C’è una convinzione diffusa tra gli imprenditori italiani: “siamo troppo piccoli per interessare a un hacker.” È esattamente il pensiero che i cybercriminali sperano tu abbia. Perché è quello che li rende così efficaci nel colpire le PMI — il vero bersaglio del cybercrimine moderno.
Secondo il Rapporto Clusit 2025 sulla sicurezza ICT in Italia, il numero di attacchi gravi alle PMI italiane è cresciuto del 72% in tre anni. Le piccole e medie imprese rappresentano oggi oltre il 70% delle vittime, non perché siano obiettivi più ambiti, ma perché sono più facili da colpire. Meno difese, meno consapevolezza, meno budget dedicato. Un terreno fertile per attacchi automatizzati che colpiscono migliaia di aziende contemporaneamente.
Questa guida non è un manuale tecnico per IT manager. È una mappa concreta della sicurezza informatica per aziende pensata per imprenditori e responsabili marketing che devono capire i rischi reali, sapere cosa chiedere ai propri fornitori IT, e sapere da dove iniziare per proteggere davvero l’azienda — anche con budget limitati.
Perché le PMI sono il bersaglio preferito dei cybercriminali
L’immaginario dell’hacker che attacca grandi banche e multinazionali è cinematografico, ma sbagliato. Il cybercrimine moderno è un’industria, e come ogni industria cerca il rapporto migliore tra costi e ricavi. Attaccare una multinazionale richiede settimane di preparazione e infrastrutture sofisticate. Attaccare 10.000 PMI in un giorno con un’email automatizzata richiede un click.
Il report 2024 Verizon Data Breach Investigations conferma il dato: il 43% delle violazioni colpisce aziende con meno di 1.000 dipendenti, e il costo medio di un incidente per una PMI è cresciuto del 28% in tre anni. Per molte aziende italiane un attacco serio significa fermare la produzione per giorni, perdere dati clienti, dover pagare un riscatto in Bitcoin o ricostruire da zero.
I cybercriminali sanno che le PMI hanno tre vulnerabilità ricorrenti:
- Sistemi non aggiornati. Software gestionali, plugin WordPress, sistemi operativi non patchati. Ogni vulnerabilità nota è una porta aperta.
- Persone non formate. Un dipendente che clicca sul link sbagliato è il modo più semplice per entrare in azienda. Le difese tecniche servono a poco contro l’errore umano.
- Mancanza di backup affidabili. Quando arriva un ransomware, l’unica salvezza è un backup recente e funzionante. Tre PMI italiane su dieci scoprono di non averlo proprio nel momento in cui ne hanno bisogno.
Non serve essere “interessanti” per essere attaccati. Basta essere raggiungibili.
Le minacce reali per una PMI italiana nel 2026
Per costruire una difesa serve sapere da cosa difendersi. Non tutti gli attacchi sono uguali — e non tutti hanno la stessa probabilità di colpire una PMI italiana. Quattro tipologie meritano attenzione prioritaria.
1. Phishing e ingegneria sociale.
È la minaccia più diffusa e più efficace. Email che sembrano provenire da fornitori, banche, corrieri, Agenzia delle Entrate, contenenti link malevoli o allegati infetti. Il Garante per la Protezione dei Dati Personali e CSIRT Italia pubblicano regolarmente avvisi su campagne attive in italiano, sempre più curate e difficili da riconoscere. Un singolo click su un link di phishing può consegnare credenziali, dati o accesso a un dispositivo aziendale.
2. Business Email Compromise (BEC).
Una variante mirata e sofisticata. L’attaccante studia l’azienda, si finge un dirigente o un fornitore e invia richieste di bonifico urgente o cambio coordinate bancarie. Le truffe BEC in Italia hanno colpito sempre più aziende negli ultimi anni, con perdite medie di decine di migliaia di euro. Il danno raramente è recuperabile: i bonifici partono verso conti esteri e si dissolvono in poche ore.
3. Ransomware.
Software malevolo che cifra i dati aziendali e chiede un riscatto per restituirli. Negli ultimi anni il ransomware è diventato una “doppia estorsione”: prima cifrano i dati, poi minacciano di pubblicarli online se l’azienda non paga. Una PMI senza backup recenti si trova a scegliere tra pagare il riscatto (illegale e senza garanzie) e perdere l’operatività per settimane.
