Sicurezza Industriale e Data Manipulation: il rischio che i CDA italiani ancora non hanno in agenda

Secondo il report 2H 2025 di Nozomi Networks Labs, nel secondo semestre 2025 i sistemi OT e IoT delle organizzazioni manifatturiere italiane sono stati il bersaglio principale di una tipologia di attacco che non si vede, non si annuncia e non chiede riscatto: si chiama Data Manipulation, la manipolazione silenziosa dei dati operativi, che, sempre secondo il report, rappresenta la tecnica di attacco più rilevata in Italia per il secondo semestre consecutivo, con oltre un quarto di tutti gli alerts generati nei sistemi monitorati.

“Si tratta di un dato che ha una rilevanza che supera il dominio tecnico – sottolinea Alessandro Di Pinto, Sr. Director of Security Research, Nozomi Networks, un rischio operativo, non solo informatico”.

Sicurezza Industriale e Data Manipulation 

“La Data Manipulation applicata a sistemi industriali – prosegue Di Pinto – non altera email o file di testo. Altera i parametri che governano i processi produttivi: letture di sensori, soglie di sicurezza, valori di controllo. Le conseguenze non si manifestano come un blocco improvviso, ma come un degrado silenzioso della qualità, della sicurezza operativa, della conformità. Le decisioni vengono prese su dati che non riflettono la realtà. I costi emergono a valle, in termini di difetti, rilavorazioni, fermi non pianificati, responsabilità.

A livello globale, la tecnica dominante rilevata dalla telemetria di Nozomi Networks nel secondo semestre 2025 è stata l’Adversary-in-the-Middle, associata al 26,5% degli alert complessivi. L’Italia si distingue con un profilo diverso: qui è la manipolazione dei dati a dominare, con una persistenza che dura ormai dodici mesi di dati consecutivi. Il pattern è condiviso anche dalla Germania, secondo paese più colpito in Europa nella classifica globale, dove la Data Manipulation ha guidato la classifica con il 38,8% degli alert. Non si tratta di coincidenza: i due principali sistemi manifatturieri dell’Europa continentale presentano un profilo di rischio simile, centrato sull’alterazione silenziosa dei processi piuttosto che sulla disruption immediata.

Il manifatturiero italiano è un bersaglio diretto

Il settore più colpito in Italia nel periodo analizzato è stato il manifatturiero, seguito dai trasporti. Il nostro è il secondo paese manifatturiero dell’Unione Europea per valore aggiunto industriale, dopo la Germania. Questa posizione non è solo un titolo di merito: è anche una misura dell’esposizione. Le reti industriali manifatturiere combinano sistemi OT spesso datati, crescente connettività IT/OT e scarsa visibilità sul traffico industriale, una combinazione che rappresenta un ambiente favorevole per gli attaccanti che privilegiano tecniche persistenti e difficili da rilevare.

A livello globale, il report documenta conseguenze concrete degli attacchi al settore manifatturiero: ‘perdite finanziarie enormi, inclusi i tempi di fermo legati alle attività di indagine e remediation‘. Un caso emblematico coinvolge KNP Logistics, un’azienda britannica con 700 dipendenti e 158 anni di storia, portata al fallimento in seguito a un incidente cyber nel luglio 2025. È un precedente che dovrebbe essere letto con attenzione dai responsabili di governance delle imprese industriali italiane: non come caso limite, ma come indicatore di rischio reale.

I precedenti europei: dall’industria agli aeroporti

Nell’analisi del panorama 2H 2025, il report cita anche l’attacco ransomware che ha colpito l’infrastruttura software di Collins Aerospace  nel settembre 2025, causando interruzioni diffuse nelle procedure di check-in e gestione dei bagagli in numerosi aeroporti europei. L’incidente illustra come le interdipendenze OT, in un’economia sempre più connessa, amplificano l’impatto di un singolo attacco ben oltre il perimetro dell’organizzazione colpita. In un contesto di supply chain manifatturiera complessa come quella italiana, fatta di distretti, subfornitura e integrazione verticale, lo stesso principio si applica con uguale forza.

