You have almost certainly read that 60% of small businesses close within six months of a cyberattack.
It appears everywhere. News outlets, vendor pages, government talks, conference slides.
There is one problem with it.
It is not true, and the organisation usually credited with it has publicly said so.
The National Cybersecurity Alliance issued a statement confirming the figure did not come from their research and that they cannot verify its source (National Cybersecurity Alliance, 2026).
So let us look at what the real numbers say instead. 🛡️
🎁 Compare Backup and Security Trials →
🧾 Risultati principali in sintesi
| Misura | Figura | Fonte |
|---|---|---|
| The famous “60% close” figure | Unverified, disavowed | National Cybersecurity Alliance (2026) |
| SMBs going out of business after an attack | About 19% | Mastercard survey, cited 2026 |
| Cyberattacks aimed at SMBs | About 43% | Astra (2026) |
| Ransomware present in SMB breaches | 88% | Verizon DBIR (2025) |
| Same figure at large organisations | 39% | Verizon DBIR (2025) |
| Average ransomware downtime | About 24 days | Huntress (2026) |
| Recovery cost, excluding ransom | $1.53 million average | Huntress (2026) |
| Typical small business range | $120,000 to $1.24 million | SQ Magazine (2026) |
🧟 The Statistic That Refuses to Die
This deserves proper attention, because it shapes how people think about the whole topic.
The 60% claim first appeared around 2011.
It has been repeated for roughly fifteen years without anyone producing the underlying study.
What the NCSA actually said
The National Cybersecurity Alliance is the body most often credited with the figure.
They published a statement noting the statistic was not generated from their research.
They also confirmed they cannot verify its original source.
They stopped using it in their own materials.
Why it spread so effectively
It is memorable, alarming and useful to anyone selling security products.
Each retelling cited the previous one rather than any primary source.
After enough repetitions, it looked like established fact.
📊 The myth against the measured figure
What the real number appears to be
A Mastercard survey covered more than 5,000 small business owners. Almost one in five who suffered an attack went out of business.
That is roughly 19%, not 60%.
Still serious. Still a fifth of affected businesses. But a third of the claim.
Why the correction matters
Inflated statistics do not make people safer.
They make the problem feel unsurvivable, which encourages fatalism rather than action.
And when someone discovers one figure was invented, they discount the accurate ones too.
🎯 Why Small Businesses Are Targeted
The genuine finding here is stark, and better evidenced than the myth.
Ransomware was present in 88% of breaches at small and mid-sized businesses (Verizon, 2025).
At large organisations the figure was 39%.
More than double the rate.
📊 Ransomware present in breaches, by organisation size
Why the gap exists
Large organisations have security teams, tested backups and incident plans.
They still get attacked, but ransomware succeeds less often.
Small businesses are not attacked more because they are chosen. They are attacked more because attacks succeed.
The automation point
Most ransomware is not targeted at a specific company.
Automated tools scan for known weaknesses across the whole internet.
Being small does not make you invisible. It often makes you easier.
⏱️ What an Attack Actually Costs
The financial figures are wide, and the reason is worth knowing.
| Cost element | Typical scale |
|---|---|
| Downtime | Around 24 days on average |
| Recovery excluding ransom | $1.53 million average |
| Small business range | $120,000 to $1.24 million |
| Ransom itself | Highly variable, often not the largest cost |
| Lost customers | Runs long after recovery |
Note that the ransom is rarely the biggest line.
Twenty-four days of downtime destroys more value than most ransom demands.
Why downtime dominates
A business that cannot invoice, deliver or answer customers for three weeks is in serious trouble.
Staff still get paid. Rent still falls due.
Revenue stops while costs continue, and that gap is what closes companies.
The range tells you something
$120,000 to $1.24 million is an enormous spread.
The difference is almost entirely preparation.
Businesses with tested backups recover in days. Those without recover in weeks or never.
📊 Where the Money Actually Goes
Splitting the cost shows why preparation changes the outcome so much.
🥧 Typical ransomware cost breakdown
Notice how small the ransom slice is.
Most of the damage happens while the business cannot operate.
Why that changes what to spend on
If downtime is the main cost, the main defence is fast recovery.
That means tested backups, not just more prevention tools.
A business that restores in two days avoids most of the loss (SQ Magazine, 2026).
