Sicurezza e-commerce: ransomware, frodi e backup

In breve: la sicurezza di un e-commerce si regge su cinque abitudini: aggiornamenti rapidi di plugin, temi e app, autenticazione a due fattori su ogni account, backup offline provati con un ripristino reale, un controllo costante degli script nella pagina di pagamento e un personale che sa riconoscere il phishing. Il ransomware-as-a-service rende gli attacchi più frequenti, mentre l'AI aiuta a vederli prima.

Il ransomware è presente nel 48% delle violazioni analizzate dal Verizon DBIR 2026, e il 31% delle violazioni parte da una vulnerabilità software.
Su WordPress il 96% delle nuove vulnerabilità del 2024 riguardava i plugin, non il core.
Un backup conta solo se è separato dal sito e se il ripristino è stato provato.
L'AI è utile per accorgersi di accessi, ordini e traffico anomali, ma non sostituisce patch, backup e autenticazione forte.

Per chi vende online un attacco riuscito ha un costo immediato e visibile: il negozio fermo, gli ordini che non arrivano, i dati dei clienti esposti, i clienti B2B che chiedono spiegazioni, una fiducia che si ricostruisce molto più lentamente del sito. Secondo il report IBM Cost of a Data Breach 2026 il costo medio globale di una violazione ha raggiunto 4,99 milioni di dollari, il 12% in più dell'anno precedente. Un e-commerce medio non arriva a quelle cifre, ma un fermo di tre giorni in alta stagione basta a metterlo in difficoltà. Qui trovi minacce e contromisure per Shopify e WordPress, in ordine di priorità.

Cos'è il ransomware-as-a-service e perché colpisce anche gli e-commerce?

Il ransomware è un software malevolo che cifra i dati di un'azienda e chiede un riscatto per restituirli. Il ransomware-as-a-service (RaaS) è il modello con cui oggi viene distribuito: un gruppo criminale sviluppa il ransomware e lo affitta ad altri, gli affiliati, che conducono gli attacchi e dividono i riscatti con chi ha scritto il codice.

Il National Cyber Security Centre britannico lo descrive come il modello di business più diffuso: i gruppi mettono a disposizione degli affiliati un portale web per personalizzare il ransomware, spesso con una piattaforma per gestire la trattativa sul riscatto. Attorno a loro lavorano gli initial access broker, che raccolgono e rivendono accessi già ottenuti a reti, pannelli di amministrazione e account.

Il modello assomiglia a un franchising: chi sviluppa mette strumenti, infrastruttura e "marchio", l'affiliato porta gli attacchi e in cambio cede una quota dei riscatti. Secondo il NCSC la specializzazione, gli strumenti facili da usare e i mercati e forum criminali online hanno abbassato la barriera d'ingresso. Scrivere un ransomware non è difficile dal punto di vista tecnico, e il codice di famiglie note come LockBit 3.0 e Conti è finito online al punto da poter essere usato da chiunque. I gruppi più strutturati lavorano come aziende vere, con uffici e stipendi; quelli piccoli, collaborando tra loro, riescono comunque a causare danni rilevanti.

Per un e-commerce non serve essere un bersaglio "interessante": basta un accesso rivendibile, come un plugin non aggiornato, una password riutilizzata da un collaboratore o un pannello hosting senza doppio fattore.

C'è poi la doppia estorsione: prima di cifrare, gli attaccanti copiano i dati (anagrafiche, ordini, listini riservati ai rivenditori) e minacciano di pubblicarli. Il NCSC segnala anche gruppi che rubano ed estorcono senza usare affatto il ransomware. Il backup ti rimette online, ma non riporta indietro i dati usciti.

Ruolo nel modello RaaS	Cosa fa	Cosa significa per te
Sviluppatore (operatore)	Scrive il ransomware, gestisce il portale e il sito dove pubblica i dati rubati	Gli strumenti migliorano di continuo e arrivano a chiunque paghi
Initial access broker	Raccoglie e rivende accessi a siti, server e account	Una credenziale rubata oggi può essere usata da altri settimane dopo
Affiliato	Entra, copia i dati, avvia la cifratura, tratta il riscatto	L'attacco arriva da chi ha trovato il punto debole, non da chi ti ha scelto

Quali sono le minacce reali per un e-commerce o un'azienda B2B?

