Il Report Annuale 2025 della Polizia Postale fotografa un’Italia sotto attacco digitale costante. 51.560 casi cyber trattati, 269 milioni di euro sottratti attraverso il crimine informatico e una domanda di competenze in sicurezza informatica mai vista prima. Ecco cosa rivelano i numeri ufficiali e quali professioni stanno emergendo con forza nel mercato del lavoro italiano.
I numeri dietro l’emergenza digitale italiana
Quando apri il Report Annuale 2025 del Servizio Polizia Postale e per la Sicurezza Cibernetica, la prima cosa che colpisce sono i numeri. Non sono fredde statistiche da dimenticare dopo averle lette, ma rappresentano attacchi reali contro aziende, istituzioni e persone. Parliamo di 51.560 casi cyber trattati nell’arco di un anno, con dati aggiornati fino al 21 dicembre 2025. Facendo un calcolo veloce, significa che ogni singolo giorno in Italia vengono gestiti in media 141 casi di criminalità informatica. Centoquarantuno. Ogni giorno.
La Polizia Postale ha arrestato 293 persone, ne ha denunciate 7.590 e ha condotto 2.157 perquisizioni con sequestro di dispositivi digitali. Ma il dato che forse fa più impressione riguarda il danno economico: 269 milioni di euro sottratti attraverso cybercrime economico-finanziario. E questa è solo la punta dell’iceberg, perché molte aziende, per timore del danno reputazionale, evitano di denunciare gli attacchi subiti.
Non parliamo di eventi sporadici che colpiscono solo grandi corporation multinazionali. Gli attacchi informatici raggiungono indistintamente piccole pubbliche amministrazioni locali, PMI del manifatturiero, studi professionali e singoli cittadini. La superficie di attacco si è allargata enormemente negli ultimi anni, e ogni dispositivo connesso a internet rappresenta una potenziale porta d’ingresso per i criminali.
Ma c’è un altro aspetto, meno visibile ma altrettanto importante: dietro questi numeri si nasconde un’opportunità professionale enorme. La domanda di competenze in cybersecurity sta letteralmente esplodendo, e il sistema formativo tradizionale non riesce a produrre abbastanza professionisti qualificati. Questo gap tra domanda e offerta si traduce in stipendi crescenti, posizioni aperte che restano vacanti per mesi e aziende disposte a formare internamente chi dimostra le giuste basi e la voglia di imparare.
La strada non è breve ma è chiara. Il primo passo è acquisire competenze sistemistiche solide: conoscere a fondo Windows Server e Linux, capire come funzionano le reti, saper configurare firewall e VPN, comprendere i principi fondamentali della sicurezza. Il Corso Annuale Tecnico Sistemista di Rete e Sicurezza Informatica di MacFormazione è progettato esattamente per questo. Dodici mesi di formazione strutturata, laboratori pratici su scenari reali, preparazione alle certificazioni più richieste dal mercato e supporto job placement per trovare la prima posizione.
Quali settori stanno pagando il prezzo più alto
L’analisi del C.N.A.I.P.I.C., il Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche, offre uno spaccato interessante su quali settori economici stanno subendo la pressione maggiore. Sui 9.250 eventi cyber rilevati contro infrastrutture critiche, operatori di servizi essenziali e pubbliche amministrazioni, emerge una distribuzione piuttosto chiara.
Il settore digitale e delle telecomunicazioni si prende la fetta più grande, con il 37% degli attacchi. Ha senso se ci pensi: queste sono le aziende che gestiscono le reti, i data center, i servizi cloud che tutti utilizziamo quotidianamente. Un attacco riuscito a un provider di telecomunicazioni può mettere in ginocchio migliaia di aziende clienti in un colpo solo. Questo significa che proprio in questo comparto la richiesta di network security engineer è ai massimi storici.
