In audizione al Senato il direttore generale dell’ACN Andrea Quacivi separa i dati dei nove mesi 2026 sugli attacchi cyber: nelle assicurazioni 31 eventi e 3 incidenti, su 168 e 47 complessivi. Un profilo lontano da quello delle banche, con la filiera dei fornitori come punto in comune.
Trentuno eventi cyber rilevati e tre incidenti con impatto confermato: è il conto del settore assicurativo nei primi nove mesi del 2026, presentato il 5 novembre da Andrea Quacivi, direttore generale dell’Agenzia per la cybersicurezza nazionale, alla Commissione parlamentare di inchiesta sul sistema bancario, finanziario e assicurativo del Senato. Separato dal bancario, il dato mostra una minaccia di natura diversa. In comune i due comparti hanno la dipendenza dai fornitori tecnologici.
Banche nel mirino della criminalità, compagnie degli hacktivisti
Il perimetro complessivo conta 168 eventi e 47 incidenti, cioè eventi con impatto confermato. Al bancario vanno 137 eventi e 44 incidenti, all’assicurativo 31 eventi e 3 incidenti.
A cambiare è la matrice. Nelle banche il 64% degli eventi è riconducibile alla criminalità informatica, il 32% a gruppi hacktivisti e il 4% a soggetti interni. Nelle assicurazioni il rapporto si rovescia: la matrice hacktivista pesa l’83%, gli eventi sono quasi tutti attacchi DDoS e l’impatto è confermato in meno di un caso su dieci.
Sono attacchi che puntano a rendere irraggiungibili portali e servizi online sovraccaricandoli di traffico, e che raramente vanno oltre. Tre incidenti su trentuno eventi danno la misura.
Quattro eventi ransomware su sette nell’assicurativo
Il dettaglio che impedisce di archiviare il settore sotto la voce DDoS riguarda il ransomware. Dei 7 eventi di questo tipo rilevati sull’intero perimetro, 4 riguardano l’assicurativo e 3 il bancario. Cinque dei sette sono stati individuati dal CSIRT Italia con il monitoraggio proattivo.
Sono numeri piccoli, e vanno letti come tali. Dicono però che nelle compagnie, accanto all’hacktivismo, compare anche il ransomware, la forma più organizzata della criminalità informatica.
Dalla casella di posta ai fornitori, le porte d’ingresso
Sui vettori d’attacco i due settori si somigliano. «La posta elettronica è stato il canale privilegiato degli attacchi cyber a banche e assicurazioni negli ultimi nove mesi», ha detto Quacivi, «seguita dall’utilizzo di credenziali precedentemente sottratte e dallo sfruttamento di vulnerabilità». Le vulnerabilità sfruttate si concentrano soprattutto negli apparati di sicurezza perimetrale.
Circa un accesso su cinque è passato da prodotti o servizi di terze parti. È il dato che lega la sicurezza della singola impresa a quella dei suoi fornitori, e che ritorna, con un altro metro, nei numeri della vigilanza assicurativa.
Per i prossimi 12-24 mesi l’Agenzia ritiene plausibile che gli attacchi restino concentrati sugli stessi punti: compromissione degli account e dei sistemi di accesso remoto, phishing più sofisticato grazie all’intelligenza artificiale generativa, che può renderlo più credibile e mirato, e uso dell’IA per automatizzare le fasi dell’attacco, dalla ricognizione allo sfruttamento delle vulnerabilità. Il caso PHP2Shell di ottobre ne ha dato un esempio: falle trovate anche con l’aiuto di un modello di IA, primi tentativi di sfruttamento prima delle patch e, per il CSIRT Italia, 285.149 servizi potenzialmente vulnerabili nel Paese.
DORA in prima linea, all’ACN le notifiche più gravi
L’audizione ha toccato anche il riparto dei ruoli. Per gli operatori finanziari soggetti a DORA, gli obblighi specifici e i poteri di vigilanza previsti dalla NIS2 sono sostituiti dalla disciplina europea sulla resilienza operativa digitale. All’ACN, attraverso il CSIRT Italia, restano la ricezione delle notifiche degli incidenti più gravi e l’allertamento.
Per compagnie e intermediari l’autorità competente ai fini DORA è l’IVASS. Fra gli intermediari il regolamento non copre tutti: ne sono esclusi quelli che rientrano fra le micro, piccole e medie imprese, cioè con meno di 250 dipendenti e un fatturato fino a 50 milioni di euro o un totale di bilancio fino a 43 milioni. Sui grandi intermediari l’IVASS ha avviato le prime verifiche cartolari.
Il primo anno DORA visto dall’IVASS: l’80% passa dai fornitori
I dati dell’Istituto sul 2025, primo anno di applicazione del regolamento, misurano altro rispetto a quelli dell’ACN: segnalazioni di gravi incidenti informatici, non eventi cyber rilevati. Nella vigilanza prudenziale le segnalazioni sono state 10, di cui 3 relative ad attacchi informatici e 7 a incidenti operativi. L’80% è riferibile a eventi connessi con fornitori terzi di servizi IT.
Sul versante della condotta, l’IVASS ha ricevuto 7 segnalazioni di gravi incidenti informatici da intermediari e 17 dall’EIOPA per incidenti occorsi a imprese estere operative in Italia, anche queste per lo più riconducibili a fornitori terzi.
Le due contabilità non si sommano, ma indicano lo stesso punto debole. L’ACN vede un accesso su cinque arrivare da prodotti e servizi di terze parti, l’IVASS trova i fornitori IT dietro otto segnalazioni prudenziali su dieci. È il fronte su cui l’Istituto è già intervenuto con la comunicazione di luglio sulla resilienza operativa digitale, che chiede alle compagnie di rafforzare il presidio dei fornitori ICT e di trasmettere relazione e piano di lavoro entro il 31 dicembre.
Per Quacivi è in gioco la stabilità del sistema
Quacivi, alla guida dell’Agenzia da maggio 2026, ha letto i numeri oltre il perimetro della singola azienda. «La minaccia cibernetica al comparto bancario e assicurativo è sempre più articolata e complessa e può produrre effetti sull’affidabilità dei servizi, la fiducia dei cittadini e più in generale sulla stabilità del sistema paese», ha detto. Il problema, ha aggiunto, «non riguarda i singoli operatori ed è per questo essenziale la collaborazione fra istituzioni e autorità come l’Acn e la Banca d’Italia e altri».
Per l’assicurativo i nove mesi raccontano pochi impatti confermati e molto hacktivismo, ma anche quattro eventi ransomware e, come per le banche, una porta d’ingresso aperta sui fornitori.
