Cybersecurity per PMI nel 2026: la guida pratica al phishing potenziato dall'IA

Un dipendente dell'ufficio amministrativo riceve una email che sembra arrivare dal fornitore abituale di servizi di fatturazione elettronica: tono corretto, logo giusto, persino il nome del collega con cui di solito si interfaccia. Nessun errore di battitura, nessuna frase sgrammaticata a tradire il tentativo di truffa che per anni ha permesso di riconoscere un'email di phishing a colpo d'occhio. Clicca sul link, inserisce le credenziali del gestionale contabile e, in pochi minuti, l'accesso è compromesso. Scenari come questo si stanno moltiplicando nelle piccole e medie imprese italiane, e la ragione è semplice: chi organizza gli attacchi dispone ormai degli stessi strumenti di intelligenza artificiale generativa che negli uffici si usano ogni giorno per scrivere email, generare immagini o preparare presentazioni.

Il quadro 2026: quanto è cresciuto il rischio per le aziende italiane

Secondo il Rapporto Clusit 2026, nel 2025 sono stati registrati 507 attacchi gravi contro organizzazioni italiane, con un incremento del 42% rispetto all'anno precedente; a livello globale la crescita degli incidenti gravi ha toccato il 48,7%, il valore più alto mai rilevato dall'associazione. Il phishing e il social engineering restano tra le tecniche di attacco più diffuse, e la loro efficacia è aumentata proprio grazie alla personalizzazione resa possibile dall'intelligenza artificiale generativa.

Il fenomeno non riguarda solo le grandi organizzazioni. Secondo i dati CERT-AGID ripresi da Fibermap, nel 2025 sono state rilevate 3.620 campagne malevole in Italia, e l'Osservatorio Cybersecurity & Data Protection del Politecnico di Milano segnala che il Cyber Index PMI si ferma a 55 punti su 100 nel 2026, con quasi una piccola o media impresa su quattro che ha subito una violazione informatica negli ultimi tre anni. Un dato che ridimensiona l'idea, ancora diffusa tra molti imprenditori, che gli attacchi informatici colpiscano soprattutto le grandi aziende.

Malware travestito da strumenti di intelligenza artificiale: la nuova frontiera

Uno degli sviluppi più recenti, e meno conosciuti fuori dagli ambienti tecnici, riguarda la diffusione di malware camuffato da applicazioni di intelligenza artificiale. Secondo il report Kaspersky sulle minacce alle PMI, tra gennaio e aprile 2026 sono state rilevate 33.352 minacce mascherate da strumenti IA noti come ChatGPT, DeepSeek, Grok, Claude e Gemini, un volume cinque volte superiore rispetto allo stesso periodo del 2025 e superiore del 39% rispetto ai tentativi di imitazione dei più diffusi software da ufficio.

Nello stesso periodo sono stati registrati oltre 414.736 attacchi veicolati attraverso applicazioni di comunicazione e videoconferenza, un canale che nelle aziende è ormai equiparabile alla posta elettronica per frequenza di utilizzo quotidiano. Il meccanismo è tanto semplice quanto efficace: un dipendente cerca online un tool di intelligenza artificiale, magari per generare rapidamente un contenuto o automatizzare un'attività, e scarica un'applicazione contraffatta da un sito che imita alla perfezione la grafica del servizio originale.

Perché le PMI sono un bersaglio prioritario sul dark web

Un dato che sorprende molti imprenditori riguarda il mercato nero degli accessi informatici. Secondo Kaspersky, oltre il 50% delle offerte di accesso iniziale messe in vendita sui forum underground riguarda proprio le piccole e medie imprese, non le grandi organizzazioni. Le ragioni sono essenzialmente due: le PMI dispongono in media di difese meno strutturate rispetto alle grandi aziende, e spesso occupano una posizione strategica all'interno di filiere produttive più ampie, per cui un accesso compromesso può diventare il primo passo per raggiungere clienti o partner di dimensioni maggiori.

