Se hai il codice sul telefono, non sei comunque al sicuro

I numeri della settimana: Il nuovo report Sophos 2026 rivela che il 67% degli attacchi informatici parte da un'identità compromessa. Microsoft registra 600 milioni di attacchi alle identità ogni singolo giorno.

Immaginate il vostro bancomat. Ha uno sportello fisico, uno sportello digitale, una password e un codice segreto. Siete stati attenti: avete messo un cancello robusto, una serratura di qualità, e avete persino aggiunto un lucchetto supplementare. Poi un giorno vi accorgete che qualcuno vi ha copiato la chiave mentre la usavate.

Non ha scassinato niente. Non ha usato la forza. Si è semplicemente messo tra voi e lo sportello, in modo invisibile, e ha preso tutto quello che gli serviva.

È esattamente quello che sta succedendo ogni giorno, a milioni di aziende nel mondo, attraverso un tipo di attacco che mette in crisi anche le aziende più attente: quelle che hanno già attivato l'autenticazione a due fattori.

Il perimetro è morto. Lunga vita all'identità.

Per anni, la sicurezza informatica si è basata su un'idea semplice: costruisci un muro abbastanza alto intorno alla tua rete aziendale e sei al sicuro. Firewall, VPN (di cui abbiamo parlato in un precedente articolo), antivirus: il perimetro digitale era la nostra fortezza.

Quel modello non esiste più. Non è una scelta: è un dato di fatto. Il lavoro ibrido ha portato i dipendenti fuori dalle mura. Il cloud ha spostato i dati fuori dal nostro controllo diretto. E gli hacker hanno capito che è molto più semplice entrare con le chiavi invece di scassinare la porta.

Il nuovo perimetro da difendere non è una rete. È un'identità. La vostra. Quella dei vostri dipendenti. Quella dei vostri fornitori.

Secondo il recente Sophos Active Adversary Report 2026, basato sull'analisi di 661 incidenti reali in 70 paesi e 34 settori produttivi diversi, il 67% degli attacchi sfrutta identità compromesse: credenziali rubate, autenticazione multi-fattore mal configurata, gestione delle identità trascurata. Non exploit sofisticati. Non vulnerabilità misteriose. Semplicemente: qualcuno che entra con le vostre chiavi.

"Ma io ho attivato il codice sul telefono!" — Il problema si chiama AiTM

Qui arriva la notizia che spiazza anche i più attenti. L'autenticazione a due fattori — quel codice di 6 cifre che arriva via SMS o via app ogni volta che accedete a un servizio — è stata per anni considerata la risposta definitiva al furto di credenziali. Purtroppo, anche quella difesa oggi può essere aggirata in tempo reale.

La tecnica si chiama AiTM — Adversary in the Middle, ovvero "l'avversario nel mezzo". Torniamo alla metafora della chiave copiata: immaginate che mentre inserite il codice nel bancomat, qualcuno con uno specchio semitrasparente si interponga tra voi e lo schermo. Vede il codice nel momento stesso in cui lo inserite, lo trasmette all'istante al vero sistema, ottiene l'accesso, e voi non ve ne accorgete.

In digitale funziona così: l'hacker crea un sito web identico a quello della vostra banca, del vostro gestionale aziendale o della vostra email. Voi inserite nome utente, password e codice temporaneo. Il sito falso gira tutto in tempo reale al sito vero, e nel frattempo l'hacker ha già la vostra sessione aperta. Il codice SMS è scaduto, ma lui è già dentro.

Secondo il Microsoft Digital Defense Report 2025, questi attacchi sono in rapida crescita: Microsoft blocca ogni giorno 600 milioni di tentativi di questo tipo. Seicento milioni. Al giorno.

Tre ore e quaranta minuti: il tempo che manca all'hacker

Il report Sophos ci regala un dato che vale la pena fissare bene in mente: una volta entrato nella vostra rete, un hacker raggiunge il vostro Active Directory — ovvero il "registro degli accessi" che controlla chi può fare cosa nella vostra azienda — in 3 ore e 40 minuti dalla prima intrusione.

Tre ore e quaranta. Il tempo di una mezza giornata lavorativa distratta. Mentre voi state in riunione, rispondete alle email, o prendete un caffè, qualcuno ha già trovato le chiavi di tutta la casa.

Cosa succede poi? Una volta conquistato l'Active Directory, l'hacker può creare nuovi utenti, resettare password, disattivare account di sicurezza, ed eliminare i backup. È la premessa ideale per un attacco ransomware: tutto sotto controllo, sistema in mano, richiesta di riscatto in arrivo.

