Dal 12 agosto 2026 alcune aziende USA possono attaccare i criminali informatici su autorizzazione federale. In Italia il contrattacco resta vietato: la cybersecurity PMI passa dalla difesa.
Il 12 agosto 2026 il presidente degli Stati Uniti ha firmato il memorandum “Expanding Capabilities to Combat Transnational Cyber-Enabled Crime”. Il provvedimento consente ad aziende statunitensi selezionate di condurre operazioni informatiche offensive contro le organizzazioni criminali transnazionali, sotto stretto controllo governativo. La risposta al cybercrime, negli Stati Uniti, non è più riservata alle sole agenzie federali. Per le imprese italiane il quadro giuridico non cambia: contrattaccare resta un reato e la normativa europea punta su prevenzione e resilienza. Per una PMI, quindi, la priorità non è il contrattacco, ma la capacità di ridurre la superficie di attacco, proteggere dati e infrastrutture, individuare rapidamente comportamenti anomali e disporre di procedure efficaci per contenere e gestire un incidente. In uno scenario di minacce sempre più organizzate e transnazionali, cybersecurity, continuità operativa e gestione del rischio diventano componenti essenziali della sicurezza aziendale.
Cosa hanno deciso gli Stati Uniti sull'hack back
Il memorandum firmato il 12 agosto 2026 autorizza aziende statunitensi selezionate a condurre operazioni cyber offensive contro le organizzazioni criminali, con autorizzazione scritta del governo per ogni singola operazione e limiti precisi sugli obiettivi.
Hack back (contrattacco informatico): reazione attiva a un attacco condotta violando i sistemi degli aggressori, per raccogliere informazioni, recuperare dati o interromperne l'attività. Si distingue dalla difesa tradizionale, che protegge il perimetro aziendale senza agire sui sistemi altrui.
Il programma federale non liberalizza il contrattacco: lo regola. Le aziende interessate devono superare una verifica di idoneità, firmare un contratto con il Dipartimento di Giustizia o con il Dipartimento della Sicurezza Interna e versare una cauzione da 1 milione di dollari. Ogni operazione richiede un'autorizzazione scritta specifica. La notizia, analizzata in Italia da Agenda Digitale, descrive un modello che gli osservatori hanno definito "cyber privateering": lo Stato delega a soggetti selezionati una capacità offensiva che resta sotto la sua supervisione.
- Autorizzazione caso per caso: nessuna azienda può agire di propria iniziativa; serve il via libera scritto del governo per ogni operazione
- Due categorie di operazioni: sorveglianza (raccolta occulta di informazioni) e operazioni con effetti (manipolazione o interruzione dei sistemi bersaglio)
- Requisiti stringenti: verifica di idoneità, contratto con le agenzie federali e cauzione da 1 milione di dollari
- Limiti espliciti: vietate le azioni che causano danni alle persone, quelle assimilabili ad attacchi armati e qualsiasi bersaglio su sistemi statunitensi
Perché in Italia il contrattacco resta vietato
In Italia l'accesso abusivo a un sistema informatico è un reato previsto dall'articolo 615-ter del codice penale, anche quando chi lo commette reagisce a un attacco subito. L'approccio europeo punta su prevenzione, difesa e resilienza.
Il memorandum USA non ha alcun effetto nell'ordinamento italiano. Chi entra nei sistemi degli aggressori commette accesso abusivo (articolo 615-ter del codice penale) e, se ne altera i dati, danneggiamento di sistemi informatici (articolo 635-bis e seguenti). La direttiva NIS2 (Network and Information Security 2), recepita in Italia nel 2024, va nella direzione opposta rispetto al modello statunitense: chiede alle imprese di gestire il rischio, notificare gli incidenti e garantire la continuità operativa, non di rispondere agli attacchi. Il canale corretto dopo un incidente è la denuncia alla Polizia Postale e, per i soggetti NIS2, la notifica al CSIRT Italia dell'ACN (Agenzia per la Cybersicurezza Nazionale).
Secondo il Cyber Index PMI dell'Osservatorio Cybersecurity e Data Protection del Politecnico di Milano, il 24% delle PMI italiane ha subito almeno un attacco informatico negli ultimi tre anni, con un livello medio di maturità di 55 punti su 100 (rilevazione 2025). L'esposizione riguarda quindi una impresa su quattro, a prescindere dal settore.
Cosa cambia per una PMI italiana
Per una PMI italiana non cambia nulla sul piano legale: il contrattacco resta vietato. Le priorità operative restano prevenzione, protezione dei dati e continuità dei servizi, sostenute da una connettività aziendale affidabile.
La svolta americana conferma che il cybercrime opera come una filiera industriale globale. Per una impresa fino a 50 addetti la risposta efficace non è tecnologica d'attacco ma organizzativa e difensiva. I dati 2026 sugli attacchi informatici alle PMI indicano che la maggior parte degli incidenti sfrutta errori evitabili: credenziali deboli, sistemi non aggiornati, posta elettronica non protetta. In questo scenario, le principali misure di sicurezza per ridurre il rischio informatico sono:
- Backup e ripristino: copie dei dati verificate e conservate anche fuori sede, con test periodici di ripristino
- MFA (Multi-Factor Authentication): autenticazione a più fattori su posta elettronica, gestionali e accessi remoti
- Aggiornamenti e inventario: censimento di dispositivi e software, con correzioni di sicurezza applicate con regolarità
- Formazione del personale: riconoscere phishing e richieste anomale riduce il primo vettore di attacco
- Incentivi disponibili: il voucher cloud e cybersecurity 2026 copre parte degli investimenti per le PMI
Prima di valutare nuovi strumenti di sicurezza, è utile controllare la connettività della sede: la verifica copertura mostra le tecnologie disponibili.
Sei pronto a difenderti dal cybercrime?
Valuta il tuo livello di sicurezza informatica in 6 aree critiche
Domande frequenti su hack back e cybersecurity PMI
No. In Italia l'accesso abusivo a un sistema informatico è un reato previsto dall'articolo 615-ter del codice penale, anche in reazione a un attacco subito. La strada corretta è la denuncia alla Polizia Postale e, per i soggetti NIS2, la notifica al CSIRT Italia dell'ACN.
Una PMI che tenta un contrattacco rischia una responsabilità penale per accesso abusivo e danneggiamento, oltre a richieste di risarcimento. I criminali usano spesso server compromessi di soggetti estranei: un contrattacco può colpire una infrastruttura legittima e produrre danni a terzi.
No. Il memorandum del 12 agosto 2026 si applica solo ad aziende statunitensi selezionate e autorizzate dal governo federale. Per le imprese italiane restano validi il codice penale e la direttiva NIS2: in tema di cybersecurity PMI l'unica strategia ammessa è la difesa.
