Quanto costa un attacco informatico a un'azienda? Numeri, casi e obblighi

Il costo di un attacco informatico per un’azienda si compone di quattro voci: fermo dell’attività, perdita dei dati, danno d’immagine e gestione burocratica della violazione. Per capire gli ordini di grandezza partiamo dai casi noti, per poi arrivare a quelli che non leggerai mai sui giornali.

Nell’agosto 2025 un attacco informatico ha fermato Jaguar Land Rover: produzione bloccata per oltre cinque settimane negli stabilimenti del Regno Unito e ripercussioni su più di 5.000 aziende della filiera. Il Cyber Monitoring Centre britannico lo ha stimato in circa 1,9 miliardi di sterline, definendolo l’evento informatico più costoso della storia del Regno Unito. Nota bene: gran parte del danno non è stata “il virus”, ma il fermo: linee ferme, fornitori fermi, consegne ferme.

Non serve però guardare a Londra. Nell’agosto 2024 l’Opera di Santa Maria del Fiore (l’ente che gestisce il Duomo di Firenze) ha perso 1,8 milioni di euro con una truffa informatica ben orchestrata: email credibili, un finto interlocutore, un bonifico. A inizio 2026 un tentativo simile ha preso di mira gli Uffizi. Niente sistemi “bucati” con tecniche sofisticate: è bastato ingannare le persone giuste al momento giusto.

Questi casi finiscono sui media perché i nomi sono noti. Ma il Rapporto Clusit 2026 racconta un quadro più ampio: nel 2025 in Italia sono stati censiti 507 attacchi gravi, +42% in un anno, e la media mensile mondiale è passata da 171 incidenti nel 2021 a 439 nel 2025. Il rapporto segnala le PMI come bersaglio privilegiato: meno protette, più esposte, spesso anello di filiere strategiche. Non a caso il 16% degli attacchi mondiali al manifatturiero colpisce aziende italiane.

E questi sono solo gli incidenti noti. Quando viene colpita una piccola azienda, la storia non arriva ai giornali: il titolare gestisce, paga, ripristina quel che può e tiene la vicenda riservata, anche per non allarmare clienti e banche. L’assenza di notizie non è assenza di attacchi: è assenza di clamore.

1. Fermo operativo. È quasi sempre la voce più pesante. Ordini che non partono, produzione ferma, personale pagato per aspettare, clienti che nel frattempo comprano altrove. Per una PMI anche pochi giorni di blocco possono valere settimane di fatturato.
2. Perdita di dati. Contabilità, ordini, progetti, archivi clienti: ricostruirli — quando è possibile — costa tempo e denaro. Se i backup erano collegati ai sistemi colpiti, spesso sono criptati anche loro.
3. Danno d’immagine. Se la violazione coinvolge dati di clienti o fornitori, dovrai comunicarlo: la fiducia costruita in anni si incrina in un giorno. In ambito B2B è un costo silenzioso: nessuno ti dice che ha smesso di lavorare con te per quel motivo.
4. Gestione burocratica. La parte che nessuno mette in conto: notifica al Garante Privacy, eventuale comunicazione agli interessati, denuncia alla Polizia Postale, consulenti tecnici per capire cosa è successo, supporto legale, gestione delle assicurazioni. Ore e ore di lavoro del titolare e dei responsabili, nel momento peggiore per poterle dedicare.

Una violazione di dati personali (data breach) va notificata al Garante per la protezione dei dati personali entro 72 ore da quando l’azienda ne viene a conoscenza (articolo 33 del GDPR), salvo che sia improbabile un rischio per le persone coinvolte. Se il rischio è elevato, va informato anche chi ha subìto la violazione: clienti, dipendenti, pazienti (articolo 34). Ignorare l’obbligo, o accorgersene in ritardo, espone a sanzioni che si sommano al danno dell’attacco.

Per le aziende che rientrano nella direttiva NIS2 (energia, trasporti, sanità, alimentare, manifattura critica e relative filiere) c’è un secondo binario: gli incidenti significativi vanno segnalati allo CSIRT Italia dell’Agenzia per la Cybersicurezza Nazionale, con un preallarme entro 24 ore e una notifica entro 72. In entrambi i casi il messaggio è lo stesso: la legge dà per scontato che tu sappia accorgerti di una violazione e reagire in ore, non in settimane. Senza strumenti di protezione e un referente tecnico, è una scadenza impossibile da rispettare.

Un dettaglio che molti scoprono tardi: anche le violazioni che NON richiedono notifica vanno comunque documentate in un registro interno. Lo prevede lo stesso articolo 33 del GDPR. In altre parole, “non è successo niente di grave” va dimostrato, non dichiarato: senza strumenti che registrino cosa accade nei tuoi sistemi, anche questo diventa impossibile.

Messe in fila, le quattro voci raccontano una cosa semplice: il costo di un attacco è quasi sempre un multiplo — spesso a due o tre zeri — del costo delle protezioni che lo avrebbero fermato o contenuto. Backup separati e testati riducono la voce 2 e accorciano la 1; protezioni e monitoraggio riducono la probabilità che tutto questo accada; un referente tecnico rende gestibili le 72 ore della voce 4. Il quadro completo delle protezioni di base è nella nostra guida alla cybersecurity per piccole aziende.