Quattro attacchi ransomware su cinque oggi iniziano allo stesso modo: con l'identità di qualcuno, non i loro server. Quel singolo dato statistico, riportato dal The Manila Times, coglie un cambiamento che si è venuto formando per anni ma che ora è impossibile ignorare. Gli attaccanti non corrono più a cercare un server non aggiornato o un exploit zero-day. Semplicemente, effettuano l'accesso, usando credenziali che sono state oggetto di phishing, acquistate o trapelate, ed entrano dalla porta principale come qualsiasi altro utente autorizzato.

Questo cambiamento è importante perché modifica il significato stesso di "sicurezza" per la maggior parte delle organizzazioni e degli individui. Un firewall non può fermare qualcuno che ha un nome utente e una password validi. Un server aggiornato non serve se l'attaccante non ha mai avuto bisogno di sfruttarlo. Gli attacchi ransomware basati sulle credenziali hanno spostato il campo di battaglia dall'infrastruttura di rete all'identità umana, e questo significa che anche le difese più importanti sono cambiate.

Perché l'identità, e non l'infrastruttura, è il nuovo punto d'ingresso del ransomware

Per anni, la strategia di difesa contro il ransomware si è concentrata sull'infrastruttura: aggiornare i server, segmentare la rete, monitorare le intrusioni. Quelle difese contano ancora, ma affrontano un modello di minaccia sempre più superato. Quando quattro attacchi su cinque iniziano con un accesso anziché con un'irruzione, il calcolo cambia. Gli attaccanti hanno capito che le credenziali sono più economiche, più veloci e molto meno inclini a far scattare allarmi rispetto a un exploit tecnico.

Kit di phishing, strumenti di credential stuffing e malware infostealer hanno reso la raccolta di dettagli di accesso un'attività a basso sforzo e alto rendimento. Se a questo si aggiunge l'enorme numero di password riutilizzate tra account personali e di lavoro, gli attaccanti dispongono di una fornitura costante di credenziali funzionanti senza mai toccare un firewall. Una volta dentro, non sembrano intrusi. Sembrano dipendenti, collaboratori o amministratori che svolgono il proprio lavoro, ed è proprio questo che rende questo approccio così efficace.

Come le credenziali rubate aggirano le difese di sicurezza tradizionali

Gli strumenti di sicurezza tradizionali sono progettati per rilevare anomalie: modelli di traffico insoliti, tentativi di accesso non autorizzato, firme di malware. Un accesso valido con credenziali reali non fa scattare la maggior parte di questi allarmi. I sistemi di rilevamento degli endpoint, gli strumenti di prevenzione delle intrusioni e persino i firewall ben configurati sono progettati per fermare gli attaccanti che cercano di forzare qualcosa. Sono molto meno efficaci contro qualcuno che sta semplicemente usando una chiave che gli è stata consegnata, anche se quella chiave è stata rubata.

Questo è in parte il motivo per cui le operazioni ransomware sono diventate così veloci una volta ottenuto l'accesso. Un report sull'operazione ransomware Spirals ha mostrato attaccanti che cifravano l'intero ambiente della vittima in meno di 24 ore dopo l'accesso iniziale. Quando l'ingresso non richiede lo sfruttamento di una vulnerabilità, più tempo e risorse vanno direttamente nella fase di danno. Lo stesso schema compare negli attacchi legati a CVE-2026-0257, una falla di bypass dell'autenticazione nei firewall Palo Alto sfruttata dagli attori del ransomware Qilin, dove l'autenticazione compromessa, e non l'hacking brute-force, ha dato agli attaccanti il punto d'appoggio di cui avevano bisogno.

Autenticazione a più fattori e gestori di password come prima linea di difesa

Dato che le credenziali rubate sono il principale punto d'ingresso, le difese più efficaci sono quelle che rendono una password rubata meno utile da sola. L'autenticazione a più fattori (MFA) è l'esempio più chiaro. Anche se una password viene compromessa tramite phishing o una violazione dei dati, l'MFA richiede un secondo passaggio di verifica, come un codice da un'app di autenticazione o una chiave hardware, prima che l'accesso venga concesso. Non elimina completamente il rischio, ma chiude la via più facile per gli attaccanti che fanno affidamento solo sulle credenziali di accesso.

I gestori di password affrontano un problema correlato: il riutilizzo delle password. Quando le persone usano la stessa password per più account, una singola credenziale trapelata può sbloccare diversi sistemi non correlati. Un gestore di password rende pratico usare una password unica e complessa per ogni account, limitando il raggio d'azione quando un set di credenziali viene esposto. Nessuno dei due strumenti è complicato da configurare, ed entrambi mirano direttamente alla debolezza esatta che gli attacchi ransomware basati sulle credenziali sfruttano.

Dove si inseriscono le VPN nella protezione dell'accesso agli account amministrativi e sensibili

Le VPN non sono una panacea contro il furto di credenziali, ma svolgono un ruolo specifico e utile, in particolare per gli amministratori e per chiunque acceda a sistemi sensibili da remoto. Una VPN crittografa la connessione tra un utente e la rete a cui sta accedendo, il che aiuta a prevenire che le credenziali vengano intercettate durante il transito, specialmente su reti non protette o pubbliche. Per gli amministratori remoti che gestiscono infrastrutture critiche, abbinare l'accesso VPN con l'MFA aggiunge un significativo strato di ostacolo per gli attaccanti che dispongono solo di una password rubata.

Vale la pena chiarire cosa una VPN non fa: non impedirà a qualcuno di usare credenziali valide e rubate per accedere attraverso un punto di accesso legittimo. Ecco perché l'uso della VPN dovrebbe essere trattato come uno strato tra i tanti, insieme a MFA, igiene delle password e monitoraggio degli accessi, piuttosto che come una soluzione a sé stante.

Cosa significa questo per te

Se gestisci account sensibili, per lavoro o per uso personale, il messaggio è semplice: la tua password non è più sufficiente, e probabilmente non lo è stata per un po'. Gli attacchi ransomware basati sulle credenziali hanno successo perché sfruttano abitudini umane prevedibili: password riutilizzate, accessi non protetti e account senza un secondo passaggio di verifica. Colmare queste lacune non richiede budget aziendali o competenze tecniche avanzate. Richiede abitudini costanti applicate a ogni account che conta.

Azioni concrete

  • Attiva l'autenticazione a più fattori su ogni account che la supporta, a partire da email, servizi finanziari e qualsiasi accesso amministrativo.
  • Usa un gestore di password per generare e archiviare password uniche, eliminando il rischio che credenziali riutilizzate vengano sfruttate su più account.
  • Abbina l'uso della VPN all'MFA per l'accesso amministrativo da remoto, specialmente quando si gestiscono sistemi su reti pubbliche o non fidate.
  • Tratta l'igiene delle credenziali come una pratica continua, non come una configurazione una tantum, poiché nuovi account e servizi vengono aggiunti regolarmente.

I gruppi ransomware hanno adattato la loro strategia perché funziona. La buona notizia è che le contromisure — MFA, gestori di password e controlli di accesso stratificati — sono ben conosciute e alla portata di quasi tutti. Il passaggio dall'irruzione all'accesso diretto significa che anche la responsabilità della difesa è cambiata, e ora risiede tanto nell'igiene dell'identità individuale quanto nei team di sicurezza di rete.