Cosa ha dimostrato l'attacco hacker alla pubblica amministrazione e i rischi concreti per cittadini, aziende e lo Stato italiano

Negli ultimi anni, la Pubblica Amministrazione italiana è entrata sempre più spesso nel mirino di organizzazioni cybercriminali evolute, rendendo evidente quanto la digitalizzazione diffusa stia ampliando il perimetro delle minacce. Italian Tech, attraverso un'indagine approfondita, ha reso pubblica l'incursione informatica subita da Sistemi Informativi, società del gruppo Ibm che offre servizi essenziali a ministeri, enti previdenziali ed eccellenze industriali del Paese. Questo episodio non rappresenta un caso isolato, ma si inserisce in un panorama dove l'Italia si conferma tra i bersagli preferiti nel contesto europeo per volume e sofisticazione degli attacchi digitali.

La situazione odierna è conseguenza diretta di un mix di fattori: velocità nella digitalizzazione disallineata rispetto agli investimenti in difesa, carenza strutturale di personale specializzato, e frammentazione delle responsabilità tra enti pubblici e fornitori esterni. Secondo i dati Clusit 2025, il comparto pubblico ha subito una vera e propria impennata di incidenti cyber negli ultimi dodici mesi, confermando la fragilità del sistema nazionale nei confronti di campagne di spionaggio digitale, estorsione e sabotaggio.

L'attacco a Sistemi Informativi costituisce un segnale d'allarme persino per la sicurezza nazionale: la gestione di dati cittadini, processi sanitari, pratiche amministrative e infrastrutture critiche passa per canali sempre più esposti, spesso affidati ad aziende esterne globali. In questo scenario, la continuità dei servizi pubblici, la privacy e l'integrità delle informazioni risultano esposte a rischi sempre più concreti e su larga scala.

Come si è svolto l'attacco: dinamiche, modalità e responsabili

L'episodio che ha visto coinvolta Sistemi Informativi presenta le caratteristiche tipiche di un attacco definito Advanced Persistent Threat (APT): una permanenza silenziosa e prolungata all'interno dei sistemi, senza lasciare tracce evidenti nelle prime fasi. Gli attaccanti, dopo aver penetrato l'ambiente digitale della società, hanno operato per circa due-tre settimane indisturbati, presumibilmente muovendosi tra dati e infrastrutture con l'obiettivo di ricognizione approfondita e raccolta di informazioni sensibili.

Nessun segnale di ransomware o attività estorsive è stato osservato; al contrario, le modalità suggeriscono spionaggio informatico e raccolta selettiva di dati. L'intrusione è stata individuata e contenuta solo dopo un lungo periodo di persistenza, durante il quale è rimasto incerto sia il volume che la qualità delle informazioni effettivamente esfiltrate. Alcune fonti attribuiscono l'attacco a Salt Typhoon, una cybergang associata a interessi esteri che aveva già colpito organizzazioni strategiche a livello internazionale; tuttavia, IBM ha precisato di non avere elementi per attribuire formalmente la responsabilità a specifici gruppi, evidenziando la difficoltà tipica dell'attribuzione digitale, che richiede prove forensi e fonti di intelligence spesso non disponibili.

L'operazione ha puntato su una vulnerabilità della supply chain: invece di aggredire le singole strutture della Pubblica Amministrazione, è stata scelta la strada di colpire un fornitore centrale, in grado di garantire accesso a una moltitudine di enti pubblici e infrastrutture critiche contemporaneamente. Questa modalità non solo amplifica il danno potenziale, ma rende anche molto più difficile prevenire e circoscrivere l'effetto di attacchi futuri.

L'indagine tuttora in corso, coordinata dall'Agenzia per la Cybersicurezza Nazionale, mira a comprendere l'estensione reale dell'incursione, a identificare eventuali esfiltrazioni e a rafforzare le contromisure difensive per impedire che attacchi analoghi possano verificarsi nuovamente su una scala così ampia.

Impatto dell'attacco su cittadini, aziende e istituzioni

L'incursione nei sistemi di Sistemi Informativi comporta rischi tangibili per le diverse componenti del tessuto nazionale. Pur non essendo state accertate esfiltrazioni, rimangono significativi i rischi potenziali:

• Danni ai cittadini: dati anagrafici, sanitari e previdenziali sono tra i più ambiti dai gruppi di spionaggio digitale. Un'eventuale sottrazione di queste informazioni può dar luogo a furti di identità, frodi assicurative e ricatti.
• Impatto sulle aziende: la dipendenza da un unico fornitore informatico espone le imprese a rischi sistemici. In caso di estensione dell'incidente, processi produttivi, servizi essenziali e comunicazioni interne potrebbero essere compromessi, generando fermi operativi ed esponendo dati strategici di business.
• Effetti sulle istituzioni: la capacità di garantire servizi pubblici continui e affidabili viene messa alla prova. Un cyberattacco di successo alla PA centrale potrebbe compromettere la fiducia dei cittadini nello Stato e nelle sue infrastrutture digitali.

