Alessandro FerrariIl ministro della Difesa Guido Crosetto ha dichiarato alla BBC, in un'intervista pubblicata il 17 ottobre 2026, che l'Italia subisce "centinaia" di attacchi informatici ogni giorno. Una cifra che riguarda lo Stato, ma che per una piccola impresa o uno studio professionale pone una domanda molto concreta: se i bersagli istituzionali sono sotto pressione continua, chi protegge i dati di chi sta più in basso nella filiera?
Che cosa ha detto Crosetto, e che cosa no
Nell'intervista, raccolta al ministero a Roma e ripresa dall'ANSA, Crosetto ha criticato la possibile limitazione americana all'accesso dell'Ucraina a satelliti e intelligence, definendola un "grave errore". Ha poi ricordato che il sostegno militare italiano proseguirà "finché questo governo sarà in carica" e che l'approvazione parlamentare di nuove consegne diventerà più difficile con l'avvicinarsi delle elezioni.
Sul fronte della sicurezza interna, la BBC osserva che l'Italia non è stata bersaglio di grandi sabotaggi fisici come altri alleati europei. Un incendio in un deposito di armi alla periferia di Roma, in agosto, non sarebbe doloso: Crosetto lo ha attribuito alla "stupidità umana". Gli attacchi informatici, invece, sono "centinaia ogni giorno".
Va detto con precisione: l'intervista non specifica quanti di questi attacchi vadano a segno, né chi li conduca. Il dato descrive l'intensità della pressione, non l'entità dei danni.
Perché una PMI dovrebbe preoccuparsi
La maggior parte di questi tentativi non è mirata a un'azienda in particolare. Sono scansioni automatiche, phishing di massa, tentativi di accesso con password rubate. Colpiscono dove trovano una porta aperta: un server non aggiornato, un account di posta senza autenticazione a due fattori, un gestionale accessibile da remoto con credenziali deboli.
Per questo motivo il tema non è "se" un'impresa sia interessante per un attaccante, ma quanto sia facile da compromettere. Una piccola azienda fornitrice di una realtà più grande, o di un ente pubblico, può diventare il punto di ingresso verso obiettivi più rilevanti.
Il quadro normativo si è già mosso. Il decreto legislativo 138 del 2024, che recepisce la direttiva europea NIS2, impone obblighi di gestione del rischio informatico e di notifica degli incidenti a un perimetro ampio di soggetti, e questi obblighi si estendono per contratto ai loro fornitori. Le sanzioni previste arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, e fino a 7 milioni di euro o all'1,4% per quelli importanti. L'Agenzia per la cybersicurezza nazionale (ACN) è l'autorità di riferimento.
La domanda che i titolari si fanno: "Da dove comincio?"
Un consulente informatico indipendente, prima di proporre qualsiasi prodotto, parte in genere da quattro verifiche, che richiedono poche ore e non un grande budget.
Inventario. Quali dispositivi, account e servizi cloud usa davvero l'azienda? Molte violazioni passano da un vecchio NAS, da un account di un ex dipendente o da un servizio dimenticato.
Accessi. L'autenticazione a più fattori è attiva su posta, gestionale e accesso remoto? È la misura singola con il miglior rapporto tra costo ed efficacia.
Copie di sicurezza. Esiste almeno una copia scollegata dalla rete, e il ripristino è stato provato? Un backup mai testato è una speranza, non una garanzia.
Aggiornamenti. Sistemi operativi, firewall e software gestionali sono alla versione supportata dal produttore?
Solo dopo queste verifiche ha senso parlare di strumenti più avanzati, come il monitoraggio continuo o un piano formale di risposta agli incidenti.
Gli errori più comuni che aprono la porta
Nella pratica, gli incidenti nelle piccole imprese nascono quasi sempre da abitudini ordinarie, non da tecniche sofisticate. Le password riutilizzate su più servizi sono la causa più frequente: quando un sito esterno subisce una fuga di dati, le stesse credenziali vengono provate automaticamente sulla posta aziendale. Seguono gli account condivisi tra colleghi, che rendono impossibile capire chi abbia fatto cosa, e gli accessi remoti lasciati attivi dopo la fine di una collaborazione.
