Il Rapporto Clusit 2026 registra +48,7% di attacchi. Il Managed Detection and Response rileva e contiene le minacce in tempo reale, dove le difese tradizionali non bastano.
- Nel 2025 gli incidenti cyber globali crescono del 48,7%, il picco storico secondo il Rapporto Clusit 2026.
- In Italia si contano 507 incidenti noti, con un aumento del 42% rispetto al 2024.
- Gli attacchi DDoS diventano la prima tecnica in Italia (38,5%) e superano il malware, sceso al 22,7%.
- A livello globale l’83,8% degli incidenti ha gravità alta o critica: reagire tempestivamente diventa decisivo.
- Il servizio MDR unisce un SOC attivo 24 ore su 24 a uno stack tecnologico basato su intelligenza artificiale.
Ogni anno il quadro della sicurezza informatica peggiora e il 2025 non fa eccezione. Il Rapporto Clusit 2026 conferma una crescita degli incidenti senza precedenti, trainata dal cybercrime e dall’attivismo digitale. Le tecnologie perimetrali restano necessarie, tuttavia da sole non bastano contro attacchi sempre più sofisticati e a bassa soglia di ingresso. Anche normative come NIS2 (direttiva UE sulla sicurezza di reti e sistemi informativi) e DORA (Digital Operational Resilience Act) impongono controlli più stringenti. In questo scenario il Managed Detection and Response si afferma come una difesa indispensabile. Il servizio permette di rilevare, analizzare e contenere gli attacchi in modo tempestivo, riducendo i danni economici e reputazionali. I dati che seguono impongono un cambio di approccio e delineano il ruolo di un servizio MDR di livello enterprise.
Cybersecurity 2025: cosa dice il Rapporto Clusit 2026
Il Rapporto Clusit 2026 fotografa un 2025 record: +48,7% di incidenti a livello globale e 5.265 casi noti di particolare gravità.
MDR (Managed Detection and Response): servizio gestito di sicurezza che unisce tecnologie avanzate e competenze di un team specializzato per rilevare, analizzare e contenere gli attacchi informatici in tempo reale.
I numeri dell'ultima edizione del Rapporto Clusit descrivono un'escalation costante. Nel 2025 gli incidenti censiti a livello mondiale raggiungono 5.265 casi, con una crescita del 157% rispetto al 2021. Inoltre la gravità media aumenta anno dopo anno e i danni inflitti alle singole vittime crescono del 9% sul 2024. In Italia il campione registra 507 incidenti noti, pari a circa il 9,6% del totale mondiale. Tre evidenze, lette insieme, spiegano perché lo scenario impone nuove contromisure.
Secondo il Rapporto Clusit 2026 gli incidenti globali crescono del 48,7% nel 2025, l'incremento annuale più elevato mai registrato. Anche secondo ENISA il trend delle minacce si intensifica a livello europeo, come indica il Threat Landscape.
Perché gli attacchi sono sempre più efficaci?
La prima evidenza riguarda l'efficacia crescente delle offensive. A livello globale l'83,8% degli incidenti presenta una gravità alta o critica. Questo dato dimostra sia l'abilità degli attaccanti, sia le difficoltà che le organizzazioni incontrano nel reagire. Le cause sono spesso interconnesse: una superficie esposta poco protetta, una gestione della sicurezza disorganizzata e l'assenza di procedure chiare durante l'attacco. In Italia la distribuzione differisce: la gravità alta si ferma al 39,3%, mentre gli incidenti di livello medio-basso salgono al 52,5%. Tuttavia questo non è un segnale di sicurezza. Al contrario, indica che le nostre organizzazioni subiscono spesso anche attacchi meno sofisticati, che altrove verrebbero neutralizzati.
Attaccare conviene: quanto costa oggi colpire un'azienda?
La seconda evidenza riguarda la convenienza economica degli attacchi. A livello globale il malware resta la tecnica nota più diffusa, seguito dallo sfruttamento delle vulnerabilità e dal phishing. Quest'ultimo cresce del 75%, spinto dall'uso dell'intelligenza artificiale. Infatti l'AI (intelligenza artificiale) permette di creare email e messaggi vocali molto realistici, alla portata di chiunque. In Italia il fenomeno è ancora più marcato: il phishing aumenta del 66% in un solo anno. Organizzare un attacco DDoS (Distributed Denial of Service) è altrettanto semplice ed economico. Sul dark web sono disponibili piattaforme as-a-service che non richiedono competenze tecniche particolari. Di conseguenza colpire diventa un'attività a basso costo e ad alto profitto, replicabile su larga scala.
Quali organizzazioni sono nel mirino nel 2025?
La terza evidenza è la più netta: nessun settore è escluso. In Italia il comparto Gov/Mil/LE torna al primo posto con oltre il 28% degli incidenti e una crescita del 290% in valore assoluto. Seguono Manufacturing (12,6%), Multiple Targets (12,4%) e Transportation/Storage (12%). Anzitutto colpisce la categoria Multiple Targets: si tratta di attacchi simultanei su più obiettivi, pianificati con logica industriale per massimizzare l'impatto. Questa strategia non discrimina in base a dimensioni o settore. Inoltre il 61% degli incidenti italiani è attribuito al cybercrime, seguito dagli attivisti. Il movente resta il profitto e ogni organizzazione diventa un bersaglio, purché l'attacco sia vantaggioso.