4. Account takeover.
L’attaccante ottiene accesso a un account aziendale (email, gestionale, social, cloud) usando credenziali rubate da data breach precedenti. Una volta dentro, può rubare informazioni, inviare email a contatti aziendali, accedere a sistemi connessi. Il problema cresce perché molti dipendenti riutilizzano la stessa password tra account personali e lavorativi: se uno viene compromesso, lo sono tutti.
A queste si aggiungono attacchi minori ma frequenti: malware via chiavette USB, attacchi DDoS al sito aziendale, compromissioni di plugin WordPress non aggiornati, frodi sui marketplace per chi vende online.
La difesa minima indispensabile (anche per chi non ha un IT manager)
Una PMI non ha bisogno di un Security Operations Center. Ha bisogno di una baseline solida che copra il 90% dei rischi. Sei azioni concrete, in ordine di priorità.
1. Autenticazione a due fattori (MFA) su tutti gli account critici.
Email aziendale, gestionali, banca online, CRM, social, cloud (Google Workspace, Microsoft 365). L’MFA blocca la stragrande maggioranza degli attacchi di account takeover, anche quando la password viene compromessa. Microsoft stessa stima che riduca del 99% il rischio di compromissione account. È gratuita, richiede 10 minuti di configurazione per account, e dovrebbe essere obbligatoria per tutti i dipendenti.
2. Password manager aziendale.
Smettere di chiedere ai dipendenti di “ricordare password robuste e diverse per ogni servizio”. Strumenti come Bitwarden, 1Password o Dashlane costano pochi euro al mese per utente e risolvono il problema delle password riusate, deboli o scritte sui post-it. Da soli riducono drasticamente il rischio account takeover.
3. Backup automatici, multipli, testati.
La regola da seguire è la 3-2-1: tre copie dei dati, su due supporti diversi, una almeno fuori dalla rete aziendale (offline o cloud isolato). Senza backup affidabili, un ransomware fa danni irreparabili. Il punto critico non è “fare il backup” — è testare il ripristino ogni 3-6 mesi. Backup mai testati sono backup che spesso non funzionano nel momento del bisogno.
4. Aggiornamenti regolari di sistemi e plugin.
Sistemi operativi, software gestionali, browser, plugin WordPress, CMS. Ogni aggiornamento contiene patch di sicurezza per vulnerabilità note. Ritardare gli aggiornamenti è una delle cause più frequenti di attacchi riusciti. Per le aziende con sistemi più complessi, vale la pena automatizzare gli aggiornamenti critici e pianificare quelli che richiedono test.
5. Antivirus/EDR su tutti i dispositivi aziendali.
Per le PMI moderne, soluzioni come Bitdefender GravityZone, SentinelOne o Microsoft Defender for Business costano da 3-5 euro per dispositivo al mese e proteggono da malware, ransomware e comportamenti sospetti. Sono molto più efficaci dei vecchi antivirus consumer.
6. Formazione del team sulla sicurezza.
La difesa più costo-efficace di tutte. Una sessione annuale di 2 ore su come riconoscere phishing, gestire password, segnalare incidenti, riduce drasticamente il rischio umano. Esistono anche piattaforme di phishing simulation come KnowBe4 che testano periodicamente la prontezza dei dipendenti con email di phishing finte e formative.
Implementare queste sei azioni costa poche centinaia di euro al mese a una PMI tipica. Non implementarle costa, in caso di incidente, da decine a centinaia di migliaia.
Sicurezza email: dove iniziano la maggior parte degli attacchi
L’email è il canale di ingresso del 90% degli attacchi alle PMI. Difenderla bene significa eliminare gran parte del rischio. Tre livelli di protezione vanno presidiati.
Livello 1 — Configurazione tecnica del dominio.
