Tale flessione, ha rimarcato l’Agenzia per la cybersicurezza nazionale, si può ricollegare principalmente all’assenza di campagne DDoS di matrice hacktivista e al minor numero di eventi che hanno interessato fornitori di servizi IT.

Nel mese di luglio 2026 l’Operational Summary dell’Agenzia per la Cybersicurezza Nazionale (ACN) ha evidenziato in Italia “188 incidenti cyber, +3% rispetto ai 182 di giugno. Il numero complessivo di eventi (305) è in diminuzione del 28%“.

Tale flessione, sottolinea l’Agenzia, “è riconducibile principalmente all’assenza di campagne DDoS di matrice hacktivista e al minor numero di eventi che hanno interessato fornitori di servizi IT. Ripercussioni ci sono state su più organizzazioni, come evidenziato nei mesi precedenti“.

Nei 31 giorni in esame, la grande novità è stato il rilievo di “una campagna di defacement che ha interessato numerosi siti web
basati sul CMS Joomla“. La campagna ha interessato oltre 60 siti web riconducibili a soggetti operanti in settori diversi ma principalmente nella PA locale.

Principali eventi cyber

Analizzando i singoli settori, il rapporto su luglio ha evidenziato come i più esposti siano stati. Nel dettaglio:

• Pubblica amministrazione locale.
• Manifatturiero.
• Tecnologico.
• Telecomunicazioni. 

Rispetto al mese precedente, conferma per tre settori più l’aggiunta del Manifatturiero. Tecnologico e Manifatturiero erano stati anche i settori più al centro di eventi cyber nel primo semestre del 2026.

Il settore Pubblica amministrazione locale è stato interessato principalmente da defacement, il Manifatturiero da phishing e compromissioni di caselle e-mail. Al contempo, si è rilevato per il Tecnologico soprattutto l’esposizione dati e per le Telecomunicazioni compromissione di caselle e-mail.

Andamento delle minacce e principali vettori d’attacco

In generale, dunque per luglio 2026 c’è stata l’individuazione di 305 eventi cyber, con una diminuzione del 28% rispetto a giugno. Questi ultimi hanno interessato, in diversi casi più volte:

• 256 soggetti nazionali distinti, di cui 208 appartenenti alla constituency.
• I restanti hanno riguardato cittadini e società private operanti in settori non critici.

Dei 305 eventi cyber, 188 hanno ricevuto la classificazione di “incidenti“, evidenziandosi un sostanziale allineamento (+3%) rispetto a giugno.

Lo sfruttamento delle vulnerabilità è risultato “il principale vettore di accesso iniziale“, in relazione alla campagna di defacement che l’ACN ha evidenziato. Sempre per i principali punti di accesso illecito, si segnalano anche:

• la posta elettronica, impiegata come canale per veicolare campagne di phishing e spear phishing.
• Lo sfruttamento di credenziali valide già compromesse.
• Con una minore incidenza, permane l’abuso di servizi remoti esposti.

Le comunicazioni del CSIRT Italia

Al contempo, nei giorni di analisi, il Common Vulnerabilities and Exposures (CVE) Program ha pubblicato 9.919 nuovi record relativi a vulnerabilità di cybersicurezza, in aumento (+1.918) rispetto a giugno. Di questi, 324 presentano almeno un Proof of Concept (PoC), in diminuzione (−304). Per 13 CVE è stato rilevato lo sfruttamento attivo, stabile (−3) rispetto a giugno.

Nell’attività proattiva di monitoraggio della superficie esposta dei soggetti nazionali, il CSIRT Italia a luglio 2026 ha individuato 3.210 sistemi e servizi a rischio, in diminuzione (−1.026) rispetto a giugno. Diramate un totale di 2.095 comunicazioni verso i soggetti della constituency che esponevano pubblicamente su Internet 3.210 servizi a rischio.

L’analisi di dati provenienti da malware di tipo infostealer ha consentito di identificare 147 profili compromessi afferenti a soggetti istituzionali, prontamente allertati. Le comunicazioni che complessivamente ha inviato il CSIRT Italia per segnalare potenziali compromissioni o fattori di rischio ad amministrazioni ed imprese italiane, sono state in totale 8.952, in aumento (+198) rispetto a giugno. Il tutto, anche ai sensi dell’art. 2, comma 1, della Legge n. 90/2024.

Ransomware e DDoS

Sempre nell’ottica dell’analisi delle minacce e degli attacchi cybercriminali, a luglio 2026, il 23% degli attacchi ransomware ha colpito soggetti critici. Il 12% ha colpito soggetti a media criticità, ed il restante 65% ha coinvolto altri soggetti a criticità minore. In particolare, gli attacchi ransomware hanno riguardato vendita al dettaglio, manifatturiero e tecnologico.

Il monitoraggio di fonti aperte nel mese di luglio 2026 ha permesso di individuare 19 rivendicazioni di attacchi ransomware – a giugno erano state 20 – a danno di soggetti italiani.

In termini di rivendicazioni DDoS a luglio 2026 non sono state individuate rivendicazioni di attacchi DDoS in danno di soggetti italiani, come nel mese precedente.

Per approfondire

• Leggi l’Operational Summary di luglio 2026 in PDF.
• Consulta il report del 1° semestre 2026 in PDF.
• Consulta il report del 2° semestre 2025 in PDF.
• Leggi “ACN, adottata la nuova tassonomia per attuare l’obbligo di notifica degli incidenti cyber“.
• Leggi “Direttiva NIS2: messa in sicurezza delle reti e dei sistemi informativi“.

Seguici anche sul nostro canale WhatsApp

Vai al sito di Cybersecurity Italia.

L'articolo Italia, ACN: “A luglio aumentano gli incidenti cyber, +3% ma diminuiscono gli eventi, -28%”. Il rapporto sembra essere il primo su CyberSecurity Italia.