Un mercoledì mattina qualsiasi: il titolare di uno studio professionale accende il computer e trova un messaggio che chiede un riscatto. I file sono cifrati, il gestionale è irraggiungibile, la casella PEC non risponde. Nel giro di poche ore scade una dichiarazione fiscale. Questo non è uno scenario catastrofista: è la conseguenza concreta di un attacco ransomware, e la probabilità che accada è più alta di quanto si pensi.
Secondo la ricerca globale di Claroty su 2.000 responsabili aziendali, il 56% dei responsabili italiani intervistati dichiara che la propria organizzazione ha subito negli ultimi 12 mesi un attacco cyber con impatto operativo diretto. Non stiamo parlando di grandi industrie manifatturiere: il perimetro di rischio si è allargato a qualunque realtà che dipenda dai propri sistemi digitali per lavorare. E uno studio di commercialisti, avvocati o consulenti del lavoro dipende da quei sistemi ogni giorno, per ogni cliente.
Il punto cruciale — e spesso sottovalutato — è che la sicurezza informatica non è più una questione del reparto IT. È una condizione per poter esercitare la professione. Questo articolo spiega cosa succede realmente quando un attacco blocca uno studio, quali responsabilità ne derivano e come ridurre il rischio senza stravolgere i processi quotidiani.
- Il 56% delle aziende italiane ha subito un attacco cyber con impatto operativo nell'ultimo anno (fonte: Claroty 2026)
- In Italia, un incidente cyber legato ai sistemi fisici provoca in media 2,3 ore di interruzione operativa; nel 10% dei casi dura tre giorni o più
- Il ransomware non ruba solo dati: cifra i file e blocca l'accesso ai sistemi, rendendo impossibile lavorare fino al ripristino
- Per uno studio professionale, il blocco operativo significa scadenze mancate e potenziali responsabilità verso i clienti
- Ridurre la superficie di attacco passa da controllo degli accessi, backup verificati e processi documentati — non da tecnologie esotiche
- NIS2 e AI Act introducono obblighi di gestione del rischio cyber anche per soggetti che finora si sentivano esclusi
In questo articolo
- Il 56% delle aziende italiane colpite: siamo davvero così esposti?
- Come un ransomware blocca lo studio, non solo i dati
- Responsabilità del professionista quando i dati dei clienti sono compromessi
- Resilienza operativa per uno studio da 5 a 20 persone: cosa significa davvero
- Come ridurre la superficie di attacco senza stravolgere i processi dello studio
- NIS2 e AI Act: cosa cambia concretamente per gli studi professionali
- Il punto di vista Ovia
- Domande frequenti
Il 56% delle aziende italiane colpite: siamo davvero così esposti?
La risposta è sì, e i dati lo confermano senza margini di dubbio. La ricerca "The Global State of Operational Security 2026" di Claroty — condotta su 2.000 responsabili a livello internazionale, di cui 150 in Italia — certifica che più della metà delle organizzazioni italiane ha già subito un attacco con conseguenze operative dirette nell'arco di dodici mesi.
Il problema non è solo la frequenza: è la natura degli attacchi. Il 33% degli intervistati italiani indica il ransomware come uno dei rischi principali, e alla stessa percentuale si attestano gli accessi di terze parti non sicuri o non monitorati. Quest'ultimo dato merita attenzione particolare: fornitori di software gestionale, consulenti IT esterni, manutentori di sistemi — tutte figure che uno studio professionale coinvolge regolarmente — rappresentano un vettore di ingresso che spesso non viene considerato nella valutazione del rischio.
In media, le aziende italiane rappresentate nella ricerca hanno registrato 3,11 incidenti originati da accessi di terze parti nell'ultimo anno. Non è un problema astratto: è il fornitore del software di contabilità che si collega da remoto, o il consulente esterno che accede alla rete dello studio senza autenticazione a due fattori.
Come un ransomware blocca lo studio, non solo i dati
Il ransomware (letteralmente: software che chiede un riscatto) viene spesso descritto come uno strumento per "rubare dati". Questa definizione è parziale e fuorviante. Il meccanismo reale è diverso: il malware entra nei sistemi — attraverso una email di phishing, un accesso remoto compromesso o una vulnerabilità non aggiornata — e cifra i file presenti sui dispositivi e sui server collegati alla rete. Non li copia all'esterno: li rende inaccessibili dall'interno.
