I principi alla base della criminalità informatica cambiano raramente: un attaccante individua un asset esposto o una credenziale valida, stabilisce l’accesso, consolida la propria presenza e, infine, trasforma l’intrusione in un impatto finanziario o operativo. Ciò che sta cambiando, tuttavia, è la velocità, la scala e l’efficienza con cui gli attaccanti possono oggi compiere questo percorso.
Innanzitutto, gli attori delle minacce non hanno più bisogno di costruire tutto da zero. Il Fortinet Global Threat Landscape Report 2026 mostra come la criminalità informatica moderna operi sempre più come un sistema industriale, in cui credenziali, infrastrutture, malware o servizi basati su malware, accesso a reti compromesse e servizi specializzati sono tutti disponibili attraverso una filiera criminale consolidata e in continua espansione. In questo momento, inoltre, l’automazione e l’AI stanno rendendo l’intero ecosistema ancora più rapido e semplice da sfruttare.
Questi progressi hanno implicazioni significative per i team di sicurezza e sottolineano perché la cyber hygiene di base sia oggi più importante che mai. Una password solida, una richiesta di autenticazione a più fattori gestita correttamente, un aggiornamento software effettuato tempestivamente o una segnalazione immediata di un’email di phishing possono interrompere un attacco prima che passi alla fase successiva.
Attività spesso elementari, come applicare le patch ai dispositivi o aggiornare le password, non possono essere considerate separate dalle difese tecniche dell’organizzazione. Sono parte integrante dell’ambiente di controllo. Costruire una cultura che metta la sicurezza al primo posto significa integrare questi comportamenti nelle normali attività aziendali.
L’AI comprime il ciclo di vita dell’attacco
Nel report, i dati dei FortiGuard Labs mostrano che la finestra temporale per lo sfruttamento delle vulnerabilità critiche si è ridotta da quasi 5 giorni a meno di 48 ore. In alcuni casi, grazie all’integrazione dell’AI negli strumenti utilizzati per le minacce, le attività di sfruttamento sono iniziate nel giro di poche ore dalla divulgazione pubblica della vulnerabilità.
Sebbene i tentativi di sfruttamento a livello globale siano aumentati di oltre il 25% su base annua, il volume degli attacchi non racconta tutto. Per esempio, nel 2025 la telemetria FortiGate IPS ha registrato quasi 68 miliardi di eventi di brute force, pari a circa 185 milioni di tentativi al giorno. Tuttavia, questo dato rappresenta un calo del 22% rispetto all’anno precedente. Il motivo è che i criminali informatici stanno sostituendo i tradizionali metodi di attacco indiscriminati con approcci più mirati. I dataset di credenziali rubate, l’automazione e l’analisi supportata dall’intelligenza artificiale li aiutano a individuare account e servizi più promettenti, perfezionare i test delle credenziali e concentrarsi sui percorsi di attacco che hanno maggiori probabilità di consentire l’accesso.
L’AI accelera le attività di ricognizione, genera e perfeziona i contenuti di social engineering, analizza le infrastrutture esposte, identifica le vulnerabilità software e automatizza alcuni elementi dell’attacco e dello sfruttamento. Presto, le capacità agentiche coordineranno più fasi con un coinvolgimento diretto dell’operatore sempre minore. Questo riduce ulteriormente il tempo e le competenze necessari per condurre un attacco, aumentando al contempo il numero di operazioni che un attaccante può eseguire simultaneamente.
Poiché gli attaccanti continuano a diminuire i tempi delle loro attività, è fondamentale che i difensori riducano la latenza lungo l’intero programma di sicurezza. Questo riguarda certamente il rilevamento e la risposta, ma anche la gestione delle identità, l’applicazione delle patch, la segnalazione da parte dei dipendenti e le decisioni necessarie per contenere un attacco.
Definire una baseline pratica di cyber hygiene
La cyber hygiene non costituisce un livello di sicurezza separato e di base. È la manutenzione ordinaria che impedisce a identità, endpoint, applicazioni e infrastrutture di rete di trasformarsi in facili punti di ingresso. L’obiettivo non è trasformare ogni dipendente in un security engineer, ma applicare con coerenza all’interno dell’organizzazione un insieme ristretto di azioni fondamentali di protezione.
Per gli utenti, questo significa innanzitutto:
• Effettuare gli aggiornamenti programmati delle password.
• Conservare le credenziali in un password manager affidabile.
• Verificare, riconoscere e sostituire le password deboli, riutilizzate o esposte.