Subito dopo troviamo il settore pubblico e la governance con il 24% degli attacchi. Qui parliamo di pubbliche amministrazioni centrali e locali, ministeri, comuni, regioni. Tradizionalmente più lente nell’adozione di tecnologie innovative, le PA si stanno finalmente rendendo conto che la sicurezza informatica non è più opzionale. Stanno investendo, pubblicano concorsi per funzionari informatici con competenze cyber e cercano consulenti esterni. Per chi cerca stabilità lavorativa con un contratto pubblico indeterminato, questa è un’opportunità da non sottovalutare.
L’economia e le imprese assorbono il 18% degli attacchi. Qui entriamo nel mondo delle PMI, dalla piccola azienda manifatturiera che ha appena digitalizzato la produzione all’e-commerce che gestisce migliaia di transazioni al giorno. Queste realtà hanno spesso budget limitati ma necessitano urgentemente di qualcuno che si occupi della sicurezza IT. Un sistemista con competenze security può trovare impiego facilmente in questo segmento, spesso con possibilità di crescita rapida perché parti come unico responsabile del settore.
Anche settori che potremmo pensare più distanti dalla tecnologia stanno subendo attacchi significativi. L’ambiente e le risorse naturali, la mobilità e le infrastrutture, la finanza, la sanità: tutti questi comparti stanno scoprendo sulla propria pelle che la trasformazione digitale porta con sé anche nuove vulnerabilità. E ogni settore colpito rappresenta centinaia di aziende che, dopo un attacco, aumentano drasticamente il budget dedicato alla sicurezza e assumono personale specializzato.
Le minacce che tengono svegli i responsabili IT
Il Report identifica con precisione le tecniche di attacco che i professionisti della sicurezza devono saper riconoscere e contrastare ogni giorno. Non stiamo parlando di attacchi da film hollywoodiani con hacker incappucciati che digitano freneticamente su tastiere illuminate al neon. La realtà è spesso molto più banale, ma non per questo meno pericolosa.
Il phishing resta la minaccia numero uno. Il Commissariato di P.S. Online ha gestito oltre 32.000 segnalazioni di tentativi di phishing classico nell’anno. Si tratta di quelle email apparentemente provenienti da banche, corrieri o pubbliche amministrazioni che ti chiedono di cliccare un link o inserire le tue credenziali. Il problema è che queste email sono diventate sempre più sofisticate e difficili da distinguere da quelle autentiche.
Accanto al phishing tradizionale si sono sviluppate varianti ancora più insidiose. Il vishing utilizza chiamate telefoniche dove il truffatore si spaccia per un operatore bancario o un tecnico informatico, chiedendo codici OTP o accesso remoto al tuo dispositivo. Lo smishing arriva invece via SMS, imitando comunicazioni da servizi di spedizione o provider telefonici. Poi c’è il Business Email Compromise, una tecnica particolarmente efficace contro le aziende: i criminali compromettono caselle email aziendali, studiano le comunicazioni interne per settimane e poi impersonano fornitori o dirigenti per richiedere bonifici urgenti.
Ma la frontiera più preoccupante riguarda l’uso dell’intelligenza artificiale. Il CEO fraud, la truffa dove qualcuno si spaccia per l’amministratore delegato, si è evoluto grazie alla clonazione vocale. I criminali raccolgono campioni audio da interviste pubbliche, podcast, conference call e addestrano modelli di AI per replicare perfettamente la voce del CEO. Poi chiamano un dirigente finanziario con una richiesta urgente di bonifico. La voce è riconoscibile, il tono appropriato, i dettagli aziendali corretti. Il risultato? Bonifici da centinaia di migliaia di euro che spariscono prima che qualcuno si accorga della truffa.
Il ransomware continua a terrorizzare aziende di ogni dimensione. L’attacco moderno non si limita più a cifrare i file: oggi i criminali prima esfiltrano i dati, poi cifrano i sistemi e infine minacciano di pubblicare le informazioni sensibili se non paghi il riscatto. È la cosiddetta “doppia estorsione”. In alcuni casi si arriva alla tripla estorsione, con la minaccia aggiuntiva di un attacco DDoS se l’azienda non collabora. Le statistiche parlano chiaro: aziende senza strategie di backup efficaci impiegano 15-30 giorni per recuperare operatività, spesso pagando il riscatto che non garantisce nemmeno il recupero completo dei dati. Al contrario, organizzazioni con backup immutabili e disaster recovery testato recuperano in 2-5 giorni senza pagare un euro.
