Nella storia dei fallimenti aziendali esiste uno schema che si ripete troppo spesso per essere una coincidenza: un sistema funziona senza problemi per un certo periodo, generando fiducia e confidenza in chi lo gestisce. Questa fiducia, però, lentamente erode il livello di attenzione e vigilanza che aveva contribuito a renderlo efficiente. Poi, improvvisamente, il sistema ha un malfunzionamento, proprio nel momento in cui tutti lo consideravano affidabile. Per quanto possa sembrare controintuitivo, la stabilità può essere un fattore di instabilità. Genera fiducia, riduce l’attenzione e crea un divario crescente tra rischio reale e rischio percepito. Lo scrittore Morgan Housel ha sintetizzato questo concetto in poche parole: “la calma pianta i semi della follia”: ossia, la calma viene interpretata come prova che il pericolo non c’è più e questo modifica i comportamenti reintroducendo il rischio. Questo fenomeno è evidente nei mercati finanziari, ma è profondamente radicato nella psicologia umana e si verifica anche nella cybersecurity.
Un’azienda che non ha mai subìto una violazione tende a considerare adeguata la propria postura di sicurezza. Si va così a consolidare un presupposto implicito: se non è successo nulla, significa che le difese funzionano perfettamente. Così, si rischia di confondere l’assenza di prove con la prova dell’assenza di problemi. Ma l’assenza di incidenti visibili può essere semplicemente silenzio e il silenzio può avere più significati. Un’organizzazione che non ha registrato attacchi potrebbe, per esempio, avere difese eccellenti, ma potrebbe anche non essere finita ancora nel mirino degli attaccanti.
Da qui nascono almeno due domande fondamentali: il proprio ambiente di lavoro è davvero protetto rispetto alle minacce in circolazione? Oppure sono stati implementati solo i controlli di sicurezza di base? Molte organizzazioni rispondono alla seconda domanda credendo di aver risposto alla prima. Magari si affidano alla conformità normativa, senza considerare che il rispetto di uno standard non garantisce automaticamente una protezione efficace contro le minacce. Un’azienda può quindi essere conforme, ma vulnerabile allo stesso tempo.
Le trappole cognitive della sicurezza
La sicurezza formale di un’azienda è semplice da misurare e, se tutto procede al meglio, la situazione sembra anche rassicurante. Molto più difficile, in realtà, è capire se le credenziali di un dipendente sono state rubate e messe in vendita nel dark web o se una soluzione EDR può essere neutralizzata da strumenti facilmente reperibili sul mercato. Per scoprirlo è necessario andare a controllare dove molte organizzazioni non pensano di dover guardare.
C’è un motivo per questo. La mente umana tende in modo naturale a basarsi sulle informazioni più facilmente disponibili, ignorando quelle più difficili da reperire, anche quando sono più rilevanti. Su queste informazioni più facilmente disponibili, la mente costruisce una storia coerente. Non segnala cosa manca – il quadro appare completo e la fiducia sembra pienamente giustificata. Lo psicologo Daniel Kahneman ha definito questo meccanismo con l’acronimo WYSIATI (“What You See Is All There Is”): ciò che vediamo ci appare come l’intero quadro, mentre ciò che manca resta invisibile. Il problema si amplifica quando il rischio viene valutato esclusivamente sulla base di ciò che può essere misurato. In realtà, spesso è vero l’esatto contrario e, non a caso, il problema alla base di questo ragionamento è considerato una vera e propria fallacia logica. Senza soffermarci ulteriormente sull’argomento, basti dire che, una volta individuate queste trappole cognitive, è impossibile non vederle più. Secondo il Data Breach Investigations Report 2025 di Verizon, il 54% delle vittime di ransomware ha visto comparire il proprio dominio in almeno un log di infostealer o in un marketplace illecito prima di essere attaccato. In altre parole, le credenziali di accesso erano già in circolazione e, in alcuni casi, la compromissione era già avvenuta, anche quando tutto sembrava sotto controllo. Questi punti ciechi colpiscono soprattutto le organizzazioni che non dispongono di strumenti in grado di rilevare segnali comportamentali sospetti, come i tentativi di disattivare i controlli di sicurezza. Per colmare questo divario è necessario adottare tecnologie e strumenti che non si limitino a confermare la presenza dei controlli, ma siano capaci di individuare attività anomale all’interno degli ambienti IT.
