PA locali nel mirino degli hacker: migliaia di CMS compromessi di recente

31 Agosto 2026 - 12:35

lentepubblica.it

Cybersecurity, il bilancio delle ultime settimane: meno eventi complessivi registrati, ma sono comunque arrivati quasi 9mila alert a imprese e PA.

Nonostante il panorama della sicurezza digitale italiana ha mostrato un andamento apparentemente meno allarmante rispetto alle settimane precedenti, i numeri invitano a non abbassare l’attenzione. Il nuovo Operational summary pubblicato dall’Agenzia per la cybersicurezza nazionale fotografa infatti una riduzione degli eventi rilevati dal CSIRT Italia, accompagnata però da un aumento rilevante delle comunicazioni inviate a amministrazioni e aziende per segnalare vulnerabilità, possibili compromissioni e fattori di rischio.

La chiave di lettura non è quindi quella di una minaccia scomparsa. Piuttosto, emerge il peso crescente della prevenzione: individuare un problema prima che diventi un blocco dei servizi, una fuga di dati o un danno economico è oggi una delle leve più concrete per proteggere il funzionamento di enti pubblici e attività private.

I numeri di CSIRT Italia: 188 incidenti e 305 eventi

Secondo il riepilogo mensile diffuso il 20 agosto, nel corso di luglio sono stati registrati 188 incidenti cyber. Il dato risulta quasi sovrapponibile a quello di giugno, segnale che la pressione sulle organizzazioni italiane continua a mantenersi significativa.

È invece diminuito il numero complessivo degli eventi, attestatosi a 305: il calo è pari al 28% rispetto al mese precedente. Una flessione attribuibile soprattutto a due elementi. Da un lato, nel periodo considerato non sono emerse campagne DDoS riconducibili ad ambienti hacktivisti; dall’altro, sono stati rilevati meno casi che hanno coinvolto fornitori di servizi informatici.

Gli attacchi DDoS, cioè quelli che mirano a rendere irraggiungibile un sito o una piattaforma sovraccaricandola di richieste, possono avere effetti immediati sulla fruizione dei servizi online. La loro assenza nel mese analizzato ha dunque inciso sulle statistiche generali. Tuttavia, il dato non equivale a una riduzione uniforme di tutti i rischi digitali: le modalità di aggressione restano numerose e si concentrano spesso sugli anelli meno protetti delle infrastrutture.

Siti alterati, e-mail violate e dati esposti: le minacce più frequenti

Tra le principali criticità individuate dal CSIRT Italia figurano il defacement, la compromissione delle caselle di posta elettronica e l’esposizione di dati. Il defacement consiste nell’alterazione non autorizzata di una pagina web, spesso con la pubblicazione di messaggi, immagini o rivendicazioni estranee al soggetto titolare del sito. Anche quando non interrompe l’attività interna di un ente, può provocare un danno reputazionale e generare sfiducia negli utenti.

Le caselle e-mail violate rappresentano un ulteriore fronte delicato. Un accesso abusivo alla posta può permettere ai criminali di intercettare comunicazioni, inviare messaggi fraudolenti ai contatti della vittima oppure tentare di entrare in altri servizi collegati. Per una pubblica amministrazione, una società o un’università, la posta elettronica è spesso una porta d’ingresso verso informazioni operative, dati personali e procedure amministrative.

Nel mese di luglio si è inoltre verificata una campagna che ha coinvolto circa 60 siti web costruiti sullo stesso CMS vulnerabile. Il Centro di risposta italiano aveva già pubblicato un avviso specifico nel mese di giugno. Gli effetti sono risultati circoscritti e, secondo quanto comunicato, non hanno compromesso l’operatività dei soggetti interessati né la continuità dei servizi erogati. Il caso, però, evidenzia quanto sia importante aggiornare con regolarità software, componenti aggiuntivi e strumenti di gestione dei contenuti.

