Attacchi hacker: cosa sono, perché aumentano e come difendersi

Che cos’è un attacco hacker

Un attacco informatico è un’azione intenzionale che tenta di accedere senza autorizzazione a sistemi o dati, sottrarli, modificarli oppure interrompere un servizio. Nel glossario del NIST la sicurezza viene ricondotta a tre proprietà: riservatezza, integrità e disponibilità. Un attacco può minacciare una sola di queste oppure più proprietà insieme.

Rubare una casella email compromette la riservatezza; alterare le coordinate di una fattura colpisce l’integrità; rendere irraggiungibile un sito riguarda la disponibilità. Non è quindi necessario vedere file cancellati o schermate nere per trovarsi davanti a un problema di sicurezza.

Nel linguaggio comune si usa attacco hacker, ma hacker non è un sinonimo perfetto di criminale. Esistono professionisti che verificano la sicurezza con autorizzazione e limiti concordati. La differenza non sta nell’abilità tecnica, ma nel permesso e nello scopo: entrare in un sistema altrui senza consenso non diventa una prova innocua perché viene chiamato test.

Tentativo, evento, incidente e violazione di dati non sono la stessa cosa

Un tentativo respinto non equivale a un accesso riuscito. Un messaggio fraudolento ricevuto non dimostra che la casella sia stata rubata; un errore del sito non prova che qualcuno abbia attaccato il server. Prima di valutare la gravità bisogna capire che cosa è stato osservato e che cosa è stato confermato.

Nella relazione ACN riferita al 2025, evento cyber e incidente indicano livelli diversi: l’incidente ha un impatto confermato dalla vittima o dal CSIRT Italia. Queste definizioni spiegano perché due serie statistiche possano crescere a velocità differenti senza essere in contraddizione.

Anche la violazione di dati personali ha un significato specifico. Il Garante Privacy ricorda che può essere causata da eventi accidentali o illeciti: non deriva sempre da un’intrusione. Viceversa, un’interruzione di servizio non dimostra automaticamente che siano state copiate informazioni. Sono distinzioni utili sia per leggere una notizia sia per comunicare correttamente un problema ai clienti.

Gli attacchi aumentano davvero? Che cosa dicono i dati disponibili

La risposta richiede una precisazione: non esiste un unico contatore mondiale di tutti gli attacchi. I rapporti misurano campioni, territori, segnalazioni e categorie differenti. La tabella riporta dati identificabili, con il relativo perimetro, anziché trasformare percentuali diverse in un solo indice di pericolosità.

Dati pubblicati nel 2026: numeri diversi che descrivono aspetti diversi del rischioFonte: ACN, Relazione 2025, pp. 22–23; ENISA Threat Landscape 2026, sintesi e metodologia; Verizon DBIR 2026.
Fonte e periodo osservato	Dato	Come leggerlo
ACN / CSIRT Italia, intero 2025	2.729 eventi gestiti; circa +38% sul 2024	Attività osservate, non tutte con impatto confermato
ACN / CSIRT Italia, intero 2025	615 incidenti; circa +7% sul 2024	Impatto confermato nel perimetro del CSIRT
ENISA, rapporto 2026 su gennaio–dicembre 2025	51,3% dei casi registrati classificati come DDoS	Quota del campione europeo, non probabilità personale di essere colpiti
Verizon DBIR 2026, dati 2025	31% delle violazioni analizzate inizia con lo sfruttamento di vulnerabilità	Quota di una raccolta di violazioni, non censimento di tutti gli attacchi

Dati consultati per questa guida il 2 novembre 2026. Campioni e definizioni non coincidono: i valori non vanno sommati né confrontati come se misurassero lo stesso fenomeno. Le percentuali di crescita ACN sono arrotondate come nella relazione.

I dati ACN mostrano una crescita delle attività gestite, ma gli eventi e gli incidenti con impatto confermato non aumentano nella stessa proporzione. Nel rapporto europeo il peso dei DDoS descrive invece la composizione dei casi osservati. Nel DBIR la quota delle vulnerabilità riguarda il punto di ingresso delle violazioni analizzate, non tutti i tentativi su internet.

Più monitoraggio e più segnalazioni possono rendere visibili casi prima non registrati. Questo non elimina la crescita della minaccia: impedisce però di attribuire ogni variazione soltanto a criminali più numerosi o più capaci. Per un confronto corretto servono almeno periodo, popolazione osservata, definizione del caso e metodo di raccolta.

