Un sito pubblico che smette di somigliare a se stesso, sostituito da una schermata di rivendicazione, racconta più di una statistica isolata. Racconta un metodo, una superficie d’attacco lasciata scoperta per mesi e una catena di responsabilità che spesso si interrompe proprio dove servirebbe più continuità. L’Operational Summary di luglio 2026, pubblicato dall’Agenzia per la Cybersicurezza Nazionale, mette in fila i numeri di un mese in cui la pubblica amministrazione locale è tornata al centro dell’attenzione: 188 incidenti informatici con impatto confermato, il 3% in più rispetto ai 182 di giugno, a fronte di 305 eventi complessivamente rilevati, in calo del 28% grazie soprattutto all’assenza di grandi campagne DDoS di matrice hacktivista.
Il dato più significativo riguarda però la pubblica amministrazione locale. Oltre sessanta siti basati sul sistema di gestione dei contenuti Joomla sono stati interessati da una campagna di “defacement”, cioè dalla modifica abusiva delle pagine visibili agli utenti.
Il tipo di violazione
Il defacement consiste nell’alterazione non autorizzata dell’aspetto o dei contenuti di un sito. Gli aggressori possono sostituire la pagina iniziale, pubblicare messaggi, immagini o rivendicazioni e dimostrare così di avere superato almeno una parte delle difese del portale. Secondo l’ACN, la campagna di luglio ha interessato più di sessanta siti riconducibili a organizzazioni attive in settori differenti, ma soprattutto ad amministrazioni locali. Lo sfruttamento delle vulnerabilità è stato il principale vettore di accesso iniziale rilevato nel mese.
Questo non significa necessariamente che siano stati sottratti dati personali o compromessi i sistemi interni degli enti. L’alterazione di una pagina web non equivale automaticamente a un data breach. Dimostra tuttavia che l’aggressore è riuscito a modificare una risorsa informatica e rende indispensabile verificare fino a dove si sia esteso l’accesso.
La distinzione è importante: il rapporto documenta il danneggiamento dei siti, ma non attribuisce automaticamente alla campagna anche il furto di informazioni. Ogni amministrazione coinvolta dovrà quindi controllare registri di sistema, account, database e collegamenti con gli altri servizi per stabilire l’effettiva portata dell’incidente.
PA locale e imprese tra i bersagli principali
I settori maggiormente interessati dagli eventi cyber di luglio sono stati pubblica amministrazione locale, manifatturiero, tecnologia e telecomunicazioni. Le modalità di attacco cambiano a seconda del bersaglio. Negli enti locali è prevalso il defacement. Nel manifatturiero sono stati rilevati soprattutto phishing e compromissioni delle caselle di posta elettronica. Per il settore tecnologico il fenomeno principale è stato invece l’esposizione di dati, mentre nelle telecomunicazioni sono emerse ancora compromissioni degli account e-mail.
Il quadro conferma che la vulnerabilità non dipende soltanto dalla dimensione dell’organizzazione. Un piccolo Comune con risorse informatiche limitate può essere colpito attraverso un portale non aggiornato; un’impresa industriale può invece subire l’accesso iniziale attraverso una mail fraudolenta o una password riutilizzata. Le conseguenze possono andare dall’interruzione temporanea dei servizi alla diffusione di malware, passando per il furto di credenziali, documenti e informazioni riservate.
Oltre tremila sistemi esposti a rischio
L’attività preventiva del CSIRT Italia ha permesso di individuare 3.210 sistemi e servizi potenzialmente a rischio, sebbene il dato sia diminuito rispetto a giugno. L’Agenzia ha inviato 2.095 comunicazioni ai soggetti che esponevano pubblicamente su Internet servizi vulnerabili. L’analisi delle informazioni provenienti dai malware “infostealer”, progettati per sottrarre password, cookie e altri dati conservati sui dispositivi, ha inoltre consentito di identificare 147 profili compromessi appartenenti a soggetti istituzionali. Gli interessati sono stati avvisati affinché potessero modificare le credenziali e verificare eventuali accessi abusivi. Complessivamente, nel corso del mese il CSIRT ha trasmesso 8.952 comunicazioni ad amministrazioni e imprese per segnalare vulnerabilità, possibili compromissioni o altri fattori di rischio.
Numeri che mostrano come gran parte dell’attività di difesa avvenga prima che la vulnerabilità si trasformi in un incidente grave. La segnalazione, però, produce risultati soltanto se il destinatario interviene rapidamente.
Ransomware, diciannove attacchi rivendicati
A luglio sono state individuate attraverso fonti aperte diciannove rivendicazioni di attacchi ransomware contro soggetti italiani, una in meno rispetto a giugno. Il 23% ha interessato organizzazioni classificate come critiche, il 12% soggetti con criticità media e il restante 65% realtà considerate meno sensibili. Tra i comparti coinvolti figurano vendita al dettaglio, manifatturiero e tecnologia.
L’assenza di rivendicazioni DDoS non deve quindi essere interpretata come una tregua generale. Si è semplicemente ridotta una particolare tipologia di attacco, mentre vulnerabilità, phishing, furto delle credenziali e ransomware hanno continuato a produrre incidenti concreti. Per gli enti che utilizzano Joomla o altri CMS, la priorità indicata dal rapporto riguarda la verifica delle versioni installate, la rimozione dei componenti inutilizzati, l’aggiornamento di estensioni e credenziali amministrative e la limitazione degli accessi alle funzioni di gestione, mentre per i soggetti sottoposti alla disciplina NIS2 la gestione dell’incidente comporta anche responsabilità organizzative e idoneità delle misure adottate. Rimane in piedi, dunque, un problema di fragilità dei sistemi pubblici italiani che continua a non essere adeguatamente affrontato dalla politica.
