Milano Cortina 2026 ha evidenziato la necessità di difese più solide contro le minacce informatiche basate sull’IA

Milano Cortina 2026 non è stata soltanto una grande manifestazione sportiva internazionale. I Giochi hanno offerto anche una dimostrazione concreta di quanto un evento seguito in tutto il mondo possa ampliare le opportunità per hacker, gruppi hacktivisti e truffatori online. Nelle settimane intorno alle competizioni, l’Italia ha affrontato attacchi DDoS contro hotel, infrastrutture e obiettivi istituzionali, mentre il ricorso crescente all’intelligenza artificiale ha reso phishing e impersonificazione più facili da produrre su larga scala.

I dati raccolti dopo la chiusura dei Giochi mostrano che il problema non era soltanto teorico. Milano Cortina ha così lasciato una lezione che riguarda sia le istituzioni italiane sia le persone che ogni giorno affidano dati e credenziali ai servizi online.

Gli attacchi che hanno accompagnato Milano Cortina

La minaccia informatica prevista prima dei Giochi si è tradotta in attività reali. Nei giorni immediatamente precedenti l'inaugurazione, un gruppo di attaccanti ha rivendicato attacchi DDoS contro vari obiettivi italiani, tra cui alcuni hotel di Cortina. Un hotel a quattro stelle ha visto temporaneamente inaccessibili i propri servizi online, poi ripristinati dai tecnici.

Nella stessa campagna sono stati presi di mira anche l’ambasciata italiana a Washington e i consolati di Sydney, Toronto e Parigi. Il ministro degli Esteri Antonio Tajani riferì che una serie di azioni era stata respinta.

Il caso mostrava quanto fosse ampia la superficie esposta. Non erano coinvolti soltanto i sistemi direttamente collegati alle competizioni: strutture ricettive, servizi e istituzioni potevano diventare bersagli per la loro relazione con l’evento. Unit 42 aveva indicato proprio fornitori locali, infrastrutture, applicazioni e altri sistemi collegati ai Giochi tra i possibili punti di ingresso per gli aggressori.

Dalle infrastrutture alle credenziali personali

Gli attacchi DDoS sono stati la componente più visibile, ma non rappresentavano l’unico rischio. Prima dei Giochi, Unit 42 aveva segnalato phishing, compromissione delle email aziendali e utilizzo di credenziali già sottratte tra le tecniche da monitorare. L’IA può rendere i messaggi fraudolenti più convincenti e permetterne la produzione su una scala molto più ampia, riducendo anche gli errori linguistici che un tempo aiutavano a riconoscere una truffa.

Per partecipanti, visitatori e pubblico, questo significava prestare attenzione a email e SMS che simulavano comunicazioni su prenotazioni, accessi o servizi e chiedevano di effettuare rapidamente un login. Il credential harvesting punta proprio a portare la vittima su una pagina contraffatta per raccogliere nome utente e password.

Una password rubata diventa ancora più pericolosa quando viene riutilizzata. Per questo molte persone ricorrono a un generatore password per creare credenziali lunghe, casuali e diverse per ciascun account, affiancandolo a un password manager e all’autenticazione a più fattori.

Il dato del 181% mostra la dimensione del fenomeno

L’analisi pubblicata da NETSCOUT dopo i Giochi ha permesso di quantificare ciò che era accaduto. Secondo ASERT, il volume degli attacchi DDoS contro infrastrutture italiane è aumentato del 181% rispetto ai livelli del 2025. Tra il 6 e il 23 febbraio sono stati osservati 12.963 attacchi, con una media di circa 720 al giorno.

L’attività non si è fermata con la cerimonia conclusiva. Il 24 febbraio NETSCOUT ha registrato 2.281 attacchi, il valore giornaliero più alto osservato contro l’Italia nei tre anni considerati dall’analisi. Nel complesso, i cinque giorni con i maggiori conteggi si sono concentrati tra il 20 e il 24 febbraio.

Il quadro rende Milano Cortina un caso concreto di come un appuntamento internazionale possa creare una finestra temporale prevedibile nella quale gli aggressori concentrano risorse, visibilità e pressione su sistemi pubblici e privati.

L’IA ha aumentato le possibilità sia degli aggressori sia dei difensori

L’intelligenza artificiale ha aggiunto un altro livello al problema. Unit 42 aveva avvertito che gli aggressori potevano utilizzarla per produrre rapidamente email di phishing convincenti, creare deepfake e individuare vulnerabilità in software e API. La stessa tecnologia permette di imitare con maggiore precisione lo stile comunicativo di persone o organizzazioni, rendendo meno evidenti alcuni segnali tradizionali di frode.

Il Global Cybersecurity Outlook 2026 del World Economic Forum offre un contesto più ampio: il 94% dei partecipanti alla ricerca indicava l’IA come il principale fattore di cambiamento nella cybersicurezza per il 2026, mentre l’87% considerava le vulnerabilità legate all’IA il rischio informatico cresciuto più rapidamente nel 2025.

La tecnologia, però, opera su entrambi i fronti. Sistemi basati sull’IA possono aiutare i team di sicurezza ad analizzare grandi quantità di dati, individuare anomalie e accelerare la risposta agli incidenti. La sfida è quindi mantenere capacità difensive in grado di muoversi alla stessa velocità degli aggressori.

La risposta italiana ha limitato gli effetti degli attacchi

Il fatto che gli attacchi siano avvenuti non significa che abbiano raggiunto tutti gli obiettivi cercati dagli aggressori. Nel caso delle azioni prima dell’apertura, le autorità italiane riferirono che non si erano verificati disservizi di rilievo sui siti presi di mira, salvo interruzioni temporanee, come quella registrata presso un albergo di Cortina.

Per i Giochi era stato predisposto un Technology Operations Centre operativo 24 ore su 24. Alla protezione dello spazio informatico dell’evento partecipavano la Fondazione Milano Cortina, Deloitte, l’Agenzia per la cybersicurezza nazionale e specialisti della Polizia postale e delle comunicazioni. L’ACN aveva inviato dieci tecnici a Milano per contribuire al monitoraggio e alla risposta.

Il confronto con i numeri di NETSCOUT è significativo: quasi 13.000 attacchi DDoS osservati durante il periodo olimpico non si sono tradotti in una paralisi equivalente dei servizi. Questo indica quanto contano preparazione, monitoraggio continuo, condivisione delle informazioni e capacità di intervenire rapidamente quando l’attività anomala viene rilevata.

Cosa resta dopo Milano Cortina 2026

A giochi conclusi, il dato più significativo non è soltanto il numero degli attacchi, ma il modo in cui questi hanno seguito il calendario dell’evento. NETSCOUT ha rilevato un’escalation già nelle due settimane precedenti all’apertura, un’attività molto elevata durante le competizioni e un picco immediatamente successivo alla chiusura. Il comportamento suggerisce che gli eventi globali offrano agli aggressori periodi prevedibili nei quali concentrare campagne e risorse.

Per l’Italia, la conseguenza è più ampia della protezione di una singola manifestazione. Trasporti, strutture ricettive, istituzioni, fornitori e servizi online possono essere coinvolti anche senza appartenere direttamente all’organizzazione di un evento.

Parallelamente, phishing assistito dall’IA, deepfake e furto di credenziali spostano una parte della difesa fino al singolo account. Milano Cortina 2026 ha quindi lasciato due indicazioni complementari: lo Stato e le imprese devono prepararsi a campagne coordinate su larga scala, mentre gli utenti devono trattare credenziali, richieste urgenti e comunicazioni inattese come possibili punti d’ingresso per attacchi sempre più sofisticati.