Un data breach non si misura soltanto nel costo del ripristino tecnico. Nel conto entrano il fermo operativo, le attività di analisi e risposta, la perdita di clienti, gli obblighi di notifica, le possibili sanzioni e il danno reputazionale. Nel 2026, il costo medio globale di una violazione ha raggiunto 4,99 milioni di dollari, il valore più alto mai registrato.
È uno dei dati centrali del report IBM Cost of a Data Breach 2026, che fotografa un cambiamento ormai evidente: l’intelligenza artificiale sta rendendo gli attacchi più veloci, accessibili ed economici da lanciare. Per le organizzazioni, invece, individuare una compromissione, comprenderne la portata e contenerla richiede più tempo e più risorse.
Il costo medio globale di una violazione è cresciuto del 12% rispetto all’anno precedente. A pesare maggiormente sono state le spese di rilevamento ed escalation, insieme alle perdite generate dall’interruzione delle attività, dal rallentamento dei servizi e dall’abbandono dei clienti.
Il dato medio, però, non racconta tutta la storia. Il costo effettivo dipende dal settore, dalla quantità e dalla natura dei dati coinvolti, dal vettore d’ingresso e, soprattutto, dal tempo necessario per identificare e contenere l’incidente. Più una compromissione rimane nascosta, più aumentano le probabilità che l’attaccante si muova lateralmente, estenda l’accesso ad altri sistemi o sottragga informazioni sensibili.
In Italia il costo medio è arrivato a 3,55 milioni di euro, tornando a crescere dopo la flessione registrata nel 2025. Non si tratta quindi di una questione riservata alle grandi organizzazioni internazionali: anche nel mercato italiano un incidente può assorbire risorse significative e compromettere la continuità del business.
L’impiego dell’AI negli attacchi informatici è in forte crescita. In molti casi, gli attaccanti la utilizzano per creare malware, perfezionare campagne fraudolente o costruire impersonificazioni tramite deepfake più credibili.
L’effetto si vede anche sul piano economico: i breach AI-enabled tendono a produrre costi superiori rispetto alle violazioni tradizionali. L’AI non introduce necessariamente vettori di attacco completamente nuovi, ma rende più efficaci quelli già conosciuti: riduce il tempo necessario per preparare una campagna, migliora la qualità dei contenuti fraudolenti e accelera lo sfruttamento delle vulnerabilità.
La stessa tecnologia, tuttavia, può rafforzare la difesa. Le organizzazioni che utilizzano in modo esteso AI e automazione nelle attività di prevenzione, rilevamento, analisi e risposta riescono a ridurre il costo medio degli incidenti e a identificare e contenere le violazioni più rapidamente.
Il punto, quindi, non è adottare l’AI in modo indiscriminato. Il vantaggio emerge quando viene inserita in processi di sicurezza maturi, con accessi controllati, responsabilità definite e supervisione umana.
La sanità si conferma il settore con il costo medio più elevato per violazione, seguita dai servizi finanziari.
Questi comparti gestiscono dati sensibili e servizi difficili da interrompere. Un incidente non produce quindi soltanto un danno informativo, ma può influire sulle prestazioni erogate, sulla fiducia degli utenti e sulla continuità di processi essenziali.
In Italia, i costi medi più elevati riguardano l’energia, i servizi finanziari e il settore tecnologico.
Anche l’intelligenza artificiale offensiva si concentra soprattutto sulle infrastrutture critiche. Questo rende ancora più importante collegare la protezione tecnica alla continuità operativa, alla gestione delle dipendenze e alla resilienza della supply chain.
Nonostante l’evoluzione delle tecniche di attacco, il phishing continua a essere uno dei principali vettori iniziali e può generare conseguenze economiche particolarmente rilevanti.
L’AI aumenta la qualità di questi attacchi. Messaggi più credibili, contenuti costruiti sul profilo della vittima e tentativi di impersonificazione rendono meno riconoscibili gli indicatori tipici delle campagne fraudolente. Per questo la formazione resta importante, ma da sola non basta: deve essere affiancata da controlli sulle identità, autenticazione robusta, monitoraggio degli accessi e procedure rapide di segnalazione.
In Italia emerge con particolare forza il rischio legato alla supply chain, che rappresenta una causa iniziale rilevante degli incidenti. Fornitori, partner e piattaforme esterne ampliano il perimetro digitale dell’impresa. Una vulnerabilità al di fuori dell’infrastruttura interna può propagarsi lungo la catena operativa e produrre conseguenze dirette sull’organizzazione.
La sicurezza di un’azienda, quindi, dipende anche dalla visibilità che possiede sulle proprie terze parti e dalla capacità di valutarne continuamente l’esposizione.
Nel 2026, l’Osservatorio Cyberoo ha rilevato una crescita degli attacchi ransomware mirati. A cambiare non è soltanto la frequenza, ma anche la capacità degli attaccanti di operare in modo silenzioso nelle infrastrutture compromesse.
