di Martina Casartelli

Secondo il Global Cybersecurity Outlook 2025 del World Economic Forum, l’intelligenza artificiale è oggi considerata uno dei principali fattori di rischio per la cybersecurity, contribuendo ad aumentare la complessità e la sofisticazione degli attacchi.

Il report evidenzia come i leader aziendali stiano progressivamente cambiando prospettiva, riconoscendo i cyber-rischi come minacce dirette non solo alla continuità operativa, ma anche al valore del marchio. Circa il 43% dei responsabili della sicurezza teme che i cyberattacchi possano causare interruzioni o rallentamenti dei processi aziendali. Tuttavia, l’impatto più critico di questi eventi non si esaurisce sul piano operativo: le conseguenze reputazionali possono essere immediate, profonde e durature, incidendo sulla fiducia di stakeholder, clienti e partner.

La ricerca più recente in ambito di crisis management e comunicazione evidenzia infatti come i data breach debbano essere letti a tutti gli effetti come crisi reputazionali. Nella percezione degli stakeholder, una violazione dei dati diventa rapidamente un indicatore della qualità della governance, della cultura organizzativa e della capacità dell’impresa di assumersi responsabilità. È in questo spazio, spesso nelle prime ore successive all’incidente, che si gioca una parte rilevante del capitale reputazionale.

La reputazione aziendale si costruisce nel tempo quando trasparenza, coerenza e responsabilità risultano pienamente allineate. Qualsiasi disallineamento, soprattutto in situazioni di crisi, può generare confusione, alimentare sospetti e indebolire la fiducia. Una gestione inadeguata delle crisi reputazionali legate agli attacchi informatici rischia di essere percepita come una mancanza di accountability, amplificando il danno ben oltre l’evento tecnico.

Un caso particolarmente significativo a livello internazionale è quello di Optus, in Australia. Il data breach del 2022, che ha coinvolto circa 9,5 milioni di clienti, ha rapidamente superato la dimensione aziendale, trasformandosi in una questione di rilievo istituzionale e politico. Alcuni esponenti del governo australiano hanno infatti criticato pubblicamente l’operatore, non solo per l’incidente in sé, ma per una gestione iniziale giudicata poco trasparente e scarsamente collaborativa nei confronti delle autorità e dei cittadini coinvolti.
L’episodio ha contribuito ad accelerare un intervento normativo volto a rafforzare i meccanismi di risposta agli attacchi informatici, ampliando la possibilità di condivisione delle informazioni tra soggetti pubblici, istituzioni finanziarie e operatori di infrastrutture critiche. Sul piano delle misure adottate, Optus ha avviato una revisione indipendente dei propri sistemi, ha offerto supporto concreto ai clienti più colpiti, inclusa la copertura dei costi per la sostituzione dei documenti compromessi e l’accesso a servizi di monitoraggio del credito, e ha presentato scuse ufficiali. Nonostante ciò, una parte della clientela ha continuato a denunciare risposte ritenute tardive o insufficienti, mentre indagini e azioni legali promosse dagli utenti hanno contribuito a prolungare nel tempo l’impatto reputazionale dell’evento.

Anche in Italia, i casi di attacchi informatici e data breach sono sempre più frequenti e sempre più esposti mediaticamente. Si pensi, ad esempio, alla violazione dei dati relativi alle utenze SPID subita da InfoCert nel 2025, o alla sanzione da 2,8 milioni di euro inflitta a UniCredit per misure di sicurezza ritenute insufficienti e per una gestione inadeguata delle notifiche di violazione. Episodi che confermano come la cybersecurity sia ormai una questione che intreccia compliance, reputazione e fiducia pubblica.

Gli studi sulla comunicazione di crisi mostrano con chiarezza che non è tanto la gravità dell’incidente a determinare l’impatto reputazionale finale, quanto la qualità della risposta dell’organizzazione. Nei casi di violazione dei dati, la prima regola è reagire tempestivamente: identificare l’incidente, contenerlo e valutare l’estensione dei dati coinvolti. Parallelamente, è fondamentale attivare una comunicazione chiara e trasparente verso clienti, partner, autorità e media, per evitare vuoti informativi che possano essere colmati da narrazioni esterne o speculative.

L’impatto reputazionale è spesso più rapido e duraturo del danno tecnico. Quando la comunicazione è lenta, incoerente o eccessivamente difensiva, la fiducia può crollare rapidamente e l’organizzazione rischia di apparire impreparata o non pienamente responsabile. Al contrario, messaggi coerenti, tempestivi e calibrati, che dimostrino controllo della situazione, assunzione di responsabilità e capacità di protezione dei dati, contribuiscono a contenere il danno e a preservare la credibilità.

Per gestire efficacemente l’impatto legale e operativo, è essenziale un coordinamento stretto tra team legale, IT e comunicazione. Ogni messaggio pubblico deve essere allineato alla strategia legale e, al tempo stesso, rassicurare per quanto possibile i diversi pubblici dell’organizzazione, nel rispetto delle normative sulla privacy e degli obblighi di notifica.

Infine, una gestione strutturata della crisi reputazionale richiede un monitoraggio costante dell’impatto attraverso report interni, media monitoring e social listening, oltre all’aggiornamento continuo dei portavoce e alla predisposizione di azioni correttive e preventive. In questo modo, le imprese possono non solo minimizzare il danno reputazionale, ma anche avviare un percorso di ricostruzione della fiducia, trasformando una crisi cyber in un banco di prova della propria solidità e affidabilità nel lungo periodo.