Gli attacchi DDoS e l’hacktivism sono cresciuti drammaticamente negli ultimi anni a causa delle tensioni geopolitiche. L’Operazione “Eastwood”, coordinata da Europol con 14 paesi coinvolti, ha smantellato il collettivo hacker filo-russo NoName057(16), responsabile dal 2022 di numerosi attacchi contro infrastrutture critiche italiane ed europee. Questi gruppi utilizzano botnet composte da migliaia di dispositivi compromessi per saturare i server target con traffico fasullo, rendendo i servizi inaccessibili.
Poi ci sono gli accessi abusivi causati da configurazioni deboli. Database esposti su internet senza password, servizi RDP accessibili senza protezioni, credenziali predefinite mai cambiate. Sembra incredibile nel 2025, ma una percentuale significativa dei data breach documentati nel Report deriva da errori banali che un sistemista competente avrebbe facilmente evitato.
Quando l’Intelligenza Artificiale diventa un’arma
Il Report 2025 dedica ampio spazio all’evoluzione delle minacce basate su intelligenza artificiale, un fenomeno che promette di crescere esponenzialmente nei prossimi anni. I deepfake, quei contenuti multimediali manipolati con AI per far sembrare che una persona dica o faccia cose mai dette o fatte, stanno diventando un problema serio.
I criminali utilizzano video deepfake di personaggi famosi per creare falsi endorsement di investimenti in criptovalute o schemi Ponzi. Pubblicano queste pubblicità su Facebook, Instagram e YouTube con targeting preciso verso le fasce di popolazione più vulnerabili. Creano siti web clone di testate giornalistiche per aumentare la credibilità. Il risultato? Migliaia di vittime che investono i risparmi di una vita in piattaforme inesistenti.
Una variante particolarmente odiosa è la truffa del “familiare in difficoltà”. I criminali raccolgono campioni vocali dai social media, interviste o video pubblici, clonano la voce di un figlio o nipote e chiamano anziani con richieste urgenti di denaro: “Mamma, sono in ospedale, serve denaro subito”. La voce è perfettamente riconoscibile e in un momento di panico emotivo, molti cadono nella trappola.
Il caso più emblematico documentato nel Report è l’Operazione “Santona AI” del luglio 2025. Una donna di 55 anni aveva convinto le vittime dell’esistenza di un’intelligenza artificiale “miracolosa” chiamata “Marie” che poteva curare gravi patologie, incluso il cancro, attraverso presunti processi di modifica del DNA. Le vittime inviavano quotidianamente parametri vitali via chat, ricevevano “prescrizioni terapeutiche” arbitrarie dall’AI inesistente e venivano indotte ad abbandonare cure mediche tradizionali. Una donna è deceduta dopo aver interrotto chemioterapia e interventi programmati. La truffatrice è stata condannata a 9 anni per associazione per delinquere, esercizio abusivo della professione medica e morte come conseguenza.
- Per fronteggiare queste minacce emergenti, nel 2025 è stato istituito l’AiLab4Cyber presso la V Divisione del Servizio Polizia Postale. Questo laboratorio studia l’impatto dell’AI Act europeo, sviluppa sistemi di rilevazione deepfake, conduce ricerca su AI difensiva e collabora con università e centri di ricerca. L’investimento pubblico in AI per la sicurezza segnala che nei prossimi anni emergeranno ruoli completamente nuovi, con stipendi iniziali interessanti anche per profili junior con basi solide, come:
- AI Security Specialist,
- Deepfake Detection Analyst
- ML Security Engineer, Il ruolo crescente delle criptovalute nel crimine
Il Report evidenzia l’uso crescente delle criptovalute per occultare proventi illeciti, con sfide investigative significative. Nell’Operazione “Taken Down” del novembre 2024, che ha smantellato una piattaforma IPTV illegale con 22 milioni di utenti, sono stati sequestrati 1,65 milioni di euro in criptovalute.
