L’intelligenza artificiale è ormai coinvolta in una violazione informatica su quattro, un dato in crescita del 56% rispetto all’anno precedente. Il costo medio di questi incidenti ha raggiunto 6 milioni di dollari, circa un milione in più rispetto alla media globale. In Italia, intanto, il costo di un data breach è tornato a crescere, passando da 3,31 a 3,55 milioni di euro.
Sono alcuni dei risultati del Cost of a Data Breach Report 2026 di IBM, condotto dal Ponemon Institute su 602 organizzazioni che hanno subito violazioni tra marzo 2025 e febbraio 2026.
La ricerca descrive uno scenario nel quale deepfake e malware basati sull’AI consentono agli attaccanti di operare più rapidamente e con risorse inferiori, mentre per le aziende aumentano le spese necessarie a individuare, contenere e correggere gli incidenti.
Un attacco può essere lanciato investendo poche migliaia di dollari, mentre i danni per l’organizzazione colpita si misurano in milioni. Per CIO e CISO, il dato porta in primo piano la velocità con cui l’impresa riesce a intervenire sulle vulnerabilità, oltre alla capacità di rilevare le attività malevole.
Indice degli argomenti
In Italia energia, finanza e tecnologia registrano i costi più elevati
Nel mercato italiano, il settore dell’energia presenta il costo medio più alto per singola violazione, pari a 4,65 milioni di euro. Seguono il comparto finanziario, con 4,5 milioni, e quello tecnologico, con 4,43 milioni.
La supply chain rappresenta la causa più frequente: riguarda il 18% degli incidenti e determina un costo medio di 3,56 milioni di euro. I servizi remoti esternalizzati, il social engineering e il drive-by compromise (la compromissione tramite siti web compromessi) incidono ciascuno per il 15% delle violazioni, ma con conseguenze economiche differenti. Il costo medio raggiunge 4,25 milioni di euro per i servizi remoti, 4,16 milioni per il social engineering e 2,98 milioni per il drive-by compromise.
Il dato relativo alla filiera estende il perimetro della gestione del rischio. La sicurezza dell’infrastruttura aziendale, infatti, può essere compromessa dalle vulnerabilità di fornitori, partner tecnologici e provider di servizi gestiti. Da qui la necessità di integrare criteri e controlli di sicurezza nei processi di selezione dei fornitori, nella definizione dei contratti e nel monitoraggio continuo delle terze parti.
Tra i fattori che fanno crescere maggiormente il costo di un incidente figurano la carenza di personale qualificato nella sicurezza, con un aggravio medio di 199.100 euro, la compromissione di un partner della supply chain, che pesa per 165.122 euro, e la scarsa visibilità sul numero e sulla collocazione delle applicazioni aziendali. Quest’ultimo elemento, associato allo shadow IT, aggiunge in media 162.544 euro.
AI e automazione accorciano i tempi di risposta
Se da un lato l’intelligenza artificiale rende gli attacchi più semplici da realizzare, dall’altro può ridurne significativamente l’impatto quando viene impiegata nelle attività di cybersicurezza. A livello globale, le aziende che utilizzano AI e automazione sostengono costi legati alle violazioni inferiori di quasi 2 milioni di dollari rispetto a quelle che non adottano queste tecnologie.
In Italia, il 39% delle aziende intervistate dichiara un impiego estensivo dell’AI e dell’automazione nella security, mentre il 40% ne fa un uso limitato. Il restante 21% non le ha ancora adottate.
Le differenze emergono soprattutto nei tempi di gestione dell’incidente. Il tempo medio necessario per identificare una violazione scende da 145 giorni nelle imprese che non utilizzano AI a 123 giorni in quelle che ne fanno un uso estensivo. Il contenimento richiede mediamente 44 giorni nel secondo gruppo, contro i 65 del primo.
Anche nel caso delle organizzazioni più avanzate, tuttavia, tra identificazione e contenimento trascorrono complessivamente diversi mesi. Un intervallo durante il quale gli attaccanti possono muoversi nei sistemi, acquisire privilegi, sottrarre dati o colpire i processi operativi.
Gli agenti AI sono usati per rilevare le minacce, meno per correggere le vulnerabilità
La distribuzione degli investimenti presenta uno squilibrio. Oltre il 50% degli intervistati utilizza agenti AI per rilevare e contenere le minacce, mentre appena il 18% li applica alla gestione delle vulnerabilità. Le capacità di individuazione progrediscono quindi più velocemente di quelle necessarie a rimuovere le esposizioni conosciute.
Tra le aziende italiane dotate di un SOC, il 51% dichiara di non impiegare soluzioni di Agentic AI e un ulteriore 5% non sa se tali strumenti siano utilizzati. Il dato può indicare sia un ritardo nell’adozione sia una visibilità incompleta sulle tecnologie presenti nel SOC.
