Perché parlarne adesso (11 giugno 2026)
Nel 2025–2026 abbiamo visto due tendenze che toccano direttamente server e infrastruttura delle PMI: (1) lo sfruttamento di vulnerabilità note su appliance esposti (VPN, firewall, gateway), e (2) una crescita significativa degli attacchi DDoS che riducono la disponibilità dei servizi. A ciò si aggiunge un divario tra fiducia e realtà nel ripristino post‑attacco.
- ENISA Threat Landscape 2025 analizza 4.875 incidenti in Europa (luglio 2024–giugno 2025) e mostra che il 21,3% degli accessi iniziali avviene tramite exploiting di vulnerabilità.
- CISA ha inserito in KEV vulnerabilità su VPN/firewall (es. Fortinet CVE‑2024‑21762), segnalando sfruttamento attivo.
- Cloudflare Radar rileva 47,1 milioni di attacchi DDoS mitigati nel 2025, con il 78% di attacchi di livello rete nel Q4 2025.
- Veeam (Data Trust & Resilience 2026) riporta che solo il 28% delle organizzazioni colpite riesce a ripristinare completamente i dati dopo un attacco ransomware, nonostante il 90% si dichiari fiducioso.
Nota: in queste settimane professionisti su X/LinkedIn segnalano ondate di brute force e sfruttamenti su SSL‑VPN; i dati ufficiali sopra confermano il quadro, che riguarda anche le PMI.
Priorità 1 — Patching e hardening degli appliance esposti
Usare il Catalogo KEV di CISA per le priorità
Non tutte le patch sono uguali: date precedenza alle vulnerabilità Known Exploited. Il Catalogo KEV elenca i CVE sfruttati realmente, con scadenze consigliate (BOD 22‑01). Integrare KEV nel vostro processo di vulnerability management accelera la riduzione del rischio.
Esempio concreto: Fortinet CVE‑2024‑21762 (SSL‑VPN)
CISA ha aggiunto CVE‑2024‑21762 al KEV per sfruttamento attivo su FortiOS/FortiProxy. Verificate subito la vostra esposizione e aggiornate secondo l’advisory del vendor (riferimento su scheda CVE MITRE con link PSIRT). Misure minime:
- Patch alle versioni indicate dal vendor; se impossibile, mitigazioni temporanee e restrizioni IP sull’SSL‑VPN.
- MFA obbligatorio per ogni accesso remoto; disabilitare accesso amministrativo via Internet.
- Segmentazione: posizionare gli appliance in VLAN dedicate, con logging verso SIEM/EDR.
- Inventario e attack surface: rimuovere servizi esposti non indispensabili.
Priorità 2 — Prepararsi ai DDoS (continuità dei servizi)
Secondo Cloudflare Radar nel 2025 gli attacchi DDoS sono raddoppiati, con 47,1M eventi e un picco di crescita nei volumi. Per una PMI ciò significa rischio di indisponibilità (siti, portali clienti, VPN, posta) e SLA mancati.
Azioni consigliate:
- Abilitare protezioni DDoS (a livello rete e applicativo) con soglie automatiche e rate limiting.
- Usare CDN/WAF per assorbire traffico e filtrare richieste malevole.
- Runbook di incident response per DDoS con contatti del provider e scenari di failover.
- Test trimestrali di capacità e piani di comunicazione verso clienti/fornitori.
Priorità 3 — Ripristino reale, non solo sulla carta
Il report 2026 evidenzia che solo il 28% ripristina completamente i dati dopo ransomware. Il messaggio per le PMI: backup immutabili, credenziali di backup separate, test di ripristino e runbook sono imprescindibili.
- Regola 3‑2‑1 con copia immutabile/offline e credenziali MFA dedicate.
- Test periodici di ripristino (file, VM, applicazioni chiave) con evidenza di esito e tempi.
- Protezione delle identità: ruoli separati per backup, recovery e sicurezza.
Statistiche e report
In sintesi, cosa dicono i dati più recenti:
- Vettori di ingresso (ENISA, 1/7/2024–30/6/2025): phishing 60%; sfruttamento vulnerabilità 21,3%; botnet 9,9%; app malevole 8%; insider 0,8%. Fonte: ENISA ETL 2025 Booklet.
- DDoS (Cloudflare Radar): 47,1 milioni di attacchi mitigati nel 2025; 5.376 attacchi/ora in media; nel Q4 2025 il 78% degli attacchi è stato di livello rete (L3/L4). Fonte: Cloudflare Radar DDoS 2025 Q4.
- Ripristino dati (Veeam 2026): solo
