L’Italia sale al quattordicesimo posto mondiale e al quinto in Europa tra i Paesi nei quali i clienti Microsoft sono stati più frequentemente interessati da attività cyber nella prima metà del 2026. Ma il dato geografico è soltanto uno dei segnali di uno scenario che sta cambiando più in profondità.

Il nuovo Microsoft Digital Defense Report 2026 descrive infatti una minaccia sempre meno confinabile all’interno di singoli domini tecnologici. Identità, applicazioni, workload cloud, supply chain, infrastrutture critiche e ora agenti AI appartengono allo stesso ecosistema operativo. Quando uno di questi elementi viene compromesso, l’attaccante può utilizzare le relazioni di fiducia esistenti per spostarsi rapidamente verso gli altri.

È questa interconnessione, insieme all’accelerazione impressa dall’intelligenza artificiale, a rappresentare probabilmente il messaggio più rilevante del report.

Microsoft arriva a questa fotografia analizzando oltre 165 trilioni di segnali di sicurezza ogni giorno, 31 milioni di rilevazioni quotidiane relative al rischio sulle identità e circa 5,2 miliardi di email al giorno. Una base di telemetria enorme che permette di osservare non soltanto il numero degli attacchi, ma soprattutto come stanno cambiando le loro dinamiche.

Microsoft Digital Defense Report 2026: gli attacchi diventano interconnessi

Il primo cambiamento riguarda il modo stesso in cui viene costruita un’intrusione.

Endpoint, identità, cloud, applicazioni ed email non possono più essere considerati superfici separate. Un singolo account compromesso può trasformarsi nel punto di partenza per sottrarre ulteriori credenziali, raggiungere servizi cloud, abusare di applicazioni e mantenere una presenza persistente nell’organizzazione.

Nel 52,2% delle intrusioni osservate che hanno coinvolto account validi, Microsoft ha rilevato un successivo furto di credenziali. Il dato mostra bene il meccanismo: una compromissione iniziale non rappresenta necessariamente il risultato dell’attacco, ma diventa la base dalla quale costruire quella successiva.

Anche il phishing torna a crescere come vettore iniziale. Secondo i dati diffusi da Microsoft in occasione della pubblicazione del report, nel 2026 ha rappresentato il 23% delle intrusioni osservate, rispetto al 7% dell’anno precedente.

L’aumento non significa che il phishing sia improvvisamente diventato una tecnica nuova. Al contrario, mostra quanto tecniche consolidate possano tornare particolarmente efficaci quando vengono industrializzate attraverso automazione, servizi criminali e AI generativa.

L’AI cambia la velocità dell’attacco più che le sue finalità

Microsoft sintetizza questa trasformazione affermando che l’intelligenza artificiale sta cambiando la “fisica” della cyber security.

L’espressione è efficace soprattutto se letta in termini di tempo.

Gli attaccanti utilizzano già l’AI nelle fasi di reconnaissance, social engineering, sviluppo di malware ed exploit e nelle attività successive alla compromissione. Il report non descrive ancora uno scenario dominato da campagne completamente autonome: gran parte dell’impiego osservato riguarda l’accelerazione e l’ottimizzazione di tecniche già conosciute.

È proprio questo, però, a rendere il cambiamento significativo.

L’intelligenza artificiale riduce il costo necessario per personalizzare un’esca, analizzare un target, produrre codice, cercare vulnerabilità o adattare rapidamente una tecnica dopo un fallimento. La conseguenza è che attività prima limitate dalla disponibilità di tempo e competenze possono essere eseguite su scala maggiore.

Per i difensori il problema diventa quindi temporale.

Una vulnerabilità può diventare sfruttabile in meno di 24 ore

Microsoft osserva che l’intervallo tra la scoperta di una vulnerabilità e il suo sfruttamento può ormai scendere sotto le 24 ore.

Il tradizionale ciclo “vulnerabilità pubblicata, analisi, prioritizzazione, patching” rischia così di diventare incompatibile con la velocità dell’attaccante.

Un altro dato rende il problema ancora più evidente: un workload cloud esposto viene attaccato mediamente entro 5,3 ore.

