Nel panorama economico contemporaneo, poche industrie hanno registrato una crescita e una capillarità paragonabili a quelle della sicurezza informatica. Con un valore globale che si avvia a superare la soglia dei cento miliardi di dollari, il settore si presenta come un ecosistema ipertrofico, frammentato in migliaia di fornitori e suddiviso in oltre centocinquanta categorie merceologiche. Tuttavia, dietro la narrazione della protezione tecnologica e dell’avanguardia sistemica, si nasconde una dinamica commerciale radicata in una precisa strategia psicologica ed economica: la monetizzazione dell’incertezza. Attraverso l’analisi delle posizioni espresse da Gianluca Attura, amministratore delegato di Cybercircle, è possibile decostruire i meccanismi retorici, storici e operativi che governano questo mercato, evidenziando come la sovrapproduzione di soluzioni tecnologiche spesso non risponda a una reale esigenza di difesa, bensì alla necessità di alimentare una vera e propria economia della paura.
Sommario
La genesi retorica del FUD e la clava emotiva del marketing
Per comprendere l’attuale configurazione del mercato della cybersecurity, è necessario risalire alle origini di una precisa dottrina commerciale nota con l’acronimo FUD, ovvero Fear, Uncertainty, and Doubt (paura, incertezza e dubbio). Questa espressione, come ricorda opportunamente Gianluca Attura, non rappresenta una reazione spontanea dei mercati moderni, ma una tecnica codificata decenni fa all’interno dei laboratori commerciali della Silicon Valley.
“C’è un mestiere che prospera da decenni sulla nostra ignoranza, ed è quello del mercante di paura: il venditore di sicurezza informatica che, invece di spiegarti come proteggerti, ti descrive l’apocalisse per convincerti a firmare un contratto. Non è una mia impressione, ha persino un nome tecnico, FUD — fear, uncertainty and doubt, ovvero paura, incertezza e dubbio — un’espressione coniata negli anni Settanta da Gene Amdahl dopo aver lasciato l’IBM proprio per descrivere la strategia con cui il colosso spingeva i clienti a non guardare altrove: noi siamo sicuri, tutto il resto no.”
L’intuizione di Amdahl intercettava un cortocircuito cognitivo fondamentale, l’acquirente di tecnologia, di fronte a una materia complessa e non pienamente padroneggiata, tende a non massimizzare il beneficio, bensì a minimizzare il rischio percepito. Quando un venditore sposta il baricentro della conversazione dall’efficacia tecnica della soluzione alle conseguenze catastrofiche della sua assenza, sta operando una sostituzione di valore. Il bene scambiato non è più il software o l’infrastruttura di rete, ma la temporanea sospensione di uno stato d’ansia indotto.
Questa strategia si è progressivamente radicata nell’industria della sicurezza informatica fino a diventarne l’idioma fondamentale. Il meccanismo retorico si articola attraverso una sproporzione sistematica nella presentazione dei dati. Le violazioni di alto profilo, le intrusioni nei sistemi governativi o i blocchi infrastrutturali subiti dalle multinazionali vengono decontestualizzati e proiettati sul tessuto delle piccole e medie imprese o dei liberi professionisti. L’obiettivo è generare un senso di vulnerabilità universale e indifferenziata, all’interno del quale lo studio dentistico o lo studio di architettura percepiscono se stessi come bersagli di attacchi cyber-militari avanzati.
Il marketing della cybersecurity si trasforma così in una disciplina pigra e cinica, che sfrutta la cronaca nera informatica come catalizzatore di vendite. Ogni incidente informatico pubblico diventa una dimostrazione empirica del fatto che nessuno è al sicuro, e la statistica macroeconomica si trasforma in uno strumento di pressione psicologica. Questo approccio produce un labirinto di mercato in cui l’utente finale, privo degli strumenti tecnici per verificare la reale entità della minaccia e la reale efficacia del rimedio proposto, finisce per acquistare pacchetti di sicurezza sovrallocati, ridondanti e spesso del tutto inutili rispetto al proprio reale profilo di rischio.
