Punti chiave
- Il rapporto State of the Cyber Nation dell’NCSC, pubblicato il 3 novembre 2026, prevede che entro il 2028 un malware basato sull’AI venga usato in un attacco ransomware contro le infrastrutture critiche del Regno Unito.
- Secondo l’NCSC l’AI non crea nuovi attacchi, ma porta allo scoperto più in fretta vulnerabilità vecchie e mai corrette; l’avvertimento è rivolto anche alle piccole e medie organizzazioni.
- Non ci sono nuove scadenze, ma verificare cosa è collegato a internet, con quale rapidità vengono applicati gli aggiornamenti e se soddisfi i requisiti Cyber Essentials sono primi passi sensati.
Cosa dice il rapporto dell’NCSC
Il 3 novembre 2026 il National Cyber Security Centre, che fa parte del GCHQ, ha pubblicato il rapporto State of the Cyber Nation (NCSC). Secondo il rapporto è molto probabile che, nei prossimi due anni, gruppi ostili che usano l’AI conducano attacchi ransomware, di social engineering e contro le falle del software su scala più ampia e con maggiore efficienza. Il rapporto prevede inoltre che entro il 2028 un malware basato sull’AI venga usato in un attacco ransomware contro le infrastrutture nazionali critiche del Regno Unito.
L’amministratore delegato dell’NCSC, Richard Horne, ha presentato il rapporto con un discorso. La sua tesi, come la riporta l’NCSC, è che l’AI non sta inventando nuovi tipi di attacco. Permette agli attaccanti di individuare e sfruttare, molto più in fretta di prima, vulnerabilità che le organizzazioni tollerano da anni. «Per decenni, tutti insieme, ce la siamo cavata facendo tecnologia al risparmio», era previsto che dicesse.
L’NCSC richiama anche le misure del governo: il Cyber Security and Resilience Bill, un National Cyber Action Plan di prossima pubblicazione e i fondi annunciati dal Cancelliere dello Scacchiere la settimana precedente, tra cui 60 milioni di sterline per la prima fase di un Cyber Shield nazionale e 70 milioni di sterline per un nuovo centro che individui le vulnerabilità nelle infrastrutture critiche e nell’economia.
Quali aziende riguarda
L’avvertimento principale riguarda le infrastrutture critiche, ma l’NCSC rivolge il rapporto anche alle piccole e medie organizzazioni, oltre che alle grandi e al settore pubblico. Se la tua azienda usa software datato, sistemi rimasti indietro con gli aggiornamenti o strumenti esposti su internet senza che sia necessario, queste sono proprio le vulnerabilità che, secondo il rapporto, l’AI renderà più rapide da individuare.
Il rapporto in sé non introduce nuovi obblighi di legge né scadenze. La fonte non dice quali aziende rientreranno nel Cyber Security and Resilience Bill, quindi non trarre conclusioni in un senso o nell’altro da questo annuncio.
Cosa verificare con i tuoi sviluppatori
Non c’è nulla da fare entro una data precisa, ma i consigli dell’NCSC sono abbastanza concreti da poter agire subito:
- Elenca i sistemi, i pannelli di amministrazione e i server che la tua azienda ha collegato a internet e chiediti se ognuno debba esserlo davvero.
- Chiedi chi applica gli aggiornamenti di sicurezza al tuo sito web, al tuo e-commerce e al tuo software, e con quale rapidità.
- Individua il software che non riceve più aggiornamenti e pianifica di sostituirlo o isolarlo.
- Se hai la certificazione Cyber Essentials, considerala un punto di partenza: l’NCSC afferma che le organizzazioni dovrebbero andare oltre in base a dimensioni, complessità e rischio. Se non ce l’hai, comincia da lì.
- Metti a budget sicurezza e manutenzione come costo fisso, non come extra facoltativo.
Vale la pena leggere, insieme al rapporto, le indicazioni pubblicate dall’NCSC a maggio 2026 su come prepararsi a un’ondata di patch di sicurezza.
Se ti serve qualcuno che mantenga aggiornato e monitorato il tuo software dopo il lancio, Cognivise offre assistenza e manutenzione continuativa.
Fonte
Scritto da Cognivise a partire dalla fonte indicata sopra, con l’aiuto dell’AI, e verificato su quella fonte prima della pubblicazione.
Tradotto dall’originale in inglese.