Cyber risk: cos’è e come entra da una finta multa PagoPA
Una multa da pagare tramite PagoPA, con un link per saldare in fretta ed evitare maggiorazioni. Chi gestisce una piccola impresa la apre tra un preventivo e una telefonata. Se ti chiedi «cyber risk: cos’è?», la risposta concreta comincia da qui. È il rischio che un clic distratto blocchi il lavoro, esponga dati o faccia sparire denaro. Non è uno scenario inventato. Nel 2025 il CERT-AGID, la struttura dell’Agenzia per l’Italia Digitale che analizza le campagne malevole, ha rilevato per la prima volta phishing di massa a tema PagoPA. Qui trovi le porte d’ingresso più comuni, raccontate come succedono davvero, e cosa fare per non lasciarle aperte.
Cyber risk: cos'è in parole semplici?
Il cyber risk è la possibilità che un attacco o un errore informatico causi un danno all’attività: lavoro fermo, dati persi, soldi sottratti, problemi con clienti e fornitori. Non riguarda solo il computer, ma tutto ciò che passa da internet: email, gestionale, sito, conto online, telefono aziendale.
Il Rapporto Clusit 2026, che analizza gli incidenti gravi di dominio pubblico nel mondo, indica come tecniche principali il malware (24,9%), cioè programmi dannosi installati di nascosto; le vulnerabilità (16,5%), ovvero falle di programmi non aggiornati; phishing e social engineering (9,9%), messaggi ingannevoli che spingono a cliccare o a dare password; il DDoS (6,4%), un’ondata di traffico che rende irraggiungibile un sito.
Che cos'è il phishing PagoPA?
È una truffa via email, SMS o PEC che imita un avviso di pagamento PagoPA, il sistema per pagare la pubblica amministrazione, per farti versare denaro o inserire i dati della carta su un sito falso. Il CERT-AGID ne ha contate 328 campagne nel 2025, tutte costruite su false multe. Funziona perché fa leva sulla fiducia verso un marchio pubblico e sulla fretta. Il messaggio parla di scadenze, sanzioni in aumento, riscossione. Chi ha un’impresa riceve davvero avvisi simili, quindi il dubbio dura pochi secondi. Il link porta a una pagina identica a quella vera, dove i dati inseriti finiscono ai truffatori.
Perché una PEC non basta per fidarsi?
La PEC, la posta elettronica certificata, dà valore legale all’invio ma non garantisce che il contenuto sia onesto: anche una casella violata può spedire PEC. Secondo il CERT-AGID, nel 2025 l’uso della PEC come veicolo di attacco è cresciuto di circa l’80%, con 103 eventi. Il timbro «certificata» abbassa le difese proprio quando servirebbero.
Come arriva un attacco in una piccola azienda?
Quasi sempre dalle attività di tutti i giorni. Un allegato che sembra una fattura installa un malware, magari un ransomware, che rende illeggibili i file e chiede un riscatto per sbloccarli. Oppure un vecchio router o un programma mai aggiornato: la falla è nota e qualcuno la sfrutta, senza che nessuno in ufficio abbia cliccato nulla. Altre volte il bersaglio è la vetrina online: un attacco DDoS manda offline il sito o l’e-commerce. C’è poi il data breach, cioè la violazione di dati personali di clienti o dipendenti, che può comportare obblighi verso il Garante Privacy. E senza un backup, una copia di sicurezza aggiornata e separata, recuperare il lavoro può essere impossibile.
ClickFix, il finto CAPTCHA che fa lavorare te per l'attaccante
Il CAPTCHA è il controllo «non sono un robot» presente su molti siti. Nella tecnica ClickFix, che il CERT-AGID segnala in forte crescita, una pagina mostra un falso controllo e chiede alcuni passaggi che in realtà lanciano un comando: è l’utente stesso ad avviare il codice dannoso. Regola semplice: nessuna verifica vera ti chiede di eseguire comandi.
Perché anche una PMI è nel mirino?
Perché molti attacchi non scelgono la vittima per nome: le campagne partono in massa e colpiscono chi abbocca. Il Rapporto Clusit 2026 conta in Italia 507 attacchi gravi pubblici nel 2025, contro 357 nel 2024 (+42%); nel mondo 5.265 (+49%). Il cybercrime, la criminalità che punta al guadagno, causa il 60,9% degli incidenti italiani.
Va precisato il perimetro:
Clusit considera solo gli incidenti gravi diventati pubblici, il CERT-AGID le campagne osservate nel proprio ambito, e nessuno dei due misura quante PMI vengano colpite. Però il manifatturiero è il secondo settore più colpito in Italia e gli incidenti di gravità medio-bassa sono cresciuti del 52%: non si parla solo dei grandi casi da giornale.
Cosa fare davanti a un messaggio sospetto?
Prima di tutto fermarsi: nessuna scadenza vera si brucia in dieci minuti. Poi verificare per un’altra strada, mai dal link ricevuto: entrare nel portale ufficiale digitando l’indirizzo, chiamare l’ente o il fornitore al numero che già conosci. Utile anche decidere a chi segnalare un’email strana, così il dubbio di un collaboratore diventa un avviso per tutti.
Il rischio informatico si può azzerare?
No, ma si può ridurre e trasferire. Si riduce con aggiornamenti, backup e attenzione condivisa. Si trasferisce con un’assicurazione, che può sostenere parte delle conseguenze economiche entro il massimale, la cifra massima prevista dal contratto, e oltre la franchigia, la quota di danno a carico dell’impresa. Cosa sia coperto, dalla tutela legale (le spese per difendersi) alle esclusioni, dipende dalla singola polizza e dal suo set informativo.
Un check-up per sapere cosa copre già la tua polizza
Molte imprese hanno polizze attive ma non sanno se rispondono a un attacco informatico. Con un check-up assicurativo, Mainardi e Codecasa esamina con te i contratti in essere, cosa coprono oggi e cosa manca rispetto a come lavori. Prima di decidere qualsiasi cosa, sai dove sei scoperto. Scrivi o chiama l’agenzia per fissare un appuntamento.
