Gli attacchi informatici alle aziende sono azioni deliberate per bloccare, rubare o manipolare sistemi e dati di un'impresa.
In Italia il Rapporto Clusit 2026 ha censito 507 incidenti gravi nel 2025, il 42% in più dell'anno precedente, con il DDoS come tecnica più frequente (38,5%). Tra le minacce principali ci sono poi ransomware, phishing e attacchi ai fornitori.
Questo tema riguarda ogni azienda perché in Italia le piccole imprese risultano il principale bersaglio degli attacchi ransomware, secondo l'analisi dell'ACN.
Ne deriva che chi guida un'impresa deve sapere quali minacce esistono e che cosa fare quando una di queste si concretizza. In questo articolo vediamo quindi i tipi di attacco più diffusi e cosa succede a un'azienda colpita, per passare poi alle misure da verificare subito e alle prime 72 ore dopo un attacco - esattamente quando le decisioni contano di più.
Il Rapporto Clusit 2026 ha censito 507 incidenti gravi in Italia nel 2025, il 42% in più rispetto al 2024 e il 9,6% del totale mondiale. Si tratta di incidenti noti e di particolare gravità, quindi il dato descrive la parte visibile del fenomeno.
La tecnica più frequente è il DDoS, con il 38,5% dei casi, mentre il malware scende al 22,7%; i settori più colpiti sono il governativo (28,4%), il manifatturiero (12,6%) e i trasporti e la logistica (12%).
La Relazione annuale 2025 dell'ACN offre poi un secondo punto di osservazione: il CSIRT Italia ha trattato 2.729 eventi cyber, 615 dei quali classificati come incidenti con impatto confermato. Clusit e ACN misurano elementi diversi, quindi i loro numeri non si sommano: il primo conta gli incidenti gravi noti pubblicamente, la seconda gli eventi gestiti dal CSIRT. Rispetto al 2024 gli eventi malevolu sono aumentati del 38% circa, mentre gli incidenti con impatto confermato crescono solo del 7%: la Relazione lo attribuisce anche a obblighi di notifica più ampi e a una maggiore capacità di difesa dei soggetti.
Sul versante economico, l'Osservatorio Cybersecurity & Data Protection del Politecnico di Milano stima il mercato italiano della cybersecurity a 2,78 miliardi di euro nel 2025, con una crescita del 12%, e rileva che il 34% delle grandi imprese ha subito attacchi con costi di ripristino significativi.
Tecniche di attacco usate negli attacchi informatici alle aziende in Italia nel 2025, secondo il Rapporto Clusit 2026
Le tipologie di attacchi informatici più rilevanti per le imprese si distinguono per il modo in cui entrano e per l'effetto che producono: vediamo come funzionano e quale primo presidio conviene verificare per ciascuna.
|
Tipo di attacco |
Come funziona |
Primo presidio |
|
Ransomware |
Cifra e sottrae i dati |
Backup separato e testato |
|
Phishing e social engineering |
Inganna una persona |
Verifica dell'identità |
|
DDoS |
Satura servizi e siti |
Mitigazione del traffico |
|
Catena di fornitura |
Colpisce un fornitore |
Controllo dei fornitori |
|
Vulnerabilità e credenziali |
Sfrutta difetti e accessi |
Aggiornamenti e autenticazione a più fattori |
|
Intelligenza artificiale |
Genera inganni o colpisce gli agenti |
Permessi minimi per gli agenti |
Un attacco ransomware cifra i dati e i sistemi dell'azienda e chiede un riscatto per renderli di nuovo accessibili. Spesso prevede la doppia estorsione: i dati vengono prima sottratti e poi cifrati, così gli attaccanti possono minacciare di pubblicarli anche quando i sistemi vengono ripristinati, come descrive il report del CSIRT Italia.
In Italia l'ACN indica nel manifatturiero il settore più colpito. La prima azione da fare a monte – prima dell’attacco - è creare un backup separato e testato, perché un attacco ransomware senza copie utilizzabili lascia all'azienda poche alternative al riscatto.
Il phishing e il social engineering puntano sulle persone prima che sui sistemi: un messaggio, una telefonata o una voce clonata convincono qualcuno a consegnare credenziali o ad autorizzare un accesso.
Clusit registra in Italia una crescita del 66% di questi incidenti, che arrivano al 12,4% del totale, e collega l'aumento all'uso dell'AI per creare messaggi sempre più verosimili. Fondamentale quindi prevedere la verifica dell'identità, con procedure fisse per le richieste di reset e di accesso.
