I Dati del Mese: Meno Incidenti, Più Eventi
Nell’ultimo Operational Summary di ACN di maggio 2026 , i dati registrano 158 incidenti, in diminuzione del 10% rispetto ai 175 di aprile, mentre il numero di eventi (390) è in aumento del 47% rispetto al mese precedente, principalmente a causa di tentativi di DDoS correttamente mitigati e quindi senza impatti misurabili.
Con riferimento alle attività di monitoraggio il CSIRT Italia ha inviato 11.917 comunicazioni di allertamento a pubbliche amministrazioni e imprese, relative all’esposizione su Internet di dispositivi e servizi a rischio o compromessi, in sensibile aumento (+4.688) rispetto ad aprile.
Particolare attenzione è stata rivolta ad alcune vulnerabilità di rilievo che hanno interessato prodotti e soluzioni ampiamente utilizzati in ambienti enterprise e infrastrutturali.
Nel mese di maggio aumentano gli attacchi informativi DDoS di natura hacktivista con impatti generalmente circoscritti e la presenza di eventi per lo più riconducibili a compromissioni di credenziali, spesso acquisite tramite phishing o ingegneria sociale.
L’esposizione o l’esfiltrazione di dati resta uno dei principali fattori di rischio, con possibili impatti reputazionali e operativi. Assumono particolare rilievo gli incidenti che hanno coinvolto fornitori tecnologici, nei quali la compromissione ha prodotto effetti lungo la filiera tecnologica e ha interessato più organizzazioni.
I Settori Più Colpiti a Maggio 2026
I settori con il maggior numero di vittime di eventi cyber sono stati quelli: tecnologico, prevalentemente per l’esposizione di dati, Pubblica amministrazione locale, per attacchi DDoS e manifatturiero per compromissioni di e-mail presumibilmente a seguito di phishing.
L’analisi degli eventi rilevati evidenzia come i principali vettori di compromissione siano riconducibili all’utilizzo di credenziali valide, precedentemente compromesse, e allo sfruttamento di servizi di accesso remoto non adeguatamente configurati.
Nel mese di maggio 2026 la posta elettronica si conferma il principale vettore di accesso iniziale. In stretta connessione, emerge lo sfruttamento di credenziali valide già compromesse, a conferma della centralità dell’abuso dell’identità digitale nelle dinamiche di attacco osservate.
Permangono, seppure con minore incidenza, lo sfruttamento di vulnerabilità e l’abuso di servizi remoti esposti.
