Il CyberThreat Report di Trellix pubblicato il 4 novembre 2026 — relativo al periodo aprile-settembre 2026 — registra una contrazione del 41,4% delle rilevazioni attribuite ad attori allineati alla Repubblica Popolare Cinese. Il dato è reale ma non significa quello che sembra: la stessa azienda avverte che il calo può riflettere un cambio di obiettivi, di infrastruttura o di visibilità del rilevamento, non una riduzione dell’attività. Nello stesso semestre la minaccia cinese resta «sostanzialmente superiore» a quella russa e iraniana, e il confronto con la pressione militare e marittima su Taiwan mostra una sincronia temporale che merita attenzione: la cyberattività risale tra giugno e luglio 2026, esattamente mentre Pechino espande le operazioni di cosiddetta «zona grigia» a guida Guardia costiera. Il calo misura la nostra capacità di osservare, non la volontà di agire dell’avversario — e la convergenza tra strumenti cibernetici, paramilitari e informativi è la vera unità di analisi.
Il dato: una contrazione del 41,4% che va letta al contrario
La cifra che ha fatto notizia è semplice: tra aprile e settembre 2026 le rilevazioni attribuite ad attori allineati a Pechino sono diminuite del 41,4%. Il movimento è significativo al punto da invertire una tendenza pluriennale di crescita e da spingere gli analisti a cercare una spiegazione politica. La spiegazione offerta dai ricercatori Trellix è, appunto, geopolitica: un possibile spostamento delle priorità informative cinesi verso l’osservazione delle capacità militari occidentali, con particolare attenzione alle tecnologie di campo — droni, sistemi di comando e controllo, comunicazioni tattiche, guerra elettronica.
È una lettura plausibile e coerente con ciò che sappiamo della dottrina informativa cinese: la raccolta sull’apparato industriale e militare occidentale è un obiettivo strutturale, non congiunturale. Ma è anche una lettura che va maneggiata con cautela, perché attribuisce a un cambiamento di intenti ciò che potrebbe essere un cambiamento di metodo.
Il punto decisivo è nella nota metodologica che accompagna il report di Trellix, che merita di essere riportata in lingua originale: «The decline may reflect changes in targeting, infrastructure or detection visibility rather than a reduction in activity. The key takeaway is that lower detection levels do not necessarily mean a lower threat, particularly as China-aligned activity remains higher than that of other nation-state actors».
Tradotto in linguaggio operativo: stiamo guardando il risultato di un sensore, non l’intenzione di un avversario. Se un attore migra verso infrastruttura più difficile da osservare, riduce le tracce degli strumenti impiegati, o semplicemente sposta il bersaglio su reti che i nostri sensori non coprono, il grafico scende mentre l’operazione continua. È il classico errore prospettico di chi misura la minaccia contando gli allarmi.
Il contesto cinese rende l’avvertenza particolarmente stringente. La campagna dell’attore Weaver Ant contro un operatore di telecomunicazioni asiatico, resa nota nel 2025, è rimasta non rilevata per oltre quattro anni. Se un singolo attore può restare invisibile per un lustro dentro un’infrastruttura critica, la variabile «attività non ancora rilevata» è enorme, e nessun report semestrale può pretendere di quantificarla per sottrazione.
La scala relativa. C’è poi un elemento che relativizza ulteriormente il titolo: la contrazione non ha scalfito la gerarchia. Pur con un calo di oltre quaranta punti percentuali, l’attività attribuita ad attori cinesi resta «sostanzialmente superiore» a quella russa e iraniana nello stesso periodo. Un avversario che dimezza la propria impronta visibile e rimane comunque il primo della classe non è un avversario in ritirata: è un avversario che ha migliorato il rapporto tra effetto e visibilità.
