Quanto costa un attacco hacker a una PMI: voci di costo
Se ti chiedi quanto costa un attacco hacker a una PMI, la risposta onesta è: dipende, e quasi mai si riduce al solo riscatto o alla riparazione dei sistemi. Il conto finale è la somma di costi diretti, fermo operativo, obblighi legali e perdita di fiducia dei clienti. In questa guida vediamo ogni voce e un metodo pratico per stimare l'impatto sulla tua azienda.
Quanto costa un attacco hacker a una PMI: perché non esiste una cifra unica
Le cifre che circolano online sono medie calcolate su campioni molto diversi e spesso poco confrontabili con la realtà di una piccola impresa milanese. Un'azienda di dieci persone con un gestionale ospitato in sede e una con un e-commerce attivo 24 ore su 24 hanno esposizioni completamente diverse.
Tre fattori incidono più di tutti sul costo finale:
- Durata del blocco: ogni giorno di fermo moltiplica perdite e costi di ripristino.
- Tipo di dati coinvolti: dati personali, segreti industriali o documenti dei clienti aumentano le conseguenze legali e reputazionali.
- Livello di preparazione: backup verificati, segmentazione della rete e un piano di risposta riducono molto i tempi di recupero.
Per questo, invece di cercare un numero valido per tutti, conviene ragionare per voci di costo e applicarle ai propri processi.
I costi diretti: cosa paghi nei primi giorni
I costi diretti sono quelli più visibili e arrivano subito dopo la scoperta dell'incidente. Sono anche i più facili da quantificare, perché si traducono in fatture e preventivi.
Le principali voci dirette
- Gestione dell'incidente: analisi forense, contenimento dell'attacco e individuazione del punto d'ingresso.
- Ripristino dei sistemi: reinstallazione di server e postazioni, recupero dei dati dai backup, eventuale sostituzione di hardware compromesso.
- Consulenza legale e privacy: valutazione degli obblighi di notifica e comunicazioni agli interessati.
- Riscatto, se richiesto: una scelta delicata, che non garantisce il recupero dei dati e va ponderata con consulenti e legali.
- Rafforzamento delle difese: correzioni urgenti, nuove configurazioni, strumenti di monitoraggio.
Per avere cifre reali, chiedi preventivi a fornitori diversi: i tariffari variano molto in base a urgenza, complessità e perimetro dell'intervento.
I costi indiretti, spesso sottovalutati
Qui si nasconde la parte più pesante del conto. I costi indiretti non compaiono in una singola fattura, ma erodono margini e clienti per mesi.
Il fermo operativo è il primo: ordini non evasi, fatture non emesse, personale che non può lavorare ma va comunque retribuito. Poi ci sono le ore interne dedicate alla crisi, sottratte alle attività ordinarie.
Seguono i danni reputazionali: un cliente che scopre che i suoi dati sono stati esposti può decidere di non rinnovare. Nelle filiere con committenti strutturati, un incidente può anche pesare sulle qualifiche come fornitore o sui requisiti contrattuali di sicurezza.
Infine, gli aspetti normativi. Se l'incidente coinvolge dati personali, il GDPR prevede la valutazione dell'obbligo di notifica al Garante, in genere entro 72 ore dalla scoperta. Possibili sanzioni e contenziosi vanno quindi messi in conto: per capirne l'entità serve un parere legale sul caso specifico.
Come le vulnerabilità fanno salire il conto
Quasi ogni attacco riuscito parte da una debolezza sfruttata: un sistema non aggiornato, una password riutilizzata, un'applicazione web scritta senza controlli adeguati. Capire come funziona questo passaggio aiuta a valutare il rischio in modo concreto. Se vuoi approfondire le basi, leggi la nostra guida su cosa sono le vulnerabilità informatiche e come vengono sfruttate.
Ransomware e movimento dentro la rete
I ransomware spesso entrano da un accesso remoto esposto, da un'email di phishing o da un software con una vulnerabilità nota, catalogata con un identificativo CVE (Common Vulnerabilities and Exposures). Una volta dentro, l'attaccante tenta la privilege escalation, cioè ottenere permessi sempre più alti, per raggiungere server e backup prima di cifrare i dati. Più è semplice questo percorso, più alto sarà il danno.
Applicazioni web: SQL injection e cross site scripting
Se la tua azienda ha un sito con area clienti o un e-commerce, errori come SQL injection e cross site scripting possono portare a furti di dati o alla manipolazione delle pagine. Si previene con validazione degli input, aggiornamenti e test periodici.