Le minacce che fermano davvero un negozio online sono quattro: ransomware, furto di credenziali, sottrazione dei dati di pagamento dal browser (e-skimming) e frodi sugli ordini. Nella grande maggioranza dei casi entrano da due porte: una persona ingannata o un software non aggiornato.

L'ENISA Threat Landscape 2025, che ha analizzato 4.875 incidenti tra luglio 2024 e giugno 2025, indica il phishing come primo vettore di accesso, con circa il 60% dei casi, seguito dallo sfruttamento di vulnerabilità al 21,3%. Lo stesso rapporto definisce il ransomware la minaccia con l'impatto maggiore nell'Unione europea. Il Verizon DBIR 2026 registra invece un sorpasso: il 31% delle violazioni parte da una vulnerabilità software, più delle credenziali rubate.

Minaccia	Come entra di solito	Impatto su un e-commerce	Prima difesa
Ransomware	Plugin vulnerabile, accesso remoto o hosting compromesso	Sito e gestionale fermi, dati cifrati e copiati	Aggiornamenti e backup offline
Furto di credenziali	Email di phishing a chi gestisce il negozio	Accesso al pannello, agli ordini e ai dati dei clienti	Doppio fattore su tutti gli account
E-skimming	Script modificato o aggiunto alla pagina di checkout	Dati delle carte rubati mentre il cliente paga	Inventario e monitoraggio degli script
Frodi sugli ordini	Carte rubate, account dei clienti violati	Chargeback, merce persa, account sospesi dal gateway	Regole antifrode e controlli sugli ordini anomali

Un esempio B2B: un distributore con area riservata ai rivenditori, listini personalizzati e ordini ricorrenti. Se un agente usa la stessa password per l'email e per il portale, un solo phishing riuscito espone prezzi, condizioni e anagrafiche di tutta la rete. Il danno è commerciale prima che tecnico.

Come proteggere un sito Shopify o WordPress: la checklist

La differenza principale sta in chi risponde di cosa. Su Shopify i server, gli aggiornamenti della piattaforma e il checkout sono gestiti dal fornitore; restano a te account, app installate e codice del tema. Su WordPress e WooCommerce la responsabilità è quasi tutta tua o di chi gestisce il sito.

Il dato che orienta le priorità su WordPress viene da Patchstack: nel 2024 sono state segnalate 7.966 nuove vulnerabilità nell'ecosistema WordPress, il 96% nei plugin e il 4% nei temi, solo sette nel core. Il 33% non era ancora stato corretto al momento della divulgazione pubblica, e lo sfruttamento può partire nel giro di poche ore. Se usi WordPress per il negozio, la guida su AI e CMS per le aziende spiega come valutare plugin ed estensioni prima di installarli.

Shopify

Verifica a due passaggi obbligatoria per il titolare e per ogni account staff.
Permessi minimi: chi gestisce gli ordini non ha bisogno di accedere a pagamenti e impostazioni.
Revisione trimestrale delle app: rimuovi quelle non usate e controlla a quali dati accedono.
Controllo degli script aggiunti al tema da app e agenzie, soprattutto quelli di tracciamento.
Esportazione periodica di prodotti, clienti e ordini, oppure un'app di backup dedicata: la piattaforma protegge il servizio, non le modifiche sbagliate fatte dal tuo staff.

WordPress e WooCommerce

Aggiornamenti di core, plugin e temi con una cadenza fissa, e subito per le falle critiche.
Meno plugin possibile: ognuno in più è codice di terzi da mantenere.
Doppio fattore e password uniche per amministratori, hosting, FTP e database.
Modifica dei file dal pannello disattivata e accesso amministrativo limitato.
Web application firewall e scansione periodica dei file.
Backup automatici giornalieri conservati fuori dal server del sito.

