Gli attacchi informatici non colpiscono sempre direttamente le aziende più grandi: spesso lo fanno attraverso i loro fornitori, sfruttando la fiducia reciproca per infiltrarsi nei sistemi. Questa strategia, nota come 'Supply Chain Attack', è sempre più comune e pericolosa. Basti pensare agli attacchi a SolarWinds e MOVEit, che hanno compromesso migliaia di organizzazioni attraverso un singolo punto debole. In Italia, il 47% delle aziende ha subito un attacco negli ultimi 12 mesi e il 58% di questi episodi è arrivato tramite la catena di fornitura.

I settori più colpiti sono manifattura, elettronica, alimentare e servizi professionali. Il ransomware ha colpito una PMI su cinque nel 2025, con un fermo operativo medio di 21 giorni e riscatti medi di 42.000 euro. Ogni giorno fermo costa tra gli 8.000 e i 25.000 euro di mancata produzione. La minaccia non è solo economica, ma anche legale e reputazionale.

La direttiva europea NIS2, in vigore dal 2024, impone alle aziende di valutare attivamente la sicurezza dei propri fornitori critici. Entro fine 2026, il 60% delle grandi organizzazioni richiederà dimostrazioni di sicurezza informatica prima di firmare contratti. Chi non si adegua rischia di essere escluso dalle filiere strategiche. Un'impresa meccanica del Nord Italia ha scoperto di avere 47 fornitori con accesso attivo ai suoi sistemi, 12 dei quali inattivi da tempo ma mai rimossi.

La soluzione non richiede investimenti immediati enormi: il framework NIST 800-161 raccomanda di partire dall'inventario dei fornitori, classificarli per criticità, valutarne le politiche di sicurezza e monitorarle nel tempo. La sicurezza oggi non è più solo un perimetro difensivo, ma un ecosistema condiviso.