Ventidue secondi. È il tempo che oggi intercorre, in media, tra il momento in cui un criminale ottiene un accesso a una rete aziendale e quello in cui lo “passa” a un secondo gruppo che lo sfrutterà per l’attacco vero e proprio. Lo rivela il rapporto M-Trends 2026, elaborato da Mandiant (gruppo Google) su oltre cinquecentomila ore di interventi reali dopo gli incidenti del 2025. Fino a poco tempo fa quel passaggio richiedeva ore. Oggi è questione di un respiro. E cambia tutto.
Una catena di montaggio del crimine
Quei ventidue secondi raccontano una trasformazione profonda: il cybercrime è diventato una filiera specializzata. Chi “sfonda la porta” non è più chi entra in casa. Ci sono i broker dell’accesso, che si limitano a violare i sistemi e a rivendere le chiavi, e ci sono i gruppi che comprano quelle chiavi per lanciare ransomware o rubare dati. Come in una catena di montaggio, ognuno fa il suo pezzo, in fretta e bene. Per chi difende, significa che tra il primo segnale e il danno grave possono passare pochi istanti: non c’è più il tempo di “vedere domani”.
Immaginiamo la scena, tutt’altro che teorica. Venerdì sera un gruppo scopre una falla in un apparato esposto su internet e vi entra. Nel giro di pochi secondi rivende quell’accesso su un mercato clandestino. Nel fine settimana un secondo gruppo lo acquista, si guarda intorno con calma, individua i dati e i backup. Lunedì mattina, quando l’azienda riapre, trova i sistemi cifrati e una richiesta di riscatto. Nessuno ha “bucato” nulla di nuovo il lunedì: la porta era già stata aperta e rivenduta due giorni prima, mentre gli uffici erano chiusi.
La porta d’ingresso preferita: le vulnerabilità
Come entrano? Per il sesto anno consecutivo, il primo modo in assoluto è lo sfruttamento di una vulnerabilità software, una falla non ancora corretta, che da sola vale circa un terzo di tutte le intrusioni. I bersagli prediletti sono i dispositivi “di confine”: VPN, firewall, i sistemi esposti su internet che fanno da guardiania. Proprio perché stanno in prima linea sono i più attaccati, e paradossalmente spesso i meno sorvegliati, perché registrano pochi dati e ricevono meno attenzione dei sistemi gestionali interni. Un altro dato colpisce: le telefonate-truffa mirate (il cosiddetto voice phishing) sono salite al secondo posto tra le porte d’ingresso, superando le classiche email ingannevoli.
Il paradosso del “tempo negativo”
C’è un numero, nel rapporto, che vale da solo una riflessione. Il “tempo medio per sfruttare” una vulnerabilità è diventato negativo, stimato attorno a meno sette giorni. Tradotto: in media l’attacco arriva prima che il produttore renda disponibile la correzione. Per capire la portata del cambiamento: nel 2018 tra la scoperta di una falla e il suo sfruttamento passavano circa due mesi, tempo sufficiente per organizzarsi e installare l’aggiornamento. Quella finestra non si è solo ristretta: si è rovesciata. Aspettare la patch, oggi, può voler dire arrivare in ritardo per definizione.
I NUMERI DI M-TRENDS 2026
• 22 secondi: il tempo medio di “passaggio di mano” dell’accesso tra criminali
• Le vulnerabilità sono il primo vettore d’ingresso per il 6° anno di fila (circa il 32% dei casi)
• Tempo medio per sfruttare una falla: circa −7 giorni (spesso prima della correzione)
• Permanenza media dell’intruso non rilevato: 14 giorni
• Solo circa la metà delle aziende si accorge da sola di essere stata violata
Il vero nemico: il rumore
Se lo sfruttamento corre, la difesa spesso annega. Le aziende oggi generano montagne di segnalazioni: gli strumenti di scansione producono elenchi sterminati di vulnerabilità, con arretrati che nelle grandi organizzazioni arrivano a centinaia di migliaia di voci. Il problema è che la stragrande maggioranza di quei “reperti” (stime autorevoli parlano di circa il 98%) è rumore: falle che nessuno sfrutterà mai, o che non toccano nulla di critico. Correre dietro a tutto, con la stessa urgenza, è il modo migliore per esaurire le persone e, nel frattempo, lasciare scoperta la porta che conta davvero. È come un’azienda che suona l’allarme antincendio a ogni tostapane: dopo un po’, nessuno corre più.
La risposta: prioritizzare il rischio
La strada non è “aggiornare tutto”, impossibile, ma aggiornare prima ciò che conta. È la logica della gestione delle vulnerabilità basata sul rischio: non più il solo punteggio tecnico di gravità (il CVSS), ma tre domande messe insieme. La falla è davvero sfruttata dai criminali in questo momento? Riguarda un sistema critico per l’azienda? Che impatto sul business avrebbe se venisse violata? È lo stesso approccio che le buone pratiche di sicurezza, dai controlli del NIST alla ISO/IEC 27001, raccomandano da tempo, e che ora diventa una necessità quotidiana. Non a caso perfino le autorità pubbliche si stanno muovendo in questa direzione, imponendo di dare priorità alle correzioni in base allo sfruttamento reale e non più al solo punteggio teorico.
Cambiare mentalità: presumere di essere già dentro
C’è però un cambio più profondo, quasi filosofico. Se l’attacco arriva prima della patch, la prevenzione perfetta è un’illusione. Bisogna presumere di poter essere già stati violati e spostare energie sul rilevamento: accorgersi in fretta, cercare attivamente le tracce dell’intruso invece di attendere che scatti un allarme, comprimere il tempo in cui il criminale si muove indisturbato. La sicurezza non è più solo costruire mura più alte: è avere una guardia sveglia che pattuglia le stanze e sa reagire. In un mondo dove metà delle aziende scopre di essere stata colpita solo perché glielo dice qualcun altro, la differenza la fa chi si accorge per primo.
In pratica: cinque priorità
Se dovessi tradurre tutto questo in una lista da appendere in ufficio, sarebbe questa:
• Conosci ciò che hai: tieni un inventario aggiornato dei sistemi e sappi quali sono davvero critici per il business.
• Presidia i punti esposti: VPN, firewall e servizi affacciati su internet vanno aggiornati per primi e sorvegliati.
• Aggiorna per rischio, non per lista: correggi prima le falle realmente sfruttate e quelle sui sistemi importanti.
• Alza le difese di base: autenticazione a più fattori su tutti gli accessi remoti e conservazione dei log per un periodo adeguato.
• Impara ad accorgerti: dotati di strumenti e procedure per rilevare i comportamenti anomali, e tratta anche gli allarmi “minori” come possibili spie di qualcosa di più grande.
Per una PMI il messaggio è sorprendentemente rassicurante: non servono budget infiniti, serve metodo. Sapere quali sono i propri sistemi critici, tenere sotto controllo i pochi punti esposti su internet, correggere per primi i problemi che contano, e dotarsi della capacità di accorgersi in fretta quando qualcosa non torna. La velocità del crimine non si batte con la fretta, ma con le priorità giuste.
Per maggiori informazioni:
Sito web: www.seccomarco.com
SU