Mastercard ha annunciato il lancio di Mastercard SME Academy: Cybersecurity, una piattaforma gratuita di formazione digitale rivolta ai titolari delle piccole e medie imprese italiane. Il progetto offre lezioni brevi e interattive per riconoscere le frodi online, proteggere gli account aziendali e ridurre gli errori che possono aprire la strada a un attacco informatico.
La formazione arriva mentre molte attività dipendono da servizi digitali per incassare pagamenti, dialogare con i fornitori e conservare le informazioni dei clienti. Per una piccola impresa, perdere l’accesso alla posta elettronica o al gestionale può significare interrompere ordini, consegne e fatturazione.
Indice degli argomenti
Un’impresa online su tre ha già subito un attacco
Secondo la ricerca Mastercard «Conoscere le PMI, ripensare le esperienze di pagamento», richiamata dall’azienda nella comunicazione del 15 dicembre 2025, il 32% delle PMI italiane che vendono online dichiara di avere subito un cyberattacco. La percentuale riguarda le imprese attive nelle vendite via internet, non l’intero universo delle PMI italiane. È una distinzione necessaria per comprendere la portata del risultato.
Le conseguenze indicate dalla ricerca comprendono l’interruzione dell’attività, la perdita di dati e i danni economici. Una violazione può compromettere un account commerciale, impedire l’accesso agli strumenti di lavoro o esporre informazioni sensibili. Quando un’impresa utilizza pochi sistemi per gestire contemporaneamente vendite, amministrazione e rapporti con i clienti, un singolo incidente può coinvolgere più funzioni. L’esposizione al rischio cresce quindi insieme alla dipendenza dagli strumenti digitali.
Phishing, falsi fornitori e credenziali rubate
Molti incidenti iniziano da operazioni apparentemente ordinarie: leggere un messaggio, aprire un allegato, approvare una richiesta di accesso. Il phishing tenta di ottenere password o informazioni riservate attraverso comunicazioni che imitano soggetti affidabili. Le frodi di impersonificazione sfruttano invece identità aziendali o personali contraffatte per convincere qualcuno a trasferire denaro o modificare le coordinate di pagamento.
Un piccolo ufficio amministrativo può ricevere una fattura con un conto corrente diverso dal solito; un dipendente può trovare nella posta un avviso urgente che sembra arrivare dal servizio utilizzato per gestire gli ordini. Questi sono esempi di modalità di attacco, non casi attribuiti a imprese specifiche.
La protezione richiede procedure di verifica che restino valide anche nei momenti di maggiore pressione operativa, quando la fretta rende più facile ignorare un dettaglio sospetto.
Che cosa insegna la Mastercard SME Academy
La nuova Academy affronta i principali rischi attraverso moduli brevi e interattivi, concepiti per imprenditori che devono dividere il proprio tempo tra gestione aziendale, clienti e personale. Il programma spiega come riconoscere il phishing, come avvengono le violazioni dei dati e come distinguere link, allegati e download potenzialmente dannosi. Una parte della formazione riguarda i malware, i programmi malevoli capaci di compromettere dispositivi e informazioni.
Il percorso affronta inoltre le password, l’autenticazione a più fattori, la gestione dei permessi concessi a dipendenti e collaboratori esterni, la protezione degli account più importanti e i tentativi di furto d’identità. L’impostazione punta a collegare ogni minaccia a comportamenti pratici.
Non è richiesta, nelle informazioni diffuse al lancio, una preparazione specialistica per comprendere i contenuti. La piattaforma è accessibile attraverso il sito mysmeacademy.com e viene presentata da Mastercard come gratuita.
Dalle password agli accessi: le prime difese
Una password robusta e diversa per ogni servizio riduce i danni che possono derivare dalla compromissione di un singolo account. L’autenticazione a più fattori aggiunge una verifica ulteriore e rende più difficile utilizzare credenziali rubate. Per le imprese è importante applicarla almeno alla posta elettronica, agli strumenti amministrativi e ai servizi che consentono di gestire pagamenti o modificare informazioni sensibili.
Anche i permessi devono seguire le mansioni effettive. Un collaboratore incaricato delle consegne non ha necessariamente bisogno di accedere ai dati finanziari; un fornitore esterno non dovrebbe mantenere credenziali attive dopo la conclusione dell’incarico. Sono misure organizzative, oltre che tecniche.
La formazione può aiutare a riconoscere queste situazioni, ma l’azienda deve poi verificare che gli accessi siano configurati correttamente e che le regole vengano rispettate nel lavoro quotidiano.
Il problema della continuità operativa
Un attacco informatico non coincide soltanto con il furto di informazioni. Un ransomware può rendere indisponibili documenti e sistemi, mentre la violazione di una casella di posta può bloccare comunicazioni essenziali o favorire ulteriori frodi. Per questo la prevenzione deve essere accompagnata da copie di sicurezza recuperabili, aggiornamenti tempestivi e procedure per intervenire quando un servizio smette di funzionare.
Il titolare dovrebbe sapere chi contattare in caso di incidente, quali strumenti disattivare e dove trovare i backup. È utile verificare periodicamente se le copie consentono davvero di ripristinare i dati. Un corso introduttivo può sensibilizzare su queste decisioni, ma non sostituisce un controllo tecnico dei sistemi né una gestione continuativa dei rischi.
La sicurezza passa anche dai fornitori
Le vulnerabilità possono arrivare anche da fornitori e servizi esterni. Un’azienda che affida a terzi il sito commerciale, la contabilità o la gestione degli incassi dovrebbe sapere chi può accedere ai sistemi, come vengono conservate le credenziali e quali procedure scattano quando emerge un problema. È utile individuare un referente interno, anche senza creare un reparto specializzato, e aggiornare l’elenco dei servizi essenziali.