The sectors that suffer longest
Recovery times vary widely by industry.
Manufacturing tends to be slowest, because physical processes stop.
Financial firms recover fastest, largely because they rehearse it (Huntress, 2026).
💾 Why Backups Are the Whole Game
Ransomware works by making your data unavailable.
A working backup makes that threat far weaker.
But most backup setups fail at the moment they are needed.
| Common failure | Why it happens |
|---|---|
| Backup was never tested | Nobody tried restoring |
| Backup drive was connected | Encrypted along with everything else |
| Backup stopped months ago | Failure alerts ignored |
| Only some data covered | Nobody audited what was included |
| Restore takes too long | Technically works, practically useless |
The second row catches many businesses.
A backup drive left plugged in gets encrypted with the rest.
The rule that works
Keep at least one backup copy disconnected or immutable.
Cloud backups with versioning handle this well, since older versions survive.
The principle is simple: ransomware should not be able to reach every copy.
Test the restore, not the backup
This is the step nearly everyone skips.
A backup that runs successfully is not proof you can recover.
Restore a few real files, quarterly. It takes fifteen minutes.
Keep one backup off the domain
Attackers who gain administrator access often target backup systems first.
A backup managed by the same credentials as everything else can be deleted with everything else.
At least one copy should be outside that control, with separate credentials.
Know your restore time
Ask how long a full restore would actually take.
If the answer is a week, that is a week of downtime you have already accepted.
Nostro breach cost analysis covers why time dominates every cost calculation.
🚪 How Ransomware Gets In
The entry routes are unglamorous and mostly preventable.
| Itinerario | Prevenzione |
|---|---|
| Stolen or reused credentials | Multi-factor sign-in |
| Phishing email | Staff awareness, email filtering |
| Unpatched software | Automatic updates |
| Exposed remote access | Close it or put it behind MFA |
| Compromised supplier | Harder — ask about their security |
Four of five are addressable without much budget.
Nostro password research shows MFA cut account compromise by over 99%.
Remote access is the quiet one
Many small businesses expose remote desktop access to the internet.
È conveniente e gli scanner automatizzati lo trovano nel giro di poche ore.
Se è necessario l'accesso remoto, dovrebbe trovarsi almeno dietro MFA.
Gli aggiornamenti contano più dell’antivirus
Gli attacchi più riusciti sfruttano i punti deboli già risolti.
La patch esisteva. Nessuno lo ha applicato.
Gli aggiornamenti automatici sono gratuiti e impediscono più della maggior parte dei prodotti a pagamento.
💸 La questione del riscatto
Se succede, dovresti pagare? La risposta onesta è stratificata.
Le forze dell'ordine generalmente lo sconsigliano.
I fondi di pagamento attaccano ulteriormente e ti contrassegnano come disposto a pagare.
Ciò che il pagamento non compra
Acquista uno strumento di decrittazione da un criminale, senza alcuna garanzia.
Il recupero dopo il pagamento è spesso parziale e lento.
E gli attacchi moderni rubano i dati prima di crittografarli, quindi il pagamento non impedisce la pubblicazione.
Perché quest'ultimo punto ha cambiato tutto
Un tempo il ransomware consisteva nel bloccare i file.
Oggi gran parte degli attacchi minacciano anche la pubblicazione di dati rubati.
I backup risolvono il problema della crittografia ma non quello della pubblicazione.
L'implicazione pratica
La prevenzione è più importante di un tempo, perché la guarigione è meno efficace di un tempo.
Un backup perfetto non ti rende più immune, ma solo resiliente.
🧾 Quali piccole imprese vengono colpite più duramente
L’esposizione non è distribuita uniformemente e il modello è prevedibile.
| Fattore | Aumenta il rischio? | Perché |
|---|---|---|
| Conservazione dei dati di pagamento dei clienti | SÌ | Valore più alto per gli attaccanti |
| Accesso remoto esposto online | SÌ | Trovato da scanner automatici |
| Software precedente non supportato | Yes, strongly | I punti deboli noti non sono mai stati risolti |
| Fornitore di aziende più grandi | SÌ | Un percorso verso obiettivi più grandi |
| Nessun supporto IT dedicato | SÌ | Nessuno guarda i segnali |
| Settore regolamentato | Costo, non probabilità | Multe e obblighi di notifica |
La questione dei fornitori merita attenzione, perché sorprende.
