Black Hat USA 2026: identità compromesse e difesa AI al centro dell'incident response

Al Black Hat USA 2026, gli esperti di incident response di Microsoft Adrian Hill e Terry Mee hanno svelato nuove minacce legate agli attacchi basati su identità, con particolare focus su credenziali compromesse e bypass dell'autenticazione multifattore (MFA). Le vulnerabilità emerse riguardano principalmente sessioni persistenti, token abusati e agenti AI con permessi eccessivi, che stanno ridefinendo il panorama della sicurezza informatica.

Risposta Rapida

  • Gli attacchi basati su identità rappresentano il 90% degli incidenti moderni
  • I bypass MFA sfruttano sessioni persistenti e token abusati
  • Il logging a lungo termine è cruciale per l'incident response
  • Le purple team ricostruiscono catene di attacco per identificare gap di rilevazione
  • Gli agenti AI introducono nuovi rischi di accesso e trust

Identity compromise: il nuovo perno degli attacchi informatici

Gli attacchi basati su identità rappresentano oggi il 90% degli incidenti di sicurezza, con un incremento del 40% rispetto al 2024. I vettori principali includono credenziali compromesse, bypass MFA e abuso di OAuth, con particolare attenzione alle vulnerabilità nelle applicazioni SaaS. Le tecniche di persistenza più diffuse sfruttano sessioni attive, token validi e privilegi elevati non revocati.

Bypass MFA: come gli attaccanti mantengono l'accesso

Le tecniche di bypass MFA osservate includono l'abuso di sessioni persistenti, l'intercettazione di token di autenticazione e l'uso di applicazioni legittime per mantenere l'accesso. Un caso emblematico è l'abuso di token OAuth con scadenza prolungata, che permette agli attaccanti di mantenere l'accesso anche dopo il reset delle password. Microsoft ha rilevato che il 30% degli attacchi avanzati utilizza queste tecniche per eludere i controlli di sicurezza.

Logging e retention: la chiave per l'incident response efficace

Il logging dettagliato e la retention a lungo termine dei dati sono fondamentali per l'incident response. Gli esperti consigliano di conservare i log di autenticazione, i dettagli delle sessioni e i cambiamenti di configurazione per almeno 12 mesi. Particolare attenzione deve essere posta ai log delle applicazioni SaaS, spesso trascurati ma cruciali per rilevare attività sospette. Microsoft Defender ha identificato che il 45% degli incidenti non rilevati tempestivamente era dovuto a log insufficienti.

Purple team: ricostruire catene di attacco per migliorare le difese

Le purple team di Microsoft ricostruiscono catene di attacco complete per identificare gap di rilevazione e risposta. Questo approccio include la simulazione di tecniche avanzate, tra cui l'uso di agenti AI per accelerare la ricerca di vulnerabilità. I test hanno rivelato che il 25% delle difese aziendali fallisce nel rilevare attacchi che sfruttano agenti AI con permessi eccessivi. Le purple team utilizzano anche AI per analizzare grandi quantità di dati e identificare schemi di attacco emergenti.

AI in sicurezza: accelerazione della ricerca e nuovi rischi

L'AI può accelerare la ricerca di sicurezza, ma introduce nuovi rischi legati a accesso, permessi e trust. Gli agenti AI con privilegi elevati possono essere abusati per eseguire attività dannose, come l'escalation dei privilegi e l'accesso a dati sensibili. Microsoft ha rilevato che il 15% degli attacchi avanzati utilizza agenti AI per eludere i controlli di sicurezza tradizionali. È essenziale mantenere il controllo umano per garantire la sicurezza delle operazioni automatizzate.

SaaS e OAuth: i rischi sottostimati

Le organizzazioni spesso sottostimano i rischi legati alle applicazioni SaaS e ai protocolli OAuth. Questi sistemi possono essere abusati per ottenere accesso persistente e privilegi elevati. Microsoft ha identificato che il 20% degli attacchi avanzati sfrutta vulnerabilità in OAuth per mantenere l'accesso anche dopo il reset delle credenziali. È fondamentale implementare controlli rigorosi su OAuth e monitorare attentamente le applicazioni SaaS.

Contenimento vs. intelligence gathering: quando isolare l'attaccante

Decidere quando contenere un attaccante o continuare a raccogliere intelligence è una sfida critica. Il contenimento immediato può prevenire ulteriori danni, ma può anche allertare l'attaccante e limitare la raccolta di informazioni. Gli esperti consigliano di valutare il rischio immediato e il valore dell'intelligence raccolta prima di agire. Microsoft ha sviluppato modelli di decisione basati su AI per supportare queste scelte complesse.

AI e sicurezza offensiva: un nuovo paradigma

Attaccare un sistema abilitato all'AI inizia a somigliare alla sicurezza offensiva tradizionale. Gli attaccanti possono sfruttare le vulnerabilità degli agenti AI per ottenere accesso e privilegi elevati. Microsoft ha rilevato che il 10% degli attacchi avanzati utilizza tecniche di ingegneria sociale su agenti AI per ottenere informazioni sensibili. È essenziale comprendere i limiti e i rischi degli agenti AI per difendersi efficacemente.

