Tra luglio 2025 e giugno 2026 la cybersecurity ha mostrato un’evoluzione che riguarda soprattutto la velocità degli attacchi. Nel Threat Hunting Report 2026, CrowdStrike rileva infatti come gli aggressori sfruttino sempre più rapidamente nuove vulnerabilità, identità legittime, infrastrutture cloud e strumenti di intelligenza artificiale, riducendo i tempi a disposizione delle aziende per rilevare e neutralizzare un attacco. Luca Nilo Livrieri, Senior Director, Sales Engineering – Southern Europe di CrowdStrike, commenta il report, illustrando come cambiano le priorità della sicurezza aziendale, tra AI, cloud e gestione delle identità.
bizzIT: L’esplosione del ricorso all’AI quali evoluzioni ha comportato nell’ambito della cybersecurity?
Luca Nilo Livrieri: L’intelligenza artificiale non è più solo uno strumento nelle mani degli aggressori: è diventata essa stessa un bersaglio. Il fenomeno dell’LLM jacking ne è un esempio: l’obiettivo non è rubare dati, ma accedere ai modelli AI della vittima e usarne le risorse. Appropriarsi dell’infrastruttura significa trasferire il costo computazionale sulla vittima: in un caso sono state osservate circa 200 mila richieste in due minuti. Gli aggressori possono usare la capacità ottenuta o rivenderla a terzi, un fenomeno chiamato cost harvesting.
bizzIT: Perché è importante per le aziende?
Luca Nilo Livrieri: Perché l’AI diventa un asset economico da proteggere: un’organizzazione deve sapere quali applicazioni usa, quali identità vi accedono e quali costi generano. Cresce anche il rischio della supply chain del software AI, tecnica seconda solo all’uso di credenziali valide secondo il framework MITRE dedicato all’AI. Un caso citato nel nostro report riguarda 131 pacchetti del framework di sviluppo AI Mastra compromessi da attori riconducibili alla Corea del Nord, che hanno diffuso un malware chiamato TeaBundle dopo un’operazione di social engineering su LinkedIn.
bizzIT: Che cosa ci dice questo sull’evoluzione degli attacchi agli ambienti di sviluppo?
Luca Nilo Livrieri: Non si tratta più solo di rubare credenziali, ma di compromettere direttamente l’ambiente di sviluppo: gli account degli sviluppatori danno accesso a repository, infrastrutture cloud e token API. Lo dimostra il caso di Altered Spider, che ha compromesso un repository GitHub coinvolgendo circa 300 dipendenze in una sola giornata: un singolo punto compromesso può propagarsi a molti più ambienti.
bizzIT: È ancora sufficiente usare la gravità come criterio per stabilire quali vulnerabilità correggere prima?
Luca Nilo Livrieri: Sempre meno. La finestra tra pubblicazione di una vulnerabilità e suo sfruttamento si sta riducendo: l’88 per cento degli attacchi avviene entro 48 ore dalla disclosure, con picchi già nelle prime 24. Il caso di Umbral Bison è indicativo: una vulnerabilità è stata sfruttata contro un ente governativo ucraino appena 20 ore dopo la disclosure. Uno score elevato resta importante, ma non basta: anche una vulnerabilità apparentemente minore può diventare critica se è il primo passo verso un account privilegiato.
bizzIT: Come deve cambiare il modello di vulnerability management?
Luca Nilo Livrieri: L’approccio deve spostarsi dalla classificazione alla valutazione del rischio reale: capire se una falla sia sfruttabile, da chi e con quali conseguenze. In alcuni casi la risposta è la remediation automatizzata, in altri serve un’analisi predittiva. Anche il cloud resta una superficie privilegiata: nel periodo considerato gli attacchi rivolti agli ambienti cloud sono aumentati del 171 per cento, e il cloud viene usato sia per sottrarre dati sia come infrastruttura operativa per sostenere attività criminali, per esempio il crypto mining.
bizzIT: Perché il cloud è diventato un bersaglio così importante?