La convergenza: il cyber segue il calendario dello Stretto
Il contributo più prezioso del report non è la percentuale, ma la correlazione temporale. Le tendenze di rilevamento allineate alla Cina coincidono, su scala mensile, con le variazioni dell’attività militare e marittima cinese attorno a Taiwan. Il caso citato è puntuale: la cyberattività risale leggermente tra giugno e luglio 2026, nello stesso momento in cui Pechino espande le operazioni di «zona grigia» condotte dalla Guardia costiera attorno all’isola.
Non è un dettaglio statistico. È la conferma empirica di un modello di pressione integrato, in cui lo strumento cibernetico non è un’arma a sé ma un tasto della stessa tastiera — quello che si preme senza rumore mentre la politica segnala determinazione altrove.
Le cronologie delle ultime settimane rendono il quadro leggibile. La Cina ha intensificato le pattuglie regolari della Guardia costiera a est di Taiwan a partire da giugno 2026, estendendo un perimetro di pressione prima concentrato su Kinmen e Matsu, sulle Pratas e su Itu Aba. Il 31 ottobre Pechino ha annunciato una nuova pattuglia al largo della costa orientale, condotta da due unità: Taipei ha risposto denunciando una «giurisdizione fittizia» e inviando proprie navi a vigilare. Il 2 novembre il ministro responsabile della Guardia costiera taiwanese ha rivendicato la sovranità sull’EEZ orientale, definendo quella cinese una campagna di «molestia in zona grigia» pensata per logorare le forze dell’isola. Il 4 novembre il segretario generale del Consiglio di sicurezza nazionale, Joseph Wu, ha denunciato il dispiegamento di oltre cento unità navali e della Guardia costiera cinesi nel Pacifico occidentale, con due portaerei operanti simultaneamente nella regione.
Su questo sfondo, un altro dato taiwanese assume peso: nelle 24 ore fino alle 6 del 3 novembre Taipei ha rilevato 49 sortite di velivoli militari cinesi, sei navi da guerra e sei unità governative, con 31 sortite che hanno attraversato la linea mediana e sono entrate nelle zone di identificazione di difesa centrale, sud-occidentale e orientale. Gli analisti taiwanesi parlano di un «esercizio silenzioso»: pressione ad alta intensità senza alcun annuncio formale di esercitazione.
Questa è la logica della normalizzazione. Se la pressione diventa routine, smette di generare notizia — e ciò che non genera notizia non genera costo politico. La riduzione delle rilevazioni cyber nel semestre va collocata dentro lo stesso orizzonte concettuale: non assenza di pressione, ma pressione che si sottrae alla misurazione.
Il vettore informativo. Accanto al vettore marittimo ne esiste uno informativo, ed è il più difficile da documentare con rigore. Notizie di stampa hanno collegato l’impennata di attacchi contro la rete governativa taiwanese nel luglio 2026 — con numeri riferiti all’ordine delle centinaia di milioni di eventi — al calendario elettorale dell’isola. Va detto con chiarezza: si tratta di indicatori eterogenei, non comparabili tra loro, che segnalano un’intensificazione ma non consentono di quantificare un’intenzione. Il pattern però è ricorrente nella letteratura: la pressione cyber su Taipei tende a concentrarsi in prossimità di scadenze politiche. È una coincidenza di calendario che vale come ipotesi di lavoro, non come prova.
Chi colpisce, con cosa: la fotografia del semestre
La dimensione cinese è la notizia, ma il report disegna un quadro più ampio che conviene leggere per intero, perché colloca Pechino in un ecosistema competitivo.
Il primo dato da fissare è che il report misura due grandezze diverse, e le tiene in due classifiche separate.
Stati Uniti e Turchia sono i Paesi d’origine attribuita delle operazioni: rispettivamente il 38% e il 37,1% delle campagne rilevate nel periodo aprile-settembre, insieme oltre i tre quarti del totale. Indicano da dove i ricercatori ritengono partano le operazioni. La spiegazione è strutturale: per Washington pesano la prima economia mondiale e la concentrazione di infrastrutture tecnologiche, della difesa e governative di alto valore — molto materiale da raccogliere, molti punti d’accesso; per Ankara pesa la posizione di cerniera tra Europa, Medio Oriente e Asia centrale, l’appartenenza alla NATO e il ruolo di attore energetico e logistico.