L'altro dato che preoccupa: il 59% delle aziende colpite non aveva implementato correttamente la MFA. Ovvero: l'autenticazione a due fattori era disponibile ma non attivata, parzialmente configurata, o bypassata con metodi ormai noti.

Cosa significa per la vostra azienda — e per voi a casa

La minaccia alle identità non riguarda solo le grandi imprese. Anzi: le PMI del nostro territorio manifatturiero sono spesso i bersagli prediletti, perché hanno dati di valore ma strutture IT più esposte. E il fenomeno si estende anche alla sfera personale.

Pensate al vostro account email personale, al vostro home banking, al vostro profilo LinkedIn. Se qualcuno ottiene le vostre credenziali — attraverso una delle innumerevoli fughe di dati che avvengono ogni settimana — e impersona la vostra identità digitale, è come se vi avessero rubato il documento di identità fisico, ma con poteri molto più ampi. Può firmare contratti al posto vostro, accedere ai vostri conti, impersonarvi con i vostri colleghi e fornitori.

Cosa fare: dalla MFA classica alla MFA resistente al phishing

La buona notizia è che esistono soluzioni concrete, già disponibili, non necessariamente costose. Vediamo le principali.

1. Passate a una MFA resistente al phishing. Non tutti i sistemi di doppia autenticazione sono uguali. I codici via SMS e le app TOTP (quelle che generano il codice a 6 cifre) sono vulnerabili agli attacchi AiTM. Le soluzioni resistenti al phishing si basano su standard come FIDO2/Passkey: invece di un codice, usano una chiave crittografica legata al vostro dispositivo fisico e al sito web originale. Un proxy falso non può intercettarla perché il codice vale solo per quel sito specifico, in quel momento preciso. Grandi sistemi come Microsoft Entra e Google Workspace già le supportano.

2. Fate un inventario delle vostre identità digitali. Quanti account attivi ci sono nella vostra azienda? Quanti appartenono a ex dipendenti ancora attivi? Quanti fornitori hanno accesso ai vostri sistemi? La risposta onesta, per la maggior parte delle PMI, è: "non lo sappiamo esattamente". Questo è il punto di partenza. Non si può proteggere ciò che non si conosce.

3. Introducete il principio del minimo privilegio. Ogni dipendente, ogni sistema, ogni fornitore dovrebbe avere accesso solo alle risorse strettamente necessarie al suo lavoro. Se un account viene compromesso, il danno è circoscritto. È lo stesso principio che adottano le banche con i dipendenti: il cassiere non ha accesso alla cassaforte del direttore.

4. Monitorate le anomalie di accesso. Un dipendente che si collega alle 3 di notte dall'altra parte del mondo, o che in cinque minuti accede a cento file che non ha mai aperto, è un segnale d'allarme. I sistemi moderni di Identity Threat Detection fanno esattamente questo: analizzano i comportamenti e segnalano le anomalie prima che diventino un danno.

Un consiglio pratico per tutti, anche a casa

Per chi legge questo articolo fuori dal contesto aziendale, c'è un'azione semplice da fare oggi stesso: andate su haveibeenpwned.com e inserite il vostro indirizzo email. Questo sito gratuito vi dirà in pochi secondi se le vostre credenziali sono mai finite in una delle grandi fughe di dati degli ultimi anni. Se il risultato è positivo (e statisticamente per molti lo sarà), cambiate immediatamente la password di quell'account e di tutti gli altri dove usate la stessa combinazione.

Sì, lo so: la password uguale per tutto è una comodità. Ma è come usare la stessa chiave per casa, l'auto, il garage e la cassaforte. Se qualcuno la copia, ha accesso a tutto.

Per concludere: l'identità è il nuovo confine

Il furto di identità non è più un problema da film di fantascienza o da cronaca americana. È la minaccia numero uno del 2026, confermata dai dati più recenti a livello globale. E a differenza di un ransomware che blocca i computer e fa scattare un campanello d'allarme, il furto di identità può restare silenzioso per settimane. L'intruso usa le vostre credenziali, si muove come voi, agisce come voi.

Il vecchio mantra della sicurezza era "Tieni fuori i cattivi." Il nuovo è molto più sottile: "Come fai a sapere che chi è già dentro è davvero chi dice di essere?"

È una domanda scomoda. Ma è quella giusta da porsi, oggi, prima che qualcun altro la risponda al posto vostro.

Per maggiori informazioni:

Sito web: www.seccomarco.com

LinkedIn: https://www.linkedin.com/in/marco-secco-pqc/