«Ciò che sta cambiando è l’economia degli attacchi informatici. L’intelligenza artificiale sta rendendo gli attacchi più rapidi ed economici, mentre le violazioni continuano a diventare sempre più costose. Quando le organizzazioni registrano un lungo intervallo tra l’individuazione e la risoluzione, tale squilibrio si riflette direttamente sui costi delle violazioni», ha affermato Suja Viswesan, vicepresidente di IBM Security Software. «La priorità ora è eliminare tale ritardo: integrare le misure correttive nei flussi di lavoro di sviluppo, proteggere le identità durante l’esecuzione e risolvere i rischi alla stessa velocità con cui agiscono gli aggressori».
L’integrazione tra sicurezza e sviluppo diventa così una componente della capacità di risposta. Correggere una vulnerabilità richiede infatti di coordinarne la priorità con i team applicativi, verificare le dipendenze e distribuire la modifica senza compromettere la continuità dei servizi.
Modelli, API e workload AI entrano nel perimetro degli attacchi
L’AI compare nel report anche come bersaglio. Oltre il 20% delle organizzazioni ha segnalato una violazione diretta contro modelli o applicazioni di intelligenza artificiale.
Nel 27% dei casi, la causa è riconducibile ad API, applicazioni o plug-in compromessi. Un’identica percentuale riguarda configurazioni errate del cloud che interessano i workload AI. La protezione dei modelli dipende quindi dall’architettura nella quale vengono inseriti: interfacce applicative, identità, componenti esterni, ambienti cloud e flussi di dati.
Per la direzione IT, questi risultati richiamano l’esigenza di censire le applicazioni AI e le relative dipendenze. L’adozione decentralizzata di assistenti, modelli e servizi esterni può replicare nel campo dell’intelligenza artificiale i problemi già osservati con lo shadow IT, aggiungendo nuovi punti di accesso ai dati aziendali.
Le infrastrutture critiche concentrano il 62% degli attacchi abilitati dall’AI
Il 62% degli attacchi abilitati dall’intelligenza artificiale ha interessato infrastrutture critiche. Servizi finanziari ed energia registrano la maggiore concentrazione. A livello globale, le violazioni costano mediamente 6,3 milioni di dollari nel settore finanziario e 5,2 milioni in quello energetico.
L’impatto potenziale supera i confini della singola organizzazione. Un’interruzione può propagarsi ai servizi essenziali, alle catene di fornitura e ai soggetti collegati. È un rischio che rende più stretto il rapporto tra sicurezza informatica, continuità operativa e gestione delle dipendenze.
Crescono anche gli incidenti ransomware, passati dal 34% al 39%. Secondo la ricerca, gli attaccanti ricorrono sempre più all’AI per automatizzare ed estendere le campagne. La pressione si concentra soprattutto sulla reputazione del marchio, indicata nel 41% dei casi, seguita dai dati dei dipendenti, con il 35%, e dalla proprietà intellettuale, con il 31%.
Crittografia e inventario degli asset restano incompleti
l report evidenzia inoltre criticità sul fronte della protezione crittografica. Solo il 37% delle organizzazioni colpite dichiara di crittografare i dati sensibili sia quando sono archiviati sia durante il loro trasferimento attraverso la rete. Appena il 34% dispone inoltre di una visibilità completa sulle proprie risorse crittografiche.
La mancanza di un inventario rende più difficile conoscere algoritmi, chiavi, certificati e sistemi che dovranno essere aggiornati con l’evoluzione del rischio quantistico. Si tratta di un’attività che coinvolge applicazioni, infrastrutture, servizi cloud e fornitori e che richiede quindi una responsabilità condivisa tra CIO, CISO e funzioni di business proprietarie dei dati.
Dopo una violazione aumenta la spesa, ma la prevenzione guadagna terreno
In Italia, il 71% degli intervistati prevede di aumentare gli investimenti in cybersecurity in seguito a un data breach. Le priorità comprendono piani e test di incident response, assunzione di specialisti, tecnologie SIEM, SOAR ed EDR e soluzioni per la gestione delle identità e degli accessi.
Un’indagine successiva del Ponemon Institute, condotta nel maggio 2026 su 456 delle organizzazioni già coinvolte nello studio, segnala però un possibile cambiamento di approccio. Dopo aver appreso delle capacità dei modelli di AI più avanzati, l’85% delle aziende ha dichiarato di pianificare maggiori investimenti in sicurezza. Nella ricerca iniziale, la quota di imprese intenzionate ad aumentare la spesa dopo avere subito una violazione era del 64%.
Partecipa alla community