Gli schemi di attacco e di difesa si stanno raffinando: i cybercriminali usano tecniche sempre più sofisticate, e hanno cominciato a vendere gli attacchi “as a service” alle cybergang meno esperte, aumentando così di molto la probabile platea di potenziali vittime.

Nel primo semestre del 2025 si registra un nuovo picco per la cybersicurezza italiana: l’aggiornamento di ottobre del Rapporto Clusit parla di 2.755 attacchi gravi in Italia, pari al 10% di quelli a livello globale. Il dato non è giustificato dal peso economico mondiale del nostro Paese, ed è quindi segno di una vulnerabilità strutturale ancora elevata. Il cybercrime resta la principale minaccia, responsabile di quasi l’87% degli attacchi globali e il 93% ha riguardato il settore manifatturiero. Gli episodi con impatto “critico” o “alto” hanno raggiunto l’82% del totale, confermando che la maggioranza delle violazioni produce danni economici, tecnologici e reputazionali significativi.

Il Rapporto stima anche il costo medio di un attacco informatico per ciascuna azienda colpita: parliamo di circa 300 mila euro, ma nei casi più complessi si può anche superare il milione di euro — in particolare nella sanità e nella manifattura —a cui si aggiungono i costi indiretti: interruzioni operative, blocchi dei sistemi produttivi, perdita di dati e fiducia dei clienti. A incidere su questo aspetto anche il tempo medio necessario per scoprire una violazione, che in Italia supera ancora i sei mesi. In altre parole, accade che ci si accorga di aver subito un attacco solo quando il danno è ormai esteso, e questo rende più complesso e costoso l’intervento di ripristino.

Ai cybercriminali piace il settore manifatturiero. Sono infatti le imprese del comparto industriale ad essere più colpite, con il 90% degli attacchi registrati in tutto il 2024, pari all’8% del totale nazionale. Sono gli attacchi ransomware i più diffusi, seguiti da exploit di vulnerabilità note o non sistemi di sicurezza non aggiornati e facilme preda degli attacchi DDoS, che bloccano la produzione o sono usati come leva per estorsioni digitali.

Le Pmi italiane non sono ancora pronte a fronteggiare il problema degli attacchi informatici, con conseguenze economiche e operative che potrebbero diventare rischio sistemico per la competitività italiana. Si amplia infatti il divario tra la capacità offensiva dei criminali e le difese aziendali con ricadute sulla sostenibilità del tessuto produttivo — in particolare delle piccole e medie imprese, spesso prive di risorse e competenze specialistiche per la sicurezza digitale. IL problema risiede nel fatto che siano ancora troppe le Pmi italiane che continuano a operare con reti scarsamente segmentate, difese perimetrali obsolete e software industriali non aggiornati, condizioni che rendono più facile la penetrazione informatica.

Le conseguenze degli attacchi non si limitano al piano economico. Il Rapporto Clusit dedica ampio spazio agli effetti sociali e culturali della cyberinsicurezza: l’Italia ha subito 357 incidenti gravi nel solo 2024, e diversi episodi — come l’attacco alla Regione Lazio nel 2021 o ai sistemi museali e culturali nel 2025 — hanno mostrato come un attacco informatico possa interrompere servizi essenziali o mettere a rischio il patrimonio digitale nazionale L’adozione della Direttiva NIS2 rappresenta, secondo il Clusit, un’occasione unica per migliorare la governance cyber delle infrastrutture pubbliche e private, ma richiede investimenti duraturi, formazione e un cambio culturale profondo.

La cybersecurity non può più essere considerata un costo, ma un fattore di competitività e sopravvivenza industriale. Come sottolineano gli esperti, “solo una visione integrata, che unisca competenze tecniche, formazione e responsabilità strategica, potrà ridurre il divario tra innovazione digitale e sicurezza industriale”. La sfida per l’Italia è culturale prima ancora che tecnologica: costruire fiducia, proteggere dati e infrastrutture, garantire la continuità dei servizi e trasformare la sicurezza digitale in un pilastro dello sviluppo economico e sociale.