L'AI e le minacce cyber: nuovi rischi e l'accelerazione del social engineering
Il panorama della sicurezza informatica è in continua e rapida evoluzione, con nuove sfide che emergono all'orizzonte grazie all'avanzamento tecnologico. Un'analisi approfondita condotta da Cisco Talos, contenuta nel report che analizza i trend osservati nel 2025 e pubblicato nel 2026, evidenzia come l'intelligenza artificiale (AI) stia riscrivendo le regole del gioco nel campo delle minacce cyber. Non si tratta più solo di attacchi più numerosi, ma di attacchi più rapidi, sofisticati e mirati, che sfruttano le vulnerabilità in tempi sempre più brevi e mantengono una presenza attiva nei sistemi compromessi per periodi significativi.
L'AI come acceleratore dell'ingegneria sociale
L'ingegneria sociale, da sempre una delle armi più efficaci nelle mani dei cybercriminali, sta subendo una trasformazione radicale grazie all'intelligenza artificiale. L'AI permette la creazione di attacchi di phishing, vishing (phishing vocale) e smishing (phishing via SMS) di una complessità e credibilità senza precedenti. I modelli linguistici di grandi dimensioni (LLM), ad esempio, possono generare testi in diverse lingue e stili, capaci di emulare perfettamente comunicazioni aziendali o personali, superando i limiti grammaticali e stilistici che in passato potevano svelare un tentativo di frode.
La sofisticazione degli attacchi di phishing e vishing
L'impatto dell'AI è palpabile nella creazione di messaggi di phishing altamente personalizzati e contestualizzati. Gli attaccanti possono utilizzare l'AI per analizzare rapidamente grandi quantità di dati pubblici e semi-pubblici sui bersagli (come profili LinkedIn, news aziendali, comunicati stampa) per costruire un profilo dettagliato. Questa informazione viene poi utilizzata per craftare email che sembrano provenire da colleghi, superiori, fornitori o enti di fiducia, rendendo quasi impossibile per la vittima media distinguerle da comunicazioni legittime. Nel vishing, tecnologie di clonazione vocale basate sull'AI (deepfake audio) consentono agli aggressori di impersonare dirigenti o figure chiave all'interno di un'organizzazione, orchestrando schemi di frode sempre più convincenti che spingono le vittime a divulgare credenziali o a effettuare trasferimenti di fondi.
Deepfake e automazione
Oltre al testo e alla voce, l'AI sta rendendo i deepfake video un pericolo reale per le comunicazioni aziendali e la reputazione. L'automazione è un altro fattore chiave: strumenti AI possono condurre ricerche su vasta scala, identificare potenziali vittime, generare campagne di attacco multiple e persino automatizzare la fase iniziale di sfruttamento delle vulnerabilità, riducendo drasticamente il tempo e le risorse necessarie per un attacco su larga scala.
Nuovi rischi introdotti dall'intelligenza artificiale
L'adozione diffusa dell'AI introduce non solo un'accelerazione delle minacce esistenti, ma anche rischi completamente nuovi. Gli "agenti malevoli" basati su AI possono essere progettati per operare autonomamente, adattandosi alle difese, esplorando reti e persino sviluppando nuove strategie di attacco senza l'intervento umano diretto. Questo tipo di malware "intelligente" potrebbe imparare dai tentativi di rilevamento, modificando il proprio comportamento per eludere le contromisure e rimanere persistente nei sistemi.
Malware autonomi e attacchi predittivi
Immaginate un malware capace di analizzare il comportamento degli utenti e dei sistemi per trovare il momento e il modo più efficace per sferrare un attacco, minimizzando la probabilità di essere scoperto. L'AI può essere utilizzata per sferrare attacchi "predittivi", anticipando le patch di sicurezza e sfruttando le vulnerabilità prima che possano essere corrette. Inoltre, l'AI può supportare gli attaccanti nell'identificazione di modelli nei dati sensibili, rendendo più efficiente l'esfiltrazione di informazioni di valore.
Elusione delle difese tradizionali
L'AI può anche essere impiegata per aggirare le difese tradizionali. Ad esempio, può generare variazioni polimorfiche di malware che sfuggono ai motori antivirus basati su firme, oppure può analizzare i log dei sistemi di sicurezza per comprendere come evitare di attivare allarmi. Le difese basate su AI sono pertanto cruciali per contrastare queste nuove minacce, ma il "gioco del gatto e del topo" tra attaccanti e difensori diventa esponenzialmente più complesso quando entrambi i lati utilizzano l'intelligenza artificiale.
Le vulnerabilità: velocità di sfruttamento e persistenza
Il report di Cisco evidenzia un trend preoccupante: la velocità con cui gli aggressori sfruttano le vulnerabilità note è in costante aumento. Ciò significa che il lasso di tempo tra la scoperta di una vulnerabilità (o la pubblicazione di una patch) e il suo effettivo sfruttamento da parte degli attaccanti si riduce, lasciando meno tempo alle organizzazioni per aggiornare i propri sistemi. Allo stesso tempo, gli exploit una volta attivi tendono a rimanere tali per anni, garantendo agli attaccanti un accesso persistente e difficile da eradicare.
