Il Cost of a Data Breach Report 2026 di IBM Security rileva un nuovo aumento dei costi in Italia. La supply chain rappresenta la principale causa iniziale degli incidenti, mentre l’intelligenza artificiale assume un ruolo sempre più rilevante sia negli attacchi sia nelle attività di difesa.
Il costo medio di un data breach in Italia ha raggiunto 3,55 milioni di euro, rispetto ai 3,31 milioni registrati lo scorso anno. Il dato emerge dal Cost of a Data Breach Report 2026, lo studio di IBM Security condotto su 602 organizzazioni che hanno subito violazioni informatiche in diverse aree del mondo. Il 4% delle aziende incluse nel campione è italiano.
Il rapporto evidenzia anche il crescente impatto dell’intelligenza artificiale sulle attività criminali. A livello globale, una violazione informatica su quattro ha ricevuto il supporto dell’AI, con un incremento del 56% rispetto all’anno precedente.
Gli incidenti di questo tipo, associati soprattutto a deepfake e malware basati sull’intelligenza artificiale, hanno causato un danno medio di circa 6 milioni di dollari. La cifra supera di circa un milione di dollari il costo medio globale delle violazioni, che nel 2026 ha raggiunto 4,99 milioni di dollari.
Energia, finanza e tecnologia registrano i costi più alti
In Italia, il settore con il costo medio più elevato è quello dell’energia, nel quale un data breach costa in media 4,65 milioni di euro.
Seguono il settore finanziario, con un costo medio di 4,5 milioni di euro, e quello tecnologico, con 4,43 milioni.
Il dato relativo all’energia riflette la criticità delle infrastrutture e dei servizi coinvolti. Una violazione può causare la perdita di dati, l’interruzione delle attività operative, il blocco dei servizi e ripercussioni sulle aziende collegate alla stessa catena di fornitura.
La supply chain è la principale causa iniziale
La compromissione della supply chain rappresenta la causa iniziale più frequente dei data breach rilevati in Italia. Questa modalità riguarda il 18% degli incidenti analizzati, con un costo medio di 3,56 milioni di euro.
In questi casi, i criminali informatici possono ottenere l’accesso ai sistemi aziendali attraverso un fornitore, un partner commerciale, un software esterno o un servizio collegato all’organizzazione.
Al secondo posto, ciascuno con il 15% dei casi, si collocano i servizi remoti esternalizzati, il social engineering e il cosiddetto drive-by compromise.
Le violazioni legate ai servizi remoti affidati a soggetti esterni hanno causato un costo medio di 4,25 milioni di euro. Gli attacchi di social engineering hanno raggiunto 4,16 milioni di euro, mentre il drive-by compromise ha prodotto un costo medio di 2,98 milioni.
Il drive-by compromise comprende gli incidenti nei quali la visita a un sito compromesso o malevolo espone il dispositivo dell’utente a codice dannoso, reindirizzamenti, download automatici o tentativi di sfruttamento delle vulnerabilità.
La carenza di personale qualificato aumenta i danni
La mancanza di professionisti qualificati nel settore della sicurezza informatica costituisce il fattore che incide maggiormente sui costi di una violazione in Italia.
Secondo IBM, la carenza di competenze aggiunge in media 199.100 euro al costo complessivo di un data breach.
La compromissione di un partner della supply chain comporta un aumento medio di 165.122 euro, mentre la mancanza di visibilità sulle applicazioni aziendali aggiunge 162.544 euro.
Quest’ultimo fenomeno prende il nome di shadow IT e comprende software, servizi cloud, account e applicazioni che dipendenti o reparti aziendali utilizzano senza l’approvazione o la conoscenza del reparto IT.
La presenza di strumenti non censiti riduce la capacità dell’azienda di applicare aggiornamenti, controlli di sicurezza, criteri di accesso e sistemi di monitoraggio.
AI e automazione riducono i tempi di risposta
L’intelligenza artificiale rappresenta un vantaggio anche per le attività di difesa. Le aziende che utilizzano AI e automazione nelle operazioni di sicurezza hanno ridotto il costo delle violazioni di quasi 2 milioni di dollari rispetto alle organizzazioni che non adottano questi strumenti.
Nonostante il risparmio potenziale, un’organizzazione su quattro non utilizza ancora AI e automazione nelle proprie attività di cybersecurity.
In Italia, il 39% delle aziende intervistate dichiara un impiego estensivo di queste tecnologie, mentre il 40% ne fa un uso limitato. Il restante 21% non ha ancora introdotto soluzioni di AI e automazione nella sicurezza.
L’adozione incide anche sul tempo medio necessario per identificare una violazione, indicato con la sigla MTTI, Mean Time to Identify.
Le organizzazioni che non utilizzano AI e automazione impiegano in media 145 giorni per rilevare un data breach. Il tempo scende a 123 giorni tra le aziende che ne fanno un uso estensivo.
La differenza appare ancora più evidente nella fase di contenimento. Le organizzazioni con un impiego esteso di AI e automazione riescono a circoscrivere una violazione in media entro 44 giorni, rispetto ai 65 giorni necessari per chi non utilizza queste tecnologie.
Il 71% delle aziende aumenterà la spesa in cybersecurity
Il 71% delle organizzazioni italiane intervistate prevede un incremento degli investimenti in cybersecurity dopo un data breach.
Le priorità riguardano i piani di risposta agli incidenti, i test periodici delle procedure, l’assunzione di specialisti qualificati, le tecnologie per il rilevamento e la risposta alle minacce e le soluzioni per la gestione delle identità e degli accessi.
Tra gli strumenti citati figurano i sistemi SIEM, Security Information and Event Management, che raccolgono e analizzano gli eventi di sicurezza prodotti dai sistemi aziendali.
Le piattaforme SOAR, Security Orchestration, Automation and Response, coordinano invece gli strumenti di sicurezza e automatizzano parte delle procedure di risposta agli incidenti.
Le soluzioni EDR, Endpoint Detection and Response, controllano computer, server e altri dispositivi connessi alla rete aziendale per rilevare comportamenti sospetti e attività malevole.
Agentic AI ancora poco presente nei SOC italiani
L’adozione dell’Agentic AI resta limitata nei Security Operations Center, le strutture che controllano gli eventi di sicurezza e coordinano la risposta agli incidenti.
Tra le aziende italiane che dispongono di un SOC, il 51% dichiara di non utilizzare soluzioni basate sull’Agentic AI. Un ulteriore 5% non sa se questi strumenti siano presenti all’interno dell’organizzazione.
L’Agentic AI identifica sistemi capaci di svolgere attività articolate con un certo livello di autonomia. Nel settore della cybersecurity, un agente AI può analizzare gli avvisi, collegare eventi provenienti da fonti diverse, raccogliere informazioni su una minaccia e proporre o avviare azioni di risposta.
L’adozione di questi strumenti richiede però regole precise, controllo degli accessi, supervisione umana e registrazione delle decisioni, soprattutto quando gli agenti possono intervenire direttamente sui sistemi aziendali.