Per uno studio professionale, questo significa che il gestionale dei clienti è bloccato, le cartelle condivise sono illeggibili, i documenti in lavorazione sono irrecuperabili senza la chiave di decifratura. Il lavoro si ferma. Non parzialmente: completamente. E i sistemi rimangono fermi finché non si paga il riscatto — senza garanzia di ricevere la chiave — oppure finché non si ripristina tutto da un backup pulito, operazione che richiede ore o giorni.
La ricerca Claroty conferma questa dinamica: in Italia, gli incidenti cyber hanno comportato in media 2,3 ore di interruzione operativa, ma il 10% dei casi ha registrato blocchi di tre giorni o più. Per uno studio con scadenze fiscali settimanali, tre giorni di fermo non sono un inconveniente: sono un'emergenza professionale con conseguenze concrete per i clienti.
Un ulteriore fattore di rischio emerge dall'adozione crescente dell'intelligenza artificiale negli ambienti operativi: circa due aziende italiane su tre dichiarano di usare tecnologie AI nei propri sistemi, e il 27% degli intervistati considera gli attacchi cyber basati sull'AI una minaccia significativa. L'AI non è solo uno strumento di difesa: può essere usata anche per rendere gli attacchi più veloci, personalizzati e difficili da intercettare.
IngressoOre 0
Un'email di phishing, un accesso remoto non protetto o un software non aggiornato aprono la porta al malware, spesso senza che nessuno se ne accorga nell'immediato.
PropagazioneOre 0-4
Il malware si muove silenziosamente nella rete interna, raggiungendo server, backup collegati in rete e dispositivi condivisi prima di attivarsi.
CifraturaOre 4-8
I file vengono resi inaccessibili. Il gestionale, le cartelle clienti, le email locali: tutto ciò che è raggiungibile dalla rete viene bloccato.
Blocco operativoOre 8+
Lo studio non può lavorare. Le scadenze incombono, i clienti chiamano, ma i sistemi sono fermi fino al ripristino o al pagamento del riscatto — che non garantisce il recupero dei dati.
Responsabilità del professionista quando i dati dei clienti sono compromessi
Questo è il punto che molti titolari di studio sottovalutano: un attacco informatico non è solo un problema tecnico, è un problema di responsabilità professionale. Uno studio di commercialisti o avvocati tratta dati sensibili dei clienti — situazioni patrimoniali, contenziosi, dati fiscali, informazioni riservate — e ha obblighi precisi in materia di protezione.
Il GDPR impone di notificare le violazioni dei dati personali all'Autorità Garante entro 72 ore dalla scoperta, e ai clienti coinvolti quando il rischio per i loro diritti è elevato. Un ransomware che cifra i file di uno studio rientra quasi certamente in questa casistica. La mancata notifica è una violazione autonoma, indipendente dall'attacco stesso.
A questo si aggiungono le implicazioni del segreto professionale: l'accesso non autorizzato a dati coperti da riservatezza — anche se non intenzionalmente divulgati — può configurare una violazione degli obblighi deontologici. Non serve che i dati vengano pubblicati online: basta che siano stati accessibili a soggetti non autorizzati.
Sul fronte normativo, la direttiva NIS2 — recepita in Italia — estende gli obblighi di gestione del rischio cyber a un perimetro più ampio di soggetti, inclusi molti che finora si consideravano esclusi. Parallelamente, l'AI Act introduce requisiti di trasparenza e controllo per i sistemi AI usati in contesti professionali. Chi automatizza processi con strumenti AI senza una governance adeguata accumula rischio normativo, non solo tecnico. L'articolo Ovia su AI Act per studi professionali e PMI approfondisce questo punto.
- Obbligo di notifica al Garante Privacy entro 72 ore dalla scoperta della violazione (GDPR art. 33): la mancata notifica è una violazione separata, sanzionabile indipendentemente dall'attacco.
- Possibile violazione del segreto professionale se dati riservati dei clienti sono stati accessibili a terzi non autorizzati, anche senza esfiltrazione comprovata.
- Responsabilità contrattuale verso i clienti per i danni derivanti da scadenze mancate o da compromissione delle loro informazioni.
- Obblighi NIS2 di gestione del rischio e di segnalazione degli incidenti significativi, con sanzioni per i soggetti inclusi nel perimetro.
Resilienza operativa per uno studio da 5 a 20 persone: cosa significa davvero
"Resilienza operativa" è un termine che suona da grande azienda. In realtà, per uno studio professionale con 5-20 persone, significa una cosa sola: la capacità di continuare a lavorare — o di riprendere il prima possibile — anche dopo un incidente. Non è un progetto da centinaia di migliaia di euro: è un insieme di scelte di processo e di configurazione che possono fare la differenza tra 2 ore di fermo e 3 giorni.
