Tra le vittime di ransomware di cui si conosce la dimensione, circa il 96% è una piccola o media impresa (Verizon, Data Breach Investigations Report 2026). In Italia, secondo il Rapporto Clusit 2026, nel 2025 sono stati censiti 507 attacchi gravi noti, il 42% in più dell’anno precedente (Clusit, Rapporto Clusit 2026).
Molti titolari pensano ancora che una piccola azienda non interessi a nessuno. Gli attaccanti però non scelgono a mano le vittime: lanciano attacchi su larga scala e colpiscono chi lascia una porta aperta. Qui trovi i cinque attacchi più frequenti. Quattro sono modi di entrare (una persona, un software, un accesso, un fornitore), il quinto, il ransomware, è ciò che spesso arriva dopo. Per ognuno: come funziona, il segnale che dovrebbe allarmarti e la prima cosa da fare.
In sintesi
- I cinque attacchi più comuni sono ransomware, phishing, sfruttamento di vulnerabilità non corrette, furto di credenziali e attacco tramite un fornitore.
- Secondo il Verizon DBIR 2026 lo sfruttamento di vulnerabilità è il primo modo di accesso: 31% di tutte le violazioni, 26% di quelle delle PMI. Le credenziali, prime nel report precedente, scendono al 13%.
- Il ransomware compare nel 48% delle violazioni e, secondo Verizon, spesso parte da credenziali compromesse o da dispositivi esposti non aggiornati.
- Le prime difese sono poche e alla portata di una PMI: autenticazione a più fattori, aggiornamenti regolari, backup testati, una procedura per i pagamenti e un elenco dei fornitori con accesso.
- Verizon considera “piccole” le organizzazioni con meno di 1.000 dipendenti, quindi più grandi della PMI tipica italiana. Le percentuali vanno lette come ordine di grandezza.
1. Ransomware: i dati bloccati in cambio di un riscatto
Il ransomware è un programma che cifra i file e i server dell’azienda e chiede un pagamento per restituirli. Per una PMI il danno principale è il fermo: senza gestionale, posta e file, produzione e consegne si bloccano finché non si ripristina.
Il DBIR 2026 trova il ransomware nel 48% delle violazioni, in crescita dal 44%, e osserva che il 69% delle vittime non ha pagato il riscatto. Per le PMI Verizon segnala che spesso sono attacchi opportunistici: tra le vittime PMI di ransomware, nel 38% dei casi c’erano credenziali compromesse e nel 29% dispositivi esposti a internet non aggiornati (Verizon, DBIR 2026). Chi non paga deve comunque ripristinare i sistemi, ed è qui che si vede la differenza tra chi ha backup affidabili e chi no.
- Come entra: nei casi PMI descritti da Verizon, soprattutto da credenziali rubate e da dispositivi non aggiornati, cioè dalle voci 3 e 4 qui sotto. Il phishing e i fornitori sono altre vie.
- Segnali d’allarme precoci: backup che falliscono in silenzio, accessi di amministratore fuori orario, programmi sconosciuti sui server. File con estensioni strane o note di riscatto sono un segnale tardivo: la cifratura è già avvenuta.
- Prima difesa: copie di backup separate dalla rete aziendale, con un ripristino provato davvero almeno una volta. Una copia che nessuno ha mai ripristinato è solo una speranza. Una linea di backup LTE non ferma il ransomware, ma tiene la connettività attiva mentre si ripristina.
2. Phishing e social engineering: l’attacco rivolto alla persona
Il phishing è un messaggio costruito per far fare qualcosa a chi lo riceve: cliccare, inserire una password, cambiare un IBAN, autorizzare un bonifico. Il social engineering è la famiglia più ampia: include telefonate e SMS, oltre alle email. Il pretexting ne è una variante: l’attaccante costruisce uno scenario credibile, per esempio finge di essere l’assistenza IT o un collega che ha perso la password.
Il DBIR 2026 attribuisce al phishing il 16% degli accessi iniziali e al pretexting il 6%, e osserva che il pretexting è sempre più usato come primo passo dei ransomware. Nelle simulazioni di phishing il tasso mediano di click sui canali da telefono, cioè voce e SMS, è circa il 2%, contro l’1,4% dell’email: il 40% in più (Verizon, DBIR 2026). Sono dati di simulazioni, ma indicano che il telefono è un canale sottovalutato.
- Come entra: una fattura falsa, un “collega” che chiede con urgenza di cambiare le coordinate di pagamento, un SMS del corriere, una telefonata del presunto fornitore IT.
