ACN monitora minacce cyber agli aeroporti: allerta per gli italiani transitati nel Regno Unito

🛡️ Executive Summary

• ACN e CSIRT Italia monitorano minacce cyber contro infrastrutture pubbliche e private, senza rilevare al momento incidenti presso aeroporti italiani.
• I cittadini italiani transitati negli aeroporti inglesi coinvolti devono prestare particolare attenzione a e-mail, SMS e telefonate sospette.
• ACN sconsiglia operazioni sensibili tramite Wi-Fi pubblico e raccomanda, quando necessario, l’attivazione preventiva di una VPN affidabile.

L’Agenzia per la cybersicurezza nazionale alza il livello di attenzione sulle conseguenze per l’Italia degli incidenti cyber che hanno coinvolto infrastrutture aeroportuali inglesi. In una comunicazione del 29 agosto 2026, ACN precisa che non emergono al momento evidenze di incidenti in corso presso gli aeroporti italiani, ma non esclude che informazioni relative a cittadini italiani transitati nelle infrastrutture britanniche coinvolte possano essere state acquisite dagli autori degli attacchi. Il monitoraggio viene condotto attraverso CSIRT Italia, articolazione operativa H24 dell’Agenzia, in una fase nella quale ACN ha già portato a 43.675 gli alert preventivi inviati nel primo semestre 2026.

ACN monitora threat actor sofisticati e possibili ricadute sull’Italia

Nel comunicato, ACN parla di fenomenologie cyber e minacce di natura cibernetica attivate da threat actor sofisticati, definendo il perimetro in modo volutamente ampio: soggetti, gruppi o entità nazionali e internazionali che perseguono progetti malevoli finalizzati alla compromissione di infrastrutture pubbliche e private. L’Agenzia non attribuisce nel testo gli incidenti a uno specifico gruppo e non fornisce indicatori tecnici che consentano di collegarli a una particolare campagna. La cautela è coerente con il ruolo operativo dello CSIRT, chiamato prima di tutto a valutare impatto, propagazione e possibili conseguenze sul Sistema Paese. È lo stesso approccio emerso nel confronto con Luca Nicoletti sul ruolo di ACN, della NIS2 e della capacità nazionale di risposta agli incidenti, dove prevenzione e condivisione degli indicatori diventano centrali prima ancora dell’attribuzione pubblica.

Nessun incidente rilevato negli aeroporti italiani

Il passaggio più rassicurante riguarda direttamente le infrastrutture nazionali: sulla base delle informazioni finora acquisite, ACN afferma che non esistono evidenze di incidenti in corso presso gli aeroporti italiani. Questo non interrompe però il monitoraggio. Aeroporti, compagnie, sistemi di check-in, fornitori tecnologici e piattaforme di gestione dei passeggeri formano una supply chain digitale nella quale la compromissione di un singolo soggetto può avere conseguenze operative molto più ampie. Il settore dei trasporti rientra proprio tra quelli nei quali interdipendenze tecnologiche e fornitori esterni possono amplificare rapidamente l’impatto di un incidente, come mostrato nei recenti attacchi contro supply chain, porti, sanità e infrastrutture operative. ACN sta quindi seguendo sia eventuali effetti diretti sia possibili conseguenze indirette sul contesto nazionale.

Leggi anche: Gunra e i sabotaggi OT mostrano perché la protezione delle infrastrutture critiche richiede monitoraggio continuo

I dati dei passeggeri possono diventare materia prima per nuove truffe

L’allerta più concreta riguarda gli utenti italiani che sono transitati negli aeroporti inglesi interessati dagli incidenti recenti. ACN afferma che non può essere esclusa l’eventualità che gli attaccanti abbiano acquisito informazioni riferibili anche a cittadini italiani. Non significa che l’Agenzia abbia accertato una sottrazione generalizzata di dati personali: il comunicato descrive una possibilità da considerare nella gestione del rischio. Se informazioni anagrafiche, contatti o altri elementi collegati a un viaggio entrassero nella disponibilità di criminali, potrebbero però essere utilizzati per costruire comunicazioni molto più credibili. Campagne come JWR mostrano quanto il phishing contemporaneo sia capace di utilizzare dati contestuali per rubare carte, OTP e identità in tempo reale, trasformando informazioni apparentemente ordinarie in strumenti di social engineering.

ACN avverte su e-mail, SMS e telefonate sospette

La raccomandazione dell’Agenzia è esplicita: gli interessati devono prestare massima attenzione a e-mail, SMS e telefonate sospette, evitando di aprire allegati o accedere a link presenti in comunicazioni dubbie o inattese. È un avvertimento che copre contemporaneamente phishing, smishing e vishing, perché un eventuale dataset proveniente dal settore dei viaggi potrebbe permettere ai criminali di impersonare aeroporti, compagnie aeree, operatori turistici, assicurazioni o servizi di pagamento. Una comunicazione che cita correttamente un viaggio recente ha infatti una probabilità maggiore di superare la diffidenza iniziale della vittima. In Italia questa tecnica è già evidente nelle campagne che impersonano SPID, pagoPA, ARERA e altri servizi istituzionali per raccogliere dati e credenziali. Il dato sottratto durante un incidente può quindi continuare a produrre rischi molto tempo dopo il ripristino dell’infrastruttura colpita.

