10 minacce maggiori alla sicurezza informatica 2026 — Come leggere la classifica e cosa dovrebbero difendere le PMI

“Ransomware.” “Attacchi alle supply chain.” “Rischio IA.” Sospetto che molte persone sentano queste parole continuamente nelle notizie senza mai chiarire quanto si applichino effettivamente alla propria azienda.

Una risorsa annuale che si può usare per farlo è la 10 minacce maggiori alla sicurezza informatica pubblicata dall’IPA (Information-technology Promotion Agency, un’istituzione amministrativa indipendente). Viene scelta per deliberazione e voto di un comitato di selezione composto da circa 250 persone, tra ricercatori e professionisti di aziende, e copre le minacce che hanno avuto il maggiore impatto sociale nell’anno precedente; l’edizione 2026 è stata pubblicata il 29 gennaio 2026.

Questo articolo ripercorre la top 10 dell’edizione 2026 per le organizzazioni e analizza quali di esse una PMI dovrebbe considerare un proprio problema, e da dove iniziare.

1. La conclusione prima di tutto

• Nell’edizione 2026 per le organizzazioni, le prime posizioni sono congelate: #1 attacchi ransomware (undici anni consecutivi), #2 attacchi alle supply chain (otto anni consecutivi). In altre parole, non è che “la tendenza è cambiata” — è che “gli stessi attacchi continuano a funzionare”
• “Cyber risk legato all’uso dell’IA,” selezionato per la prima volta, è al terzo posto. Non riguarda solo gli attaccanti che abusano dell’IA, ma anche le fughe di informazioni causate dall’uso dell’IA da parte dei propri dipendenti
• Quelle particolarmente rilevanti per le PMI sono attacchi ransomware, attacchi alle supply chain (come parte bersagliata), sfruttamento di vulnerabilità e business email compromise
• La maggior parte delle minacce in testa alla classifica poggia su un fondamento di contromisure di base — aggiornamento del sistema operativo e del software, backup, password più robuste e conoscenza dei metodi degli attaccanti. Prima di acquistare un nuovo prodotto a causa della classifica, verifica quanto stai effettivamente applicando le basi
• Usa la classifica come spunto annuale per rivedere le tue contromisure. Decidi la priorità in base all’impatto sulla tua azienda se succedesse, non in base al rango

2. La top 10 dell’edizione per le organizzazioni (2026)

Esiste anche un’edizione per gli individui, ma elenca le 10 voci in ordine sillabico senza classificarle — una scelta deliberata per evitare la lettura erronea del “è classificato basso, quindi va bene.” Lo stesso atteggiamento vale per come leggere l’edizione per le organizzazioni.

Guardando l’elenco, colpisce quanto sia congelata la formazione. I primi due ranghi non cambiano da oltre quattro anni e la maggior parte della top 10 è selezionata da cinque anni o più. I metodi di attacco diventano più sofisticati ogni anno, ma ciò che viene preso di mira non cambia. Ciò significa che la direzione delle contromisure non va ripensata da zero ogni anno — il cuore è semplicemente continuare a elevare la completezza dell’applicazione delle basi.

3. Le principali minacce, viste dalla prospettiva di una PMI

#1: Attacchi ransomware — “Tenere i dati in ostaggio per fermare l’azienda”

Si tratta di un attacco che cifra i dati, tra le altre cose, e chiede un riscatto. Non è solo un problema delle grandi aziende — le PMI con misure di sicurezza sottili vengono prese di mira proprio perché sono facili da violare. Il danno non si limita a una fuga di dati; porta direttamente a un arresto dell’attività in cui non si possono più ricevere ordini o spedire nulla.

I pilastri della contromisura sono chiudere le rotte di ingresso (aggiornare dispositivi VPN, il sistema operativo e il software; rafforzare le password) e prepararsi a ripristinare l’attività anche in caso di violazione (effettuare backup, conservarli isolati e verificare di poterli ripristinare). Quando la “Linea guida per la sicurezza informatica delle PMI” dell’IPA versione 4.0 ha aggiunto “Fate i backup!” ai suoi “6 articoli per la sicurezza informatica,” era proprio per prepararsi a questa minaccia (per i dettagli vedi il nostro articolo sulla 4ª edizione della Linea guida).

#2: Attacchi che prendono di mira supply chain o subfornitori — Le PMI vengono prese di mira come “punto di ingresso”

Invece di attaccare direttamente l’azienda obiettivo, questo attacco usa un partner commerciale o subfornitore con sicurezza più debole come trampolino di lancio. Per una PMI questa minaccia ha un doppio significato: non solo “la propria azienda può essere vittima,” ma “la propria azienda può essere trasformata nel punto di ingresso per danneggiare il partner commerciale.”