Le verifiche dovrebbero comprendere la restituzione degli accessi alla fine dei contratti e la possibilità di contattare rapidamente i partner tecnologici. Questi accorgimenti aiutano a evitare che le responsabilità restino distribuite senza un coordinamento interno efficace.
Assicurazione cyber: interesse alto, adesioni limitate
La ricerca Mastercard segnala che il 30% delle PMI ha già sottoscritto una polizza contro i rischi informatici e che un ulteriore 39% si dichiara interessato. I dati descrivono comportamenti e intenzioni differenti: l’interesse non equivale a una copertura effettivamente acquistata. Tra i liberi professionisti la distanza è maggiore, perché l’85% risulta ancora privo di assicurazione cyber.
I motivi indicati comprendono il costo percepito come elevato, la scarsa conoscenza delle offerte, i dubbi sui benefici e la priorità assegnata ad altre spese. Le polizze, inoltre, possono prevedere condizioni, esclusioni, franchigie e servizi di assistenza differenti. Prima di sottoscriverne una, un’impresa deve verificare quali incidenti e costi siano coperti. La copertura finanziaria può limitare alcune conseguenze di un attacco, ma non elimina la necessità di prevenire le violazioni e preparare la risposta operativa.
Il quadro europeo secondo Enisa
Il rapporto Enisa Threat Landscape 2026, pubblicato dall’Agenzia dell’Unione europea per la cybersicurezza il 22 settembre, analizza gli incidenti osservati nel corso del 2025. Tra le minacce ricorrenti segnala il ransomware e le campagne di ingegneria sociale, comprese quelle di phishing. Enisa descrive anche attacchi che sfruttano vulnerabilità già note e compromissioni lungo la catena dei fornitori. Si tratta di un quadro europeo generale, distinto dai risultati della ricerca Mastercard sulle PMI italiane.
Nel luglio 2026 Enisa ha inoltre pubblicato un modello di autovalutazione della maturità cyber per micro, piccole e medie imprese, soprattutto in relazione alla sicurezza dei prodotti digitali. Lo strumento considera gestione dei rischi, aggiornamenti, competenze e procedure. La disponibilità di iniziative formative e strumenti di autovalutazione risponde a un limite documentato: nelle realtà più piccole tempo, budget e personale specializzato sono spesso insufficienti.
Formazione gratuita e investimenti nelle difese
L’assenza di un costo di iscrizione può facilitare l’accesso alla Mastercard SME Academy, soprattutto per imprenditori e professionisti che non dispongono di un reparto informatico. Tuttavia imparare a riconoscere un messaggio fraudolento è soltanto una parte della protezione. Possono servire interventi sui dispositivi, sistemi di backup, software aggiornati e supporto tecnico per verificare le configurazioni.
In Italia, il Ministero delle Imprese e del Made in Italy ha promosso un voucher per investimenti in cloud e cybersecurity, gestito con il supporto di Invitalia. Secondo l’avviso del 16 ottobre 2026, la misura dispone di 150 milioni di euro e prevede contributi fino al 50% delle spese ammissibili, per un massimo di 20.000 euro. La compilazione delle domande è iniziata il 20 ottobre, mentre l’invio è previsto dal 10 novembre 2026 al 20 gennaio 2027. Gli incentivi economici e la formazione gratuita intervengono su esigenze diverse: acquistare soluzioni adeguate e saperle utilizzare.
Quattro Paesi al lancio, obiettivo dieci milioni di PMI
Mastercard SME Academy: Cybersecurity debutta in Italia, Irlanda, Polonia e Regno Unito. La società prevede di estendere la piattaforma agli altri mercati europei nel 2027 e ha fissato l’obiettivo di offrire formazione gratuita sulla cybersicurezza a 10 milioni di piccole e medie imprese in Europa entro il 2030. Si tratta di un impegno annunciato dall’azienda, non di un risultato già raggiunto.
Luca Corti, country manager Italia di Mastercard, collega l’iniziativa alle necessità operative delle piccole imprese: “Ogni piccola impresa nasce da un sogno, ma trasformare quel sogno in un’attività duratura richiede resilienza e fiducia. Con un numero crescente di PMI che utilizzano strumenti digitali per servire i clienti e gestire le proprie attività, la cybersecurity sta diventando un elemento fondamentale per proteggere ciò che hanno costruito. Mastercard SME Academy: Cybersecurity offre ai titolari di piccole imprese in Italia un supporto pratico e accessibile per comprendere meglio i rischi informatici, rafforzare le proprie difese e crescere con maggiore sicurezza.”
Dalla conoscenza alle procedure aziendali
L’efficacia della formazione si misurerà soprattutto nella capacità delle imprese di applicare ciò che apprendono. Una verifica periodica degli account, l’adozione dell’autenticazione a più fattori, il controllo dei privilegi e una procedura per segnalare messaggi sospetti sono attività che possono essere assegnate e controllate nel tempo. Anche i dipendenti devono sapere come reagire quando una richiesta di pagamento appare anomala.
Per chi gestisce un’attività di dimensioni ridotte, la sicurezza informatica diventa quindi una responsabilità organizzativa quotidiana. La piattaforma Mastercard offre un punto d’ingresso gratuito; la protezione effettiva richiede che le indicazioni si traducano in decisioni, controlli e investimenti proporzionati ai rischi dell’impresa.
Partecipa alla community