L’88% dei ransomware colpisce fuori orario, Active Directory cade in 3,4 ore e un analista impiega 70 minuti per indagare un solo avviso. Sono alcuni dei dati presentati da Sophos al Cybersecurity Summit 2026.
L’intervento “SOC vs the Clock” ha messo in fila una serie di numeri che raccontano la stessa storia: chi attacca è sempre più veloce, chi difende fatica a stare al passo. Li abbiamo raccolti qui, insieme alle fonti citate durante il Summit.
Il tempo gioca a favore di chi attacca
Gli attaccanti scelgono il momento in cui nessuno guarda. Secondo Sophos, l’88% dei payload ransomware è stato distribuito fuori dall’orario di lavoro, con lievi picchi il giovedì e il venerdì. Lo stesso vale per il furto di dati: il 79% degli avversari ha esfiltrato informazioni a uffici chiusi.
E i tempi si accorciano:
- 3,4 ore in media per arrivare ad Active Directory, il 70% più veloce rispetto all’anno precedente.
- 3 giorni di permanenza mediana nella rete prima di essere scoperti.
In altre parole, un attacco che parte il venerdì sera può aver compromesso l’infrastruttura prima che qualcuno torni in ufficio il lunedì.
Perché le difese faticano a tenere il passo
Dall’altra parte, i team di sicurezza lavorano con risorse frammentate e sotto pressione. I dati presentati al Summit:
- 45 strumenti di sicurezza separati nell’impresa media (Fonte Gartner)
- Il 93% dei team IT fatica con le attività SecOps essenziali (Fonte Sophos)
- 70 minuti in media per indagare a fondo un singolo evento (Fonte Sophos)
- Il 76% delle organizzazioni ha vissuto burnout legato alla cybersecurity, spesso per avvisi di bassa qualità (Fonte Sophos)
- L’80% dei CISO cita sforzi di conformità ridondanti (CISO Society)
- Il 55% degli attacchi ransomware usa credenziali legittime o vulnerabilità sconosciute, invisibili alla maggior parte degli strumenti (Fonte Sophos State of Ransomware 2025)
C’è poi il tema dei dati. I problemi di conservazione dei log sono raddoppiati in un anno, soprattutto sui firewall, dove la retention predefinita era di 7 giorni e in alcuni casi di sole 24 ore. Senza log, ricostruire un attacco diventa impossibile. A peggiorare il quadro, il 13% dei Windows Server analizzati era già a fine vita e un altro 27% lo sarebbe stato a breve.
L'effetto IA: velocità, scala, ambito
ChatGPT ha raggiunto 100 milioni di utenti in 2 mesi. A Internet sono serviti 7 anni, al cellulare 16, al telefono 75. La stessa accelerazione ora riguarda gli attacchi, che cambiano su tre fronti:
- Velocità: gli attacchi girano alla velocità della macchina, non a quella umana.
- Scala: l’IA moltiplica il volume degli attacchi che un singolo gruppo può lanciare.
- Ambito: le aziende integrano l’IA in email, strumenti di produttività e app SaaS, e così la superficie d’attacco si allarga.
Il risultato è un divario crescente: attacchi misurati in secondi contro indagini misurate in ore.
Il divario di leadership: un CISO ogni 10.000 imprese
Il problema non è solo tecnico, è anche di competenze. Nel mondo ci sono circa 35.000 CISO per 359 milioni di imprese: un rapporto di 1 a 10.000.
- Il 90% delle aziende nel mondo è una piccola impresa (World Economic Forum).
- Quasi nessuna PMI ha un responsabile della sicurezza dedicato.
- Il costo annuo di un CISO resta fuori portata per molte organizzazioni.
- Il costo globale del cybercrime più che raddoppierà tra il 2021 e il 2031, fino a 200 miliardi di dollari (Cybersecurity Ventures).
Le PMI sono quindi le più esposte: subiscono un impatto sproporzionato e hanno meno strumenti per gestirlo.
La risposta: un SOC che lavora alla velocità dell'IA
Per battere il cronometro serve un SOC in cui l’IA indaga e risponde in pochi secondi, mentre gli analisti restano responsabili delle decisioni. È il modello di Sophos MDR, che HiSolution eroga ai propri clienti come servizio gestito. I numeri operativi presentati al Summit:
- 89 secondi dall’allerta alla risposta automatica, dato operativo e non una proiezione
- Il 52% dei casi gestiti end-to-end dall’IA, senza intervento umano
- 24/7/365: copertura continua, senza limiti orari sulla risposta agli incidenti
- 000+ organizzazioni da cui proviene l’intelligence sulle minacce
- 350+ integrazioni con gli strumenti di sicurezza e IT già in uso
- 100% copertura di rilevamento nelle valutazioni MITRE ATT&CK
Il confronto con i dati precedenti è diretto: da 70 minuti per indagare un avviso a 89 secondi per rispondere. Una differenza che pesa, se si considera che il costo medio di recupero da un attacco ransomware è di 1,53 milioni di dollari (Sophos State of Ransomware 2025).
Battere il cronometro si può
I dati emersi al Cybersecurity Summit 2026 dicono una cosa chiara: chi attacca lavora già alla velocità della macchina, e spesso quando l’azienda è chiusa. Per difendersi servono risposta automatica, copertura 24 ore su 24 e analisti esperti che restino al comando. Tutto questo senza dover costruire un SOC interno.
Vuoi sapere di più di ciò che è emerso al Cybersecurity Summit?
Fonti dei dati: Sophos State of Ransomware 2025, Sophos Active Adversary Report 2026, Sophos – Affrontare il burnout nella cybersecurity 2025, Gartner, CISO Society, Rapporto CISO 2026, Cybersecurity Ventures, World Economic Forum, come presentati nell’intervento Sophos al Cybersecurity Summit 2026.