Il teatro della sproporzione: la mercificazione dell’ansia nelle piccole organizzazioni
L’effetto più evidente dell’adozione sistematica del FUD è la distorsione dei processi di acquisto nelle organizzazioni di dimensioni medio-piccole. In questi contesti, la asimmetria informativa tra il fornitore e il cliente è massima, e la capacità di resistenza alle pressioni commerciali basate sul terrore è minima. Il risultato è una spesa informatica inefficiente, guidata dalla necessità di placare un senso di colpa e di insicurezza piuttosto che da una razionale analisi costi-benefici.
“Ed è proprio qui che il teatro della paura mostra tutta la sua sproporzione: perché uno studio dentistico dovrebbe commissionare un penetration test — che ormai, salvo contesti molto specifici, lasciano il tempo che trovano — quando gli basterebbe fare bene quelle quattro cose? Perché uno studio di architettura dovrebbe farsi vendere firewall potentissimi e sovradimensionati, pensati per infrastrutture che non ha e contro minacce che non lo riguardano? Sono acquisti che servono soprattutto a chi li vende, e a placare un’ansia che è stata accuratamente instillata proprio per poterla poi vendere a caro prezzo.”
La critica a strumenti come il penetration test o ai firewall di livello enterprise per le piccole strutture mette in luce il concetto di sovrastruttura tecnologica inutile. Un penetration test, ovvero una simulazione controllata di attacco informatico volta a individuare le vulnerabilità di un sistema, possiede una dignità tecnica indiscutibile quando applicato a infrastrutture critiche, istituti finanziari o piattaforme SaaS che gestiscono milioni di record. Tuttavia, quando questa stessa metodologia viene venduta a una micro-impresa con una rete locale elementare e pochi terminali, l’operazione perde qualsiasi utilità pratica per assumere una funzione puramente scenografica. Il test evidenzierà inevitabilmente criticità generiche, che verranno poi utilizzate per giustificare la vendita di ulteriori servizi di consulenza o di licenze software aggiuntive.
Allo stesso modo, la vendita di firewall hardware avanzati e sovradimensionati a realtà che operano prevalentemente in cloud o che non gestiscono traffico di rete complesso rappresenta un caso da manuale di dislocazione della risorsa economica. Il firewall diventa un totem, un oggetto fisico che rassicura il cliente per il solo fatto di essere presente nel rack dell’ufficio, indipendentemente dalla sua effettiva configurazione o dalla reale probabilità che l’azienda subisca un attacco a livello di rete perimetrale.
Questo fenomeno genera un danno duplice. Da un lato, drena risorse finanziarie che potrebbero essere investite nell’innovazione dei processi o nella formazione del personale; dall’altro, culla l’organizzazione in un falso senso di sicurezza. L’illusione che la spesa economica sia direttamente proporzionale al livello di protezione reale distoglie l’attenzione dalle vere falle della sicurezza informatica moderna, che sono quasi sempre di natura comportamentale e procedurale. Il cliente, convinto di aver acquistato la fortezza, smette di sorvegliare la porta.
L’alternativa metodologica: il paradigma dell’igiene digitale
In opposizione alla retorica della complessità e dell’acquisto compulsivo di soluzioni tecnologiche, emerge la necessità di una rifondazione concettuale della sicurezza informatica. La difesa dagli attacchi cyber non deve essere intesa come una merce, ma come una prassi quotidiana, un insieme di comportamenti standardizzati che riducono drasticamente la superficie di attacco dell’organizzazione.
“Eppure la verità che nessuno di quei venditori ha interesse a dirti è che la cybersecurity, prima ancora che un problema di tecnologia, è un problema di igiene mentale: non è una fortezza da comprare, ma una disciplina da praticare, ed è prima di ogni altra cosa una questione di serietà. Perché quelle poche misure che davvero contano non valgono nulla se prese alla leggera, installate una volta e poi dimenticate: funzionano soltanto se fatte con metodo, tenute aggiornate, controllate, prese sul serio giorno dopo giorno. Non serve comprare di più, serve fare sul serio quel poco che conta.”