Attenzione anche alle false comunicazioni che sfruttano autorità e urgenza

Una parte del rischio deriva dalla capacità degli attaccanti di usare urgenza, autorità e paura per indurre la vittima ad agire rapidamente. Nel contesto aeroportuale potrebbero essere particolarmente credibili messaggi relativi a rimborsi, bagagli, voli cancellati, verifiche di identità o pagamenti da completare. Il comunicato ACN non indica campagne specifiche già osservate contro i passeggeri italiani, quindi questi scenari non devono essere descritti come attacchi attualmente in corso; rappresentano però vettori compatibili con il tipo di dati potenzialmente esposto. La stessa dinamica è stata osservata nelle false e-mail della Polizia che accusavano i destinatari di reati per costringerli a rispondere o aprire documenti malevoli: più il messaggio riesce a creare pressione psicologica, minore diventa il tempo dedicato dalla vittima alla verifica della fonte.

Il Wi-Fi pubblico negli aeroporti resta una superficie di rischio

ACN richiama inoltre l’attenzione sull’utilizzo dei servizi pubblici Wi-Fi, non soltanto negli aeroporti ma in qualsiasi struttura pubblica o privata. L’Agenzia li definisce per loro natura poco sicuri e raccomanda di evitare attraverso queste reti operazioni sensibili, in particolare attività bancarie o amministrative che richiedano l’inserimento di credenziali o dati personali. Il rischio non implica che ogni rete aeroportuale sia compromessa: il problema è la minore capacità dell’utente di verificare infrastruttura, configurazione e autenticità dell’access point a cui si collega. Una superficie simile è stata sfruttata nella campagna CaptiveCrunch, dove Midnight Blizzard ha dirottato il Wi-Fi degli hotel per colpire viaggiatori di alto profilo, dimostrando quanto gli ambienti frequentati da persone in mobilità siano interessanti anche per attori sofisticati.

La VPN va attivata prima dell’accesso ai servizi sensibili

Quando il collegamento a una rete pubblica è inevitabile, ACN suggerisce l’attivazione di una VPN prima di accedere ai servizi. La sequenza è importante: il tunnel deve essere stabilito prima che l’utente inizi a trasmettere credenziali o informazioni sensibili. Una VPN non rende automaticamente affidabile una rete ostile e non protegge da phishing, malware o siti falsi, ma riduce l’esposizione del traffico rispetto a una connessione non protetta. Anche la scelta del servizio è decisiva, perché applicazioni presentate come strumenti di sicurezza possono essere esse stesse malevole: le 737 estensioni VPN individuate su Chrome hanno mostrato come servizi apparentemente protettivi possano trasformarsi in infrastrutture proxy controllate da terzi. La raccomandazione va quindi interpretata come uso di una VPN affidabile e già configurata, non come invito a installare in emergenza il primo servizio trovato online.

ACN monitora anche possibili fenomeni di disinformazione

L’Agenzia estende infine il monitoraggio alle fenomenologie riconducibili a più ampi contesti di disinformazione, precisando però che finora non sono stati rilevati indicatori di un aumento di questo specifico tipo di minaccia. La formulazione è importante perché evita di trasformare una possibilità in un fenomeno già osservato. Durante incidenti che coinvolgono infrastrutture critiche, informazioni incomplete, indiscrezioni e rivendicazioni non verificate possono comunque essere utilizzate per amplificare la percezione dell’impatto o costruire attribuzioni premature. Il problema è già evidente nelle operazioni ibride in cui cyberattacchi, intelligence e manipolazione informativa vengono utilizzati come livelli differenti della stessa pressione strategica. ACN mantiene quindi aperto anche il fronte informativo senza segnalare, allo stato attuale, una specifica escalation.

Continua con:

• ACN invia 43.675 alert cyber e avverte sui falsi colloqui LinkedIn
• Falso AGCOM e smishing INPS sfruttano fiducia istituzionale e intelligenza artificiale

L’allerta riguarda soprattutto ciò che può accadere dopo l’incidente

Il messaggio dell’ACN non segnala dunque un’emergenza cyber negli aeroporti italiani e non attribuisce pubblicamente gli incidenti britannici a uno specifico attore. L’elemento operativo riguarda soprattutto le possibili conseguenze successive per i cittadini: dati eventualmente acquisiti possono alimentare nuove campagne di social engineering, mentre reti Wi-Fi pubbliche e dispositivi utilizzati in viaggio aumentano ulteriormente la superficie esposta. Il quadro conferma quanto la sicurezza nazionale dipenda anche dalla capacità di collegare monitoraggio centrale e comportamento individuale, principio già evidente nell’attività dello CSIRT Italia e nel progressivo ampliamento del sistema nazionale di prevenzione e risposta previsto dalla NIS2. Per chi è transitato negli aeroporti inglesi coinvolti, la misura più concreta è trattare con sospetto qualsiasi comunicazione inattesa collegata al viaggio e rinviare le operazioni sensibili finché non si dispone di una connessione considerata affidabile.