- Segnale d’allarme: urgenza, richiesta di saltare la procedura abituale, dominio quasi uguale a quello vero.
- Prima difesa: autenticazione a più fattori sulle caselle di posta, scegliendo dove possibile metodi resistenti al phishing, perché codici e notifiche possono essere carpiti alla vittima in tempo reale. Poi una regola semplice per i bonifici: ogni cambio di IBAN si verifica con una telefonata a un numero già noto, e i pagamenti sopra una soglia li approvano due persone.
3. Vulnerabilità non corrette: la porta lasciata socchiusa
Una vulnerabilità è un difetto di un programma o di un dispositivo che può permettere di entrarci senza password. I produttori pubblicano correzioni, ma l’attacco riesce quando l’aggiornamento non viene installato.
Nel DBIR 2026 lo sfruttamento di vulnerabilità è il primo modo di accesso: 31% di tutte le violazioni, in crescita dal 20% del report precedente, e 26% di quelle delle PMI. Supera così l’abuso di credenziali, che era il primo vettore nel report precedente. Solo il 26% delle vulnerabilità del catalogo CISA KEV, quelle già sfruttate attivamente, è stato corretto completamente nel 2025 (era il 38%), e il tempo mediano per correggerle è salito da 32 a 43 giorni (Verizon, DBIR 2026).
- Come entra: attraverso VPN, firewall, router e software gestionali esposti a internet e non aggiornati, spesso a lungo dopo la pubblicazione della correzione.
- Segnale d’allarme: dispositivi che il produttore non supporta più, nessun elenco di cosa è raggiungibile da internet, aggiornamenti rimandati “a quando c’è tempo”.
- Prima difesa: un inventario dei dispositivi raggiungibili da fuori e una cadenza fissa per gli aggiornamenti. Un firewall next-gen gestito aiuta se qualcuno è responsabile di tenerlo aggiornato: i dispositivi perimetrali sono anch’essi tra i bersagli, quindi un firewall non aggiornato è un rischio, non una difesa.
4. Furto e abuso di credenziali: entrare senza forzare nulla
Se un attaccante ha nome utente e password validi, non ha bisogno di sfruttare nulla: accede come un dipendente. Le credenziali arrivano da phishing, da password riutilizzate su altri servizi o da archivi rubati e rivenduti.
Nel DBIR 2026 l’abuso di credenziali scende al 13% degli accessi iniziali, dal 22% del report precedente. Verizon spiega che il calo dipende in parte dalla classificazione: quest’anno il pretexting è conteggiato a parte e, senza questa aggiunta, il dato sarebbe stato il 16%. Nel report si legge anche che le credenziali restano parte integrante degli attacchi e invita a non rimandare l’autenticazione a più fattori (Verizon, DBIR 2026).
- Come entra: accessi remoti, VPN e posta elettronica protetti solo da password, la stessa password usata su più servizi.
- Segnale d’allarme: accessi da paesi insoliti, account di ex dipendenti ancora attivi, password condivise tra colleghi.
- Prima difesa: autenticazione a più fattori su posta e accessi remoti, un gestore di password aziendale e una procedura per disattivare gli account il giorno in cui qualcuno lascia l’azienda.
5. Attacco tramite un fornitore: entrare dalla porta di un partner
Con la supply chain l’attaccante non colpisce te, ma un fornitore con accesso ai tuoi sistemi o ai tuoi dati, e da lì arriva da te. Vale anche al contrario: se lavori per un cliente più grande, il tuo punto debole può diventare il suo.
Verizon misura il coinvolgimento di terze parti, che comprende fornitori di software, servizi che ospitano dati e partner con una connessione alla tua rete. Nel DBIR 2026 riguarda il 48% delle violazioni, contro il 30% del report precedente (+60%), e il 55% di quelle delle PMI (Verizon, DBIR 2026). Per le PMI manifatturiere e di servizi è anche un tema commerciale: i clienti soggetti alla NIS2 possono chiedere garanzie ai fornitori, come spieghiamo nella guida alla NIS2 per le PMI.
- Come entra: un fornitore IT, un software gestionale o un consulente con accesso remoto permanente e senza controlli.
- Segnale d’allarme: nessun elenco di chi può accedere ai tuoi sistemi, accessi mai revocati, clienti che ti mandano questionari di sicurezza e non sai come rispondere.
- Prima difesa: un elenco dei fornitori con accesso, accessi a tempo e non permanenti, e clausole contrattuali sulla notifica degli incidenti.