Quando la fiducia si infrange
Tutto questo è importante anche perché un attacco ransomware non rappresenta soltanto un incidente di sicurezza, ma un evento che può compromettere la continuità operativa dell’intera organizzazione, con conseguenze estese e durature. Quando nel 2024 Change Healthcare è stata colpita da un ransomware, le ripercussioni su strutture ospedaliere e farmacie si sono protratte per mesi, coinvolgendo di fatto quasi l’intera popolazione degli Stati Uniti. Il costo complessivo dell’incidente è stato stimato in circa 3 miliardi di dollari. L’attacco ransomware che nel 2025 ha colpito Jaguar Land Rover ha provocato danni economici di entità analoga. Secondo IBM, il costo medio di una violazione dei dati si aggira intorno ai 5 milioni di dollari, se si considerano tempi di inattività, operazioni di recupero e danni indiretti. Nel settore sanitario il valore medio sfiora i 10 milioni di dollari. A queste cifre vanno aggiunti gli effetti di lungo periodo, come la perdita di clienti, il mancato rinnovo dei contratti e l’aumento dei premi assicurativi.
I danni si accumulano nel corso dei mesi e degli anni, soprattutto quando i dati sottratti vengono pubblicati su un sito dedicato alla diffusione delle informazioni rubate (Dedicated Leak Site, DLS), come ormai accade sempre più spesso. In questo caso, l’esposizione pubblica dei dati aziendali genera una crisi nella crisi. Contratti, email e informazioni personali divulgati diventano materiale prezioso per attacchi successivi, come campagne di phishing e frodi di Business Email Compromise (BEC).
Anche gli obblighi previsti dalla normativa entrano rapidamente in gioco. Clienti e partner iniziano a porre domande a cui le aziende spesso non sono in grado di rispondere con precisione. C’è poi un altro aspetto che i responsabili della sicurezza non devono sottovalutare: i dati resi pubblici rappresentano soltanto ciò che i criminali decidono di ‘mostrare’. E in generale si ritiene che solo una piccola parte delle vittime di ransomware veda effettivamente pubblicati i propri dati sui siti di leak.
La disciplina è tutto
Oltre a disporre delle persone e degli strumenti giusti, un’efficace strategia di sicurezza si basa sulla capacità di osservare costantemente ciò che accade, adattandosi ai cambiamenti. Questo richiede una piena consapevolezza non solo per quanto riguarda l’evoluzione del panorama delle minacce, ma anche di ciò che avviene all’interno del proprio ambiente IT.
Certo mantenere un livello costante di vigilanza in assenza di minacce visibili e immediate comporta un costo, soprattutto dal punto di vista psicologico. Le persone sono poco inclini a rimanere in stato di allerta per eventi che non sono percepiti come imminenti e il passaggio a uno stato di tranquillità avviene in modo così graduale da non essere quasi mai avvertito in modo consapevole.
Tuttavia, poiché il panorama delle minacce è in continua evoluzione, anche le difese non possono rimanere ferme. La threat intelligence, in particolare quella in grado di fornire informazioni dettagliate sulle campagne attive, rappresenta il fondamento di questa consapevolezza: sono queste informazioni che gli strumenti di sicurezza trasformano in detection e allarmi utili per i team, che possono così intervenire tempestivamente. Senza una visibilità aggiornata sulle minacce, il divario tra ciò che un’organizzazione ritiene essere il proprio livello di sicurezza e la realtà dei fatti rischia di crescere progressivamente, fino a quando non saranno i cybercriminali a colmarlo, spesso a un costo molto elevato.
