Ransomware nelle fabbriche: perché il manifatturiero è il bersaglio preferito

In fabbrica c’è quasi sempre un PC acceso giorno e notte, collegato a un macchinario che non si può spegnere. Gira un sistema operativo vecchio, nessuno lo aggiorna perché “se lo tocchi si ferma la linea”. Quel PC è il motivo per cui la sicurezza informatica nel manifatturiero è diventata un’emergenza concreta: secondo il Rapporto Clusit 2026 (presentato a marzo 2026), il settore subisce il 18,4 per cento di tutti gli attacchi informatici gravi registrati in Italia. Più di banche, più della sanità, più della pubblica amministrazione.

I numeri del Rapporto Clusit 2026

Il Clusit – Associazione Italiana per la Sicurezza Informatica – pubblica ogni anno un rapporto sullo stato della sicurezza cyber nel Paese. L’edizione 2026 conferma una tendenza già chiara negli anni precedenti: il manifatturiero è il settore più colpito in Italia, con una quota del 18,4 per cento sul totale degli incidenti gravi.

Il dato diventa ancora più netto se lo confronti con il panorama globale, dove il manifatturiero pesa circa il 10 per cento. Le fabbriche italiane attraggono quasi il doppio degli attacchi rispetto alla media mondiale.

Il ransomware – il tipo di attacco che cifra i dati aziendali e chiede un riscatto per restituirli – è la minaccia principale. Per un’azienda manifatturiera il danno non è solo il riscatto: è il fermo produttivo. Una linea bloccata per tre giorni può costare più del riscatto stesso, e chi attacca lo sa bene.

Perché la sicurezza informatica nel manifatturiero è così critica

Ci sono tre ragioni concrete per cui le fabbriche finiscono nel mirino più di altri settori.

Il costo del fermo. Chi attacca sa che un’azienda manifatturiera non può permettersi di stare ferma: ogni ora di produzione persa ha un costo diretto, misurabile, che spinge a pagare in fretta. Un ospedale può lavorare con carta e penna per qualche giorno. Una linea di produzione, no.

IT e OT sulla stessa rete. Nelle fabbriche i sistemi informatici gestionali (IT) e i sistemi che controllano i macchinari (OT – operational technology) sono sempre più connessi tra loro. Un sensore IoT industriale collegato alla rete aziendale, un PLC raggiungibile dallo stesso segmento del gestionale: ogni punto di contatto è una superficie di attacco in più.

Il PC di reparto che nessuno aggiorna. In moltissimi stabilimenti esiste almeno una postazione con un sistema operativo fuori supporto, senza antivirus aggiornato, collegata sia alla rete di fabbrica sia a internet. Nessuno la tocca perché teme di fermare la macchina. Ma è proprio quella postazione dimenticata che spesso diventa il punto di ingresso per un ransomware.

Tre passi concreti per proteggere i reparti

Il percorso verso una protezione solida è lungo, ma si può partire da tre azioni che non richiedono investimenti enormi e che riducono il rischio in modo significativo.

1. Inventario di tutto ciò che è collegato

Sembra banale, ma la maggior parte delle aziende manifatturiere non ha un elenco aggiornato dei dispositivi connessi alla propria rete. PC, server, stampanti, sensori IoT, PLC, telecamere, NAS: se non sai cosa c’è in rete, non puoi proteggerlo. L’inventario è il primo passo, e va tenuto vivo – non fatto una volta e dimenticato in un cassetto.

2. Separare la rete di fabbrica dalla rete ufficio

Se un ransomware entra dalla mail di un impiegato, non deve poter raggiungere i PLC che governano la linea di produzione. Si chiama segmentazione di rete: dividere la rete aziendale in zone isolate, in modo che un problema in una zona non si propaghi alle altre. Un firewall interno e delle VLAN configurate in modo corretto fanno già una differenza enorme.

3. Backup verificati, non solo fatti

Quasi tutte le aziende fanno backup. Pochissime li verificano. Un backup che non si riesce a ripristinare quando serve non è un backup: è una falsa sicurezza. La regola pratica: almeno una volta al trimestre, provare a ripristinare un backup su una macchina di test. Se funziona, bene. Se no, meglio scoprirlo adesso che durante un attacco.

I backup devono anche essere isolati dalla rete di produzione. Un ransomware moderno cerca e cifra pure i backup raggiungibili via rete.

Questi tre interventi – inventario, segmentazione, backup – non risolvono tutto, ma riducono in modo concreto la superficie di attacco. E sono anche il punto di partenza che la NIS2 chiede alle aziende coinvolte.

Il collegamento con la NIS2

La Direttiva NIS2 (recepita in Italia con il D.Lgs. 138/2024) ha ampliato il perimetro delle aziende obbligate a dotarsi di misure di sicurezza informatica. Molte PMI manifatturiere che fino a ieri non erano coinvolte ora rientrano tra i soggetti interessati, soprattutto se fanno parte della filiera di un’azienda più grande.

I tre passi descritti sopra – inventario, segmentazione, backup verificati – sono esattamente il tipo di misure che la NIS2 chiede come base. Se vuoi capire nel dettaglio cosa comporta la direttiva per una PMI, ne abbiamo parlato in modo pratico qui: NIS2 e PMI: cosa fare in pratica.

La sicurezza informatica nel manifatturiero non è un tema da delegare al “ragazzo dell’IT” e dimenticare. I numeri del Rapporto Clusit 2026 parlano chiaro: il settore è il più esposto in Italia, e la tendenza non sta migliorando. Ma partire da un inventario serio, separare le reti e verificare i backup è già un buon modo per ridurre il rischio – senza aspettare l’attacco per scoprire dove sono i buchi.