Perché le azioni crollano quando una società ammette un attacco informatico?

Un gruppo di ricercatori ha analizzato come reagiscono i mercati azionari quando le aziende rivelano un incidente informatico serio. Hanno studiato le comunicazioni obbligatorie (Item 1.05 del modulo 8‑K) pubblicate tra il 2023 e il 2025, osservando i prezzi delle azioni nei giorni intorno alla data di divulgazione. In media, le quotazioni sono scese subito dopo l’annuncio, segno che gli investitori percepiscono un rischio aggiuntivo. L’effetto è stato più marcato per le imprese più piccole, probabilmente perché hanno meno risorse per gestire l’attacco e per rassicurare gli azionisti. Curiosamente, non ci sono state differenze significative tra i vari settori o tra azioni più o meno volatili (beta). Il risultato suggerisce che, quando una società ammette un cyber‑incident, il mercato reagisce in modo negativo, ma la gravità della caduta dipende soprattutto dalla dimensione dell’impresa. Questo studio aiuta a capire come le notizie di sicurezza informatica influenzino le decisioni di investimento e perché le aziende più piccole debbano prestare ancora più attenzione alla protezione digitale.

Lo studio utilizza una metodologia di event‑study, una tecnica statistica comune in finanza per isolare l’effetto di un evento specifico sui rendimenti azionari. Gli autori hanno definito una finestra di analisi di cinque giorni prima e cinque giorni dopo la data di filing, calcolando i rendimenti anormali (AR) rispetto a un modello di mercato di riferimento (CAPM). La media dei rendimenti anormali cumulativi (CAR) è risultata negativa e statisticamente significativa, confermando una reazione avversa del mercato. Il campione comprende circa 150 comunicazioni di incidenti, con una distribuzione equilibrata tra settori (tecnologia, finanza, manifatturiero, ecc.) e una varietà di capitalizzazioni di mercato. Per controllare l’effetto di fattori esterni, gli autori hanno escluso le date con annunci macro‑economici rilevanti e hanno effettuato test di robustezza usando finestre di osservazione più ampie (‑10/+10 giorni). L’analisi ha rivelato che le imprese con capitalizzazione inferiore (< 500 milioni USD) hanno mostrato CAR più negativi rispetto a quelle più grandi, suggerendo una maggiore vulnerabilità percepita. Non sono emerse differenze significative legate al beta, indicando che la volatilità sistemica non modula la risposta. I risultati hanno implicazioni pratiche: le aziende più piccole dovrebbero investire in piani di risposta agli incidenti e comunicare in modo trasparente per mitigare l’impatto sul valore azionario. Inoltre, gli investitori potrebbero considerare la dimensione dell’impresa come fattore di rischio aggiuntivo quando valutano esposizioni a minacce informatiche.