Rapporto Clusit 2026: PMI sempre più a rischio
Fino a pochi anni fa le piccole e medie imprese hanno considerato la cybersecurity un tema secondario, spesso rimandato o affrontato solo in modo reattivo. Alla base di questa impostazione c’era una convinzione diffusa: essere troppo piccoli, poco visibili o poco interessanti dal punto di vista economico per attirare l’attenzione dei cyber criminali.
Questa percezione nasceva da un modello di attacco ormai superato, in cui le minacce erano prevalentemente mirate verso grandi aziende, istituzioni finanziarie o infrastrutture critiche. In quel contesto, dimensione e notorietà rappresentavano effettivamente fattori di rischio.
Oggi lo scenario del cyber crime è radicalmente cambiato.
Il cybercrime si è evoluto in un sistema industrializzato, basato su automazione, strumenti scalabili e modelli di attacco replicabili su larga scala, spesso portati avanti grazie all’Intelligenza Artificiale (vedi il nostro recente approfondimento). Gli attaccanti non selezionano più manualmente i bersagli, ma sfruttano vulnerabilità diffuse e campagne massive che colpiscono indiscriminatamente centinaia di migliaia di organizzazioni, siano esse piccole o grandi multinazionali. In questo contesto, la piccola dimensione aziendale non rappresenta più una protezione, ma spesso un punto di debolezza.
Le PMI, infatti, presentano caratteristiche che le rendono particolarmente esposte: infrastrutture IT meno strutturate, minori risorse dedicate alla sicurezza, aggiornamenti non sempre tempestivi e una minore capacità di rilevare e gestire gli incidenti.
I dati del Rapporto Clusit 2026 confermano in modo chiaro questo cambiamento di paradigma. L’aumento degli attacchi su larga scala, la crescita delle campagne multi-target e l’utilizzo sistematico di tecniche automatizzate indicano che oggi le PMI non sono più “fuori dal radar”, ma al contrario rientrano pienamente nel modello operativo del cybercrime. Non solo: in molti casi diventano anche un punto di accesso privilegiato per colpire organizzazioni più grandi, inserendosi come anello debole all’interno della supply chain.
In questo scenario, considerare la cybersecurity un tema secondario non è più sostenibile. È una componente essenziale della continuità operativa e della competitività aziendale di tutte le organizzazioni, dalle microimprese alle grandi aziende.
Attacchi in costante crescita: un trend che non lascia spazio a dubbi
Il primo elemento da considerare è la crescita costante e accelerata degli attacchi informatici. Il fenomeno non è più episodico, ma strutturale e in continua evoluzione, con un incremento che negli ultimi anni ha raggiunto livelli mai registrati prima.
Nel dettaglio, il rapporto Clusit evidenzia:
- un incremento del +48,7% degli incidenti nel 2025 rispetto al 2024
- una crescita complessiva del +157% rispetto al 2021
- un aumento significativo della frequenza media mensile, passata da 171 a 439 incidenti
A questo si aggiunge un dato ancora più rilevante: non solo gli attacchi sono più numerosi, ma sono anche più gravi e impattanti per le organizzazioni colpite.
In particolare:
- l’84% degli attacchi presenta impatti elevati (High o Critical)
- 1 incidente su 3 raggiunge livelli di gravità Critical o Extreme
Questo significa che oggi un attacco ha molte più probabilità di tradursi in danni concreti, economici e operativi.
Cybercrime industrializzato: attacchi su larga scala
Un altro aspetto chiave che emerge dal report riguarda la natura degli attacchi. Il cybercrime ha ormai assunto caratteristiche industriali, basate su automazione, scalabilità e modelli di business ben definiti. Non si tratta più esclusivamente di attacchi mirati a singole grandi aziende, ma di campagne estese che colpiscono contemporaneamente migliaia di organizzazioni, indipendentemente da dimensione e settore.
In questo scenario, i dati sono particolarmente indicativi:
- l’89,3% degli incidenti è riconducibile al cybercrime
Questo approccio rende le PMI particolarmente vulnerabili. Non perché rappresentino obiettivi strategici di alto profilo, ma perché rientrano perfettamente in logiche di attacco su larga scala, dove conta la quantità più della specificità del target.
Il vero problema: vulnerabilità note e difese insufficienti
Uno degli elementi più critici evidenziati dal Rapporto Clusit 2026 riguarda il fatto che molti attacchi non sfruttano tecniche particolarmente sofisticate, ma vulnerabilità già note e spesso facilmente correggibili (vedi il nostro recente approfondimento sulla gestione delle patch).
Questo aspetto è particolarmente rilevante per le PMI, dove la gestione degli aggiornamenti e della sicurezza spesso non segue processi strutturati. I dati mostrano chiaramente questa tendenza:
- gli attacchi basati su vulnerabilità registrano una crescita del +65%
- il phishing e il social engineering aumentano del +75%, anche grazie all’utilizzo dell’intelligenza artificiale
- il malware si conferma la tecnica più utilizzata dagli attaccanti
In molti casi, quindi, il problema non è la complessità dell’attacco, ma la mancanza di misure di protezione adeguate e aggiornate.