L’obiettivo di un programma di vulnerability management non può quindi essere semplicemente aumentare il numero di patch installate. La priorità deve essere ridurre l’esposizione reale prima che la vulnerabilità possa essere trasformata in un percorso di attacco.

È la ragione per cui Microsoft propone di spostare l’attenzione dal vulnerability management tradizionale verso il threat exposure management, integrando visibilità degli asset, conoscenza continua delle vulnerabilità, threat intelligence e analisi accelerata dall’AI.

Per un CISO significa anche cambiare metrica. Contare quante patch sono state distribuite dice relativamente poco se non si sa quali percorsi di attacco siano stati effettivamente eliminati.

L’identità diventa il vero control plane della cyber security

Il secondo messaggio forte del report riguarda l’identità.

Microsoft la definisce il principale control plane della difesa, perché è attraverso identità umane e non umane che vengono concessi accessi a sistemi, dati e servizi.

La differenza rispetto al passato è che il problema non riguarda più soltanto gli utenti.

Applicazioni, workload cloud e soprattutto agenti AI introducono identità macchina dotate di autorizzazioni proprie. Il rischio cresce quando questi soggetti mantengono privilegi persistenti, credenziali riutilizzabili oppure possibilità di movimento non necessarie rispetto alla funzione che devono svolgere.

Il principio di least privilege diventa quindi ancora più importante.

MFA resistente al phishing, passkey, amministrazione a livelli e controlli rigorosi sugli accessi privilegiati restano tra le misure indicate da Microsoft. Ma la governance deve estendersi anche alle identità non umane.

Per le aziende che stanno introducendo agenti AI nei processi produttivi questo passaggio dovrebbe essere considerato già in fase progettuale.

Un agente non deve essere visto semplicemente come un’applicazione che utilizza un modello linguistico. È un soggetto operativo che può possedere una propria identità, utilizzare credenziali, invocare API e agire sui dati.

Gli agenti AI diventano una nuova superficie di attacco

La sezione dedicata all’AI è probabilmente la più interessante del Microsoft Digital Defense Report 2026.

Secondo i dati citati nel rapporto, l’88% delle imprese sta già sperimentando agenti AI e l’82% dei leader prevede di aumentarne l’adozione nei successivi 12-18 mesi. Le proiezioni di settore riportate da Microsoft indicano inoltre circa 1,3 miliardi di agenti AI in produzione entro il 2028.

La conseguenza è semplice: l’AI non rappresenta più soltanto uno strumento nelle mani dell’attaccante. Diventa essa stessa un asset da proteggere.

Microsoft individua cinque principali classi di rischio per gli ambienti agentici.

Prompt injection e manipolazione dell’intento

La prima riguarda la possibilità di inserire istruzioni malevole all’interno di prompt, documenti, contenuti o memorie elaborati dall’agente.

Il problema diventa particolarmente serio quando l’AI dispone di tool use.

Una prompt injection contro un chatbot può alterare la risposta restituita all’utente. Lo stesso attacco contro un agente autorizzato a interagire con applicazioni, API o filesystem può trasformarsi in un’azione concreta.

Il controllo deve quindi essere applicato sia agli input sia alle azioni generate dal modello.

Dati, privilegi ed excessive agency

La seconda superficie riguarda i dati.

Un agente può essere indotto a recuperare o restituire informazioni oltre il perimetro previsto. Per questo Microsoft indica controlli quali retrieval sensibile alla classificazione dei dati, DLP su input e output e segmentazione della memoria.

La terza area riguarda identità e privilegi: un attaccante potrebbe impersonare un sub-agent, riutilizzare credenziali sottratte oppure concatenare autorizzazioni appartenenti ad agenti differenti.

Diventano quindi necessari identità verificabili degli agenti, autenticazione reciproca, credenziali con scope limitato e least privilege.

Esiste poi il problema dell’excessive agency: convincere un agente a utilizzare strumenti o concatenare azioni oltre il comportamento autorizzato. Tool allow-listing, runtime gating e policy applicate all’esecuzione devono impedire che il reasoning del modello coincida automaticamente con il permesso di agire.

