Il tempo tra il primo accesso di un attaccante e il controllo dei sistemi critici si è ridotto da ore a minuti. Il tema sarà al centro del convegno “Sotto Attacco” del 1° ottobre a Treviglio, occasione per approfondire le soluzioni a una minaccia che corre più veloce delle difese aziendali.
Per anni la cybersecurity ha misurato il rischio in termini di numero di attacchi o di vulnerabilità scoperte. Nel 2026 il parametro che preoccupa di più gli analisti è un altro: il tempo. Secondo il Global Threat Report di CrowdStrike, il cosiddetto “breakout time” – l’intervallo che intercorre tra l’accesso iniziale a un sistema e il primo movimento laterale verso gli asset critici – è sceso a una media di 29 minuti, contro i 48 dell’anno precedente. In alcuni casi osservati, l’esfiltrazione dei dati è iniziata appena quattro minuti dopo la violazione.
Anche Fortinet conferma la tendenza: il tempo medio necessario per sfruttare una vulnerabilità critica appena resa nota si è ridotto a una finestra di 24-48 ore, contro una media di quasi cinque giorni registrata negli anni precedenti. Gli attaccanti non aspettano più: automatizzano la scansione delle reti esposte e colpiscono nella stessa giornata in cui una falla viene resa pubblica.
Le identità, non le vulnerabilità, sono il vero punto debole
Il report State of Ransomware 2026 di Sophos ridimensiona il ruolo delle falle software: il 79% degli attacchi ransomware parte dalla compromissione di account validi, non dallo sfruttamento di bug tecnici. Il dato più significativo riguarda l’autenticazione a più fattori: nel 97% dei casi in cui le credenziali erano state rubate, l’azienda aveva comunque sistemi MFA attivi. La protezione, da sola, non basta più se token di sessione e configurazioni restano vulnerabili.
A complicare il quadro c’è la frammentazione degli strumenti di difesa: le aziende gestiscono in media oltre 45 soluzioni di sicurezza diverse, spesso scollegate tra loro. Segnali che, analizzati isolatamente, sembrano innocui, diventano invece il primo indizio di un attacco coordinato se osservati insieme.
L’Italia nel mirino, la crescita degli attacchi gravi
Il quadro internazionale trova conferma nei dati italiani. Secondo il Rapporto Clusit 2026, nel 2025 si sono registrati nel mondo 5.265 attacchi gravi, il 49% in più rispetto all’anno precedente: il dato più alto mai rilevato dall’associazione. L’Italia ha contato 507 incidenti, il 42% in più sul 2024, pari al 9,6% del totale mondiale, una quota sproporzionata rispetto al peso dell’economia italiana sul PIL globale.
Clusit indica esplicitamente l’intelligenza artificiale come moltiplicatore di rischio: automatizza la ricerca di vulnerabilità, genera codice malevolo e soprattutto rende le campagne di phishing quasi indistinguibili da comunicazioni legittime, contribuendo alla crescita di questa tipologia di attacco.
Cosa cambia per le imprese
Di fronte a un avversario che agisce a velocità di macchina, il tempo di reazione umano diventa il fattore critico. Gli esperti convergono su un modello che gli analisti chiamano “human on the loop”: l’intelligenza artificiale gestisce in autonomia il rilevamento e il primo contenimento entro confini definiti, mentre le decisioni strategiche restano in mano alle persone. Per le piccole e medie imprese, che raramente dispongono di un presidio interno dedicato, questo si traduce in un ricorso crescente a servizi di rilevamento e risposta gestiti esternamente (MDR), capaci di offrire competenze altrimenti fuori portata.
La sfida, in sostanza, non è più soltanto tecnologica. È organizzativa: capire in quanti minuti – non ore – un’azienda è in grado di accorgersi di un’intrusione e reagire, prima che diventi un danno operativo. Un tema che troverà spazio di confronto diretto il 1° ottobre a Treviglio Fiera, dove imprenditori ed esperti si confronteranno su governance, compliance NIS2 e gestione degli incidenti.
