Il Verizon Data Breach Investigations Report 2025 (DBIR), giunto alla sua 18a edizione, fotografa un panorama della cybersecurity globale più instabile che mai. Con 22.052 incidenti analizzati – di cui 12.195 confermati come data breach – il 2025 segna un nuovo record di violazioni esaminate, coinvolgendo aziende di 139 paesi e tutti i principali settori industriali. Ma al di là dei numeri, ciò che emerge con chiarezza è che la sicurezza digitale oggi dipende da un ecosistema complesso, dove minacce, terze parti e comportamenti umani si intrecciano e non sempre il connubio è favorevole.

Vulnerabilità e credenziali: i due volti dell’accesso non autorizzato

Il 2025 è stato l’anno in cui le vulnerabilità sono tornate protagoniste. Secondo il report, lo *sfruttamento di vulnerabilità* come punto d’ingresso in un attacco è cresciuto del 34% rispetto al 2024, raggiungendo il 20% dei casi totali di breach. Le cause principali: exploit su dispositivi edge, VPN non aggiornate e la diffusione di zero-day mirati. Il tempo medio di patching resta critico: 32 giorni per chiudere una falla, e solo il 54% delle vulnerabilità risulta completamente risolto.

Le credenziali rubate o riutilizzate restano però il vettore d’attacco più comune, con il 22% dei breach dovuti a credential abuse. E la situazione è aggravata dalla persistenza di dispositivi personali o BYOD non gestiti: il 46% dei sistemi infetti conteneva login aziendali insieme a dati personali, un mix pericoloso che alimenta il mercato nero delle identità digitali.

Ransomware: meno riscatti, ma più vittime

Il ransomware continua a dominare lo scenario. Il DBIR evidenzia una crescita del 37% rispetto all’anno precedente, con il 44% di tutti i breach legati a questo tipo di attacco (contro il 32% del 2024). La buona notizia è che il riscatto medio è diminuito: da 150.000 a 115.000 dollari. Inoltre, il 64% delle vittime non paga, segno di una maggiore consapevolezza e di una miglior preparazione al ripristino. Il ransomware però colpisce in modo sproporzionato le piccole imprese: negli SMB rappresenta l’88% dei casi di breach, mentre nelle grandi aziende si ferma al 39%. Questo dimostra che la resilienza cyber non è ancora “democratica”: le PMI restano il bersaglio ideale per i criminali, spesso privi di risorse per la risposta e la recovery.

Il fattore umano non molla la presa

Il 60% delle violazioni coinvolge ancora un errore umano o un comportamento scorretto: clic su phishing, uso improprio delle credenziali, configurazioni errate. Ma la vera novità è l’aumento dei breach legati a terze parti, raddoppiati in un anno (dal 15% al 30%). Le supply chain digitali si confermano un tallone d’Achille sistemico. Un solo vendor compromesso può impattare decine di aziende. Il DBIR cita casi emblematici di riuso di credenziali su ambienti GitHub pubblici, dove il tempo medio di mitigazione dei segreti esposti è stato di 94 giorni – un’eternità nel mondo della sicurezza moderna.

Cyber spionaggio in ascesa (anche per soldi)

Per la prima volta dopo anni, il cyber spionaggio torna a crescere: rappresenta il 17% dei breach, con un aumento sensibile dovuto anche a nuove fonti dati.

Nel 70% dei casi, lo spionaggio inizia da vulnerabilità non patchate – e, sorprendentemente, nel 28% dei casi i gruppi state-sponsored hanno motivazioni finanziarie.

Gli esperti di Verizon parlano di una “doppia vita dei cyber attori di Stato”: rubano informazioni per la loro intelligence e, allo stesso tempo, monetizzano i dati rubati nel dark web.

Questo non vuol dire sostituirsi al decisore politico, ma significa che la comunità professionale ha un ruolo attivo di «guardiano»: verificare che i blocchi siano proporzionati, temporanei, legalmente fondati e non discriminatori; accertare che i dati raccolti da governi o piattaforme non vengano impiegati per sopprimere il dissenso; promuovere soluzioni tecniche che mantengano la possibilità di comunicare anche in condizioni di blocco selettivo (es. mesh networks, mirror sites, protocolli alternativi). In breve: proteggere la privacy è anche proteggere lo spazio pubblico.

GenAI: l’arma a doppio taglio del 2025

Il report dedica un capitolo speciale alla generative AI (GenAI). Nonostante non ci sia ancora stata “l’invasione delle macchine”, l’impatto è già visibile:

• La quantità di testi generati artificialmente in email di phishing è raddoppiata in due anni.
• Il 15% dei dipendenti aziendali accede regolarmente a piattaforme GenAI da dispositivi aziendali (almeno una volta ogni 15 giorni).
• Di questi, il 72% usa account personali o corporate senza autenticazione integrata, esponendo i dati sensibili a fughe incontrollate .

La minaccia, dunque, non è solo “AI che attacca”, ma anche “AI che espone”: dati riservati aziendali caricati su chatbot pubblici o utilizzati in prompt non controllati.

Una nuova frontiera della sicurezza che richiede policy aggiornate, filtri DLP e formazione mirata.

Settori più colpiti: finanza, manifattura e sanità in prima linea

Finanza e assicurazioni: 3.336 incidenti (927 con data breach). Attori esterni nel 78% dei casi; motivazione finanziaria dominante. Crescono gli attacchi di tipo “espionage”.

Healthcare: 1.710 incidenti, 1.542 con perdita di dati. Oltre il 90% a scopo economico, ma aumenta la componente di spionaggio. Dati medici nel 45% dei casi compromessi.

Manufacturing: 3.837 incidenti. Il 20% dei breach è legato a spionaggio industriale. Il 90% delle vittime è costituito da PMI.

Pubblica Amministrazione: Ransomware nel 30% dei casi. Errore umano persistente: la misdelivery (invio errato di dati) resta uno dei top driver.

In quasi tutti i vertical, gli attori esterni restano preponderanti (dal 70% al 95% dei casi) e la motivazione economica domina – ma l’intelligence e la geopolitica iniziano a pesare.

Geografia delle violazioni: un problema globale, con accenti locali

Europa, Medio Oriente e Africa (EMEA): 9.000 incidenti, 5.300 breach confermati. Attori esterni nel 71%, interni nel 29%. Motivazione finanziaria nell’87%, ma con il 18% di casi di spionaggio.Asia-Pacifico (APAC): 2.687 incidenti, con il 97% di breach dovuti a intrusioni di sistema e social engineering. America del Nord (NA): 6.361 incidenti, 90% causati da intrusioni o social engineering. America Latina e Caraibi (LAC): 657 incidenti; 99% con attori esterni, motivazioni finanziarie nel 95%.

La mappa è chiara: la criminalità informatica è ormai standardizzata globalmente. Gli stessi pattern si ripetono in ogni continente, a dimostrazione che le barriere geografiche sono scomparse.

Il nuovo equilibrio della sicurezza

Il rischio si è spostato dalle “porte d’ingresso” ai nodi di interconnessione – persone, fornitori, AI, dispositivi remoti.

Come scrive Verizon, “l’impossibile equilibrio” tra velocità, business e protezione è ciò che definisce il lavoro quotidiano dei CISO di oggi.

La sfida non è evitare il prossimo attacco, ma limitare i danni, ridurre i tempi di risposta e rafforzare la fiducia digitale. Perché, in un mondo dove tutto è connesso, la sicurezza di uno è la sicurezza di tutti.