Il DDoS satura un sito o un servizio con un volume enorme di richieste, finché diventa irraggiungibile per clienti e dipendenti. In Italia è la tecnica più frequente, con il 38,5% degli incidenti del 2025 (era il 21% nel 2024), e Clusit lo collega all'aumento dell'hacktivism, cioè degli attacchi dimostrativi, passati da 80 a 196 casi.
Occorre qui predisporre un servizio di mitigazione del traffico anomalo, da concordare con il fornitore di rete o di hosting prima che serva.
In un attacco alla catena di fornitura, i criminali colpiscono un fornitore per raggiungere i suoi clienti, sfruttando la fiducia e gli accessi che l'azienda ha già concesso.
Un esempio recente è l'attacco al fornitore del software di check-in di diversi aeroporti europei: il rischio cresce infatti quando un solo fornitore serve più clienti. Ideale, quindi, sapere quali fornitori toccano dati e sistemi critici e chiedere loro requisiti di sicurezza verificabili.
Le vulnerabilità non corrette e le credenziali rubate sono due modi per entrare in un'azienda senza tecniche sofisticate: il criminale usa un difetto noto di un software o un accesso già compromesso.
Nel Rapporto Clusit le vulnerabilità pesano il 2,8% degli incidenti italiani del 2025, ma il calo rispetto al 2024 dipende da una campagna eccezionale di quell'anno, e il 21,9% degli incidenti ha una tecnica non dichiarata. Risulta essenziale applicare l'autenticazione a più fattori sugli accessi esposti, insieme a un ciclo regolare di aggiornamenti.
L'intelligenza artificiale entra infine negli attacchi informatici in due modi: rende più credibili i messaggi di phishing, che oggi si possono generare in modo mirato e senza errori, e crea una nuova superficie di attacco con gli agenti AI, che hanno accesso a sistemi e dati. Il primo presidio è limitare i permessi di ogni agente e tracciarne le azioni, così da mettere in sicurezza gli agenti AI.
Tre casi mostrano come gli attacchi informatici si traducano in danni per le aziende: per ciascuno vediamo cosa è successo, quale impatto è stato dichiarato e che cosa ne ricava un'impresa.
Nell'aprile 2025 gli attacchi a Marks & Spencer e Co-op sarebbero partiti da persone che si sono spacciate per dipendenti con l'help desk IT e hanno ottenuto il reset di una password, secondo la ricostruzione ripresa da Reuters.
M&S ha stimato circa 300 milioni di sterline di mancato utile operativo, come riporta Reuters, con il negozio online fermo per circa due mesi, mentre Co-op ha previsto un impatto di circa 120 milioni di sterline sugli utili. La lezione è chiara: un reset richiesto per telefono va trattato come un accesso sensibile, con verifiche che non dipendano dalla “cortesia” dell'operatore.
Jaguar Land Rover ha fermato per quasi sei settimane gli stabilimenti britannici dopo un attacco informatico, con una ripartenza parziale annunciata il 7 ottobre 2025, come riporta Reuters, che lo definisce uno degli attacchi più dirompenti subiti dal Regno Unito.
Gli analisti hanno stimato una perdita di circa 50 milioni di sterline a settimana, e il governo britannico ha concesso una garanzia su un prestito da 1,5 miliardi di sterline per sostenere i fornitori. La lezione è evidente anche qui: un piano di continuità operativa deve prevedere come ripartire per fasi e come sostenere la filiera, senza blocchi per le attività.
Il 19 settembre 2025 un attacco al software MUSE di Collins Aerospace, che gestisce check-in e imbarco per diverse compagnie, ha causato disservizi negli aeroporti di Bruxelles, Heathrow e Berlino, come riporta Reuters.
L'agenzia europea per la cybersicurezza ha confermato che all'origine c'era un ransomware su un fornitore terzo, secondo un'altra notizia Reuters. Collins Aerospace ha lavorato poi per giorni al ripristino del software e il 24 settembre l'aeroporto di Berlino segnalava ancora ritardi e cancellazioni.
L’insegnamento che se ne ricava è chiaro: l'attacco a un solo fornitore può fermare più clienti insieme e, per questo, servono procedure manuali di emergenza da testare almeno una volta l'anno e un elenco dei servizi che dipendono da terzi.
Per capire come difendersi dagli attacchi informatici conviene partire dalle misure che rispondono ai tipi di attacchi informatici appena descritti: sono i controlli da verificare subito, non una strategia completa.
