Punti di forza
- Le identità non umane (NHI) superano ormai di gran lunga il numero degli utenti umani e stanno crescendo a un ritmo molto più rapido, creando un’area di attacco significativa e poco regolamentata.
- Gli autori degli attacchi ricorrono sempre più spesso a tecniche di ingegneria sociale, come il phishing vocale (vishing), per aggirare le difese umane e ottenere l’accesso alle credenziali a livello di sistema.
- La maggior parte delle NHI opera con autorizzazioni eccessive e non dispone di un’adeguata gestione del ciclo di vita, contribuendo così all’accumulo di un “debito identitario”.
- Gli strumenti di sicurezza tradizionali non riescono a rilevare le minacce a livello di macchina poiché gli NHI si comportano in modo diverso dagli utenti umani.
- Le organizzazioni devono passare da strategie incentrate sulla prevenzione ad approcci incentrati sul ripristino, dando priorità all’individuazione rapida e alla neutralizzazione degli attacchi basati sull’identità.
Negli ultimi dieci anni, gli investimenti nella sicurezza aziendale hanno seguito l’utente umano. Autenticazione migliorata. Autenticazione multifattoriale (MFA) più solida. Simulazione di phishing. Architettura incentrata sull’identità. Questi investimenti rappresentavano la risposta adeguata al panorama delle minacce dell’epoca. Il panorama delle minacce è cambiato.
Gli aggressori più sofisticati di oggi non cercano di aggirare la vostra MFA. La utilizzano come porta d’accesso. Una telefonata convincente al vostro help desk IT, una reimpostazione dell’MFA e un account umano compromesso: ecco il punto di ingresso. Ciò che in realtà cercano è ciò che si trova dietro: il livello tentacolare e scarsamente regolamentato delle NHI che collega ogni sistema nel vostro ambiente.
La portata del problema è sbalorditiva
Account di servizio, chiavi API, token OAuth, agenti di intelligenza artificiale: le NHI superano ormai gli utenti umani in un rapporto di 144 a 1 e crescono da 4 a 10 volte più velocemente degli account umani. Eppure, meno del 25% delle organizzazioni dispone di politiche formali che ne regolino la creazione o la disattivazione. Quasi tutte presentano autorizzazioni eccessive: diritti che superano di gran lunga ciò che la loro funzione richiede.
Non si tratta di un rischio nuovo, apparso all’improvviso. È un debito identitario accumulato nel tempo: anni di implementazione senza governance, automazione senza responsabilità, cloud senza visibilità. E gli avversari se ne sono accorti.
Il vishing è il punto di accesso
Gruppi come ShinyHunters e Scattered Spider – che operano nell’ambito di quello che i ricercatori chiamano il cluster Scattered LAPSUS$ Hunters (SLH) – hanno industrializzato l’ingegneria sociale per sfruttare proprio questa lacuna. Il vishing è aumentato del 449% nel 2025. Non si tratta di chiamate opportunistiche. Sono operazioni coordinate: script appositamente realizzati, operatori reclutati, incentivi finanziari fino a 1.000 dollari per ogni caso di impersonificazione riuscita dell’help desk.
La chiamata non è l’attacco. La chiamata serve a reimpostare le credenziali, consentendo all’autore dell’attacco di superare il perimetro umano. L’attacco ha inizio quando l’autore dell’attacco passa al livello dei sistemi: rubando token OAuth, creando account di servizio amministrativi, incorporando l’accesso in credenziali che vengono monitorate raramente e di cui non viene quasi mai effettuata la rotazione. L’account umano viene neutralizzato. L’accesso a livello di macchina persiste. L’autore dell’attacco è già passato ad altro.
Tre vulnerabilità che i controlli tradizionali non riescono a individuare
Gli strumenti di sicurezza standard sono progettati in base al comportamento umano. Segnalano accessi anomali, geolocalizzazioni insolite, traffico e-mail sospetto. Gli NHI operano in modo diverso, ed è proprio questa differenza a costituire il punto cieco.
L’abuso di OAuth, ad esempio, appare come normale traffico API – anche dopo la reimpostazione di una password. Migliaia di account di servizio non documentati operano nelle grandi imprese con privilegi amministrativi, spesso molto tempo dopo la conclusione dei progetti che li hanno creati. Le chiavi API a lunga durata incorporate nelle pipeline DevOps garantiscono un ampio accesso senza contesto del dispositivo e senza avvisi di accesso. L’autenticazione a più fattori (MFA) non li rileva. Il sistema di rilevamento degli endpoint non li individua. Il filtraggio delle e-mail è irrilevante per loro.
