Il report semestrale dell'Identity Theft Resource Center (ITRC), punto di riferimento negli Stati Uniti per il conteggio delle violazioni di dati, fotografa un primo semestre 2026 già più pesante di tutto il 2025: 1.803 compromissioni di dati tracciate tra gennaio e giugno, di cui 1.029 nel solo secondo trimestre — il secondo trimestre più alto mai registrato. Se il ritmo dovesse proseguire invariato, il 2026 chiuderebbe intorno a 3.600 eventi, superando le 3.321 compromissioni del 2025. Ma il dato più impressionante riguarda le persone coinvolte: 471,2 milioni di notifiche alle vittime nei primi sei mesi, contro i 297,5 milioni di tutto l'anno precedente — un balzo del 58% in metà tempo, spinto dal ritorno delle mega-violazioni che colpiscono decine di milioni di utenti in un colpo solo.

Cosa dice il report

Oltre ai numeri assoluti, l'ITRC segnala due tendenze che meritano attenzione. La prima è la crescita degli insider malevoli: 21 casi di dipendenti o collaboratori che hanno deliberatamente sottratto o esposto dati nel primo semestre, contro appena 3 in tutto il 2025 — un aumento di sette volte, che il report collega ai licenziamenti nel settore tecnologico e a schemi di reclutamento riconducibili ad attori state-sponsored, in particolare nordcoreani, che infiltrano personale IT in aziende occidentali con identità false.

La seconda tendenza è l'aumento degli attacchi zero-day: 14 eventi nel primo semestre, quasi quanto i 17 registrati in tutto il 2025, complice anche l'uso di strumenti di intelligenza artificiale per individuare falle software più rapidamente di quanto riescano a fare i team di sicurezza. Il rovescio della medaglia è la trasparenza: solo il 24% delle notifiche pubblicate contiene dettagli sul vettore d'attacco usato, la percentuale più bassa mai registrata dall'ITRC. In pratica, le aziende comunicano sempre di più il fatto della violazione ma sempre meno il come — un'informazione cruciale per chi deve valutare la propria esposizione a minacce simili.

Cosa significa per le aziende italiane

Il report è basato su dati statunitensi, ma la dinamica di fondo — più violazioni, mega-breach più frequenti, insider in aumento, meno trasparenza sul vettore — è la stessa che i CSIRT europei osservano nei propri territori, Italia inclusa. Il punto di attenzione per un'azienda o una PA italiana non è il numero in sé, ma cosa implica per gli obblighi di notifica già in vigore.

Nel regime GDPR, un titolare del trattamento ha 72 ore dalla conoscenza di una violazione per notificarla al Garante Privacy, se comporta un rischio per i diritti degli interessati, e senza ingiustificato ritardo per informare gli stessi interessati quando il rischio è elevato. Il dato ITRC sulla scarsa trasparenza sul vettore d'attacco è un campanello d'allarme diretto: una notifica incompleta o generica espone l'azienda a richieste di integrazione da parte dell'Autorità e, in caso di ispezione, a una valutazione più severa dell'adeguatezza delle misure adottate. La stessa criticità vale per i soggetti che rientrano nel perimetro NIS2: la notifica preliminare a CSIRT Italia entro 24 ore e il report completo entro 72 ore richiedono di sapere, e poter comunicare, come è avvenuto l'incidente — non solo che è avvenuto.

Il balzo degli insider malevoli merita un secondo ragionamento. I programmi di sicurezza italiani restano orientati in larga parte a minacce esterne: firewall, EDR, formazione anti-phishing. Il rischio interno — un dipendente in uscita, un collaboratore con accessi privilegiati non revocati per tempo, un fornitore IT con credenziali condivise — resta spesso scoperto da controlli specifici. Con l'aumento dei licenziamenti nel settore tecnologico anche in Europa e la crescente attenzione ai falsi lavoratori IT di origine nordcoreana infiltrati tramite piattaforme di lavoro remoto, il tema non è più solo statunitense.

Cosa fare subito

  • Verificare che la propria procedura di gestione incidenti preveda la raccolta sistematica di prove tecniche sul vettore d'attacco fin dalle prime ore, per poter notificare a Garante e CSIRT Italia con dettagli sufficienti e non solo con una descrizione generica del fatto.
  • Rivedere il processo di revoca degli accessi per personale in uscita o a fine collaborazione: tempistica di disattivazione, verifica di account condivisi, controllo di accessi residui su repository, cloud storage e sistemi SaaS.
  • Introdurre o rafforzare il monitoraggio degli accessi privilegiati (data loss prevention, alert su esportazioni massive di dati, controllo di chi accede a cosa) per intercettare comportamenti da insider prima dell'esfiltrazione.
  • Aggiornare il registro dei trattamenti e la valutazione del rischio (DPIA dove richiesta) tenendo conto dell'aumento delle mega-violazioni: un fornitore terzo compromesso può generare un impatto su scala molto più ampia di quanto previsto nei piani attuali.
  • Testare periodicamente la capacità dell'organizzazione di rispettare le finestre di notifica (72 ore GDPR, 24/72 ore NIS2) con simulazioni realistiche, non solo documentali.

I numeri dell'ITRC descrivono un contesto statunitense, ma la direzione del trend — più incidenti, meno trasparenza, più rischio interno — è la stessa che il Garante e ACN osservano da tempo anche sul territorio italiano. Le aziende che aspettano l'incidente per scoprire di non avere i dati necessari a una notifica completa lo scopriranno nel momento peggiore possibile.