Ogni 39 secondi un sito viene hackerato nel mondo. Il 60% delle PMI italiane che subiscono un cyberattacco chiudono entro 6 mesi. Non perché l'attacco sia devastante, ma perché non hanno backup.
I 5 tipi di attacco più comuni
1. Ransomware
Cripta i tuoi file e chiede riscatto. Colpisce il 40% delle PMI italiane. Soluzione: backup offline + misure preventive.
2. SQL Injection
Attraverso form non protetti, l'attaccante accede al database. Soluzione: validazione input + prepared statement.
3. Cross-Site Scripting (XSS)
Codice malevolo iniettato nelle pagine, ruba dati utente. Soluzione: validazione + Content Security Policy.
4. Brute force
Attacco dizionario su pannello login admin. Soluzione: 2FA + limite tentativi.
5. Plugin vulnerabili
Il 90% degli hack WordPress avviene da plugin non aggiornati. Soluzione: aggiornamento automatico + rimozione plugin inutilizzati.
Le 10 misure essenziali
- HTTPS su tutto il sito (SSL/TLS)
- Backup giornaliero + settimanale offline
- 2FA su tutti i pannelli admin
- Password complesse + cambio periodico
- Aggiornamenti di CMS, plugin, dipendenze
- Firewall (Cloudflare o WAF dedicato)
- Monitoraggio uptime 24/7
- Limite tentativi login (max 5)
- Protezione form (recaptcha, honeypot)
- Log di sicurezza per audit
Backup: come si fa bene
Regola 3-2-1
- 3 copie dei dati
- 2 supporti diversi (es. server + cloud)
- 1 copia offline (mai collegata alla rete)
Frequenza
- Backup automatico giornaliero (h24)
- Backup completo settimanale
- Backup offline mensile (su disco esterno)
Conservazione
- Minimo 30 giorni di storico
- Ideale: 90 giorni
- Per settori regolamentati: 5-10 anni
Test di ripristino
Ogni 3 mesi, simula il ripristino da backup. Se non lo fai, il backup potrebbe essere corrotto e non lo saprai.
Quanto costa la sicurezza
| Voce | Costo |
|---|---|
| SSL (Let's Encrypt) | 0€ |
| SSL Premium | 99€/anno |
| Backup cloud automatico | 50-150€/anno |
| Cloudflare Pro | 20€/mese |
| Monitoraggio uptime | 0-30€/mese |
| 2FA (Google Authenticator) | 0€ |
| WAF dedicato | 50-200€/mese |
| Audit sicurezza completo | 399€ |
| Recupero sito hackerato | 690€+ |
Un setup completo costa 100-200€/anno. Il recupero dopo un attacco costa 690-2.000€ e non sempre funziona.
Cosa fare se vieni attaccato
- Non pagare il riscatto (non garantisce il recupero)
- Isola il sito (metti offline)
- Cambia tutte le password (hosting, CMS, email)
- Ripristina da backup (per questo serviva testarlo)
- Analizza il vettore dell'attacco (come sono entrati?)
- Chiudi la vulnerabilità (patch, aggiornamento)
- Notifica se ci sono stati data breach (GDPR: 72h)
- Aggiorna le misure per evitare ricadute
Tempo di ripristino tipico: 4-48h. Se non hai backup testato: 1-3 settimane e dati parzialmente persi.
Siti statici vs dinamici: differenze
| Tipo sito | Rischio | Manutenzione sicurezza |
|---|---|---|
| Statico (Vercel/Netlify) | Molto basso | Quasi zero |
| WordPress | Alto | Continua |
| Custom (React + Node) | Medio | Dipende dall'app |
| E-commerce | Alto | Continua (pagamenti) |
I siti statici non hanno database, non hanno login, non hanno plugin. Sono praticamente inviolabili.
Il mio consiglio
Se hai WordPress, fai subito 3 cose:
- Attiva 2FA su admin
- Configura backup giornaliero su cloud + settimanale offline
- Aggiungi Cloudflare (gratis)
Costo: 0-50€/anno. Tempo: 2 ore. Ti risparmia il rischio di chiudere l'azienda.