I 27 minuti in cui l'azienda è sola

Lunedì, 9:05. In casella arriva una email dal fornitore storico: oggetto "fattura scaduta", un link a un portale che sembra quello vero, un tono urgente al punto giusto. Il dipendente clicca dopo 21 secondi. La segnalazione all'IT parte 28 minuti più tardi. Per circa 27 minuti l'azienda è sola: l'attaccante è già dentro, le credenziali funzionano, nessuno guarda.

Quella finestra non si chiude con una ramanzina. Si chiude con un progetto.

Ventuno secondi, ventotto minuti

Il Data Breach Investigations Report 2025 di Verizon misura i due tempi: 21 secondi tra l'arrivo di una email di phishing (truffa via posta elettronica) e il clic, 28 minuti tra il clic e la segnalazione. Il dato arriva da fonti secondarie e non è una misura italiana: vale come ordine di grandezza.

Nei 27 minuti centrali succede il danno. Con credenziali rubate l'attaccante non forza niente: entra con un accesso legittimo, dall'Italia, in orario d'ufficio. Un firewall (il filtro tra rete aziendale e internet) non vede un'intrusione, vede traffico normale. Lo abbiamo raccontato in cosa protegge un firewall aziendale: la tecnologia fa il suo lavoro, ma non si accorge di chi le ha appena consegnato la chiave.

Il DBIR 2026 conferma il peso della componente umana: il 62% delle violazioni ne coinvolge una, contro il 60% del 2025 e il 68% del 2024. Dentro ci sono l'errore senza malizia, l'ingegneria sociale, l'uso improprio, le credenziali rubate: è la mappa dei punti in cui la catena si spezza. Il costo medio di una violazione, secondo IBM 2025, è di 4,44 milioni di dollari, in calo del 9%. In Italia il Rapporto Clusit 2026 segna +42% di incidenti, manifattura a +79%. In Europa ENISA attribuisce al phishing il 78% degli incidenti di ingegneria sociale.

Il clic non è la misura

Un'azienda può avere un click rate (la quota di chi clicca) basso e restare cieca. In una rilevazione Fortra su 13,9 milioni di destinatari di email simulate ha cliccato il 5,42%, ma solo il 10,5% dei messaggi è stato segnalato: nove su dieci passano inosservati. Il campione viene da un solo fornitore e da campagne simulate, quindi vale come ordine di grandezza. La sostanza tiene: tra un'azienda attaccata e una compromessa, spesso la differenza la fa chi segnala, non chi clicca.

Il DBIR 2026 indica una mediana dell'1,4% nelle simulazioni; KnowBe4, su 42 milioni di simulazioni, misura il 33,2% di suscettibilità alla prima esposizione tra utenti mai formati, che scende al 20,1% dopo 90 giorni e al 4,2% dopo 12 mesi. Sono popolazioni e momenti diversi, non due verità in conflitto. La lezione sta nella curva: conta la ripetizione breve e frequente, non il corso annuale con il quiz finale.

Se il KPI (l'indicatore che si guarda ogni mese) è "quanti hanno cliccato", il sistema punisce. Se è "quanto tempo passa prima che qualcuno segnali", il sistema ascolta. Il dipendente diventa un sensore, non un imputato.

Scheda pratica: supporti rimovibili

Una chiavetta USB dimenticata in reception è un vettore di attacco collaudato. In un esperimento del 2016, 297 supporti furono lasciati in un campus: il 98% venne raccolto, il 45% inserito in un computer e, tra questi, circa la metà aprì o copiò almeno un file. La prima connessione arrivò in meno di 6 minuti. Dati vecchi, che non fotografano il 2026, ma il comportamento descritto non è cambiato. Honeywell, nel 2021, stimava che il 37% delle minacce fosse progettato per passare da un supporto rimovibile.

Regole che funzionano, perché il default tecnico le rende più facili da rispettare che da aggirare:

1. Solo supporti aziendali, inventariati ed etichettati.
2. Mai inserire un supporto trovato: si consegna all'IT, che lo analizza in ambiente isolato.
3. Autorun e autoplay disattivati da criteri centrali (GPO o Intune), non a discrezione dell'utente.
4. Blocco dei dispositivi non autorizzati per default, allow-list (elenco degli ammessi) per numero di serie.
5. Cifratura obbligatoria (BitLocker To Go, APFS cifrato, VeraCrypt) e scansione prima dell'apertura.
6. Personale e aziendale separati; in produzione, supporto dedicato e scansionato prima di ogni collegamento alle macchine OT (i sistemi che governano gli impianti).