L'autenticazione a più fattori e i privilegi minimi limitano il danno di una credenziale rubata o di un inganno al telefono, perché un solo accesso compromesso non basta più per muoversi nella rete.
Conviene attivarla per prima sugli accessi esposti, come posta elettronica, VPN e pannelli di amministrazione, e rimuovere poi i permessi che non servono più a nessuno. Per i profili di amministrazione la misura è ancora più importante, perché sono i primi che un attaccante cerca di ottenere.
Aggiornare i sistemi in tempi rapidi chiude i difetti noti che gli attaccanti sfruttano con maggiore facilità.
Serve un inventario di ciò che è esposto a Internet e una priorità per le correzioni più critiche, mentre penetration test e vulnerability assessment permettono di verificare dove l'azienda è davvero scoperta.
Un backup separato dalla rete aziendale e un ripristino provato con regolarità sono una difesa concreta contro il ransomware, perché permettono di tornare operativi senza trattare con chi ha cifrato i dati. Non basta avere le copie: va misurato anche quanto tempo serve per rimettere in funzione i sistemi, a partire da quelli essenziali.
La formazione e le simulazioni di phishing riducono la probabilità che un messaggio o una telefonata convincano qualcuno a cedere credenziali.
La guida dell'ACN per le PMI segnala proprio il peso dell'errore umano, quindi le prove periodiche vanno accompagnate da procedure chiare su chi chiamare in caso di dubbio. Le simulazioni vanno ripetute nel tempo e commentate con le persone coinvolte, non usate come punizione.
Il controllo dei fornitori riduce il rischio di un attacco alla catena di fornitura: bisogna sapere chi accede ai sistemi o tratta dati critici e chiedere requisiti verificabili. Per questo conviene definire con precisione i requisiti di sicurezza nei contratti con i fornitori, compresi i tempi di notifica degli incidenti e il diritto di verifica.
Queste misure funzionano solo se fanno parte di un disegno più ampio, ed è per questo che conviene capire come costruire una strategia di sicurezza aziendale.
Le decisioni di queste ore contano più della tecnica: servono calma, ruoli chiari e un ordine delle priorità. Nelle prime 72 ore conviene seguire sei passaggi, in quest'ordine:
Le misure isolate non bastano contro gli attacchi informatici alle aziende se nessuno decide le priorità e il budget con cui introdurle e mantenerle nel tempo, ed è qui che entra in gioco una strategia di sicurezza aziendale, cioè il modo in cui l'azienda sceglie quali rischi coprire per primi.
Passare dai singoli controlli a un percorso strutturato permette di dare un ordine alle iniziative e di misurarne i risultati. Una consulenza in cybersecurity può accompagnare questo passaggio, mentre le imprese più piccole possono partire da un percorso di sicurezza informatica per le PMI.
In Italia, secondo il Rapporto Clusit 2026, la tecnica più frequente nel 2025 è il DDoS, con il 38,5% degli incidenti gravi, legato in buona parte all'hacktivism. Seguono il malware (22,7%) e il phishing con il social engineering (12,4%). Ransomware e attacchi ai fornitori restano comunque tra le minacce più rilevanti per le imprese.
I segnali più comuni sono file che non si aprono o cambiano estensione, una richiesta di riscatto (la cosiddetta ransom note) comparsa sullo schermo o in una cartella, sistemi lenti o non raggiungibili e accessi anomali agli account di amministrazione. Alcuni segnali compaiono prima della cifratura, quindi conviene monitorare gli accessi insoliti.
Dipende dall'azienda e dall'attacco. Nel 2025 M&S ha stimato circa 300 milioni di sterline di mancato utile operativo e Co-op circa 120 milioni, secondo Reuters, mentre per l'Osservatorio del Politecnico di Milano il 34% delle grandi imprese italiane ha subito attacchi con costi di ripristino significativi.
In generale non conviene pagare senza aver sentito legali e autorità: il pagamento non garantisce il recupero dei dati né impedisce che vengano diffusi. Il report del CSIRT Italia descrive anche attaccanti che preferiscono vendere i dati rubati piuttosto che incassare il riscatto. La decisione va presa dopo aver valutato backup e obblighi di notifica.
Sì. L'ACN indica le piccole imprese come principale bersaglio degli attacchi ransomware in Italia e ricorda nella sua guida che molte PMI subiscono attacchi, spesso per un errore umano. Anche un'impresa piccola ha dati, clienti e sistemi da proteggere, quindi le misure di base valgono a ogni dimensione.