La Germania è invece un bersaglio. Il suo 4,4% appartiene alla graduatoria dei Paesi d’interesse per gli attaccanti, e il testo lo dice esplicitamente: conferma che l’Europa, esclusa la Turchia, resta un bersaglio secondario in volume ma non in qualità — poche campagne, ma di valore potenzialmente alto. La Germania sta nella seconda colonna, insieme al resto dell’Europa non turca.
Sul piano settoriale, trasporti e spedizioni insieme alle telecomunicazioni superano metà del volume delle campagne rilevate. È il segnale di un’intelligenza orientata alla raccolta lungo le arterie del commercio mondiale e delle reti di comunicazione: la logistica come infrastruttura conoscitiva, prima ancora che come obiettivo di sabotaggio. Sapere chi si muove lungo quelle rotte, non distruggerle.
Anche qui, però, il bersaglio non va confuso con l’autore. I settori indicano dove si punta; gli attaccanti sono descritti altrove, e con formule caute: Russia-aligned, Pakistan-linked e China-nexus. Sono tre espressioni che indicano un allineamento di interessi o un collegamento, e non una catena di comando dimostrata. Nel primo caso gli attori mostrano affinità con Mosca senza che si possa provare un ordine ricevuto; nel secondo il legame è con ambienti pakistani, senza che ne discenda un mandato statale accertato; nel terzo il nesso è con l’ecosistema cinese, senza che se ne possa dedurre una direzione statale. In tutti e tre i casi resta aperta la questione se dietro l’operazione ci sia uno Stato che ordina, tollera o semplicemente ne beneficia: è una distinzione di attribuzione, non di geografia.
La concentrazione degli attori è altrettanto netta: oltre la metà (56%) di tutte le rilevazioni attribuite ad attori statuali proviene da dieci gruppi soltanto. Il più presente è Gamaredon, allineato alla Russia, con il 9,03%; seguono APT36, collegato al Pakistan, con il 7,84%, e Mustang Panda, nell’orbita cinese, con il 7,52%. Dieci sigle spiegano più della metà del fenomeno: la minaccia statuale è meno diffusa di quanto la varietà dei nomi suggerisca, ed è più razionalizzata di quanto l’attenzione mediatica faccia pensare.
Sul piano degli strumenti, il dato più eloquente è la prevalenza dei backdoor, rilevati nel 20,9% dei casi. Non è un dettaglio tecnico: la backdoor è lo strumento di chi vuole restare, non di chi vuole colpire e andarsene. Indica una preferenza per l’accesso di lungo periodo e per l’esfiltrazione paziente, coerente con una logica di intelligence e non di ricatto. Al secondo posto, con l’11,87%, gli infostealer, ossia lo strumento di raccolta dati dentro la rete compromessa. La fotografia complessiva è quella di un avversario che si installa e aspetta.
Riepilogando in cifre il semestre aprile-settembre 2026: la variazione delle rilevazioni allineate alla Cina è del -41,4%; i bersagli principali sono Stati Uniti al 38%, Turchia al 37,1% e Germania al 4,4%; dieci gruppi spiegano il 56% del totale delle rilevazioni attribuite ad attori statuali; sul piano degli strumenti, le backdoor pesano per il 20,9% e gli infostealer per l’11,87%.
