Cybercrime in Italia: quasi mezzo milione di account violati in tre mesi
Il dato è preciso, documentato e difficile da ignorare: nel secondo trimestre del 2026, tra aprile e giugno, in Italia sono stati compromessi 497.400 account. Parliamo di cybercrime Italia account violati a un ritmo di circa quattro ogni minuto, giorno e notte, senza interruzioni. Non è un’emergenza improvvisa, ma l’accelerazione di una tendenza che i rapporti di settore monitorano da anni e che quest’estate 2026 si presenta con numeri particolarmente preoccupanti. Capire cosa sta succedendo, perché succede e come difendersi non è più un lusso da addetti ai lavori: è una necessità quotidiana per chiunque abbia uno smartphone, un conto corrente online o un profilo sui social.
I numeri: cosa dicono i dati di Surfshark
La fonte primaria di questi dati è Surfshark, azienda specializzata in cybersecurity che monitora in tempo reale le violazioni di credenziali a livello globale. Secondo il suo ultimo report, nel secondo trimestre del 2026 sono stati compromessi complessivamente 102 milioni di account nel mondo. L’Italia, con i suoi 497.400 account violati, si è posizionata al 16° posto nella classifica globale dei Paesi più colpiti.
Il primato assoluto spetta agli Stati Uniti, con 29,8 milioni di account coinvolti nello stesso periodo: un numero che riflette sia la dimensione della popolazione digitalmente attiva sia la concentrazione di infrastrutture tecnologiche e finanziarie nel Paese. Ma il posizionamento dell’Italia al 16° posto su scala mondiale non è affatto trascurabile: significa che il nostro Paese è stabilmente nel gruppo delle nazioni più esposte, ben oltre la proporzione che ci si aspetterebbe in base alla sola dimensione demografica.
Il ritmo di quattro account violati al minuto — calcolato dividendo i 497.400 casi sulle circa 2.160 ore del trimestre — restituisce in modo plastico la portata del fenomeno. Mentre si legge questo articolo, altri account italiani vengono probabilmente compromessi. Non è allarmismo: è aritmetica.
Il contesto più ampio: l’Italia nel mirino del cybercrime
I dati di Surfshark non arrivano nel vuoto. Il Rapporto Cybersecurity TIM 2026 e i dati del Clusit — l’Associazione Italiana per la Sicurezza Informatica — confermano che il 2025 è stato un anno di svolta negativa per l’Italia. Secondo il rapporto Clusit 2026, nel corso del 2025 l’Italia ha registrato il 9,6% degli incidenti informatici globali, con un aumento del 42% rispetto all’anno precedente. È una crescita che non ha eguali tra i Paesi occidentali comparabili per dimensione economica.
Sul fronte ransomware — il tipo di attacco in cui i criminali cifrano i dati della vittima e chiedono un riscatto per restituirli — nel 2025 l’Italia ha subito 166 attacchi documentati, con un incremento del 14% rispetto all’anno precedente. Il ransomware colpisce soprattutto aziende, ospedali, pubblica amministrazione e infrastrutture critiche, ma le sue conseguenze si riverberano inevitabilmente anche sugli utenti finali: quando un ospedale viene paralizzato da un attacco informatico, a pagare il prezzo più alto sono i pazienti.
Mettendo insieme questi elementi, emerge un quadro coerente: l’Italia non è un bersaglio casuale del cybercrime. È un Paese con una digitalizzazione crescente ma ancora disomogenea, con una cultura della sicurezza informatica che fatica a radicarsi tanto tra i privati cittadini quanto nelle organizzazioni medio-piccole, e con infrastrutture che in molti settori accusano ritardi nell’aggiornamento dei sistemi di protezione.
Come avvengono le violazioni: le tecniche più comuni
Comprendere le modalità tecniche degli attacchi aiuta a capire perché la prevenzione individuale ha un ruolo concreto. Le violazioni di account documentate da Surfshark derivano tipicamente da una combinazione di fattori che raramente si riducono a un unico vettore d’attacco.
Credential stuffing e data breach pregressi
Uno dei metodi più diffusi è il cosiddetto credential stuffing: i criminali acquistano o scaricano dal dark web database di username e password rubati in precedenti violazioni, poi li testano automaticamente su altri servizi nella speranza che l’utente abbia riutilizzato le stesse credenziali. È una tecnica brutale nella sua semplicità e devastante nella sua efficacia, proprio perché la maggior parte degli utenti tende a usare la stessa password — o varianti minime della stessa — su più piattaforme. Un database rubato da un servizio minore diventa così la chiave per accedere a conti bancari, email, profili aziendali.
