Il perimetro aziendale non coincide più con la rete, il data center o il dispositivo da proteggere. Cloud, applicazioni distribuite, API, workload automatizzati e agenti AI hanno moltiplicato gli accessi e reso più difficile distinguere ciò che è interno da ciò che è esterno. In questo assetto, la sicurezza parte dall’identità: quella degli utenti, ma anche quella di servizi, macchine, applicazioni e componenti software che ogni giorno chiedono accesso a dati e risorse critiche.
Molti attacchi puntano a ottenere o sfruttare accessi legittimi attraverso la compromissione di credenziali, token o sessioni. Una modalità che non sostituisce lo sfruttamento delle vulnerabilità, ma offre agli attaccanti un percorso spesso più diretto e meno visibile verso le risorse aziendali.
La conseguenza è un cambiamento nel modo in cui le imprese devono leggere il rischio cyber. Difendere infrastrutture ed endpoint rimane necessario, ma non basta quando un attaccante può entrare utilizzando credenziali valide, sfruttare sessioni già autenticate oppure appropriarsi dell’identità di un servizio. La questione diventa verificare continuamente chi o che cosa richiede l’accesso, a quali risorse, con quali privilegi e in quale contesto.
Indice degli argomenti
Come cambia il perimetro della cybersecurity aziendale
Per anni l’architettura della sicurezza aziendale è stata costruita attorno a un confine relativamente riconoscibile. Firewall, reti private, VPN e segmentazione servivano a separare un ambiente interno considerato affidabile da ciò che proveniva dall’esterno. Quel confine si è progressivamente indebolito. L’adozione del cloud, il lavoro distribuito, il software as a service e la crescita delle interconnessioni applicative hanno portato risorse e identità ben oltre la LAN aziendale. A questo processo si è aggiunta l’intelligenza artificiale, con sistemi capaci di interagire autonomamente con applicazioni, dati e servizi.
Parallelamente è cresciuto il numero delle identità non umane. Accanto agli utenti operano oggi dispositivi, API, account di servizio, workload, applicazioni e agenti AI. Tutte queste entità devono autenticarsi e ottenere autorizzazioni per svolgere le proprie funzioni e possono quindi ampliare la superficie di attacco se credenziali, segreti e privilegi non sono governati correttamente. È su questa superficie che si concentra una parte rilevante dell’attività criminale: “Il discorso delle identità nell’ambito cybersecurity sta cambiando per tante modalità. Gli attacchi ormai partono dagli accessi” spiega Matteo Ghiotto, CTO di Cyberoo. “Prima gli attaccanti tendevano a privilegiare metodologie come lo zero day, ma questo approccio è cambiato”.
L’aumento delle identità amplia il numero di credenziali, autorizzazioni e relazioni di fiducia che un’organizzazione deve governare. E introduce soggetti digitali con caratteristiche diverse da quelle dei tradizionali account personali. Le identità non umane, infatti, hanno cicli di vita, modalità operative e responsabilità differenti.
“A queste identità legittime, necessarie al funzionamento dei sistemi aziendali, si affianca un fenomeno distinto: quello delle identità sintetiche, costruite combinando dati reali e artificiali per finalità fraudolente. I dati dell’Osservatorio Cyberoo 2026, basati sulle evidenze raccolte nel 2025 dall’I-SOC e dall’Incident Response Team, confermano la centralità degli accessi: il 40% degli attacchi più comuni analizzati ha riguardato BEC e bypass dell’MFA (rispettivamente Business Email Compromise e autenticazione multifattore), mentre il 25% è stato ricondotto a infostealer privati. Questi ultimi sottraggono password, token API, cookie di sessione, credenziali cloud e sessioni OAuth già autenticate, consentendo agli attaccanti di presentarsi ai sistemi come utenti legittimi”, spiega Ghiotto. Disporre di credenziali o token di sessione consente di presentarsi ai sistemi attraverso un’identità apparentemente legittima, evitando in alcuni casi di dover violare direttamente un’infrastruttura. Phishing, social engineering, infostealer e furto dei token diventano così strumenti per appropriarsi dell’accesso prima ancora che del sistema. Con la possibilità di escalation: le informazioni raccolte possono essere rivendute agli initial access broker e successivamente utilizzate anche da gruppi ransomware.
