perché la gestione delle identità è il fronte caldo della cybersecurity aziendale

C’è un paradosso al cuore della sicurezza informatica moderna: le aziende investono cifre crescenti in firewall, sistemi di rilevamento delle intrusioni e piattaforme di threat intelligence, eppure la porta attraverso cui entra la maggior parte degli aggressori non viene sfondata, viene aperta dall’interno. Non con exploit sofisticati, ma con una combinazione di credenziali rubate, procedure di verifica lacunose e accessi mai revocati.

La gestione delle identità digitali è oggi il punto più critico e al tempo stesso più trascurato della cybersecurity aziendale contemporanea. Questo perché la superficie d’attacco non dipende più solo dai sistemi aziendali, ma anche dai comportamenti e dagli strumenti utilizzati dagli utenti per proteggere le proprie credenziali. Sempre più spesso, infatti, si ricorre a gestione password con crittografia end-to-end e modelli zero-knowledge per archiviare, condividere e compilare automaticamente gli accessi in modo sicuro.

Un’Italia sovraesposta in un contesto globale in accelerazione

I dati del Rapporto CLUSIT 2026 delineano uno scenario che dovrebbe preoccupare chiunque operi nel tessuto produttivo italiano. Gli attacchi informatici gravi contro organizzazioni nel nostro Paese sono cresciuti del 42% nell’arco del 2025, con 507 incidenti critici documentati.

La proporzione è squilibrata in maniera strutturale: l’Italia subisce quasi il 10% dell’offensiva globale pur rappresentando il 2% del PIL mondiale. A marzo 2026, l’Agenzia per la Cybersicurezza Nazionale ha registrato 313 incidenti confermati in un solo mese, con una crescita dell’81% rispetto al mese precedente.

Il costo non è solo reputazionale. Secondo IBM, il valore medio di un data breach in Italia nel 2025 ha raggiunto i 3,6 milioni di euro. Per le piccole e medie imprese, l’impatto è proporzionalmente devastante: il 60% di quelle colpite da un attacco ransomware grave non sopravvive oltre i sei mesi successivi all’incidente. Eppure, nonostante questi numeri, la risposta del sistema produttivo italiano rimane insufficiente rispetto a nazioni economicamente comparabili.

Credenziali rubate: la chiave che apre tutto

La narrativa popolare sull’hacking evoca immagini di codici oscuri e tecniche di intrusione elaborate. La realtà operativa è molto più prosaica, e proprio per questo più pericolosa. Secondo il Verizon Data Breach Investigations Report, una violazione su due a livello globale è direttamente riconducibile a una gestione inadeguata delle identità e degli accessi. In un caso su tre, il punto d’ingresso iniziale è rappresentato da credenziali compromesse.

Nel 2025, le credenziali rubate e messe in vendita nei mercati illegali del dark web sono aumentate di oltre il 40% rispetto all’anno precedente, raggiungendo una disponibilità di circa 6 miliardi di combinazioni username-password.

Gli Initial Access Broker, intermediari specializzati nella cessione di accessi legittimi a sistemi aziendali, hanno trasformato questo mercato in un’industria parallela altamente organizzata. Le configurazioni che si affidano esclusivamente alla password, per quanto complessa, risultano compromesse in oltre il 99% dei casi di violazione dell’identità: un dato che non lascia spazio a interpretazioni.

I casi che hanno ridefinito la percezione del rischio

Nell’aprile 2025, tre grandi retailer britannici, Marks & Spencer, Co-op e Harrods, sono stati colpiti in sequenza ravvicinata da una campagna coordinata attribuita al gruppo DragonForce. Le modalità rivelano con precisione chirurgica dove risiedono le vulnerabilità reali. Nel caso di M&S, gli aggressori non hanno sfruttato alcuna falla tecnica: hanno telefonato all’help desk IT impersonando dipendenti e ottenuto il reset delle credenziali di accesso.

Da quel punto, l’escalation verso i sistemi critici è stata una questione di ore. L’interruzione degli ordini online è durata 46 giorni; la perdita stimata di capitalizzazione di mercato ha superato 700 milioni di sterline.