Prospettive
Quattro prospettive per chi legge questa nota in chiave decisionale.
a) il metro di misura va cambiato
Un calo delle rilevazioni non è un calo della minaccia, e nessuna allocazione di budget difensivo dovrebbe essere decisa su una curva di questo tipo. Servono indicatori che misurino l’accesso persistente — dwell time, permanenza non rilevata, qualità delle esfiltrazioni — e non il volume degli allarmi. La domanda corretta non è «quante volte ci stanno provando» ma «da quanto tempo sono dentro senza che lo sappiamo».
b) la «zona grigia» è diventata un continuum
Il legame tra cyberattività e operazioni marittime e militari suggerisce che l’analisi settoriale ha esaurito la sua funzione. Chi osserva l’Indo-Pacifico dovrebbe leggere le due cose su un unico grafico. Se la pressione cyber sale quando la Guardia costiera estende il proprio raggio d’azione, allora la prontezza difensiva di Taipei va calibrata sul calendario delle operazioni paramilitari, non su quello degli incidenti informatici denunciati.
c) il rischio è l’orizzonte temporale sbagliato
Un avversario che privilegia backdoor e accesso di lungo periodo sta giocando su una scala che non è quella dei cicli elettorali né dei bilanci annuali. Prepararsi a un incidente spettacolare significa prepararsi al caso che quell’avversario, per scelta, non sta cercando di produrre.
d) cosa osservare nei prossimi due trimestri
Tre segnali meritano di essere monitorati nei prossimi due trimestri. Il primo è la tenuta della contrazione: se le rilevazioni cinesi risalgono in corrispondenza di nuove fasi di pressione marittima su Taiwan o di scadenze politiche sull’isola, il calo del semestre si rivela un movimento congiunturale e non strutturale. Il secondo è la comparsa di campagne cinesi scoperte ex post con lunga permanenza non rilevata: sarebbe la prova che il calo misurava la nostra visibilità e non la loro attività. Il terzo è la composizione settoriale: se il baricentro resta su logistica e telecomunicazioni, o si sposta verso le tecnologie di campo — droni, sistemi di comando e controllo, comunicazioni tattiche — come la lettura geopolitica del report lascia intendere.
(English version)
Trellix’s CyberThreat Report published on 4 November 2026 — covering the April–September 2026 period — records a 41.4% contraction in detections attributed to actors aligned with the People’s Republic of China. The figure is real, but it does not mean what it appears to mean: the same company warns that the decline may reflect a change in targets, infrastructure or detection visibility, not a reduction in activity. In the same half-year, the Chinese threat remains “substantially higher” than the Russian and Iranian ones, and the comparison with military and maritime pressure on Taiwan shows a temporal synchrony that deserves attention: cyber activity rises between June and July 2026, exactly as Beijing expands so-called “grey zone” operations led by the Coast Guard. The decline measures our capacity to observe, not the adversary’s will to act — and the convergence of cyber, paramilitary and informational tools is the real unit of analysis.
The figure: a 41.4% contraction that should be read backwards
The number that made headlines is simple: between April and September 2026, detections attributed to Beijing-aligned actors fell by 41.4%. The movement is significant enough to reverse a multi-year growth trend and to push analysts to look for a political explanation. The explanation offered by Trellix’s researchers is, precisely, geopolitical: a possible shift in Chinese intelligence priorities towards observing Western military capabilities, with particular attention to field technologies — drones, command-and-control systems, tactical communications, electronic warfare.
It is a plausible reading, consistent with what we know of Chinese intelligence doctrine: collection on the Western industrial and military apparatus is a structural objective, not a cyclical one. But it is also a reading that must be handled with caution, because it attributes to a change of intent what could be a change of method.
The decisive point lies in the methodological note accompanying the Trellix report, which deserves to be quoted in the original language: “The decline may reflect changes in targeting, infrastructure or detection visibility rather than a reduction in activity. The key takeaway is that lower detection levels do not necessarily mean a lower threat, particularly as China-aligned activity remains higher than that of other nation-state actors.”
Translated into operational language: we are looking at the output of a sensor, not the intent of an adversary. If an actor migrates to infrastructure that is harder to observe, reduces the traces of the tools it employs, or simply moves its target onto networks our sensors do not cover, the graph goes down while the operation continues. It is the classic error of perspective made by anyone who measures the threat by counting alarms.