Una piccola azienda può essere attaccata per raggiungere il suo cliente più grande.
Ecco perché le grandi aziende chiedono sempre più spesso ai fornitori la loro sicurezza.
Il problema del software non supportato
Il software che ha superato la fine del suo ciclo di vita smette completamente di ricevere correzioni.
Ogni debolezza riscontrata dopo tale data rimane aperta in modo permanente.
Gli scanner automatizzati cercano specificamente queste versioni (Astra, 2026).
Essere un fornitore cambia i tuoi obblighi
I clienti più grandi potrebbero richiedere prove dei controlli prima di rinnovare i contratti.
Ciò trasforma la sicurezza da un costo in una condizione di scambio.
Molte piccole aziende prendono sul serio la questione quando un cliente lo chiede.
📋 Cosa dovrebbe effettivamente fare una piccola impresa
Classificati in base alla protezione per sterlina spesa.
| Azione | Cost | Effect |
|---|---|---|
| MFA su posta elettronica e accesso remoto | Gratuito | Blocca l'ingresso più comune |
| Aggiornamenti automatici ovunque | Gratuito | Closes known weaknesses |
| Un backup offline o immutabile | Basso | Sopravvive alla crittografia |
| Test di ripristino trimestrale | 15 minuti | Dimostra che il backup funziona |
| Chiudere l'accesso remoto non utilizzato | Gratuito | Rimuove un target scansionato |
| Piano di intervento di una pagina | Un'ora | Risparmia giorni di confusione |
Quattro su sei non costano nulla.
Il divario tra le imprese preparate e quelle impreparate è dovuto principalmente all’attenzione, non al budget.
Il piano di intervento che nessuno scrive
Tre domande in una pagina. Chi decide? Chi chiama l'assicuratore o l'avvocato? Chi lo dice ai clienti?
Deciderlo durante un incidente costa giorni.
Deciderlo in anticipo costa un'ora.
Formare il personale su una cosa, non su tutto
La formazione sulla consapevolezza della sicurezza spesso cerca di coprire troppo e non porta da nessuna parte.
Scegli il singolo comportamento che conta di più: segnala immediatamente qualsiasi cosa sospetta, senza colpa.
La maggior parte degli incidenti vengono notati da un normale dipendente prima che qualsiasi sistema li segnali.
Se le persone temono di essere incolpate, restano in silenzio e si perdono ore.
Assicurazione informatica, in breve
Le politiche richiedono sempre più MFA e backup testati prima di pagare.
Leggi queste condizioni prima di dare per scontato che sei coperto.
Un assicuratore può rifiutarsi se i controlli richiesti non fossero in atto.
🚨 La prima ora, se succede
La maggior parte dei danni nella fase iniziale deriva dal panico piuttosto che dall’attacco stesso.
Conoscere in anticipo la sequenza vale più di ogni singolo strumento.
| Order | Azione | Perché |
|---|---|---|
| 1 | Disconnettere le macchine interessate dalla rete | Arresta la diffusione |
| 2 | Non spegnerli | Conserva le prove nella memoria |
| 3 | Controlla se i backup sono raggiungibili | Determina le tue opzioni |
| 4 | Informare l'assicuratore e il contatto legale | Le politiche spesso richiedono un preavviso |
| 5 | Inizia una sequenza temporale scritta | Lo chiederanno i regolatori |
| 6 | Decidi chi parla ai clienti | Previene i messaggi misti |
La seconda riga è controintuitiva e spesso si sbaglia.
Spegnere una macchina distrugge le prove che aiutano gli investigatori a capire cosa è successo.
Perché l'assicuratore arriva presto
Molte politiche richiedono la notifica entro un breve periodo.
Alcuni richiedono anche l'utilizzo dei risponditori approvati.
Chiamare prima il proprio specialista può mettere a repentaglio la richiesta.
L'orologio delle notifiche
Se sono coinvolti dati personali, le autorità di regolamentazione spesso richiedono la segnalazione entro 72 ore dalla scoperta.
Quell'orologio parte quando lo scopri, non quando finisci di indagare.
Nostro breach cost analysis copre il modo in cui tale tempistica determina i costi.
Scrivilo mentre procedi
La memoria si degrada rapidamente durante un incidente.
Un semplice registro con timestamp risponde alla maggior parte delle domande successive di assicuratori e regolatori.
