Threat Landscape Q3 2026: abuso della fiducia contro identità, fornitori e sistemi OT

Il Threat Landscape Q3 2026 del Team CTI Nais raccoglie una serie di incidenti che, letti singolarmente, sembrano episodi scollegati, ma letti insieme sono prove convergenti di un'unica evoluzione.

In sintesi

• Nel Q3 2026 il vettore d'attacco dominante è l'abuso di elementi legittimi, credenziali, canali, fornitori, strumenti di amministrazione, non una vulnerabilità tecnica.
• Finding centrale: la fiducia è un vettore d'attacco. Se l'autenticazione riesce, le difese a firme non hanno nulla da intercettare.
• Casi convergenti: FortiBleed, centraline Danfoss (Francia), Revolut (PEC), banche sudcoreane, IDCF Cloud.
• Contromisura chiave: ridurre la finestra di esposizione e correlare identità, EDR, log OT e threat intelligence.

La fiducia come vettore d'attacco: cosa mostra il Threat Landscape Q3 2026

Nel terzo trimestre 2026 gli attaccanti non hanno forzato le difese perimetrali: le hanno aggirate usando ciò di cui le organizzazioni si fidano.

Gli attori sono eterogenei: gruppi ransomware strutturati (TheGentlemen e Qilin guidano i volumi, in Italia e a livello globale), broker di accessi iniziali, singoli individui equipaggiati con strumenti AI e attori non identificati che agiscono sul livello fisico.

I settori più colpiti per numero di vittime sono manifatturiero, servizi professionali, tecnologia e sanità. In questo contesto l'Italia compare su tre fronti: come canale sfruttato (la PEC governativa nel caso Revolut), come anello della supply chain e come bersaglio ransomware, con 107 rivendicazioni nel trimestre distribuite su 35 gruppi.

La rilevanza del fenomeno non sta nel numero di incidenti, pur in aumento, ma nel loro vettore comune: non una vulnerabilità tecnica, bensì l'abuso di elementi legittimi, come credenziali valide, canali autenticati, fornitori autorizzati, strumenti di amministrazione standard. Quando l'attacco si confonde con l'operatività normale, le difese che cercano l'anomalia tecnica (malware, exploit, accessi non autorizzati) non hanno nulla da intercettare. Per l'organizzazione questo sposta il problema dalla prevenzione del singolo evento alla lettura del contesto in cui avviene.

Il finding centrale: la fiducia è il nuovo vettore d'attacco

Il finding centrale è che gli elementi su cui un'organizzazione fonda la propria operatività (le credenziali che autenticano, i canali che certificano, i fornitori che accedono, gli strumenti che amministrano) sono diventati il vettore d'attacco primario, al posto della vulnerabilità da sfruttare. Il controllo che viene superato non è un singolo meccanismo tecnico, ma la presunzione implicita che ciò che è autenticato, autorizzato e previsto dal sistema sia anche legittimo.

Le difese tradizionali non bastano perché sono costruite per riconoscere l'anomalia tecnica. Un firewall aggiornato, un EDR attivo, un filtro anti-spam con SPF e DKIM, un controllo degli accessi basato su ruoli: ciascuno lascia passare l'azione quando l'identità è valida e il comando è previsto. Nel caso Revolut i controlli di autenticazione del mittente hanno funzionato, la PEC proveniva davvero da un dominio governativo, e proprio per questo non hanno fermato nulla. Sulle centraline francesi l'accesso avveniva con una credenziale valida e una funzione legittima dell'impianto: nei log l'attacco somiglia a un normale intervento di manutenzione.

La misura realmente efficace non è un controllo in più sulla singola transazione, ma la capacità di leggere il contesto: la sequenza delle azioni, gli orari, i volumi, l'origine delle richieste e soprattutto la finestra di esposizione, cioè il tempo che intercorre tra il momento in cui una debolezza diventa nota o pubblica e il momento in cui viene chiusa. È l'unica componente del rischio interamente sotto il controllo dell'organizzazione, e nel trimestre in esame è stata misurata in mesi, a volte in anni, a fronte di tempi di attacco misurati in minuti. Le organizzazioni prive di un rilevamento basato sul comportamento, e non solo sulle firme, risultano per definizione cieche rispetto a questo pattern.

Come si è arrivati all'abuso della fiducia: l'evoluzione in tre fasi

La tesi descrive il punto di arrivo di una traiettoria che il report ricostruisce su più trimestri, non un fenomeno improvviso. Separare le fasi chiarisce perché le contromisure degli anni precedenti perdono efficacia.