SPF, DKIM e DMARC sono tre standard che permettono di verificare l’autenticità delle email inviate dal tuo dominio. Sono fondamentali per due motivi: aumentano la deliverability delle email legittime (meno finiscono nello spam), e impediscono ai criminali di spoofare il tuo dominio per inviare email che sembrano provenire dalla tua azienda. Configurarli correttamente è un’operazione tecnica di un’ora che ogni provider IT serio sa fare.
Livello 2 — Filtri antispam e anti-phishing avanzati.
I filtri base di Gmail e Microsoft 365 bloccano molte email malevole, ma per le aziende esposte conviene aggiungere soluzioni dedicate come Proofpoint, Mimecast o le funzioni avanzate di Microsoft Defender for Office 365. Costo: 3-7 euro al mese per utente. Bloccano phishing avanzato, allegati malevoli, link sospetti.
Livello 3 — Procedure interne sui pagamenti.
Tecnica nessuna, ma essenziale. Adottare una regola di doppia verifica per qualsiasi richiesta di bonifico fuori dalla norma: cambio coordinate fornitore, pagamenti urgenti dal “CEO”, richieste fuori orario. La verifica si fa per telefono, su un numero noto, mai rispondendo all’email. È la procedura che blocca il 100% dei BEC più costosi.
Per approfondire come l’autenticazione del sito web è collegata alla deliverability e alla fiducia, abbiamo già scritto una guida dettagliata su certificato SSL: cos’è e perché ogni sito ne ha bisogno.
Sicurezza del sito web aziendale: i punti deboli più comuni
Il sito aziendale è esposto pubblicamente 24/7 — è il bersaglio più visibile dell’azienda. Per chi usa WordPress (oltre il 60% dei siti aziendali italiani), tre vulnerabilità sono ricorrenti.
Plugin e temi non aggiornati. Sono la prima causa di compromissione dei siti WordPress. Ogni plugin obsoleto è una potenziale via d’ingresso. La regola: aggiornamenti settimanali, rimozione di plugin non usati, scelta di plugin attivamente mantenuti.
Credenziali deboli e admin pubblico. Lasciare l’utenza “admin” attiva, usare password riusate, accedere senza MFA. Configurare un firewall WordPress (Wordfence, Sucuri) e cambiare l’URL della pagina di login sono accorgimenti minimi che bloccano gli attacchi automatizzati più diffusi.
Backup del sito assente. Molti siti aziendali non hanno un backup automatico funzionante. Plugin come UpdraftPlus o servizi managed come WP Engine o Kinsta gestiscono backup giornalieri e ripristino in caso di problemi.
Aggiungi a questo il certificato SSL valido (HTTPS), già obbligatorio per ragioni SEO e di fiducia, e hai una baseline solida per la sicurezza del front-end aziendale.
Cosa fare in caso di attacco: il piano da preparare prima
Il momento sbagliato per scoprire di non avere un piano è quando tutto è già compromesso. Una procedura essenziale di risposta a incidenti — anche di una sola pagina — è ciò che separa una crisi gestita da un disastro.
Le prime 24 ore.
- Isolare i sistemi compromessi (scollegarli dalla rete, non spegnerli per non perdere prove).
- Preservare log e prove.
- Contattare il fornitore IT e, se serve, un consulente di incident response.
- Valutare se segnalare al Garante Privacy entro 72 ore (se sono coinvolti dati personali, è un obbligo GDPR).
- Comunicare con cautela, dopo aver capito cosa è successo. Le comunicazioni affrettate aggravano i danni.
Gli step successivi.
- Ripristino da backup verificati (mai pagare il riscatto: l’FBI e la Polizia Postale sconsigliano fortemente).
- Cambio di tutte le credenziali compromesse.
- Audit completo per capire come è avvenuta l’intrusione.
- Comunicazione a clienti, fornitori, autorità nei casi previsti dalla legge.
Il piano va testato.
Una volta all’anno, simulate uno scenario di crisi. Chi fa cosa? Chi avvisa chi? Quanto tempo serve per ripristinare l’operatività? Le aziende che hanno fatto questo esercizio almeno una volta gestiscono incidenti reali con un’efficienza completamente diversa.
