Cybercrime e PMI: cresce la minaccia ransomware in Italia

Il 2025 passerà agli annali della cybersecurity come l’anno peggiore mai registrato dal 2011, quando Clusit ha iniziato le proprie rilevazioni. Secondo il Rapporto Clusit 2026, presentato il 17 marzo al Security Summit di Milano, a livello globale si sono verificati 5.265 incidenti gravi, il 49% in più rispetto al 2024. L’Italia, con 507 attacchi gravi contro i 357 dell’anno precedente, assorbe da sola il 9,6% degli incidenti mondiali, una quota nettamente sproporzionata rispetto al peso economico del Paese. A completare il quadro, il Cyber Security Report 2026 di TIM e Format Research, presentato il 9 giugno, isola il dato specifico sul ransomware: 166 casi italiani nel 2025, in crescita del 14% su base annua, un dato che colloca l’Italia al primo posto in Europa e al quarto nel mondo per numero di cyberattacchi subiti.

Le tipologie di attacco più diffuse

Sul fronte delle tecniche di attacco, il malware resta la modalità più utilizzata, presente in un incidente su quattro a livello globale, con una crescita del 18% rispetto al 2024. Preoccupa però soprattutto l’incremento del 65% degli attacchi basati sullo sfruttamento di vulnerabilità, comprese le falle zero-day non ancora note ai produttori software, che ora rappresentano il 16,5% del totale. Il phishing e il social engineering, potenziati dall’intelligenza artificiale generativa, segnano un balzo del 75%: email grammaticalmente perfette, personalizzate sul bersaglio e praticamente indistinguibili da comunicazioni legittime rendono questa tecnica la più insidiosa del biennio. Un’analisi di Check Point Research 2026 conferma la centralità del canale email, veicolo dell’82% dei file malevoli, e rileva un incremento del 48% degli attacchi ransomware a livello globale.

In Italia il quadro presenta una particolarità: i DDoS risultano la tecnica più utilizzata, spesso legati a campagne di hacktivism (unione di hacking e activism, attivismo effettuato mediante azioni in stile hacker) di matrice geopolitica. Il nostro Paese è infatti il bersaglio numero uno dell’hacktivism mondiale: due attacchi hacktivisti su tre a livello globale colpiscono obiettivi italiani. Sul fronte del cybercrime puro, si consolida il modello Ransomware-as-a-Service: gruppi come Qilin, The Gentlemen e DragonForce sviluppano il malware e lo affittano ad affiliati in cambio di una percentuale sui riscatti, abbassando drasticamente la barriera d’ingresso per nuovi criminali informatici. Da segnalare anche l’emergere di varianti distruttive: i ricercatori di Check Point Research hanno individuato a fine 2025 VECT, un ransomware che invece di cifrare i file li distrugge definitivamente, azzerando ogni possibilità di negoziazione con la vittima.

I settori più colpiti in Italia

Il manifatturiero si conferma il comparto più esposto: a livello mondiale gli attacchi contro il settore sono cresciuti del 79%, e l’Italia da sola assorbe il 16% di tutti gli attacchi manifatturieri globali, un dato enorme per un’economia il cui pilastro industriale si fonda su filiere di PMI interconnesse tramite sistemi OT (Operational Technology) sempre più esposti in rete. A seguire, il comparto Professional, Scientific and Technical cresce del 91%, trainato da attacchi contro studi legali, società di consulenza e fornitori IT che fungono da trampolino verso clienti più grandi, il classico schema del supply chain attack. Anche trasporti e logistica registrano un’impennata del 134,6% su base annua.

Un dato geografico rilevante emerge dal report TIM/Format Research: circa quattro incidenti su dieci in Italia si concentrano nel Nord-Ovest, con la sola Lombardia che rappresenta oltre il 30% del totale nazionale, coerentemente con la densità del tessuto produttivo manifatturiero e la presenza di data center e multinazionali. I gruppi come RansomHub e Akira continuano a colpire con i ransomware prevalentemente aziende con fatturati tra 10 e 100 milioni di euro, spesso prive di un Security Operations Center dedicato. Secondo l’Osservatorio Digital Innovation del Politecnico di Milano, solo l’11% delle PMI adotta pratiche strutturate di gestione delle vulnerabilità, e circa un’azienda su tre non dispone di risorse interne adeguate per gestire la cybersecurity. Confindustria, nel progetto Cyber Index PMI 2025, segnala che una PMI italiana su quattro ha dichiarato di aver subito almeno un attacco informatico negli ultimi tre anni.