Fase 1: il furto delle credenziali (fino al Q2 2026)

Il racconto dominante era quello delle chiavi rubate. Il caso FortiBleed aveva mostrato che un firewall aggiornato non protegge se le credenziali che lo aprono sono già in mano a un broker: secondo il report, 86.644 firewall con credenziali valide. La difesa consisteva nel patching e nella rotazione delle credenziali compromesse, nel presupposto che bastasse invalidare ciò che era stato rubato.

Fase 2: l'uso delle credenziali valide (Q3 2026)

Il Q3 porta il ragionamento al suo esito. Gli attaccanti non forzano la porta: se la fanno aprire. FortiBleed risulta ancora sfruttabile quattro mesi dopo la scoperta e, secondo i dati riportati nel report, il 64% dei segreti validi nel 2022 lo era ancora nel 2026. Il furto non è più il punto: contano la persistenza della credenziale valida nel tempo e la lentezza con cui l'esposizione viene chiusa.

Fase 3: automazione ed estensione al mondo fisico (ottobre 2026)

L'ultima fase aggiunge due elementi. Il primo è l'AI, che non introduce attacchi nuovi ma riduce l'attrito di quelli noti: nel caso delle banche sudcoreane un singolo individuo, con strumenti open source e modelli linguistici facilmente reperibili, ha colpito in poche settimane più istituti di credito. Il secondo è il salto al mondo fisico: nel weekend dell'11-12 ottobre l'abuso di un accesso legittimo a sistemi OT ha prodotto un danno materiale (merce distrutta, scaffali vuoti, principi d'incendio) in centinaia di supermercati. La direzione di questa evoluzione è chiara: lo schema di abuso della fiducia, prima applicato ai dati, ora si applica agli impianti.

La kill chain dell'abuso di fiducia mappata su MITRE ATT&CK

I casi del trimestre, diversi per bersaglio, seguono una sequenza ricorrente. La ricostruisco come kill chain unificata, con la mappatura su MITRE ATT&CK dove le fonti lo consentono. Per ogni fase indico cosa fa l'attaccante, cosa sfrutta, quale evidenza sarebbe osservabile e perché il controllo esistente può fallire.

La lettura orizzontale è la sequenza d'attacco; la riga grigia inferiore mostra, per ogni fase, l'elemento legittimo sfruttato. È la convergenza di questi elementi, non un singolo exploit, a comporre l'intera catena.

Ricognizione: trovare l'esposizione già pubblica

L'attaccante non cerca una vulnerabilità da scoprire, ma un'esposizione già documentata. Per le centraline, ricerche con motori come Shodan individuano le console raggiungibili da Internet: le ricostruzioni pubbliche contano oltre 4.500 endpoint Danfoss esposti. Il controllo fallisce perché l'esposizione pubblica raramente è monitorata dall'interno.

Accesso iniziale: usare la chiave, non romperla

Qui si concentra il cuore della tesi: l'accesso avviene con un elemento legittimo, non con un exploit. I pattern osservati nel trimestre:

• Credenziali valide già in circolazione (FortiBleed), riutilizzabili perché mai invalidate.
• Credenziali prevedibili: sulle centraline francesi la stampa tecnica ha documentato un meccanismo di autenticazione nascosto basato su un codice derivato dalla data del giorno, identico su tutti i dispositivi, e in alcuni casi una richiesta non autenticata all'interfaccia di gestione che aggira del tutto il login.
• Canali autenticati ma compromessi: nel caso Revolut le richieste arrivavano da una PEC governativa autentica, nel formato degli Ordini Europei d'Indagine.

Il controllo fallisce perché l'autenticazione, formalmente, ha successo.

Compromissione e persistenza: restare senza farsi notare

Ottenuto l'accesso, l'attaccante preferisce strumenti legittimi di amministrazione (living-off-the-land) e software di gestione remota già presenti. Una tecnica di evasione più sofisticata, attribuita al gruppo Majinahanashi, non termina i processi dell'EDR ma ne strozza il traffico di rete con regole Windows Filtering Platform e policy QoS: l'agente resta attivo e appare sano, ma non comunica più con il proprio cloud, quindi niente telemetria né allarmi.Il controllo fallisce perché il monitoraggio presuppone che un EDR vivo stia riportando.

