Oltre il riscatto: i numeri reali
Quando si parla di ransomware, l'attenzione si concentra sul riscatto. Ma per una PMI italiana, il riscatto è spesso meno del 30% del costo totale. Vediamo i numeri reali, basati sui dati Clusit 2026, IBM Cost of a Data Breach 2025 e casi italiani documentati.
L'anatomia dei costi
Prendiamo una PMI manifatturiera da 45 dipendenti e 8 milioni di fatturato, un caso tipico nel Nord Italia. Ecco cosa succede dopo un attacco ransomware riuscito:
Costi diretti
- Fermo produttivo: solo il 46% delle aziende italiane ripristina completamente le attività entro una settimana (Sophos State of Ransomware 2025). Per un'azienda da 8M€ di fatturato, già una sola settimana di blocco vale circa 160.000€ di produzione ferma
- Incident response: forense, bonifica, ripristino. Con un provider esterno: 25.000-60.000€
- Riscatto: se pagato (sconsigliato), le aziende italiane versano in media il 97% della cifra richiesta, contro l'85% della media globale. Il 27% delle vittime italiane ha pagato ottenendo indietro i dati, ma il 58% li ha recuperati dai backup (Sophos State of Ransomware 2025). Pagare non garantisce il recupero completo dei dati
- Hardware/software: sostituzione sistemi compromessi: 5.000-15.000€
Costi indiretti
- Sanzioni GDPR: se dati personali compromessi e misure inadeguate: 20.000-100.000€
- Danno reputazionale: perdita clienti stimata al 5-10% nei 12 mesi successivi
- Condizioni assicurative: il mercato cyber è in calo di prezzo da dodici trimestri consecutivi (Marsh Global Insurance Market Index, Q2 2026), ma dopo un sinistro il singolo assicurato rischia riprezzamento, franchigie più alte o mancato rinnovo
- Costi legali: notifica ai soggetti interessati, gestione reclami: 10.000-30.000€
- Straordinari e stress: il team IT lavora 80+ ore/settimana per settimane
Il totale reale
Per la nostra PMI esempio, il costo totale stimato è tra 180.000€ e 350.000€. Questo senza pagare il riscatto. Per un'azienda da 8M€ di fatturato, parliamo del 2-4% del fatturato annuo andato in fumo in un singolo incidente. Il 60% delle PMI colpite da ransomware chiude entro 6 mesi (National Cyber Security Alliance).
Il confronto: prevenzione vs cura
Implementare un livello di sicurezza adeguato per una PMI di questa dimensione costa tra 15.000€ e 30.000€/anno. Questo include: EDR su tutti gli endpoint, backup immutabili, MFA, formazione, vulnerability assessment semestrale e un piano di incident response. Meno del 10% del costo di un singolo attacco. Una soluzione XDR come Presidio permette di coprire rilevamento, risposta e compliance in un'unica piattaforma, mentre i feed di VALTA forniscono intelligence sulle campagne ransomware attive nel vostro settore.
Chi colpisce le PMI italiane
I gruppi più attivi nel 2025-2026 contro il tessuto imprenditoriale italiano:
- LockBit 5.0: tornato operativo da settembre 2025 con l'encryptor ChuongDong, che colpisce Windows, Linux ed ESXi. Prima del takedown del 2024 il gruppo pesava per il 20-30% delle rivendicazioni globali sui siti di leak (Check Point Research)
- Akira: sfruttamento opportunistico di massa che colpisce organizzazioni di ogni dimensione, PMI incluse: entra dalle SSL VPN SonicWall con credenziali raccolte da dispositivi vulnerabili a CVE-2024-40766, riutilizzabili anche dopo l'aggiornamento, e arriva alla cifratura in meno di quattro ore dall'accesso iniziale (Arctic Wolf)
- Qilin: campagna di sfruttamento sistematico rivolta prevalentemente alle PMI italiane, con accesso iniziale da appliance Ivanti e Fortinet esposte e doppia estorsione, segnalata dall'ACN
- World Leaks: la nuova veste di Hunters International, operativa dal 1° gennaio 2025, che ha abbandonato la cifratura per la sola estorsione sui dati esfiltrati (BleepingComputer)
Il ransomware non è una questione di "se", ma di "quando". L'unica domanda è: sarete preparati quando arriverà?