CYBSicurezza informatica

Lettera immaginaria di un attaccante pentito: come si sceglie un bersaglio

Un racconto immaginario dal punto di vista di chi attacca: i bersagli non si scelgono, si trovano. I tre segnali che fanno passare oltre e come diventano regole concrete in azienda.

Redazione Strategic 9 aprile 2026 Aggiornato il 16 settembre 2026 7 min di lettura

Lettera immaginaria di un attaccante pentito: come si sceglie un bersaglio

Chi attacca per denaro raramente sceglie un’azienda per nome: fa girare programmi che provano migliaia di sistemi ogni notte e si ferma dove una porta cede. Per questo le difese che contano di più sono quelle che lo convincono a passare oltre: sistemi esposti aggiornati in fretta, accessi protetti da un secondo fattore, qualcuno che si accorge dei tentativi. La lettera che segue è inventata, ma la logica che racconta è quella descritta dai rapporti sugli incidenti degli ultimi anni.

Questo articolo fa parte della rubrica «Racconti di sicurezza»: la storia è immaginaria, le indicazioni sono pratiche.

La lettera

Alla direzione di un’azienda qualunque,

per dieci anni sono entrato nei sistemi di aziende che non avrei saputo trovare su una cartina. Non ne ho mai scelta una per nome. Avevo programmi che ogni notte bussavano a migliaia di indirizzi: accessi remoti, caselle di posta, pannelli di amministrazione, siti con un componente vecchio di due anni. Io aspettavo che una porta cedesse. Quella diventava l’azienda della settimana.

Non serviva essere bravi: serviva essere pazienti. Entravo quasi sempre da una di tre strade. Un programma esposto su internet che nessuno aggiornava da mesi, anche se la correzione esisteva. Una password prevedibile, il nome dell’azienda seguito dall’anno, oppure la stessa password usata su un sito violato tempo prima. Una persona gentile che, al telefono o su una pagina ben fatta, mi consegnava un codice.

Poi c’erano le aziende che mi facevano cambiare strada, e le riconoscevo in pochi minuti. La falla uscita la settimana prima era già chiusa. Gli accessi chiedevano un secondo fattore, e nessuno lo approvava con un clic distratto. E qualcuno guardava: dopo una serie di tentativi falliti l’indirizzo veniva bloccato, dopo un accesso strano arrivava una telefonata.

Non passavo oltre per rispetto. Passavo oltre per convenienza: nella lista c’erano mille nomi più facili.

Ho smesso. Vi scrivo perché ho capito una cosa tardi: nessuno era un bersaglio speciale, ma tutti erano nella lista. Spero che, la notte in cui il programma si fermerà sul vostro indirizzo, trovi una porta chiusa.

Un ex attaccante

Fuori dalla finzione: perché gli attacchi sono così automatici?

Perché conviene. Programmi di scansione esaminano di continuo gli indirizzi pubblici alla ricerca di servizi esposti e di versioni vulnerabili. Chi trova un accesso spesso non lo usa: lo rivende a chi lancerà l’attacco vero, per esempio un ransomware, cioè il programma che cifra i dati e chiede un riscatto.

Il rapporto M-Trends 2026 di Mandiant, pubblicato a marzo 2026 sulla base delle indagini condotte nel 2025, descrive bene questa catena:

lo sfruttamento di vulnerabilità è stato per il sesto anno consecutivo il primo modo di entrare, con il 32% delle intrusioni;
il phishing vocale, cioè la telefonata ingannevole, è salito al secondo posto con l’11%;
il tempo mediano tra il primo accesso e il suo passaggio a un altro gruppo criminale è sceso a 22 secondi.

In altre parole, chi entra spesso non è chi colpisce, e tra i due passa pochissimo tempo. La lettera ha ragione: nessuno sceglie il bersaglio. Lo trova un programma.

Primo segnale: i sistemi esposti sono aggiornati

Un attaccante che cerca una vulnerabilità nota passa oltre se la trova già corretta. In pratica servono tre cose.

Sapere che cosa è esposto. Un elenco aggiornato di ciò che è raggiungibile da internet: accessi remoti, firewall, posta, siti, pannelli di gestione, servizi in cloud. Quello che non è in elenco, di solito, non viene aggiornato.
Dare priorità a ciò che viene sfruttato davvero. L’agenzia statunitense CISA pubblica un catalogo delle vulnerabilità di cui è noto lo sfruttamento: quelle presenti sui sistemi esposti vanno corrette per prime, con tempi stabiliti in anticipo.
Rendere visibili i rinvii. Se un aggiornamento non si può installare subito, qualcuno lo decide per iscritto e prevede una misura temporanea.

Per le aziende soggette alla NIS2 in Italia non è solo buona pratica: le misure di base dell’Agenzia per la Cybersicurezza Nazionale chiedono un piano di gestione delle vulnerabilità approvato dagli organi di amministrazione e direttivi.

