I numeri non mentono mai, soprattutto quando raccontano una vulnerabilità sistemica. Nel primo trimestre del 2025, quasi il 40% dei circa 900 gravi episodi informatici registrati in Italia ha coinvolto direttamente strumenti di intelligenza artificiale generativa.

È un dato che non lascia spazio a interpretazioni: gli attacchi basati su AI sono aumentati del 47% rispetto all’anno precedente, e le previsioni parlano di oltre 28 milioni di incidenti cyber guidati da intelligenza artificiale entro fine anno, a livello globale.

Questo scenario, già di per sé allarmante, mostra come l’evoluzione tecnologica stia correndo più veloce della capacità di difesa. In altre parole, mentre le organizzazioni cercano di adattarsi, i criminali informatici sperimentano con velocità e creatività sempre maggiori.

L’Italia si colloca oggi al terzo posto in Europa per attacchi DDoS e al primo nell’Unione europea per ransomware con richiesta di riscatto. Un primato di cui faremmo volentieri a meno, ma che evidenzia quanto il nostro tessuto economico sia esposto.

La falsa sicurezza delle piccole dimensioni

Se qualcuno pensa ancora che questi numeri riguardino solo le grandi multinazionali, si sbaglia di grosso.

In realtà, dal 2018 al 2023 gli attacchi cyber gravi sono aumentati del 79% a livello globale, e le piccole e medie imprese italiane sono sempre più nel mirino dei criminali informatici. Questo perché, spesso, le PMI non dispongono delle stesse risorse o competenze delle grandi aziende e quindi risultano bersagli più facili.

Il rapporto Cyber Index PMI 2024, realizzato da Generali e Confindustria con il supporto del Politecnico di Milano e dell’Agenzia per la Cybersicurezza Nazionale, fotografa una situazione preoccupante: le PMI italiane hanno un punteggio medio di 52 su 100 in termini di maturità cyber, sotto la soglia di sufficienza fissata a 60.

In sostanza, quasi la metà delle imprese è consapevole del rischio ma non interviene con misure efficaci, mentre oltre la metà è ancora poco preparata o totalmente inconsapevole delle minacce digitali.

Il costo medio di un attacco cyber potenziato dall’intelligenza artificiale? Ben 5,72 milioni di dollari, con un incremento del 13% rispetto all’anno precedente.

È evidente, quindi, che la trasformazione digitale porta benefici ma anche rischi crescenti: con l’adozione della Generative AI, il divario tra capacità offensive e difensive rischia di amplificarsi ulteriormente, generando una spirale difficile da contenere.

Tre pilastri per non soccombere

Di fronte a questo scenario, serve un cambio di paradigma basato su tre pilastri fondamentali.

Il primo è la formazione. Non è un caso che, tre volte su quattro, la causa scatenante di un cyber attacco sia il fattore umano: un clic sbagliato su una mail di phishing, l’uso promiscuo dello smartphone per scopi personali e lavorativi, oppure il collegamento a un wi-fi pubblico non protetto.

Il rapporto Cyber Index PMI 2024 lo conferma: il fattore umano resta la principale vulnerabilità, spesso aggravata da una scarsa comprensione del contesto aziendale.

Per questo motivo, campagne di phishing simulato e moduli formativi mirati, capaci di trasformare concretamente i comportamenti a rischio, diventano ormai indispensabili. In particolare, per le micro-aziende con meno di 10 dipendenti e senza personale tecnico specializzato, la consapevolezza è il primo scudo.

Il secondo pilastro è la protezione tecnologica.

In questo campo, la costanza è la vera chiave: antivirus e antimalware aggiornati, firewall efficaci, autenticazione multi-fattore, backup regolari e aggiornamenti software periodici rappresentano la base minima per garantire una difesa reale.

Per una PMI con fatturato di circa 500 mila euro, si stima un investimento medio tra il 3% e il 5% in IT e cyber security, una cifra che può sembrare rilevante ma che si traduce in un ritorno concreto in termini di sicurezza e continuità operativa.

L’assicurazione cyber è il terzo pilastro

Il terzo pilastro, ancora troppo sottovalutato dalle imprese italiane, è l’assicurazione cyber. Infatti, anche con tutte le precauzioni del caso, nessuna azienda può considerarsi completamente al sicuro.

Una polizza professionale può coprire danni diretti, responsabilità verso terzi, costi legali per violazioni del GDPR (il Regolamento generale sulla protezione dei dat), oltre al supporto specialistico per la gestione dell’emergenza e la cyber estorsione. Non sostituisce le misure preventive, ma le integra in modo sinergico, offrendo una rete di sicurezza economica e operativa proprio nel momento più critico.

L’intelligenza artificiale: nemico o alleato

Il paradosso è che la stessa intelligenza artificiale che oggi potenzia gli attacchi può diventare anche il più potente alleato nella difesa.

L’AI generativa, infatti, sta rivoluzionando anche il settore assicurativo, non per sostituire il rapporto umano ma per potenziarlo. Attraverso esperienze personalizzate, maggiore trasparenza e supporto immediato, si delinea un modello “phygital” che unisce tecnologia digitale e presenza fisica sul territorio.

Questo approccio ibrido è in grado di colmare il protection gap e sostenere concretamente l’economia reale, garantendo rapidità, affidabilità e prossimità.

L’urgenza di agire ora

Il panorama delle minacce evolve a ritmi vertiginosi. Basti pensare che i deepfake sono passati da 500.000 casi nel 2023 a una previsione di oltre 8 milioni entro fine 2025.

Le tecniche di attacco diventano sempre più sofisticate, sfruttando modelli linguistici avanzati per campagne di phishing convincenti, spesso indistinguibili da comunicazioni reali.

Come ha dichiarato l’Agenzia per la Cybersicurezza Nazionale, «le piccole e medie imprese svolgono un ruolo fondamentale nella crescita della nostra economia, ma sono sempre più spesso bersaglio di attacchi informatici. I dati del Cyber Index PMI fotografano, purtroppo, una situazione di scarsa maturità cyber da parte del settore e su questo bisogna fortemente investire».

Con le nuove normative europee come la NIS2 (direttiva europea che punta a rafforzare la protezione delle reti e dei sistemi informativi in tutta l’UE, per incrementare la resilienza delle infrastrutture digitali critiche) e il Cyber Resilience Act, la protezione cyber non è più solo una scelta strategica, ma un obbligo necessario per garantire la resilienza economica del Paese.

La cyber security è ormai un pilastro essenziale per la crescita, la continuità operativa e la competitività del sistema produttivo italiano.

In conclusione, non si tratta più di chiedersi “se” si subirà un attacco, ma “quando”. E, di fronte a questo inevitabile scenario, chi arriva preparato ha molte più possibilità non solo di sopravvivere, ma di ripartire più forte di prima.