Da dove cominciare: la tabella riassuntiva
Non servono cinque progetti separati. Le prime difese si sovrappongono: l’autenticazione a più fattori, gli aggiornamenti e i backup provati agiscono su più attacchi insieme.
| Attacco | Punto di ingresso | Segnale d’allarme | Prima difesa |
|---|---|---|---|
| Ransomware | Credenziali, dispositivi non aggiornati, phishing o fornitori | Backup che falliscono, accessi anomali | Backup separati e ripristino provato |
| Phishing e social engineering | La persona | Urgenza, IBAN cambiato | Autenticazione a più fattori, procedura per i bonifici |
| Vulnerabilità non corrette | Dispositivi e software esposti | Dispositivi non supportati | Inventario e aggiornamenti a cadenza fissa |
| Credenziali rubate | Accessi remoti e posta | Accessi da paesi insoliti | Autenticazione a più fattori, gestore di password |
| Fornitore | Un partner con accesso | Accessi mai revocati | Elenco fornitori e accessi a tempo |
Un ordine realistico per le prossime settimane: prima l’autenticazione a più fattori su posta e accessi remoti, poi l’inventario e gli aggiornamenti, poi un ripristino di prova dei backup, poi la procedura per i pagamenti e l’elenco dei fornitori. È un ordine indicativo, non il risultato di un’analisi dei tuoi sistemi.
E il DDoS? Un attacco DDoS sommerge di richieste un sito o una linea fino a renderli irraggiungibili, senza rubare dati. È una tecnica tipica degli attacchi hacktivist, che in Italia sono passati da 80 a 196 casi tra il 2024 e il 2025 (Clusit, Rapporto Clusit 2026). Per una PMI è più un problema di disponibilità che di furto di dati, e riguarda la rete e la connettività più che i computer degli utenti.
Domande frequenti
Una piccola azienda può davvero essere attaccata?
Sì. Verizon osserva che molti attacchi sono opportunistici: non dipendono dal settore o dal fatturato, ma dal fatto che la vittima ha credenziali compromesse o dispositivi non aggiornati. Nelle violazioni di cui si conosce la dimensione, circa il 96% delle vittime di ransomware è una PMI.
Qual è l’attacco informatico più comune?
Dipende da cosa si misura. Come primo accesso, il DBIR 2026 mette in testa lo sfruttamento di vulnerabilità (31% di tutte le violazioni, 26% di quelle delle PMI). Come presenza nella violazione, il ransomware compare nel 48% dei casi.
Come riconosco una email di phishing aziendale?
Controlla il dominio del mittente lettera per lettera, diffida di urgenza e richieste di saltare la procedura, e non cliccare da un messaggio inatteso: apri il sito digitando tu l’indirizzo. Per pagamenti e cambi di IBAN verifica sempre con una telefonata a un numero già in tuo possesso.
Cosa faccio subito se penso di essere stato attaccato?
Chiama subito il tuo referente IT o un tecnico di fiducia: le prime decisioni contano. In generale si isolano dalla rete i computer coinvolti, ma se la cifratura è in corso può essere preferibile spegnerli, e lo decide un tecnico. Non formattare né ripristinare prima di aver isolato i backup e conservato le tracce. Cambia le password solo dopo il contenimento e da un dispositivo non coinvolto. Poi valuta la denuncia alla Polizia Postale. Se sono coinvolti dati personali, il GDPR può imporre la notifica al Garante entro 72 ore: confrontati subito con il tuo consulente o il tuo DPO. Se la tua azienda è un soggetto NIS, i termini sono ancora più stretti (preallarme entro 24 ore): contatta subito chi ti assiste sulla conformità.
Per riassumere
Cinque attacchi, quattro porte d’ingresso e un effetto finale: la persona, il software, l’accesso e il fornitore sono i punti da presidiare, il ransomware è ciò che spesso arriva quando nessuno lo ha fatto. Cominciare da autenticazione a più fattori, aggiornamenti e backup provati riduce l’esposizione ai casi più frequenti, senza garantire che non succeda nulla. Per il quadro completo, con normativa e continuità di rete, leggi l’approfondimento sulla cyber security per PMI. Se vuoi capire da dove partire nella tua azienda, richiedi una verifica della rete a Trenove, oppure scopri il nostro servizio di cyber security.
Dati tratti dal Verizon DBIR 2026 (PDF del report, controllato il 2 novembre 2026) e dal Rapporto Clusit 2026. Articolo informativo: non sostituisce una valutazione dei tuoi sistemi.