Il concetto di igiene mentale e digitale sposta radicalmente la responsabilità dall’esterno all’interno. La metafora medica è particolarmente calzante, per prevenire la stragrande maggioranza delle infezioni biologiche non occorrono interventi chirurgici complessi o farmaci sperimentali, ma il gesto quotidiano e metodico di lavarsi le mani. Nella dimensione digitale, questo approccio si traduce nella rinuncia alla ricerca del prodotto miracoloso a favore dell’adozione rigorosa di poche, fondamentali routine sistemiche.
La sicurezza informatica efficace è intrinsecamente noiosa e ripetitiva. Essa risiede nella costanza degli aggiornamenti dei sistemi operativi, nella verifica periodica dell’integrità dei backup, nella gestione ordinata dei permessi di accesso ai dati. Il motivo per cui questa verità viene sistematicamente taciuta dai venditori di tecnologia è evidente: le abitudini non si vendono, non generano canoni di abbonamento ricorrenti e non permettono margini di profitto sulle licenze. Dire a un cliente che per essere sicuro al novantanove per cento deve semplicemente configurare correttamente gli strumenti che già possiede significa distruggere l’opportunità commerciale.
La serietà a cui si fa riferimento si misura nella capacità di resistere alla tentazione della delega tecnologica totale. L’installazione di una suite di sicurezza complessa non esime l’utente dal controllo critico dei link su cui clicca o dalla gestione prudente delle proprie credenziali. Al contrario, l’automazione eccessiva può indurre una letargia dell’attenzione, rendendo l’utente ancora più vulnerabile alle tecniche di ingegneria sociale, che si basano proprio sulla manipolazione del fattore umano e contro le quali nessun firewall può offrire una protezione assoluta.
L’efficacia statistica della semplicità procedurale
L’argomentazione a favore dell’igiene digitale non si basa su una speculazione teorica o su un idealismo minimalista, ma trova un riscontro oggettivo nei dati empirici pubblicati dai più grandi osservatori tecnologici globali. Quando si analizzano i vettori di attacco utilizzati con maggiore frequenza dai gruppi criminali, si scopre che la sofisticazione tecnica è l’eccezione, mentre lo sfruttamento della trascuratezza ordinaria è la regola.
“E per stare ragionevolmente tranquilli, appunto, basta poco: l’autenticazione a più fattori, gli aggiornamenti costanti, backup regolari, un buon gestore di password, un minimo di attenzione al phishing, un solido prodotto antiransomware e, se sei un’azienda o un professionista, una polizza cyber risk che integri già al suo interno lo strumento di protezione, così da unire in un unico gesto la copertura assicurativa e la difesa tecnica. Questo è tutto, o quasi. E che sia davvero sufficiente non lo dico io: secondo il Digital Defense Report di Microsoft una banale igiene digitale è in grado di fermare intorno al novantanove per cento degli attacchi…”
I dati citati, derivanti dalle metriche di colossi come Microsoft e Google, mettono a nudo l’inutilità della sovrastruttura commerciale del FUD. L’adozione dell’autenticazione a più fattori rappresenta, da sola, la singola contromisura più efficiente ed economica della storia dell’informatica. Il fatto che l’inserimento di un secondo fattore di verifica o la semplice presenza di un numero di telefono di recupero riescano a neutralizzare la quasi totalità dei tentativi automatici di violazione dimostra che la maggior parte dei cyber-attaccanti opera su base statistica e opportunistica. I computer dei criminali scansionano la rete alla ricerca di porte lasciate aperte, di credenziali trapelate in precedenti violazioni e riutilizzate pigramente, di sistemi non aggiornati che presentano vulnerabilità note da anni.
Di fronte a un panorama di minacce che si muove prevalentemente su queste direttrici, l’insistenza nel vendere architetture di sicurezza complesse appare come una risposta deliberatamente sproporzionata. Un buon gestore di password elimina alla radice il problema del riutilizzo delle credenziali; una pianificazione rigorosa dei backup, preferibilmente offline o immutabili, depotenzia l’efficacia ricattatoria di qualsiasi attacco ransomware; l’attenzione diffusa nel non validare richieste anomale via email neutralizza le campagne di phishing di massa.
