Identità sotto assedio: le quattro minacce che hanno dominato il panorama cyber nel Q2 2026

Nel periodo compreso tra il 1 maggio e il 31 luglio 2026, Prophet Security ha analizzato ogni singolo avviso di sicurezza generato nei propri ambienti clienti, eliminando il filtro umano che tradizionalmente esclude molti segnali. Su 4,7 milioni di interrogazioni, il 7 % si è rivelato malevolo, fornendo una fotografia cruda e non mediata delle minacce reali che le organizzazioni stanno fronteggiando. Il risultato è un report trimestrale che mette in luce quattro pattern di attacco, tutti convergenti verso un unico obiettivo: il furto o l’abuso dell’identità digitale.

1. L’identità al centro dell’attacco

Il dato più sorprendente è che quasi la metà delle attività confermate ha avuto come bersaglio l’identità dell’utente. Le tecniche più efficaci sono state il session hijacking e il token replay, che sfruttano cookie di sessione o refresh token già validi. A differenza delle password, questi token non subiscono i controlli di accesso condizionale al momento della loro presentazione, consentendo agli aggressori di eludere policy di MFA, blocchi geografici e regole di accesso basate su VPN.

Le analisi mostrano che, quando l’attaccante utilizza una password, le difese – ad esempio l’accesso condizionale che blocca credenziali provenienti da VPN commerciali o da paesi non familiari – funzionano correttamente. Al contrario, una sessione già autenticata può persistere anche dopo la disabilitazione dell’account, la revoca della password o il reset del dispositivo, finché il token non viene esplicitamente revocato dal provider di identità. Questo ha portato a casi in cui gli aggressori hanno continuato a modificare le impostazioni OAuth o a creare regole di posta elettronica per nascondere le proprie tracce, nonostante le squadre di risposta avessero “chiuso” l’incidente.

Dal punto di vista economico, la perdita di identità è la più costosa per le imprese: secondo il IBM Cost of a Data Breach Report 2024, il valore medio di un account compromesso supera i 150 000 USD, soprattutto quando l’attacco si propaga a sistemi critici come ERP o piattaforme di pagamento.

2. Malware e tecniche di distribuzione evolute

Il 23 % delle attività malevole confermate è stato attribuito a esecuzione di codice maligno, con una predominanza di infostealer distribuiti tramite “fake updates” e pubblicità compromesse (ad es. ClearFake, SocGholish). Queste campagne non si basano più su email di phishing, ma su siti web legittimi infiltrati, risultati sponsorizzati e persino CAPTCHA falsi che richiedono l’intervento umano per sfuggire ai sandbox automatici.

Un caso emblematico ha visto un installer “trojanizzato” di una popolare applicazione AI, scaricato da una cartella “Downloads”, che disattivava Windows Defender, creava un’attività pianificata con privilegi elevati e apriva canali C2. Simili tattiche sono state osservate in strumenti di diagnostica hardware, pacchetti di codice open‑source compromessi e utility di screenshot, dimostrando che la catena di fornitura software resta un vettore vulnerabile.

Il valore economico di questi attacchi è duplice: da un lato, il furto di credenziali e dati di pagamento; dall’altro, il costo di remediation e di perdita di fiducia dei clienti, stimato in media al 12 % del fatturato annuo per le aziende colpite da ransomware o furto di dati sensibili.

3. Phishing mirato e persistenza post‑compromissione

Il phishing rappresenta il 28 % delle attività malevoli, la quota più alta di tutte le categorie. Le campagne sono altamente mirate, con focus su ruoli finanziari (executive, tesoreria, contabilità) e su mailbox automatizzate di fatturazione. Gli attaccanti impiegano tecniche sofisticate: domini typosquattati, Unicode nei soggetti, pixel di tracciamento per verificare l’apertura delle email, e spoofing di infrastrutture legittime (es. piattaforme di collaborazione o servizi di file‑sharing).

Nonostante l’adozione di SPF, DKIM e DMARC, alcuni messaggi falsificati hanno comunque raggiunto le caselle di posta, dimostrando i limiti dei controlli basati solo su header. Inoltre, una volta ottenuto l’accesso, gli aggressori modificano le regole della casella di posta per cancellare o nascondere messaggi di risposta, una tecnica di persistenza che sopravvive a reset di password e a cambi di credenziali.

Dal punto di vista strategico, le perdite finanziarie derivanti da frodi ACH o trasferimenti non autorizzati possono superare i 5 milioni USD per singola compromissione, senza contare le sanzioni normative (es. GDPR, CCPA) e i costi legali.

Prospettive e Scenari

Il quadro emergente indica che le difese tradizionali – basate su password e MFA – non sono più sufficienti quando l’attaccante riesce a rubare sessioni attive. Le organizzazioni dovranno investire in soluzioni di continuous authentication, revocare e monitorare i token in tempo reale, e implementare policy di “zero‑trust” che includano la verifica contestuale anche per le sessioni già autenticate. Parallelamente, la sicurezza della catena di fornitura software deve essere rafforzata mediante firme di codice, SBOM (Software Bill of Materials) e monitoraggio attivo dei repository open‑source. Infine, la formazione mirata dei dipendenti finanziari, combinata con sistemi di risposta automatizzata alle email sospette, sarà cruciale per ridurre il volume di phishing di successo.