Esiste un mito pericoloso nelle PMI italiane: "siamo troppo piccoli per essere un bersaglio degli hacker". È l'esatto contrario. Gli attaccanti non scelgono i bersagli per importanza strategica — li scelgono per vulnerabilità. E le PMI italiane sono mediamente molto più vulnerabili delle grandi aziende, che hanno team IT dedicati e budget di sicurezza significativi.
Il risultato è che gli attacchi alle PMI italiane sono aumentati del 65% dal 2022 al 2025, secondo i dati del CNAIPIC (Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche).
I quattro attacchi più comuni alle PMI italiane
1. Phishing via email
Come funziona: arriva un'email che sembra provenire dalla banca, dall'Agenzia delle Entrate, da un fornitore, o da un collega. Contiene un link a un sito falso (per rubare le credenziali) o un allegato che installa malware quando viene aperto.
È l'attacco di gran lunga più comune. Nel 2025, il 91% degli attacchi informatici alle aziende inizia da un'email di phishing.
Perché funziona: le email di phishing moderne sono molto credibili. Non c'è più l'email in italiano stentato con errori grammaticali — ci sono email perfette, con loghi aziendali corretti, che imitano comunicazioni legittime.
Come si difende: filtri anti-phishing avanzati (Microsoft Defender, Google Workspace Advanced Protection), formazione del personale per riconoscere i segnali, protocolli di verifica per le richieste di pagamento o di credenziali.
2. Ransomware
Come funziona: un software malevolo — installato via phishing, allegato infetto, o vulnerabilità non aggiornata — cifra tutti i file dell'azienda. Un messaggio chiede un riscatto (tipicamente €5.000-€50.000 in Bitcoin) per sbloccarli.
Il danno non è solo il riscatto — è il fermo operativo. Un'azienda che non può accedere ai propri dati per 3-7 giorni (il tempo medio di recovery) perde fatturato, clienti, e reputazione.
Come si difende: backup recenti e verificati offline (il ransomware cifra anche i backup se sono connessi alla rete), endpoint protection su tutti i computer, aggiornamenti automatici del sistema operativo e del software.
3. Compromissione Business Email (BEC)
Come funziona: l'attaccante prende il controllo di un account email aziendale — spesso tramite phishing delle credenziali — e lo usa silenziosamente per mesi. Intercetta le comunicazioni, aspetta una transazione significativa, e poi modifica l'IBAN nella fattura. L'azienda paga convinta di pagare il fornitore — in realtà paga il criminale.
Il danno medio di un attacco BEC in Italia è di €35.000-€80.000. Il recupero dei fondi è quasi impossibile — i soldi vengono immediatamente trasferiti su conti esteri e poi in criptovalute.
Come si difende: autenticazione a due fattori su tutti gli account email (impedisce l'accesso anche con la password rubata), protocolli di verifica per i cambi IBAN (chiamata telefonica di conferma su numero già noto), monitoring degli accessi email.
4. Accessi non autorizzati
Come funziona: password debole, riutilizzata su più servizi, o condivisa tra colleghi — l'attaccante la ottiene da un database di credenziali rubate (disponibili sul dark web) e accede ai sistemi aziendali.
Come si difende: password manager aziendale (password uniche e robuste per ogni servizio), 2FA su tutti gli account critici, audit periodico degli accessi attivi.
Le misure di base: cosa fa davvero la differenza
Email protetta: SPF, DKIM, DMARC
Questi tre protocolli sono la difesa più efficace contro lo spoofing (email false che sembrano provenire dal tuo dominio) e il phishing:
SPF (Sender Policy Framework): indica quali server sono autorizzati a inviare email dal tuo dominio. Un'email che arriva da un server non autorizzato viene bloccata o segnalata.
DKIM (DomainKeys Identified Mail): aggiunge una firma digitale a ogni email inviata. Il destinatario può verificare che l'email non sia stata modificata durante il transito.
DMARC (Domain-based Message Authentication): definisce cosa fare con le email che non superano i controlli SPF e DKIM — bloccarle, metterle in spam, o solo registrarle. Con DMARC configurato correttamente, nessuno può inviare email false a nome del tuo dominio.
Questi tre protocolli si configurano nel DNS del dominio. Non è complesso, ma richiede competenza tecnica per non sbagliare.
Autenticazione a due fattori (2FA)
Con il 2FA attivo, anche se la password viene rubata, l'attaccante non può accedere senza il secondo fattore (codice generato dall'app authenticator, o SMS). È la misura singola più efficace contro gli accessi non autorizzati.
Va attivato su: email aziendale, gestionale, CRM, portale banca, qualsiasi sistema che contiene dati sensibili o permette transazioni.
Backup automatici e verificati
La regola 3-2-1: 3 copie dei dati, su 2 supporti diversi, di cui 1 offsite (cloud o NAS in sede diversa). Almeno una copia deve essere offline — non accessibile dalla rete aziendale — per essere immune al ransomware.
Altrettanto importante: verificare che il backup funzioni. Un backup non testato non esiste — si scopre che è corrotto solo quando serve. Test mensile di ripristino da backup.
Formazione del personale
Il 90% degli attacchi passa dalle persone, non dai sistemi. Un'email di phishing che supera i filtri può essere bloccata da un dipendente formato che riconosce i segnali. O può causare un danno da centinaia di migliaia di euro se viene cliccata senza pensarci.
La formazione anti-phishing non è un corso teorico — è pratica: simulazioni di phishing (email false inviate dal reparto IT per testare la reazione), esercizi di riconoscimento, protocolli chiari su cosa fare in caso di sospetto. Vedi il servizio Formazione AI per i moduli congiunti AI literacy + cybersecurity.
NIS2: cosa cambia per i fornitori di aziende soggette
La Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, impone obblighi di sicurezza a organizzazioni in settori critici. Ma l'impatto si estende lungo la supply chain.
Se sei fornitore di un'azienda soggetta a NIS2, potresti ricevere richieste di documentare le tue misure di sicurezza come prerequisito contrattuale. È già successo con il GDPR: prima i grandi si sono adeguati, poi hanno iniziato a richiederlo ai fornitori.
Le misure di base che descriviamo in questo articolo soddisfano i requisiti minimi per i fornitori delle organizzazioni NIS2. Per il servizio completo vedi: Cybersecurity per PMI.
Il costo della protezione vs il costo dell'attacco
| Prevenzione | Attacco subito | |
|---|---|---|
| Costo | €1.500-€5.000 una tantum + €150-500/mese | €30.000-€150.000 (fermo, recupero dati, danni) |
| Tempo | 2-4 settimane per implementare | 3-10 giorni di fermo operativo |
| Probabilità | Riduzione del rischio del 90%+ | 1 PMI su 5 subisce un attacco ogni anno |
| Recupero | Non necessario | Parziale — i dati potrebbero non tornare |