L’identità digitale è diventata il terreno di scontro più caldo della cybersecurity enterprise. Da un lato i gruppi di minaccia sfruttano l’intelligenza artificiale per colpire con sempre maggiore rapidità i sistemi di autenticazione considerati affidabili, come emerge dal Threat Hunting Report 2026 di CrowdStrike; dall’altro le imprese guardano alla stessa tecnologia come alla leva per trasformare l’identità da semplice strumento di verifica a motore di valutazione dinamica del rischio, secondo lo studio Identità Digitale, Intelligenza Artificiale e Fiducia by Design pubblicato da Deloitte.
Quando l’autenticazione diventa il bersaglio
Secondo CrowdStrike, i sistemi di autenticazione considerati affidabili sono sempre più spesso il punto di ingresso preferito dagli attori delle minacce. Le intrusioni tramite vishing sono raddoppiate nel primo semestre 2026 e i gruppi di eCrime CORDIAL SPIDER e SNARKY SPIDER hanno compromesso applicazioni SaaS integrate con sistemi di Single Sign-On (SSO) per esfiltrare dati; in un caso, sostiene l’azienda, SNARKY SPIDER è passato dalla compromissione dell’account al furto di dati in meno di cinque minuti. Nello stesso periodo i tentativi mensili di device code phishing sono cresciuti di 15 volte, a conferma di un abuso crescente dei flussi di autenticazione ritenuti sicuri.
A rendere il quadro più critico è la velocità con cui vengono sfruttate le vulnerabilità: l’88% dei tentativi di exploit basati su proof-of-concept osservati da CrowdStrike nel primo semestre 2026 si è verificato entro 48 ore dalla pubblicazione, e i gruppi cinesi VAULT PANDA e GENESIS PANDA avrebbero agito entro 24 ore dalla divulgazione. Le attività di eCrime rivolte al cloud sono aumentate del 171%, con furti di credenziali, cryptomining e abusi dei modelli linguistici aziendali.
L’intelligenza artificiale, arma e bersaglio insieme
Il report descrive l’AI come uno strumento, un obiettivo e un moltiplicatore di forza per gli avversari. Gli attaccanti la utilizzano per generare payload e comandi shell e per colpire le infrastrutture AI aziendali: in una campagna osservata da CrowdStrike sono state inviate quasi 200mila richieste a modelli di intelligenza artificiale in due minuti. Al tempo stesso l’ecosistema AI è diventato un nuovo fronte per gli attacchi alla supply chain software: il gruppo nordcoreano STARDUST CHOLLIMA ha introdotto un pacchetto npm malevolo in 131 framework AI Mastra considerati affidabili, mentre l’attore ALTERED SPIDER ha compromesso oltre 300 dipendenze software in un solo giorno per sottrarre credenziali. Nella prima metà del 2026, secondo l’azienda, l’87% delle minacce individuate nei repository software ha riguardato proprio pacchetti npm malevoli.
Per Adam Meyers, a capo delle Counter Adversary Operations di CrowdStrike, l’intelligenza artificiale sta ormai trasformando il modo in cui gli attacchi vengono pianificati, eseguiti e scalati, ampliando la superficie che le aziende devono proteggere: le organizzazioni più solide, sostiene, saranno quelle capaci di difendere l’AI con la stessa determinazione con cui la adottano.
Dalla verifica alla fiducia dinamica: la risposta di Deloitte
Sul fronte opposto, il report Deloitte mette in evidenza come la stessa intelligenza artificiale possa diventare la leva per ridisegnare la sicurezza dell’identità. Uno studio condotto su oltre 1,85 milioni di transazioni bancarie citato nel report ha rilevato una riduzione del 54% dei falsi positivi rispetto ai sistemi tradizionali basati su regole statiche. Le applicazioni principali riguardano il fraud detection in tempo reale, il digital onboarding con verifica documentale automatizzata e controlli KYC/AML, la continuous authentication per intercettare segnali di compromissione nel tempo, e la personalizzazione dei servizi nel rispetto della privacy.
Un ulteriore salto, secondo Deloitte, è rappresentato dall’AI agentica, capace non solo di generare output ma di pianificare ed eseguire azioni per conto dell’utente: una prospettiva che richiede, si legge nel report, un nuovo paradigma di fiducia basato su autenticità verificabile, integrità di dati e istruzioni e affidabilità by design. Luigi Capitanio, Strategy and Business Design leader di Deloitte EMEA, ha spiegato che identità digitale e intelligenza artificiale si configurano ormai come architetture complementari e interdipendenti, con la seconda che amplifica il valore della prima abilitando una valutazione dinamica del rischio al posto della semplice verifica. Manuel Pincetti, managing partner di Monitor Deloitte, ha aggiunto che la fiducia nelle interazioni digitali resta il prerequisito per lo sviluppo responsabile dei mercati, e richiede di orchestrare infrastrutture resilienti, gestione dei dati, interoperabilità e sicurezza.
Un rischio che va oltre il banking
Il report Deloitte colloca il tema in un contesto più ampio di maturità digitale italiana: nel 2025 il 79,5% delle Pmi ha raggiunto almeno un livello base di intensità digitale, contro il 72,8% della media EU20 secondo Eurostat, e circa 12 milioni di persone hanno utilizzato la Carta d’Identità Elettronica per almeno un accesso online negli ultimi 12 mesi. La prossima evoluzione sarà l’EUDI Wallet previsto dal regolamento eIDAS 2.0, che estenderà l’identità digitale alla gestione di documenti, titoli di studio e altre credenziali verificabili, con il principio della selective disclosure a rafforzare il controllo degli utenti sui propri dati.
La convergenza tra identità e AI, sottolinea Deloitte, non riguarda solo il settore finanziario: sanità, trasporti e consumer sono altri ambiti in cui la tecnologia può abilitare nuovi modelli di servizio, dal triage digitale alla manutenzione predittiva delle infrastrutture. Nel 2025, 14 milioni di italiani hanno effettuato pagamenti tramite wearable o smartphone, in crescita del 40% sul 2024, e alcune stime citate nel report indicano che gli agenti AI potrebbero gestire fino al 25% delle vendite e-commerce entro il 2030. Lo stesso report avverte però che l’intelligenza artificiale introduce nuovi rischi, tra cui deepfake, synthetic identity fraud e AI-powered phishing sempre più personalizzato, oltre a problemi di bias e qualità dei dati che possono incidere sulla conformità al quadro normativo europeo.
Verso un modello di fiducia integrato
I due report, pur nati da prospettive diverse, convergono su un punto: la sicurezza dell’identità digitale non può più basarsi su controlli statici. Per Deloitte la sfida per organizzazioni pubbliche e private sarà costruire architetture della fiducia che integrino fin dalla progettazione intelligenza artificiale, identità digitale, dati e governance del rischio. Per CrowdStrike la stessa urgenza vale sul fronte della difesa operativa: proteggere l’AI aziendale con la stessa velocità con cui gli avversari la sfruttano. Un terreno che sarà al centro del confronto tra istituzioni ed esperti di sicurezza alla prima edizione di WeSec, in programma a Milano il 22 e 23 settembre.
