Nel 2025 il CERT-AGID ha censito 3.620 campagne malevole in Italia: ordini, fatture e pagamenti restano le esche più usate negli attacchi informatici alle PMI.
Oggi le piccole e medie imprese italiane sono tra i bersagli preferiti del crimine informatico. I dati pubblicati nel 2026 lo confermano e mostrano schemi che si ripetono: email costruite per sembrare ordini, fatture o solleciti di pagamento, pensate apposta per trarre in inganno chi lavora in contabilità, amministrazione o acquisti. Il messaggio, a prima vista, sembra del tutto autentico; è nell'allegato o nel link che si nasconde la trappola. In un'azienda con poche persone e senza un reparto IT dedicato, basta un clic sbagliato per mettere in crisi l'operatività e lasciare la rete bloccata per giorni. Ecco perché conoscere le tecniche più diffuse è già un modo concreto per ridurre il rischio.
Cosa dicono i dati 2026 sugli attacchi alle PMI
Secondo il report del CERT-AGID, le campagne malevole fanno leva soprattutto su ordini, spedizioni, pagamenti e operazioni di home banking.
Il CERT-AGID, il gruppo dell'Agenzia per l'Italia Digitale che sorveglia le minacce informatiche nel nostro Paese, ci consegna un quadro piuttosto chiaro. In cima alla lista c'è ancora il phishing, seguito da malware e smishing via SMS. Guardando ai campioni analizzati, quasi sei su dieci sono infostealer, ovvero programmi costruiti per rubare credenziali e dati sensibili; altri tre su dieci sono RAT (Remote Access Trojan), che consentono agli aggressori di comandare il dispositivo a distanza, come se ci fossero seduti davanti. Il canale d'attacco principale resta la posta elettronica di tutti i giorni, ma sta crescendo anche l'uso della PEC. Per le PMI, insomma, il rischio si annida proprio negli strumenti con cui si lavora ogni giorno.
Secondo il report annuale del CERT-AGID, nel 2025 le campagne malevole censite in Italia sono state 3.620, di cui 328 di phishing a tema PagoPA con falsi avvisi di pagamento.
Tecniche di attacco informatico alle PMI: confronto delle minacce
| Tipo di attacco | Vettore principale | Tema dell'esca più comune | Percentuale/Diffusione | Impatto per PMI |
|---|---|---|---|---|
| Phishing | Email tradizionale e PEC | Ordini, fatture, pagamenti, PagoPA | Tecnica più diffusa (60% infostealer) | Furto credenziali e dati sensibili |
| Malware (Infostealer) | Allegati email infetti | Conferme d'ordine false, fatture fasulle | ~60% dei campioni analizzati | Sottrazione dati anagrafici e bancari |
| RAT (Remote Access Trojan) | Link e allegati malevoli | Avvisi di blocco conto, sanzioni | ~30% dei campioni analizzati | Controllo remoto totale e cifrazione dati |
| Smishing | SMS e canali alternativi | Solleciti urgenti e verifiche account | In crescita rispetto a email | Compromissione credenziali tramite mobile |
| Ransomware | Accesso da credenziali compromesse | Finto avviso di pagamento o sanzione | Spesso conseguenza di phishing | Blocco dell'operatività e richiesta riscatto |
Perché le PMI sono un bersaglio privilegiato
Le PMI combinano dati di valore e difese limitate. Spesso mancano un responsabile della sicurezza, backup collaudati e formazione: tre lacune che rendono l'attacco più semplice e redditizio.
La dimensione ridotta non protegge le aziende, anzi: gli attacchi informatici alle PMI dimostrano che anche le imprese più piccole sono obiettivi dei cybercriminali. Molte aziende si credono troppo piccole per interessare i criminali, ma proprio questa convinzione le espone a un rischio maggiore di cyber attacchi. Gli aggressori automatizzano gli invii e colpiscono migliaia di caselle insieme: basta che una minoranza cada nell'inganno. Una volta dentro la rete aziendale, cifrano i file e chiedono un riscatto oppure rivendono le credenziali. Ma il costo non è solo il riscatto. Pesano il fermo dell'attività, la perdita di fiducia dei clienti e le sanzioni per la mancata protezione dei dati.
Secondo l'Osservatorio Cybersecurity & Data Protection del Politecnico di Milano, nel 2026 il Cyber Index PMI si ferma a 55 punti su 100 e negli ultimi tre anni quasi una PMI su quattro ha subito una violazione informatica.
L'indice è un benchmark costruito su oltre 1.500 imprese: il divario tra consapevolezza e misure concrete resta ampio. I punti deboli più comuni sono sempre gli stessi:
- Dati sensibili: anagrafiche clienti e credenziali bancarie hanno valore immediato sul mercato illecito.
- Difese frammentate: antivirus non aggiornati e password deboli restano i punti di ingresso più comuni.
- Poca formazione: senza addestramento il personale fatica a riconoscere un'email fraudolenta.
Come ridurre il rischio in azienda
Poche misure di base coprono gran parte delle minacce: aggiornare i sistemi, attivare l'autenticazione a più fattori, eseguire backup regolari e garantire la formazione del personale.
Non serve un budget elevato per migliorare il livello di sicurezza aziendale. La priorità è proteggere gli accessi con l'autenticazione a più fattori e mantenere copie dei dati separate dalla rete principale, così da evitare che un attacco ransomware comprometta anche i backup. La formazione periodica del personale sul phishing aiuta a ridurre errori e clic rischiosi. Sul piano normativo, le imprese coinvolte dalla direttiva NIS2 (Network and Information Security 2) devono adottare misure minime e notificare gli incidenti: conviene verificare per tempo se la propria azienda rientra tra i soggetti interessati.
Per approfondire puoi consultare la guida alla sicurezza informatica per le PMI, le regole descritte negli obblighi NIS2 per le PMI e le opportunità dei voucher per cloud e cybersecurity.
Difese essenziali contro gli attacchi informatici alle PMI
In sintesi: aggiornamenti, autenticazione forte, backup isolati e personale formato bastano a fermare gran parte delle campagne osservate dal CERT-AGID. Una rete stabile e ben configurata rende tutto più semplice.
Domande frequenti sugli attacchi informatici alle PMI
Il phishing via email è la minaccia più diffusa, seguito da malware e smishing via SMS. Le esche più comuni imitano ordini, fatture, solleciti di pagamento e avvisi PagoPA, secondo i dati CERT-AGID 2025.
Sì. Gli attacchi sono automatizzati e colpiscono in massa, quindi anche un'attività con pochi addetti può essere coinvolta. La dimensione ridotta spesso coincide con difese più deboli.
Attivare l'autenticazione a più fattori, impostare backup automatici e isolati, aggiornare sistemi e antivirus e formare il personale sul phishing. Sono misure a basso costo ad alto impatto.