The Chinese context makes the warning particularly pressing. The Weaver Ant actor’s campaign against an Asian telecommunications operator, disclosed in 2025, went undetected for more than four years. If a single actor can remain invisible for five years inside critical infrastructure, the “activity not yet detected” variable is enormous, and no half-yearly report can claim to quantify it by subtraction.
Relative scale. There is then a further element that relativises the headline: the contraction did not dent the hierarchy. Even with a fall of more than forty percentage points, activity attributed to Chinese actors remains “substantially higher” than Russian and Iranian activity in the same period. An adversary that halves its visible footprint and still comes top of the class is not an adversary in retreat: it is an adversary that has improved the ratio between effect and visibility.
The convergence: cyber follows the calendar of the Strait
The report’s most valuable contribution is not the percentage but the temporal correlation. China-aligned detection trends coincide, on a monthly scale, with variations in Chinese military and maritime activity around Taiwan. The case cited is precise: cyber activity rises slightly between June and July 2026, at the very moment Beijing expands the “grey zone” operations conducted by the Coast Guard around the island.
This is not a statistical detail. It is the empirical confirmation of an integrated model of pressure, in which the cyber instrument is not a weapon in itself but a key on the same keyboard — the one pressed without noise while politics signals resolve elsewhere.
The timelines of recent weeks make the picture legible. China has stepped up regular Coast Guard patrols east of Taiwan from June 2026, extending a perimeter of pressure previously concentrated on Kinmen and Matsu, the Pratas and Itu Aba. On 31 October, Beijing announced a new patrol off the eastern coast, conducted by two units: Taipei responded by denouncing a “fictitious jurisdiction” and sending its own ships to keep watch. On 2 November, Taiwan’s minister responsible for the Coast Guard asserted sovereignty over the eastern EEZ, calling China’s a campaign of “grey zone harassment” designed to wear down the island’s forces. On 4 November, the secretary-general of the National Security Council, Joseph Wu, denounced the deployment of more than one hundred Chinese naval and Coast Guard units in the Western Pacific, with two aircraft carriers operating simultaneously in the region.
Against this background, another Taiwanese figure takes on weight: in the 24 hours to 6 a.m. on 3 November, Taipei detected 49 sorties of Chinese military aircraft, six warships and six government vessels, with 31 sorties crossing the median line and entering the central, south-western and eastern air defence identification zones. Taiwanese analysts speak of a “silent exercise”: high-intensity pressure with no formal exercise announcement.
This is the logic of normalisation. If pressure becomes routine, it stops generating news — and what does not generate news does not generate political cost. The reduction in cyber detections over the half-year should be placed within the same conceptual horizon: not an absence of pressure, but pressure that eludes measurement.
The informational vector. Alongside the maritime vector there is an informational one, and it is the hardest to document rigorously. Press reports have linked the surge in attacks on Taiwan’s government network in July 2026 — with figures on the order of hundreds of millions of events — to the island’s electoral calendar. It must be said clearly: these are heterogeneous indicators, not comparable with one another, which point to an intensification but do not allow an intention to be quantified. The pattern, however, recurs in the literature: cyber pressure on Taipei tends to concentrate near political deadlines. It is a coincidence of calendars that counts as a working hypothesis, not as proof.
Who strikes, with what: the half-year snapshot
The Chinese dimension is the news, but the report paints a broader picture that is worth reading in full, because it places Beijing within a competitive ecosystem.
The first thing to fix is that the report measures two different quantities, and keeps them in two separate rankings.
The United States and Turkey are the attributed countries of origin of the operations: respectively 38% and 37.1% of campaigns detected in the April–September period, together more than three quarters of the total. They indicate where the researchers believe the operations start. The explanation is structural: for Washington, the world’s largest economy and the concentration of high-value technology, defence and government infrastructure count — a lot of material to collect, many points of access; for Ankara, its position as a hinge between Europe, the Middle East and Central Asia, its NATO membership and its role as an energy and logistics actor.
