Contenuto testuale generato con l’ausilio di sistemi di intelligenza artificiale e revisionato dal team WIT ICT, in conformità all’art. 50 del Regolamento UE 2024/1689 (AI Act) sulla trasparenza dei contenuti prodotti dall’IA. Anche l’immagine in evidenza di questo articolo è stata generata tramite IA.
Ottobre è il Mese europeo della sicurezza informatica, e nel 2026 la ricorrenza ha perso ogni carattere simbolico: le ultime settimane sono state segnate da una raffica di attacchi che ha coinvolto fornitori di servizi gestiti, plugin molto diffusi e credenziali aziendali rubate su larga scala. Per una PMI italiana la notizia non è tanto che gli attacchi aumentano, quanto che hanno cambiato bersaglio: non colpiscono più soltanto le grandi aziende, ma chi ha difese sottili e dati preziosi. Vale la pena fermarsi e capire cosa è cambiato davvero, prima che sia un incidente a spiegarlo.
Perché proprio ottobre accende i riflettori sulla sicurezza
Il Mese europeo della sicurezza informatica nasce per trasformare un tema tecnico in una conversazione alla portata di tutti. Non è una coincidenza che proprio in queste settimane ricercatori e autorità pubblichino bilanci e avvisi: serve a fotografare lo stato delle minacce mentre l’attenzione è alta. Per una piccola impresa la lezione è concreta. La sicurezza non si risolve con un singolo acquisto, ma con abitudini che si consolidano nel tempo: chi gestisce gli accessi, chi applica gli aggiornamenti, chi verifica i backup. Ottobre è un buon momento per assegnare queste responsabilità in modo esplicito, anche in un’azienda di cinque persone, dove spesso la sicurezza è di tutti e quindi di nessuno.
Il furto di sessione: quando la password non basta più
Per anni la raccomandazione è stata chiara: usa l’autenticazione a due fattori. Resta valida, ma gli aggressori si sono adattati. Le campagne di phishing più recenti non si limitano a rubare la password: si inseriscono tra l’utente e il sito legittimo come un proxy, intercettando il codice del secondo fattore e, soprattutto, il token di sessione già autenticato. Con quel token l’attaccante entra senza bisogno di ripetere il login.
- Il bersaglio non è più la password, ma la sessione attiva nel browser.
- La difesa si sposta verso metodi resistenti al phishing, come le chiavi di sicurezza o le passkey.
- Il segnale d’allarme è un accesso da una posizione o un dispositivo insoliti, che vanno monitorati.
Per chi usa Microsoft 365, attivare criteri di accesso condizionato e passkey riduce drasticamente l’efficacia di questi attacchi.
Gli infostealer, l’anticamera silenziosa del ransomware
Molti attacchi gravi non iniziano con una porta sfondata, ma con un furto discreto. Un infostealer è un programma che, una volta sul dispositivo, raccoglie password salvate nel browser, cookie di sessione e dati di configurazione, per poi rivenderli. Spesso passano settimane tra questo furto e l’attacco vero e proprio: chi compra quelle credenziali le usa per entrare con calma, muoversi nella rete e solo alla fine far scattare il ransomware. La conseguenza pratica è che un dipendente che installa un software pirata o apre un allegato sbagliato può aprire una breccia che resta invisibile a lungo. Limitare i diritti di amministratore sui computer e disincentivare il salvataggio delle password nel browser sono due misure che spezzano questa catena all’inizio.
Fornitori e strumenti di gestione: il rischio che entra dalla porta di servizio
Un’azienda può curare al dettaglio le proprie difese e trovarsi comunque esposta a causa di chi lavora con lei. Gli strumenti di gestione e monitoraggio remoto, usati da molti fornitori IT, sono comodi proprio perché raggiungono decine di clienti da un’unica console: la stessa caratteristica li rende un bersaglio prezioso. Negli incidenti recenti, chi è riuscito a compromettere uno di questi strumenti ha potuto propagare il danno a tutte le aziende collegate. Non significa rinunciare ai fornitori, ma scegliere con criterio e porre domande precise.
- Il tuo fornitore usa l’autenticazione a più fattori sui propri accessi amministrativi?
- Esiste un registro di chi entra nei tuoi sistemi e quando?
- Gli accessi dei collaboratori esterni vengono revocati appena il rapporto finisce?
Il sito web come porta d’ingresso: WordPress e la disciplina degli aggiornamenti
WordPress regge una quota enorme dei siti aziendali, e questa diffusione lo rende un bersaglio costante. Il punto debole raramente è il nucleo della piattaforma, curato e aggiornato con rapidità; molto più spesso sono i plugin e i temi, soprattutto quelli abbandonati dagli autori o installati e poi dimenticati. Negli ultimi mesi alcuni plugin molto popolari hanno invitato gli utenti a verificare modifiche non autorizzate, segno che la pressione resta alta. La buona notizia è che la difesa è alla portata di chiunque: tenere aggiornati nucleo, plugin e temi, rimuovere quelli inutilizzati, fare backup regolari e verificarli davvero. Un sito curato non è solo più sicuro, è anche più veloce e meglio posizionato sui motori di ricerca.
NIS2 e obblighi normativi: cosa cambia per le PMI italiane
Il quadro normativo europeo si è fatto più stringente. La direttiva NIS2, recepita in Italia, estende gli obblighi di sicurezza e di notifica degli incidenti a una platea molto più ampia di imprese rispetto al passato, comprese aziende di medie dimensioni in settori considerati rilevanti. Nel corso del 2026 diversi di questi obblighi diventano pienamente operativi, dalla gestione del rischio alla comunicazione tempestiva degli incidenti significativi. Anche chi non rientra direttamente nel perimetro della direttiva ne subisce l’effetto, perché i clienti più strutturati iniziano a chiedere garanzie lungo tutta la catena di fornitura. Conviene verificare per tempo se la propria azienda è soggetta agli obblighi, mappare i dati trattati e predisporre una procedura scritta per gestire un eventuale incidente, prima che sia l’urgenza a dettare le mosse.
Un piano pratico, sostenibile anche per una piccola impresa
La sicurezza non richiede budget da grande azienda, ma ordine e costanza. Ecco una sequenza che una PMI può affrontare nell’arco di poche settimane, senza stravolgere l’operatività:
- Attiva l’MFA ovunque, privilegiando passkey e chiavi di sicurezza sugli account critici.
- Applica gli aggiornamenti a sistemi, applicazioni, firewall e dispositivi di rete senza rimandare.
- Prova i backup: un backup che non è stato mai ripristinato è una speranza, non una garanzia.
- Riduci i privilegi di amministratore al minimo indispensabile e revoca gli accessi inutilizzati.
- Forma le persone con esercitazioni brevi e ricorrenti sul riconoscimento del phishing.
- Scrivi un piano di risposta: chi chiamare, cosa isolare, come comunicare se qualcosa va storto.
Affrontati con metodo, questi passi spostano l’equilibrio dalla parte di chi difende. La differenza tra un incidente contenuto e un blocco di settimane sta quasi sempre in queste basi, non in tecnologie esotiche.
Vuoi saperne di più? Contattaci per una consulenza gratuita.