Dalle zero-day alle n-day: un ciclo di vita accelerato
Le vulnerabilità "zero-day" (quelle sconosciute ai fornitori e ai difensori) sono le più preziose per gli attaccanti, ma anche quelle "n-day" (vulnerabilità note per le quali esiste già una patch) rimangono un bersaglio primario se le organizzazioni non le applicano tempestivamente. L'AI può velocizzare la fase di "weaponizzazione" di una vulnerabilità, trasformandola rapidamente in un exploit funzionante. Per le organizzazioni, ciò significa che una gestione delle patch e delle configurazioni proattiva e automatizzata è più critica che mai.
Gli obiettivi primari: identità, infrastrutture e supply chain
I bersagli prediletti dai cybercriminali, come evidenziato dal report, rimangono principalmente tre: l'identità digitale degli utenti, le infrastrutture di rete e la catena di fornitura (supply chain). Questi punti offrono il massimo potenziale di danno o di accesso a risorse critiche.
La protezione dell'identità digitale
L'identità è la porta d'accesso a quasi tutte le risorse aziendali. Attacchi come il furto di credenziali, il phishing avanzato e l'elusione dell'autenticazione multi-fattore (MFA) sono in aumento. La protezione dell'identità richiede strategie robuste come l'autenticazione a più fattori forte, soluzioni di gestione dell'identità e degli accessi (IAM) e l'adozione di un approccio "zero trust", che verifica continuamente ogni utente e dispositivo prima di concedere l'accesso alle risorse.
Resilienza delle infrastrutture di rete
Le infrastrutture di rete sono il cuore di ogni operazione aziendale. Attacchi DDoS, sfruttamento di vulnerabilità nei dispositivi di rete (router, firewall, switch) e compromissione dei server DNS sono minacce costanti. La resilienza richiede segmentazione della rete, monitoraggio continuo del traffico, sistemi di prevenzione delle intrusioni (IPS) e rilevamento delle intrusioni (IDS) avanzati, spesso potenziati dall'AI per identificare anomalie comportamentali.
La sicurezza della catena di fornitura
La supply chain è diventata un anello debole per molte organizzazioni. La compromissione di un fornitore di software o servizi può avere ripercussioni catastrofiche su tutti i suoi clienti. Questo tipo di attacco è particolarmente insidioso perché sfrutta la fiducia implicita tra le entità. Le strategie difensive devono includere la valutazione rigorosa della sicurezza dei fornitori, il monitoraggio delle dipendenze del software e l'implementazione di pratiche DevSecOps per garantire la sicurezza del codice fin dalle prime fasi di sviluppo.
Strategie difensive nell'era dell'AI
Per affrontare questo scenario in evoluzione, le organizzazioni devono adattare e rafforzare le proprie strategie difensive. Non basta più reagire; è essenziale adottare un approccio proattivo e basato sull'intelligenza artificiale per contrastare l'AI degli attaccanti.
L'importanza di un approccio olistico e proattivo
Le aziende devono investire in soluzioni di sicurezza che integrino l'AI per l'analisi comportamentale, il rilevamento delle anomalie e la risposta automatizzata alle minacce. Sistemi come SIEM (Security Information and Event Management), SOAR (Security Orchestration, Automation and Response), EDR (Endpoint Detection and Response) e XDR (Extended Detection and Response) sono fondamentali per correlare gli eventi, identificare minacce complesse e automatizzare le azioni difensive. Un approccio "zero trust" è non negoziabile, così come la crittografia end-to-end e la segmentazione della rete.
Formazione e consapevolezza umana
Sebbene la tecnologia sia cruciale, il fattore umano rimane il più grande punto di forza o debolezza in cybersecurity. La formazione continua e la sensibilizzazione dei dipendenti sulle nuove tattiche di ingegneria sociale, inclusi i deepfake e il phishing generato dall'AI, sono indispensabili. Le simulazioni di attacco (come campagne di phishing simulate) possono aiutare a migliorare la resilienza umana, trasformando i dipendenti da potenziali vittime in una linea di difesa attiva. La cultura della sicurezza deve essere radicata a ogni livello dell'organizzazione, dal top management agli impiegati di front-line.
In sintesi, l'intelligenza artificiale è un'arma a doppio taglio nel campo della cybersecurity. Se da un lato potenzia gli attaccanti, dall'altro offre strumenti avanzati ai difensori. La chiave per le organizzazioni sarà adottare un approccio integrato che combini tecnologie AI all'avanguardia con una solida strategia di gestione del rischio, una governance robusta e un programma di consapevolezza della sicurezza ben orchestrato per mitigare i rischi emergentii e proteggere le proprie risorse più preziose in un ecosistema cyber sempre più ostile.