Le cinque professioni che stanno esplodendo
Analizzando le competenze necessarie per contrastare le minacce descritte nel Report, emergono cinque profili professionali con una domanda di mercato che possiamo definire senza esagerazioni come “altissima”. Queste non sono previsioni futuristiche ma ruoli già richiestissimi oggi, con migliaia di posizioni aperte che faticano a trovare candidati qualificati.
1) Il SOC Analyst: la sentinella digitale
Il SOC Analyst è la persona che monitora continuamente i sistemi aziendali per rilevare e rispondere tempestivamente alle minacce. Lavora in un Security Operations Center, spesso su turni che coprono le 24 ore, guardando dashboard SIEM che aggregano milioni di eventi da firewall, sistemi di rilevamento intrusioni, antivirus e altri strumenti di sicurezza.
La giornata tipo di un SOC Analyst prevede l’analisi degli alert generati automaticamente dai sistemi, distinguendo i falsi positivi dalle minacce reali. Correla eventi da fonti multiple per identificare pattern di attacco che potrebbero non essere evidenti guardando un singolo log. Quando rileva qualcosa di sospetto, esegue la prima risposta: isola un host compromesso, blocca un indirizzo IP malevolo, termina un processo anomalo. Documenta tutto meticolosamente perché queste informazioni serviranno per l’escalation a team più senior o per l’incident response.
Con i 9.250 eventi cyber gestiti nel 2025 solo dal CNAIPIC, ogni azienda di medie-grandi dimensioni sta capendo che necessita di un team SOC operativo. Le aziende più piccole si affidano a fornitori esterni di SOC-as-a-Service, i cosiddetti MSSP o Managed Security Service Provider, che assumono costantemente per gestire i clienti.
Gli stipendi per un SOC Analyst junior partono da 28-40mila euro, crescono a 40-55mila per il livello intermedio e arrivano a 55-75mila per i senior. I SOC Manager e Team Lead superano facilmente i 70-95mila euro. Per entrare in questo ruolo serve un solido background sistemistico, conoscenza di networking, familiarità con sistemi operativi Windows e Linux e capacità di lavorare sotto pressione mantenendo l’attenzione ai dettagli.
Il percorso tipico prevede di partire come sistemista junior per 6-12 mesi, poi diventare SOC Analyst Tier 1 per altri 12-18 mesi, crescere a Tier 2 in 2-3 anni e eventualmente arrivare a Tier 3 o specializzarsi come Incident Responder. Le certificazioni più apprezzate per questo ruolo includono CompTIA Security+, che è praticamente uno standard di settore per l’entry-level, e certificazioni GIAC come il Security Essentials.
2) L’Incident Responder: il pompiere digitale
Se il SOC Analyst è la sentinella che rileva le minacce, l’Incident Responder è il pompiere che interviene quando un attacco è in corso o è appena stato scoperto. L’obiettivo è contenere i danni il più rapidamente possibile e ripristinare l’operatività dei sistemi.
Durante un incidente attivo, l’Incident Responder valuta innanzitutto la gravità della situazione secondo scale standardizzate, poi coordina il team di risposta che può includere personale IT, legale, comunicazione e management. Contiene la diffusione dell’attacco isolando sistemi compromessi e bloccando utenti o indirizzi IP malevoli, preservando contemporaneamente le evidenze per la successiva analisi forense. Identifica il vettore di attacco per capire come sono entrati i criminali, eradica la minaccia rimuovendo malware e chiudendo backdoor, e infine ripristina i servizi da backup verificati come puliti.
Ma il lavoro dell’Incident Responder non si limita alle emergenze. Nelle fasi di calma, sviluppa e aggiorna gli Incident Response Playbook, quei documenti che definiscono procedure precise per diversi scenari di attacco. Conduce tabletop exercises, simulazioni teoriche dove il team discute come risponderebbe a un ipotetico incidente. Partecipa a Red Team e Blue Team exercises, simulazioni pratiche dove un gruppo simula gli attaccanti e l’altro la difesa.
