Tra l’11 e il 12 ottobre 2026, pochi giorni fa, centinaia di supermercati francesi hanno subito un attacco informatico. L’attacco ha preso di mira il software usato per controllare a distanza frigoriferi e congelatori che hanno smesso di funzionare, o meglio, hanno funzionato come non dovrebbero: qualcuno, a distanza, ha alzato le temperature che sono arrivate fino a 50 gradi. Il risultato: cibo da buttare, pare per milioni di euro.
C’è un fattore di cui prendere nota: secondo il produttore del software, gli impianti colpiti erano obsoleti e non avevano il software aggiornato, e già ad agosto i clienti erano stati avvisati del problema e invitati ad aggiornare il software.
Torniamo in Italia. “La password era 1234.” Comincia così un articolo uscito su Repubblica il 14 ottobre. Racconta di un dipendente pubblico che proteggeva con quella password l’accesso a un sistema informatico di un’infrastruttura italiana che poi ha subito un attacco informatico sfruttando questa debolezza.
Nello stesso articolo si leggono anche i numeri riportati dall’Agenzia per la cybersicurezza nazionale (ACN): nei primi nove mesi del 2026 in Italia sono avvenuti 3.271 eventi cyber (erano 2.729 in tutto il 2025). Una parte dell’aumento dipende anche dalla direttiva europea NIS2, che ha esteso a molte più organizzazioni l’obbligo di segnalarli. I sistemi e servizi a rischio individuati sono 45mila, e 3200 quelli potenzialmente compromessi.
In entrambi i casi, è bastato lasciare una porta aperta come un software non aggiornato e una password debole per subire danni gravi. Vale non solo per le grandi realtà ma per ognuno di noi, nella nostra vita privata e sul lavoro.
Dato che siamo proprio a ottobre, nel mese che ogni anno l’Unione Europea dedica alla sicurezza informatica, parliamone ancora come abbiamo fatto più volte sempre qui sul blog.
Cos’è il Mese europeo della sicurezza informatica?
Dal 2012, il Mese europeo della sicurezza informatica è una campagna di sensibilizzazione sull’importanza della cybersicurezza che coinvolge tutta l’Unione Europea. È promosso dagli Stati membri con il supporto di ENISA, l’Agenzia dell’Unione europea per la cybersicurezza, che mette a disposizione materiali informativi per chi vuole sensibilizzare cittadini, istituzioni e aziende su questo tema.
Il tema del 2026 è la sicurezza sul posto di lavoro e la frase che lo accompagna è “The strongest layer is human”: il livello di protezione più forte è quello umano.
ENISA ha presentato la campagna di ottobre insieme ai risultati di un sondaggio Eurobarometro della Commissione Europea su chi lavora in UE.
Alcuni dati:
- il 74% ha ricevuto email, SMS, messaggi vocali o link sospetti, e il phishing rimane la minaccia più diffusa
- il 39% ha ricevuto email di phishing o fraudolente, il 18% tentativi di furto di dati personali
- solo il 45% riceve con regolarità informazioni sulla sicurezza informatica dalla propria organizzazione
- l’83% dichiara che un attacco informatico avrebbe conseguenze serie per l’azienda o l’organizzazione per cui lavora
- l’85% vorrebbe migliorare le proprie competenze in materia di sicurezza informatica.
Per chi vuole approfondire, ENISA mette a disposizione anche altri strumenti tra cui AR-in-a-Box, un kit per organizzare iniziative di sensibilizzazione in enti e aziende, con un pacchetto dedicato alle piccole e medie imprese, e il Threat Landscape 2026, il report annuale sulle minacce informatiche in Europa.
La sicurezza informatica è un tema vasto e ogni realtà ha le sue priorità ed esigenze più o meno ampie, ma certamente chi ha dimensioni più piccole non può ignorarlo, partendo dalle cose più semplici, quelle che ci coinvolgono direttamente e che con un buon livello di attenzione sarebbero già un primo passo verso una maggiore sicurezza. Spesso proprio questi aspetti dipendono non tanto dalla tecnologia a disposizione ma dalle nostre abitudini, come dice la frase-slogan scelta da ENISA. Iniziamo da qui.
I consigli dell’Agenzia per la cybersicurezza nazionale per le piccole e medie imprese
L’Agenzia per la cybersicurezza nazionale (ACN) ha pubblicato nel 2025 più guide alla cybersicurezza aziendale pensata per le piccole e medie imprese, con indicazioni diverse per chi dirige l’azienda e per chi ci lavora: ogni persona, infatti, può contribuire alla sicurezza.
Ecco alcune indicazioni contenute nei pdf scaricabili dal sito di ACN:
- non usare le stesse password degli account personali per quelli aziendali, non condividerle e usare l’autenticazione a più fattori dove possibile. Se la password viene assegnata da qualcun altro, meglio cambiarla al primo accesso
- dubitare di telefonate, SMS e email che chiedono informazioni sull’azienda o su chi ci lavora, soprattutto se hanno un tono allarmistico o insistono sull’urgenza. Nel dubbio, meglio verificare chiamando direttamente l’azienda coinvolta, evitando di usare i contatti indicati nel messaggio. Attenzione anche ai deepfake, cioè video, audio e foto creati con l’intelligenza artificiale per sembrare autentici
- aggiornare regolarmente software e dispositivi. Se in azienda non c’è chi se ne occupa, come può succedere in realtà piccole, allora meglio attivare gli aggiornamenti automatici di dispositivi e programmi, e controllare che l’antivirus sia installato e aggiornato
- salvare i dati di lavoro solo su dispositivi e cloud autorizzati dall’azienda, non su chiavette, dischi o servizi personali
- non inserire documenti riservati in servizi online come sistemi di intelligenza artificiale, traduttori o editor di PDF
- se si nota qualcosa di strano o sospetto, non tentare di risolvere da sé ma segnalarlo a chi in azienda si occupa della sicurezza.
Per chi dirige l’azienda, le indicazioni riguardano soprattutto l’organizzazione: individuare una persona responsabile della sicurezza informatica, anche esterna, e garantire a chi lavora formazione e aggiornamenti periodici; scegliere con cura i fornitori, avendo chiaro come si occupano di sicurezza e di gestione degli incidenti. Il caso dei supermercati francesi fa capire bene l’utilità di queste prassi.
Di nuovo, quindi, il livello di protezione più forte è umano: possiamo essere l’anello debole, come nel caso della password “1234”, ma anche una linea di difesa robusta facendoci le domande giuste su come lavoriamo.
