Cronache del Sottosopra, Marzo 2026
Ogni anno, a marzo, il Clusit pubblica il suo Rapporto sulla Cybersecurity in Italia e nel mondo. Ogni anno, la sala del Security Summit si riempie, le slide scorrono, i numeri fanno il loro effetto. Qualcuno annota, qualcuno scatta foto allo schermo col telefono, qualcuno twitta l’istogramma più impressionante.
Poi tutti tornano in ufficio.
Quest’anno i numeri erano: 5.265 incidenti gravi nel mondo, +49% rispetto al 2024. In Italia, 507, il 9,6% del totale mondiale, in un paese che pesa meno del 3% del PIL globale. Una sproporzione che non si spiega con la sfortuna. Il settore governativo colpito del +290%. Il trasporto e la logistica +134%. Una nuova categoria di severità, “Extreme”, introdotta perché “Critical” non bastava più a descrivere quello che sta succedendo.
Ma i rapporti descrivono il mondo com’era. Noi abbiamo provato a capire com’è adesso, chiedendolo a chi quel mondo lo abita dall’altra parte.
Due voci dal sottosopra. Due punti di vista. Nessuna rassicurazione.
DarkHash: “Hanno dovuto inventare una categoria nuova. Buon segno»
DarkHash non si presenta. Arriva, risponde, sparisce. Ogni parola è calibrata come una patch, il minimo necessario per fare il massimo effetto.
Cronache: Hai letto il Clusit 2026?
DarkHash: Ogni anno. È il nostro benchmark di settore. Se non compare il nostro lavoro, abbiamo lavorato male.
Quest’anno come siete messi?
DarkHash: Bene. Molto bene. Il dato che mi ha colpito di più non è il +49% globale. È la categoria “Extreme”. Il Clusit ha dovuto inventarsi una fascia di severità nuova, sopra Critical, perché gli attacchi più devastanti erano diventati troppo frequenti per essere considerati anomalie statistiche. Quando devi riscrivere la scala di misurazione, significa che la realtà ha superato i tuoi strumenti di lettura. Per noi è un complimento.
Per chi non mastica il gergo: il Clusit classifica gli attacchi per gravità, come un pronto soccorso classifica i pazienti per urgenza. Fino all’anno scorso il codice più grave era “Critical”. Quest’anno hanno dovuto aggiungere un codice sopra, “Extreme”, perché i casi più devastanti erano diventati troppo numerosi per essere considerati eccezioni. È come se un ospedale dovesse inventarsi un codice nero perché i codici rossi sono diventati la normalità.
In Italia la categoria Extreme è sotto l’1%. Sembra una buona notizia.
DarkHash: In Italia la maggior parte degli attacchi produce impatti bassi o medi. Il 52% del campione. Qualcuno potrebbe leggerlo come una buona notizia.
E tu?
DarkHash: Io lo leggo come un problema di visibilità. Il Malware in Italia cala del 14% mentre nel resto del mondo cresce del 17%. Le vulnerabilità sfruttate crollano del 79%. Due tecniche complesse, entrambe in caduta libera, mentre il contesto globale va nella direzione opposta. Esistono due spiegazioni: o le aziende italiane si sono improvvisamente rafforzate su questi vettori, oppure gli attacchi più sofisticati semplicemente non emergono nelle fonti pubbliche da cui Clusit attinge. Quale delle due ti sembra più probabile?
La seconda.
DarkHash: Esatto. Il malware non è scomparso. Si è solo fatto più silenzioso. Quello che non fa rumore non finisce nei report. Quello che non finisce nei report non esiste, per chi legge. È un meccanismo comodo per tutti, tranne per le vittime.
