Banche e assicurazioni, 168 eventi cyber in nove mesi: l'allarme dell'Acn

Nei primi nove mesi del 2026 il CSIRT Italia ha rilevato 168 eventi cyber contro banche e assicurazioni, 47 dei quali sono diventati incidenti veri e propri. I dati sono stati presentati giovedì 5 novembre al Senato da Andrea Quacivi, direttore generale dell'Agenzia per la cybersicurezza nazionale (Acn), in audizione davanti alla commissione parlamentare d'inchiesta sul sistema bancario, finanziario e assicurativo.

I numeri presentati in audizione

Dei 168 eventi segnalati, circa 15 al mese, 137 hanno riguardato il settore bancario e 31 quello assicurativo. Tra i 47 incidenti, cioè i casi con un impatto confermato, 44 hanno colpito banche e 3 compagnie di assicurazione.

Diversa anche l'origine degli attacchi. Nel comparto bancario il 64% degli eventi è riconducibile alla criminalità informatica, il 32% a gruppi di attivisti e il 4% a soggetti interni alle organizzazioni. Nelle assicurazioni prevalgono invece gli attivisti, con l'83% dei casi, e quasi tutti gli episodi sono attacchi DDoS, che cercano di rendere irraggiungibili siti e servizi online sommergendoli di richieste.

La posta elettronica resta la porta d'ingresso

Secondo quanto riferito da Quacivi, il primo vettore d'attacco è stato l'email. "La posta elettronica è stato il canale privilegiato degli attacchi cyber a banche e assicurazioni negli ultimi nove mesi", ha spiegato il direttore dell'Acn. Seguono l'uso di credenziali rubate in precedenza e lo sfruttamento di vulnerabilità nei sistemi informatici.

Il rischio per la fiducia dei cittadini

Per il direttore generale dell'Agenzia la minaccia contro il settore finanziario è "sempre più articolata e complessa", con modalità di attacco in continua evoluzione. Le conseguenze, ha sottolineato, non riguardano solo i singoli operatori: possono incidere sull'affidabilità dei servizi, sulla fiducia dei cittadini e sulla stabilità del sistema Paese. Per questo Quacivi ha indicato come decisiva la collaborazione tra le istituzioni e le autorità che si occupano di sicurezza informatica.

Fonti: ANSA, Adnkronos, Il Fatto Quotidiano