Perché le difese tradizionali non bastano più
Endpoint e sicurezza perimetrale restano necessari, ma isolati non percepiscono il contesto e falliscono contro gli attacchi più complessi.
La crescente sofisticazione delle minacce si accompagna a un'espansione della superficie di attacco. L'adozione diffusa di soluzioni in cloud amplia i punti vulnerabili e rende le misure tradizionali insufficienti, pur restando indispensabili. Soluzioni come la protezione degli endpoint o la sicurezza perimetrale mostrano limiti evidenti quando operano come strumenti isolati. Firewall e web application firewall svolgono bene il proprio compito specifico. Tuttavia non riescono a percepire e valutare ciò che accade nell'ambiente circostante. Questa mancanza di visione d'insieme compromette la capacità di risposta agli attacchi coordinati.
In Italia gli attacchi DDoS diventano la prima tecnica nel 2025, con il 38,5% del totale, in forte crescita dal 21% del 2024. Il malware scende invece al 22,7%. Per il contesto normativo e di difesa nazionale, il riferimento è l'ACN.
Che limiti hanno endpoint e sicurezza perimetrale isolati?
Uno strumento isolato analizza solo il proprio perimetro di competenza. Un antivirus valuta il singolo endpoint, un firewall filtra il traffico di rete, ma nessuno dei due correla gli eventi tra loro. Un attaccante esperto sfrutta proprio questa frammentazione. Ad esempio combina una campagna di phishing, il movimento laterale nella rete e l'esfiltrazione dei dati in fasi distinte. Senza una correlazione centralizzata degli eventi, ciascun segnale appare innocuo. Pertanto la difesa efficace richiede una visione unificata e continua di endpoint, reti e risorse cloud. È questa la logica che sta alla base del servizio MDR.
Come gestire un attacco: le azioni e i fattori decisivi
Anche con le migliori misure di sicurezza, un attacco resta possibile. Gestirlo significa bloccare l'attaccante con azioni rapide e coordinate.
Nessuna difesa garantisce l'immunità totale. Per questo occorre essere pronti ad affrontare l'attacco e gestirlo in modo efficace. Gestire un'offensiva significa innanzitutto bloccare l'attaccante attraverso una sequenza di azioni chiave. Queste azioni devono susseguirsi con rapidità e in modo strutturato.
- Intercettare l'attacco: monitorare ogni possibile veicolo di ingresso e rilevare l'anomalia il prima possibile.
- Definire la strategia: valutare la situazione e scegliere il miglior approccio di contenimento.
- Eseguire il contenimento: identificare le azioni puntuali per fermare l'attacco e metterle in pratica.
- Ri-valutare: aggiornare la strategia sulla base degli esiti delle azioni compiute.
Quali sono i quattro fattori imprescindibili?
Per garantire l'efficacia del processo servono quattro fattori imprescindibili. Ciascuno rafforza gli altri e la loro assenza compromette l'intera catena di risposta. Questi quattro fattori costituiscono un benchmark di riferimento per valutare qualsiasi servizio di difesa. La tabella seguente li sintetizza per un decisore enterprise.
| Fattore | Perché è decisivo |
|---|---|
| Tempo | Agire con rapidità e continuità: monitoraggio 24 ore su 24, analisi in tempo reale ed esecuzione immediata. |
| Organizzazione | Un team con ruoli chiari, processi definiti e procedure consolidate per coordinare la risposta nella crisi. |
| Know-how | Professionisti con competenze approfondite, certificazioni aggiornate ed esperienza solida sul campo. |
| Strumenti | Tecnologie avanzate che intercettano, analizzano e correlano le informazioni a supporto del team. |
Il fattore tempo è spesso decisivo: un'ora di ritardo può trasformare un incidente contenuto in una violazione estesa dei dati.
MDR: come opera il SOC nel Managed Detection & Response
Il servizio MDR unisce le competenze di un SOC attivo 24 ore su 24 a una piattaforma integrata, operando su processi predefiniti.
SOC (Security Operation Center): centro operativo di sicurezza composto da analisti specializzati che monitorano, analizzano e gestiscono gli incidenti informatici in modo continuativo, 24 ore su 24.
Il servizio MDR è la risposta più efficace per individuare e contenere gli attacchi. Il servizio unisce le competenze del SOC a una piattaforma che integra più soluzioni di sicurezza. Il team opera secondo processi e procedure predefinite, in modo coerente e ripetibile. Grazie a questa combinazione, l'organizzazione ottiene una capacità di risposta che difficilmente potrebbe costruire internamente.
Quali sono le fasi operative del servizio MDR?
