Quattordici dipendenti, un gestionale, un server in ripostiglio e il backup su un disco attaccato alla stessa macchina. Il venerdì pomeriggio le cartelle cominciano a non aprirsi. Il lunedì l'azienda è ferma: non si fattura, non si spedisce, non si risponde ai clienti. Nessuno aveva mai pensato di essere un bersaglio. Nessuno aveva mai pensato che il bersaglio fosse il gestionale.

È la scena che si ripete più spesso di quanto si immagini. Circa l'83% degli attacchi informatici colpisce piccole e medie imprese, e non perché i criminali abbiano qualcosa di personale contro le PMI. Perché costano meno.

Cosa dice davvero quel numero

Vale la pena leggere la percentuale senza spaventarsi e senza liquidarla. Non significa che un'azienda su cinque sia al sicuro, né che ogni PMI verrà attaccata domani. Significa che la distribuzione degli attacchi segue la distribuzione delle opportunità: la maggior parte delle imprese è piccola, e la maggior parte degli attacchi arriva dove il rapporto tra sforzo e risultato è migliore.

È la logica di qualsiasi attività criminale. Non si sceglie la vittima più ricca, si sceglie quella più conveniente. E in questo momento la convenienza si misura in porte aperte, non in fatturato.

Le tre ragioni per cui le PMI sono convenienti

Gli attacchi sono automatizzati. Gli strumenti di oggi scansionano Internet di continuo, cercando versioni software note, pannelli di amministrazione esposti, configurazioni sbagliate. Non serve un'ipotesi su di te: serve un elenco di indirizzi e un programma che li prova tutti. L'intelligenza artificiale ha abbassato il costo di scrivere un messaggio credibile e di adattarlo alla lingua e al settore. Il risultato è che la selezione della vittima non è più una decisione umana, è un filtro automatico. Chi non viene scelto oggi può esserlo domani, quando cambia una configurazione.

Le difese sono proporzionate al budget, e il budget è piccolo. Le grandi aziende dedicano alla sicurezza una quota dell'ordine del 10-15% della spesa IT; nelle piccole spesso si scende sotto il 5%. Non è un peccato: è una conseguenza. Con quelle risorse si compra l'antivirus, si paga il tecnico quando qualcosa non funziona e si rimanda il resto. Il resto, di solito, sono gli aggiornamenti, i backup verificati, la separazione delle reti e le persone che se ne occupano.

I sistemi invecchiano e nessuno li sostituisce. Un server del 2015 con un software che non riceve più correzioni non è un caso raro: è la normalità in molti uffici. Non perché manchi la buona volontà, ma perché finché funziona nessuno autorizza la spesa. Il giorno in cui smette di funzionare, la spesa arriva comunque, con gli interessi.

L'effetto porta d'accesso

C'è un quarto motivo, meno intuitivo e più importante per chi lavora in filiera. La PMI non è sempre il bersaglio finale: è l'ingresso.

Un fornitore piccolo ha accessi ai sistemi di un cliente grande: un portale, una VPN, una casella di posta, un collegamento al gestionale. Compromettere il fornitore è più semplice che attaccare il cliente, e apre una strada che nessun firewall del cliente può chiudere, perché il traffico arriva da un partner autorizzato. È lo stesso schema delle grandi violazioni partite da un fornitore esterno, e la ragione per cui la sicurezza della supply chain è diventata una clausola contrattuale e non un tema da convegno.

Per una PMI questo cambia il calcolo. Non proteggi solo i tuoi dati: proteggi la tua credibilità come fornitore. Un'azienda che non sa rispondere a un questionario di sicurezza, o che non ha un referente per gli incidenti, comincia a perdere gare.

Quanto costa un fermo

Il danno di un attacco non si misura solo in riscatto. Si misura in giorni di fermo: la produzione che non esce, gli ordini che non si evadono, i clienti che chiamano e non ricevono risposta, i dipendenti pagati mentre l'azienda non incassa. Per una PMI con margini stretti, una settimana di blocco può valere un trimestre.

