Il Data Breach Investigations Report 2026 di Verizon — uno dei riferimenti più autorevoli nel settore della sicurezza informatica, basato sull'analisi di oltre 22.000 breach confermati — porta con sé una notizia che segna un cambio di paradigma: per la prima volta in oltre quindici anni di rapporti, lo sfruttamento di vulnerabilità software (31%) ha superato il furto di credenziali come vettore iniziale di accesso più comune nei data breach. L'intelligenza artificiale, nel frattempo, sta comprimendo i tempi di attacco da mesi a ore.
Il sorpasso storico: le vulnerabilità battono le password
Per anni la narrativa dominante era quella delle credenziali compromesse — phishing, password riusate, credential stuffing — come causa primaria dei breach. Il DBIR 2026 ribalta questo quadro: sfruttare falle software è ora la tecnica preferita, con una crescita del 34% rispetto all'anno precedente.
Questo cambiamento ha ragioni precise. Da un lato, il numero di CVE pubblicate nel 2025 ha raggiunto quota 48.000, con circa 130 nuove vulnerabilità segnalate ogni giorno e l'8% classificate come critiche. Dall'altro, l'AI permette agli attaccanti di analizzare e sfruttare queste falle in tempi drammaticamente ridotti: quella che una volta era un'operazione da settimane si comprime oggi in poche ore dall'avvenuta disclosure.
I difensori, al contrario, impiegano ancora in media diversi giorni per applicare le patch — una finestra di esposizione che gli attaccanti sanno sfruttare con crescente efficienza.
I numeri del 2026: breach quasi raddoppiati
Il volume degli incidenti analizzati dal report è impressionante: 22.052 breach confermati, quasi il doppio rispetto ai 12.195 dell'edizione precedente. Parte di questa crescita è attribuibile a una migliore capacità di rilevamento e segnalazione, ma la componente di effettiva escalation delle minacce rimane significativa.
Tra i dati più rilevanti per chi si occupa di sicurezza aziendale:
Il ransomware era presente nel 48% dei breach confermati (dal 44% dell'anno precedente), anche se il pagamento mediano dei riscatti è sceso sotto i 140.000 dollari — un dato che suggerisce come le organizzazioni stiano migliorando nella negoziazione e nel recupero tramite backup.
I breach della supply chain e delle terze parti hanno registrato un incremento del 60% e rappresentano ormai il 48% di tutti i breach, quasi una violazione su due. Compromettere un fornitore per raggiungere i clienti finali è diventata la strategia preferita dagli attori più sofisticati, che puntano deliberatamente sugli anelli più deboli della catena.
L'elemento umano rimane implicato nel 62% dei breach, segno che le tecniche di ingegneria sociale — ora potenziate dall'AI — continuano a essere efficaci nonostante i progressi nella formazione e nella consapevolezza.
Il fattore mobile: click rate alle stelle
Una delle tendenze più preoccupanti evidenziate dal DBIR è l'aumento degli attacchi via dispositivi mobili. Le campagne di smishing (phishing via SMS) e vishing (voice phishing) stanno registrando tassi di click molto superiori a quelli delle email tradizionali: gli utenti sono più vulnerabili su smartphone perché i segnali di allerta — URL troncati, interfacce ridotte, contesto diverso — sono meno visibili che su desktop.
L'AI generativa aggrava ulteriormente questo scenario: i messaggi di phishing generati automaticamente raggiungono tassi di interazione significativamente superiori a quelli scritti manualmente, poiché sono grammaticalmente corretti, contestualizzati e personalizzati su larga scala.
Le implicazioni pratiche per le organizzazioni italiane
Il DBIR 2026 ha implicazioni dirette per le organizzazioni italiane, soprattutto quelle soggette alla direttiva NIS2 che richiede processi strutturati di gestione delle vulnerabilità e della supply chain. La triade critica che emerge dal report è: patching rapido, gestione del rischio della supply chain e autenticazione robusta.
L'accelerazione dell'AI nel ciclo di attacco rende il patch management reattivo — quello basato su cicli mensili o trimestrali — insufficiente per le vulnerabilità critiche. La prioritizzazione basata sul rischio reale (probabilità di exploit + impatto sull'organizzazione specifica) è ormai una necessità, non un lusso.
Quanto al rischio delle terze parti, il dato del 48% di breach originati da fornitori compromessi è un segnale inequivocabile: i contratti di sicurezza con i vendor, le verifiche periodiche e la segmentazione degli accessi non sono più opzionali.