Quanto costa, in concreto, un attacco riuscito

I numeri sulla frequenza degli attacchi dicono solo una parte della storia; l'altra riguarda l'impatto economico reale su un'azienda di dimensioni medio-piccole. Secondo stime che richiamano i dati del Rapporto Clusit, il costo medio di un attacco ransomware per una PMI italiana supera i 200.000 euro, calcolando solo il fermo operativo e il ripristino dei sistemi, senza contare eventuali sanzioni o danni reputazionali. Per fare un esempio concreto spesso citato in questo tipo di analisi, un'azienda manifatturiera che perde l'accesso ai sistemi di produzione per cinque giorni non subisce solo un danno informatico: accumula ritardi nelle consegne, rischia penali contrattuali con i clienti e, in alcuni casi, perde commesse che si spostano verso concorrenti più affidabili nel frattempo. È un ordine di grandezza che aiuta a inquadrare correttamente il rapporto costi-benefici delle misure di prevenzione descritte più avanti, che nella maggior parte dei casi richiedono un investimento molto più contenuto.

Le tecniche più diffuse: phishing, infostealer e smishing

Al di là dei titoli più eclatanti sull'intelligenza artificiale, la fotografia delle minacce concrete che arrivano ogni giorno nelle caselle di posta delle aziende italiane resta legata a poche tecniche ricorrenti. Il phishing si conferma la minaccia più diffusa in assoluto; tra i campioni di malware analizzati, circa il 60% appartiene alla categoria degli infostealer, software pensati per sottrarre silenziosamente credenziali e dati salvati nel browser, mentre circa il 30% sono RAT, strumenti di accesso remoto che permettono di controllare un dispositivo a distanza. Il canale smishing, cioè il phishing veicolato via SMS, è in costante crescita. Le esche più utilizzate restano ordini, fatture e false notifiche di pagamento, comprese quelle che imitano le comunicazioni di PagoPA: solo su questo fronte sono state censite 328 campagne dedicate nel 2025.

Come riconoscere un tentativo di phishing potenziato dall'intelligenza artificiale

Per anni la regola pratica più diffusa per riconoscere un tentativo di phishing è stata cercare errori grammaticali o ortografici. Questo criterio, oggi, è largamente superato: un modello linguistico di ultima generazione scrive in un italiano corretto quanto quello di un collega madrelingua, e può persino adattare tono e registro al contesto aziendale specifico se dispone di informazioni pubbliche sufficienti su cui basarsi.

I segnali su cui vale davvero la pena concentrarsi sono altri. Un grado di personalizzazione insolito, con riferimenti a persone, ruoli o progetti reali dell'azienda, dovrebbe insospettire più della perfezione formale del testo. La creazione di un senso di urgenza artificiale, tipico di messaggi che chiedono un'azione immediata pena conseguenze gravi, resta uno dei segnali più affidabili. Ogni richiesta di pagamento, cambio di credenziali o dati sensibili dovrebbe essere verificata attraverso un canale diverso da quello con cui è arrivata, ad esempio una telefonata al numero già noto dell'interlocutore, non a quello indicato nel messaggio sospetto. Infine, alla luce dei dati Kaspersky citati in precedenza, è bene diffondere tra i collaboratori una regola semplice ma spesso trascurata: scaricare strumenti di intelligenza artificiale esclusivamente dai siti ufficiali dei produttori o dagli store verificati, mai da link ricevuti via email o trovati tramite pubblicità sponsorizzate poco chiare.

Il phishing testuale non è più, del resto, l'unico fronte da presidiare. Nel febbraio 2025 diversi imprenditori italiani, tra cui Massimo Moratti, sono stati contattati telefonicamente da una voce clonata con l'intelligenza artificiale che imitava quella del ministro della Difesa Guido Crosetto, in un tentativo di truffa che ha avuto ampia risonanza sulla stampa nazionale (fonte: Cybersecurity360). Il caso dimostra che la clonazione vocale non è più un rischio teorico riservato ai grandi gruppi, ma una tecnica già sperimentata su interlocutori italiani: qualunque richiesta telefonica insolita, anche se la voce sembra riconoscibile, andrebbe verificata richiamando la persona su un numero già noto prima di procedere.