Il cambiamento di paradigma: dalla prevenzione al ripristino
La risposta logica a una minaccia che spesso sfugge ai sistemi di rilevamento tradizionali è smettere di dare per scontato che sia possibile prevenire ogni intrusione e iniziare a progettare sistemi che consentano un rapido ripristino in caso di intrusioni riuscite. Ciò significa considerare gli NHI come risorse di livello 0, applicando loro gli stessi controlli di governance previsti per gli amministratori di dominio o i piani cloud gestiti con identità umane. Significa sostituire i segreti statici con token a breve durata e rotazione automatica.
Significa anche correlare i segnali provenienti da diversi ambiti: un’interazione con l’help desk seguita da un ripristino dell’autenticazione a più fattori (MFA) e poi dalla creazione di un nuovo token costituisce un indicatore di compromissione altamente attendibile, e individuarlo tempestivamente fa la differenza tra il contenimento dell’incidente e una violazione prolungata. Significa inoltre mappare gli NHI alle identità umane ai fini della responsabilità.
Ma soprattutto, significa avere la capacità di rilevare in tempo reale gli aumenti non autorizzati dei privilegi e di annullare le modifiche dannose alle identità, riportando l’ambiente a uno stato noto e affidabile prima che il danno si estenda.
La prevenzione rimane fondamentale. Tuttavia, dato il divario di governance che caratterizza molte organizzazioni, la velocità di ripristino sta diventando un indicatore primario di resilienza. Le organizzazioni dovrebbero sviluppare programmi di gestione delle identità pensati per gli attacchi che si stanno già verificando, non per quelli che erano comuni cinque anni fa. Visita Readiverse e dai un’occhiata al nostro eBook *The Non-Human Identity Crisis*, che esplora l’intera portata della superficie di attacco delle macchine e il quadro di riferimento per la resilienza dell’identità.
Domande frequenti
Domanda 1: Cosa sono le identità non umane (NHI)?
R: Le NHI comprendono account di servizio, chiavi API, token OAuth e agenti di intelligenza artificiale che consentono a sistemi e applicazioni di interagire tra loro. A differenza degli utenti umani, spesso operano in modo automatico e su larga scala, il che le rende più difficili da monitorare e controllare.
Domanda 2: Perché le NHI sono considerate un rischio per la sicurezza?
R: Le NHI dispongono spesso di autorizzazioni eccessive e non sono soggette a un’adeguata governance, il che le rende bersagli appetibili per gli hacker. Poiché vengono raramente monitorate o sottoposte a rotazione, le credenziali compromesse possono rimanere in uso per lunghi periodi senza essere individuate.
Domanda 3: In che modo gli hacker sfruttano gli NHI?
R: Gli autori degli attacchi ottengono solitamente l’accesso iniziale tramite tecniche di ingegneria sociale, come il voice phishing, per poi passare al livello dei sistemi. Rubano i token, creano nuovi account di servizio o incorporano un accesso persistente nelle credenziali che non sono sottoposte a un monitoraggio rigoroso.
Domanda 4: Perché gli strumenti di sicurezza tradizionali non rilevano queste minacce?
A: La maggior parte degli strumenti di sicurezza è progettata per monitorare il comportamento umano, come le anomalie negli accessi o i tentativi di phishing. Gli NHI generano un traffico di sistema che appare normale, il che consente alle attività dannose di mimetizzarsi tra le operazioni legittime.
D5: Cosa si intende per approccio alla sicurezza “Recovery-first”?
R: Un approccio incentrato sul ripristino mira a individuare rapidamente le violazioni e a riportare i sistemi in uno stato sicuro, piuttosto che partire dal presupposto che tutti gli attacchi possano essere prevenuti. Ciò comporta l’identificazione delle modifiche non autorizzate e il loro ripristino in tempo reale.
Domanda 6: In che modo le organizzazioni possono migliorare la sicurezza del sistema sanitario nazionale?
R: Le organizzazioni possono considerare gli NHI come risorse critiche, attuare politiche di governance rigorose, sostituire le credenziali statiche con token a breve durata e correlare i segnali tra i vari sistemi. L’assegnazione degli NHI a responsabili umani migliora inoltre la responsabilità e la supervisione.
Vidya Shankaran è Field CTO presso Commvault.