Alla Co-op, il vettore è stato il phishing mirato verso un amministratore IT, seguito dal bypass dell’autenticazione multi-fattore basata su SMS, una tecnologia considerata ormai insufficiente per la protezione degli account privilegiati. I dati di 6,5 milioni di soci sono stati esfiltrati. Harrods, colpita due volte nel corso dell’anno, ha subito nella seconda tornata la compromissione dei dati di 430.000 clienti attraverso un fornitore terzo con accesso non adeguatamente monitorato.

In Italia, aziende come Conad, Fiorucci e Poltronesofà hanno affrontato episodi analoghi nel 2025, con sistemi paralizzati e dati sottratti mediante la tecnica della doppia estorsione: prima la cifratura, poi la minaccia di pubblicazione se il riscatto non viene corrisposto.

La nuova superficie d’attacco: le identità che nessuno vede

Oltre alle credenziali umane, esiste una categoria di identità digitali che cresce in silenzio e che la maggior parte delle organizzazioni gestisce in modo frammentato o del tutto insufficiente: le identità non umane. API, bot, account di servizio, dispositivi IoT e workload automatizzati superano oggi le identità umane con un rapporto stimato di oltre 40 a 1 nelle grandi aziende.

Il 77% dei responsabili della sicurezza riconosce che ogni identità macchina non censita rappresenta una potenziale vulnerabilità latente. Più di 50 violazioni legate specificamente a identità non umane sono state documentate nella sola prima metà del 2025.

A complicare ulteriormente il quadro interviene la dimensione dell’intelligenza artificiale applicata agli attacchi. Nel 2025 è stato rilevato per la prima volta un attacco estorsivo generato e gestito interamente da un sistema di IA, capace di adattare messaggi, tempistiche e modalità in risposta ai comportamenti della vittima. La clonazione vocale tramite deepfake ha registrato un aumento del 900% su base annua nell’uso contro sistemi di verifica biometrica, con casi documentati di dirigenti aziendali ingannati durante videoconferenze apparentemente legittime.

Dal modello perimetrale all’identità come nuovo perimetro

La risposta a questa evoluzione non può essere incrementale. Il modello di sicurezza perimetrale, che assumeva affidabile tutto ciò che si trovava all’interno della rete aziendale, è ormai strutturalmente inadeguato. Oggi dipendenti, contractor, partner e sistemi automatizzati accedono alle risorse da qualsiasi luogo e con dispositivi eterogenei, rendendo quel perimetro di fatto inesistente.

Il paradigma Zero Trust ribalta questo assunto: nessun utente, dispositivo o applicazione è considerato affidabile per default, indipendentemente dalla sua posizione nella rete. L’accesso viene concesso su base continuativa, verificando identità e contesto a ogni sessione, e limitato al minimo indispensabile per l’attività specifica, il principio del privilegio minimo. Gartner stima che le organizzazioni che adotteranno programmi di sicurezza incentrati sull’identità subiranno il 50% in meno di violazioni correlate rispetto a quelle che non lo faranno entro il 2026.

Sul piano tecnologico, l’autenticazione passwordless basata su standard FIDO2 e WebAuthn sta guadagnando terreno nei settori ad alto rischio come quello bancario e sanitario, eliminando alla radice la vulnerabilità associata alle password. La gestione automatizzata del ciclo di vita delle identità riduce significativamente il rischio legato agli account orfani, uno dei vettori più sfruttati nelle violazioni documentate. Secondo il Ponemon Institute, le aziende con programmi maturi di gestione del rischio legato ai fornitori terzi subiscono il 20% di incidenti in meno rispetto alle organizzazioni prive di tali controlli.

La gestione delle identità non è più una funzione tecnica secondaria delegata al reparto IT. È diventata una priorità strategica con implicazioni dirette sulla continuità operativa, sulla conformità normativa e sulla sopravvivenza economica delle organizzazioni. Chi continua a trattarla come un tema accessorio lo scopre, invariabilmente, quando è troppo tardi.