Per decenni, gli hacker hanno privilegiato un metodo di intrusione su tutti: la compromissione delle identità. Molto prima che il ransomware industrializzasse l’estorsione e che gli ecosistemi malware maturassero, gli avversari avevano compreso una semplice verità: se si riesce ad accedere a un account legittimo, è possibile aggirare la maggior parte dei controlli di sicurezza e operare nella rete con gli stessi privilegi dell’utente. La strategia non è cambiata: quello che è cambiato è la scala e l’estensione della superficie di attacco. Le aziende moderne non si basano più su un unico sistema di directory e pochi account utente. Oggi esistono reti estese di identità che includono piattaforme SaaS, cloud, API, account di servizio e agenti AI autonomi. Un singolo account può dare accesso a decine di servizi interconnessi, mentre identità non umane alimentano l’automazione. Questa evoluzione ha creato un dilemma: le organizzazioni raccolgono più telemetria sulle identità che mai, ma gli attacchi basati su identità restano tra i più difficili da individuare. È il cosiddetto “paradosso dell’identità”.

Più dati, meno chiarezza

Le aziende dispongono di ampia visibilità su accessi e autenticazioni, ma gli attaccanti continuano a violare i sistemi usando credenziali valide. Il motivo è legato al fatto che un attaccante che usa un’identità legittima appare come un dipendente. Gli attori malevoli sfruttano tecniche come furto di token, phishing avanzato (AiTM), compromissioni di un account sviluppatore o account insider. In tutti questi casi, l’identità è considerata affidabile dal sistema e quando l’autenticazione appare legittima, le difese tradizionali non distinguono tra attività normale e intenti malevoli. Il problema è aggravato dall’ampia gamma di tecniche di abuso delle identità oggi disponibili.

Paolo Cecchi, Area VP Sales della Mediterranean Region di SentinelOne

Quando l’attaccante è un “dipendente”

Le minacce spaziano dal phishing tradizionale fino a operazioni sofisticate. Alcuni attori statali, per esempio, si infiltrano nelle aziende candidandosi per posizioni lavorative. Nel solo 2025, SentinelLABS ha monitorato oltre 1.000 candidature di lavoro e circa 360 identità false collegate a queste operazioni. Una volta assunti, questi individui operano come insider legittimi con accesso autorizzato all’infrastruttura aziendale. Dal punto di vista della telemetria, l’account è valido: le risorse umane hanno approvato il dipendente e l’attività di accesso appare normale, eppure l’identità stessa è stata compromessa. Questo evidenzia il problema centrale: i sistemi verificano chi accede, ma non possono facilmente valutarne le intenzioni.

Supply chain e sviluppatori fidati

Il paradosso si estende al software per le supply chain. Account compromessi di sviluppatori permettono di introdurre codice malevolo in progetti legittimi: i controlli funzionano, ma l’attività resta pericolosa perché l’identità è stata alterata. Un esempio osservato a fine 2025 riguarda la campagna “GhostAction”, in cui gli attaccanti hanno compromesso l’account di un maintainer su GitHub e inserito workflow malevoli progettati per estrarre segreti dalle pipeline di sviluppo. Allo stesso modo, un attacco di phishing contro il manutentore di alcuni popolari pacchetti NPM ha portato al rilascio di codice malevolo per intercettare transazioni in criptovaluta. In entrambi i casi, i commit dannosi provenivano da account con legittimi diritti di scrittura. I controlli di accesso funzionavano come previsto. L’identità era stata verificata, ma l’intento dietro l’attività era cambiato.

Una superficie di attacco in espansione

Oggi non sono solo le persone ad agire nei sistemi aziendali. Account di servizio, API e agenti AI operano spesso con privilegi elevati. Queste identità non umane (NHI) rappresentano una superficie di attacco in crescita e sono spesso trascurate nei modelli di sicurezza tradizionali, progettati attorno agli utenti umani e agli eventi di autenticazione. Questo approccio non si adatta bene alle NHI, che possono essere effimere, programmatiche e altamente scalabili. In molti ambienti, queste identità automatizzate superano di gran lunga il numero degli utenti umani.

Il gap dell’autorizzazione

Il passaggio all’automazione evidenzia un’altra debolezza della sicurezza delle identità tradizionale: il “gap di autorizzazione”. I framework di sicurezza si sono storicamente focalizzati sul momento dell’autenticazione per determinare se un utente è autorizzato ad accedere. Di conseguenza, le organizzazioni hanno investito molto in meccanismi di autenticazione più robusti, permessi granulari e modelli di accesso zero trust. Questi controlli restano fondamentali, ma l’autenticazione da sola non può determinare cosa accade dopo l’accesso. Un utente autenticato può effettuare attività di ricognizione, esfiltrare dati sensibili tramite il browser o caricare codice proprietario in strumenti di Gen AI. Allo stesso modo, un account di servizio correttamente configurato può essere sfruttato per muoversi lateralmente nelle infrastrutture cloud. Una volta all’interno, i sistemi di identità tradizionali assumono la legittimità dell’utente e questo crea un punto cieco tra chi è autorizzato ad accedere al sistema e ciò che fa una volta entrato.

 Dalla verifica all’osservazione del comportamento

Risolvere il “paradosso dell’identità” richiede un cambiamento radicale nel modo in cui si concepisce la sicurezza delle identità. Serve abbandonare il focus sull’autenticazione e ampliare il campo di osservazione monitorando il comportamento che avviene dopo il login per individuare deviazioni come l’accesso a repository sensibili al di fuori del normale workflow di uno sviluppatore; modifiche di privilegi o azioni amministrative inattese; esfiltrazioni di dati da piattaforme Saas e movimenti laterali tra sistemi guidati dall’identità.

Le organizzazioni dovrebbero trattare eventi come la registrazione di nuovi dispositivi MFA, la concessione di permessi OAuth e le modifiche ai privilegi degli account di servizio come segnali ad alto rischio da analizzare. Limitare le sessioni a lunga durata, monitorare le attività di autenticazione simultanee e verificare le relazioni di fiducia machine-to-machine può ridurre la capacità di un hacker di sfruttare credenziali compromesse.

L’architettura di Autonomous Security Intelligence di SentinelOne è progettata per offrire   visibilità e risposta sulle attività umane e non, dove Singularity Identity fornisce il contesto essenziale su chi (o cosa) sta eseguendo un’azione, Prompt Security rileva gli abusi nei browser e workflow basati su AI, mentre Singularity Endpoint verifica il comportamento a livello di sistema. Insieme, queste capacità creano un livello di esecuzione continuo che correla le attività tra identità, applicazioni e dispositivi. SentinelOne offre, poi, visibilità immediata ed end-to-end sull’utilizzo della GenAI, insieme alla protezione dati in ogni punto di interazione sui dispositivi gestiti, senza richiedere riprogettazioni SASE o integrazioni a livello API.