Tradotto: il malware è un software malevolo che si installa nei sistemi a insaputa di chi li usa, può rubare dati, spiare comunicazioni, bloccare interi sistemi e chiedere riscatti. Se in Italia i casi rilevati calano mentre nel resto del mondo crescono, non significa che siamo diventati più bravi a difenderci. Significa, molto più probabilmente, che siamo diventati meno bravi ad accorgerci di essere stati colpiti. Il ladro è entrato. Non ha svegliato nessuno. E noi dormiamo tranquilli.
Cosa fareste in modo diverso, se foste dall’altra parte?
DarkHash: Smetterei di contare gli attacchi che ho già subito e inizierei a cercare quelli che non ho ancora visto. Sono due esercizi completamente diversi. Il primo ti dice com’è andata. Il secondo, forse, ti salva.
DarkHash è raggiungibile, per chi vuole, a DarkHash@protonmail.ch. Non risponde sempre. Quando lo fa, è puntuale.
GhostShine: «La mappa che guardi è esattamente quello che vogliamo che tu veda»
GhostShine è diverso. Dove DarkHash taglia, lui costruisce. Parla come chi ha passato anni a studiare non solo i sistemi da attaccare, ma le persone che li difendono, o credono di farlo.
Cronache: Partiamo dall’Italia. Il Clusit dice che il 64% degli incidenti di hacktivism censiti a livello mondiale riguarda realtà italiane. Come è possibile?
GhostShine: Dovreste leggere quella frase due volte. La prima volta sembra una notizia allarmante. La seconda, se siete tecnici, inizia a sembrare strana. Il 64% dell’hacktivism mondiale concentrato su un paese che vale il 3% del PIL globale? O l’Italia è il bersaglio geopolitico più strategico del pianeta, il che sarebbe notizia, oppure c’è qualcosa che non torna nella misurazione.
Ovvero?
GhostShine: Il Clusit lavora su fonti aperte. Fonti pubbliche, giornali, comunicati, segnalazioni. In Italia, un DDoS su un sito ministeriale diventa una notizia. Titoli, dichiarazioni, indignazione. In altri paesi, lo stesso evento viene registrato silenziosamente e gestito internamente. L’Italia non è necessariamente più attaccata: è più rumorosa quando viene attaccata. E quel rumore distorce la statistica. Ci fa sembrare più vulnerabili di quanto siamo su alcuni fronti, e ci distrae da quelli in cui lo siamo davvero.
Un DDoS, Distributed Denial of Service, è un attacco che sommerge un sito o un servizio con migliaia di richieste false contemporaneamente, fino a farlo collassare. È l’equivalente digitale di intasare deliberatamente i tornelli di una stazione con persone che non devono prendere nessun treno. Rumoroso, visibile, ottimo per i titoli dei giornali. Ma nella maggior parte dei casi non lascia nulla di permanente, e soprattutto distrae dall’attacco vero, quello silenzioso, che sta succedendo altrove mentre tutti guardano il sito del ministero che non risponde.
Quali sono i fronti su cui siamo davvero vulnerabili?
GhostShine: Il settore trasporti è cresciuto del 134% in un anno. 26 incidenti nel 2024, 61 nel 2025. Sistemi ferroviari, logistica, mobilità urbana, infrastrutture fisiche che girano su reti IP progettate vent’anni fa per un mondo in cui non esistevano attaccanti così motivati. Lì non si perdono dati. Si perdono treni. Eppure nei titoli trovate il DDoS sul sito del ministero.
Passiamo alle mappe. Le live cyber threat maps, quelle che mostrano gli attacchi in tempo reale con le frecce che attraversano il planisfero. Molte aziende le espongono nelle proprie security room. Cosa ne pensi?
GhostShine: (una pausa, poi qualcosa che potrebbe essere una risata) Sono la cosa più onesta che il mercato della sicurezza abbia mai prodotto. Nel senso che dicono esattamente quello che sono: uno spettacolo.
Spiegami.
