Nei primi giorni di maggio una notizia ha scosso il mondo della cybersicurezza e della pubblica amministrazione italiana: un attacco informatico ha colpito Sistemi Informativi, società del gruppo IBM attiva nella progettazione e gestione di soluzioni IT utilizzate anche dalla Pubblica Amministrazione italiana. 

Non si tratta di una semplice violazione tecnica: Sistemi Informativi opera per ministeri, INPS, INAIL, sanità digitale, cloud nazionale e progetti PNRR. La porta di servizio della PA italiana è stata aperta.

A indagare sono ora i pm dell’Antiterrorismo di Roma, coordinati dal procuratore Francesco Lo Voi, che hanno aperto un fascicolo ipotizzando il reato di accesso abusivo a sistema informatico. Un coinvolgimento dell’Antiterrorismo che la dice lunga sulla gravità percepita della vicenda.

Chi è Sistemi Informativi e perché colpirla equivale a colpire tutti

Sistemi Informatici srl, fondata nel 1979, non è una semplice azienda di tecnologia: opera direttamente con la pubblica amministrazione. È, di fatto, uno snodo invisibile ma fondamentale dell’Italia digitale: gestisce piattaforme per enti previdenziali, infrastrutture energetiche, telecomunicazioni, finanza. Un bersaglio tutt’altro che casuale.

L’attacco ha sfruttato un fornitore che gestisce la PA piuttosto che la PA stessa. È quindi un pattern di supply chain attack che il settore conosce a memoria: invece di attaccare cento ministeri, si attacca l’unico operatore che li serve tutti. Il rapporto rischio-rendimento per l’attaccante è straordinario, il danno potenziale per il difensore è proporzionato all’estensione della catena.

La pista cinese: chi è Salt Typhoon

Il nome che circola negli ambienti investigativi e di intelligence è quello di Salt Typhoon. 

È un gruppo di Advanced Persistent Threat (APT), una categoria di minacce informatiche sofisticate e durature. I report occidentali di sicurezza informatica collegano frequentemente questo gruppo a Pechino e all’apparato di spionaggio cinese, sebbene il governo cinese abbia sempre negato ogni collegamento.

Il modus operandi del gruppo è preciso e inquietante: niente ransomware, niente messaggi, niente blocchi. Gli attaccanti entrano, si muovono silenziosamente per settimane, copiano quello che possono e scompaiono. Vero e proprio spionaggio: in pratica è più pericoloso del ransomware, perché il bersaglio scopre la violazione tardi e non sa quali dati siano stati esfiltrati.

Il curriculum di Salt Typhoon parla da solo. Il gruppo ha violato diverse organizzazioni sin dall’inizio del 2025, incluse Viasat, aziende di telecomunicazioni canadesi, la Guardia Nazionale dell’esercito statunitense e reti governative olandesi. In tutti questi episodi ricorre uno stesso schema: esfiltrazione prolungata di dati, osservazione silenziosa e compromissione di infrastrutture con potenziale di esecuzione di comandi su scala. La Casa Bianca aveva già attribuito a Salt Typhoon il gravissimo attacco informatico contro i colossi delle telecomunicazioni americane,  scoperto nell’ottobre 2024.

Cosa è successo ai sistemi italiani

Secondo le prime ricostruzioni, per due settimane la gang avrebbe conservato l’accesso ai sistemi. Una finestra temporale lunga, che ha consentito agli intrusi di muoversi indisturbati all’interno di reti che toccano pezzi nevralgici dello Stato.

IBM ha confermato l’incidente, dichiarando di aver “identificato e contenuto un episodio di sicurezza informatica”, di monitorare costantemente i propri ambienti digitali e di aver già attivato tutti i protocolli di risposta. La società non ha fornito dettagli sull’attribuzione dell’attacco, escludendo però Salt Typhoon, che erano stati indicati in un primo momento. 

Stop alle chiamate truffa: Agcom inserisce i numeri brevi a 3 cifre

Ha confermato però che si tratta di una finalità di cyberspionaggio.