Per entrambi: la pagina di pagamento

Lo standard PCI DSS v4.x include due requisiti pensati contro l'e-skimming, il 6.4.3 e l'11.6.1: gli script della pagina di pagamento devono essere autorizzati, verificati nella loro integrità e monitorati contro le manomissioni. In pratica significa tenere un elenco degli script che girano al checkout, sapere chi li ha aggiunti e ricevere un avviso se qualcosa cambia. Vale anche per chi integra metodi di pagamento B2B.

Perché la formazione del personale conta quanto la tecnologia?

Perché la porta d'ingresso più usata è una persona. Con il phishing al primo posto tra i vettori d'accesso secondo l'ENISA, l'email aperta da chi gestisce ordini, clienti o fornitori pesa quanto un plugin non aggiornato. La guida #StopRansomware della CISA raccomanda un programma di formazione che insegni a riconoscere e a segnalare attività sospette, ripetuto con regolarità, insieme all'etichetta "esterno" sulle email che arrivano da fuori azienda.

Il NCSC spiega anche perché il doppio fattore è la contromisura che rende la formazione meno fragile: nei forum criminali circolano credenziali rubate da malware chiamati stealer, e l'autenticazione a più fattori sugli account accessibili da remoto rende molto più difficile usarle. Per un team e-commerce la formazione utile è breve e concreta:

Le esche tipiche del settore: finte notifiche del corriere, del gateway di pagamento, della piattaforma o del marketplace, con link a pagine di login copiate.
Le richieste di cambio IBAN: nel B2B una mail di un fornitore o di un cliente che comunica nuove coordinate bancarie si verifica sempre con una telefonata a un numero già noto.
Gli indicatori di compromissione: un account che invia email mai scritte, password che smettono di funzionare, notifiche di accesso da dispositivi sconosciuti.
Come e a chi segnalare: un canale unico, una persona di riferimento e nessuna colpa per chi segnala un errore. Un clic ammesso subito costa molto meno di un clic nascosto.

Backup e aggiornamenti: come impostarli perché funzionino davvero?

Un backup funziona se rispetta tre condizioni: è separato dal sito, è cifrato e il ripristino è stato provato. La guida #StopRansomware della CISA raccomanda backup offline e cifrati dei dati critici, con test regolari di disponibilità e integrità, perché molte varianti di ransomware cercano e cancellano le copie raggiungibili dalla rete. Il NCSC conferma che la maggior parte dei ransomware include funzioni per eliminare i backup locali proprio per ostacolare il ripristino.

La regola pratica più usata è il 3-2-1: tre copie dei dati, su due supporti diversi, di cui una fuori sede e non raggiungibile dal sito. Per un e-commerce le cose da salvare sono database (ordini, clienti, prodotti), file del sito, configurazioni e, spesso dimenticate, le integrazioni: chiavi API, webhook, regole di spedizione e fiscali.

Per gli aggiornamenti conviene separare due flussi. Quelli di sicurezza vanno applicati entro pochi giorni, o entro ore se la falla è già sfruttata. Quelli funzionali si provano prima su una copia del sito (staging) e poi si pubblicano. La fretta sulle patch di sicurezza ha una ragione precisa: secondo il NCSC, nella maggior parte dei casi un exploit per una falla appena corretta circola nei forum criminali in meno di una settimana dal rilascio della patch, perché gli attaccanti analizzano gli aggiornamenti per capire che cosa sfruttare.

Che ruolo ha l'AI nel rilevamento delle minacce?

La sicurezza tradizionale è reattiva: si interviene dopo l'attacco, quando il danno è già iniziato. L'AI sposta il lavoro verso la prevenzione perché analizza in continuo accessi, traffico, transazioni e modifiche ai file, e segnala i comportamenti sospetti prima che diventino un incidente. Serve soprattutto a notare quello che un controllo manuale perde: un accesso da un paese insolito alle tre di notte, un picco di ordini con carte diverse dallo stesso dispositivo, un file del tema modificato senza un rilascio pianificato.