Chi attacca e che cosa cerca

L’analisi ENISA pubblicata nel settembre 2026 distingue criminalità economica, spionaggio e attività ideologiche. Gli obiettivi possono essere denaro, informazioni riservate, interruzione di servizi o visibilità politica. Una stessa tecnica può essere usata con finalità diverse e da gruppi differenti.

Per un criminale una casella email può valere perché contiene documenti, permette di reimpostare altre password oppure rende credibile una richiesta di pagamento ai contatti. Un sito può essere sfruttato per distribuire messaggi ingannevoli o come risorsa all’interno di una campagna più ampia. Non conta soltanto il valore dei dati conservati.

Attribuire un attacco richiede però analisi: la lingua di un messaggio, un indirizzo di rete o una rivendicazione non identificano da soli il responsabile. Anche i gruppi possono esagerare gli effetti ottenuti. Per il lettore è utile distinguere un attacco rivendicato da un incidente verificato dal gestore del servizio.

I principali tipi di attacco e le differenze da conoscere

Molti incidenti combinano più passaggi. Un messaggio può indurre a rivelare una password; l’account ottenuto può essere usato per inviare altre richieste; in seguito possono essere sottratti dati o bloccati sistemi. Le etichette non descrivono quindi sempre episodi separati.

Attacchi informatici comuni: che cosa viene colpito e quale rischio comportanoFonte: Sintesi redazionale da FTC: phishing, CISA: identità e credenziali, NCSC: malware e ransomware e NCSC: denial of service.
Tipo	Meccanismo generale	Possibile conseguenza
Phishing e ingegneria sociale	Inganno che induce a consegnare informazioni o autorizzare azioni	Furto di account, dati o denaro
Abuso di credenziali	Uso di password rubate o riutilizzate	Accesso a servizi senza dover installare un virus
Malware e ransomware	Programmi malevoli che sottraggono dati, alterano o bloccano sistemi	Spionaggio, estorsione e perdita di operatività
Sfruttamento di vulnerabilità	Abuso di un difetto di software o configurazione	Accesso non autorizzato e altri danni
DDoS	Traffico distribuito che esaurisce risorse di un servizio	Sito o servizio indisponibile; non prova da solo un furto di dati

Le categorie possono sovrapporsi nello stesso incidente. Un malfunzionamento isolato non identifica automaticamente la tecnica o il responsabile.

Il NCSC distingue malware e ransomware, mentre la guida sugli attacchi denial of service tratta l’indisponibilità dei servizi. Questa distinzione evita di chiamare virus qualsiasi problema informatico. La scelta della risposta dipende dal meccanismo e dall’impatto osservato.

La tabella offre una lettura orientativa. Non permette di diagnosticare un incidente da soli: per esempio un sito lento può avere un guasto o un sovraccarico legittimo. Per approfondire il traffico automatizzato, è disponibile la guida su bot e attacchi automatici.

Perché sono più frequenti: aumentano servizi e collegamenti digitali

Il Threat Landscape 2026 di ENISA mette al centro l’interconnessione degli ecosistemi digitali. Più servizi online, account, applicazioni e integrazioni significano più elementi da configurare, aggiornare e sorvegliare. La superficie di attacco è l’insieme dei punti attraverso cui un sistema può essere raggiunto o abusato.

Non è la digitalizzazione in sé a rendere inevitabile un incidente. Il rischio cresce quando nuovi strumenti vengono aggiunti senza sapere chi li gestisce, quali dati contengono e quali accessi concedono. Un account dimenticato di un ex collaboratore può restare un problema anche se il computer principale è ben protetto.

Per una piccola attività il primo passo utile è fare un inventario: caselle email, dominio, sito, archivio cloud, contabilità, pagamenti e fornitori. Per ogni voce devono essere chiari il responsabile, il metodo di recupero e le persone autorizzate. È un’attività organizzativa che rende più efficaci anche le protezioni tecniche.

Automazione e servizi criminali riducono il costo dei tentativi

L’IOCTA 2026 di Europol descrive l’evoluzione dell’ecosistema cybercriminale. La relazione ENISA documenta inoltre l’offerta di strumenti e capacità come servizi: non tutti i soggetti coinvolti devono sviluppare autonomamente ogni componente di una campagna.

L’automazione rende possibile ripetere tentativi contro molti bersagli. Questo spiega perché anche un sito piccolo possa ricevere richieste ostili senza essere stato scelto personalmente da qualcuno. Le campagne opportunistiche cercano una condizione sfruttabile; il valore del bersaglio può essere valutato soltanto dopo il primo contatto.

