Ascolta la versione audio di questo articolo (generata da IA).
Il CrowdStrike 2026 Global Threat Report conferma una svolta netta: gli attaccanti non sfondano più le porte. Entrano con credenziali valide, si muovono tra servizi cloud legittimi, sfruttano dispositivi marginali e usano l’IA per accelerare ogni fase. Il 2025 è stato definito «l’anno dell’avversario evasivo».
I numeri che contano
- 29 minuti: tempo medio tra la compromissione iniziale e il movimento laterale (65% più veloce dell’anno precedente).
- 27 secondi: il breakout più rapido registrato.
- 4 minuti: in un caso, tentativo di esfiltrazione dei dati dopo soli quattro minuti.
- 82% delle detection senza alcun malware.
- 89% di aumento degli attacchi con uso di IA.
- 266% di crescita delle intrusioni cloud da parte di attori nation-state.
Questi tempi rendono obsoleto il modello tradizionale di Security Operations Center, basato su code e triage manuale: l’attacco finisce prima che l’allarme venga esaminato.
L’identità è il nuovo perimetro
Gli attaccanti usano credenziali rubate, token di sessione, integrazioni SaaS e strumenti amministrativi legittimi. Una volta che sembrano utenti validi, le difese endpoint tradizionali perdono efficacia. L’82% degli attacchi senza malware significa che la minaccia non è più un file malevolo, ma un’identità compromessa che si comporta quasi come un’attività normale.
L’IA accelera, non inventa magie
L’IA non crea super-hacker autonomi, ma comprime tempi e costi: ricognizione più veloce, phishing più convincente, script migliorati e identità false generate automaticamente. Allo stesso tempo, gli stessi sistemi di IA aziendali sono diventati obiettivi: prompt injection, abuso di strumenti generativi, compromissione di piattaforme di sviluppo e di chiavi API.
Cloud, edge e supply chain
Le intrusioni cloud sono cresciute in modo significativo, soprattutto quelle legate agli Stati. I dispositivi edge (VPN, firewall, gateway) restano punti deboli critici: spesso poco monitorati e ricchi di privilegi. Gli attacchi alla supply chain, infine, rendono sempre più debole la distinzione tra «noi non siamo stati violati direttamente».
Zero Trust Architecture: la risposta naturale
In questo scenario, la Zero Trust Architecture (ZTA) non è più un’opzione, ma un’esigenza.
Il principio di base è semplice: non fidarsi mai, verificare sempre.
Nessun utente, dispositivo o servizio è considerato affidabile per impostazione predefinita, anche se si trova all’interno della rete. Ogni richiesta di accesso viene autenticata, autorizzata e valutata continuamente sulla base dell’identità, del contesto, della postura del dispositivo e del livello di rischio. Si applicano il principio del least privilege, la micro-segmentazione e il monitoraggio continuo del comportamento.
Zero Trust sposta il focus dal perimetro di rete all’identità e al comportamento, esattamente ciò che i dati di CrowdStrike stanno evidenziando. Non elimina gli attacchi, ma riduce drasticamente il tempo a disposizione dell’avversario e limita i danni laterali.
Cosa fare in pratica
- Trattare la telemetria delle identità come quella degli endpoint.
- Centralizzare i log di cloud, SaaS, identità e dispositivi edge.
- Inventariare e mettere in sicurezza l’infrastruttura IA (modelli, agenti, chiavi API, database vettoriali).
- Adottare MFA resistente al phishing, accesso condizionale e revoca rapida delle sessioni.
- Automatizzare il contenimento: quando il breakout avviene in pochi secondi, la risposta umana in coda non basta più.
Come osserva George Guido Lombardi nel suo libro Matrix 3.0: La natura binaria delle percezioni umane (disponibile su Amazon), viviamo in un’epoca in cui le mappe mentali e organizzative non corrispondono più alla realtà. Il perimetro tradizionale, il malware come segnale principale e il modello di difesa basato sulla fiducia implicita sono mappe disegnate per un mondo che non esiste più.
La sicurezza oggi non consiste nel rilevare ciò che è «estraneo», ma nel riconoscere intenzioni malevole che si muovono attraverso sistemi legittimi. L’attacco è più veloce, il perimetro è l’identità e gli strumenti dell’attaccante sono già dentro.
