Le piccole e medie imprese italiane ed europee sono sempre più al centro dell’attenzione dei criminali informatici.
Il mito che le realtà di dimensioni ridotte siano troppo marginali per destare interesse negli hacker si è rivelato non solo falso, ma pericoloso. A dimostrarlo sono i dati e i casi analizzati da Lina Novetti, responsabile della divisione Cyber Security Awareness di SHOT, nel podcast Pillole di Cybersicurezza, dedicato proprio al tema del cybercrime contro le PMI.
Indice degli argomenti
Le Pmi non sono invisibili agli hacker
Secondo Novetti «molti imprenditori pensano ancora che essere piccoli li renda invisibili ai cyber criminali. Questa convinzione è pericolosamente obsoleta». I numeri confermano la sua affermazione: nel 2025, il 43% degli attacchi informatici globali ha colpito le PMI, ma soltanto il 14% di esse risulta realmente preparato ad affrontare un incidente di sicurezza.
La sproporzione tra esposizione al rischio e capacità di difesa è evidente.
Il danno economico, inoltre, non è affatto trascurabile. Il costo medio di una violazione per una piccola impresa si aggira intorno ai mille euro per singolo incidente. Può sembrare un importo ridotto se confrontato con le cifre che circolano per le grandi aziende, ma per una realtà di piccole dimensioni si tratta di una cifra che può decretarne la fine.
Un terzo delle microimprese, infatti, ammette che un solo giorno di inattività potrebbe portarle alla chiusura definitiva.
La supply chain come porta di servizio per i cyber criminali
Gli hacker non si limitano più a colpire direttamente le grandi organizzazioni, ma puntano sempre più spesso ai fornitori, soprattutto quelli di dimensioni ridotte. Novetti ha ricordato che «gli attacchi alla Supply Chain (attacchi informatici che sfruttano l’interconnessione dei moderni ecosistemi manifatturieri per colpire anche la catena di approvvigionamento delle aziende) sono aumentati del 431% tra il 2021 e il 2023, trasformando quello che era un rischio gestibile in una minaccia critica».
Solo nei primi cinque mesi del 2025 si sono contati 79 cyber attacchi con implicazioni sulla catena di fornitura, di cui 31 concentrati ad aprile.
Le PMI, in questo scenario, diventano bersagli privilegiati non per il loro valore intrinseco, ma per il ruolo che svolgono come ponte verso aziende più grandi. Software house, consulenti IT, fornitori di componenti industriali: ognuno di questi attori rappresenta una potenziale porta di ingresso per chi intende colpire infrastrutture di maggior rilievo.
Il caso Marks & Spencer: una lezione per tutti
A dimostrare concretamente come funzioni questo meccanismo è il caso dell’attacco subito nel 2025 da Marks & Spencer. Novetti ha raccontato che il gruppo di hacker Scarlet Spider «non ha attaccato direttamente il colosso britannico della distribuzione, ma ha compromesso un dipendente del partner logistico GIST, ottenendo accesso ai sistemi critici della catena di fornitura».
Il risultato è stato devastante: 46 giorni di sospensione degli ordini online, con conseguenze economiche e reputazionali significative. Marks & Spencer, nonostante avesse investito massicciamente in cyber sicurezza, si è trovata esposta a causa della vulnerabilità di un fornitore terzo.
Questo episodio dimostra come le grandi aziende possano diventare fragili se i loro partner più piccoli non adottano misure adeguate di difesa, ribaltando la percezione tradizionale che vedeva la sicurezza informatica come un problema principalmente delle realtà corporate.
L’Italia: un bersaglio privilegiato
La situazione italiana è particolarmente allarmante. Nel 2024 il Paese ha registrato il 10% degli attacchi informatici globali, con 357 incidenti ad alta gravità. Il settore manifatturiero, che da solo copre il 21,1% degli attacchi, è colpito quattro volte più della media mondiale.
Le ragioni di questa vulnerabilità sono molteplici: la presenza diffusa di PMI con sistemi di sicurezza inadeguati, la forte interconnessione con supply chain europee e una cultura della cyber sicurezza che resta in via di sviluppo.
Tra il 2018 e il 2024, l’Italia ha visto una crescita del 300% degli attacchi informatici, a fronte di un aumento globale del 61%.
Risorse insufficienti e debolezza strutturale
Uno degli aspetti più critici riguarda la disparità tra la minaccia e gli investimenti. Novetti ha ricordato che il 50% delle PMI italiane spende meno di 500 euro all’anno in cyber sicurezza e soltanto il 28% dispone di un professionista IT dedicato alla sicurezza.
La conseguenza è un gap che espone il tessuto produttivo a rischi elevatissimi. Secondo un’indagine EY, citata nel podcast, oltre la metà delle organizzazioni ha subito negli ultimi due anni un incidente materiale derivante da una relazione con terze parti.
Il dato più allarmante resta quello legato al fattore umano: il 95% delle violazioni è causato da errori commessi dai dipendenti.
Strumenti e strategie per rafforzare la difesa
Se il quadro è così complesso, esistono però anche contromisure concrete. L’adozione di standard internazionali come ISO 27001 consente di ridurre i rischi fino all’80%, mentre i programmi di sensibilizzazione e formazione portano a una riduzione del 40% dei click su link malevoli.
Le tecnologie, inoltre, svolgono un ruolo fondamentale: dall’autenticazione multifattore alla segmentazione di rete, strumenti che permettono di rendere più sicuri gli accessi e contenere eventuali violazioni. Tuttavia, la protezione più efficace passa anche dalla valutazione dei fornitori.
Novetti ha sottolineato che «solo il 29% delle organizzazioni si dice molto fiduciosa nella propria capacità di rilevare e mitigare i rischi della catena di fornitura digitale».
Per questo motivo, diventa essenziale condurre audit regolari, richiedere certificazioni e monitorare in modo continuo la postura di sicurezza dei partner.
Ogni anello conta
Lina Novetti, citando le parole di un esperto EY, ha ricordato che «sei forte quanto il tuo fornitore è più vulnerabile». L’attacco a Marks & Spencer lo dimostra chiaramente: anche l’anello più robusto può cedere se quello adiacente è fragile.
Il fenomeno del cybercrime contro le PMI non rappresenta quindi soltanto una minaccia diretta alle piccole realtà imprenditoriali, ma un rischio sistemico che riguarda l’intero ecosistema produttivo, nazionale ed internazionale.