La cifratura dei sistemi non è più l’unico strumento di pressione. I modelli Ransomware-as-a-Service si integrano sempre più con gli initial access broker e con tecniche orientate alla sottrazione dei dati. Il vero valore per gli attaccanti risiede nella persistenza invisibile e nell’accesso alle informazioni, non soltanto nel blocco operativo.
Questa evoluzione modifica anche la gestione della crisi. Ripristinare sistemi e backup può non essere sufficiente quando l’attaccante ha già esfiltrato dati o ottenuto accessi validi. La risposta deve quindi coinvolgere, oltre ai team tecnici, anche il management, le funzioni legali, la comunicazione e chi presidia la relazione con clienti, partner e autorità.
Molte delle voci che fanno crescere il costo di un data breach non dipendono dalla sofisticazione dell’attacco, ma dalla preparazione dell’organizzazione.
In Italia, la carenza di competenze specialistiche aggiunge mediamente 199.100 euro al costo di una violazione. Lo Shadow IT, cioè l’uso di applicazioni o servizi non censiti e non governati dall’azienda, incide per altri 162.544 euro.
Quando asset, identità e servizi non sono visibili, anche un buon sistema di rilevamento perde efficacia. Il problema non è soltanto produrre più alert, ma capire quali segnali riguardano processi realmente critici e chi deve intervenire.
Il caso mostra un aspetto essenziale: conservare i log non basta. I controlli devono essere in grado di individuare accessi anomali, verificare la coerenza tra privilegi e attività svolte e attivare una risposta quando emerge un comportamento non giustificato. La responsabilità dell’organizzazione riguarda sia la protezione tecnica sia la capacità concreta di dimostrare che i controlli funzionano.
La prima priorità è diminuire il tempo che separa la compromissione dalla risposta. Per farlo servono visibilità sugli asset, controllo delle identità, monitoraggio continuo e procedure già definite prima dell’incidente.
La protezione dei dati resta altrettanto importante. Nel campione analizzato da IBM, oltre la metà delle organizzazioni colpite non aveva cifrato adeguatamente le informazioni sensibili a riposo o in transito. La crittografia non impedisce ogni violazione, ma può ridurre in modo significativo l’utilizzabilità dei dati sottratti.
Infine, la preparazione deve includere gli scenari futuri. Solo il 26% delle aziende ha già avviato iniziative legate alla sicurezza post-quantum. La migrazione richiederà tempo, perciò censire algoritmi, certificati e dipendenze crittografiche è un’attività da iniziare prima che la minaccia diventi immediata.
I numeri del 2026 mostrano che il costo di un data breach non dipende soltanto dalla tecnologia impiegata dagli attaccanti. Pesa anche la capacità dell’organizzazione di collegare segnali tecnici, processi, persone, responsabilità e impatti sul business.
È la prospettiva su cui si fonda l’approccio di Cyberoo alla cybersecurity sistemica. Un incidente raramente rimane confinato a un solo piano: può nascere da una minaccia tecnica, sfruttare una debolezza organizzativa, coinvolgere una terza parte, generare obblighi normativi e mettere sotto pressione le persone chiamate a decidere. Gestire separatamente queste dimensioni significa ottenere una visione parziale del rischio.
Nel modello Cyberoo, il Threat Management combina le capacità della Cyber Security Suite, con Cypeer per il Managed Detection and Response e CSI per la Cyber Threat Intelligence. L’obiettivo è mantenere un monitoraggio e una risposta continui, correlare segnali provenienti da fonti diverse e ridurre il tempo che separa l’esposizione dal rilevamento e dal contenimento.
La componente tecnologica, però, è solo una parte del modello. La gestione del rischio richiede anche governance dei processi, compliance normativa e People Security. Un alert tecnicamente corretto produce poco valore se non è chiaro chi debba validarlo, chi possa autorizzare l’isolamento di un sistema, chi debba informare il management e come vadano documentate le azioni intraprese.
Il punto non è quindi aggiungere un altro strumento allo stack, ma costruire una capacità operativa coordinata. La domanda da porre non è soltanto “quale tecnologia ci manca?”, ma “quale rischio stiamo riducendo e quale processo dobbiamo proteggere?”.
Il costo di un data breach dipende dalla capacità dell’organizzazione di vedere ciò che accade, collegare il segnale tecnico al processo coinvolto e prendere decisioni senza perdere tempo.
L’AI ha reso questo divario ancora più evidente. Da un lato abbassa la soglia d’ingresso per gli attaccanti e aumenta la velocità delle campagne. Dall’altro offre ai team di sicurezza strumenti più efficaci per analizzare grandi volumi di dati e contenere gli incidenti.
La differenza, però, non la fa una singola tecnologia. La fanno il coordinamento tra persone, processi e controlli, la chiarezza delle responsabilità e la capacità di reagire prima che una compromissione diventi una crisi operativa, economica e reputazionale.