Il primo pilastro è il backup verificato e isolato. Verificato significa testato periodicamente: un backup che non è mai stato ripristinato in test non è un backup affidabile. Isolato significa fisicamente o logicamente separato dalla rete principale, così che un ransomware che cifra i server non raggiunga anche le copie di sicurezza.
Il secondo pilastro è il controllo degli accessi. Sapere chi può accedere a cosa — e revocare rapidamente gli accessi quando cambiano i collaboratori o i fornitori — riduce drasticamente la superficie di attacco. La ricerca Claroty evidenzia che in Italia il 47% degli intervistati indica una governance della sicurezza IT e OT prevalentemente o completamente integrata, mentre per oltre la metà questa integrazione non è ancora completa. In uno studio, la governance degli accessi non richiede sistemi complessi: richiede una politica chiara e strumenti configurati correttamente.
Il terzo pilastro è la documentazione dei processi critici. Se i sistemi si bloccano, è fondamentale sapere immediatamente quali sono le scadenze nelle prossime 48-72 ore, come contattare i clienti in modo alternativo e chi è responsabile di ogni azione di ripristino. Uno studio che dipende interamente dai propri software per sapere cosa fare è più vulnerabile di uno che ha anche un piano B documentato. Strumenti come Ovia Second Brain permettono di mantenere una memoria operativa accessibile anche in scenari di emergenza.
Come si lavora oggi (senza un piano)
Studio espostoApproccio consigliato
Studio preparatoCome ridurre la superficie di attacco senza stravolgere i processi dello studio
La buona notizia è che le misure più efficaci non richiedono investimenti tecnologici straordinari. Richiedono scelte strategiche su cosa proteggere e come misurare il risultato — esattamente la differenza tra comprare uno strumento e costruire un sistema.
Il punto di partenza è mappare i processi critici: quali attività, se bloccate, causano danni immediati ai clienti? Gestione delle scadenze fiscali, accesso ai documenti in lavorazione, comunicazione via PEC, firma digitale. Una volta identificati questi processi, si valuta per ciascuno: qual è il punto di ingresso più vulnerabile? Qual è il tempo massimo tollerabile di interruzione? C'è un'alternativa manuale o analogica per le prime ore?
Il secondo passo è ridurre il numero di porte aperte. Ogni software installato che non si usa più, ogni accesso remoto mai revocato, ogni account con password debole è una porta potenzialmente aperta. Non serve una scansione sofisticata: basta una revisione sistematica semestrale degli accessi attivi e dei software installati sui dispositivi dello studio.
Il terzo passo riguarda l'automazione: i processi automatizzati, se progettati con attenzione alla sicurezza, riducono la superficie di attacco perché diminuiscono le azioni manuali soggette a errore umano — che è la principale causa di incidenti cyber. Un sistema che gestisce automaticamente la raccolta documenti, come Ovia Documenti, riduce il numero di email manuali con allegati non verificati. Un sistema che categorizza e assegna le email in entrata, come Ovia Inbox, riduce il rischio che una email di phishing venga aperta distrattamente da un collaboratore. L'automazione, in questo senso, non è solo efficienza: è anche presidio di sicurezza.
Check: il tuo studio è pronto a resistere a un attacco?
- ✓Backup 3-2-1 testatoHai almeno una copia dei dati critici su un supporto non collegato alla rete e la ripristini in test almeno ogni trimestre.
- ✓Autenticazione a due fattori attivaTutti gli accessi ai sistemi dello studio — gestionale, email, cloud — richiedono un secondo fattore di verifica.
- ✓Registro degli accessi di terze partiSai chi ha accesso remoto ai tuoi sistemi, per quale scopo e con quale scadenza.
- ✕Piano di risposta scrittoEsiste un documento (anche di una pagina) che indica cosa fare nelle prime 2 ore di un incidente: chi isola i sistemi, chi notifica il Garante, chi avvisa i clienti.
- ✕Scadenze critiche esportateLe scadenze dei prossimi 7 giorni sono visibili in un formato accessibile anche senza il gestionale principale.
- ✕Formazione annuale al phishingOgni collaboratore ha ricevuto almeno una volta indicazioni su come riconoscere email sospette e cosa fare se ne riceve una.
