Rapporto Clusit 2025 [update]: L'Italia è ancora nel mirino

Perché l’Italia resta un bersaglio privilegiato degli attacchi informatici nel 2025

Il Rapporto Clusit 2025 dipinge un quadro severo per le aziende italiane. Con circa 357 incidenti informatici gravi registrati contro organizzazioni italiane nel solo 2024, l’Italia continua ad assorbire una quota sproporzionata degli attacchi globali, circa il 10% di tutti gli incidenti nel mondo, pur rappresentando appena il 2% del PIL mondiale.

Per gli imprenditori di tutta Europa, e in particolare in Italia, questi numeri non sono astratti. Si traducono direttamente in interruzioni operative, perdite economiche e danni reputazionali da cui possono servire anni per riprendersi.

Cosa dicono davvero i dati del Rapporto Clusit 2025

A livello globale i ricercatori hanno documentato 3.541 incidenti informatici gravi nel 2024, il 27% in più rispetto all’anno precedente. Negli ultimi cinque anni il numero complessivo di attacchi significativi è più che raddoppiato.

La traiettoria dell’Italia è altrettanto allarmante. Dopo un’impennata del 65% degli attacchi tra il 2022 e il 2023, il paese ha visto un ulteriore aumento del 15-18% nel 2024. La tendenza è chiara: i cybercriminali non stanno perdendo interesse per i bersagli italiani.

A rendere questi dati ancora più rilevanti è la metodologia. Clusit tiene conto solo degli incidenti gravi resi pubblici. Il numero reale degli attacchi, in particolare quelli che colpiscono le aziende più piccole e non finiscono mai sui giornali, si stima sia molto più alto.

I settori sotto pressione

La manifattura guida la classifica dei settori colpiti in Italia, con circa il 13-15% degli incidenti registrati. È una quota ben sopra la media globale e riflette la composizione dell’economia italiana, dove le piccole e medie imprese manifatturiere sono la spina dorsale di intere filiere.

Governo e pubblica amministrazione restano il singolo settore più attaccato, con il 15-18% degli incidenti italiani, seguiti da vicino dalla sanità, un bersaglio in rapida crescita. Completano l’elenco servizi finanziari, trasporti e istruzione.

Per le PMI i dati sulla manifattura sono particolarmente rilevanti. Molte delle aziende “manifatturiere” colpite non sono grandi multinazionali: sono imprese di medie dimensioni, tra 50 e 250 dipendenti, spesso con risorse limitate per la sicurezza IT e profondamente integrate in filiere più grandi.

Come entrano gli attaccanti

Il ransomware continua a dominare e costituisce la gran parte degli attacchi basati su malware, che pesano per circa il 36% di tutti gli incidenti a livello globale. Lo schema è consolidato: gli attaccanti cifrano i dati aziendali critici e chiedono un pagamento, spesso dopo aver sottratto informazioni sensibili da usare come ulteriore leva.

Lo sfruttamento di vulnerabilità software note è il vettore di attacco in più rapida crescita, ora responsabile del 18-20% degli incidenti. È un punto cruciale per gli imprenditori: molti di questi attacchi riescono non per exploit zero-day sofisticati, ma perché le organizzazioni non applicano patch di sicurezza disponibili da settimane o da mesi.

In Italia, in particolare, gli attacchi DDoS sono sproporzionatamente frequenti e arrivano al 14-17% di tutti gli incidenti. Gran parte di questa attività deriva da gruppi hacktivisti filorussi che dal 2022 hanno preso di mira più volte servizi governativi e infrastrutture critiche italiane. Gli attacchi DDoS sono di norma meno dannosi del ransomware, ma bloccano le operazioni e possono fare da copertura a intrusioni più mirate.

Phishing e ingegneria sociale rappresentano un altro 8-9% degli attacchi a livello globale, anche se il loro impatto reale è molto maggiore: le email di phishing sono spesso il punto d’ingresso iniziale che porta, settimane dopo, a una diffusione completa del ransomware.

