E se domani capitasse al tuo studio?

Quindici studi professionali con i database compromessi, oltre tremila clienti senza accesso ai propri archivi, ammortizzatori sociali per i dipendenti. È accaduto in Trentino nella primavera 2026, e ad agosto le prime segnalazioni sono arrivate in Alto Adige. Non è una storia di informatica: è una storia di continuità operativa e di responsabilità professionale.

Il fatto

Tra la fine di marzo e l'aprile 2026 un attacco informatico ha compromesso i database utilizzati da almeno quindici studi professionali trentini, tra Rovereto, Tione, Campiglio e la Val d'Adige. Il risultato: oltre tremila clienti senza accesso ai propri archivi, contabilità e pratiche fiscali inaccessibili, studi fermi per settimane, alcuni costretti a ricorrere agli ammortizzatori sociali per il personale. L'Adigeha dedicato al caso una pagina il 20 aprile, riportando la richiesta di un riscatto in criptovaluta in cambio della chiave di decrittazione e l'invito dell'Ordine dei Dottori Commercialisti di Trento e Rovereto a sporgere denuncia.

Ad agosto la vicenda ha avuto un seguito nella provincia accanto: l'Ordine dei Commercialisti di Bolzano ha registrato le prime segnalazioni di tentativi di frode informatica sul proprio territorio e ha reagito in modo strutturato — convenzioni per polizze cyber risk dedicate, servizi di gestione delle crisi informatiche, un canale preferenziale di monitoraggio con Polizia Postale, Guardia di Finanza, Questura e Procura — per una platea di oltre 800 professionisti iscritti. «La difesa tradizionale non basta più di fronte a un cybercrimine ormai industrializzato», ha dichiarato la presidente Anna Paola De Angelis.

Una precisazione doverosa prima di proseguire, perché la differenza tra un articolo utile e un articolo allarmista sta nei dettagli. L'Adigeparla di un «blitz russo». L'attribuzione di un ransomware a un Paese è un'operazione tecnicamente delicata, che raramente si chiude nelle prime settimane: le infrastrutture criminali sono affittate, i gruppi operano come franchising, e la lingua del codice o la geolocalizzazione degli indirizzi dicono poco sui mandanti. Ai fini di chi deve proteggere uno studio, comunque, l'identità dell'aggressore è la variabile meno utile di tutte.

Il dettaglio che cambia tutto: «i database utilizzati da»

C'è una formula, nelle cronache del caso trentino, che merita di essere letta due volte: l'attacco ha compromesso i database utilizzati da almeno quindici studi. Non quindici studi bucati uno per uno. Un punto di concentrazione — un archivio centralizzato, un gestionale condiviso — e quindici professionisti a terra insieme. La stampa locale segnala tra le cause i frequenti ritardi negli aggiornamenti da parte delle software house.

Questo sposta radicalmente il baricentro del problema. Uno studio può avere l'antivirus aggiornato, le password robuste e il personale formato, e finire comunque fermo perché il fermo è arrivato dal fornitore. È il modello di attacco che il Rapporto Clusit 2026 identifica come dominante: nel 2025 quasi un incidente grave su cinque a livello globale ha colpito «obiettivi multipli» — campagne che colpiscono indiscriminatamente organizzazioni diverse per settore e dimensione — e questa categoria è cresciuta del 96% in un anno. Colpire un nodo per raggiungere tutto ciò che vi è collegato è diventata la strategia razionale, ed è la ragione per cui il caso trentino non è un fatto di cronaca locale ma un caso di scuola.

Con quali tempi di ripristino, quali obblighi di comunicazione verso di me, quale evidenza che i backup vengano effettivamente testati.

Perché uno studio professionale è un bersaglio razionale

Chi attacca non sceglie a caso: sceglie il punto in cui il rapporto tra sforzo e leva è migliore. Uno studio professionale è esattamente quel punto, per tre ragioni che si sommano.

Non è un'impressione: l'ACN, nel proprio rapporto dedicato al ransomware, indica le piccole imprese come la tipologia di vittima principale in Italia, «spesso per una limitata attitudine ad una cultura della sicurezza».