Luca Nilo Livrieri: Il caso di Slim Spider, un attore brasiliano, lo mostra bene: ottenuto l’accesso al cloud di un istituto bancario, è arrivato fino al wallet di criptovaluta e all’infrastruttura di pagamento istantaneo. Il cloud diventa un ponte tra un accesso iniziale e una risorsa finanziaria critica. Il multicloud complica le cose, perché non sempre le stesse policy vengono applicate a tutti gli ambienti, e gli aggressori sfruttano i vuoti tra i diversi silos.
bizzIT: Qual è il punto più delicato in un ambiente multicloud?
Luca Nilo Livrieri: Un’identità compromessa può accedere al cloud o raggiungere dati normalmente protetti. Per questo, diventano fondamentali il principio del privilegio minimo e il monitoraggio degli account. Cloud, endpoint e identità vanno osservati come un unico ecosistema. Sul fronte dell’ingegneria sociale, il vishing è cresciuto fino a raddoppiare nella prima metà del 2026 rispetto alla seconda metà del 2025, anche perché voce e messaggistica ricevono meno controlli tecnici della posta elettronica.
bizzIT: Perché il vishing sta crescendo così rapidamente?
Luca Nilo Livrieri: Perché è spesso una strada più semplice: l’attaccante convince una persona a consegnare le credenziali o ad autorizzare una sessione, e le attività successive appaiono come operazioni legittime. Ancora più significativa è la crescita del device code phishing, aumentato di quindici volte, con cui la vittima autorizza inconsapevolmente un dispositivo dell’attaccante. Anche la diffusione di strumenti di phishing as a service rende queste tecniche accessibili a un numero più ampio di gruppi criminali.
bizzIT: Quanto potrebbe incidere l’AI generativa sull’evoluzione del vishing?
Luca Nilo Livrieri: La clonazione vocale è già possibile, ma il salto di qualità arriverà con conversazioni in tempo reale sostenute da una voce indistinguibile da quella reale, rendendo il social engineering telefonico ancora più difficile da riconoscere. Serve quindi formazione specifica anche su telefonate sofisticate e procedure di autenticazione manipolate.
bizzIT: Come deve cambiare la capacità di risposta delle aziende?
Luca Nilo Livrieri: La difesa deve avere una velocità comparabile a quella dell’attacco. Entra qui in gioco il SOC agentico, in cui l’AI supporta detection, investigation e remediation, riducendo il breakout time tra la prima compromissione e il movimento laterale dell’attaccante. Per le aziende senza un SOC 24/7 interno, i servizi esterni specializzati diventano fondamentali: OverWatch, il servizio di threat hunting di CrowdStrike, osserva oltre 7.000 miliardi di eventi al giorno, un numero molto difficile da raggiungere autonomamente.
bizzIT: Qual è la prima priorità su cui un’azienda dovrebbe concentrarsi?
Luca Nilo Livrieri: La protezione dell’identità è un punto di partenza fondamentale: identità, dati e workload, quando entrano in relazione, determinano il danno reale. Anche il concetto di dato va ampliato, includendo configurazioni e informazioni operative, non solo proprietà intellettuale o dati riservati. Una volta entrato nell’ambiente aziendale, l’attaccante tende a monetizzare qualsiasi risorsa utile, che si tratti di credenziali, dati sensibili, capacità di calcolo o accessi privilegiati.
bizzIT: Qual è la ricetta per affrontare questo nuovo scenario?
Luca Nilo Livrieri: Serve una sicurezza integrata che combini visibilità, threat intelligence, protezione delle identità, sicurezza della supply chain, automazione e analisi predittiva delle vulnerabilità. L’AI va protetta come un’infrastruttura critica, il cloud va considerato una superficie primaria e la supply chain va controllata lungo tutto il ciclo di sviluppo. La sfida non è solo bloccare gli attacchi, ma farlo prima che l’avversario completi la propria catena operativa: la sicurezza si sposta così dalla protezione di singoli sistemi a un modello in cui l’intera superficie digitale dell’azienda viene osservata come un unico organismo.