Il report IBM 2026 stima un risparmio medio di 1,93 milioni di dollari per le organizzazioni che usano in modo esteso AI e automazione nella sicurezza, rispetto a quelle che non le usano. Per un e-commerce gli usi concreti sono tre:

Antifrode sugli ordini: modelli che assegnano un punteggio di rischio in base a dispositivo, indirizzo, storico e velocità degli acquisti.
Analisi degli accessi: avvisi su login anomali al pannello, all'hosting o al gestionale.
Monitoraggio di file e script: segnalazione di modifiche non previste, soprattutto al checkout.

Non sempre serve un progetto a parte. Una parte di queste funzioni è già nei servizi che un e-commerce usa: Stripe, per esempio, descrive il suo Radar come un sistema antifrode basato su un'AI che sfrutta la rete globale di Stripe. Il primo passo pratico è spesso attivare e configurare bene ciò che piattaforma e gateway offrono, e solo dopo valutare strumenti dedicati, misurandone il ritorno.

Anche gli attaccanti usano l'AI. L'ENISA riporta che a inizio 2025 le campagne di phishing supportate dall'AI rappresentavano oltre l'80% dell'attività di social engineering osservata nel mondo: email scritte meglio, personalizzate, senza gli errori che prima le tradivano. Gli avvisi generati dall'AI diventano efficaci quando finiscono in un flusso automatico che apre un ticket o blocca un account, come si vede nell'automazione dei processi aziendali. Per capire se lo strumento rende davvero, valgono gli stessi criteri dei KPI per misurare il valore dell'AI: tempo di rilevamento, falsi positivi, frodi bloccate.

Come capire se il tuo e-commerce è stato violato?

Un ransomware si annuncia da solo, con file illeggibili e una richiesta di riscatto. Le altre intrusioni no: un e-skimmer può restare attivo per settimane mentre il negozio funziona normalmente. Per questo conviene sapere quali segnali guardare e chi può accorgersene prima di te.

Il primo controllo gratuito è Google Search Console: se Google rileva che il sito è stato compromesso o che danneggia i visitatori, per esempio con phishing o malware, il report Problemi di sicurezza lo segnala, e le pagine coinvolte possono comparire nei risultati di ricerca con un'etichetta di avviso o essere precedute da una pagina di avviso nel browser.

Segnale	Cosa può indicare	Cosa controllare subito
Più clienti segnalano addebiti anomali sulla carta dopo un acquisto	E-skimming al checkout	Script della pagina di pagamento e modifiche recenti al tema
Utenti amministratori, app o plugin che nessuno ricorda di aver aggiunto	Accesso non autorizzato al pannello	Registro degli accessi, elenco utenti, permessi delle app
Reindirizzamenti verso altri siti o pagine indicizzate che non hai mai creato	File del sito modificati, spam iniettato	Search Console, file modificati di recente, database
Avviso di sicurezza di Google o del browser sul tuo dominio	Sito classificato come compromesso	Report Problemi di sicurezza in Search Console
Email inviate dal tuo dominio che nessuno ha scritto, password che non funzionano più	Account email o pannello violato	Accessi recenti, regole di inoltro della posta, doppio fattore

Se trovi uno di questi segnali, tratta il caso come un incidente e segui i passi della sezione successiva: pulire il sito senza capire da dove sono entrati di solito significa ritrovarsi lo stesso problema poche settimane dopo.

Cosa fare nelle prime 24 ore di un attacco?

Nelle prime ore conta isolare, preservare e comunicare, in quest'ordine. La CISA raccomanda un piano di risposta agli incidenti scritto, provato e conservato anche su carta e offline, perché durante un attacco i sistemi aziendali potrebbero non essere accessibili.