Dall’accesso iniziale al movimento laterale
La compromissione dell’identità rappresenta però spesso soltanto l’inizio. Una volta ottenuto un account valido, l’attaccante cerca di capire quali risorse può raggiungere, quali relazioni di fiducia può sfruttare e se esistono percorsi per aumentare i propri privilegi. “Nella maggior parte dei casi l’accesso iniziale passa da vettori come password spraying, infostealer e vishing. Il rischio cresce quando privilegi eccessivi, account tecnici poco governati o sessioni persistenti consentono di passare dall’utenza compromessa a servizi e account amministrativi. Da lì possono seguire movimento laterale, esfiltrazione dei dati e, in alcune campagne, cifratura o interruzione operativa mediante ransomware”, aggiunge Ghiotto.
La qualità della gestione delle identità diventa dunque determinante. Privilegi accumulati nel tempo, account non dismessi, utenze tecniche con autorizzazioni superiori alle reali necessità operative o amministratori che utilizzano credenziali privilegiate anche per attività ordinarie ampliano le possibilità di movimento laterale. Un accesso inizialmente circoscritto può così diventare il punto di partenza per raggiungere account di servizio o amministrativi, accedere a ulteriori sistemi e arrivare ai dati più sensibili dell’organizzazione.
Per questo la gestione delle identità e degli accessi non può essere considerata soltanto un sistema amministrativo per distribuire username e password. Diventa parte del sistema di contenimento dell’attacco. “In una prospettiva sistemica della cybersecurity – osserva Ghiotto – l’impresa deve conoscere le identità attive, umane e non umane, comprenderne privilegi e relazioni con i servizi critici e correlare questi elementi con segnali di compromissione, anomalie operative ed esposizioni esterne. È questa visibilità, tradotta rapidamente in azioni di verifica, revoca delle sessioni, contenimento e remediation, a ridurre la capacità dell’attaccante di trasformare un accesso compromesso in un incidente più esteso”.
Identity First Security: l’identità come punto di partenza
Spostare la difesa verso un modello Identity First significa partire dall’assunto che un accesso non sia affidabile soltanto perché proviene da un account riconosciuto. In coerenza con i principi Zero Trust, ogni richiesta di autenticazione e autorizzazione deve essere valutata sulla base dell’identità, dei privilegi, dello stato del dispositivo, del contesto e del rischio associato all’operazione, senza attribuire fiducia implicita in base alla posizione nella rete. Vale per un dipendente che accede a un’applicazione cloud, per un amministratore di sistema, per un’API che interroga un database e per un agente AI autorizzato a eseguire operazioni.
La prima difficoltà è organizzativa prima ancora che tecnologica: riconoscere che identità umane e non umane non presentano gli stessi rischi e non possono essere governate con controlli identici. Come spiega Ghiotto, “si tratta di una questione di awareness. In molte aziende non si comprende appieno che le identità includono persone, servizi e componenti software e che le diverse tipologie richiedono strategie differenti”. Per gli utenti umani, aggiunge, “una prima linea di difesa passa dall’autenticazione multifattore resistente al phishing, basata per esempio su FIDO2/WebAuthn o certificati, e da criteri di accesso condizionale che valutino segnali come dispositivo, posizione, rischio della sessione e stato dell’account. Non tutte le forme di MFA offrono infatti lo stesso livello di protezione contro phishing, adversary-in-the-middle e push fatigue”.
L’autenticazione è però soltanto una parte del problema. Il controllo deve seguire l’intero ciclo di vita dell’identità e adeguare le autorizzazioni al ruolo effettivamente ricoperto dalla persona: “Assunzioni, cambi di ruolo e uscite dall’organizzazione devono riflettersi rapidamente sui diritti di accesso. Il problema non riguarda soltanto l’onboarding: un dipendente che cambia mansione può conservare nel tempo autorizzazioni non più necessarie, generando una progressiva espansione dei privilegi”, precisa il CTO.
