Dati IBM 2025: Il ransomware costa alle PMI 4,4 milioni di dollari, non 115.000

Il rapporto Cost of a Data Breach 2025 di IBM ha messo un numero concreto su qualcosa che i professionisti della sicurezza avvertono da anni: la richiesta di riscatto non è mai il costo reale di un attacco ransomware. Secondo il rapporto, il costo totale medio di un incidente ransomware ha raggiunto i 4,4 milioni di dollari, oltre 38 volte superiore alla richiesta di riscatto media di 115.000 dollari. Quando l’analisi si restringe alle violazioni che coinvolgono specificamente ransomware o estorsione, il costo medio sale ulteriormente, fino a 5,08 milioni di dollari.

Per le piccole e medie imprese (PMI), queste cifre non sono astratte. Rappresentano il divario tra ciò per cui le aziende mettono a budget (un pagamento di riscatto che sperano di non dover mai fare) e ciò che un attacco prosciuga realmente dall’organizzazione una volta che si considerano ripristino, tempi di inattività, esposizione legale e danni alla reputazione.

I numeri dietro il titolo

Il moltiplicatore di 38 volte tra richiesta di riscatto e costo totale dell’incidente è il dato più importante del rapporto IBM e merita più attenzione di quanto riceva di solito. La maggior parte delle conversazioni sul ransomware si concentra sul riscatto stesso: quanto chiedono gli aggressori, se pagare e come negoziare. Ma i dati di IBM suggeriscono che fissarsi sulla cifra del riscatto oscura la vera minaccia finanziaria.

Una richiesta di riscatto di 115.000 dollari suona come una spesa aziendale gestibile, anche se dolorosa. Un costo totale di 4,4 milioni di dollari è un discorso completamente diverso, che coinvolge buste paga, contratti con i fornitori, fiducia dei clienti e, in alcuni casi, la sopravvivenza stessa dell’azienda. La cifra di 5,08 milioni di dollari per le violazioni legate specificamente a ransomware ed estorsione conferma che questa categoria di incidenti è costantemente tra i tipi di violazione dei dati più costosi che un’organizzazione possa affrontare.

Perché la richiesta di riscatto è la parte più piccola del conto

Il divario tra il riscatto e il costo totale esiste perché il ransomware non si limita a crittografare i file, ma interrompe le operazioni. I sistemi vanno offline. I dipendenti non possono accedere agli strumenti necessari per svolgere il proprio lavoro. I servizi rivolti ai clienti smettono di funzionare. Le squadre di ripristino devono essere coinvolte, spesso in emergenza, per ricostruire l’infrastruttura da zero anziché fidarsi semplicemente di una chiave di decrittazione fornita dall’aggressore.

Oltre all’interruzione operativa, ci sono i costi che si accumulano molto tempo dopo il ripristino dei sistemi: notifiche normative, potenziali multe, perdita di clienti, spese legali e il colpo reputazionale che può seguire la divulgazione pubblica di una violazione. La più ampia ricerca Cost of a Data Breach di IBM ha costantemente dimostrato che questi costi successivi, piuttosto che la richiesta di estorsione iniziale, costituiscono la maggior parte di ciò che un’organizzazione spende alla fine. Il ransomware non fa che concentrare tutti questi costi in un arco di tempo più breve e caotico.

Perché le piccole e medie imprese sono l’obiettivo numero 1

Le PMI sono bersagli attraenti proprio perché tendono ad avere budget di sicurezza più ridotti e team IT più snelli rispetto alle grandi imprese, pur detenendo spesso dati preziosi di clienti o finanziari. Gli aggressori sanno che un’organizzazione più piccola ha meno probabilità di disporre di sistemi ridondanti, personale dedicato alla risposta agli incidenti o riserve di liquidità per assorbire un’interruzione prolungata senza gravi conseguenze.

Questa dinamica si è manifestata in modo evidente nelle recenti campagne ransomware. Gruppi come Qilin e The Gentlemen hanno intensificato gli attacchi specificamente contro le piccole e medie imprese, competendo per il predominio nello spazio ransomware-as-a-service puntando sulle organizzazioni meno attrezzate per difendersi. Le cifre sui costi di IBM aiutano a spiegare il perché: per gli aggressori, le PMI rappresentano una combinazione di reale potenziale di pagamento e difese relativamente deboli, una combinazione che mantiene questo segmento saldamente nel mirino.

Cosa significa per te

Se gestisci o lavori in una piccola o media impresa, questi numeri dovrebbero ridefinire il modo in cui pensi al rischio ransomware. La domanda rilevante non è “possiamo permetterci di pagare un riscatto se dovesse rendersi necessario”, ma “possiamo sopravvivere al costo totale di un incidente, incluse settimane di inattività, spese di ripristino e le conseguenze successive”. Quel costo totale, secondo i dati di IBM, si misura in milioni, non in decine di migliaia.

Questo ha anche implicazioni dirette sulla privacy. Gli incidenti ransomware comportano spesso il furto di dati insieme alla crittografia, il che significa che le informazioni personali di clienti e dipendenti possono finire esposte anche se il riscatto viene pagato. Le aziende che trattano il ransomware puramente come un rischio di interruzione IT sottovalutano gli obblighi di privacy e conformità che derivano da una violazione con furto di dati.

Consigli pratici

Data l’entità di questi costi, la prevenzione e la preparazione contano molto di più della strategia di negoziazione. Alcuni passi concreti che vale la pena dare la priorità:

• Mantieni backup regolari e testati, archiviati offline o in modo che gli aggressori non possano raggiungerli e crittografarli insieme ai sistemi principali.
• Costruisci un piano di risposta agli incidenti prima che si verifichi un attacco, non durante, includendo ruoli chiari su chi prende decisioni su tempi di inattività, divulgazione e contatti con le forze dell’ordine.
• Investi nell’igiene di base della sicurezza: autenticazione a più fattori, applicazione tempestiva delle patch e sensibilizzazione dei dipendenti al phishing, poiché molte infezioni ransomware iniziano con una singola credenziale compromessa o un clic su un’email.
• Comprendi in anticipo i tuoi obblighi di notifica della violazione, poiché il ransomware che comporta furto di dati può far scattare requisiti legali indipendentemente dal pagamento del riscatto.

I risultati IBM del 2025 chiariscono una cosa: la richiesta di riscatto è una distrazione dalla vera minaccia finanziaria posta dal ransomware. Per le PMI, colmare il divario tra una richiesta di 115.000 dollari e un conto da 4,4 milioni di dollari inizia molto prima che un aggressore invii il primo messaggio.