NIS2 e AI Act: cosa cambia concretamente per gli studi professionali
Molti titolari di studio si sentono esclusi dal perimetro normativo della cybersecurity: "quelle regole sono per le grandi aziende". È una percezione sempre meno accurata. La direttiva NIS2 — che ha ampliato significativamente il perimetro rispetto alla NIS1 — e l'AI Act europeo introducono obblighi che riguardano anche soggetti di medie e piccole dimensioni, specialmente se trattano dati di terzi o se usano sistemi AI in contesti professionali.
La NIS2 richiede ai soggetti inclusi nel suo perimetro di adottare misure di gestione del rischio cyber, di notificare gli incidenti significativi entro tempi definiti e di dimostrare di avere politiche di sicurezza attive. Il fatto che uno studio professionale non sia un operatore di infrastrutture critiche non lo esclude automaticamente: dipende dalla sua classificazione come soggetto essenziale o importante nella filiera.
L'AI Act introduce invece obblighi di trasparenza e controllo umano per i sistemi AI classificati ad alto rischio — tra cui alcuni sistemi usati in ambito legale e fiscale. Chi usa agenti AI per elaborare documenti dei clienti o prendere decisioni deve essere in grado di dimostrare che il sistema è controllato, auditabile e conforme. Su questo tema, l'articolo Ovia su Legge 132/2025 e informativa ai clienti fornisce un quadro aggiornato per i professionisti italiani.
La convergenza tra sicurezza operativa e compliance normativa è il punto chiave: non si tratta più di adempimenti separati da gestire in compartimenti stagni, ma di un sistema unico in cui le scelte di sicurezza informano la compliance e viceversa. Chi costruisce questa integrazione oggi ha un vantaggio competitivo — e chi la rimanda accumula rischio.
Il punto di vista Ovia: sicurezza e automazione non sono due progetti separati
In Ovia lavoriamo con studi professionali e PMI italiane che vogliono automatizzare i processi operativi. Una delle prime domande che ci poniamo con ogni cliente non è «cosa automatizziamo?» ma «come ci assicuriamo che l'automazione non apra nuove vulnerabilità?». Perché un processo automatizzato male — con accessi non controllati, dati non isolati, flussi non documentati — può essere più rischioso del processo manuale che sostituisce.
Il nostro approccio collega la scelta di cosa automatizzare alla valutazione del rischio che quella automazione introduce. Un sistema di raccolta documenti che riduce le email manuali riduce anche la superficie di phishing. Un CRM che centralizza le scadenze diventa al tempo stesso un piano di continuità operativa, perché le informazioni critiche non dipendono da un solo dispositivo o da un solo software. Non vendiamo sicurezza come prodotto a sé: la incorporiamo nelle scelte di processo.
Questo è il senso del nostro posizionamento: la strategia e la sicurezza fanno guadagnare. L'AI è lo strumento. Automatizzare senza una strategia di rischio è costruire su sabbia — e un attacco informatico, prima o poi, lo rivela.
Domande frequenti
Cosa succede a uno studio professionale se un attacco blocca i sistemi per più giorni?
Lo studio non può accedere ai dati dei clienti, al gestionale, alle email e ai documenti in lavorazione. Le scadenze fiscali o legali vengono mancate, con possibili responsabilità contrattuali verso i clienti. Secondo la ricerca Claroty 2026, il 10% degli incidenti cyber in Italia causa interruzioni di tre giorni o più. Senza un backup isolato e un piano di risposta scritto, il ripristino può richiedere tempi molto più lunghi del necessario.
Il 56% delle aziende italiane subisce attacchi: gli studi professionali sono davvero a rischio?
Sì. La ricerca Claroty su 150 responsabili italiani certifica che il 56% delle organizzazioni ha subito un attacco con impatto operativo nell'ultimo anno. Gli studi professionali sono bersagli attraenti perché trattano dati sensibili di molti clienti, spesso con sistemi meno protetti rispetto alle grandi aziende. Non essere un'industria manifatturiera non riduce l'esposizione.
Come fa un ransomware a bloccare la produzione e non solo a rubare dati?
Il ransomware non esfiltra necessariamente i dati: cifra i file presenti sui sistemi e li rende inaccessibili dall'interno. Il lavoro si ferma perché nessuno può aprire i documenti, accedere al gestionale o usare i server condivisi. Il ripristino richiede o il pagamento del riscatto — senza garanzie — o il ripristino da un backup pulito e isolato, che nei casi più gravi può durare giorni.
Quali responsabilità ha il professionista se i dati dei clienti sono compromessi da un attacco?
