Fino a pochi anni fa, lo scenario della sicurezza informatica in Italia presentava una narrazione lineare, quasi rassicurante per il tessuto produttivo minore. Le piccole e medie imprese italiane, infatti, guardavano alla cyber security come a un problema esclusivo delle grandi aziende, dei colossi multinazionali o delle istituzioni finanziarie.
Si tendeva a pensare che i pirati informatici fossero interessati unicamente a sofisticati attacchi infrastrutturali o al furto di database segreti e brevetti industriali custoditi nei server delle grandi corporation.
Indice degli argomenti
L’illusione della fortezza tecnologica: il paradosso delle PMI italiane
Oggi questo scenario è radicalmente mutato, ma il cambiamento ha portato con sé un paradosso di fondo estremamente pericoloso.
Spinte dalla digitalizzazione accelerata e dalla percezione dei rischi, le imprese hanno investito molto nella protezione dell’accesso ai sistemi e nelle infrastrutture IT tradizionali.
Tuttavia, a fronte di investimenti significativi in firewall e antivirus, hanno dedicato molta meno attenzione alla progettazione dei processi che regolano l’autorizzazione dei pagamenti.
È proprio in questo divario normativo e procedurale che oggi si concentra una delle principali e più contagiose vulnerabilità per il nostro sistema produttivo.
La nuova frontiera del rischio: la governance dei flussi di cassa
La natura del cybercrime aziendale ha subito una metamorfosi copernicana. Come evidenziato con chiarezza dalla comunicazione dell’UIF (Unità di Informazione Finanziaria per l’Italia) di Banca d’Italia, la vera cyber security per un’impresa non si esaurisce più nei perimetri informatici, ma si fa governando i flussi di cassa e i processi autorizzativi.
Questo accade perché il bersaglio finale dei criminali non è più soltanto il server aziendale o il blocco dei dati fine a sé stesso, ma l’operatività finanziaria stessa, ovvero il denaro liquido.
Il tema è tutt’altro che teorico o futuribile, ma descrive una minaccia concreta e quotidiana. Secondo i dati analizzati nel Rapporto CLUSIT 2025, l’Italia continua a posizionarsi come uno dei Paesi più colpiti dal cybercrime a livello globale.
Il nostro Paese arriva a concentrare circa il 10% degli incidenti cyber gravi censiti su scala mondiale, un dato allarmante e ampiamente sproporzionato se confrontato con la quota molto inferiore che l’Italia rappresenta nell’economia globale.
A confermare la gravità di questo trend è anche l’Agenzia per la Cybersicurezza Nazionale (ACN). I dati istituzionali evidenziano una crescita costante degli eventi cyber e degli incidenti gestiti direttamente dal CSIRT Italia (Computer Security Incident Response Team).
Le relazioni tecniche confermano costantemente come le campagne di phishing e le tecniche di social engineering (ingegneria sociale) restino in assoluto tra i principali vettori di attacco utilizzati per scardinare le difese delle organizzazioni.
Il fattore umano e l’evoluzione delle truffe: il caso BEC
In questo contesto macroeconomico e criminale, il valore di una piattaforma finanziaria aziendale deve essere completamente ridefinito.
Essa non si misura più soltanto dalla sua capacità tecnica o dalla velocità di eseguire un pagamento, ma dalla possibilità concreta che offre di governare chi può autorizzare quel pagamento, quando può farlo e secondo quali regole precise.
La sicurezza aziendale oggi non dipende soltanto dalla robustezza dell’infrastruttura tecnologica, ma anche dalla qualità dei processi con cui un’azienda prende le sue decisioni finanziarie.
I criminali informatici hanno compreso un principio psicologico fondamentale: è molto più semplice, rapido ed economico manipolare una decisione umana che violare un sistema informatico adeguatamente protetto.
Un esempio lampante e drammaticamente diffuso di questa strategia è la Business Email Compromise (BEC), comunemente nota come “frode del CEO”.
In questa tipologia di attacco, i truffatori non hackerano i sistemi informatici aziendali. Al contrario, si fingono dirigenti, amministratori delegati o fornitori fidati, sfruttando abilmente la pressione psicologica, l’autorità e il senso di urgenza per spingere i dipendenti dei reparti amministrativi a disporre bonifici urgenti su conti fraudolenti.
I criminali informatici hanno capito che è molto più semplice manipolare una decisione umana che violare un sistema adeguatamente protetto.
Questa storica vulnerabilità comportamentale viene oggi amplificata a dismisura dall’avvento e dalla democratizzazione dell’intelligenza artificiale.
Oggi gli strumenti di AI generativa rendono sempre più semplice, economico e accessibile creare contenuti audio e video incredibilmente credibili (deepfake), aumentando in modo esponenziale il rischio di impersonificazione di dirigenti e figure apicali.
Quando la voce al telefono, l’immagine in una videochiamata e le comunicazioni scritte diventano facilmente manipolabili, la difesa non può più essere affidata soltanto alla tecnologia: deve necessariamente diventare procedurale.
Nei prossimi anni assisteremo sempre meno ad attacchi informatici diretti contro i sistemi e sempre più ad attacchi mirati contro i processi decisionali delle imprese.
Dalla tecnologia alla governance: la strada per la resilienza
Osservando ogni giorno i comportamenti finanziari e operativi delle imprese, vediamo come le vulnerabilità più critiche e i danni economici più rilevanti raramente derivino da limiti tecnologici intrinseci dei software utilizzati.
Più spesso, queste falle nascono da processi autorizzativi aziendali interni poco strutturati o del tutto inesistenti.
Tra i comportamenti a rischio più comuni si riscontrano:
- l’assenza totale di soglie di approvazione per i pagamenti in base al rischio;
- la mancanza di una reale segregazione dei ruoli all’interno del team amministrativo;
- la presenza di beneficiari non adeguatamente verificati nei sistemi;
- controlli insufficienti, saltuari o superficiali sui flussi di pagamento in uscita.
Per ridurre drasticamente la superficie d’attacco e non vanificare gli sforzi economici compiuti finora, le PMI devono quindi superare l’errore più comune e pericoloso: pensare che la sicurezza sia un problema puramente tecnico da risolvere una volta sola, magari implementando una buona piattaforma iniziale o acquistando un software aggiornato.
I truffatori evolvono continuamente le proprie tecniche psicologiche e tecnologiche, e colpiscono soprattutto chi commette l’errore di ritenersi al sicuro solo perché protetto da firewall e sistemi di autenticazione standard.
Per anni abbiamo pensato che la cyber security fosse principalmente una questione di infrastrutture IT. Oggi abbiamo la dimostrazione che è sempre più una questione di governance finanziaria.
Proteggere il business e garantire la continuità aziendale oggi significa progettare processi decisionali robusti, definire regole chiare, rigide e multilivello di autorizzazione, e mantenere un controllo stringente su ogni singolo movimento di cassa.
È precisamente su questo terreno metodologico che si giocherà la reale resilienza delle PMI nei prossimi anni.
Partecipa alla community