Anche la formazione conta. Un'ora di spiegazione su come riconoscere una falsa fattura o un messaggio che finge di arrivare dalla banca riduce il rischio più di molti software. Per approfondire il tema delle minacce emergenti, puoi leggere anche cosa cambia con il quantum computing per la sicurezza dei dati delle aziende italiane.
Un caso concreto: lo studio con 12 dipendenti
Prendiamo uno studio di contabilità con 12 dipendenti, che gestisce buste paga e dichiarazioni per circa 150 clienti. Il titolare usa la posta con la sola password e un gestionale raggiungibile da casa tramite accesso remoto.
Un martedì mattina un dipendente apre un allegato falso, che sembra una fattura. Le sue credenziali finiscono a un attaccante, che entra nel gestionale e cifra l'archivio. Lo studio ha un backup, ma è collegato alla stessa rete e viene cifrato a sua volta.
Se lo studio avesse attivato l'autenticazione a due fattori e conservato una copia scollegata, le conseguenze sarebbero state limitate: l'attaccante non avrebbe superato l'accesso, oppure il ripristino sarebbe stato questione di qualche ora. Senza queste misure, l'archivio con i dati di 150 clienti resta bloccato per giorni.
Qui scatta anche l'obbligo giuridico. Se la violazione riguarda dati personali, il GDPR richiede di notificare il Garante entro 72 ore da quando se ne ha conoscenza. Se i dati dei clienti sono compromessi, vanno valutate anche le comunicazioni agli interessati. Un'ora persa nelle prime 24 pesa quindi sia sul piano tecnico sia su quello legale: chi sa a chi telefonare, e in quale ordine, risparmia giornate di inattività.
Il costo di un intervento preventivo, a confronto, è modesto: l'attivazione dell'autenticazione a due fattori e la verifica di un backup separato sono interventi di poche ore di lavoro di un tecnico. Il costo di un fermo di cinque giorni lavorativi per uno studio con 12 persone, tra stipendi pagati senza produzione e scadenze fiscali mancate, supera di molto quella cifra.
Quando serve un esperto, e di che tipo
Non ogni impresa ha bisogno dello stesso aiuto. Una distinzione utile:
- Se l'azienda non ha un responsabile informatico, serve un consulente che faccia una valutazione iniziale e imposti le misure di base.
- Se l'azienda è fornitrice di grandi clienti o di enti pubblici, conviene un professionista che sappia leggere i requisiti contrattuali legati alla NIS2 e tradurli in controlli verificabili.
- Se è già avvenuto un incidente, la priorità è isolare i sistemi e coinvolgere sia un tecnico sia, per gli aspetti di notifica, un avvocato esperto di protezione dei dati.
Sono ruoli diversi, e scegliere il profilo giusto fa risparmiare tempo nei momenti in cui il tempo manca.
Cosa fare questa settimana
La dichiarazione di Crosetto è un promemoria, non una novità tecnica: la pressione informatica sull'Italia è costante e non si limita ai ministeri. Tre azioni concrete, da completare entro sette giorni:
- Attivare l'autenticazione a due fattori su posta elettronica e accessi remoti.
- Verificare che esista una copia di sicurezza scollegata dalla rete e provare un ripristino.
- Scrivere su un foglio chi chiamare in caso di incidente: tecnico, avvocato, assicuratore.
Se non sai da dove cominciare, su Expert Zoom puoi confrontarti con un consulente informatico verificato e ottenere una valutazione iniziale del tuo caso, prima che sia un attacco a imporla.
Le informazioni di questo articolo hanno scopo divulgativo e non sostituiscono una consulenza tecnica o legale personalizzata. Gli importi delle sanzioni e i termini di legge citati vanno verificati sulle fonti ufficiali.