Metti il negozio in manutenzione e isola i sistemi colpiti, possibilmente senza spegnerli, per conservare le tracce.
Cambia le credenziali di amministrazione, hosting ed email da un dispositivo pulito e attiva il doppio fattore dove manca.
Avvisa l'hosting o la piattaforma, il gateway di pagamento e chi gestisce tecnicamente il sito.
Valuta con il consulente privacy se c'è una violazione di dati personali: il GDPR chiede di notificarla al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando se ne è venuti a conoscenza, salvo che sia improbabile un rischio per le persone coinvolte.
Prima di pensare al riscatto, controlla se esiste uno strumento di decifratura gratuito: il progetto No More Ransom, sostenuto da Europol e dalla polizia olandese, raccoglie strumenti di decriptazione e consiglia di non pagare.
Segnala o denuncia l'accaduto alla Polizia Postale, che sul suo portale indica anche le informazioni da fornire in caso di accesso illecito a un sistema informatico; se hai una polizza cyber, avvisa subito l'assicurazione, che la CISA include tra i soggetti da coinvolgere.
Ripristina da un backup precedente all'intrusione, dopo aver chiuso la falla da cui sono entrati, altrimenti l'attacco si ripete.

Se la tua azienda rientra nella NIS2, alla notifica privacy si aggiunge quella degli incidenti significativi al CSIRT Italia, come spiegato nella sezione seguente.

Il tuo e-commerce B2B rientra negli obblighi NIS2?

Dipende dal settore e dalle dimensioni dell'azienda, non dal fatto di vendere online. Il decreto legislativo 138/2024, che recepisce la direttiva NIS2, è in vigore dal 16 ottobre 2024 e l'Agenzia per la cybersicurezza nazionale (ACN) è l'autorità competente. Il campo di applicazione copre 18 settori, tra cui alcuni comparti della fabbricazione, la produzione, trasformazione e distribuzione di alimenti e i fornitori di servizi digitali. Riguarda le medie e grandi imprese; le piccole e micro imprese sono in generale fuori ambito, salvo casi individuati dall'Autorità.

Per chi rientra, gli obblighi valgono per l'intera infrastruttura informatica: un portale B2B o un e-commerce di un produttore di medie dimensioni ne fa parte. Secondo l'ACN, la registrazione o il suo aggiornamento si fanno dal 1° gennaio al 28 febbraio di ogni anno, da gennaio 2026 scatta l'obbligo di notificare gli incidenti significativi al CSIRT Italia e entro ottobre 2026 vanno adottate le misure di sicurezza di base. Gli ambiti toccati includono gestione del rischio, responsabilità aziendale, continuità operativa e sicurezza della catena di approvvigionamento.

Anche se la tua azienda non rientra, la NIS2 può arrivarti dai clienti: chi è soggetto agli obblighi deve occuparsi della sicurezza dei fornitori, e quindi può chiedere garanzie su backup, accessi e gestione degli incidenti. Avere già le misure di questo articolo documentate rende queste richieste molto più semplici da gestire. La verifica dell'ambito va fatta con un consulente legale sul testo del decreto e sugli strumenti dell'ACN.

Come applicarlo nella tua azienda: i primi passi

Prendiamo uno scenario tipico: un e-commerce B2B di ricambi su WooCommerce, 30 plugin installati, quattro persone con accesso al pannello, un backup giornaliero salvato sullo stesso server del sito. Ecco da dove partirei, con un risultato misurabile per ogni passo.

Inventario in una settimana: elenco di account, plugin o app, script del checkout e integrazioni, con un responsabile per ciascuno. Obiettivo: zero voci senza un nome accanto.
Doppio fattore al 100%: su pannello, hosting, dominio, email e gateway di pagamento, entro 15 giorni.
Backup spostato fuori dal server e una prova di ripristino completo su un ambiente di test, cronometrata. Il tempo misurato diventa il tuo tempo massimo di fermo da comunicare alla direzione.
Calendario aggiornamenti: un giorno fisso a settimana più una regola per le falle critiche (entro 48 ore). Meno plugin a fine trimestre rispetto all'inizio.
Avvisi automatici: login anomali, modifiche ai file e ordini ad alto rischio inviati a una persona precisa, con un tempo di presa in carico concordato.

