Quando si parla di cybersecurity, l’immagine mentale predefinita è quasi sempre un attaccante esterno. Ma secondo il Data Breach Investigations Report 2025 di Verizon, in area EMEA — dove si trova l’Italia — quasi un terzo delle violazioni, il 29%, ha avuto origine dall’interno dell’organizzazione, contro appena il 5% del Nord America e l’1% dell’area Asia-Pacifico. In Italia, secondo il Cost of a Data Breach Report 2025 di IBM, l’insider threat è causa del 13% delle violazioni, con un costo medio di 4,24 milioni di euro per incidente. È un rischio strutturalmente più rilevante per le aziende europee di quanto la narrazione dominante — concentrata sull’attaccante esterno — suggerisca.
Non è (quasi mai) il dipendente infedele
L’immaginario dell’insider malevolo che ruba dati per venderli alla concorrenza esiste, ma è la minoranza dei casi. Secondo l’analisi Ponemon più recente, il 55% degli incidenti insider nasce da dipendenti negligenti, non da intenzioni dolose: un allegato inviato al destinatario sbagliato, un accesso non revocato dopo un cambio di ruolo, credenziali salvate in modo insicuro. La quota restante comprende anche il furto di credenziali (20%) — categoria che include sia dipendenti sia, spesso, attori esterni che si sono procurati credenziali legittime per muoversi come se fossero interni. Sommando le due componenti, il 75% degli incidenti insider è non doloso da parte del dipendente stesso — un dato che sposta l’attenzione da “chi punire” a “quali processi correggere”.
Il costo cresce più velocemente di quasi ogni altra voce di rischio
Secondo l’analisi Ponemon/DTEX più recente, ripresa da StationX, il costo medio annuo che un’organizzazione sostiene complessivamente per incidenti legati a insider ha raggiunto i 19,5 milioni di dollari — un aumento del 123% rispetto agli 8,76 milioni del 2018. È una metrica diversa (e non direttamente comparabile) dal costo per singolo incidente di 4,24 milioni di euro rilevato da IBM in Italia: la prima somma tutti gli eventi insider di un anno, la seconda misura il costo medio di ogni singola violazione.
Perché è più difficile da rilevare di un attacco esterno
Un insider, per definizione, ha già accesso legittimo ai sistemi. Non deve superare un firewall né sfruttare una vulnerabilità: usa credenziali valide per compiere azioni che, isolate, sembrano parte del normale lavoro quotidiano. È il motivo per cui la maggior parte dei responsabili sicurezza considera le minacce interne più difficili da individuare rispetto agli attacchi esterni — servono strumenti di analisi comportamentale in grado di riconoscere anomalie rispetto a un pattern d’uso consolidato, non semplici allarmi su accessi non autorizzati.
Cosa riduce concretamente l’esposizione
- Gestione rigorosa del ciclo di vita degli accessi: revoca immediata dei permessi quando un ruolo cambia o un rapporto di lavoro termina, non a distanza di settimane.
- Principio del privilegio minimo: ogni persona ha accesso solo a ciò che le serve per il proprio ruolo, non all’intero perimetro aziendale.
- Monitoraggio comportamentale degli accessi ai dati critici, capace di segnalare pattern anomali (download massivi, accessi fuori orario, tentativi ripetuti su risorse non pertinenti al ruolo).
- Formazione mirata su gestione delle credenziali e riconoscimento di richieste sospette anche quando arrivano da colleghi o canali interni apparentemente legittimi.
Le risposte che cerchi: FAQ sull’Insider Threat
È un rischio per la sicurezza informatica che ha origine all’interno dell’organizzazione — da un dipendente, un collaboratore o un fornitore con accesso legittimo ai sistemi — anziché da un attaccante esterno. In area EMEA riguarda il 29% delle violazioni secondo Verizon.
Gli insider threat sono sempre intenzionali?
No. Circa il 75% degli incidenti insider nasce da negligenza o furto di credenziali, non da intenzioni malevole: errori come invii sbagliati, accessi non revocati o credenziali gestite male sono la causa più comune.
Quanto costa un insider threat alle aziende?
Sono due metriche distinte: a livello globale, il costo medio annuo complessivo per organizzazione ha raggiunto 19,5 milioni di dollari (Ponemon/DTEX). In Italia, il costo medio per singolo incidente causato da insider è di 4,24 milioni di euro (IBM), su un 13% delle violazioni totali.
Perché è più difficile individuare un insider threat rispetto a un attacco esterno?
Perché chi agisce ha già accesso legittimo ai sistemi: non deve aggirare difese perimetrali, ma usa credenziali valide in modi che, singolarmente, possono sembrare normale attività lavorativa.