Perciò il fatto di non essere famosi non è una difesa. Allo stesso tempo, vedere tentativi nei registri non dimostra una persecuzione individuale o un’intrusione riuscita. Il dato utile è se le difese hanno respinto l’attività, se esistono accessi anomali e se i sistemi mostrano cambiamenti non autorizzati.

Software non aggiornati e vulnerabilità: perché il tempo conta

Il DBIR 2026 segnala lo sfruttamento delle vulnerabilità come primo punto di ingresso nel proprio campione, con una quota del 31%. La conseguenza pratica è che la sicurezza non dipende soltanto da password difficili o dalla capacità delle persone di riconoscere un messaggio sospetto.

Una vulnerabilità è una debolezza che può essere sfruttata; una patch è una correzione. Quando un produttore risolve un problema, lasciare il software esposto senza intervenire può prolungare il rischio. Un dispositivo che funziona ancora può tuttavia aver terminato il supporto e non ricevere più correzioni.

Il NCSC raccomanda di mantenere aggiornati dispositivi, applicazioni e browser. Per un’organizzazione gli aggiornamenti vanno gestiti con priorità, verifiche e responsabilità definite, soprattutto sui servizi raggiungibili dall’esterno. Per l’utente domestico è utile abilitare gli aggiornamenti automatici e installare software dagli store o dai siti ufficiali, evitando presunti aggiornamenti proposti da finestre casuali.

Password riutilizzate e messaggi credibili moltiplicano gli accessi

La guida CISA sull’identità digitale descrive il credential stuffing: credenziali ottenute da un servizio vengono riutilizzate per tentare l’accesso ad altri. Se la password è sempre la stessa, una violazione lontana dal proprio dispositivo può avere conseguenze anche sugli account personali.

Il phishing, spiegato dalla FTC, sfrutta invece fiducia e urgenza: un messaggio parla di fatture, spedizioni o problemi da risolvere e chiede informazioni o azioni. Se la richiesta sembra plausibile, verifica con l’organizzazione tramite un contatto noto o aprendo direttamente il sito ufficiale, senza usare il collegamento ricevuto.

Non affidarti soltanto agli errori grammaticali: un messaggio scritto bene può essere fraudolento, e un account realmente appartenente a un conoscente può essere stato compromesso. Per esempi e segnali da controllare trovi la scheda su che cos’è il phishing. Le protezioni devono rendere meno dannoso anche un errore umano, non limitarsi a chiedere attenzione.

Fornitori e cloud: un incidente può propagarsi lungo le dipendenze

Nel DBIR 2026 il coinvolgimento di terze parti riguarda il 48% delle violazioni analizzate. È un dato del campione, non la probabilità che un singolo fornitore venga attaccato. Evidenzia però perché la sicurezza non possa fermarsi al perimetro dei dispositivi posseduti direttamente.

Un’organizzazione può dipendere da assistenza remota, posta, gestione documentale, software contabile e piattaforme web. Se un accesso esterno è troppo ampio o rimane attivo oltre il necessario, gli effetti di una compromissione possono estendersi. Usare il cloud non trasferisce automaticamente al fornitore ogni responsabilità sugli account e sui permessi.

Chiarisci chi protegge le credenziali, conserva i registri, gestisce i backup e avvisa in caso di incidente. Per i file condivisi è utile rivedere destinatari e autorizzazioni, come nella guida a condividere un file con Google Drive. Un collegamento pubblico involontario è un rischio, ma non dimostra da solo l’esistenza di un attacco.

Che ruolo ha l’intelligenza artificiale

La valutazione NCSC del 2025 sull’evoluzione fino al 2027 prevede un aumento dell’efficienza di alcune attività ostili grazie all’IA. Fra le aree considerate ci sono ricerca di vulnerabilità, ingegneria sociale e trattamento dei dati sottratti. Si tratta di una valutazione prospettica, non della prova che ogni incidente recente sia stato generato dall’IA.

Gli strumenti possono facilitare traduzioni, adattamento dei messaggi e ripetizione di operazioni. Il punto non è immaginare un sistema onnipotente che supera qualsiasi difesa: anche chi attacca deve trovare accessi, condizioni favorevoli e occasioni. L’IA può aiutare inoltre chi sviluppa e difende i sistemi.

La FTC ha segnalato nel giugno 2026 false verifiche CAPTCHA che inducono a eseguire comandi sul computer. Una richiesta del genere non va seguita per dimostrare di essere umani. Se una pagina chiede di incollare istruzioni in strumenti di sistema, fermati e verifica tramite canali affidabili, anche quando la grafica sembra professionale.

