Il Ransomware Prende di Mira le Piccole Imprese con Doppia Intensità

Il Nemico Ha Scelto il Lato più Debole

Quando il rapporto annuale di Verizon sulle violazioni dei dati, il DBIR 2025, ha rivelato che l'88% delle intrusioni nelle piccole e medie imprese coinvolge ransomware, contro appena il 39% nelle grandi aziende, il messaggio è stato chiaro e brutale: i criminali digitali hanno compiuto una scelta strategica, e quella scelta sei tu.

Non è paranoia. È aritmetica criminale. Le PMI offrono dati preziosi, processi critici e, nella maggior parte dei casi, un'infrastruttura di sicurezza significativamente più fragile. Per un gruppo ransomware che opera come un'azienda vera e propria, con divisione dei compiti, supporto tecnico e obiettivi di fatturato, attaccare un'impresa di medie dimensioni in Brasile, in Italia o negli Stati Uniti è più efficiente che affrontare il team di sicurezza di una multinazionale con decine di analisti e un budget a otto cifre.

La Logica della Doppia Estorsione

Il ransomware moderno non funziona più come un tempo. La narrativa del "hanno cifrato i miei file, ho pagato il riscatto, è finita" appartiene al passato.

Oggi gli attaccanti operano con quella che il settore chiama doppia estorsione: prima di cifrare qualsiasi cosa, esfiltrano i dati. Contratti, dati dei clienti, informazioni finanziarie, proprietà intellettuale. Poi arriva la cifratura, e con essa due richieste di riscatto simultanee: una per recuperare l'accesso ai sistemi, l'altra per garantire che i dati sottratti non vengano pubblicati o venduti.

Per una PMI, questo crea una pressione esistenziale. Non si tratta solo di un sistema bloccato. Si tratta di una minaccia alla reputazione, ai clienti, ai contratti in essere e, nei casi che coinvolgono dati personali, agli obblighi legali previsti dal GDPR.

Vedo questo scenario da vicino nel lavoro che svolgiamo con i nostri clienti. La domanda non è più "mi attaccheranno?". La domanda è "quando, e sono pronto?"

Perché Pagare Non Risolve

La pressione a pagare è comprensibile. Quando un sistema ERP è bloccato, quando gli ordini non escono, quando l'operatività si ferma, ogni ora ha un costo reale. La tentazione di pagare per "risolvere subito" è enorme.

Ma i dati sono inequivocabili: pagare il riscatto non garantisce il recupero completo dei dati, non elimina la minaccia e segnala frequentemente al mercato criminale che l'azienda è un bersaglio disposto a pagare. Le aziende che pagano vengono attaccate di nuovo con frequenza sproporzionata.

Inoltre, a seconda del gruppo criminale coinvolto, il pagamento può configurare una violazione delle sanzioni internazionali, un livello di rischio legale che pochi manager di PMI prendono in considerazione.

Cosa Funziona Davvero

La buona notizia, e ne esiste una, è che le misure di protezione più efficaci contro il ransomware non richiedono il budget di un'azienda Fortune 500. Richiedono disciplina, coerenza e gli strumenti giusti.

Backup offline, testati e aggiornati

Questo è il punto non negoziabile. Un backup che risiede connesso alla stessa rete compromessa non è un backup: è una seconda vittima in attesa. Backup offline, con almeno una copia al di fuori dell'ambiente di produzione e testati regolarmente per verificare che il ripristino funzioni, rappresentano la differenza tra un'interruzione di poche ore e una crisi che dura settimane.

Soluzioni EDR accessibili: esistono già

Gli strumenti di Endpoint Detection and Response (EDR), che monitorano i comportamenti sospetti in tempo reale e non si limitano alle firme di virus noti, hanno smesso di essere un'esclusiva delle grandi aziende. Soluzioni come CrowdStrike Falcon Go, SentinelOne e altre opzioni di fascia media sono alla portata delle PMI con decine o centinaia di endpoint. Il costo mensile per dispositivo è una frazione del costo di un singolo incidente.

Gestione delle patch: la porta che nessuno chiude

La maggior parte degli attacchi ransomware riusciti non sfrutta vulnerabilità zero-day. Sfrutta falle note, con correzioni disponibili da mesi. Mantenere aggiornati sistemi operativi, software di terze parti e firmware è una delle azioni con il maggiore ritorno in termini di sicurezza per unità di sforzo, eppure viene sistematicamente trascurata.

La Decisione che Nessuno Vuole Prendere Finché non è Troppo Tardi

Nell'attività di consulenza ho imparato che il principale ostacolo non è tecnico. È psicologico. La maggior parte dei titolari e dei dirigenti di PMI sa, a qualche livello, che la protezione è insufficiente. Ciò che manca è trasformare questa consapevolezza diffusa in una priorità di budget concreta, prima che si verifichi l'incidente.

Il rapporto Verizon è un dato esterno. Il costo medio di un attacco ransomware per le PMI, che include tempi di inattività, ripristino, onorari legali e danni reputazionali, supera frequentemente centinaia di migliaia di euro. L'investimento preventivo è una frazione di quella cifra.

La domanda per ogni CEO e direttore operativo di una PMI oggi non è se la cybersecurity sia importante. È perché non è ancora nell'agenda di questa settimana.