Cosa fare nei primi minuti, se il click è già partito

Anche nelle organizzazioni più attente può capitare che qualcuno clicchi sul link sbagliato o inserisca le credenziali in un modulo contraffatto: in questi casi la rapidità della reazione conta quanto la prevenzione. Il primo passo è cambiare immediatamente la password dell'account coinvolto, e con essa quella di ogni altro servizio in cui la stessa combinazione di credenziali viene riutilizzata, un'abitudine purtroppo ancora diffusa. Se l'accesso compromesso riguarda un sistema aziendale critico, come il gestionale contabile o la posta elettronica del titolare, occorre avvisare subito chi si occupa dell'infrastruttura IT, interno o esterno che sia, in modo da poter isolare il dispositivo dalla rete e verificare se l'intruso ha già avuto il tempo di muoversi lateralmente verso altri sistemi.

Se l'episodio ha coinvolto un pagamento o una disposizione bancaria, la banca va contattata nel più breve tempo possibile: in alcuni casi esiste ancora una finestra utile per bloccare o revocare il bonifico prima che i fondi vengano effettivamente trasferiti al beneficiario. È inoltre buona norma sporgere denuncia presso la Polizia Postale, che in Italia è l'organo competente per i reati informatici: non serve soltanto a tutelare l'azienda coinvolta, ma contribuisce a tracciare campagne di attacco che spesso colpiscono in sequenza più realtà dello stesso settore o della stessa area geografica. Un'ultima raccomandazione, tanto semplice quanto trascurata, riguarda la comunicazione interna: informare i colleghi dell'accaduto, senza colpevolizzare chi è caduto nel tranello, aiuta a individuare rapidamente se altri hanno ricevuto lo stesso messaggio e permette di intervenire prima che l'incidente si allarghi.

Le priorità difensive secondo l'Agenzia per la Cybersicurezza Nazionale

L'Agenzia per la Cybersicurezza Nazionale (ACN), nell'ambito della Strategia Nazionale di Cybersicurezza, indica alcune priorità che restano valide indipendentemente dalle dimensioni dell'azienda. La prima riguarda il vertice aziendale: la sicurezza informatica dovrebbe essere trattata come un obiettivo strategico su cui allocare risorse economiche, umane e formative, non come un costo accessorio da comprimere quando il budget si restringe. La seconda riguarda le persone: programmi di formazione e sensibilizzazione rivolti a tutto il personale, non solo al reparto IT, restano lo strumento più efficace contro tecniche di attacco che puntano proprio sull'errore umano più che sulla debolezza tecnica dei sistemi. La terza priorità riguarda la filiera dei fornitori: verificare che i fornitori terzi con cui l'azienda condivide dati o accessi mantengano standard di sicurezza adeguati, includendo requisiti specifici nei contratti. L'Agenzia individua inoltre nella designazione di un referente per la cybersicurezza, interno o esterno all'organizzazione, un passaggio utile per dare continuità a queste misure nel tempo, invece di gestirle in modo episodico solo dopo un incidente.

Accanto a queste priorità organizzative restano valide alcune misure tecniche di base: autenticazione a più fattori su tutti gli accessi che lo consentono, backup regolari e testati periodicamente per verificarne l'effettiva capacità di ripristino, e un aggiornamento costante di sistemi operativi e applicazioni. Chi gestisce un sito web aziendale dovrebbe inoltre considerare la sicurezza dell'infrastruttura che lo ospita parte integrante di questa strategia, e non un aspetto secondario delegato per intero al fornitore di hosting: un approfondimento su questo aspetto specifico, con indicazioni pratiche su backup e responsabilità condivise, è disponibile nell'articolo dedicato alla sicurezza e protezione del sito web aziendale.

Nessuna delle misure descritte in questo articolo richiede investimenti fuori dalla portata di una piccola o media impresa: la maggior parte riguarda processi, formazione e verifiche periodiche più che tecnologie costose. Colpisce, del resto, che la stessa ACN indichi le carenze conoscitive e organizzative, non la sofisticazione degli attacchi, come la causa più frequente delle violazioni subite dalle aziende italiane. È un dato che ridimensiona la percezione di impotenza che spesso accompagna il tema della cybersicurezza, e che sposta l'attenzione su un terreno su cui ogni azienda, indipendentemente dalle risorse disponibili, può effettivamente intervenire da subito. Altri approfondimenti pratici sulla gestione di un sito web aziendale sono raccolti nella sezione Guide e Speciali del blog.