Nel frattempo, le conseguenze immediate erano già visibili: il sito web di Sistemi Informativi è rimasto irraggiungibile per ore. La società ha poi rassicurato che i propri sistemi “sono stati stabilizzati, i servizi interessati sono stati ripristinati” e che il monitoraggio prosegue.

L’inchiesta dell’Antiterrorismo e il lavoro dell’ACN

La procura di Roma ha acceso i riflettori sull’accaduto aprendo un fascicolo per accesso abusivo a sistema informatico. I magistrati, coordinati dal procuratore Lo Voi, attendono una prima informativa dalle forze dell’ordine a cui sono state delegate le indagini, per ricostruire portata e modalità dell’eventuale intrusione.

Sul fronte tecnico, la risposta è stata immediata e articolata: l’ACN lavora per definire origine ed eventuale impatto dell’attacco. Agli specialisti dell’Agenzia per la cybersicurezza nazionale si affiancano i tecnici interni di Sistemi Informativi ed esperti esterni ingaggiati da IBM, impegnati nella bonifica degli ambienti compromessi e nel ripristino della piena operatività.

Dati pubblici a rischio? Il punto sulla situazione

La domanda che tutti si pongono riguarda i dati. Secondo Repubblica, ad essere colpite sono grandi aziende, gruppi finanziari, delle telecomunicazioni e dell’energia. Tra le pubbliche amministrazioni, INPS e INAIL. Tuttavia, ad oggi si esclude il coinvolgimento di alcun ransomware e l’estorsione, cifratura o blocco dei sistemi associati a questo incidente. “È importante sottolineare che l’indagine non ha identificato alcuna compromissione di dati o sistemi dei clienti del settore pubblico”.

La cautela è d’obbligo, però. Nei sistemi informatici pubblici non sempre è immediato capire quali stanze digitali siano state raggiunte, quali registri siano stati aperti e quali copie siano state eventualmente portate via.

Un problema strutturale che va oltre l’episodio

L’attacco a Sistemi Informativi non è un fulmine a ciel sereno. A febbraio scorso era balzata agli onori della cronaca la violazione dei sistemi digitali del ministero degli Interni, tra il 2024 e il 2025, con il furto dei dati sensibili di 5.000 agenti Digos impegnati anche nella vigilanza sulle comunità straniere.

Il quadro che emerge è quello di una PA digitale esposta, strutturalmente vulnerabile, affidata a pochissimi grandi fornitori. Quando viene fuori una storia come questa, la domanda inquietante è: in quante altre infrastrutture critiche, italiane e non, ci sono infiltrazioni simili ma semplicemente nessuno se ne accorge?

Il kill switch

Per arginare il rischio degli attacchi informatici da Pechino, la Commissione europea ha proposto l’esclusione di tecnologie e componenti cinesi dai servizi essenziali, con la revisione del Cybersecurity Act. Il timore è il cosiddetto kill switch, l’interruttore a distanza per spegnere i servizi digitali di una nazione ostile: un sabotaggio in piena regola. Ma le tecnologie cinesi hanno già conquistato ampie fette di mercato. Tornare indietro, per la sola PA italiana, costerebbe decine di miliardi. Un prezzo che nessuno sembra ancora disposto a pagare.

Chi è Salt Typhoon, il gruppo hacker cinese sospettato dell’attacco?

Salt Typhoon è un gruppo APT (Advanced Persistent Threat) collegato dagli analisti occidentali all’apparato di spionaggio cinese. È noto per intrusioni silenziose e prolungate, senza ransomware né richieste di riscatto. Ha già colpito telecomunicazioni USA, reti olandesi e la Guardia Nazionale americana tra il 2024 e il 2025.

Cos’è un supply chain attack e perché è pericoloso per la PA?

Un supply chain attack colpisce un fornitore comune invece dei singoli bersagli. Attaccando Sistemi Informativi, gli hacker hanno potenzialmente avuto accesso a decine di enti pubblici e aziende in un solo colpo. È una strategia con un altissimo rendimento per chi attacca e un danno a cascata difficilmente contenibile per chi si difende.