMI sono davvero bersagli interessanti?
Sì, e sempre più spesso. Le rivendicazioni italiane del 2026 riguardano in larga parte aziende manifatturiere, studi professionali e associazioni. Vengono scelte proprio perché dispongono di dati preziosi e di presidi di sicurezza limitati.
Pagare il riscatto conviene?
Non garantisce nulla. Nel caso Instructure il riscatto risulta pagato, in quello Crunchbase è stato rifiutato e i dati sono stati pubblicati. In entrambi gli scenari la violazione resta, con i relativi obblighi di notifica e i danni reputazionali. La decisione va presa prima dell'incidente, dentro un piano, non durante la crisi.
Cosa impone la direttiva NIS2 alle aziende italiane?
La NIS2 estende gli obblighi di sicurezza a un perimetro molto più ampio di settori e introduce requisiti su gestione del rischio, sicurezza della catena di fornitura, notifica tempestiva degli incidenti e responsabilità diretta degli organi di gestione.
Da dove iniziare: parliamone
La differenza tra le organizzazioni che nel 2026 hanno perso settimane di operatività e quelle che se la sono cavata in poche ore non è il budget. È la preparazione: sapere dove sono i dati, chi può accedervi, cosa succede nei primi trenta minuti dopo l'allarme.
In Ledger Things affianchiamo le aziende esattamente su questo terreno: assessment dello stato di esposizione, messa in sicurezza di architetture dati e integrazioni, governo degli accessi di fornitori e piattaforme terze, automazioni e AI agent progettati fin dall'inizio con criteri di sicurezza, percorsi di adeguamento NIS2 e GDPR.
Se vuoi capire quanto sei realmente esposto, prima che lo scopra qualcun altro, parliamone. Contattaci per una consulenza: analizziamo insieme la tua situazione e definiamo le priorità concrete su cui intervenire.