È esattamente per questo che sono iniziate ad arrivare dagli partner commerciali schede di verifica della sicurezza. In futuro, il movimento per verificare il livello di contromisure nell’intera supply chain non farà che rafforzarsi. Avere le proprie contromisure a un livello tale da poterle spiegare sta diventando un requisito commerciale per continuare la relazione, tanto quanto una misura di sicurezza.

#3: Cyber risk legato all’uso dell’IA — Prima selezione

Questa minaccia è diventata candidata per la prima volta ed è stata immediatamente selezionata al terzo posto. Il suo contenuto abbraccia sia l’attacco che l’uso. Il comunicato stampa dell’IPA cita fughe di informazioni non intenzionali o violazione dei diritti altrui derivanti da una comprensione insufficiente dell’IA, problemi derivanti dall’accettare acriticamente output generati o elaborati dall’IA senza verificarli adeguatamente, e attacchi informatici resi più facili e sofisticati dall’abuso dell’IA.

Per una PMI, il problema praticamente rilevante è meno l’uso dell’IA da parte degli attaccanti, e più l’uso dell’IA generativa da parte dei propri dipendenti. È lecito inserire in un servizio di IA informazioni sui clienti o dati di progettazione? È lecito usare testo o codice generato senza verificarlo? Sia un divieto totale che una completa lassitudine portano a problemi, quindi il primo passo è decidere semplici regole interne su “cosa è lecito inserire” e “come verificare l’output.”

#4: Attacchi che sfruttano vulnerabilità di sistema — “Aggiornamenti trascurati” diventano la via d’ingresso

Questo attacco colpisce una debolezza nota del software. Vengono presi di mira dispositivi e software per cui è stata già rilasciata una patch ma non è stata mai applicata. Esempi tipici sono dispositivi VPN, un sistema operativo il cui supporto è terminato o un sito WordPress che non riceve più aggiornamenti.

Non è un problema tecnicamente sofisticato — è operativo, riguarda se sia effettivamente deciso chi aggiorna cosa e quando. Se anche il tuo sito web potrebbe rientrare in questa categoria, vedi anche il nostro articolo sulla ‘Guida per rendere sicuro il proprio sito web’ dell’IPA.

#7: Illeciti interni e #10: Business email compromise — Minacce legate a persone e procedure

Le fughe di informazioni da illeciti interni sono una minaccia che coinvolge dipendenti attuali o passati — per esempio un dipendente in uscita che se ne va con i dati dei clienti. La contromisura è una pila di procedure poco appariscenti: mettere in ordine i privilegi di accesso, disabilitare gli account all’uscita e cancellare i dati dai PC da smaltire.

Il business email compromise è una truffa che si spaccia per un partner commerciale o un dirigente per indurre un bonifico verso un conto falso. Accanto alle misure tecniche, una regola aziendale come “confermare sempre per telefono un cambio di coordinate bancarie” è il fattore decisivo. Quando rivedi le tue pratiche email, vale la pena considerare anche il nostro articolo su abbandonare il PPAP nello stesso contesto.

4. Il modo corretto di usare la classifica

Le 10 minacce maggiori vengono discusse ogni anno, ma se le usi nel modo sbagliato finisci per mettere il carro davanti ai buoi — “acquistare un prodotto mirato alla minaccia numero uno dell’anno e considerare fatto.” Ciò che l’IPA sottolinea in realtà è raccogliere continuamente informazioni sulle minacce e identificare e affrontare i rischi rilevanti per la propria organizzazione.

In pratica, si può tradurre nella seguente routine annuale.

• Quando viene pubblicata, a fine gennaio ogni anno, scorri la top 10 e chiediti, una per una, “cosa smetterebbe di funzionare se succedesse a noi”
• Per le minacce profondamente rilevanti per la tua azienda, verifica quanto stai applicando in modo completo le contromisure di base (aggiornamento del sistema operativo e del software, backup, password, impostazioni di condivisione, conoscenza dei metodi degli attaccanti)
• Dove c’è un divario, colmalo usando l’autovalutazione e gli allegati della Linea guida per la sicurezza informatica delle PMI

L’IPA pubblica anche un opuscolo esplicativo di 64 pagine e materiali di presentazione per l’edizione per le organizzazioni, entrambi gratuiti, e si possono usare così come sono per una riunione del mattino o una formazione interna. “Conoscere le minacce e i metodi degli attaccanti” è di per sé uno dei 6 articoli per la sicurezza informatica, e semplicemente condividere internamente le 10 minacce maggiori una volta all’anno conta già come metterlo in pratica.

Riassunto

Ecco un riepilogo dei punti chiave delle 10 minacce maggiori alla sicurezza informatica 2026.