L’introduzione della polizza cyber risk integrata rappresenta un’evoluzione pragmatica della gestione del rischio. Questo modello non nega l’esistenza del pericolo, ma lo tratta secondo le regole classiche dell’economia aziendale: mitigazione tecnica delle vulnerabilità e trasferimento finanziario del rischio residuo. L’assicuratore, agendo come soggetto terzo e privo dell’interesse a vendere hardware inutile, subordina la copertura all’adozione di quelle stesse misure minime di igiene digitale, certificando implicitamente che la vera sicurezza non si compra con l’ennesima suite software, ma si costruisce con l’ordine e la disciplina procedurale.
Dalla leggenda metropolitana all’industrializzazione del crimine
L’evoluzione del rapporto tra la minaccia cyber e l’industria della difesa è segnata da un passaggio cruciale, che separa l’era pionieristica dell’informatica dalla moderna economia dei dati. Per lungo tempo, negli ambienti tecnici e nell’immaginario collettivo, ha serpeggiato un sospetto radicale circa l’integrità morale dei produttori di soluzioni di sicurezza, un dubbio che rifletteva la profonda diffidenza del pubblico verso un mercato che sembrava autoalimentarsi.
“Del resto è sempre andata così, fin dai tempi dei primi antivirus, quando circolava insistente la voce — mai provata, va detto, e rimasta a tutti gli effetti una leggenda metropolitana — che uno o più produttori finanziassero di nascosto proprio chi i virus li scriveva, per tenere vivo il bisogno del proprio rimedio; una diceria che raccontava molto più sulla diffidenza verso quel mercato che sui fatti reali, ma che nasceva da un sospetto tutt’altro che campato in aria, e cioè che chi vende la cura possa avere interesse a mantenere viva la malattia.”
Sebbene l’idea che le aziende di antivirus creassero esse stesse le minacce sia rimasta confinata nel territorio delle leggende metropolitane, essa intercettava una verità strutturale del capitalismo tecnologico: il conflitto di interessi intrinseco a chi trae profitto dalla persistenza di uno stato di vulnerabilità. La stabilità assoluta e la totale immunità dei sistemi rappresenterebbero il punto di morte commerciale per l’industria della cybersecurity. Ciononostante, la realtà storica ha dimostrato dinamiche diverse, dove la produzione di codice malevolo non ha avuto bisogno di regie occulte per strutturarsi come un mercato autonomo e parallelo.
La transizione verso la contemporaneità ha reso del tutto obsoleta qualsiasi ipotesi di complicità interna all’industria del software, poiché la criminalità informatica ha compiuto un salto di qualità organizzativo e finanziario che l’ha proiettata ai vertici dell’economia globale sommersa. Il cybercrime non è più una galassia frammentata di singoli programmatori o di attivisti isolati, ma un settore industriale maturo, altamente specializzato e caratterizzato da volumi d’affari macroeconomici.
“Il punto è che oggi, ammesso e non concesso che una simile tentazione sia mai esistita, non avrebbe più alcun senso, perché il crimine informatico si è trasformato in un’industria dai profitti a cui nessun produttore di software potrebbe mai ambire: solo i pagamenti in criptovaluta legati al ransomware tracciati da Chainalysis hanno superato il miliardo e mezzo di dollari nel 2023, si sono aggiraju intorno agli ottocento milioni nel 2024, e in un solo episodio una singola vittima ha versato settantacinque milioni di dollari a un’unica banda, mentre l’impatto economico complessivo di certi attacchi — come quello che ha paralizzato Jaguar Land Rover — si misura ormai in miliardi.”