Il rischio, in altre parole, non nasce soltanto dall’account compromesso, ma dipende da ciò che quell’account è autorizzato a fare nel momento in cui finisce sotto il controllo dell’attaccante.
Privileged identity e account di servizio
Il problema diventa ancora più rilevante per le identità privilegiate. Gli account amministrativi possono intervenire su directory, server, applicazioni e configurazioni di sicurezza e costituiscono per questo un obiettivo ad alto valore. Il principio del minimo privilegio serve a limitare le conseguenze di una compromissione: separazione degli account ordinari da quelli amministrativi, assegnazione dei diritti solo quando e per il tempo necessario, revisione degli accessi periodiche e tracciabilità delle operazioni riducono lo spazio di manovra dell’aggressore. Il monitoraggio delle sessioni privilegiate aiuta inoltre a individuare attività anomale e ricostruire le operazioni effettuate.
Una questione analoga riguarda API, workload e account di servizio. Le identità macchina operano spesso in modo continuativo e non possono essere valutate con gli stessi indicatori comportamentali usati per le persone. Segreti incorporati nel codice, credenziali condivise, token troppo longevi o permessi eccessivi possono diventare punti deboli difficili da individuare. Servono quindi inventario, ownership, credenziali a breve durata dove possibile, rotazione dei segreti, autorizzazioni granulari e monitoraggio dell’uso effettivo.
La crescita degli agenti AI rende il problema ancora più evidente: un agente autorizzato a interrogare sistemi, richiamare API o eseguire azioni per conto dell’utente dispone a tutti gli effetti di capacità operative. Diventa quindi necessario stabilire con precisione quali risorse possa raggiungere, quali operazioni possa compiere e per quanto tempo debba conservare determinate autorizzazioni.
L’Identity First estende così la gestione degli accessi oltre l’identità umana: ogni soggetto digitale dotato di credenziali e permessi entra nel perimetro della sicurezza.
Il fattore umano nell’Identity First: verso una sicurezza sistemica
La centralità dell’identità riporta l’attenzione anche sul comportamento delle persone. Tecnologie di autenticazione e controllo degli accessi possono limitare molti rischi, ma phishing, vishing, smishing e altre tecniche di social engineering continuano a puntare sull’utente per conquistare un’identità legittima. Il mercato offre soluzioni per mitigare questi aspetti, come Keatrix, la piattaforma di Human Risk & Security Awareness Training parte dell’ecosistema ORBIS: “Una strategia efficace deve collegare controlli tecnici, processi, responsabilità, compliance e formazione”, spiega Ghiotto. È la logica della cybersecurity sistemica, applicata da Cyberoo attraverso il modello integrato ORBIS: il rischio non viene gestito come somma di strumenti isolati, ma come fenomeno che attraversa infrastrutture, governance, obblighi normativi e fattore umano”.
L’obiettivo di Keatrix, in particolare, è superare una formazione limitata alla trasmissione periodica di informazioni e intervenire invece sui comportamenti che possono aumentare o ridurre l’esposizione dell’organizzazione. “La piattaforma combina metodo neuroscientifico NeLP, AI adattiva ed edutainment. Gli assessment iniziali e periodici permettono di personalizzare il percorso in base alle conoscenze e al livello di rischio di ogni persona. I contenuti sono proposti attraverso brevi unità formative, chiamate MiLO, con attività interattive e situazioni concrete per favorire comportamenti sicuri”, precisa il CTO.
Proteggere un’identità significa applicare autenticazione robusta, gestione degli accessi, minimo privilegio e monitoraggio, ma anche diminuire la probabilità che l’utente consegni inconsapevolmente le proprie credenziali, approvi una richiesta fraudolenta o cada in una tecnica di social engineering. La security awareness diventa così un ulteriore livello di protezione dell’identità: da una parte i controlli impediscono a un soggetto non autorizzato di usare un account; dall’altra un percorso continuo aiuta il titolare di quell’account a riconoscere i tentativi di compromissione. È dall’integrazione tra tecnologia, governance e comportamento, non da una singola misura, che deriva una protezione più solida degli accessi e del business.
Articolo realizzato in partnership con Cyberoo
Partecipa alla community