Perché le PMI europee dovrebbero prestare attenzione

L’economia italiana è composta per circa il 95% da piccole e medie imprese. La maggior parte non ha un team di cybersecurity dedicato e molte si affidano a un unico tuttofare IT, o a un fornitore esterno che passa una volta a settimana, per gestire l’intera infrastruttura digitale.

Gli attaccanti se ne sono accorti. Gli operatori di ransomware si sono spostati sempre più verso un modello ad alto volume e riscatti più bassi, rivolto in modo specifico alle PMI. La logica è semplice: un’azienda da 80 dipendenti ha meno probabilità di avere backup solidi, piani di risposta agli incidenti o l’esperienza negoziale per resistere alla tentazione di pagare. Moltiplicando per centinaia di bersagli, il modello di business è molto redditizio.

Il rischio della supply chain

Forse la minaccia più sottovalutata per le PMI è il loro ruolo nelle filiere. Un piccolo produttore di componenti o un fornitore di logistica può non ritenersi un bersaglio interessante, ma gli attaccanti sanno che compromettere un fornitore può aprire porte verso organizzazioni molto più grandi a valle.

Il Rapporto Clusit ha messo più volte in evidenza questa dinamica. Le PMI italiane non sono solo vittime: sono sempre più usate come gradini intermedi in campagne più ampie contro multinazionali e istituzioni pubbliche.

Le misure pratiche che contano davvero

Per gli imprenditori che leggono questi numeri la domanda è sempre la stessa: cosa dobbiamo fare? In base agli schemi di attacco documentati nel Rapporto Clusit 2025, alcune misure si distinguono per efficacia rispetto al costo.

La gestione delle patch non è facoltativa

Con lo sfruttamento delle vulnerabilità in rapida crescita come vettore di attacco, tenere il software aggiornato è una delle azioni a maggior impatto che un’organizzazione possa compiere. Vale per sistemi operativi, applicazioni aziendali, firewall e appliance VPN, che negli ultimi anni sono stati un bersaglio preferito degli attaccanti.

Formazione di consapevolezza dei dipendenti

Il phishing resta il modo più comune con cui gli attaccanti ottengono un primo punto d’appoggio. Una formazione regolare e pratica, non esercizi annuali da spuntare in una lista, aiuta i dipendenti a riconoscere le email sospette prima di cliccare. Le campagne di phishing simulato costano poco e hanno un’efficacia misurabile.

Pianificazione di backup e ripristino

Il ransomware funziona come modello di business solo quando alle vittime non resta alternativa al pagamento. Le organizzazioni che mantengono backup offline testati e hanno un piano di ripristino documentato possono spesso riprendere le attività senza trattare con gli attaccanti. La parola chiave è “testati”: un backup mai ripristinato non è un backup, è una speranza.

La conformità alla NIS2 come quadro di riferimento

La direttiva NIS2 dell’UE, che ha esteso gli obblighi di cybersecurity a una gamma più ampia di settori e dimensioni aziendali, offre un quadro utile anche alle organizzazioni che non vi sono direttamente soggette. I suoi requisiti su gestione del rischio, notifica degli incidenti e sicurezza della supply chain rappresentano una base ragionevole per qualsiasi azienda che dipenda da un’infrastruttura digitale.

Il quadro generale

Il Rapporto Clusit 2025 conferma ciò che i professionisti della sicurezza ripetono da anni: gli attacchi informatici contro le aziende italiane ed europee non sono un picco temporaneo. Sono una tendenza strutturale, alimentata da gruppi criminali organizzati, hacktivismo geopolitico e dall’impronta digitale sempre più ampia di aziende che non sono mai state concepite per operare come imprese tecnologiche.

Per le PMI, il divario tra il panorama delle minacce e la preparazione reale resta ampio. Colmarlo non richiede budget enormi né security operations center da grande azienda. Richiede un’attenzione costante ai fondamentali: patch, formazione, backup e una chiara comprensione di quali dati contano di più e di come proteggerli.

I numeri del Rapporto Clusit saranno quasi certamente peggiori il prossimo anno. La domanda per ogni imprenditore è se la sua organizzazione sarà più preparata ad affrontarli.