Cosa dicono i dati (e cosa non dicono)

Il Rapporto Clusit 2026 ha censito 5.265 incidenti gravi noti nel mondo nel 2025 (+49% sul 2024), di cui 507 in Italia (+42%): il 9,6% del totale mondiale, quota sproporzionata rispetto al peso economico del Paese. Attenzione però al perimetro: Clusit conta solo gli incidenti gravi e noti. Quindici studi di provincia non entrano in quel campione, e nell'Operational Summarydell'ACN relativo a marzo 2026 le rivendicazioni ransomware contro soggetti italiani censite in fonte aperta sono ventiquattro in tutto il mese, con il 48% delle vittime classificate a «criticità minore». Il fenomeno reale è più grande di quello misurato — e questa, per un professionista, è la parte scomoda: nessuna statistica lo verrà a cercare.

Il Sophos State of Ransomware 2026 (2.158 organizzazioni colpite, 17 Paesi, Italia inclusa) misura invece il dopo:

• nel 56% degli attacchi i criminali sono riusciti a cifrare i dati;
• il costo medio di ripristino, escluso il riscatto, è di 1,7 milioni di dollari, con mediana a 375.000;
• il 55% ha recuperato entro una settimana, ma il tempo medio di ripristino resta di tre settimane e il 14% impiega da uno a tre mesi;
• il recupero da backup è risalito al 66% dei casi con dati cifrati, mentre la quota di chi paga il riscatto è scesa al 48%, minimo del triennio.

Anche qui il limite va detto: il campione comprende organizzazioni da 100 a 5.000 dipendenti. Uno studio da dieci persone non ha 1,7 milioni di dollari di costo di ripristino — ma non ha nemmeno un reparto IT, e tre settimane di fermo pesano su di lui infinitamente più che su un'azienda da mille dipendenti.

Un ultimo dato, il più operativo: le due principali cause radice del 2026 sono email malevole (26%) e phishing (24%). Metà degli incidenti comincia con un messaggio aperto da una persona. Le vulnerabilità tecniche sfruttate, che negli anni scorsi guidavano la classifica, sono scese dal 32% al 18%. Vale la pena tenerlo presente quando si legge che «l'intelligenza artificiale ha alzato l'asticella del rischio»: è vero che l'IA rende il phishing più credibile e più economico da produrre su scala — Clusit registra un +75% di phishing e social engineering nel 2025 — ma la meccanica dell'attacco resta quella di sempre. Un messaggio, una credenziale, un accesso remoto configurato male. La minaccia si è industrializzata, non fantascientificata.

Il punto che sfugge: non è un problema IT

Quando gli archivi si bloccano, la domanda non è «chi mi ripara il server». Sono queste:

• I clienti chiamano. Cosa gli diciamo, e chi lo dice?
• Le scadenze fiscali non slittano perché lo studio è stato attaccato. Chi comunica il ritardo, a chi, con quale evidenza documentale?
• Nei dati cifrati ci sono dati personali di terzi: dipendenti dei clienti, amministratori, familiari a carico. Chi sono i titolari del trattamento, e su chi grava l'obbligo di notificare?

Su quest'ultimo punto conviene essere precisi, perché è dove si genera la responsabilità. A seconda dell'attività, lo studio può agire come titolare autonomo — quando determina finalità e modalità in adempimento di obblighi professionali e di legge — oppure come responsabile del trattamento ex art. 28 GDPR, tipicamente nell'elaborazione delle paghe per conto dell'impresa cliente, come il Garante ha indicato già in una nota del 2019 relativa ai consulenti del lavoro. La differenza non è accademica: cambia chi notifica al Garante entro le 72 orepreviste dall'art. 33, chi informa gli interessati ex art. 34, e cosa il contratto di nomina impone allo studio di fare — e in quali tempi — nei confronti del cliente. Uno studio che scopre di essere responsabile del trattamento mentre i suoi archivi sono cifrati ha già perso i primi due giorni.

Va invece sgonfiata una confusione ricorrente: l'obbligo di notifica al CSIRT Italia entro poche ore riguarda i soggetti inclusi nel perimetro NIS2 o nel Perimetro di Sicurezza Nazionale Cibernetica, non lo studio professionale medio. Ma la NIS2 arriva comunque agli studi per via indiretta, dal lato contrattuale: i clienti che sono soggetti obbligati devono presidiare la sicurezza della propria catena di fornitura, e cominceranno a chiedere requisiti, questionari e clausole ai propri consulenti. Chi non saprà rispondere perderà lavoro prima di rischiare una sanzione.