👉 Leggi anche: Fisco e conti correnti: la doppia soglia di 20% e 71mila euro che scatta gli accertamenti
Phishing e ingegneria sociale
Il phishing rimane una delle tecniche più efficaci perché fa leva sull’elemento umano più che su vulnerabilità tecniche. Un’email apparentemente proveniente dalla propria banca, un SMS che simula una notifica di consegna, un messaggio WhatsApp con un link urgente: questi vettori continuano a mietere vittime perché i messaggi sono sempre più sofisticati, personalizzati e difficili da distinguere dalle comunicazioni legittime. L’evoluzione degli strumenti di intelligenza artificiale generativa ha ulteriormente abbassato la barriera d’ingresso per i criminali, che possono ora produrre messaggi di phishing grammaticalmente impeccabili e contestualmente credibili in pochi secondi.
Malware e infostealer
Gli infostealer sono una categoria di malware progettati specificamente per estrarre credenziali salvate nei browser, cookie di sessione, dati di carte di credito e qualsiasi altra informazione sensibile presente sul dispositivo infetto. Si diffondono attraverso allegati email, software piratato, estensioni browser malevole o siti web compromessi. Una volta installato, un infostealer lavora in silenzio, spesso per settimane o mesi, prima che la vittima si accorga di qualcosa — se mai se ne accorge.
Attacchi alle supply chain digitali
Un vettore sempre più rilevante è quello degli attacchi alla catena di fornitura digitale: i criminali prendono di mira non l’utente finale direttamente, ma i servizi o le piattaforme che quell’utente utilizza. Compromettere un provider di autenticazione, un servizio di e-commerce o una piattaforma SaaS aziendale consente di ottenere in un colpo solo le credenziali di migliaia o milioni di utenti. Questo spiega in parte perché i numeri aggregati come quelli di Surfshark possano crescere così rapidamente: un singolo data breach di un servizio popolare può aggiungere decine di migliaia di voci alla statistica in pochi giorni.
Perché l’estate amplifica il rischio
Il periodo estivo introduce una serie di fattori che, combinati, tendono ad aumentare l’esposizione al rischio per molti utenti. Non si tratta di un’ipotesi aneddotica: è un pattern osservato sistematicamente dagli analisti di sicurezza informatica.
In estate, molti utenti si connettono da reti Wi-Fi pubbliche — hotel, aeroporti, stabilimenti balneari, ristoranti — che per definizione presentano livelli di sicurezza inferiori rispetto alle reti domestiche o aziendali. Su reti non cifrate o mal configurate, un attaccante nella stessa rete può intercettare il traffico non protetto, effettuare attacchi di tipo man-in-the-middle o sfruttare vulnerabilità nei dispositivi connessi.
Parallelamente, i mesi estivi coincidono spesso con periodi di riduzione del personale nelle strutture IT aziendali: chi presidia i sistemi di monitoraggio è in ferie, i team di risposta agli incidenti sono ridotti, e i tempi di reazione si allungano. Per i criminali informatici, questo rappresenta una finestra di opportunità concreta. Non è un caso che alcuni dei data breach più significativi degli ultimi anni siano stati scoperti — non necessariamente avvenuti — nei mesi di luglio e agosto.
C’è poi un fattore comportamentale: in vacanza le persone abbassano la guardia, sono più propense a cliccare su link promozionali, a inserire dati di pagamento su siti non verificati per prenotare attività o acquistare souvenir, a ignorare avvisi di sicurezza sui propri dispositivi. La combinazione di attenzione ridotta e contesto digitale meno controllato crea condizioni favorevoli per chi vuole sfruttare le vulnerabilità umane prima ancora che quelle tecnologiche.
Come proteggersi: misure concrete e accessibili
Di fronte a un fenomeno di questa portata, la tentazione è quella del fatalismo: se vengono violati 497.400 account in tre mesi, cosa può fare il singolo utente? In realtà, la maggior parte delle violazioni sfrutta comportamenti evitabili o configurazioni corrette ma mancanti. Le misure di protezione non eliminano il rischio in assoluto, ma lo riducono in modo significativo.
Autenticazione a due fattori (2FA)
L’attivazione dell’autenticazione a due fattori su tutti i servizi che la supportano — banca, email, social network, piattaforme di lavoro — è probabilmente la singola misura più efficace a disposizione dell’utente comune. Anche se un criminale ottiene username e password, senza il secondo fattore (un codice temporaneo su app, un SMS, una chiave fisica) non riesce ad accedere all’account. Le app di autenticazione come Google Authenticator o Authy sono più sicure degli SMS, ma anche quest’ultimi rappresentano un miglioramento sostanziale rispetto all’assenza di 2FA.
👉 Leggi anche: Clonazione vocale: +2137% di truffe digitali, come difendersi dall'audio sintetico
Password uniche e gestori di password
Il riutilizzo delle password è il combustibile del credential stuffing. Usare una password diversa per ogni servizio è impraticabile senza un gestore di password — strumenti come Bitwarden, 1Password o il gestore integrato nei principali browser moderni — che generano e memorizzano automaticamente credenziali complesse e uniche per ogni account. L’investimento di tempo per configurare un gestore di password è di qualche ora; il beneficio in termini di sicurezza è duraturo.
