Il phishing supera il 50% degli incidenti informatici e l’abuso dei sistemi di autenticazione sfiora il 65%. Sono i dati più allarmanti del Q2 2026 Incident Response Trends Report di Cisco Talos, la più grande organizzazione privata al mondo dedicata all’intelligence per la cybersecurity, pubblicato il 27 agosto 2026. Il quadro che emerge è quello di criminali informatici sempre più abili nell’aggirare le difese tradizionali, con sanità e pubblica amministrazione nel ruolo di bersagli preferiti.
Il dato sul phishing è quello che colpisce di più: nel secondo trimestre del 2026 ha causato oltre la metà degli incidenti analizzati, contro il 35% del trimestre precedente. Un balzo in avanti che segnala un cambio di passo nelle campagne offensive. Parallelamente, l’abuso dei sistemi di autenticazione ha quasi raddoppiato la propria incidenza, passando da circa il 35% a quota 65%. Gli attaccanti riescono sempre più spesso a eludere l’autenticazione a più fattori, il cosiddetto MFA, che fino a poco tempo fa era considerato uno scudo affidabile.
Ransomware: i gruppi usano strumenti legittimi per nascondersi
Le attività ransomware e pre-ransomware hanno rappresentato oltre il 20% degli incidenti del trimestre. La novità più preoccupante riguarda le tecniche adottate: i gruppi criminali stanno abbandonando i malware tradizionali in favore di strumenti di accesso remoto legittimi, più difficili da intercettare dai sistemi di sicurezza.
Il team Talos Incident Response ha documentato due casi emblematici. Gli operatori del ransomware Sinobi hanno utilizzato una versione modificata di MeshAgent come strumento principale di comando e controllo, una tecnica mai associata in precedenza al gruppo. Gli operatori di Warlock, invece, hanno sfruttato Zoho Assist Unattended Agent, uno strumento di accesso remoto che non era mai stato collegato alle loro campagne.
La logica è semplice quanto efficace: un software legittimo non attiva gli stessi allarmi di un malware. I criminali possono così muoversi all’interno delle reti, mappare i sistemi e preparare la cifratura dei dati riducendo al minimo il rischio di essere scoperti prima di colpire.
Sanità e pubblica amministrazione: secondo trimestre consecutivo sotto attacco
Il settore sanitario è il più colpito per il secondo trimestre di fila. Seguono la pubblica amministrazione e il manifatturiero. Non è una coincidenza: si tratta di organizzazioni che dipendono dalla continuità operativa e gestiscono grandi quantità di dati sensibili. Per un ospedale o un ente pubblico, anche poche ore di interruzione dei servizi possono avere conseguenze dirette sui cittadini.
Tra le tecniche segnalate figurano anche campagne di phishing condotte attraverso codici QR, una modalità in crescita che sfrutta la difficoltà dei sistemi di sicurezza tradizionali nel rilevare contenuti malevoli incorporati nelle immagini.
Le contromisure raccomandate da Cisco
Il report individua alcune priorità per le organizzazioni che vogliono rafforzare la propria postura difensiva. Al primo posto c’è l’adozione di sistemi di autenticazione a più fattori resistenti al phishing, come le chiavi di sicurezza hardware, che non possono essere aggirate con le tecniche di social engineering più diffuse. Altrettanto urgente è la centralizzazione dei log con una conservazione minima di 90 giorni, che consente di ricostruire gli incidenti e individuare movimenti sospetti anche a distanza di settimane.
I team di sicurezza dovrebbero inoltre applicare le patch sui sistemi esposti a Internet con la massima tempestività e impostare limiti sulle email in uscita, così da contenere il rischio che account compromessi vengano usati per propagare nuove campagne di phishing all’interno e all’esterno dell’organizzazione.
Il report completo è disponibile sul sito di Cisco Talos.