Germany, by contrast, is a target. Its 4.4% belongs to the ranking of countries of interest to attackers, and the text says so explicitly: it confirms that Europe, Turkey excluded, remains a secondary target in volume but not in quality — few campaigns, but potentially of high value. Germany sits in the second column, along with the rest of non-Turkish Europe.
At sector level, transport and shipping together with telecommunications exceed half the volume of campaigns detected. It is the signal of an intelligence effort geared to collection along the arteries of world trade and communication networks: logistics as cognitive infrastructure, even before being a sabotage target. Knowing who moves along those routes, not destroying them.
Here too, however, the target must not be confused with the perpetrator. The sectors indicate where the aim is; the attackers are described elsewhere, and in cautious formulas: Russia-aligned, Pakistan-linked and China-nexus. These are three expressions that indicate an alignment of interests or a connection, not a demonstrated chain of command. In the first case, the actors show affinity with Moscow without an order received being provable; in the second, the link is with Pakistani circles, without an established state mandate following from it; in the third, the nexus is with the Chinese ecosystem, without a state direction being inferable from it. In all three cases, the question remains open whether behind the operation there is a state that orders, tolerates or simply benefits from it: it is a distinction of attribution, not of geography.
The concentration of actors is just as clear-cut: more than half (56%) of all detections attributed to state actors come from just ten groups. The most present is Gamaredon, Russia-aligned, with 9.03%; it is followed by APT36, Pakistan-linked, with 7.84%, and Mustang Panda, in the Chinese orbit, with 7.52%. Ten labels account for more than half the phenomenon: the state threat is less widespread than the variety of names suggests, and more rationalised than media attention would have one think.
On the tools side, the most eloquent figure is the prevalence of backdoors, detected in 20.9% of cases. That is not a technical detail: the backdoor is the tool of those who want to stay, not of those who want to strike and leave. It indicates a preference for long-term access and patient exfiltration, consistent with a logic of intelligence rather than of blackmail. In second place, with 11.87%, are infostealers, that is, the tool of data collection inside the compromised network. The overall picture is that of an adversary that installs itself and waits.
To sum up the April–September 2026 half-year in figures: the change in China-aligned detections is -41.4%; the main targets are the United States at 38%, Turkey at 37.1% and Germany at 4.4%; ten groups account for 56% of all detections attributed to state actors; on the tools side, backdoors weigh in at 20.9% and infostealers at 11.87%.
Outlook
Four perspectives for anyone reading this note with decisions to make.
a) The yardstick must change
A fall in detections is not a fall in the threat, and no allocation of defensive budget should be decided on a curve of this kind. What is needed are indicators that measure persistent access — dwell time, undetected persistence, the quality of exfiltrations — and not the volume of alarms. The right question is not “how many times are they trying” but “how long have they been inside without us knowing”.
b) The “grey zone” has become a continuum
The link between cyber activity and maritime and military operations suggests that sectoral analysis has exhausted its function. Anyone watching the Indo-Pacific should read the two on a single graph. If cyber pressure rises when the Coast Guard extends its reach, then Taipei’s defensive readiness must be calibrated to the calendar of paramilitary operations, not to that of reported cyber incidents.
c) The risk is the wrong time horizon
An adversary that favours backdoors and long-term access is playing on a scale that is neither that of electoral cycles nor that of annual budgets. Preparing for a spectacular incident means preparing for the case that this adversary, by choice, is not trying to produce.
d) What to watch over the next two quarters
Three signals deserve monitoring over the next two quarters. The first is whether the contraction holds: if Chinese detections rise again in step with new phases of maritime pressure on Taiwan or political deadlines on the island, the half-year decline turns out to be a cyclical rather than a structural movement. The second is the appearance of Chinese campaigns uncovered ex post with long undetected persistence: that would be proof that the fall was measuring our visibility, not their activity. The third is the sectoral composition: whether the centre of gravity stays on logistics and telecommunications, or shifts towards field technologies — drones, command-and-control systems, tactical communications — as the report’s geopolitical reading suggests.