La gestione trasparente delle crisi e il rispetto delle normative (come GDPR e NIS2) risultano essenziali: notificare tempestivamente incidenti e potenziali compromissioni consente di limitare le conseguenze e di mantenere intatto il rapporto fiduciario tra Stato, aziende e cittadini:

Perché la supply chain è diventata il nuovo bersaglio

L'infrastruttura digitale della PA italiana poggia sempre di più su fornitori terzi e filiere di outsourcing. Questo modello, pur garantendo efficienza e innovazione, introduce nuovi punti di vulnerabilità:

• Elevata interconnessione: un singolo ente gestore può costituire il punto di accesso per decine di enti pubblici diversi.
• Lock-in tecnologico: la dipendenza da grandi fornitori limita la capacità di sostituire rapidamente gli operatori in caso di compromissione.
• Mancanza di segregazione adeguata: spesso i dati di clienti diversi condividono porzioni di infrastruttura, facilitando l'espansione di eventuali compromissioni.

Gli attacchi supply chain sono apprezzati dagli attori malevoli perché massimizzano il rapporto rischio/rendimento: colpire un solo fornitore può consentire, in una sola operazione, accesso a un volume ingente di informazioni o a varchi strategici in vari segmenti dello Stato e dell'industria. Come dimostrato dal caso esaminato, la gestione della sicurezza nella filiera digitale deve essere valutata almeno quanto le misure dirette all'interno della PA o delle imprese stesse.

Nel dibattito attuale emerge l'urgenza di rivedere i protocolli di audit e i contratti con i fornitori, rafforzando le clausole di notifica immediata e prevedendo l'obbligo di segregazione e disaster recovery. Sono tematiche che gli standard europei introdotti da normative come NIS2 stanno già mettendo al centro della discussione operativa e politica.

Le risposte delle autorità italiane e dei fornitori di servizi

L'incidente informatico avvenuto a cavallo tra aprile e maggio ha generato una risposta coordinata da parte delle istituzioni e delle società coinvolte. Immediatamente dopo la prima individuazione dell'anomalia, Sistemi Informativi ha attivato i propri protocolli di risposta, provvedendo all'isolamento delle parti compromesse e avviando indagini congiunte con IBM, esperti interni ed esterni.

L'Agenzia per la Cybersicurezza Nazionale si è inserita rapidamente nel circuito di emergenza, implementando le necessarie verifiche e mettendo a disposizione del sistema pubblico strumenti di monitoraggio e supporto tecnico. Gli enti potenzialmente impattati sono stati informati e rassicurati circa la situazione di stabilità raggiunta dopo le prime misure di contenimento.

“Continuiamo a monitorare il nostro ambiente mentre approfondiamo l'indagine, rafforziamo ulteriormente le misure di protezione e supportiamo i clienti interessati”, ha dichiarato IBM, sottolineando l'avvenuta comunicazione tempestiva con le autorità preposte.

Questa prontezza operativa conferma sia la validità degli asset normativi in vigore (GDPR, NIS2) per quanto riguarda la notifica e la cooperazione tra pubblico e privato, sia la maturità tecnica raggiunta da operatori di primaria importanza. Restano tuttavia ampi margini di miglioramento nella prevenzione e nell'intercettazione di minacce così sofisticate, come raccomandato dagli stessi report di settore.

La posizione dell'Italia nella cyber-sicurezza europea e i settori

I dati provenienti dal Clusit e dall'Agenzia per la Cybersicurezza Nazionale dipingono un quadro chiaro: l'Italia risulta stabilmente tra i Paesi europei maggiormente bersagliati da attacchi informatici, collocandosi accanto a Germania e Francia per volume di incidenti. Nel solo 2024, oltre il 10% degli attacchi mondiali gravi ha avuto come bersaglio diretto aziende, amministrazioni, ospedali e infrastrutture nostrane. Tra i settori più vulnerabili emergono:

• Pubblica amministrazione centrale e locale: il 38% degli attacchi (dato Clusit) ha colpito enti pubblici o loro fornitori, con una crescita record rispetto all'anno precedente (+279%).
• Sanità digitale: settore particolarmente esposto per la presenza di dati sensibili e la centralità delle piattaforme elettroniche, con incidenti in forte aumento.
• Manifatturiero: l'integrazione tra IT e OT ha ampliato la superficie di attacco, esponendo grandi gruppi e PMI a disservizi operativi e furto di segreti industriali.