Una mattina, Sophie B. apre una fattura di un fornitore con cui lavora da anni. Il logo è corretto, il tono è quello consueto, ma il numero di conto è cambiato – «nuova banca», precisa l'e-mail. In uno studio fiduciario che ogni giorno tratta i dati bancari di centinaia di clienti, un dettaglio del genere decide a volte l'intera giornata, e a volte molto di più.
La buona notizia: non ci sono cinquanta minacce da conoscere, ma una piccola manciata che ritorna di continuo. Comprenderle significa già riprendere il controllo.
Perché una PMI concentra così tanti rischi cyber
Si immagina spesso che i rischi cyber colpiscano i grandi gruppi. È il contrario. Una PMI svizzera è un bersaglio proprio perché è accessibile: poca o nessuna informatica interna, budget ridotti e soprattutto catene decisionali brevi in cui ci si fida tra colleghi. Per un aggressore è un ottimo rapporto tra sforzo e risultato: non deve forzare una cassaforte, ma solo approfittare di un momento di distrazione.
Un'attività di servizi come uno studio fiduciario è particolarmente esposta per un motivo semplice: non custodisce solo il proprio denaro, ma i dati finanziari e bancari dei suoi clienti. Ciò che ne fa il valore ne costituisce anche la superficie d'attacco. Chi entra nella casella di posta non raggiunge un singolo conto, ma un intero portafoglio di pagamenti potenziali e mesi di corrispondenza che può imitare alla perfezione.
Un altro fattore aggravante è la convinzione, diffusa nelle piccole strutture, di «non essere un bersaglio interessante». È proprio questo calo di attenzione a rendere le PMI preziose agli occhi degli aggressori: agiscono a tappeto e automatizzano, senza scegliere le vittime una a una. In pratica, i rischi cyber di una PMI si riconducono a quattro famiglie, qui descritte senza allarmismi.
Phishing: la falsa fattura quasi pagata
Il phishing consiste nel ricevere un messaggio che imita un interlocutore di fiducia – una banca, un fornitore, un ente pubblico – per spingervi a cliccare, a pagare o a consegnare una password. Il messaggio di Sophie B. ne è un esempio da manuale: nulla sembra falso, vi si chiede semplicemente di fare ciò che fate già ogni giorno, ma verso il destinatario sbagliato.
È di gran lunga la porta d'ingresso più frequente. Non prende di mira una falla informatica, ma un riflesso umano: la routine e la fiducia. Non ci si difende con uno strumento miracoloso, ma con un'abitudine – verificare prima di agire.
Frode del CEO: «il capo» che chiede un bonifico urgente
La frode del CEO è una variante mirata del phishing: un messaggio si finge un dirigente o un socio e chiede un bonifico urgente, riservato, «da regolare entro stasera». In una piccola struttura in cui si conosce di persona chi autorizza i pagamenti, la pressione sociale fa il resto: chi ha voglia di contraddire il proprio socio su un affare urgente?
L'intera trappola sta nel senso di urgenza. Una richiesta che vieta di verificare – «non dirlo a nessuno», «è riservato», «è per oggi» – dovrebbe essere proprio ciò che fa scattare una verifica.
Ransomware: il lunedì in cui tutto è cifrato
Un ransomware è un software dannoso che cifra i vostri file – li rende illeggibili – e poi chiede un riscatto per restituirvene l'accesso. Spesso entra tramite un allegato aperto senza pensarci, poi si diffonde in silenzio prima di bloccare tutto d'un colpo, di solito nel momento peggiore.
Per una PMI la posta in gioco non è solo il riscatto: è il fermo. Niente contabilità, niente posta, niente pratiche dei clienti per giorni, in piena chiusura contabile. La vera protezione non è pagare – nulla garantisce di recuperare i file – ma poter ripartire da backup recenti, a condizione che esistano davvero e siano già stati testati.
Fuga di dati: quando una pratica cliente esce
Una fuga di dati è la diffusione involontaria di informazioni riservate: un file inviato al destinatario sbagliato, una casella di posta violata, una chiavetta USB persa in treno. Non serve un hacker sofisticato: basta un clic sbagliato.
In Svizzera questo rischio ha una dimensione legale. La nLPD, la legge federale sulla protezione dei dati in vigore dal 2023, si attende che una PMI adotti misure di sicurezza «adeguate» e notifichi all'autorità federale (l'IFPDT) le violazioni che possono nuocere alle persone interessate. Per uno studio fiduciario vincolato al segreto professionale, la perdita di fiducia di un cliente pesa spesso più dell'incidente stesso.
Cosa ricordare
Tre idee valgono più di un lungo elenco di paure.
Primo, la maggior parte dei rischi cyber non colpisce le vostre macchine ma le vostre abitudini: un clic, un momento di fiducia, una fretta. È una buona notizia, perché le abitudini si cambiano senza budget informatico.
Secondo, queste minacce si sovrappongono. Lo stesso riflesso di verifica blocca la falsa fattura, la frode del CEO e buona parte dei tentativi di furto di password. Si progredisce quindi in fretta agendo su pochi punti ben scelti.
Terzo, in Svizzera la protezione dei dati non è un'opzione di comodo: la nLPD ne fa una responsabilità di chi dirige, al pari della tenuta dei conti. Nessuno si aspetta che una PMI diventi una fortezza – solo che adotti misure ragionevoli e sappia spiegare cosa fa della fiducia che le viene accordata.
Le abitudini da introdurre questa settimana
1. Verificare ogni richiesta di denaro tramite un canale conosciuto
Ogni cambio di coordinate bancarie, ogni richiesta di bonifico insolita o pressante si verifica richiamando la persona a un numero che già conoscete – mai quello indicato nel messaggio. Questo solo riflesso neutralizza sia la falsa fattura sia la frode del CEO. Oltre un importo che stabilite voi, richiedete due approvazioni.
2. Attivare l'autenticazione a due fattori ovunque sia possibile
L'autenticazione a due fattori (MFA) aggiunge, oltre alla password, una seconda prova – per esempio un codice sul vostro telefono. Anche se una password trapela, l'account resta chiuso. Attivatela per prima cosa sulla posta e sul vostro software gestionale: è gratuita ed è la misura con il maggior ritorno.
3. Sapere dove sono i vostri dati e verificare i backup
Prendetevi dieci minuti per elencare dove risiedono le vostre informazioni sensibili (posta, software di contabilità, dischi condivisi) e assicuratevi che esista un backup recente. Soprattutto, verificate che sia già stato ripristinato almeno una volta: un backup mai testato è un'ipotesi, non una protezione. L'ufficio federale della cibersicurezza (UFCS/NCSC) pubblica raccomandazioni pratiche in merito.
A che punto siete davvero?
Queste abitudini riducono nettamente l'esposizione di una PMI, ma non dicono dove si trovino, con precisione, i vostri punti deboli. È qui che aiuta un'autovalutazione strutturata: passare in rassegna, domanda dopo domanda, i vostri rischi cyber reali invece di agire a sensazione.
Cyber Passport non certifica nulla e non vi dichiara «al sicuro». Vi mostra, ambito per ambito, dove la vostra organizzazione è solida e dove poggia ancora sulla fiducia o sull'abitudine – per decidere poi, con lucidità, da dove cominciare.