Geopolitica, visibilità e limiti delle classifiche

Il comunicato ENISA sul rapporto 2026 collega parte delle campagne DDoS a sviluppi geopolitici e attività ideologiche. Un picco di attacchi a servizi pubblici può riflettere questo contesto, anziché una crescita uniforme di tutti i tipi di criminalità informatica.

Inoltre le raccolte non vedono tutto: alcuni casi non vengono scoperti, altri non diventano pubblici, altri ancora compaiono in più fonti. Una statistica sulle rivendicazioni può includere episodi il cui impatto non è stato verificato. È quindi scorretto trasformare automaticamente una classifica di casi osservati in una graduatoria della sicurezza dei Paesi.

La lettura più utile distingue volume, gravità e capacità di recupero. Molti tentativi bloccati e un singolo incidente che ferma un servizio essenziale non sono equivalenti. Quando un titolo annuncia un aumento record, cerca quale di queste dimensioni sia stata misurata e con quali limiti.

Come accorgersi di un possibile attacco senza fare diagnosi affrettate

La guida NCSC per riconoscere gli attacchi richiama accessi sconosciuti, messaggi mai inviati, pagamenti non autorizzati e comportamenti insoliti dei dispositivi. Sono indizi da verificare, non test infallibili. Un computer lento può avere cause comuni, mentre alcuni accessi illeciti non producono sintomi visibili.

Controlla gli avvisi entrando direttamente nell’app o nel sito ufficiale: il messaggio che annuncia un accesso sospetto potrebbe essere esso stesso una truffa. Una località insolita nell’elenco accessi richiede verifica, ma può dipendere anche dalla rete utilizzata. Non attribuire identità e intenzioni a partire da una sola indicazione geografica.

Annota che cosa è successo, data, orario e servizio coinvolto. Conserva avvisi e schermate senza diffondere pubblicamente dati personali o documenti riservati. Se il problema riguarda un dispositivo aziendale, avvisa subito il referente informatico: tentativi autonomi di ripristino possono cancellare informazioni utili o estendere il danno.

Come proteggere gli account: email, passkey e verifiche aggiuntive

Il NCSC consiglia di proteggere gli account importanti con passkey, quando disponibili, oppure con password robuste, diverse per ogni servizio e verifica in due passaggi. Un gestore di password può aiutare a evitare il riuso. Le credenziali della casella email meritano particolare attenzione perché spesso permettono il recupero di altri account.

Le passkey progettate secondo gli standard appropriati resistono al phishing meglio di una password o di un codice da ricopiare. La verifica aggiuntiva resta utile anche dove non sono disponibili. Non approvare notifiche di accesso che non hai richiesto e non consegnare codici a chi ti contatta fingendosi assistenza.

Prepara anche il recupero: controlla email e numeri associati, conserva in luogo sicuro gli eventuali codici di emergenza e valuta come rientrare se perdi il dispositivo. Per un problema con la posta Google puoi seguire la guida a recuperare l’accesso a Gmail, usando sempre le procedure ufficiali.

Backup e protezioni a più livelli: perché l’antivirus non basta

Il NCSC raccomanda copie dei dati e prove di ripristino. Avere una copia non basta se non sai recuperarla o se l’attaccante può modificarla insieme agli originali. Per i supporti esterni è importante conservarli al sicuro e non lasciarli sempre collegati al dispositivo.

La sincronizzazione cloud è comoda, ma può propagare cancellazioni o modifiche indesiderate. Verifica versioni precedenti, conservazione e possibilità di ripristino del servizio utilizzato. Proteggi anche l’account che controlla le copie: un archivio recuperabile soltanto con un’identità compromessa può diventare inutilizzabile proprio quando serve.

La guida NCSC su malware e ransomware propone più livelli di difesa. Aggiornamenti, protezione degli accessi, filtri, privilegi limitati e backup rispondono a problemi differenti. Un antivirus non rende innocua una password consegnata a un sito falso; una password forte non risolve una vulnerabilità del server. L’obiettivo è ridurre sia la possibilità di ingresso sia le conseguenze.

Che cosa fare subito se pensi di essere stato colpito

La risposta dipende da ciò che è accaduto. Se hai soltanto ricevuto un messaggio sospetto, non occorre presumere che tutti gli account siano compromessi. Se hai fornito credenziali, autorizzato un pagamento o eseguito un programma, servono invece azioni coerenti con quell’esposizione.