È un principio particolarmente importante: la decisione dell’AI e l’autorizzazione dell’infrastruttura devono restare due funzioni separate.

L’AI può diventare anche il bersaglio

Il report amplia ulteriormente il threat model considerando come possibili obiettivi gli stessi componenti dell’infrastruttura AI: input, dati utilizzati dal modello, pesi, infrastruttura di serving, informazioni degli utenti e output generati.

Un caso osservato da Microsoft rende concreto il rischio.

Nel dicembre 2025 l’azienda ha individuato un’estensione browser malevola, installata più di 600 mila volte, che raccoglieva la cronologia delle conversazioni con ChatGPT e DeepSeek. Secondo Microsoft, l’attività ha interessato quasi 10 mila organizzazioni prima di essere mitigata.

Una chat con un LLM può contenere codice sorgente, informazioni sull’architettura, dati dei clienti e perfino credenziali accidentalmente inserite dagli utenti.

Questo trasforma la cronologia delle conversazioni in un nuovo repository di informazioni sensibili.

Per le aziende significa che la sicurezza dell’AI deve essere collegata alla data security: classificazione, DLP, controllo degli accessi e policy sulla retention devono seguire il dato anche quando viene utilizzato da chatbot e agenti.

Cybercrime industrializzato: 145 milioni di QR phishing

Accanto all’AI, il cybercrime continua a beneficiare di ecosistemi criminali sempre più specializzati.

Tra luglio 2025 e giugno 2026 Microsoft Defender for Office 365 ha rilevato oltre 145 milioni di attacchi di phishing basati su QR code.

Ancora più significativo è il dato sugli allegati di phishing: secondo il report, tra l’89% e il 95% di quelli osservati conduceva a un tentativo di furto delle credenziali.

L’identità rimane quindi l’obiettivo naturale di molte campagne.

Microsoft ha inoltre rilevato oltre 46 milioni di attacchi di impersonificazione di contatti aziendali negli ultimi dodici mesi. E nel voice phishing il 93% degli attacchi osservati è riuscito a mantenere la vittima al telefono abbastanza a lungo da avviare il processo di social engineering.

Sono numeri che suggeriscono un limite anche per i tradizionali programmi di awareness.

La formazione rimane necessaria, ma non può essere considerata l’ultimo livello di protezione. Se l’attaccante può produrre comunicazioni credibili, personalizzate e multicanale su larga scala, il sistema di sicurezza deve assumere che prima o poi qualcuno commetterà un errore.

Ransomware: cresce ancora la pressione sul manifatturiero

Anche il ransomware continua a evolvere.

Microsoft rileva nel 2026 un aumento del 15,8% anno su anno delle ransom detonation contro le imprese. Il critical manufacturing è il settore maggiormente interessato per numero di attacchi ransomware osservati.

È un dato che merita particolare attenzione per il mercato italiano.

L’impatto di un ransomware sugli ambienti produttivi non si misura soltanto attraverso la disponibilità dei dati. Quando IT, cloud, identità e sistemi industriali sono interconnessi, una compromissione può produrre effetti sulla continuità dei processi, sulla logistica e sulla capacità di erogare servizi.

La resilienza assume quindi un significato operativo.

Backup e disaster recovery sono necessari, ma non sufficienti se le identità utilizzate per amministrarli appartengono allo stesso dominio compromesso o se le procedure non sono state testate in condizioni realistiche.

Infrastrutture critiche: il cloud identity abuse compare nel 78% delle tecniche

Il tema diventa ancora più evidente quando si osservano le infrastrutture critiche.

Secondo Microsoft, il 78% delle tecniche di attacco osservate contro infrastrutture critiche ha utilizzato forme di abuso delle identità cloud.

Il dato mostra perché la tradizionale distinzione tra cybersecurity IT e protezione delle infrastrutture fisiche sia sempre meno efficace.

Quando servizi operativi, applicazioni e processi industriali dipendono da identità federate e piattaforme cloud, un attacco all’identità può produrre conseguenze molto lontane dal semplice account takeover.

La cyber resilienza deve quindi essere progettata sulle dipendenze effettive dei servizi.

