Allerta rossa: perché gli aggressori informatici superano i difensori nella corsa alle minacce del 2025

Nell’odierno campo di battaglia digitale, le regole sono cambiate - e non a favore dei difensori. Mentre il 2025 volge al termine, i criminali informatici hanno dimostrato di saper sfruttare vulnerabilità appena scoperte a velocità vertiginosa, lasciando le organizzazioni costantemente sulla difensiva. Dietro le quinte, un cocktail letale di automazione, turbolenze geopolitiche e inganni guidati dall’IA sta alimentando un’escalation senza precedenti del rischio cyber. Come siamo arrivati fin qui, e perché sembra che i difensori siano sempre un passo indietro?

La trappola della velocità: attaccanti vs. difensori

Secondo il rapporto 2025 di Cisco Talos, gli attaccanti hanno praticamente azzerato la finestra tra la divulgazione di una vulnerabilità e il suo sfruttamento. Strumenti automatizzati e distribuzione su larga scala di framework offensivi fanno sì che, quando una patch è disponibile - o persino solo annunciata - gli attaccanti siano già dentro. Questo è stato illustrato in modo lampante dalla falla React2Shell, balzata all’infamia come la vulnerabilità più presa di mira dell’anno a pochi giorni dalla sua divulgazione pubblica.

I sistemi legacy e i framework ampiamente utilizzati restano una miniera d’oro per i criminali informatici. Con il 40% delle principali vulnerabilità che colpisce hardware non supportato e un altro 25% che prende di mira librerie software onnipresenti come Log4j e OpenSSL, applicare patch è spesso complesso, lento o semplicemente impossibile. Le falle di Remote Code Execution (RCE) dominano, rendendo facile per gli attaccanti aggirare le difese tradizionali e automatizzare campagne su larga scala.

Identità sotto assedio

L’identità digitale è diventata la nuova linea del fronte. Gli attaccanti si concentrano sempre più sul furto o sulla compromissione delle credenziali, sapendo che l’accesso è tutto. I gruppi ransomware, in particolare attori prolifici come Qilin, si affidano a strumenti come RDP, PsExec e PowerShell - ciascuno dei quali richiede credenziali utente valide. Nel frattempo, gli attacchi contro l’autenticazione a più fattori (MFA) stanno crescendo rapidamente: le campagne di “MFA spray” prendono di mira migliaia di account con una manciata di password, mentre gli attacchi di compromissione dei dispositivi - in aumento del 178% su base annua - sfruttano i canali di supporto IT per registrare dispositivi controllati dagli attaccanti come fattori MFA attendibili.

Esca via email e macchinazioni geopolitiche

Le tattiche di phishing sono maturate, passando da un clickbait grossolano a imitazioni convincenti delle comunicazioni aziendali di routine. Gli attaccanti stanno abusando della funzionalità Direct Send di Microsoft 365 per falsificare indirizzi email interni, aggirando i controlli di sicurezza standard e consegnando esche altamente mirate a dipendenti di alto valore. Sul fronte geopolitico, i gruppi sponsorizzati dagli Stati si muovono più in fretta e colpiscono più duramente: le operazioni cinesi sono aumentate del 74%, gli APT russi hanno sfruttato vulnerabilità vecchie di anni, la Corea del Nord ha messo a segno un furto di criptovalute da record e gli attori iraniani hanno intensificato la loro presenza furtiva nelle reti di telecomunicazioni del Medio Oriente.

IA: un’arma a doppio taglio

L’intelligenza artificiale sta rimodellando rapidamente il panorama cyber. Sebbene gli attacchi completamente autonomi non siano ancora la norma, l’IA abbassa la soglia tecnica per gli attaccanti meno esperti e potenzia gli avversari più avanzati. Deepfake e campagne di phishing generate dall’IA sono in aumento, mentre i difensori si affannano ad adattarsi e a integrare l’IA nei propri flussi di lavoro di rilevamento e risposta. L’emergere dell’automazione basata su agenti lascia intravedere un futuro prossimo in cui gli attaccanti potranno lanciare campagne massive con una supervisione umana minima.

Conclusione: la corsa incessante continua

Come dimostra il 2025, la corsa agli armamenti cyber sta accelerando. Gli attaccanti sono più veloci, più intelligenti e sempre più automatizzati. Per i difensori, la sfida è ormai esistenziale: adattarsi rapidamente, dare priorità alla protezione dell’identità e abbracciare una difesa guidata dall’IA - oppure rischiare di restare indietro. La finestra di opportunità per applicare patch, prepararsi e rispondere si sta restringendo. In questa competizione ad alta posta, sopravvivranno solo i più rapidi - e i più vigili.

WIKICROOK

• Remote Code Execution (RCE): La Remote Code Execution (RCE) si verifica quando un attaccante esegue il proprio codice sul sistema di una vittima, spesso arrivando al controllo completo o alla compromissione di quel sistema.
• Multi: Multi si riferisce all’uso di una combinazione di tecnologie o sistemi diversi - come satelliti LEO e GEO - per migliorare affidabilità, copertura e sicurezza.
• Phishing: Il phishing è un crimine informatico in cui gli attaccanti inviano messaggi falsi per indurre gli utenti a rivelare dati sensibili o a cliccare su link malevoli.
• Deepfake: Un deepfake è un contenuto multimediale generato dall’IA che imita l’aspetto o la voce di persone reali, spesso usato per ingannare creando video o audio falsi ma convincenti.
• Zero: Una vulnerabilità zero-day è una falla di sicurezza nascosta, sconosciuta al produttore del software, senza una correzione disponibile, il che la rende altamente preziosa e pericolosa per gli attaccanti.