Se il negozio è anche il canale principale verso i rivenditori, conviene leggere queste misure insieme alle scelte di piattaforma descritte nella guida al futuro dell'e-commerce B2B e a quella sull'e-commerce sicuro con tecnologie avanzate.

Errori da evitare

Tenere il backup sullo stesso server del sito: il ransomware lo cifra insieme a tutto il resto.
Considerare Shopify "sicuro di default": la piattaforma protegge l'infrastruttura, non gli account del tuo staff né le app che installi.
Rimandare gli aggiornamenti per paura di rompere il sito: si risolve con un ambiente di test, non con l'attesa.
Affidarsi solo all'AI: un sistema di rilevamento che segnala un problema senza backup né piano di risposta ti dice solo che il danno è in corso.
Lasciare attivi gli account di ex collaboratori e agenzie: sono tra gli accessi più facili da rivendere.

Domande frequenti (FAQ)

Cos'è il ransomware-as-a-service in parole semplici?

È un modello in cui chi sviluppa un ransomware lo affitta ad altri criminali, gli affiliati, che conducono gli attacchi e dividono i riscatti con gli sviluppatori. Abbassa le competenze necessarie per attaccare e quindi aumenta il numero di attacchi. Per un e-commerce significa che il rischio dipende dai punti deboli del sito, non da quanto è grande l'azienda.

Shopify è più sicuro di WordPress per un e-commerce?

Shopify riduce le cose da gestire, perché server, aggiornamenti della piattaforma e checkout sono a carico del fornitore. WordPress con WooCommerce lascia più controllo e più responsabilità: plugin, temi, hosting e backup sono a tuo carico. Entrambi diventano insicuri con account senza doppio fattore e script non controllati.

Ogni quanto devo fare il backup del mio e-commerce?

Per un negozio con ordini quotidiani il backup del database dovrebbe essere almeno giornaliero, e più frequente nei periodi di picco. Almeno una copia va conservata fuori dal server e non deve essere raggiungibile dal sito. Il ripristino va provato almeno una volta a trimestre, cronometrando quanto tempo serve per tornare online.

Conviene pagare il riscatto?

Pagare non garantisce né una chiave funzionante né la cancellazione dei dati copiati, e secondo il NCSC non evita necessariamente le sanzioni previste dal GDPR per la violazione. Il Verizon DBIR 2026 rileva che le aziende scelgono spesso di non pagare e che gli importi dei riscatti sono in calo. La decisione va presa con legali e tecnici, ma un backup offline provato è ciò che ti permette di non dover scegliere sotto pressione.

L'intelligenza artificiale basta a proteggere un e-commerce?

No. L'AI è efficace nel rilevare accessi, ordini e modifiche anomale, e riduce il tempo in cui un attacco resta inosservato. Non chiude le vulnerabilità, non sostituisce il doppio fattore e non recupera i dati cifrati. Funziona come strato aggiuntivo sopra aggiornamenti, backup e un piano di risposta.

Cosa devo fare per legge se subisco una violazione dei dati dei clienti?

Se l'attacco riguarda dati personali, il titolare deve notificare la violazione al Garante privacy senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile che comporti rischi per le persone. Se il rischio per le persone è elevato, vanno informati anche i clienti coinvolti. Documenta da subito cosa è successo e quali misure hai preso.

Come capisco se il mio e-commerce è stato hackerato?

I segnali più comuni sono clienti che lamentano addebiti anomali dopo un acquisto, utenti o plugin che nessuno ha aggiunto, reindirizzamenti verso altri siti, pagine indicizzate mai create ed email partite dal tuo dominio senza che nessuno le abbia scritte. Controlla anche il report Problemi di sicurezza di Google Search Console, che segnala i siti che Google ritiene compromessi. Se trovi uno di questi segnali, trattalo come un incidente prima di ripulire il sito.

Fonti

Se vuoi sapere dove il tuo e-commerce è più esposto e da quale intervento partire, richiedi una diagnosi gratuita.