Movimento laterale e accesso ai dati: muoversi come un utente autorizzato

Il bersaglio non è il sistema più protetto, ma quello meno sorvegliato. Nel caso delle banche sudcoreane non è stato colpito l'home banking, ma sistemi interni di supporto, da cui sono stati esposti nomi, recapiti, redditi e limiti di credito. L'evidenza sarebbe un account che accede a repository fuori dal profilo abituale.

Esfiltrazione o impatto: il dato o il danno fisico

La fase finale assume due forme. Nel ramo dati l'esfiltrazione passa per il processo legittimo stesso e.g nel caso Revolut, la normale procedura di risposta alle richieste dell'autorità. Nel ramo fisico l'impatto è diretto: le centraline vengono forzate in sbrinamento, con la temperatura portata a circa 50 °C per ore a negozi chiusi.

Il controllo fallisce perché quel comando è una funzione prevista dell'impianto.

Segnali osservabili per il detection engineering: rilevare la correlazione, non l'indicatore

Poiché ogni singola azione è legittima, il detection engineering deve spostarsi dagli indicatori statici (IoC) alle anomalie comportamentali e alle combinazioni di eventi. Nessuno dei segnali seguenti, isolato, è sufficiente: è la loro correlazione a rivelare il pattern.

• Autenticazione con credenziali valide da geolocalizzazione, ASN o orario fuori profilo, soprattutto su account di servizio o di manutenzione.
• Perdita di telemetria o heartbeat da un agente EDR che risulta però ancora in esecuzione sull'host.
• Comandi operativi OT anomali per orario o volume: sbrinamento o modifiche di setpoint in massa, di notte, a impianti chiusi.
• Accesso di un account a repository, portali o dati fuori dal profilo storico, anche se autorizzato.
• Richieste formali ripetute dallo stesso canale istituzionale (PEC, portali per autorità) con volume anomalo.
• Propri asset, fornitori o affiliati in scansioni esterne o in rivendicazioni non ancora pubbliche sul dark web.

La regola di detection più efficace non cerca un valore, ma una sequenza: per esempio un accesso con credenziale valida seguito dalla perdita di telemetria di un endpoint e da un comando operativo fuori orario. Le organizzazioni prive di correlazione tra sorgenti eterogenee (identità, EDR, log OT, threat intelligence esterna) vedono ogni evento come normale e non colgono mai il legame.

Come difendersi dall'abuso della fiducia: mitigazioni prioritarie

Le contromisure si ordinano in due categorie con la stessa logica di fondo: ridurre la finestra di esposizione e rendere osservabile ciò che oggi si confonde con l'operatività.

Protezione e prevenzione

• Autenticazione phishing-resistant (FIDO2/WebAuthn) sugli accessi critici.
• Eliminare credenziali di default e prevedibili, soprattutto su OT/IoT; se l'apparato è fuori supporto, toglierlo da Internet e porlo dietro accesso mediato.
• Least privilege e Conditional Access che valutino contesto, dispositivo e provenienza, non solo la validità della credenziale.
• Segmentare OT/IoT dall'IT (zone e condotti, IEC 62443), con passaggio solo via DMZ industriale e nessun impianto esposto direttamente a Internet.
• Accesso dei fornitori just-in-time e revocabile, con requisiti di sicurezza verificabili nei contratti.
• Verifica out-of-band dell'identità di chi invia richieste da canali istituzionali (PEC, autorità).

Rilevamento e risposta

• Correlare in SIEM identità, EDR, log OT e threat intelligence per intercettare sequenze, non singoli eventi.
• Analisi comportamentale (UEBA) su utenti e account di servizio.
• Monitorare la salute degli agenti EDR: la perdita di telemetria da un endpoint attivo è un allarme di primo livello.
• Logging e allarmi sui comandi OT (sbrinamento, setpoint) sensibili a orario e volume.
• Monitoraggio continuo dell'esposizione esterna; playbook di incident response con scenari OT, copie immutabili fuori dal provider e simulazioni mirate all'abuso di accessi legittimi.

L'azione di maggiore impatto è ridurre la finestra di esposizione attraverso il monitoraggio continuo della propria superficie (asset esposti, credenziali in circolazione, esposizione dei fornitori) correlato con advisory e CVE. È l'unica leva interamente sotto il controllo dell'organizzazione e agisce a monte di tutte le altre: anticipa l'attacco invece di inseguirlo e accorcia il divario, mesi contro minuti, che rende la difesa reattiva strutturalmente in ritardo.

Leggi il report completo: QUI