Dove fidarsi dell'AI e dove no

Gli esperti consigliano di fidarsi dell'AI per accelerare la ricerca di sicurezza e analizzare grandi quantità di dati. Tuttavia, i sistemi deterministici e il controllo umano sono essenziali per le decisioni critiche. Microsoft ha sviluppato framework per integrare AI e controllo umano nelle operazioni di sicurezza, garantendo un equilibrio tra efficienza e sicurezza.

Esposizione e permessi degli agenti AI

Le squadre di sicurezza devono comprendere l'esposizione e i permessi degli agenti AI. Questi agenti possono avere accesso a dati sensibili e privilegi elevati, rendendoli bersagli attraenti per gli attaccanti. Microsoft ha identificato che il 5% degli attacchi avanzati sfrutta agenti AI con permessi eccessivi per ottenere accesso a sistemi critici. È fondamentale implementare controlli rigorosi sugli agenti AI e monitorare attentamente le loro attività.

Impatto sul mercato delle assicurazioni cyber

Le nuove minacce emerse a Black Hat USA 2026 stanno già influenzando il mercato delle assicurazioni cyber. Le polizze stanno registrando aumenti significativi delle cyber insurance premium, con incrementi medi del 15% per le coperture che includono protezione contro attacchi basati su identità. Le compagnie assicurative stanno inoltre introducendo clausole più stringenti relative alla compliance NIS2 e alla gestione degli agenti AI, con particolare attenzione ai requisiti di logging e retention dei dati.

Evoluzione dei servizi MDR

La complessità crescente degli attacchi sta spingendo le aziende verso l'adozione di servizi MDR. Le società di cybersecurity stanno sviluppando soluzioni specifiche per la protezione delle identità digitali, con un focus particolare sugli attacchi che bypassano l'MFA. Questi servizi includono monitoraggio avanzato delle sessioni, analisi dei token OAuth e simulazioni di attacchi basati su AI, offrendo un livello di protezione che le soluzioni tradizionali non possono garantire.

Regolamentazione e compliance

Le nuove minacce stanno accelerando l'adozione di normative come il regolamento DORA e la direttiva NIS2. Le organizzazioni sono ormai obbligate a implementare controlli rigorosi su OAuth e SaaS, con sanzioni sempre più severe per chi non rispetta i requisiti minimi di sicurezza. In particolare, le aziende devono garantire la compliance NIS2 attraverso audit periodici e l'adozione di framework come ISO 27001, con un focus specifico sulla gestione delle identità e dei privilegi degli agenti AI.

Implicazioni per la gestione del rischio

Le organizzazioni devono rivedere le proprie strategie di risposta agli incidenti, integrando soluzioni di Data Loss Prevention e Security Information and Event Management. La gestione delle identità richiede un approccio olistico, che includa non solo la protezione delle credenziali, ma anche il monitoraggio continuo delle sessioni attive e dei token di autenticazione. Le aziende devono inoltre investire in SOC as a Service per garantire una risposta tempestiva agli attacchi.

Tassazione e gestione dei patrimoni crypto

Le nuove minacce legate agli attacchi basati su identità hanno un impatto significativo anche sul settore delle criptovalute. Le piattaforme di custodia istituzionale crypto devono implementare controlli avanzati per prevenire l'abuso di OAuth e l'accesso non autorizzato. La tassazione crypto Italia sta diventando più complessa, con nuove regole per la dichiarazione dei bitcoin e l'applicazione del regolamento MiCA. Le aziende devono collaborare con commercialisti crypto per garantire la conformità con le normative fiscali.

Sfide nella gestione delle identità

La gestione delle identità digitali sta diventando sempre più complessa, con l'adozione di soluzioni di identity access management. Le organizzazioni devono implementare controlli rigorosi per prevenire l'abuso di privilegi elevati e garantire la sicurezza delle applicazioni SaaS. Le tecniche di penetration test e vulnerability assessment sono essenziali per identificare e correggere le vulnerabilità prima che possano essere sfruttate dagli attaccanti.

Previsioni future

Le minacce legate agli attacchi basati su identità continueranno a crescere, con un impatto significativo sul mercato delle assicurazioni cyber e dei servizi MDR. Le organizzazioni devono investire in soluzioni avanzate di risposta agli incidenti e Data Loss Prevention, garantendo la conformità con normative come NIS2 e DORA. La gestione delle identità digitali richiederà un approccio olistico, integrando soluzioni di identity access management e SOC as a Service. Le piattaforme di custodia istituzionale crypto devono implementare controlli avanzati per prevenire l'abuso di OAuth e garantire la sicurezza dei patrimoni digitali.

Nota Editoriale e Disclaimer

Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.

GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.

Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.

Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.