GhostShine: Quelle mappe mostrano traffico di rete anomalo, honeypot hit, scan automatizzati, rumore di fondo. Mostrano che qualcuno, da qualche parte, ha tentato di connettersi a qualcosa. Non mostrano gli attacchi reali. Non mostrano le campagne coordinate. Non mostrano le intrusioni già avvenute, quelle silenziosamente in corso, quelle che non hanno ancora prodotto un evento visibile. Un attacco sofisticato non genera frecce rosse su una mappa. Non genera nulla, per definizione, finché non è troppo tardi. Quelle frecce sono il rumore, non il segnale.
Eppure vengono vendute come strumenti di situational awareness.
GhostShine: Vengono vendute come sensazione di situational awareness. È diverso, ed è peggio. Una mappa che mostra attività generica ti dà la percezione di stare guardando la minaccia. Nel frattempo, la minaccia reale non è su nessuna mappa, è già dentro la tua rete, ferma, paziente, ad aspettare il momento giusto. Il problema non è che quelle mappe mentono. Il problema è che dicono la verità sbagliata, e la dicono in modo abbastanza convincente da farti smettere di cercare quella giusta.
Per chi non lavora nel settore: immaginate una centrale di sicurezza con un grande schermo che mostra, in tempo reale, tutti i tentativi di aprire porte e finestre del condominio. Sembra rassicurante. Il problema è che lo schermo mostra solo i tentativi maldestri, quelli che fanno rumore. Il ladro professionista non forza la serratura: entra dalla porta sul retro che nessuno ha pensato di monitorare, si siede in salotto, e aspetta. Quelle mappe animate che le aziende comprano e appendono nelle loro sale di controllo sono esattamente quello schermo. Costose, scenografiche, e fondamentalmente inutili contro chi sa il fatto suo.
Una domanda diretta: cosa dovrebbe fare chi difende, invece di guardare le mappe?
GhostShine: Smettere di cercare conferme di quello che già pensa di sapere, e iniziare a costruire ipotesi su quello che non riesce a vedere. Le mappe ti mostrano attività nota, classificata, già catalogata. L’attaccante interessante non è mai in quelle categorie. L’attaccante interessante è il processo che gira da tre mesi su un server che nessuno ricordava di avere.
GhostShine risponde, quando vuole, a GhostShine@protonmail.com. Le sue email non hanno firma.
Il problema non è il Clusit. È quello che facciamo dopo
Il Clusit 2026 è un documento serio, costruito con rigore e onestà intellettuale. Descrive ciò che è documentabile, misurabile, pubblico. E proprio per questo, involontariamente, lascia nell’ombra tutto il resto.
DarkHash ci dice che il malware non è calato, si è nascosto meglio. GhostShine ci dice che il 64% dell’hacktivism mondiale in Italia è in parte un’illusione statistica, e che mentre inseguiamo quell’illusione il settore dei trasporti brucia in silenzio. Entrambi ci dicono che le mappe animate sui muri delle security room sono arredamento, non difesa.
Nel frattempo, l’Italia spende lo 0,13% del PIL in cybersecurity. La media G7 è lo 0,3%. Più del doppio. Quel gap non è un problema di budget. È un problema di percezione: finché le mappe sembrano tranquille, finché il bollettino dice che gli impatti sono stati bassi, finché il DDoS sul sito del ministero finisce sui giornali e distrae da tutto il resto, non c’è urgenza. Non c’è urgenza finché non c’è danno visibile. E il danno visibile, spesso, arriva quando è già troppo tardi per limitarlo.
Il vero indicatore di maturità di un sistema di difesa non è la qualità dei report che produce. È la qualità delle domande che si fa guardando quei report.
Per ora, le domande giuste le stanno facendo in pochi.
E dall’altra parte lo sanno.
Le interviste sono frutto di elaborazione narrativa. DarkHash e GhostShine sono personaggi di finzione ? I dati citati sono reali e provengono dal Rapporto Clusit 2026, presentato al Security Summit di Milano il 17 marzo 2026.
DarkHash@protonmail.ch
GhostShine@protonmail.com