Monitoraggio delle proprie credenziali
Esistono servizi gratuiti che permettono di verificare se la propria email o le proprie credenziali sono comparse in data breach noti. Have I Been Pwned (haveibeenpwned.com) è il riferimento più noto e affidabile: consente di inserire il proprio indirizzo email e verificare se è presente in database di credenziali rubate. Molti gestori di password offrono funzionalità simili in modo integrato. Controllare periodicamente — e soprattutto dopo aver sentito notizie di un data breach che coinvolge servizi che si utilizzano — è una buona abitudine.
Attenzione alle reti pubbliche
Quando ci si connette da reti Wi-Fi pubbliche, è consigliabile evitare operazioni sensibili come accedere al conto bancario, effettuare acquisti online o inserire credenziali di lavoro. Se è necessario farlo, l’utilizzo di una VPN affidabile cifra il traffico e riduce significativamente il rischio di intercettazione. È anche buona norma verificare che i siti su cui si inseriscono dati sensibili utilizzino HTTPS — il lucchetto nella barra dell’indirizzo del browser — anche se questo non è una garanzia assoluta di sicurezza.
Aggiornamenti e patch di sicurezza
Mantenere aggiornati sistema operativo, browser e applicazioni è una misura banale nella sua formulazione ma spesso trascurata nella pratica. Gli aggiornamenti di sicurezza chiudono vulnerabilità note che i criminali sfruttano attivamente. Rimandare un aggiornamento per settimane o mesi equivale a lasciare una porta aperta in casa sapendo che qualcuno ha la mappa delle serrature.
Il quadro normativo e le responsabilità delle organizzazioni
La protezione degli utenti non può essere delegata interamente ai singoli. Il Regolamento Generale sulla Protezione dei Dati (GDPR) impone alle organizzazioni che trattano dati personali obblighi precisi in materia di sicurezza, notifica delle violazioni e minimizzazione dei dati raccolti. In Italia, il Garante per la Protezione dei Dati Personali ha il mandato di vigilare sull’applicazione di queste norme e di sanzionare le violazioni.
Il problema è che la compliance normativa non equivale automaticamente a sicurezza reale: un’organizzazione può essere formalmente conforme al GDPR e avere comunque sistemi vulnerabili, processi di risposta agli incidenti inadeguati o una cultura interna che non valorizza la sicurezza informatica come priorità strategica. I numeri del Clusit — 9,6% degli incidenti globali concentrati in Italia nel 2025, con un aumento del 42% — suggeriscono che c’è ancora molta strada da fare, sia nel settore privato sia nella pubblica amministrazione.
FAQ: le domande più comuni sulla sicurezza degli account
Come faccio a sapere se il mio account è stato violato?
I segnali più comuni includono attività insolite sull’account (accessi da dispositivi o luoghi sconosciuti), email di conferma per operazioni che non hai effettuato, impossibilità di accedere con le proprie credenziali, o notifiche da servizi di monitoraggio come Have I Been Pwned. Molte banche e piattaforme inviano alert automatici per accessi anomali: assicurati che queste notifiche siano attive.
Cosa devo fare immediatamente se scopro una violazione?
Cambia immediatamente la password del servizio compromesso e di qualsiasi altro servizio in cui usavi le stesse credenziali. Attiva l’autenticazione a due fattori se non l’hai già fatto. Se la violazione riguarda dati finanziari, contatta la tua banca o l’emittente della carta di credito. Segnala l’incidente alla Polizia Postale, che in Italia gestisce i reati informatici.
Le VPN proteggono davvero?
Una VPN cifra il traffico tra il tuo dispositivo e il server VPN, proteggendo le comunicazioni da intercettazioni su reti non sicure. Non è una soluzione universale — non protegge da malware già installati sul dispositivo, da phishing o da data breach lato server — ma è uno strumento utile, specialmente su reti pubbliche.
Conclusione: la sicurezza digitale è un’abitudine, non un evento
I 497.400 account violati in Italia tra aprile e giugno 2026 sono un numero che fa riflettere, ma il rischio di ridurlo a una statistica astratta è reale. Dietro ogni account compromesso c’è una persona — un lavoratore, un pensionato, uno studente — che ha dovuto gestire le conseguenze di una violazione: cambiare credenziali, bloccare carte, ricostruire la propria identità digitale. Il cybercrime in Italia e gli account violati non sono un problema del futuro o di qualcun altro: sono una realtà del presente che riguarda chiunque sia connesso. La buona notizia è che le misure di protezione più efficaci sono accessibili, gratuite o a basso costo, e richiedono più attenzione che competenza tecnica. In un panorama in cui gli attacchi crescono del 42% in un anno, adottarle non è più opzionale.
Questo articolo è stato realizzato con il supporto dell'AI e sottoposto a revisione editoriale.
