Gli attacchi alla supply chain sono una minaccia insidiosa quanto sottovalutat nel panorama della cybersecurity globale. Quando un’azienda subisce una violazione informatica, l’urgenza di ripristinare le operazioni spesso oscura una domanda cruciale: da dove è partito realmente l’attacco?
Indice degli argomenti
L’urgenza del ripristino nasconde l’origine dell’attacco
Quando siamo chiamati ad analizzare un incidente informatico, la maggior parte delle aziende si concentra su un elemento: ripristinare senza indugio le operazioni business-critical, ed è comprensibile. Le operazioni si fermano, i clienti aspettano e la pressione è forte. Ma ciò che spesso viene trascurato nell’urgenza del ripristino è l’identificazione del punto di accesso iniziale dell’attaccante.
In quasi un terzo degli incidenti europei che Unit 42 ha analizzato nell’ultimo anno, la violazione non è iniziata all’interno dell’azienda, ma nella sua supply chain. Si tratta di attacchi che fanno leva su un fornitore, un partner o un service provider per raggiungere il vero obiettivo.
Tuttavia, questa cifra quasi certamente sottostima la vera portata, perché molti incidenti originati nella supply chain non vengono mai identificati o segnalati come tali. Rintracciare il vero punto di origine è complesso e richiede tempo: per questo, considerando risorse tipicamente limitate, la maggior parte delle organizzazioni non lo considera una priorità. Ciò significa che queste violazioni raramente rientrano nel conteggio ufficiale. Il risultato è un pericoloso punto cieco.
I numeri sottostimati di una minaccia in crescita
Che la minaccia alla supply chain stia crescendo rapidamente è una tendenza messa in luce da molte fonti distinte – il report Verizon Business Data Breach Investigations 2025 segnala un aumento del 100% anno su anno, mentre il report Global Incident Response 2025 come la seconda minaccia emergente. In realtà, la sua vera portata è di gran lunga maggiore di quanto qualsiasi analisi possa mostrare.
Ecosistemi digitali e l’anello più debole della catena
Le imprese di oggi dipendono sempre più da ecosistemi digitali estesi. Ognuna di esse si connette a centinaia, a volte migliaia, di fornitori di terze parti, con ogni connessione – un’API, un database condiviso, uno strumento di manutenzione remota – che rappresenta una potenziale porta d’accesso.
Gli attaccanti lo sanno bene: non hanno bisogno di sfondare un portone d’ingresso difeso in modo robusto quando una porta laterale è spalancata.
A peggiorare ulteriormente la situazione, il fatto che i fornitori più piccoli spesso mancano di difese stratificate o del monitoraggio che le grandi aziende considerano uno standard minimo. Una singola compromissione in un fornitore fidato può propagarsi a cascata attraverso l’intera rete.
Casi reali: da schermi pubblicitari a strutture farmaceutiche
Ne abbiamo osservati di sorprendenti.
Durante un evento sportivo globale, un fornitore di contenuti compromesso ha permesso agli hacker di dirottare schermi pubblicitari in una delle principali città europee, diffondendo propaganda su vasta scala.
In un altro caso, gli attaccanti hanno violato l’infrastruttura CCTV di un’azienda farmaceutica, abilitando accessi remoti a strutture sensibili di ricerca e sviluppo.
Un terzo esempio è stato più mirato e subdolo: un Trojan nascosto in un volantino digitale di vendita di auto che ha raggiunto il personale dell’ambasciata in Ucraina tramite una comune bacheca. Tutti eventi che hanno un aspetto fondamentale comune: ciascuno è iniziato da un fornitore fidato e si è concluso con una significativa violazione a valle.
Le forze che amplificano il rischio supply chain
Diverse forze stanno convergendo per rendere la compromissione della supply chain il vettore di attacco preferito dai malintenzionati.
La prima è l’asimmetria economica. È molto più conveniente attaccare che difendere. Violare un piccolo fornitore con difese più deboli è più semplice e può costare a un attaccante poco più tempo e pazienza, mentre difendere un’azienda globale richiede ovviamente investimenti massicci. Il ritorno di questa pazienza può essere però enorme: una singola violazione riuscita può sbloccare l’accesso a molteplici obiettivi a valle.
AI e ransomware abbassano la barriera d’ingresso
La seconda è l’accelerazione dell’AI. Gli attori di minacce ora utilizzano strumenti di ricognizione basati su AI per scansionare internet, mappare chi si connette a chi e identificare potenziali debolezze nella supply chain. Con la disponibilità di ransomware-as-a-service e broker di accesso che vendono credenziali su richiesta, la barriera di ingresso non è mai stata così bassa.
Gruppi come Muddled Libra (noto anche come Scattered Spider) stanno utilizzando questi strumenti con effetti devastanti. In un incidente che abbiamo esaminato, una società di outsourcing di processi aziendali ha affrontato cinque attacchi separati in una sola settimana, ognuno tentando di sfruttare una strada diversa nella sua rete di partner.
La trasformazione digitale moltiplica la superficie d’attacco
Infine, la trasformazione digitale sta moltiplicando la superficie di attacco. Ogni nuova integrazione SaaS, partnership per la condivisione di dati o processo esternalizzato aggiunge complessità e dipendenza. Con la crescita degli ecosistemi, diminuisce la visibilità e il rischio invisibile prospera nell’ombra.