Il flusso del servizio si sviluppa in quattro fasi collegate. Innanzitutto la piattaforma integrata individua l'attacco attraverso il monitoraggio continuo. Successivamente il SOC analizza le notifiche per determinarne rilevanza, urgenza e priorità. Questa fase filtra e classifica gli alert, così le risorse si concentrano sulle minacce reali. Le informazioni vengono arricchite dalla threat intelligence esterna.
- Individuazione: la piattaforma integrata rileva l'attacco tramite il monitoraggio di endpoint, reti e log.
- Analisi degli eventi: il SOC classifica gli alert per priorità e ne verifica la reale pericolosità.
- Threat hunting: gli analisti cercano tracce di minacce sconosciute e ancora inosservate nella telemetria.
- Risposta: il SOC elabora la strategia di contenimento e coordina le attività secondo playbook predefiniti.
Dove le tecnologie del cliente lo consentono, sono previste integrazioni per attivare remediation automatiche. In questo modo la reazione diventa ancora più rapida e riduce il margine di errore.
Che ruolo ha lo stack tecnologico e l'AI?
Il SOC sfrutta uno stack tecnologico predefinito, compreso nel servizio e necessario per operare con efficacia. Lo stack copre endpoint, reti e log degli eventi generati dai sistemi e dalle risorse in cloud. Inoltre comprende componenti per elaborare, interpretare e correlare eventi e telemetria. L'uso di intelligenza artificiale e machine learning (ML) accelera l'analisi e genera allarmi specifici sulle possibili anomalie. Ad esempio l'automazione gestisce i falsi positivi con precisione e rapidità, alleggerendo il lavoro degli analisti. Lo stack consente anche di attivare da remoto le prime azioni di contenimento, come l'isolamento degli endpoint compromessi. Infine si integra con le difese già presenti, a tutela degli investimenti del cliente.
La proposta Retelit: dal catalogo cybersecurity all'MDR
Retelit ha strutturato un catalogo cybersecurity in tre aree e colloca il servizio MDR all'interno dell'area Difesa.
Retelit ha sviluppato un catalogo di servizi di cybersecurity suddiviso in tre categorie principali. Ogni categoria risponde a esigenze specifiche lungo il percorso di miglioramento della postura di sicurezza aziendale. La prima è l'Analisi, che aiuta il cliente a comprendere la propria postura e a definire un piano di miglioramento. La seconda è la Protezione, con servizi gestiti per dati e infrastrutture erogati in modalità as-a-service. La terza è la Difesa, specializzata nella sorveglianza e nella gestione degli incidenti.
Come si integra l'MDR di Retelit con le difese esistenti?
All'interno dell'area Difesa, Retelit ha sviluppato il servizio Managed Detection & Response. La soluzione combina tecnologie avanzate, come intelligenza artificiale e machine learning, con le competenze del SOC. Il team è organizzato su tre livelli: analyst, specialist ed expert specialist. La piattaforma si integra con le soluzioni già adottate dal cliente, come SIEM (Security Information and Event Management), EDR (Endpoint Detection and Response), antivirus di nuova generazione e sistemi anti-DDoS. Questo approccio rispetta gli investimenti già sostenuti e l'operatività quotidiana. Inoltre la modularità permette di aggiungere tecnologie per presidiare altri vettori, come la threat intelligence, ampliando la visibilità del SOC.
Affidare la gestione degli attacchi a Retelit significa combinare tecnologie avanzate e competenze specialistiche. Scopri il servizio Managed Detection and Response e richiedi un confronto con i nostri esperti.
Domande frequenti sul Managed Detection and Response per le organizzazioni enterprise
L'MDR è un servizio gestito di sicurezza. Unisce tecnologie avanzate e le competenze di un SOC per rilevare, analizzare e contenere gli attacchi in tempo reale. In pratica esternalizza a un partner specializzato le attività di rilevamento e risposta alle minacce, 24 ore su 24.
L'EDR (Endpoint Detection and Response) è una tecnologia che protegge i singoli endpoint. L'MDR è invece un servizio completo che integra l'EDR con altri strumenti e con le competenze umane del SOC. In sintesi, l'EDR è un componente, mentre l'MDR è il servizio gestito che lo orchestra.
Gli attacchi non seguono l'orario di ufficio e spesso colpiscono di notte o nei giorni festivi. Un SOC attivo in modo continuativo intercetta le anomalie appena si manifestano. Di conseguenza riduce drasticamente il tempo di reazione, che rappresenta il fattore più critico nel contenimento di un incidente.
L'intelligenza artificiale e il machine learning accelerano l'analisi di grandi volumi di eventi e telemetria. Generano allarmi specifici e automatizzano attività ripetitive, come la gestione dei falsi positivi. Così gli analisti possono concentrarsi sulle minacce reali e più complesse, con maggiore precisione e rapidità.
No, il servizio MDR non sostituisce le difese esistenti, ma le potenzia. Firewall, antivirus ed EDR restano necessari e continuano a operare. Il servizio MDR li integra in una visione unificata, correlando gli eventi e attivando la risposta agli attacchi che sfuggono ai singoli strumenti.
In collaborazione con Andrea Priviero, Product Marketing Retelit