Secondo segnale: gli accessi non si aprono con una sola password

Le password prevedibili e riutilizzate restano una strada comoda, come racconta l’articolo sulle password riciclate. Le indicazioni aggiornate del NIST, l’istituto statunitense per gli standard, pubblicate a luglio 2025, puntano su poche regole: password lunghe, confronto con elenchi di password comuni o già violate, nessun cambio periodico obbligatorio se non ci sono segni di compromissione.

La password da sola, però, non basta. Il secondo fattore di autenticazione (un codice, una notifica, una chiave fisica) va attivato prima di tutto su posta, accessi remoti, account amministrativi e servizi in cloud. Due accorgimenti fanno la differenza:

per gli amministratori, fattori resistenti al phishing, come le chiavi di sicurezza o le passkey, che non si possono dettare al telefono;
attenzione alle notifiche ripetute: la CISA descrive attacchi in cui la vittima riceve decine di richieste di approvazione finché, per stanchezza, ne accetta una.

Completano il quadro un gestore di password aziendale, account amministrativi separati da quelli di uso quotidiano e la chiusura rapida degli account di chi lascia l’azienda.

Terzo segnale: qualcuno si accorge dei tentativi

Una serie di accessi falliti, un accesso riuscito da un Paese insolito, un nuovo account amministrativo: sono eventi che lasciano tracce. Se qualcuno li nota e reagisce, l’attaccante perde il vantaggio della sorpresa. Secondo lo stesso rapporto M-Trends, nel 2025 sono passati in mediana 14 giorni tra l’ingresso e la scoperta: un tempo in cui un allarme ben scelto può cambiare l’esito.

Servono pochi elementi, scritti: quali eventi generano un avviso, chi lo riceve, che cosa fa e con quali tempi, anche fuori dall’orario d’ufficio se l’azienda lo ha previsto. E servono i registri, conservati lontano dai sistemi che descrivono, come spiega l’articolo su Sherlock Holmes e i file di log.

Da girare al personale

Il personale è una delle tre strade della lettera. Poche regole, facili da ricordare:

nessun codice e nessuna notifica di accesso si approvano per conto di qualcun altro;
password diverse per ogni servizio, custodite nel gestore aziendale;
chi telefona «dall’assistenza» viene richiamato su un numero noto, come nel caso del falso supporto Microsoft;
un dubbio si segnala subito: una segnalazione in più non disturba nessuno.

Come si capisce se la propria azienda fa passare oltre?

Guardandola con gli occhi di chi attacca. Una verifica dall’esterno mostra che cosa è raggiungibile e con quali versioni; un penetration test prova a sfruttare le debolezze trovate, su un perimetro autorizzato per iscritto. Le simulazioni di phishing e di telefonate, fatte con il consenso della direzione, misurano la terza strada. I risultati diventano un elenco di correzioni ordinato per gravità.

In sintesi

Gli attacchi per denaro sono in gran parte automatici: i bersagli li trovano i programmi, non le persone.
Le intrusioni partono soprattutto da vulnerabilità note, credenziali deboli e telefonate o pagine ingannevoli.
Il primo segnale che fa passare oltre: sistemi esposti censiti e aggiornati, a partire dalle vulnerabilità sfruttate davvero.
Il secondo: secondo fattore su posta, accessi remoti e amministratori, con fattori resistenti al phishing dove conta.
Il terzo: allarmi scelti, un responsabile che li legge, registri conservati altrove.
Una verifica dall’esterno e simulazioni con il personale dicono a che punto è l’azienda.

Domande frequenti

Un’azienda poco conosciuta può essere attaccata?

Sì. Gli strumenti automatici non guardano la notorietà, guardano le porte aperte. Un’azienda poco nota con un accesso remoto non aggiornato è un bersaglio più probabile di una grande azienda ben protetta.

Le password complesse bastano?

No. Una password complessa ma riutilizzata o finita in una violazione non protegge. Servono password lunghe e uniche, un gestore di password e, sugli accessi importanti, un secondo fattore.

Il secondo fattore si può aggirare?

Alcune forme sì: un codice può essere dettato a un truffatore, una notifica può essere approvata per stanchezza. Le chiavi di sicurezza e le passkey sono più resistenti, perché funzionano solo sul sito vero e non si possono comunicare al telefono.

Con quale frequenza vanno aggiornati i sistemi esposti?

Non c’è un calendario unico: conta la gravità. Le vulnerabilità già sfruttate sui sistemi raggiungibili da internet vanno corrette per prime, con tempi fissati nel piano di gestione delle vulnerabilità; le altre seguono un ciclo regolare.

Chi deve leggere gli avvisi di sicurezza?

Una persona o un gruppo con un incarico scritto, dentro o fuori l’azienda. Quello che conta è che ogni avviso abbia un destinatario e una risposta prevista.

La lettera è immaginaria, le tre strade no. La divisione Cybersecurity di Strategic aiuta a capire quali porte vede chi attacca, con verifiche esterne e penetration test, e a trasformare i risultati in correzioni ordinate e regole che il personale conosce.

Fonti

ApprofondisciCybersecurityVerifiche fatte come le farebbe un attaccante (penetration test), gestione degli incidenti, continuità operativa e aiuto ad adeguarsi alla NIS2, anche per i fornitori.