• Utilizzare la Multi-factor authentication (MFA) ogni volta che è disponibile, in particolare per email, accesso remoto e servizi cloud.
• Segnalare richieste di Multi-factor authentication inattese.
• Installare tempestivamente tutte le patch e gli aggiornamenti approvati.
• Evitare l’utilizzo di applicazioni non autorizzate, shadow IT e shadow AI.
• Segnalare all’IT messaggi o richieste sospetti o comportamenti insoliti dei dispositivi.
• Completare tutta la formazione sulla sicurezza prevista in funzione del proprio livello di accesso e delle proprie responsabilità.
Gli amministratori devono applicare la stessa disciplina anche alle infrastrutture che gli utenti vedono raramente.
• Eliminare le credenziali predefinite di fabbrica e quelle condivise da firewall, router, switch, access point wireless, telecamere, stampanti e altri dispositivi connessi.
• Gli account privilegiati devono essere separati dai normali account utente, protetti mediante MFA e limitati secondo il principio del privilegio minimo.
• Implementare lo ZTNA nell’intero ambiente, in particolare nelle reti OT.
• Le organizzazioni appartenenti a determinati settori, soprattutto quelle che rappresentano obiettivi di alto profilo o di elevato valore, dovrebbero valutare l’adozione di tecnologie di deception a livello di rete, per creare sistemi di allerta e trappole in grado di segnalare la presenza di malintenzionati.
• I team dovrebbero inoltre mantenere un inventario accurato degli asset, disabilitare gli account inattivi e i servizi non necessari e limitare l’accesso alle interfacce di gestione.
• Abbonarsi a un servizio di threat intelligence per poter stabilire le priorità nell’applicazione delle patch sulla base dello sfruttamento attivo delle vulnerabilità e del rischio per l’azienda.
• Mettere a disposizione dei dipendenti una procedura per segnalare attività sospette o minacce interne, che sia visibile, rapida e facile da utilizzare.
• Assicurarsi che la formazione sulla cybersecurity sia continua, specifica per ruolo e basata sulle tecniche che i dipendenti potrebbero incontrare.
• Fare in modo che informazioni e fiducia procedano in entrambe le direzioni: le simulazioni di phishing, per esempio, sono più utili quando consentono di individuare le lacune e rafforzare i comportamenti di segnalazione, anziché essere trattate come esercizi punitivi.
Rendere la sicurezza parte delle normali attività operative
Prese singolarmente, queste possono sembrare piccole azioni. Il valore di adottare queste pratiche nell’ambito di una strategia integrata di gestione delle minacce e dei controlli risiede, tuttavia, nel loro effetto combinato. Un password manager riduce il riutilizzo delle credenziali. La MFA può impedire che una password rubata venga utilizzata per stabilire una sessione autenticata. L’applicazione delle patch elimina un possibile percorso di sfruttamento. Una threat intelligence affidabile fornisce ai difensori ulteriore contesto e tempo per intervenire. Nessuna di queste misure è sufficiente da sola, ma insieme creano molteplici punti lungo la catena dell’attacco nei quali un’intrusione può essere rilevata o bloccata.
L’attuale panorama delle minacce richiede lo sviluppo di una cultura che metta la sicurezza al primo posto. Questa cultura si manifesta nella rapidità con cui un’organizzazione riesce ad agire sui controlli: quanto rapidamente viene sostituita una credenziale esposta, quanto velocemente viene risolta una vulnerabilità critica e se un dipendente segnala qualcosa che non sembra corretto. Con l’aumento della velocità e della precisione degli attacchi grazie all’intelligenza artificiale, ridurre il tempo che intercorre tra un segnale di allerta e un’azione difensiva diventa una fonte misurabile di resilienza.
Anche per i difensori, AI e automazione svolgono un ruolo fondamentale: possono eliminare molte attività ripetitive svolte da utenti e amministratori, riducendo la procrastinazione e l’errore umano. Inoltre, possono analizzare grandi volumi di dati per rilevare e rispondere alle minacce in tempo reale, scrivere e testare le patch, aggiornare dinamicamente i dispositivi e centralizzare e semplificare la gestione del SOC.
Come ogni aspetto della sicurezza, anche la cyber resilience inizia da abitudini coerenti. In tal senso, è opportuno verificare se le abitudini fondamentali sono realmente integrate in tutta l’organizzazione e rafforzarle laddove persistano delle lacune.
A cura di Derek Manky, Chief Security Strategist e Global VP of Threat Intelligence, FortiGuard Labs