Non costa nulla e non viene quasi mai realizzato.
🔬 How Reliable Is This Data?
| Fonte | Forza | Caveat |
|---|---|---|
| Verizon DBIR | Metodo coerente e di lunga durata | Reported incidents only |
| Sondaggio sulle PMI di Mastercard | 5,000+ owners | Self-reported |
| Statistiche sui fornitori di sicurezza | Dettaglio pratico | They sell the solution |
| La richiesta di chiusura del 60%. | Nessuno | Sconfessato dalla NCSA |
Quella riga in basso è la lezione di questo articolo.
Come controllare una statistica spaventosa
Rintraccialo fino a raggiungere un'organizzazione che ha raccolto i dati.
Se ogni citazione rimanda a un altro articolo, hai trovato una voce.
Una statistica senza fonte primaria non è una statistica.
Perché è probabile anche la sottostima
Molte piccole imprese non segnalano mai gli attacchi.
Pagano tranquillamente o si riprendono senza dirlo a nessuno.
Quindi i tassi di attacco reali sono probabilmente più alti di quelli riportati, anche se i tassi di chiusura sono inferiori a quelli dichiarati.
🧯 Perché "Siamo troppo piccoli per prendere di mira" è sbagliato
Questa convinzione è la ragione più comune per cui le piccole imprese non fanno nulla.
Si basa su un’incomprensione su come funzionano effettivamente gli attacchi.
Nessuno ti ha scelto
La maggior parte dei ransomware arriva tramite la scansione automatizzata, non la selezione.
Gli strumenti esplorano Internet alla ricerca di servizi esposti e di punti deboli noti.
L'aggressore spesso scopre chi sei solo dopo essere entrato.
Piccolo non significa economico da attaccare
L'automazione ha eliminato il costo del tentativo.
Scansionare un milione di indirizzi costa poco più che scansionarne un centinaio.
Quindi non vi è alcuna ragione economica per saltare obiettivi piccoli.
Ciò che effettivamente scoraggia un attacco automatizzato
Non oscurità. Sono solo più difficile del prossimo risultato nell'elenco.
Di solito sono sufficienti software con patch, MFA e nessun accesso remoto esposto.
Questi attacchi perseguono l’obiettivo più semplice a disposizione, non quello più prezioso.
Il 43% è un dato contestuale
Circa il 43% degli attacchi informatici sono rivolti alle piccole e medie imprese (Astra, 2026).
Si tratta di quasi la metà di tutti gli attacchi che colpiscono il segmento meno preparato ad affrontarli.
L’oscurità non protegge nessuno da almeno un decennio.
🚫 Cosa non ti dicono questi dati
Non prevede il rischio. Il settore e l'esposizione variano enormemente.
I dati del sondaggio sono auto-riportati. I proprietari potrebbero ricordare male le cause.
Gli attacchi non segnalati sono invisibili. Il tasso reale è probabilmente più alto.
Le fasce di costo sono estremamente ampie. La preparazione determina la maggior parte della differenza.
Gran parte della ricerca è pubblicata dal fornitore. La paura sostiene le vendite.
🏁 La versione breve
La famosa affermazione secondo cui il 60% delle piccole imprese chiude dopo un attacco non ha fonti verificabili. Lo ha affermato l’organizzazione a cui è attribuita (National Cybersecurity Alliance, 2026).
La cifra misurata è più vicina al 19%, da un sondaggio condotto su oltre 5.000 proprietari.
Il dato reale è che il ransomware è presente nell’88% delle violazioni delle PMI, contro il 39% delle grandi organizzazioni (Verizon, 2025).
Le piccole imprese non vengono maggiormente prese di mira. Gli attacchi contro di loro hanno più successo.
Il tempo di inattività medio dura circa 24 giorni e il tempo di inattività costa più della maggior parte dei riscatti.
Quattro delle sei protezioni più efficaci sono gratuite: MFA, aggiornamenti, chiusura dell'accesso remoto e un piano scritto.
La quinta è una copia di backup che il ransomware non può raggiungere. Prova a ripristinarlo.
E tratta il mito all’inizio di questo articolo come una lezione in sé.
Un numero spaventoso ripetuto per quindici anni si è rivelato privo di studi alle spalle.