Vulnerabilità zero day
Una vulnerabilità zero day è una falla ancora sconosciuta al produttore, quindi senza patch disponibile. Non puoi eliminarla in anticipo, ma puoi ridurne l'impatto con segmentazione, monitoraggio e backup isolati.
Come stimare il costo per la tua PMI in 5 passaggi
Una stima interna, anche approssimativa, è più utile di qualsiasi media. Puoi costruirla in una mezza giornata con amministrazione e responsabile IT.
- Elenca i processi critici: fatturazione, produzione, vendite online, assistenza clienti.
- Calcola il costo di un giorno di fermo: ricavi medi giornalieri, stipendi e costi fissi che continuano a correre.
- Ipotizza i tempi di ripristino: chiedi al tuo fornitore IT quanto servirebbe davvero per ripartire dai backup, e se è mai stato provato.
- Mappa i dati personali e sensibili: capire dove sono e chi vi accede chiarisce l'esposizione legale.
- Aggiungi le voci una tantum: consulenze, forense, comunicazione, interventi di sicurezza, ottenendo preventivi reali.
Il risultato è un intervallo, non una certezza, ma ti permette di confrontare il costo potenziale di un incidente con quello della prevenzione.
| Voce | Tipo | Come quantificarla |
|---|---|---|
| Fermo operativo | Indiretto | Ricavi e costi fissi per giorno di blocco |
| Analisi e ripristino | Diretto | Preventivi di fornitori specializzati |
| Aspetti legali e privacy | Diretto/indiretto | Parere del legale o del DPO |
| Perdita di clienti | Indiretto | Fatturato dei clienti più esposti a un eventuale disservizio |
Prevenire costa meno? Come ridurre l'impatto
Non esiste sicurezza assoluta, ma molte spese di un incidente derivano da debolezze note e correggibili. Il primo passo è sapere dove sei esposto: un vulnerability assessment individua sistemi e applicazioni con falle note, mentre un pentest simula un attacco reale per verificare fin dove potrebbe arrivare un malintenzionato.
Altrettanto importante è un processo continuo: inventario dei sistemi, aggiornamenti tempestivi, priorità sulle falle più critiche. Lo approfondiamo nella guida alla gestione delle vulnerabilità.
Alcune misure di base riducono sensibilmente il rischio:
- backup offline o immutabili, con test di ripristino periodici;
- autenticazione a più fattori su email, VPN e pannelli di amministrazione;
- privilegi minimi per utenti e account di servizio;
- formazione del personale contro phishing e truffe via email;
- un piano di risposta agli incidenti con ruoli e contatti già definiti.
Se la tua azienda rientra tra i soggetti interessati dalla direttiva europea, verifica anche gli obblighi descritti in NIS 2 e vulnerabilità.
Conclusione
Capire quanto costa un attacco hacker a una PMI significa guardare oltre il riscatto: fermo operativo, ripristino, obblighi legali e perdita di fiducia sono spesso le voci più pesanti. Una stima basata sui tuoi processi, unita a verifiche regolari delle vulnerabilità, è il modo più concreto per decidere dove investire. Se vuoi capire quanto è esposta la tua azienda, puoi partire dai servizi di Fred for Security e confrontarti con il team per valutare il percorso più adatto.
Domande frequenti
Una PMI deve pagare il riscatto in caso di ransomware?
Non c'è una risposta valida per tutti. Pagare non garantisce il recupero dei dati né esclude nuove richieste, e può avere implicazioni legali. Prima di decidere conviene coinvolgere un consulente di sicurezza, un legale e, se necessario, le forze dell'ordine, valutando anche la disponibilità di backup integri.
L'assicurazione cyber copre tutti i costi di un attacco?
Di norma no. Ogni polizza ha massimali, esclusioni e requisiti minimi di sicurezza, e spesso non copre danni reputazionali o perdita di clienti nel lungo periodo. Leggi con attenzione le condizioni e chiedi al broker quali costi sono rimborsabili e a quali obblighi sei vincolato.
Entro quanto tempo va segnalata una violazione di dati personali?
Il GDPR prevede che il titolare notifichi al Garante una violazione di dati personali, quando ne ricorrono i presupposti, senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla scoperta. La valutazione del rischio va fatta subito, con il supporto del DPO o di un legale.
Quali attacchi costano di più a una piccola azienda?
Quelli che fermano l'operatività o coinvolgono dati sensibili, come ransomware e furto di dati, tendono a pesare di più. Il costo reale dipende però da quanto a lungo i sistemi restano inutilizzabili, dalla qualità dei backup e dal tipo di informazioni compromesse.