I numeri del primo semestre 2026: quasi sei attacchi a settimana

Secondo i dati raccolti dagli osservatori specializzati sul ransomware e ripresi dalla stampa di settore, nei primi sei mesi del 2026 le organizzazioni italiane hanno subito 148 attacchi ransomware confermati, in media quasi sei rivendicazioni a settimana, con oltre 13.400 GB di dati dichiarati come sottratti dai criminali. Il manifatturiero è il settore più colpito, con 59 vittime pari al 39,9% del totale, e il Nord-Ovest concentra da solo il 42,6% dei casi censiti. Giugno è stato il mese peggiore, con più di venti imprese colpite nel giro di poche settimane.

Il quadro conferma la tendenza fotografata dal Rapporto Clusit 2026: nel 2025 l'Italia ha subito 507 incidenti informatici gravi, il 42% in più rispetto all'anno precedente, arrivando ad assorbire quasi il 10% degli incidenti censiti a livello mondiale. Un dato pesa più di tutti per il nostro tessuto produttivo: circa il 16% degli attacchi globali diretti al settore manifatturiero prende di mira aziende italiane.

Perché proprio le PMI sono nel mirino

Le analisi sul primo semestre 2026 contano 62 gruppi ransomware attivi, di cui 13 emersi solo negli ultimi mesi: un ecosistema criminale che si rinnova di continuo, con sigle come Qilin, Akira e CL0P tra le più aggressive. Questi gruppi non colpiscono soltanto le grandi imprese: come evidenzia anche il Clusit, i bersagli preferiti sono spesso aziende con fatturati tra 10 e 100 milioni di euro, tipicamente prive di un presidio di sicurezza dedicato e con reparti IT sottodimensionati rispetto alla superficie da difendere.

Per una PMI le conseguenze sono pesantissime: secondo le stime degli operatori del settore, il costo medio di un attacco ransomware si colloca tra 50.000 e 200.000 euro, sommando fermo produttivo, recupero dei dati, attività forensi, eventuali riscatti e danni reputazionali. Per un'azienda manifatturiera, ogni giorno di linee ferme si traduce in ordini persi e penali contrattuali.

Il backup c'è quasi sempre. Il problema è che spesso non funziona

Il paradosso emerso dagli incidenti recenti è che quasi tutte le aziende colpite disponevano di un sistema di backup. Ma gli attaccanti lo sanno: prima di cifrare i sistemi di produzione, cercano e distruggono le copie di sicurezza raggiungibili dalla rete, cancellando snapshot e repository o cifrandoli insieme al resto. In più, con la doppia estorsione i criminali esfiltrano i dati prima di cifrarli: anche chi ripristina tutto da backup resta esposto al ricatto sulla pubblicazione delle informazioni sottratte.

Non a caso, in occasione del World Backup Day 2026 la stampa specializzata ha insistito su un concetto preciso: avere un backup non basta più, bisogna sapere se quel backup è integro, pulito e realmente ripristinabile in condizioni di emergenza. La storica regola del 3-2-1 (tre copie, su due supporti diversi, di cui una fuori sede) si è evoluta nel modello 3-2-1-1-0: almeno una copia offline o immutabile, che nessun attaccante può alterare, e zero errori verificati con test di ripristino periodici.

Dal backup al Disaster Recovery: la differenza la fanno RTO, RPO e i test

Il backup è una copia dei dati; il Disaster Recovery è la capacità organizzata di rimettere in piedi l'azienda. La differenza si misura con due parametri: l'RTO (Recovery Time Objective), cioè quanto tempo può passare prima che i sistemi tornino operativi, e l'RPO (Recovery Point Objective), cioè quanti dati l'azienda può permettersi di perdere tra l'ultima copia valida e l'incidente.

I numeri dicono che questa differenza è concreta: le analisi di settore indicano che le aziende con un piano di Disaster Recovery documentato e testato riducono i tempi di ripristino di circa il 60%. Chi dispone di backup integri e procedure collaudate torna operativo in genere in 3-7 giorni; chi non ha una strategia strutturata può impiegare settimane o addirittura mesi. C'è anche un tema di conformità: la direttiva NIS2, con le misure che le imprese italiane devono attivare entro il 31 ottobre 2026, include espressamente la gestione dei backup, la continuità operativa e il ripristino in caso di disastro tra gli obblighi di sicurezza.

Sei domande per capire se la vostra azienda è pronta

Un modo rapido per valutare il proprio livello di preparazione è rispondere onestamente a queste domande:

• Quando è stato eseguito l'ultimo test di ripristino completo, e quanto tempo ha richiesto?
• Esiste almeno una copia dei dati immutabile o offline, non raggiungibile dalla rete aziendale?
• Le credenziali dei sistemi di backup sono separate da quelle di dominio, con autenticazione a più fattori?
• RTO e RPO sono stati definiti e condivisi con la direzione, sistema per sistema?
• Esiste un piano di Disaster Recovery scritto e aggiornato, che copra anche gestionali, macchine di produzione e posta elettronica?
• È chiaro chi fa che cosa nelle prime 48 ore dopo un incidente, inclusa la comunicazione a clienti e fornitori?

Se anche solo due risposte sono negative o incerte, l'azienda sta di fatto scommettendo sulla propria continuità operativa.

Non è un progetto da affrontare da soli

Costruire una strategia di backup e Disaster Recovery efficace significa combinare tecnologie (copie immutabili, replica in cloud, monitoraggio), processi e test periodici, calibrandoli sui reali obiettivi di ripristino dell'azienda. Per la maggior parte delle PMI, la strada più rapida e sostenibile è affidarsi a un partner IT specializzato, in grado di valutare lo stato attuale, definire RTO e RPO realistici e verificare con test regolari che, il giorno in cui servirà davvero, il ripristino funzioni. Perché la differenza tra un incidente gestito e un disastro aziendale, nel 2026, si misura in ore di fermo.