Gli stipendi per questo ruolo sono significativamente più alti rispetto al SOC Analyst, riflettendo la maggiore responsabilità e il livello di stress. Un junior con 1-3 anni di esperienza guadagna 35-50mila euro, il livello intermedio arriva a 50-70mila, i senior superano i 70-95mila e i CSIRT Team Lead possono toccare 85-120mila euro.
Le competenze richieste includono malware analysis per riconoscere comportamenti malevoli, network forensics per analizzare pacchetti e flussi di rete, memory forensics per ispezionare la RAM alla ricerca di malware residente in memoria, e scripting in PowerShell, Bash o Python per automatizzare task ripetitivi. Sul lato delle soft skills, servono leadership sotto pressione, comunicazione efficace per spiegare situazioni tecniche complesse a dirigenti non tecnici, e capacità di prendere decisioni critiche rapidamente anche con informazioni incomplete.
3) Il Network Security Engineer: l’architetto della difesa
Il Network Security Engineer progetta, implementa e gestisce l’architettura di sicurezza della rete aziendale. È la prima linea di difesa contro gli attacchi esterni, quello che decide dove posizionare i firewall, come segmentare la rete per contenere eventuali intrusioni, come configurare le VPN per gli accessi remoti.
Questo professionista passa le sue giornate progettando architetture di rete sicure con DMZ, segmentazione e principi zero-trust, configurando firewall enterprise di vendor come Palo Alto, Fortinet o Checkpoint, implementando sistemi di rilevamento e prevenzione intrusioni, gestendo VPN aziendali sia site-to-site che per accesso remoto. Configura sistemi di Network Access Control per autenticare i dispositivi prima di permettere loro l’accesso alla rete, monitora costantemente il traffico di rete alla ricerca di anomalie e minacce, esegue penetration testing interno e documenta meticolosamente architetture e procedure.
Gli stipendi riflettono questa criticità. Un junior con 1-3 anni di esperienza guadagna 38-55mila euro, il livello intermedio 55-75mila, i senior arrivano a 75-100mila e i Network Security Architect possono superare i 90-130mila euro. Le competenze tecniche richieste sono profonde: routing protocols avanzati come OSPF e BGP, switching con VLAN e spanning tree, load balancing e high availability, oltre ovviamente alla padronanza dei principali firewall enterprise e dei protocolli crittografici come IPsec e SSL/TLS.
4) Il Digital Forensics Analyst: l’investigatore del crimine digitale
Il Digital Forensics Analyst è l’investigatore digitale che acquisisce, analizza e presenta evidenze digitali per uso giudiziario o per investigazioni interne. Quando viene scoperto un data breach, un insider threat o qualsiasi altro incidente di sicurezza, è questa figura che viene chiamata per capire esattamente cosa è successo, chi l’ha fatto e quando.
Il suo lavoro inizia con l’acquisizione delle evidenze da dispositivi sequestrati come hard disk, smartphone o server. Crea immagini forensi bit-by-bit garantendo l’integrità attraverso hash crittografici SHA-256 che dimostrano che i dati non sono stati alterati. Analizza filesystem alla ricerca di file cancellati, nascosti o crittografati. Recupera dati da dispositivi danneggiati o formattati. Analizza dump di memoria RAM per trovare malware residente solo in memoria. Ricostruisce timeline dettagliate di chi ha fatto cosa e quando. Identifica artefatti come log di sistema, cache del browser, registro di Windows, chat ed email. Prepara report tecnici comprensibili anche per non specialisti e, quando necessario, testimonia in tribunale come consulente tecnico.
Le aziende necessitano di queste competenze per indagini interne su data leak o frodi, per compliance GDPR quando si verifica un breach, per litigation support in cause civili che coinvolgono evidenze digitali, e per l’analisi post-mortem dopo incidenti di sicurezza. Gli stipendi per un Digital Forensics Analyst junior si aggirano sui 32-48mila euro, crescono a 48-70mila per il livello intermedio, superano i 70-95mila per i senior e possono arrivare a 85-120mila per gli Expert Witness o Lead Forensics che testimoniano regolarmente in tribunale.
