La maggior parte delle violazioni non inizia con un hacker in felpa che decifra un codice alle 3 del mattino. Iniziano con il tuo nome utente e la tua password, recuperati da una violazione avvenuta tre anni fa su un sito a cui ti eri iscritto e che avevi dimenticato di aver violato.
Immaginate un ladro che rinuncia completamente a forzare la serratura perché la chiave è proprio lì, sotto lo zerbino. Ecco come si presentano la maggior parte degli attacchi informatici nel 2026. Gli aggressori non scrivono codici complessi per penetrare nei vostri sistemi. Accedono con le credenziali che i vostri dipendenti già usano, spesso credenziali rubate da un sito web completamente diverso anni fa e vendute online per pochi dollari.
Questo è importante per la vostra organizzazione perché l'attacco non fa scattare allarmi come farebbe un'effrazione. Un accesso riuscito con nome utente e password validi appare esattamente come l'inizio della giornata lavorativa di un dipendente. Nessun avviso di malware si attiva. Nessun traffico sospetto viene segnalato. L'attaccante si mimetizza, ed è proprio questo che rende questo sistema così efficace.
Quando un malintenzionato si impossessa di un nome utente e una password validi, la prima cosa che i vostri strumenti di sicurezza rilevano è un normale accesso. Nessun malware. Nessun download di file sospetti. Nessun segnale di allarme. L'attaccante sembra un dipendente.
Da lì, l'attaccante inizia a esplorare. Cerca altri account a cui può accedere con la stessa password o con varianti simili. Prova ad accedere alla posta elettronica, allo spazio di archiviazione cloud, agli strumenti di contabilità o a qualsiasi altro sistema utilizzato dall'organizzazione. Una volta trovato un punto d'appoggio con un accesso leggermente maggiore, lo sfrutta per andare oltre. Per i gruppi ransomware, l'intera catena, dal primo accesso al blocco completo, richiede ore. Per gli attaccanti più silenziosi, ci vogliono settimane e spesso non ci si accorge nemmeno della loro presenza.
L'attacco di base non è cambiato molto. Ciò che è cambiato è la velocità. Gli aggressori ora utilizzano strumenti di intelligenza artificiale per testare le credenziali rubate su decine di servizi contemporaneamente, scrivono email di phishing che sembrano provenire dal tuo CEO e generano pagine di accesso false che sembrano identiche a quelle reali.
Un tempo era facile individuare un'email di phishing: grammatica scorretta, indirizzo del mittente insolito, tono urgente. Oggi i messaggi creati dall'intelligenza artificiale sono più accattivanti e subdoli nella loro modalità di invio, ma contengono comunque segnali inequivocabili di falsità e inaffidabilità. Sono semplicemente più efficaci perché sfruttano la tua identità online per creare email mirate che fanno leva sulla tua autostima o sulle tue passioni. Per questo motivo, è fondamentale che il tuo team sviluppi buone abitudini di sicurezza informatica, in modo da potersi fidare del proprio istinto quando qualcosa non quadra.
La buona notizia è che anche le difese non sono cambiate molto. L'autenticazione a più fattori, le password univoche memorizzate in un gestore di password e la capacità di riconoscere le email sospette rimangono gli strumenti più efficaci a disposizione. Funzionano contro gli attacchi assistiti dall'intelligenza artificiale allo stesso modo in cui funzionavano contro gli attacchi più vecchi e meno sofisticati. Ricordate inoltre di promuovere una cultura della sicurezza informatica in cui le persone siano incoraggiate, se non addirittura premiate, a segnalare potenziali problemi di sicurezza senza timore di ritorsioni.
Se si verifica una violazione, il modo in cui il team reagisce è importante tanto quanto gli strumenti a disposizione. Molti si aspettano che la gestione di un incidente segua un percorso lineare: individuare il problema, contenerlo, risolverlo e passare oltre. Gli incidenti reali, però, raramente funzionano in questo modo. Quando un dipendente segnala un problema con la propria email o il proprio computer, la tempestività della risposta è un fattore critico per il contenimento e la limitazione dei danni collaterali.