Poi ci sono i costi che arrivano dopo. Il ripristino, la consulenza, l'eventuale notifica di violazione dei dati personali, le sanzioni se il trattamento era inadeguato, il tempo del titolare speso in ricostruzioni invece che in clienti. E la reputazione: chi ha subito un attacco e non ha saputo spiegarlo perde fiducia anche quando tecnicamente ha risolto.

C'è un dettaglio che spesso sfugge. Anche le assicurazioni cyber chiedono prove: autenticazione a più fattori, backup testati, gestione degli accessi. Un'azienda che non ha niente da mostrare paga un premio più alto o resta senza copertura nel momento del bisogno.

L'errore umano non è una colpa, è un progetto

La maggior parte degli incidenti comincia con una persona che clicca, scarica, inserisce una password in un posto sbagliato. È comodo fermarsi lì e parlare di distrazione.

Ma un dipendente clicca perché qualcuno ha costruito un messaggio credibile, nel momento giusto, con il tono giusto. La domanda utile non è "chi ha sbagliato", è "cosa ha reso quel clic sufficiente per aprire l'azienda". Se un clic basta a cifrare tutto, il problema non è il clic: è che quella singola azione aveva troppo potere. Il programma di cybersecurity awareness serve a ridurre la probabilità; la progettazione dei permessi serve a ridurre il danno.

Un modello proporzionato: cinque mosse

Non serve diventare una banca. Serve ridurre la superficie e aumentare la capacità di accorgersi.

  1. Autenticazione a più fattori su tutto ciò che conta. Posta, accesso remoto, amministrazione dei server, fatturazione elettronica, cloud. È la misura con il miglior rapporto tra costo e beneficio, e chiude la maggior parte degli accessi con credenziali rubate.
  2. Backup separati e provati. Tre copie, due supporti, una offline o immutabile. La prova di ripristino va fatta davvero, ogni mese: un backup mai ripristinato è una speranza. Il metodo è in backup aziendale e regola 3-2-1.
  3. Aggiornamenti gestiti, non affidati alla buona volontà. Un calendario, un responsabile, un controllo periodico di ciò che resta indietro. Ne parliamo in patch e vulnerabilità.
  4. Reti separate e perimetro chiuso. La rete degli impianti e delle macchine di produzione non deve stare sulla stessa rete degli uffici, e i pannelli di controllo non devono essere raggiungibili da Internet. Vedi firewall aziendale.
  5. Un piano di risposta scritto e provato. Chi chiama chi, a che ora, con quale ordine, cosa si dice ai clienti. Va scritto a freddo, non durante l'incidente: le prime 24 ore.

Nessuna di queste mosse richiede un reparto di sicurezza. Richiede una decisione e un calendario.

Perché conviene farlo adesso

Il quadro normativo sta spingendo nella stessa direzione, anche per chi non è direttamente obbligato. La direttiva NIS2 chiede alle imprese in perimetro di governare il rischio dei fornitori, e questo si traduce in questionari, clausole e richieste di evidenze che arrivano alle PMI dalla parte del contratto. Esistono anche campagne istituzionali, come quelle dell'Agenzia per la cybersicurezza nazionale, che mettono a disposizione materiali e indicazioni pratiche per le imprese. Le gare pubbliche e private inseriscono requisiti di sicurezza. Le assicurazioni chiedono controlli minimi.

Non è conformità: è poter rispondere. Un'azienda che sa dire quali accessi ha, come ripristina i dati e in quanto tempo, vince una commessa che un concorrente più grande ma più disordinato perde.

E c'è una ragione più semplice, che vale più di tutte le altre. Un attacco non si evita con la fortuna. Si evita rendendo il costo dell'attacco più alto del suo guadagno. Per una PMI, oggi, questo significa poche cose fatte bene, verificate e scritte. Non un progetto da centomila euro: un pomeriggio al mese e un elenco corto di priorità.