Prima di agire in base a qualsiasi statistica allarmante, è necessario risalire a chi ha raccolto i dati.
Se ogni citazione rimanda a un altro articolo, hai trovato una voce piuttosto che una scoperta. 🛡️
🚀 Sfoglia le prove di backup e sicurezza →
❓ Domande frequenti
Do 60% of small businesses really close after a cyberattack?
No. The National Cybersecurity Alliance has stated the figure did not come from their research and cannot be verified. Survey data puts it nearer 19%.
Why is that number everywhere then?
It is memorable, alarming and useful to anyone selling security products. Each retelling cited the previous one rather than a study.
Are small businesses really targeted more?
Ransomware appears in 88% of SMB breaches against 39% at large organisations. The difference is that attacks succeed more often, not that attackers choose them.
How long does recovery take?
Average ransomware downtime is around 24 days, though prepared businesses recover far faster.
What does an attack cost a small business?
Typically $120,000 to $1.24 million. Downtime usually costs more than the ransom itself.
Should we pay the ransom?
Law enforcement advises against it. Payment buys a tool from a criminal with no guarantee, and does not stop stolen data being published.
What is the cheapest effective protection?
Multi-factor sign-in on email and remote access. It is free and blocks the most common entry route.
Why do backups fail when needed?
Usually because nobody tested a restore, or the backup drive was connected and got encrypted too.
Are we too small to be a target?
No. Most ransomware arrives through automated scanning rather than selection, and around 43% of attacks hit small and mid-sized businesses (Astra, 2026).
What should we do in the first hour?
Disconnect affected machines from the network but do not power them off, since that destroys evidence. Then check backups and notify your insurer.
Why does downtime cost more than the ransom?
Average downtime runs around 24 days. Revenue stops while wages and rent continue, and that gap is what closes businesses.
Does being a supplier increase our risk?
Yes. Small firms are attacked as a route into larger customers, which is why big companies now ask suppliers about their security.
Does cyber insurance cover this?
Increasingly only if you had MFA and tested backups in place. Read the conditions before assuming cover.
📚 Riferimenti
Alleanza nazionale per la sicurezza informatica. (2026). Dichiarazione relativa a statistiche errate sulle piccole imprese. Recuperato l'8 agosto 2026, da https://www.staysafeonline.org/press/national-cyber-security-alliance-statement-regarding-incorrect-small-business-statistic
Verizon. (2025). Data breach investigations report, citato nelle statistiche del ransomware Huntress. Estratto l'8 agosto 2026 da https://www.huntress.com/ransomware-guide/ransomware-attack-statistics
Astra. (2026). Statistiche sugli attacchi informatici alle piccole imprese. Recuperato l'8 agosto 2026, da https://www.getastra.com/blog/security-audit/small-business-cyber-attack-statistics/
Rivista SQ. (2026). Statistiche sulla sicurezza informatica delle piccole imprese: minacce e costi. Recuperato l'8 agosto 2026, da https://sqmagazine.co.uk/small-business-cybersecurity-statistics/
Mondo SC. (2026). La maggior parte delle piccole imprese sopravvive alle violazioni dei dati. Recuperato l'8 agosto 2026, da https://www.scworld.com/news/most-small-businesses-survive-data-breaches-heres-how-to-make-sure-yours-does-too
Letture correlate su questo sito
Nostro password e ricerca MFA copre in dettaglio il percorso di ingresso più comune. Vedi anche il nostro breach cost analysis per ciò che segue un incidente, e il Elenco degli utenti che effettuano la prova gratuita per prove di backup e sicurezza.
Informazioni su questa analisi
Questo articolo corregge una statistica ripetuta nella maggior parte dei servizi concorrenti, utilizzando il rinnegamento pubblicato dall'organizzazione solitamente attribuita ad esso. Laddove esistono cifre accurate, vengono invece utilizzate, con il nome delle fonti. Molte ricerche in questa categoria sono pubblicate da fornitori di sicurezza, dove la paura sostiene le vendite, e questo viene dichiarato piuttosto che nascosto. I dati sono stati controllati l'8 agosto 2026.
- Open Rate Benchmarks After Privacy Changes - Ottobre 9, 2026
- Email Marketing ROI: Separating Claim From Evidence - Ottobre 6, 2026
- Free AI Tools for YouTube: The Stack That Costs Nothing - Ottobre 6, 2026