GDPR e responsabilità del titolare nel 2026
La sicurezza informatica per aziende non è solo un tema tecnico. È un tema legale. Il GDPR impone al titolare del trattamento di adottare misure tecniche e organizzative adeguate a proteggere i dati personali. In caso di data breach, l’azienda deve notificare al Garante entro 72 ore e — in alcuni casi — anche agli interessati.
Per una PMI italiana questo si traduce in obblighi concreti:
- Avere un registro dei trattamenti aggiornato.
- Aver nominato un DPO (se l’attività lo richiede) o aver valutato l’opportunità di farlo.
- Aver formato il personale che tratta dati personali.
- Aver predisposto misure di sicurezza documentate (backup, accessi, MFA, cifratura).
- Avere una procedura di gestione del data breach pronta.
Le sanzioni del GDPR per le PMI italiane vanno tipicamente da poche migliaia a centinaia di migliaia di euro, a seconda della gravità e del comportamento dell’azienda. Ma il danno reputazionale è spesso superiore alla sanzione.
In Holistika non siamo un’azienda di cybersecurity, ma sappiamo che la sicurezza informatica è un pilastro della presenza digitale aziendale: non si possono fare email marketing, advertising e SEO senza una base sicura. Aiutiamo le PMI a integrare le pratiche di sicurezza essenziali nei processi digitali quotidiani — e se serve, a connettersi con partner specializzati. Se vuoi una mappa chiara dei rischi e delle priorità per la tua azienda, parliamone.
FAQ
Quali sono i primi passi che una PMI dovrebbe fare per migliorare la sicurezza informatica?
In ordine di priorità: attivare l’autenticazione a due fattori su tutti gli account critici (email, gestionali, banca, cloud), introdurre un password manager aziendale, attivare backup automatici testati, aggiornare costantemente sistemi e plugin, installare un antivirus moderno (EDR) sui dispositivi e formare il team almeno una volta all’anno sui rischi di phishing. Sono le sei azioni che, applicate insieme, coprono oltre il 90% dei rischi reali.
Quanto costa la sicurezza informatica per una PMI italiana?
Una baseline solida di sicurezza per una PMI con 10-30 dipendenti costa tipicamente 200-500 euro al mese, considerando antivirus EDR, password manager aziendale, MFA, backup gestiti e una sessione annuale di formazione. Il costo cresce con la dimensione e la criticità dei dati. Il confronto importante non è col costo, ma con il danno medio di un incidente: per una PMI italiana parla di decine o centinaia di migliaia di euro tra fermo operativo, ripristino e sanzioni.
Cos’è il Business Email Compromise (BEC) e come difendersi?
Il BEC è una truffa in cui l’attaccante si finge un dirigente, un fornitore o un cliente per ottenere bonifici fraudolenti. Le difese principali sono tre: configurare correttamente SPF, DKIM e DMARC sul dominio aziendale, attivare filtri antispam e anti-phishing avanzati, e — soprattutto — adottare una procedura di doppia verifica vocale per qualsiasi richiesta anomala di pagamento o cambio coordinate. Una telefonata di un minuto blocca attacchi che valgono decine di migliaia di euro.
Devo pagare il riscatto se la mia azienda viene colpita da un ransomware?
La raccomandazione di FBI, Europol, Polizia Postale italiana e di tutte le autorità è chiara: non pagare. Pagare non garantisce il recupero dei dati (in molti casi le chiavi non funzionano), finanzia ulteriori attacchi e in alcune giurisdizioni può essere considerato reato. La risposta corretta è: isolare i sistemi, segnalare alla Polizia Postale, ripristinare da backup. Per questo motivo la qualità dei backup è il vero indicatore della preparazione di un’azienda al ransomware.
Una PMI deve avere un DPO (Data Protection Officer)?
Dipende dall’attività. Il GDPR impone la nomina del DPO solo per alcune categorie di aziende (autorità pubbliche, attività che richiedono monitoraggio sistematico su larga scala, attività che trattano dati sensibili su larga scala). Per la maggior parte delle PMI italiane non è obbligatorio, ma resta consigliabile avere un riferimento privacy interno o un consulente esterno che presidi gli adempimenti. Il rischio di una “auto-gestione” della privacy è scoprire le lacune solo davanti a un’ispezione del Garante.