L'errore tipico è fidarsi dell'icona: "Fattura.pdf.exe" si presenta come un PDF, la doppia estensione non si vede. Il secondo è la chiavetta unica per cliente A, cliente B e casa.

Scheda pratica: password manager aziendale

Il riuso è il moltiplicatore silenzioso. Microsoft documenta che il 49% delle credenziali rubate viene riusato su più siti: una violazione su un portale qualsiasi diventa un accesso altrove, e il credential stuffing (l'uso automatico di credenziali rubate su più servizi) non richiede fantasia. Il NIST, nelle linee guida SP 800-63B-4, chiede almeno 15 caratteri quando la password è l'unico fattore, una blocklist delle password compromesse, nessuna rotazione obbligatoria e nessuna regola di composizione. Lunghezza e unicità, non simboli esotici.

1. Un vault (la cassaforte digitale delle credenziali) aziendale, non il gestore del browser personale, con SSO (accesso unico) e MFA (verifica in due passaggi) sul vault stesso.
2. Passphrase maestra lunga, quattro-sei parole, mai riusata, mai condivisa, mai salvata nel vault.
3. Password generate e uniche, da 16-20 caratteri: l'utente non deve memorizzarle.
4. Condivisione tramite collezioni del vault, mai via chat o email; revoca automatica all'offboarding.
5. MFA su posta, VPN, amministrativi, banking e gestionali, nell'ordine di rischio. Dove si può, passkey: la fine delle password è più vicina di quanto sembri.

Un errore annulla tutto: una sola password del vault condivisa da tutti, che porta via sicurezza e tracciabilità. Il secondo: scegliere lo strumento prima di aver definito amministrazione, recupero e revoca.

Un programma in sei passi

Non serve un progetto annuale. Serve un ritmo.

1. Misura prima di parlare. Simulazione a freddo e cinque domande anonime su password, USB e segnalazioni. Una baseline (la fotografia di partenza), non un voto.
2. Governance leggera. Un responsabile, tre regole scritte in due pagine: password, supporti, segnalazione.
3. Primo sprint formativo. Moduli da 15-20 minuti per ruolo, con casi aziendali reali, tra la settimana 2 e la 6.
4. Ritmo, non campagna. Una pillola da 10 minuti al mese e una simulazione ogni 4-6 settimane, alternando email, SMS e voce.
5. Cultura della segnalazione. Pulsante in un clic, ringraziamento automatico, nessuna colpa per chi clicca. Chi sbaglia va affiancato.
6. Misura e aggiusta. Dashboard (cruscotto) trimestrale con sei numeri, letta dalla direzione, e revisione dopo ogni incidente.

Obiettivi da mettere nel cruscotto: click rate sotto l'8% a sei mesi e sotto il 4% a dodici; segnalazioni dal 10% a oltre il 50% in un anno; tempo mediano sotto i 10 minuti; ripetitori (il 10% più esposto) in affiancamento e non in sanzione; MFA sopra il 95% sugli account critici; password manager sopra l'80% di utenti attivi. Traguardi da tarare sulla baseline, non benchmark di mercato.

Due misure di base restringono la superficie: l'autenticazione email con SPF, DKIM e DMARC e un piano di risposta testato, come in ransomware nelle PMI.

Tre cose prima delle nove

Primo: chiedi all'IT quanto tempo è passato, nell'ultima simulazione, tra il primo clic e la prima segnalazione. Se la risposta è "non lo misuriamo", hai trovato il progetto.

Secondo: verifica che il pulsante di segnalazione esista e sia a un clic dalla casella di posta. Se serve compilare un modulo, non verrà usato.

Terzo: scrivi la regola sui supporti rimovibili. Una riga: i supporti trovati si consegnano all'IT, non si inseriscono.

Poi il resto: formazione a pillole, password manager, MFA. B2B Driven accompagna le PMI dalla baseline alla dashboard trimestrale. Se vuoi sapere dove sei, comincia da una misura.