I dati finanziari relativi ai riscatti e agli impatti aziendali offrono la misura di questa industrializzazione. Il modello del Ransomware-as-a-Service (RaaS) ha replicato le logiche distributive del software commerciale legittimo: organizzazioni criminali centralizzate sviluppano le infrastrutture di attacco e le concedono in licenza ad affiliati sul territorio, trattenendo una percentuale sui riscatti estorti. Questo livello di capitalizzazione permette ai gruppi di investire in ricerca e sviluppo, nell’acquisto di vulnerabilità zero-day sul mercato nero e persino in servizi di assistenza clienti dedicati ad agevolare le vittime nelle operazioni di acquisto e trasferimento di criptovalute.
Di fronte a una minaccia di questa portata, la cospirazione interna non è più necessaria. La realtà supera la narrazione complottistica. L’enormità dei profitti generati dal crimine informatico garantisce un flusso costante di nuove minacce, rendendo la paura un dato di fatto oggettivo ed economicamente rilevante. Il problema sistemico si sposta dunque dal piano della produzione della minaccia a quello della gestione della risposta commerciale: l’industria della cybersecurity non ha bisogno di creare il pericolo, ma sfrutta la reale esistenza di questa industria del crimine per legittimare la vendita di soluzioni sproporzionate e per mantenere gli utenti in una condizione di subalternità psicologica e informativa.
La sovversione della consapevolezza nell’era dell’iper-connessione
L’analisi dell’economia della paura nella cybersecurity conduce a una conclusione che ribalta la prospettiva commerciale dominante. Se la minaccia è industriale e la vendita della protezione è spesso speculativa, l’unica reale difesa per le organizzazioni e per i singoli individui risiede in un cambiamento culturale profondo, che sostituisca la logica del consumo tecnologico con la logica della responsabilità operativa.
“E allora forse l’atto più sovversivo, oggi, non è comprare l’ennesima suite di sicurezza, ma capire che la sicurezza è prima di tutto una questione di igiene mentale: non un prodotto che si acquista una volta per tutte, ma un pugno di abitudini semplici che, se prese sul serio, ci mettono al riparo dalla stragrande maggioranza dei pericoli e ci liberano, come minimo, dai mercanti che su quei pericoli hanno costruito la propria fortuna. In fondo la sicurezza non chiede eroismi né budget faraonici: chiede serietà, quella sì, senza sconti — e la serietà, a differenza della paura, non è qualcosa che si possa comprare da un venditore.”
L’idea che l’acquisto di una suite di sicurezza non sia un atto di protezione, bensì una capitolazione culturale di fronte al mercato, ridefinisce i confini della consapevolezza digitale. L’approccio sovversivo consiste nello spezzare la catena della dipendenza dal fornitore, riconoscendo che la propria sicurezza dipende in larga misura dalle proprie azioni e dalla qualità dei propri processi interni.
Questa transizione richiede l’abbandono di due grandi miti della Silicon Valley, il mito dell’infallibilità tecnologica e il mito della semplificazione tramite l’acquisto. La sicurezza non è uno stato statico che si raggiunge firmando un contratto di licenza annuale, ma una condizione dinamica che si mantiene attraverso l’esercizio quotidiano della disciplina. Questa consapevolezza ha un potere liberatorio eccezionale, specialmente per il tessuto produttivo composto da piccole imprese e professionisti, poiché demistifica l’idea che la protezione informatica sia una prerogativa esclusiva delle grandi corporation dotate di budget multimilionari.
La serietà non ha un costo di licenza, non richiede hardware proprietario e non si deprezza con l’uscita della versione successiva del software. Essa esige invece tempo, attenzione e la volontà politica, all’interno dell’organizzazione, di formare le persone e di far rispettare le procedure. Quando un’azienda decide di investire sulla maturità digitale dei propri collaboratori anziché sulla ridondanza dei propri sistemi di difesa, sta compiendo una scelta strategica di lungo periodo. Questa scelta riduce drasticamente l’efficacia delle tecniche di ingegneria sociale, disinnesca le minacce più comuni e, soprattutto, sottrae l’organizzazione al ricatto psicologico dei mercanti di paura, restituendo al management il controllo razionale del proprio profilo di rischio.