PMI nel mirino: perché sono le più esposte
Anche se il Rapporto Clusit non segmenta esplicitamente gli attacchi per dimensione aziendale, l’analisi dei dati consente di delineare con chiarezza uno scenario in cui le PMI risultano tra i soggetti più esposti.
Il primo elemento da considerare è il cambiamento nel modello di attacco. Come abbiamo visto, oggi prevalgono campagne su larga scala, progettate per colpire indistintamente più organizzazioni contemporaneamente. Non a caso, le campagne “Multiple Targets” rappresentano la quota più significativa degli attacchi, pari al 23,5% del totale, con una crescita del +96% rispetto all’anno precedente. Si tratta di operazioni che sfruttano vulnerabilità comuni, tecnologie diffuse e comportamenti prevedibili degli utenti, rendendo le PMI un bersaglio ideale.
A rafforzare questo scenario contribuisce la natura stessa degli attacchi. Il cybercrime è responsabile dell’89,3% degli incidenti, confermando una logica puramente industriale: massimizzare i risultati riducendo i costi. In questo modello, colpire molte organizzazioni “meno protette” è spesso più conveniente che attaccare pochi target altamente difesi.
Un ulteriore elemento critico riguarda le tecniche utilizzate. Il report evidenzia una crescita significativa degli attacchi basati su vulnerabilità (+65%) e sulle tecniche di phishing e social engineering (+75%). Questo significa che gli attaccanti sfruttano falle già note o comportamenti umani, ambiti in cui le PMI spesso presentano criticità, sia dal punto di vista tecnologico sia organizzativo.
Anche la distribuzione delle vittime per settore conferma la trasversalità del fenomeno. I primi comparti colpiti includono realtà pubbliche, sanitarie e produttive, ma il dato più significativo è che gli attacchi non si concentrano più su singoli ambiti verticali: colpiscono in modo diffuso l’intero tessuto economico, includendo inevitabilmente le PMI.
Infine, non va sottovalutato il tema della gravità degli incidenti. Nel 2025, oltre l’84% degli attacchi ha avuto impatti elevati (High o Critical) e circa 1 su 3 rientra nelle categorie Critical o Extreme. Questo dato è particolarmente rilevante per le PMI, che spesso non dispongono delle risorse necessarie per assorbire eventi di questo tipo senza conseguenze operative, economiche o reputazionali.
In sintesi, le PMI risultano più esposte non tanto perché siano bersagli “di valore”, ma perché si collocano esattamente al centro delle logiche operative del cybercrime moderno: alta numerosità, difese meno strutturate e ruolo sempre più rilevante all’interno delle filiere digitali.
Il fattore supply chain e il ruolo della NIS2
Il tema della supply chain rappresenta oggi uno dei principali elementi di rischio sistemico. Le aziende non operano più in modo isolato, ma all’interno di ecosistemi digitali interconnessi, dove la sicurezza di uno dipende da quella di tutti. Il Rapporto Clusit sottolinea come la dipendenza da fornitori terzi introduca nuove vulnerabilità e amplifichi la superficie di attacco.
In questo scenario si inserisce anche la direttiva NIS2, che estende il concetto di sicurezza anche alla filiera. Questo significa che anche le PMI non direttamente soggette alla normativa possono essere coinvolte indirettamente:
- le aziende più strutturate richiedono standard di sicurezza ai propri fornitori
- le vulnerabilità nella supply chain possono propagarsi lungo tutta la catena
- la sicurezza diventa un requisito competitivo, oltre che tecnico
Per approfondire questo aspetto, puoi leggere anche l’articolo già pubblicato e dedicato alla relazione tra NIS2 e supply chain (vedi approfondimento).
La questione non è più “se”, ma “quando”
L’insieme dei dati dell’ultimo rapporto clusit porta a una conclusione molto chiara: il rischio cyber è ormai trasversale e inevitabile. Gli attacchi aumentano, diventano più sofisticati e colpiscono indistintamente organizzazioni di ogni dimensione e settore. In questo contesto, continuare a considerarsi “fuori dal radar” del crimine informatico espone le PMI a rischi elevatissimi. Gli attacchi oltre a essere più frequenti sono infatti sempre più spesso di alta gravità o addirittura estrema gravità, mettendo a rischio l’esistenza stessa delle imprese attaccate.
Il vero tema oggi non è evitare completamente gli attacchi, ma essere in grado di prevenirli, rilevarli e gestirli in modo efficace.
Un approccio concreto alla sicurezza per le PMI
Affrontare la cybersecurity in modo efficace non significa necessariamente adottare soluzioni complesse e costose, ma costruire un approccio strutturato e progressivo. È fondamentale partire da una chiara comprensione del proprio livello di esposizione e definire interventi coerenti con le reali esigenze aziendali.
In questo percorso, alcune attività risultano particolarmente strategiche:
- analisi iniziale della postura di sicurezza e delle vulnerabilità
- gestione strutturata degli aggiornamenti e delle patch
- protezione di endpoint e infrastruttura di rete
- formazione e consapevolezza degli utenti
- sistemi di monitoraggio e risposta agli incidenti
Solo attraverso un approccio organico è possibile ridurre concretamente il rischio, perché la sicurezza informatica non può essere affrontata con interventi isolati o reattivi.