Sulla polizza, e sul riscatto

La reazione dell'Ordine di Bolzano — convenzioni assicurative e un canale diretto con le autorità — è concreta e sensata. Merita però una precisazione che nessun broker farà: una polizza cyber trasferisce il rischio finanziario, non ripristina i dati. Non riporta online il gestionale, non ricostruisce l'audit trail, non estingue la notifica al Garante, non risponde al cliente che chiama chiedendo se la sua dichiarazione è al sicuro. È uno strumento di mitigazione economica che va dopole misure organizzative, non al loro posto. E va letta: quasi tutte le polizze cyber subordinano l'indennizzo all'esistenza di requisiti minimi — backup, autenticazione a più fattori, patch — che vengono verificati in fase di liquidazione del sinistro, non in fase di sottoscrizione. Una polizza stipulata su un questionario compilato con ottimismo è un costo, non una copertura.

Sul riscatto, il discorso è più semplice. Pagare è un'operazione con esito incerto, che finanzia il mercato criminale e non estingue nessun obbligo: non cancella la notifica al Garante, non recupera i dati esfiltrati — li rende soltanto meno pubblicati, sulla parola di un criminale — non ricostruisce nulla. ACN e forze dell'ordine ne sconsigliano il pagamento e invitano alla denuncia, ed è esattamente la strada che l'Ordine di Trento ha indicato ai propri iscritti. Il dato Sophos citato sopra — 66% di recuperi da backup contro 48% di riscatti pagati — dice qual è l'unica leva che funziona davvero. Ed è una leva che si costruisce prima.

Le sette domande da farsi prima

La sicurezza di uno studio professionale non comincia con un antivirus. Comincia con sette risposte scritte, che occupano poche pagine e costano molto meno di tre settimane di fermo.

1. Quanto posso stare fermo? Il tempo massimo di fermo tollerabile (RTO) e la quantità massima di lavoro che posso permettermi di riscrivere (RPO). Se non sono numeri, sono opinioni.
2. I backup sono davvero backup? Copia offline o immutabile, fuori dal dominio, e — soprattutto — ripristino testato almeno una volta l'anno. Un backup non testato è un file, non una garanzia.
3. Chi sono i miei fornitori critici, e cosa mi hanno promesso per iscritto? Il gestionale, l'archivio condiviso, il consulente IT, il servizio di backup. Con quali tempi di ripristino e quali obblighi di comunicazione verso di me. È la domanda che il caso trentino rende non rinviabile.
4. Ho l'autenticazione a più fattori su tutto ciò che si affaccia su Internet? Posta, VPN, gestionale in cloud, portali fiscali. Metà degli incidenti comincia da un messaggio e da una credenziale.
5. Ho la mappa di chi è titolare e chi responsabile? Con i contratti art. 28 firmati e i tempi di segnalazione al cliente definiti prima dell'emergenza, non durante.
6. Ho un piano di comunicazione? Un elenco di clienti da avvisare per priorità, un canale alternativo alla posta dello studio (se è cifrata anche quella, come si comunica?), un testo già impostato.
7. Le persone dello studio sanno riconoscere e segnalare? Non «hanno fatto il corso»: sanno a chi scrivere alle 19 di venerdì quando qualcosa non torna, sapendo che nessuno le rimprovererà per un falso allarme.

La domanda giusta

Le cronache del caso trentino raccontano studi che hanno ricostruito archivi a mano. È un'immagine che vale più di qualunque statistica: professionisti che rifanno con le dita un lavoro che un ripristino testato avrebbe restituito in mezza giornata.

Proteggere uno studio professionale non significa proteggere computer e dati. Significa proteggere la capacità di adempiere al mandato: le scadenze dei clienti, la fiducia costruita in vent'anni, gli stipendi di chi lavora nello studio. La domanda da porsi non è «quanto costa la sicurezza».

Fonti

• Paolo Fisichella, «Attacco hacker, 3mila clienti coinvolti», l'Adige, 20 aprile 2026, p. 10 (edizione cartacea).
• «Cyberattacco in Trentino: oltre 3.000 clienti bloccati e studi in ginocchio», MB Time, 23 aprile 2026
• «Cyberattacchi agli studi dei commercialisti: a Bolzano polizze e aiuti», Nordest24, 13 agosto 2026
• Clusit, Rapporto Clusit 2026 — dati per la stampa, 11 marzo 2026
• Sophos, The State of Ransomware 2026 (Vanson Bourne, Q1 2026, n=2.158)
• ACN, Ransomware — caratteristiche, preparazione e risposta agli attacchi
• ACN, Operational Summary marzo 2026
• Regolamento (UE) 2016/679 (GDPR), artt. 28, 32, 33 e 34 — EUR-Lex