Italiaanse bedrijven en organisaties worden structureel vaker en anders aangevallen dan vergelijkbare organisaties in andere landen, en niemand heeft daar een eenduidige verklaring voor. Dat blijkt uit onderzoek van dreigingsinlichtingenbedrijf Intel471, dat de bevindingen voor publicatie exclusief deelde met Dark Reading.
Analist Gianluca Tiepolo van Intel471, zelf Italiaan, viel het patroon op doordat Italië in de maandelijkse interne statistieken van het bedrijf voortdurend bovenaan stond. Italië is qua inwonertal het 25e land ter wereld, maar organisaties daar zijn verantwoordelijk voor ongeveer 7 procent van alle initial access-gegevens die op criminele fora worden verhandeld. Alleen de Verenigde Staten, met 30 procent, scoren hoger. Italië staat daarnaast op de vierde plaats van landen die het vaakst doelwit zijn van ransomware.
Opvallender dan de aantallen is hoe de toegang wordt verkregen. Initial access brokers kwamen in Italië in 57 procent van de gevallen binnen via een kwetsbaarheid, en in 23 procent via gestolen inloggegevens. Wereldwijd is dat patroon vrijwel omgekeerd: in 2025 ging het wereldwijd in slechts 6,5 procent van de gevallen om een kwetsbaarheid, terwijl inloggegevens wereldwijd ongeveer acht keer zo vaak de ingang vormden als elke andere methode. Ook het soort doelwit wijkt af: wereldwijd ging 67 procent van het aanbod van initial access brokers over remote access- en desktoptools, tegen maar 26 procent in Italië.
Tiepolo noemt als eerste mogelijke verklaring achterblijvende cyberhygiëne. Endpoint detection and response raakte in Italië pas rond 2020 en 2021 wijdverspreid, jaren later dan in veel andere West-Europese landen. Italië had van alle Europese landen het hoogste aandeel verouderde, niet meer ondersteunde PHP-installaties, en ongeveer 90 procent van het Italiaanse initial access-aanbod betreft massale, niet-gerichte aanvallen in plaats van gericht werk op een enkele organisatie. Dat wijst volgens Tiepolo op trage patching als structureel probleem.
Een tweede, deels overlappende verklaring komt van het Milanese beveiligingsbedrijf Cleafy, dat wijst op een netwerkeffect. Wanneer bepaalde software in een land wijdverspreid is en patches traag landen, wordt dat land aantrekkelijk voor schaalbare aanvallen: een aanvaller die een exploit voor een populair Italiaans systeem ontwikkelt, kan die zonder veel extra verkenning tegen talloze organisaties tegelijk inzetten. Cleafy noemt als voorbeeld de drIBAN-webinjectiekit, die misbruik maakt van het Italiaanse PEC-systeem voor gecertificeerde e-mail en al tegen meerdere Italiaanse banken is ingezet. Het bedrijf benadrukt dat dit niet bewijst dat Italië een onevenredig grote toegangsmarkt heeft, maar laat wel zien hoe herbruikbare technieken de schaal van aanvallen vergroten.
De derde verklaring ligt in de structuur van de Italiaanse economie. Volgens de OESO was in 2023 bijna elk Italiaans bedrijf, 99,9 procent, een mkb-onderneming, en bijna 95 procent zelfs een microbedrijf. McKinsey berekende in mei 2024 dat Italiaanse mkb-bedrijven ongeveer 10 procent meer bijdragen aan economie en werkgelegenheid dan in andere geavanceerde economieën. Omdat ransomwaregroepen volgens afpersingsgegevens onevenredig vaak kleinere bedrijven treffen, die doorgaans minder beveiligingsbudget hebben, zou dat de afwijkende cijfers deels kunnen verklaren.
Onderzoekers benadrukken dat geen van de drie verklaringen op zichzelf voldoende is en dat ze elkaar waarschijnlijk versterken. Voor Nederlandse bedrijven met vestigingen, leveranciers of partners in Italië is de les vooral praktisch: ga er niet van uit dat een Italiaanse dochteronderneming hetzelfde beveiligingsniveau heeft als het hoofdkantoor, en besteed bij leveranciersbeoordelingen specifiek aandacht aan patchbeleid en de leeftijd van gebruikte software.
Bron: Dark Reading
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.