Cosa fanno le persone di fronte ad attacchi simulati di phishing e ransomware. Dati primari della piattaforma SMARTFENSE, aggregati e anonimizzati, su una base di +700 organizzazioni della regione.
Il Rapporto sul Rischio Umano è uno studio ricorrente di SMARTFENSE che misura come rispondono le persone di organizzazioni reali alle simulazioni di phishing, ransomware e altri vettori di ingegneria sociale. Si basa su dati aggregati e anonimizzati della piattaforma, senza sondaggi né autopercezione, e permette di confrontare il rischio umano per Paese, per settore e nel tempo.
Il rischio del fattore umano è la probabilità che il comportamento delle persone porti a un incidente di sicurezza. Si misura attraverso condotte osservabili (aperture, clic, invio di dati, segnalazioni) e si gestisce con un approccio continuo di awareness, simulazione e remediation.
Sì, e il dato lo mostra con chiarezza. Il tasso di clic aggregato è sceso dal 13,8% nel 2020 al 7,1% nel 2026, una riduzione vicina alla metà. Nello stesso periodo è nata la cultura della segnalazione: dallo 0% nel 2020 al 2,8% nel 2026. Le organizzazioni che mantengono il programma anno dopo anno riducono il rischio e guadagnano allerte precoci.
| Anno | Invii | Apertura | Clic | Segnalazione |
|---|---|---|---|---|
| 2020 | +35.000 | 36,5% | 13,8% | 0,0% |
| 2021 | +110.000 | 31,1% | 11,2% | 0,5% |
| 2022 | +350.000 | 43,0% | 9,5% | 0,6% |
| 2023 | +540.000 | 41,1% | 7,6% | 1,1% |
| 2024 | +620.000 | 39,2% | 6,9% | 0,9% |
| 2025 | +800.000 | 40,3% | 7,4% | 1,2% |
| 2026 (parziale) | +570.000 | 47,7% | 7,1% | 2,8% |
Il 2026 include i dati fino a giugno. Gli anni 2018-2019 sono esclusi dalla tabella per campione ridotto (meno di 15.000 invii annui) pur rientrando nell'aggregato globale.
La lettura del 2026 è la più rivelatrice della serie. Le email raggiungono l'apertura più alta mai registrata (47,7%), coerente con esche scritte sempre meglio nell'era del phishing assistito dall'IA, eppure il clic non segue quella salita e la segnalazione raddoppia. Gli attacchi migliorano; le persone formate, anche.
Nove Paesi superano i 10.000 invii di phishing simulato nel dataset. L'Italia registra il tasso di clic più alto (10,6%) e il Cile il più basso (5,4%). Panama guida la cultura della segnalazione (7,5%), seguito dal Perù (6,8%), entrambi ben sopra la media regionale.
| Paese | Invii | Apertura | Clic | Dati inviati | Segnalazione |
|---|---|---|---|---|---|
| Italia | +85.000 | 53,6% | 10,6% | 2,6% | 1,2% |
| Ecuador | +80.000 | 46,6% | 9,3% | 2,6% | 3,4% |
| Colombia | +70.000 | 34,2% | 9,2% | 3,3% | 0,6% |
| Perù | +220.000 | 50,5% | 9,0% | 3,2% | 6,8% |
| Argentina | +1,3M | 49,1% | 8,2% | 2,8% | 0,7% |
| Spagna | +310.000 | 34,7% | 8,0% | 2,3% | 1,2% |
| Messico | +220.000 | 25,4% | 7,9% | 0,7% | 0,2% |
| Panama | +40.000 | 21,9% | 5,5% | 1,1% | 7,5% |
| Cile | +620.000 | 31,3% | 5,4% | 1,5% | 0,7% |
Solo Paesi con +10.000 invii. L'Argentina concentra il campione più grande (+1,3M di invii). Percentuali sul totale degli invii di ciascun Paese.
L'Energia guida il tasso di clic (12,3%) e i Trasporti registrano il più basso (4,8%). Le Assicurazioni combinano un clic alto (9,3%) con il miglior tasso di segnalazione settoriale (6,1%).
| Settore | Invii | Apertura | Clic | Segnalazione |
|---|---|---|---|---|
| Energia | +60.000 | 44,1% | 12,3% | 5,2% |
| Istruzione | +20.000 | 48,3% | 10,7% | 0,0% |
| ICT | +55.000 | 40,5% | 9,8% | 1,2% |
| Assicurazioni | +160.000 | 43,2% | 9,3% | 6,1% |
| Alimentare | +50.000 | 35,6% | 8,8% | 0,9% |
| Pubblica amministrazione | +110.000 | 32,3% | 8,1% | 1,5% |
| Servizi | +990.000 | 53,5% | 8,0% | 0,4% |
| Banche/Finanza | +570.000 | 31,9% | 7,7% | 2,5% |
| Sanità | +160.000 | 48,1% | 6,7% | 0,1% |
| Industria | +620.000 | 32,7% | 5,5% | 0,5% |
| Retail | +40.000 | 27,4% | 5,4% | 4,0% |
| Trasporti | +35.000 | 45,1% | 4,8% | 0,5% |
Solo settori con almeno 5 organizzazioni con dati (criterio di pubblicazione anti reidentificazione). Percentuali sul totale degli invii del settore.
Il dataset registra anche la condotta verso i contenuti formativi. Il segnale è coerente: quando il contenuto arriva nella casella, una parte importante dell'organizzazione lo completa.
I dati escludono le interazioni generate da software di sicurezza (sandbox, gateway, scanner, verificatori di link). SMARTFENSE rileva e filtra automaticamente queste interazioni. Negli strumenti privi di questo filtraggio, clic e download risultano sistematicamente sovrastimati.
Gli stessi dati che vedi in questa pagina, confezionati per il comitato: grafici presentabili, metodologia estesa e commento esecutivo. Te lo inviamo subito via email.
In una demo ti mostriamo come misurare il rischio umano della tua organizzazione con la stessa metodologia di questo rapporto e come ridurlo con un programma costante.