/andamento_mensile

Nei grafici sotto riportati si evidenzia la distribuzione mensile delle 148 rivendicazioni, scomposta per macro-area NUTS e affiancata al volume di dati pubblicato.
Il semestre cresce nel complesso (71 rivendicazioni nel Q1, 77 nel Q2) ma con oscillazioni marcate: al minimo di maggio (18) segue il picco di giugno (31 rivendicazioni, +72% mese su mese) — un'ondata rilevata anche dalla stampa di settore. Il picco è gonfiato da due burst puntuali: Deadlock, che il 12 giugno pubblica 12 rivendicazioni italiane in un solo giorno, e Safepay, che il 01 giugno ne rivendica 3 per un totale di 1.895,45 GB. Il volume dei dati segue invece una dinamica indipendente dal numero di vittime: il massimo è a febbraio (4.767 GB), dove due sole rivendicazioni da 2 TB ciascuna (Gruppo SEAC e Sofinter Group) valgono l'83,9% del mese.

Sul calendario, il grosso delle pubblicazioni cade durante la settimana (mercoledì 31, venerdì 29); solo il 13,5% viene rivendicato nel weekend.

/rivendicazioni_confermate

Elenco completo delle 148 rivendicazioni confermate nel semestre, in ordine cronologico inverso.
Le voci con localizzazione o settore non verificabile sono marcate per la verifica manuale.

-- = non sono disponibili informazioni ulteriori sulla rivendicazione.

/distribuzione_geografica

Ripartizione delle 148 vittime per macro-area NUTS.
Nord-Ovest e Nord-Est concentrano insieme il 66,9% delle rivendicazioni (99 vittime), a conferma della correlazione con la densità del tessuto industriale.

Le vittime si distribuiscono su 51 province; in testa Milano con 22 rivendicazioni (14,9% del totale nazionale), seguita da Roma (9), Torino (8) e Bergamo (7).
La Lombardia da sola vanta 45 vittime (30,4%): più di Centro, Sud e Isole messi insieme se si esclude il Lazio.

/gruppi_attivi

Sono 30 i gruppi che hanno rivendicato almeno un attacco contro target italiani nel semestre.
La distribuzione è frammentata: i primi 5 (LockBit5, Qilin, TheGentlemen, Deadlock, Safepay) coprono il 54,1% delle rivendicazioni, mentre gli altri 11 threat actors compaiono una sola volta — una coda lunga tipica dell'attuale ecosistema RaaS, dove affiliati e rebrand nascono e muoiono nel giro di settimane.

Le dinamiche del semestre raccontano quattro storie diverse: LockBit5 — il rebrand annunciato sul forum RAMP a fine 2025, dopo Operation Cronos — concentra a marzo quasi metà della sua attività italiana (10 rivendicazioni su 21), in linea con l'escalation globale osservata a inizio 2026.
Qilin è invece costante per tutto il semestre, coerente con l'avviso del CSIRT Italia sulle sue campagne sistematiche contro le PMI nazionali.
TheGentlemen (16 rivendicazioni, incluso il claim da 2 TB su SEAC) è il RaaS emerso a metà 2025 e guidata secondo i ricercatori da un ex capo-affiliato di Qilin, in rapidissima scalata globale. Deadlock, infine, è il caso anomalo: tutte le sue 13 rivendicazioni cadono a giugno, 12 delle quali pubblicate lo stesso giorno — un datadump di massa più che una campagna. Da segnalare anche CL0P, i cui 4 claim italiani tra gennaio e febbraio arrivano nella scia della campagna di estorsione di massa su Oracle E-Business Suite (CVE-2025-61882).

/settori_colpiti

Il settore manifatturiero domina con 59 vittime (39,9%), coerentemente con la concentrazione geografica nel Nord-Ovest e nel Nord-Est: capannoni pieni di IP proprietaria, OT difficile da fermare e da patchare, e una bassa tolleranza al fermo produzione che rende il riscatto una tentazione contabile.
I primi tre settori (manifatturiero, commercio, trasporti) assorbono da soli il 62,8% delle rivendicazioni.
Da notare, in controtendenza rispetto al quadro internazionale che vede la filiera sanitaria sotto assedio, un solo caso classificato Sanità/Assistenza nel dataset italiano del semestre; la PA si ferma a 3, tra cui un Comune e un'Autorità di Sistema Portuale.

/tecniche_di_attacco

Sintesi delle modalità operative ricorrenti osservate nei casi del semestre.
Le vie d'accesso preferenziali derivano dall'inadeguatezza delle misure di sicurezza più che da capacità offensive sofisticate: credenziali riciclate, perimetri non patchati, RDP esposto.