Le identità digitali sono diventate uno dei principali punti di ingresso per gli attacchi informatici. Lo conferma il report The State of Identity Security 2026 di Sophos: l’80% delle aziende italiane intervistate ha registrato almeno una violazione identity-related negli ultimi 12 mesi.
Un dato particolarmente significativo perché l’identità digitale non coincide più soltanto con l’account di un dipendente, ma con tutto ciò che può autenticarsi, autorizzarsi o comunicare con le risorse aziendali.
Oggi le aziende devono gestire almeno quattro grandi categorie di identità: quelle della workforce, quelle esterne associate per esempio a partner e fornitori, quelle privilegiate e le Non-Human Identities (NHI). Sophos definisce le NHI come credenziali digitali attribuite a software, sistemi o processi automatizzati che devono accedere a determinate risorse senza l’intervento diretto di una persona. Ne fanno parte, per esempio, API key, service account, OAuth token e identità utilizzate dagli agenti AI. In alcune organizzazioni, sottolinea il report, le identità non umane possono superare quelle umane con rapporti superiori addirittura a 100:1 e questa crescita sta creando un nuovo problema di governance.
Ad ogni modo, ognuna di queste identità rappresenta infatti un possibile punto di accesso. Se viene compromessa, può offrire all’attaccante una via d’ingresso apparentemente legittima, spesso più difficile da distinguere da un normale comportamento operativo rispetto a un malware o a un accesso proveniente da un dispositivo sconosciuto.
È proprio questa caratteristica a rendere gli identity attack particolarmente insidiosi. Un aggressore che entra in possesso di credenziali valide può tentare di aggirare parte dei controlli perimetrali, accedere a risorse interne, aumentare progressivamente i propri privilegi e muoversi tra sistemi differenti. In molti casi, l’obiettivo iniziale infatti non è tanto quello di provocare subito un danno evidente, ma mantenere l’accesso abbastanza a lungo da:
- individuare dati sensibili e rubarli;
- tentare di aumentare i privilegi;
- utilizzare account di servizio;
- spostarsi lateralmente tra sistemi;
- individuare dati o applicazioni ad alto valore.
Quello che emerge chiaramente dal report è proprio la pervasività della minaccia: le compromissioni delle identità non rappresentano più episodi marginali, ma una componente strutturale del rischio cyber. Il numero di violazioni racconta solo una parte del problema.
Hai subito un attacco? Sei riuscito a fermarlo?
Sophos ha chiesto alle aziende che avevano subito un identity breach se fossero riuscite a identificare e bloccare il proprio attacco più significativo prima che provocasse danni. A livello globale, l’85,4% è riuscito a farlo; il restante 14,4% non è stato invece in grado di fermare l’attacco in tempo. Per l’Italia il dato è molto simile: il 14,6% delle aziende italiane colpite non è riuscito a rilevare e bloccare il proprio attacco identity più significativo prima che producesse conseguenze.
Il dato mostra quindi che la maggior parte delle aziende dispone di strumenti o procedure capaci di interrompere l’attacco prima dell’impatto, ma anche che quasi una vittima su sette non riesce a intervenire nella finestra temporale decisiva. È proprio questa finestra a determinare spesso la differenza tra un tentativo di accesso bloccato e un incidente con conseguenze operative, economiche o reputazionali.
La velocità diventa quindi un elemento determinante. Rilevare un’anomalia dopo pochi minuti può consentire di disabilitare l’account, revocare i token e isolare il dispositivo coinvolto. Scoprire la stessa attività dopo ore o giorni può invece significare dover gestire un attacco già esteso, con più identità compromesse e una ricostruzione molto più complessa della portata dell’incidente.
Uno dei risultati più rilevanti dell’intero report riguarda infatti il rapporto tra identity attack e ransomware. Tra le organizzazioni che hanno subito un attacco ransomware nell’ultimo anno, il 66,5% dichiara che quell’incidente coincideva con il proprio attacco identity più significativo. In altre parole, in circa due casi su tre tra quelli analizzati, ransomware e compromissione dell’identità non sono due eventi separati.
Il fattore umano? Sì, ma attenzione a NHI e intelligenza artificiale!
Tra le organizzazioni che non sono riuscite a fermare il proprio identity attack, il 42,7% indica l’errore umano – per esempio un dipendente indotto a fornire le proprie credenziali – come causa dell’incidente.
