Il Rapporto Clusit 2026 è arrivato a marzo, il Data Breach Investigations Report di Verizon in primavera, il Threat Landscape di ENISA a settembre, il Cost of a Data Breach di IBM in estate. Ognuno con centinaia di pagine, tabelle e appendici. Letti uno alla volta si perde il quadro d'insieme; messi in fila, i numeri del 2026 raccontano una storia sola: gli attacchi crescono, cambiano bersaglio e costano sempre di più. Ecco le cifre che contano per un'azienda, senza allarmismo e senza gergo.

Quanto sono cresciuti gli attacchi

Il punto di partenza è il Rapporto Clusit 2026, presentato a marzo dall'Associazione Italiana per la Sicurezza Informatica: nel 2025 gli incidenti gravi registrati nel mondo sono stati 5.265, il 49% in più rispetto all'anno precedente. È la crescita più marcata degli ultimi anni, e non risparmia l'Italia, che segue il trend con 507 incidenti gravi. Il dato italiano più interessante riguarda la forma degli attacchi: la quota di attacchi DDoS (quelli che saturano un servizio fino a renderlo irraggiungibile) è salita al 38,5% dei casi, contro il 21% del 2024. In parte è una buona notizia: gli attacchi più rumorosi durano poco, perché le difese automatiche funzionano. Restano i casi pesanti: 166 attacchi ransomware, il 14% in più dell'anno prima, e una presenza italiana stabile tra i Paesi più colpiti d'Europa.

Chi colpiscono: le PMI in prima fila

Il dato da leggere due volte è nel DBIR 2026 di Verizon: l'88% delle vittime di violazione è una piccola o media impresa. Non è una coincidenza statistica. Le PMI hanno meno difese strutturate, meno personale dedicato e una superficie esposta che nel frattempo è cresciuta: cloud, fornitori, dispositivi connessi. La scala europea è la stessa: l'ultima edizione del Threat Landscape di ENISA analizza 8.257 incidenti avvenuti negli Stati membri nel 2025 e mette ransomware, sfruttamento delle vulnerabilità e attacchi potenziati dall'intelligenza artificiale tra le minacce principali. I settori più colpiti sono finanza e infrastrutture critiche, ma la coda della classifica è lunga: arriva a studi professionali, manifattura, sanità e commercio. E non serve essere un obiettivo importante: buona parte degli attacchi è opportunistica e automatizzata, generata da strumenti che scandagliano la rete senza scegliere il bersaglio in anticipo.

Da dove entrano: le tre porte di sempre

Il DBIR 2026 segna un cambio di gerarchia: lo sfruttamento di vulnerabilità è diventato il vettore numero uno per ottenere l'accesso: quasi un terzo delle violazioni analizzate (il 31%) parte da lì. Dietro restano due classici: credenziali rubate e phishing (le email truffaldine che spingono a cliccare o a inserire dati). Sophos, nello State of Ransomware 2026, misura le quote sui casi di ransomware: vulnerabilità sfruttate al 32%, credenziali compromesse al 23%, phishing al 18%. Cresce anche l'abuso degli strumenti di gestione remota (RMM), più 240% in un anno: sono i software che i tecnici usano per assistere i clienti, e i criminali li usano per muoversi nelle reti senza dare nell'occhio. Il filo comune è semplice: non serve violare un sistema perfetto, basta entrare da una porta che qualcuno ha dimenticato di chiudere. E quando l'attacco riesce, il capitolo successivo è quello del ransomware: il piano d'azione è nell'articolo sugli attacchi ransomware nelle PMI.

Quanto costa: i numeri del conto

Sui costi il riferimento è IBM con il Cost of a Data Breach 2026: una violazione costa in media 4,99 milioni di dollari a livello globale, in risalita dopo il calo del 2025. Una violazione su quattro, scrive IBM, è agevolata dall'intelligenza artificiale, e in quel caso il conto medio sale a 6 milioni. Per il ransomware il costo è più diretto: secondo Sophos il recupero (escluso il riscatto) costa in media 1,7 milioni di dollari, l'11% in più dell'anno precedente. Per una PMI il punto non è la cifra assoluta, ma la sproporzione: il conto di un incidente serio supera di norma qualunque investimento in prevenzione, anche solo contando i giorni di fermo, i clienti persi e le ore del team. E poi c'è la parte che non entra nei report: la reputazione, i rapporti con i clienti, il tempo dell'imprenditore.

Cosa significano per la tua azienda

Tre letture rapide. Primo: essere piccoli non è una difesa, è semmai il contrario; i numeri dicono che il bersaglio statisticamente più probabile è proprio l'azienda che pensa di non essere interessante. Secondo: le porte d'ingresso sono note e stabili da anni (vulnerabilità non aggiornate, credenziali, distrazione), quindi la difesa può essere mirata invece che generica. Terzo: il costo dell'incidente non è lineare, ma cresce con la durata del fermo e con la quantità di dati coinvolti; accorciare i tempi di reazione vale più che aggiungere strumenti. La buona notizia è che le contromisure più efficaci restano quelle di base, applicate con costanza.

Da dove partire

Se tutto questo va ridotto a una lista di partenza: un processo di gestione degli aggiornamenti che non dipenda dall'emergenza; backup verificati con la regola 3-2-1 (tre copie, due supporti diversi, una fuori sede); autenticazione a più fattori su caselle di posta, accessi remoti e gestionali; formazione breve e periodica per chi lavora; un monitoraggio continuo di reti e caselle per accorgersi prima. Nessuna di queste richiede una riorganizzazione: richiedono un ordine di priorità e qualcuno che se ne occupi. È esattamente il tipo di lavoro che facciamo ogni giorno con le PMI.