Il GDPR impone la notifica al Garante Privacy entro 72 ore dalla scoperta della violazione, e ai clienti interessati se il rischio è elevato. La mancata notifica è una violazione autonoma e sanzionabile. Sul piano deontologico, l'accesso non autorizzato a dati coperti da segreto professionale può configurare una violazione degli obblighi di riservatezza, anche senza che i dati siano stati pubblicati.
Cosa significa 'resilienza operativa' per uno studio con 5-20 persone?
Significa poter continuare a lavorare — o riprendere rapidamente — anche dopo un incidente. Concretamente: un backup verificato e isolato dalla rete, un registro delle scadenze critiche accessibile senza il gestionale principale, un piano di risposta scritto di una pagina con le azioni delle prime due ore, e la conoscenza di chi ha accesso ai sistemi dello studio. Non è un progetto complesso: è un insieme di scelte di processo documentate.
Come riduco la superficie di attacco senza stravolgere i processi dello studio?
Le misure più efficaci non richiedono grandi investimenti: revisione semestrale degli accessi attivi (revocare quelli inutilizzati), attivazione dell'autenticazione a due fattori su tutti gli accessi, test periodico del backup, formazione minima al riconoscimento del phishing. L'automazione dei processi operativi, se progettata correttamente, riduce ulteriormente le azioni manuali che rappresentano il principale vettore di ingresso degli attacchi.
NIS2 e AI Act cambiano qualcosa per gli studi professionali in materia di sicurezza?
Sì. La NIS2 ha ampliato il perimetro dei soggetti obbligati e introduce requisiti di gestione del rischio cyber, notifica degli incidenti e politiche di sicurezza documentate. L'AI Act aggiunge obblighi di trasparenza e controllo per i sistemi AI usati in contesti professionali ad alto rischio, inclusi alcuni ambiti legali e fiscali. Chi tratta dati di terzi e usa strumenti AI deve verificare la propria posizione rispetto a entrambe le normative.
Conclusione
Il rischio cyber per uno studio professionale o una PMI italiana non è più un problema astratto delegabile al reparto IT o al consulente informatico. È una condizione operativa: se i sistemi si bloccano, il lavoro si ferma, le scadenze vengono mancate e le responsabilità si attivano automaticamente. I dati italiani della ricerca Claroty 2026 lo confermano con numeri precisi.
La buona notizia è che la resilienza operativa non richiede budget straordinari: richiede scelte strategiche consapevoli. Sapere cosa proteggere, testare i backup, controllare gli accessi, documentare i processi critici. E, quando si introduce l'automazione, farlo con una valutazione del rischio integrata — non come un progetto separato.
La sicurezza non è un costo IT. È la condizione per poter lavorare, servire i clienti e rispettare le normative. Chi la tratta come tale ha già un vantaggio competitivo concreto.
I sistemi Ovia per questo tema
Soluzioni costruite su misura che risolvono esattamente il problema di questo articolo.
Ovia Documenti
Automatizzando la raccolta documentale con Ovia Documenti si elimina uno dei principali vettori di phishing: le email manuali con allegati non verificati, riducendo la superficie di attacco senza cambiare il flusso di lavoro dello studio.
Scopri DocumentiControlloOvia CRM
Ovia CRM centralizza scadenze e attività critiche in un sistema controllato e on-premise configurabile: in caso di incidente, le informazioni essenziali restano accessibili e lo studio sa esattamente da dove ripartire.
Scopri CRMIl servizio di puntaOvia Second Brain
Ovia Second Brain mantiene una memoria operativa strutturata dei processi, delle decisioni e dei clienti: un presidio di continuità operativa che funziona anche quando il gestionale principale è irraggiungibile.
Scopri Second BrainFonti
- Fabbriche connesse e minacce informatiche: oltre metà delle aziende subisce blocchi operativi — Innovation Post
- La cyber security esce dallo schermo: cresce il rischio dei robot in azienda — Cybersecurity360
- L’evoluzione del ransomware: come l’AI potenzia le negoziazioni — Cybersecurity360
- Cybertech Europe 2026: AI e resilienza ridisegnano la cyber security europea — Cybersecurity360
Articolo della redazione Ovia, redatto con il supporto di strumenti di intelligenza artificiale a partire dalle fonti citate, che restano di proprietà dei rispettivi autori. Le informazioni hanno scopo divulgativo e non costituiscono consulenza legale o fiscale. Segnalazioni: oviaitalia@gmail.com.