Subito dopo compare però un elemento molto meno tradizionale: la gestione debole delle identità non umane, indicata dal 40,6% delle vittime*. Sophos cita, tra gli esempi, API key memorizzate nel codice, credenziali statiche e service account non più utilizzati ma ancora in grado di accedere ai sistemi.
Soltanto il 24,1%* delle aziende monitora continuamente i tentativi di login anomali. Più della metà effettua questo controllo non più frequentemente di una volta ogni tre mesi. La situazione è ancora più evidente sulle Non-Human Identities: appena l’11,1%* delle aziende effettua continuamente la rotazione o l’audit di service account e NHI,
L’adozione degli agenti AI rende questa preoccupante dinamica ancora più rilevante. Secondo Sophos, un agente AI può aver bisogno di accedere contemporaneamente a database, CRM, calendari, file repository e API. Inoltre, alcuni agenti possono generare autonomamente altri agenti per svolgere attività secondarie, creando nuove identità e nuove credenziali senza necessariamente richiedere un intervento umano.
A differenza di un tradizionale service account, il cui comportamento può essere relativamente prevedibile, un agente AI può operare continuamente, prendere decisioni autonome e interagire con risorse differenti in base al contesto.
Serve una gestione continua del rischio identity
Con l’80% delle aziende colpite da almeno un identity breach, la protezione delle identità deve per forza diventare una componente centrale della strategia cyber, gestendo l’intero ciclo di vita dell’identità: dalla sua creazione all’assegnazione dei privilegi, dal monitoraggio dell’attività alla revisione periodica degli accessi, fino alla disattivazione o alla revoca delle credenziali.
MFA e gestione sicura delle credenziali rimangono fondamentali, ma non possono essere gli unici strumenti. L’autenticazione multifattore riduce il rischio che una password rubata sia sufficiente per entrare, ma non impedisce automaticamente l’abuso di un account già autenticato. Allo stesso modo, una password robusta non risolve il problema di un’identità che conserva privilegi non più necessari o di un token che continua a funzionare anche dopo la conclusione del progetto per cui era stato creato.
Nelle proprie raccomandazioni Sophos indica, tra le altre misure, least privilege, Single Sign-On, monitoraggio delle autenticazioni, inventario delle NHI, credenziali a breve durata, Privileged Access Management, Zero Trust, access review periodiche e soluzioni di Identity Threat Detection and Response (ITDR).
Queste misure rispondono a esigenze diverse ma complementari.
Il principio del least privilege limita i danni potenziali stabilendo che ogni identità debba disporre soltanto dei permessi necessari per svolgere il proprio compito. Il Single Sign-On può semplificare l’accesso e rendere più uniforme l’applicazione delle policy, riducendo al tempo stesso la proliferazione di credenziali. Il Privileged Access Management introduce controlli più stringenti sugli account amministrativi, che rappresentano uno degli obiettivi più preziosi per gli attaccanti.
Per le identità non umane, invece, diventano essenziali un inventario aggiornato e la capacità di sapere quali applicazioni, workload, API e agenti AI possiedano credenziali attive. Le credenziali a breve durata riducono la finestra temporale in cui un token compromesso può essere utilizzato, mentre le access review periodiche aiutano a individuare privilegi accumulati, account inutilizzati e autorizzazioni rimaste attive oltre il necessario.
Il modello Zero Trust porta questo approccio a un livello ulteriore: nessuna identità, dispositivo o applicazione dovrebbe essere considerata affidabile in modo permanente soltanto perché si trova all’interno della rete aziendale. Ogni richiesta di accesso deve essere valutata in base al contesto, al rischio, alla risorsa richiesta e al comportamento osservato.
È qui che entra in gioco l’Identity Threat Detection and Response che permette di verificare se un’autenticazione sia formalmente corretta e di individuare segnali che possano indicare l’uso improprio di un’identità: accessi da località insolite, variazioni improvvise nei privilegi, utilizzo anomalo di un service account, movimenti laterali o richieste verso risorse che quell’identità non aveva mai utilizzato in precedenza.
Longwave affianca le aziende nella protezione e nella gestione delle identità digitali, integrando tecnologie, competenze e servizi di cybersecurity per migliorare la visibilità sugli accessi, governare i privilegi e individuare tempestivamente attività potenzialmente anomale. Perché mentre il perimetro tradizionale diventa sempre meno definito, l’identità è sempre più spesso uno dei punti da cui un attacco può cominciare.
*Dati globali
Fonte:
www.sophos.com
