Nel secondo semestre 2025 l’Agenzia per la Cybersicurezza Nazionale ha registrato 54 attacchi ransomware in Italia (contro i 48 dello stesso periodo 2024), concentrati soprattutto su manifatturiero, vendita al dettaglio e settore tecnologico, con le PMI come bersaglio prevalente. Ma il dato più significativo per chi deve decidere un budget di sicurezza non è quanti attacchi, bensì quanto costano: secondo il report Sophos State of Ransomware 2025, in Italia il valore medio richiesto è stato di 4,12 milioni di dollari, e le aziende italiane pagano in media il 97% dell’importo richiesto, contro l’85% della media globale.
Perché in Italia si paga di più (e più spesso)
Nel 2025 il 27% delle aziende italiane colpite da un ransomware ha pagato il riscatto, in calo rispetto al 53% del 2024: un segnale incoraggiante, che evidenzia una maggiore capacità di resistere agli attacchi. Tuttavia, chi decide di pagare continua a versare importi molto elevati, con una media di 2,06 milioni di dollari. Anche la mediana dei riscatti pagati in Italia risulta superiore alla media internazionale, un dato che riflette sia il maggiore valore economico delle organizzazioni colpite sia una capacità di negoziazione ancora limitata rispetto ad altri Paesi.
Le cause tecniche del successo degli attacchi
Per il terzo anno consecutivo, la causa principale degli attacchi ransomware andati a segno in Italia è lo sfruttamento di vulnerabilità note (35% dei casi), seguito da phishing (23%) e compromissione di credenziali (16%). Il 45% delle aziende intervistate cita la carenza di competenze interne come fattore abilitante; non la mancanza di strumenti, ma la mancanza di persone in grado di interpretare correttamente gli alert generati da quegli strumenti.
L’impatto economico oltre al riscatto
- Il 55% degli attacchi ha causato la cifratura dei dati (in calo rispetto all’85% del 2024, segno di difese post-attacco migliorate).
- Il 99% delle aziende italiane colpite è riuscito a recuperare i dati cifrati; il backup ha salvato il 58% dei casi (in calo dal 72%, dato su cui vale la pena riflettere).
- I costi complessivi di business (downtime, perdita di opportunità, dispositivi, rete) sono scesi a 3,55 milioni di dollari, dai 5,38 milioni del 2024.
- Il 46% delle aziende italiane ha ripristinato piena operatività entro una settimana, il doppio rispetto al 23% del 2024.
Cosa cambia davvero: meno teoria, più pratica
I dati di Sophos indicano tre direttrici concrete per ridurre l’esposizione: piattaforme di analisi comportamentale capaci di rilevare varianti sconosciute prima della classificazione formale come minaccia, stratificazione delle difese (rete, endpoint, accessi, anomalie che si integrano a vicenda), e governo centralizzato dei sistemi di sicurezza, il tipo di presidio che un SOC strutturato è pensato per garantire.
Il Rapporto Clusit 2026 conferma la fotografia: l’Italia ha registrato 507 incidenti gravi nel 2025 (+42%), pari al 9,6% del totale mondiale, con il manifatturiero che da solo assorbe il 16% di tutti gli attacchi globali al settore. Non è un problema isolato di singole aziende sfortunate: è un’esposizione strutturale del tessuto industriale italiano.
Chi ha già un piano di risposta testato (backup isolati e verificati, ruoli definiti prima dell’incidente, decisioni su quando non trattare stabilite a mente fredda) riduce concretamente sia la probabilità di dover scegliere se pagare, sia il danno quando l’attacco arriva comunque.
Le risposte che cerchi: FAQ sul ransomware in Italia
Nel 2025 il valore medio richiesto alle aziende italiane è stato di 4,12 milioni di dollari, con un valore medio effettivamente pagato di 2,06 milioni. A questo si aggiungono costi di business (downtime, perdita di opportunità) per altri 3,55 milioni di dollari in media.
Conviene pagare il riscatto?
Gli esperti lo sconsigliano: pagare non garantisce la cancellazione dei dati rubati né esclude nuovi attacchi dallo stesso gruppo. In Italia chi paga versa in media il 97% della cifra richiesta, segno di una capacità negoziale ancora bassa.
Quali sono i settori più colpiti dal ransomware in Italia?
Secondo i dati ACN sul secondo semestre 2025, manifatturiero, vendita al dettaglio e settore tecnologico, con un impatto particolare sulle piccole e medie imprese che spesso hanno infrastrutture di sicurezza più limitate.
Qual è la causa più comune di un attacco ransomware riuscito?
Lo sfruttamento di vulnerabilità note, per il terzo anno consecutivo la causa principale in Italia (35% dei casi), seguita da phishing (23%) e credenziali compromesse (16%).