CMS open source, oltre mille installazioni compromesse

Una parte rilevante del monitoraggio ha riguardato proprio i CMS open source esposti online. L’analisi condotta ha consentito di individuare 1.074 istanze compromesse. Le segnalazioni sono state inoltrate ai titolari dei sistemi oppure, quando necessario, ai provider chiamati a intervenire per le attività di bonifica.

I CMS sono piattaforme utilizzate per creare e gestire siti internet; proprio perché molto diffusi, diventano un bersaglio privilegiato se non vengono aggiornati o se utilizzano estensioni obsolete. Un portale istituzionale, un sito universitario o una piattaforma di impresa possono trasformarsi in un punto debole dell’intera organizzazione, anche senza che chi lo amministra se ne accorga immediatamente.

Le evidenze raccolte si sono concentrate soprattutto nei comparti della vendita al dettaglio, del manifatturiero, dell’università e ricerca e della pubblica amministrazione locale. Proprio gli enti territoriali, spesso chiamati a garantire servizi digitali quotidiani ai cittadini, restano tra i soggetti più esposti e devono conciliare la necessità di innovare con quella di rendere più solide le difese.

Meno sistemi a rischio, ma resta alta la vigilanza

L’attività di osservazione del CSIRT Italia ha individuato 3.210 sistemi e servizi a rischio, un numero in diminuzione di 1.026 unità rispetto a giugno. Si tratta di un segnale favorevole, che può dipendere sia dalle azioni correttive adottate dai destinatari degli alert sia dalla riduzione di alcune campagne malevole nel periodo preso in esame.

Il miglioramento non deve però far pensare a una situazione definitivamente stabilizzata. La sicurezza informatica non è un adempimento da svolgere una sola volta, ma un processo continuo: servono aggiornamenti, copie di sicurezza verificate, gestione rigorosa degli accessi, formazione del personale e procedure capaci di reagire rapidamente a un’anomalia.

Gli attacchi ransomware rilevati a luglio hanno interessato in particolare commercio al dettaglio, industria manifatturiera e comparto tecnologico. In questi casi gli aggressori possono cifrare i dati o minacciare di diffonderli, chiedendo un riscatto per il ripristino o per evitare la pubblicazione delle informazioni sottratte. I danni, dunque, non riguardano soltanto i sistemi informatici: possono rallentare produzione, vendite, assistenza agli utenti e rapporti con fornitori e clienti.

Quasi 9mila comunicazioni: la prevenzione passa dagli alert

L’elemento più significativo del report riguarda forse l’incremento delle comunicazioni inviate dal CSIRT Italia. Nel mese di luglio sono state 8.952, in aumento rispetto a giugno. Si tratta di avvisi indirizzati a imprese e amministrazioni italiane per segnalare potenziali compromissioni oppure condizioni che potrebbero favorire un attacco.

Questa attività si inserisce anche nel quadro previsto dall’articolo 2, comma 1, della Legge n. 90/2024. L’obiettivo è mettere i soggetti interessati nelle condizioni di intervenire tempestivamente, riducendo il tempo in cui una vulnerabilità resta aperta e sfruttabile.

I settori maggiormente toccati dagli eventi di luglio sono stati la pubblica amministrazione locale, il manifatturiero, il tecnologico e le telecomunicazioni. Sono ambiti diversi, ma accomunati dalla centralità dei sistemi digitali. Un’interruzione in una rete comunale può ostacolare servizi al cittadino; un problema in fabbrica può incidere sui processi produttivi; una violazione nelle telecomunicazioni può avere conseguenze molto più ampie.

Il quadro delineato da ACN restituisce quindi una fotografia doppia: da una parte alcuni indicatori scendono, dall’altra cresce il lavoro di individuazione e notifica dei rischi. Per enti e aziende il messaggio è chiaro: la protezione digitale richiede attenzione costante, perché anche un sito apparentemente secondario, una password compromessa o un aggiornamento rimandato possono diventare il punto da cui parte un incidente ben più serio.