Le competenze tecniche spaziano dalla conoscenza approfondita dei filesystem come NTFS, EXT4 e APFS, all’uso di tool forensi sia commerciali come EnCase e FTK che open source come Autopsy e Volatility. Fondamentale è anche la comprensione degli aspetti legali: chain of custody, ammissibilità delle prove in tribunale, privacy e GDPR, procedure standard secondo ISO 27037 e linee guida NIST.
5) Il Security Administrator: il punto di partenza accessibile
Il Security Administrator è probabilmente il ruolo più accessibile per chi vuole entrare nel settore cybersecurity, ma non per questo meno importante. È la figura che previene gli attacchi prima che avvengano attraverso la corretta configurazione e la gestione quotidiana della sicurezza IT. Mentre i ruoli precedenti intervengono quando qualcosa va storto, il Security Administrator lavora ogni giorno per far sì che niente vada storto.
La sua giornata tipo include la gestione di utenti e permessi in Active Directory o altri sistemi IAM, l’applicazione di patch di sicurezza a server, workstation e applicazioni, la configurazione e il monitoraggio di antivirus ed EDR enterprise, la gestione del firewall con aggiornamento delle regole e revisione dei log. Configura e verifica i backup controllando che i job notturni siano andati a buon fine, implementa policy di sicurezza come complessità delle password e timeout degli schermi, monitora i log alla ricerca di anomalie come tentativi di login falliti o accessi privilegiati sospetti. Gestisce i certificati SSL/TLS verificando le scadenze e rinnovandoli per tempo, configura l’autenticazione multi-fattore sui servizi critici ed esegue vulnerability scan periodici con Nessus o OpenVAS per identificare e prioritizzare le correzioni necessarie.
Ogni azienda, anche le PMI con 20-50 dipendenti, necessita di almeno una persona con queste competenze, fosse anche part-time o in condivisione con altre responsabilità IT. Gli stipendi per un junior sono accessibili, tra 25-35mila euro, crescono a 35-50mila per il livello intermedio e arrivano a 50-70mila per i senior. I Security Manager che coordinano un team possono superare i 65-90mila euro.
Il grande vantaggio di questo ruolo è l’accessibilità. Non richiede anni di esperienza preliminare, il percorso formativo è chiaro e strutturato, è possibile entrare anche senza laurea se si hanno le giuste certificazioni, e la domanda è altissima in tutti i settori. Inoltre rappresenta la base perfetta per tutte le specializzazioni successive: tutte le carriere in cybersecurity, dal SOC Analyst al Security Architect, passano attraverso una solida esperienza sistemistica. Dopo 2-3 anni come Security Administrator, qualsiasi porta nel settore security si apre.
Il momento di decidere
Quando il Report 2026 della Polizia Postale uscirà tra esattamente dodici mesi, i numeri saranno quasi certamente ancora più alti. Gli attacchi più sofisticati, le tecniche più evolute, le aziende ancora più disperate nel cercare professionisti capaci. La domanda fondamentale che devi farti non è se entrare nel settore della cybersecurity, ma quando iniziare a prepararti.
Il bello della cybersecurity è che non servono background accademici perfetti o decenni di esperienza per iniziare. Serve voglia di imparare, capacità di risolvere problemi e la determinazione di investire tempo nella formazione. Un corso strutturato di 12 mesi può portarti da zero competenze a una posizione come Security Administrator junior con stipendio iniziale di 25-30mila euro. Altri due anni di esperienza e puoi specializzarti come SOC Analyst, Network Security Engineer o Incident Responder con stipendi che superano i 40-50mila euro. Dopo cinque anni di carriera ben gestita puoi raggiungere i 60-70mila euro o più.
Se hai già delle basi sistemistiche e vuoi differenziarti ulteriormente, aggiungere competenze di programmazione può fare la differenza. Python per security automation, PowerShell per gestione Windows, Bash per Linux, JavaScript per capire le vulnerabilità web. I corsi di programmazione offrono percorsi specifici per chi lavora in ambito security, focalizzati su scripting pratico e tool development invece che su teoria accademica.