Mentre il tuo team indaga, troverà nuove informazioni che cambieranno ciò che credeva di sapere. Un singolo account compromesso si trasforma in tre. Una scansione malware rivela una backdoor installata due settimane prima. La portata si allarga man mano che si esamina più da vicino, e un buon processo di risposta ne tiene conto. Approccio dinamico alla risposta agli incidenti, o DAIR, C'è un framework che considera questo come normale. Il tuo team definisce l'ambito del problema, circoscrive ciò che può, ripulisce ciò che trova e poi torna indietro per verificare se c'è altro. Ogni passaggio ti insegna qualcosa di nuovo.
La comunicazione è ciò che distingue un incidente circoscritto da uno caotico. Quando il responsabile IT, il responsabile amministrativo e il team dirigenziale dispongono di informazioni diverse, le decisioni e le azioni vengono prese sulla base di informazioni errate o mancanti.
Iniziate documentando il vostro Piano di Risposta agli Incidenti. Noi di CyberHoot, i nostri vCISO lo chiamano Piano di Gestione degli Incidenti Cibernetici (o CIMP). In questo piano definiamo chi è responsabile di cosa, chi deve essere avvisato e come deve comunicare durante un incidente in corso. Un breve elenco di contatti e un canale di aggiornamento condiviso eliminano le incertezze nei momenti di maggiore stress.
Una volta redatto il piano, è fondamentale metterlo in pratica. Le esercitazioni annuali a tavolino guidano il team attraverso scenari simulati realistici, passo dopo passo, senza alcun danno reale. Il team discute su cosa farebbe, chi chiamerebbe e cosa direbbe. I numeri di telefono chiave vengono verificati e aggiornati. Questo tipo di pratica aumenta la precisione e la fiducia del team di risposta agli incidenti.
Dopo ogni esercitazione a tavolino è altrettanto importante rivedere cosa ha funzionato, aggiornare il piano e assegnare eventuali azioni di follow-up. Un piano di risposta agli incidenti che non viene mai testato è solo un documento. Un piano che il tuo team ha messo in pratica è una vera e propria linea di difesa.
Proteggere la propria organizzazione dagli attacchi basati sulle credenziali richiede alcune precauzioni intelligenti. Innanzitutto, attiva l'autenticazione a più fattori per la posta elettronica, gli strumenti cloud e qualsiasi accesso remoto utilizzato dal tuo team. Verifica anche che non vi siano eccezioni. L'autenticazione a più fattori blocca la maggior parte degli attacchi basati sulle credenziali prima che possano raggiungere qualsiasi obiettivo.
Successivamente, adottate un gestore di password e formate il vostro personale sul suo utilizzo. Un gestore di password aiuta gli utenti a creare password univoche per ogni account, migliora l'efficienza e blocca persino alcuni attacchi di phishing volti al furto di credenziali quando un utente clicca accidentalmente su un link falso di un fornitore.
Infine, condividete con il vostro team le vostre esperienze di guerra, i momenti di pericolo scampato e gli esempi concreti di attacchi subiti. Insegnate loro a riconoscere le email sospette, le richieste di accesso false e a chi segnalare eventuali anomalie.
Questi tre passaggi chiudono più porte della maggior parte dei costosi strumenti di sicurezza. Non devi essere perfetto. Devi solo rendere la tua organizzazione più difficile da violare rispetto alla successiva in lista.
Ogni buona abitudine che la tua squadra acquisisce oggi è un'apertura in meno per un attaccante domani. Questo è un motivo per festeggiare. Forza!
Scopri e condividi le ultime tendenze, i suggerimenti e le best practice in materia di sicurezza informatica, oltre alle nuove minacce a cui prestare attenzione.
I ricercatori erano alla ricerca di un falso programma di upscaling fotografico e hanno trovato qualcosa di strano: un kit ransomware e un modello di intelligenza artificiale...
Leggi di più
Da quattro anni, CyberHoot sostiene la stessa cosa sul suo blog: le password sono un grave punto debole. Vengono riutilizzate...
Leggi di più
La Coppa del Mondo FIFA 2026 ha preso il via l'11 giugno negli Stati Uniti, in Canada e in Messico. Sei milioni di tifosi...
Leggi di piùOttieni una visione più attenta dei rischi per l'uomo, con un approccio positivo che supera i tradizionali test di phishing.