Anatomia di un attacco: dalla ricognizione all’estorsione
L’anatomia di questi attacchi è tipicamente comune.
Inizia con la ricognizione. Viene utilizzata una scansione automatizzata per trovare software obsoleto, credenziali esposte o servizi configurati in modo non adeguato nei sistemi di terze parti. Una volta all’interno, l’attaccante studia l’ambiente, cercando connessioni a organizzazioni di valore più elevato. Il fornitore è raramente l’obiettivo finale – è il trampolino di lancio per il vero attacco.
Da lì, l’attaccante prende il suo tempo, muovendosi lateralmente. Potrebbe usare credenziali rubate per accedere a storage cloud condivisi o incorporare codice malevolo in un aggiornamento software. Alla fine, raggiunge un obiettivo che detiene dati sensibili o controllo operativo. Spesso segue un’estorsione, ad esempio una minaccia di divulgare dati, interrompere le operazioni o segnalare la violazione alle autorità di regolamentazione per innescare multe e danni alla reputazione.
Settori nel mirino: finanza, high-tech e lusso
I bersagli più frequenti che abbiamo osservato sono nei settori high-tech e dei servizi finanziari, che gestiscono dati di valore e tipicamente dipendono da numerosi fornitori. Ma non sono i soli, anche studi legali e fornitori di servizi professionali, ricchi di materiale confidenziale dei clienti, sono diventati obiettivi primari grazie alle loro connessioni con aziende di alto livello. Anche i brand di lusso sono nella lista, spesso attaccati indirettamente per raggiungere i dati personali di clienti con patrimoni elevati.
Gli attaccanti non seguono solo un ritorno economico, ma anche le opzioni legate alla connettività: più strettamente un’organizzazione interagisce con altre, più numerosi sono i potenziali percorsi per raggiungerla.
Cyber altruismo: proteggere l’ecosistema protegge l’azienda
Il pensiero tradizionale sulla sicurezza si ferma al perimetro aziendale. Proteggiamo ciò che possediamo e gestiamo, ma questo approccio non funziona più quando l’esposizione si estende a centinaia di fornitori.
Per questo sosteniamo un approccio di “cyber altruismo” – l’idea che le aziende più grandi dovrebbero estendere protezione, strumenti e competenze di livello enterprise ai partner più piccoli. Non è solo altruismo, è un auto-interesse illuminato. Ogni anello debole nella propria supply chain rappresenta una potenziale violazione.
Strumenti e strategie per rafforzare i partner deboli
Cyber altruismo significa mappare le dipendenze, identificare gli anelli deboli e condividere la sicurezza. Potrebbe significare garantire ai fornitori più piccoli accesso a strumenti sicuri di trasferimento di file, feed di threat intelligence o playbook di risposta agli incidenti; includere standard minimi di sicurezza nei contratti o offrire formazione co-finanziata. Generalmente sono le “imprese àncora” a guidare queste attività, poiché hanno di più da perdere in caso un partner venisse violato.
Benefici collettivi e vantaggio competitivo
Quando viene ben gestito, i benefici sono notevoli e collettivi. Il rischio si riduce nell’intero ecosistema, la resilienza migliora e la fiducia si irrobustisce. Le aziende che adottano questo approccio probabilmente otterranno anche un vantaggio competitivo. Clienti e regolatori si aspettano sempre più una due diligence visibile sulla sicurezza della supply chain.
Tre domande per iniziare a difendersi
La sicurezza della supply chain non può basarsi solo sulla divulgazione. Gli incidenti continueranno a non essere riportati adeguatamente finché si privilegerà il ripristino dei sistemi rispetto all’individuazione della loro origine. Ma si potrà cambiare ciò che accade dopo.
I responsabili dovrebbero iniziare ponendosi tre semplici domande:
- Conosciamo ogni nostra dipendenza digitale? Mappiamo fornitori, partner e service provider, per quanto piccoli.
- Dove sono gli anelli deboli? Valutiamo le vulnerabilità e le risolviamo prima che lo facciano gli avversari.
- Come stiamo supportando il nostro ecosistema? Estendiamo difese e conoscenze a chi ne ha bisogno.
La realtà è che un anello debole può compromettere un intero ecosistema. Riconoscere questa interdipendenza è il primo passo verso la resilienza.
Oltre la tecnologia: collaborazione e responsabilità
La crescita delle supply chain connesse ha trasformato il modo di operare, ma ha anche creato una “tempesta perfetta” a tutto vantaggio degli attaccanti. Squilibrio economico, rapida adozione dell’AI e infinite interconnessioni digitali hanno inclinato il campo a loro favore.
La tecnologia gioca un ruolo come sempre importante, ma da sola non è sufficiente a ritrovare la stabilità perduta: servono anche collaborazione, visibilità e responsabilità condivisa. Il cyber altruismo racchiude questa mentalità pragmatica, collettiva e focalizzata sulla protezione di tutti coloro che dipendono dalla catena.
Se non possiamo risolvere ciò che non siamo in grado di vedere, una volta che riusciamo a guardare oltre la punta dell’iceberg, possiamo iniziare a rafforzare ciò che si trova al di sotto.