L’Italia quinta in Europa: come leggere davvero il dato

Nel primo semestre 2026 l’Italia si è collocata al quattordicesimo posto globale e al quinto in Europa tra i Paesi nei quali i clienti Microsoft sono stati più frequentemente interessati da attività informatiche.

Il dato non deve essere interpretato come una classifica assoluta della “insicurezza” dei diversi Paesi: misura l’attività osservata all’interno della telemetria Microsoft e dipende inevitabilmente anche dalla presenza dei suoi servizi e clienti.

Rimane però un indicatore rilevante dell’esposizione del tessuto digitale nazionale.

Per le imprese italiane la lezione coincide con quella generale del report: proteggere il perimetro non basta più, perché il perimetro stesso è diventato distribuito.

Utenti, fornitori, cloud, applicazioni SaaS, API, agenti e workload costituiscono una rete di relazioni di fiducia. È su queste relazioni che l’attaccante prova sempre più spesso a costruire il proprio percorso.

Dal vulnerability management all’exposition management

Il Microsoft Digital Defense Report 2026 propone quindi un cambio di prospettiva particolarmente utile per CISO e security manager.

Le organizzazioni dovrebbero progressivamente abbandonare una sicurezza misurata sul volume delle attività svolte – patch installate, alert chiusi, tool distribuiti – e concentrarsi sulla riduzione dell’esposizione concreta.

Questo richiede innanzitutto una conoscenza affidabile degli asset e delle identità.

Bisogna sapere quali sistemi sono raggiungibili da Internet, quali vulnerabilità possiedono, quali identità possono amministrarli, quali dipendenze esterne utilizzano e quali percorsi potrebbero consentire a un attaccante di spostarsi verso dati o servizi critici.

Su questa base l’AI può rappresentare un vantaggio anche per la difesa, accelerando correlazione dei segnali, prioritizzazione e risposta.

Ma l’automazione deve poggiare su telemetria integrata.

Microsoft insiste molto su questo punto: analizzare separatamente endpoint, identità, email, cloud e rete rischia di nascondere proprio il pattern che permette di riconoscere l’attacco.

Per i CISO la priorità è governare velocità, identità e resilienza

Il Microsoft Digital Defense Report 2026 restituisce quindi uno scenario nel quale molte tecniche d’attacco rimangono familiari, mentre cambiano drasticamente la loro velocità e la capacità di concatenarle.

Phishing, credential theft, privilege escalation, ransomware e sfruttamento delle vulnerabilità non sono fenomeni nuovi.

AI, automazione, cloud e agenti rendono però possibile eseguirli più rapidamente e collegarli attraverso superfici che fino a pochi anni fa venivano governate separatamente.

Per le organizzazioni ne derivano tre priorità.

La prima è trattare l’identità come infrastruttura di sicurezza, includendo persone, workload, applicazioni e agenti.

La seconda è ridurre la finestra tra identificazione dell’esposizione e mitigazione. Quando un sistema pubblicamente raggiungibile può essere attaccato nell’arco di poche ore, i processi manuali e le patch cycle troppo lunghe diventano essi stessi un rischio.

La terza riguarda la resilienza.

Microsoft rileva che il 63% delle intrusioni considerate nel report ha coinvolto il furto di dati. Ma in un ecosistema sempre più interconnesso l’impatto non può essere misurato soltanto chiedendosi se un dato sia stato sottratto.

Bisogna sapere se l’organizzazione può continuare a operare quando un’identità viene compromessa, un provider diventa indisponibile, una supply chain viene attaccata o un agente AI esegue un’azione inattesa.

È forse questa la conclusione più importante del report: la cyber security sta passando dalla protezione dei singoli oggetti digitali alla capacità di governare le relazioni e le dipendenze che li collegano.

L’AI accelera questa trasformazione, sia dalla parte dell’attacco sia da quella della difesa. Ma gli strumenti decisivi rimangono riconoscibili: identità robuste, least privilege, visibilità, segmentazione, controllo dei dati, threat intelligence e capacità di recupero.

La differenza è che oggi devono funzionare insieme e alla velocità delle macchine.