Per il ventesimo anno consecutivo, gli esperti del Ponemon Institute hanno determinato il costo di una violazione dei dati per aziende e organizzazioni. I risultati sono stati pubblicati dallo sponsor IBM nel suo Rapporto 2025 sul costo di una violazione dei dati. Per la prima volta, l’ultimo rapporto esamina anche i rischi legati all’intelligenza artificiale.
Partendo dalle buone notizie: il costo medio globale di una violazione dei dati è sceso a 4,44 milioni di dollari USA. Ciò rappresenta un calo del nove per cento rispetto ai 4,88 milioni di dollari USA del 2024 ed è dovuto principalmente al fatto che le violazioni della sicurezza vengono individuate e contenute più rapidamente grazie al maggiore utilizzo dell’intelligenza artificiale e dell’automazione nei processi di sicurezza. La cifra globale sarebbe diminuita in modo ancora più significativo se non fosse stata compensata dall’andamento negli Stati Uniti, dove il costo medio è aumentato del nove per cento, raggiungendo i 10,22 milioni di dollari USA. Il rapporto individua nelle sanzioni normative più elevate e nei maggiori costi legati all’individuazione e all’escalation i principali fattori che fanno aumentare i costi negli Stati Uniti.
AI: Un’arma a doppio taglio
Per quanto riguarda l’intelligenza artificiale, il rapporto conferma che gli avversari stanno sfruttando queste nuove tecnologie per perfezionare le loro campagne di phishing e altri attacchi di social engineering. IBM stima che l’uso dell’intelligenza artificiale generativa permetta agli attaccanti di ridurre il tempo necessario per creare un’e-mail di phishing convincente da 16 ore a soli cinque minuti. Nel recente rapporto, i ricercatori hanno rilevato che il 16% delle violazioni coinvolgeva già avversari che utilizzavano l’intelligenza artificiale nei loro attacchi, più comunemente attacchi di phishing (37%) o attacchi deepfake (35%).
Nella stesura del Rapporto 2025 sul costo di una violazione dei dati, i ricercatori del Ponemon Institute hanno intervistato quasi 3.500 responsabili della sicurezza e dirigenti aziendali di livello esecutivo in 600 organizzazioni colpite da violazioni dei dati tra marzo 2024 e febbraio 2025, in 17 settori e in 16 Paesi e regioni. Le violazioni variavano in entità da 2.960 a 113.620 record compromessi.
L’intelligenza artificiale ombra si è rivelata molto costosa.
Tornando all’intelligenza artificiale, il 13% di tutte le organizzazioni ha segnalato un incidente di sicurezza che coinvolgeva un modello o un’applicazione di intelligenza artificiale. E il 97% di tali organizzazioni colpite ha dichiarato di non disporre di adeguati controlli di accesso all’intelligenza artificiale. Questi attacchi si sono verificati più spesso attraverso la catena di fornitura (app compromesse, API, plug-in ecc.) e hanno provocato una più ampia perdita di dati (60%) e interruzioni operative (31%). Sulla base di questi dati, Ponemon e IBM prevedono che l’intelligenza artificiale diventerà un obiettivo redditizio.
Allo stesso tempo, il 63% delle aziende intervistate non disponeva di politiche di governance dell’intelligenza artificiale o le stava ancora sviluppando. Meno della metà delle organizzazioni disponeva di procedure rigorose per l’implementazione dell’intelligenza artificiale, mentre il 62% non aveva strumenti automatizzati di valutazione dei rischi legati all’IA e solo il 34% effettuava regolarmente audit di sicurezza di terze parti per l’IA non autorizzata. A proposito, l’IT ombra aumenta anche il costo di una violazione dei dati di circa 200.000 dollari USA in media e porta più spesso a violazioni che coinvolgono le informazioni di identificazione personale dei clienti (65%) e la proprietà intellettuale (40%).
La sicurezza della posta elettronica rimane fondamentale.
Per il secondo anno consecutivo, i costi medi più elevati tra i vettori di attacco “convenzionali” sono stati quelli causati da insider malintenzionati, pari a 4,92 milioni di dollari USA, seguiti da vicino dalle compromissioni di fornitori terzi e della catena di fornitura (4,91 milioni di dollari USA). Altri vettori di attacco costosi comprendevano il phishing e lo sfruttamento delle vulnerabilità. Il phishing, che è costato in media alle organizzazioni 4,8 milioni di dollari USA, è stato in realtà il vettore di attacco più frequente, con una quota del 16%. Questa tendenza sottolinea l’importanza continua di proteggere in modo efficace il canale e-mail critico per l’attività..
Rapporto 2025 sul costo di una violazione dei dati disponibile per il download previa registrazione.