Il quadro italiano nel secondo semestre 2025

Oltre alla minaccia della Data Manipulation, il periodo è stato caratterizzato da altri segnali rilevanti per il contesto nazionale:

• l’Agenzia per la Cybersicurezza Nazionale (ACN) ha registrato un aumento del 13% degli incidenti gravi a novembre 2025 rispetto a ottobre;
• l’attività DDoS a livello nazionale è cresciuta in modo significativo, con interruzioni di servizio documentate su infrastrutture e organizzazioni italiane;
• in estate 2025, un attacco coordinato ha colpito multiple strutture alberghiere italiane, con il furto di decine di migliaia di documenti di identità scansionati, un caso con implicazioni dirette in materia di GDPR e con potenziale ricaduta reputazionale per il settore.

La dimensione geopolitica

Il report documenta che il panorama delle minacce OT/IoT è sempre più influenzato da attori legati a stati nazionali, con Manufacturing e Transportation che sono risultati tra i settori più colpiti.

Le infrastrutture industriali, energetiche e di trasporto sono bersagli di interesse per campagne motivate da ragioni geopolitiche, non solo finanziarie. Per un’economia G7 con un’infrastruttura manifatturiera rilevante, membro della NATO, con filiere energetiche e logistiche integrate nel sistema europeo, questo contesto non è una variabile residuale. È una variabile strategica che appartiene all’analisi del rischio d’impresa.

La pressione normativa cambia il perimetro di responsabilità

Il Cyber Resilience Act dell’UE (Regolamento UE 2024/2847), di cui le aziende italiane hanno avviato l’adeguamento in questo periodo, introduce requisiti vincolanti di cybersicurezza per i prodotti connessi. Questo spostamento normativo ha una conseguenza diretta sulla governance aziendale: la cybersicurezza OT non è più un tema che può essere delegato esclusivamente al dipartimento IT. Diventa una voce di rischio operativo con implicazioni legali, finanziarie e reputazionali che appartengono all’agenda del consiglio di amministrazione. L’inosservanza espone le organizzazioni a conseguenze che vanno dalle sanzioni amministrative ai danni reputazionali, fino alla responsabilità civile in caso di incidente con impatto su terzi.

La governance come leva competitiva

La risposta non è puramente tecnica. Le aziende che stanno costruendo capacità di resilienza OT non si limitano a installare strumenti di rilevamento: stanno ridefinendo la governance della sicurezza industriale. Questo significa integrare la cybersicurezza OT nel risk management aziendale con metriche proprie e non derivate dai sistemi IT; significa includere criteri di sicurezza informatica nella due diligence della supply chain; significa costruire procedure di risposta agli incidenti che tengano conto della specificità degli ambienti industriali, dove un fermo non pianificato ha un costo immediato e misurabile.

Il modello dei distretti industriali italiani, fatto di PMI fortemente specializzate, interconnesse, con relazioni di subfornitura dense, rende la dimensione della condivisione delle informazioni sulle minacce particolarmente rilevante. Uno degli scenari di rischio più concreti per le filiere manifatturiere italiane non è l’attacco diretto alla grande azienda, ma la compromissione di un fornitore di medie dimensioni con accesso privilegiato ai sistemi del cliente finale.

Le aziende che non costruiscono oggi le capacità di rilevamento, visibilità continua sui sistemi OT, anomaly detection, gestione delle vulnerabilità risk-based, affronteranno un costo significativamente più alto quando un incidente si verificherà. E i dati suggeriscono che il rischio non è ipotetico. L’identità industriale italiana, il Made in Italy come standard di qualità e precisione, è anche un asset da difendere. Farlo richiede che la sicurezza dei processi produttivi smetta di essere un tema tecnico e diventi una priorità di governance”, conclude Di Pinto.