Possibile incidente: prime azioni in base a ciò che è stato espostoFonte: Sintesi da FTC: malware, FTC: recupero account, FTC: dopo una truffa e CISA: risposta al ransomware.
Situazione	Primo passo utile	Da evitare
Hai inserito una password in un sito sospetto	Da un dispositivo affidabile, proteggere l’account e gli altri con la stessa password	Cambiare soltanto il sito meno importante lasciando esposta l’email
Un dispositivo potrebbe avere malware	Sospendere gli accessi sensibili e chiedere assistenza affidabile; in azienda avvisare l’IT	Scaricare programmi di riparazione da pop-up
File cifrati o richiesta di riscatto	Avvisare i responsabili; contenere il collegamento alla rete e preservare le evidenze	Collegare backup o formattare prima della valutazione tecnica
Pagamento non autorizzato o dati bancari consegnati	Contattare subito la banca tramite i canali ufficiali	Chiamare il numero indicato dal messaggio sospetto

Indicazioni generali. Sui dispositivi aziendali segui il piano di risposta e il referente IT. Contenimento, raccolta delle evidenze e recupero devono essere coordinati.

La FTC suggerisce per un account compromesso il recupero tramite il fornitore, la modifica della password, la chiusura delle sessioni e la verifica delle informazioni di recupero. Usa un dispositivo affidabile: se quello abituale è sospetto, non inserirvi altre credenziali sensibili mentre chiedi assistenza.

Per denaro o dati di pagamento coinvolti, contatta tempestivamente la banca attraverso un recapito ufficiale. Per un’organizzazione attiva subito chi gestisce la sicurezza, senza aspettare di avere una diagnosi completa. La tabella aiuta a scegliere il primo interlocutore e a evitare operazioni impulsive.

Ransomware e falsa assistenza: due errori da evitare durante l’emergenza

La guida CISA alla risposta al ransomware dà priorità all’isolamento dei sistemi coinvolti. Scollegare dalla rete è diverso dallo spegnere: l’arresto può far perdere informazioni presenti in memoria. In azienda coordina le azioni con i tecnici; non improvvisare formattazioni, riavvii ripetuti o collegamenti di dischi di backup al sistema sospetto.

Pagare non garantisce che i file tornino accessibili o che i dati sottratti vengano eliminati. Una trattativa non sostituisce contenimento e analisi. Per i sistemi essenziali servono inoltre valutazioni sulla continuità operativa e sulle persone coinvolte: ripartire velocemente con una copia ancora compromessa può riaprire l’incidente.

La FTC mette in guardia dalla falsa assistenza tecnica: un pop-up che dichiara il computer infetto e propone un numero da chiamare può essere la truffa stessa. Non concedere controllo remoto né trasferire denaro a contatti non verificati. Cerca l’assistenza del produttore o un professionista conosciuto attraverso un canale indipendente.

Per imprese e professionisti serve un piano, non soltanto un programma

Prepara in anticipo un elenco dei contatti necessari: informatico, fornitore del sito e della posta, responsabili interni e banca. Conservalo anche fuori dai servizi che potrebbero non funzionare. Stabilisci chi può decidere un’interruzione, chi comunica con i clienti e chi autorizza il ripristino.

Se sono coinvolti dati personali, il Garante descrive gli adempimenti in caso di data breach. Chi gestisce l’incidente deve valutare tempestivamente gli obblighi applicabili con i referenti competenti: una denuncia, una segnalazione tecnica e una notifica privacy hanno funzioni diverse. Non ogni allarme comporta lo stesso adempimento.

Per informazioni e contatti delle autorità italiane consulta il portale della Polizia Postale. Conserva documenti e riferimenti utili e non tentare ritorsioni informatiche. Verifiche di sicurezza su sistemi altrui devono essere autorizzate: cercare di inseguire il responsabile può aggiungere danni senza chiarire che cosa sia successo.

Le domande più comuni sugli attacchi hacker

Si può essere attaccati senza aprire un allegato? Sì: credenziali già rubate, difetti software e accessi di terze parti sono percorsi differenti dall’allegato infetto. Per questo non esiste un solo comportamento che elimini tutto il rischio. Anche la manutenzione dei sistemi e il controllo dei permessi contano.

Un DDoS significa che hanno rubato i dati? No. Dimostra, quando confermato, un tentativo di rendere indisponibile un servizio, non automaticamente un accesso alle informazioni. Per stabilire un furto servono verifiche specifiche. Allo stesso modo, un sito che non risponde può avere cause diverse da un attacco.

Gli attacchi sono inevitabili? Il rischio zero non esiste, ma la gravità delle conseguenze non è predeterminata. Account protetti, software aggiornato, copie recuperabili e una risposta organizzata possono fare una grande differenza. L’aumento dei tentativi non è un motivo per rinunciare ai servizi digitali: è un motivo per gestirli con responsabilità chiare e controlli regolari.

Verifica le informazioni