• L’edizione per le organizzazioni vede al primo posto gli attacchi ransomware, al secondo gli attacchi alle supply chain e al terzo, alla prima selezione, il rischio IA. Le prime posizioni sono congelate da anni, il che mostra che gli stessi attacchi continuano a funzionare
• Le PMI dovrebbero considerare particolarmente proprio problema ransomware, attacchi alle supply chain, sfruttamento di vulnerabilità e business email compromise
• Il rischio IA non riguarda solo il lato dell’attacco — include anche fughe di informazioni e accettazione acritica dell’output attraverso l’uso dell’IA generativa da parte dei dipendenti. Inizia con semplici regole interne
• Il fondamento delle contromisure per le minacce in testa è l’applicazione completa delle basi. Usa la classifica come spunto annuale per la revisione
• Il rango riflette l’impatto sulla società nel suo insieme; il proprio ordine di priorità va deciso dall’impatto sulla propria attività

Se fai fatica a identificare le minacce rilevanti per il tuo business

Giudicare “quali minacce ci riguardano” richiede di comprendere effettivamente la propria configurazione di sistema e il flusso di lavoro aziendale. Hai una VPN? Dove gira ancora software vecchio? I tuoi backup possono effettivamente essere ripristinati? Questo tipo di inventario è un lavoro di verifica individuale, non una questione di teoria generale.

Komura Software LLC, attingendo alla propria esperienza nello sviluppo e manutenzione di applicazioni business Windows e sistemi web, affronta consulenze per identificare i rischi legati ai sistemi aziendali e per modificare e mantenere software esistenti che non ricevono più aggiornamenti. Siamo disponibili a parlarne anche se ti trovi nella fase “non so nemmeno da dove iniziare a controllare.”

Articoli correlati

Articoli recenti con gli stessi tag per approfondire argomenti vicini.

Argomenti correlati

Queste pagine collocano l’argomento in un contesto più ampio di servizi e decisioni.

Servizi collegati all’argomento

L’articolo è direttamente collegato ai servizi seguenti.

Domande frequenti

Domande che ricorrono nelle consulenze sull’argomento dell’articolo.

Cosa sono le 10 minacce maggiori alla sicurezza informatica?

È una classifica annuale, pubblicata dall'IPA (Information-technology Promotion Agency, un'istituzione amministrativa indipendente), delle minacce alla sicurezza informatica che hanno avuto il maggiore impatto sociale nell'anno precedente. L'IPA seleziona le minacce candidate e la classifica finale è decisa da deliberazione e voto del 'Comitato per la selezione delle 10 minacce maggiori,' composto da circa 250 persone tra ricercatori e professionisti di aziende. Esiste un'edizione per le organizzazioni e una per gli individui; l'edizione 2026 è stata pubblicata il 29 gennaio 2026. Per l'edizione per le organizzazioni vengono rilasciati gratuitamente anche un opuscolo esplicativo e materiali di presentazione, utilizzabili per la formazione interna.

C'è una minaccia nuova nell'edizione 2026 per le organizzazioni?

'Cyber risk legato all'uso dell'IA' è diventata minaccia candidata per la prima volta ed è stata immediatamente selezionata al terzo posto. Copre rischi sia sul lato dell'uso che dell'attacco: fughe di informazioni non intenzionali o violazione dei diritti altrui causate da una comprensione insufficiente dell'IA, problemi derivanti dall'accettare acriticamente output generati o elaborati dall'IA senza verificarli, e attacchi informatici resi più facili e sofisticati dall'abuso dell'IA.

Quale voce della classifica dovrebbe affrontare per prima una PMI?

La regola di base è scegliere in base all'impatto che avrebbe sulla propria azienda se si verificasse, piuttosto che in base al rango, ma le minacce che tendono ad essere particolarmente rilevanti per la maggior parte delle PMI sono: #1 attacchi ransomware (backup e difese dei punti di ingresso); #2 attacchi alle supply chain (essere bersagliati o dover dimostrare la sicurezza come partner commerciale); #4 attacchi che sfruttano vulnerabilità di sistema (dispositivi VPN trascurati o software obsoleto); e #10 business email compromise (frodi come falsi cambi di coordinate bancarie). In ogni caso, le contromisure di base — aggiornamento del sistema operativo e del software, backup e rafforzamento delle password — sono il fondamento.

Va bene ignorare le minacce non presenti in classifica?

No, non è una buona idea. Le 10 minacce maggiori non sono altro che una classifica di ciò che ha avuto un grande impatto sociale nell'anno precedente; quanto è importante per la propria organizzazione è una questione separata dal rango. L'IPA stessa sottolinea l'importanza di raccogliere continuamente informazioni sulle minacce e identificare e affrontare i rischi rilevanti per la propria organizzazione. Il modo corretto di usare la classifica è come spunto per apprendere le tendenze generali e rivedere le proprie contromisure.

Profilo dell’autore

Pagina di presentazione dell’autore dell’articolo.

Go Komura

Rappresentante di KomuraSoft LLC

Specializzato nello sviluppo di software Windows, nella consulenza tecnica e nell’analisi dei malfunzionamenti, soprattutto nei progetti con sistemi esistenti e guasti difficili da riprodurre.