Il ruolo dell’intelligenza artificiale come moltiplicatore di rischio

Il Rapporto Clusit 2026 dedica ampio spazio al fattore che sta ridisegnando lo scenario delle minacce: l’intelligenza artificiale non genera nuove tipologie di attacco, ma potenzia drammaticamente quelle esistenti. L’automazione consente di completare in poche ore operazioni di ricognizione, scansione delle vulnerabilità e creazione di payload, operazioni che un tempo richiedevano giorni di lavoro manuale. Allo stesso tempo, i sistemi agentici autonomi diventano un alleato per la difesa, a condizione che siano integrati in un’architettura capace di raccogliere, correlare e interpretare i dati di sicurezza in tempo reale. Il costo globale del cybercrime è stimato da Cybersecurity Ventures in 10.500 miliardi di dollari nel 2025, con una proiezione di spesa mondiale in cybersecurity superiore ai 520 miliardi di dollari entro fine 2026.

NIS2: dalla registrazione alla compliance operativa

Il 2026 rappresenta per le PMI italiane il passaggio dalla fase teorica a quella degli obblighi concreti previsti dalla Direttiva NIS2, recepita con il Decreto Legislativo 138/2024 e in vigore dal 16 ottobre dello stesso anno. L’Agenzia per la Cybersicurezza Nazionale, autorità competente per l’attuazione, ha pubblicato il 13 aprile 2026 due determinazioni (n. 127434 e n. 127437) che definiscono con precisione termini e modalità di adempimento. Il calendario prevede alcuni passaggi cruciali:

Entro il 31 ottobre 2026, i soggetti già inseriti nell’elenco NIS2 2025 devono aver implementato le misure di sicurezza di base definite dall’ACN
Dal 1° gennaio 2027 decorre l’obbligo di notifica degli incidenti significativi per i nuovi soggetti inseriti nel 2026, con finestre di notifica scaglionate a 24 ore, 72 ore e 30 giorni
Entro il 31 dicembre 2026 va designato il referente CSIRT, la figura interna responsabile della gestione degli incidenti e del contatto con l’autorità nazionale
La nuova determinazione ACN introduce inoltre l’obbligo, per tutti i soggetti NIS, di censire nella piattaforma i propri fornitori rilevanti della catena di approvvigionamento

Le sanzioni non sono simboliche: fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali, fino a 7 milioni o l’1,4% del fatturato per i soggetti importanti. Il punto che molte PMI sottovalutano riguarda l’estensione indiretta degli obblighi: un’azienda che non rientra formalmente nei 18 settori NIS2 può comunque essere coinvolta come fornitore di un soggetto obbligato, che a sua volta deve valutare e monitorare la sicurezza della propria filiera secondo quanto previsto dall’articolo 21 del decreto. Secondo dati recenti, solo il 3,9% delle aziende italiane dichiara una conoscenza dettagliata della nuova normativa, un gap che rischia di tradursi in sanzioni concrete già nella seconda metà del 2026.

Le best practice difensive che riducono davvero il rischio

Di fronte a questo scenario, il Rapporto Clusit 2026 indica come priorità la diffusione di una baseline di sicurezza fondata su poche misure di cyber hygiene, spesso trascurate proprio dalle organizzazioni di dimensioni minori:

Backup con schema 3-2-1: tre copie dei dati, su due supporti differenti, con almeno una copia conservata offline o immutabile. È la contromisura più efficace contro i ransomware che criptano anche i backup collegati in rete, una tecnica ormai standard tra i gruppi RaaS
Autenticazione a più fattori (MFA): da estendere non solo agli accessi cloud e VPN, ma anche alle console di amministrazione e ai sistemi legacy, spesso il punto debole nelle reti industriali OT, vulnerabili ai ransomware
EDR (Endpoint Detection and Response): strumenti capaci di rilevare comportamenti anomali sugli endpoint in tempo reale, oggi indispensabili contro tecniche di attacco che sfruttano software legittimo per eludere gli antivirus tradizionali, come dimostrato dal caso Daemon Tools Lite segnalato da Kaspersky

A queste misure tecniche si affianca la crescente adozione di servizi gestiti da Managed Security Service Provider, una tendenza che il Rapporto Clusit individua come trend strutturale per il 2026, dato che poche PMI possono permettersi un SOC interno 24 ore su 24. Realtà italiane come Axitea, Yarix del gruppo Var Group e TIM Enterprise stanno ampliando l’offerta di servizi di monitoraggio gestito proprio per intercettare la domanda delle piccole e medie imprese, chiamate ormai a coniugare compliance normativa e resilienza operativa in un contesto di minaccia da ransomware che, secondo tutte le proiezioni disponibili, non accennerà a rallentare nel corso dell’anno.