Cybersecurity aziendale, l’IA accelera gli attacchi e mette sotto pressione i SOC

Il perimetro della sicurezza aziendale non coincide più con la rete interna. Lavoro ibrido, infrastrutture multi-cloud, applicazioni basate sull’intelligenza artificiale e catene di fornitura digitali hanno moltiplicato sistemi, identità e connessioni da proteggere. Nello stesso tempo, gli attaccanti sono diventati più veloci, organizzati e capaci di mantenere a lungo l’accesso alle infrastrutture compromesse.

Ne deriva un divario strutturale: il volume e la complessità delle minacce crescono più rapidamente della capacità di molti team di sicurezza di rilevarle, analizzarle e contenerle. I responsabili della cybersecurity devono affrontare questa pressione con personale difficile da reperire, architetture spesso frammentate e la necessità di dimostrare al consiglio di amministrazione che gli investimenti producono risultati misurabili.

Secondo Kaspersky, tre problemi sono ormai strettamente collegati: l’accelerazione degli attacchi, l’impiego offensivo dell’IA e la proliferazione degli strumenti di sicurezza. Intervenire soltanto su uno di questi aspetti rischia quindi di spostare il collo di bottiglia senza migliorare davvero la resilienza operativa.

Le APT continuano a superare le difese automatiche

Il tempo che separa la compromissione iniziale dal movimento laterale e dall’esfiltrazione dei dati continua a ridursi. Per un Security Operation Center significa disporre di una finestra sempre più breve per distinguere un’anomalia da un incidente reale, ricostruire la catena di attacco e isolare i sistemi coinvolti.

Le Advanced Persistent Threat, o APT, rimangono tra i rischi più rilevanti per le grandi organizzazioni. Si tratta di operazioni mirate condotte da gruppi dotati di risorse, competenze e continuità operativa, talvolta sostenuti da Stati o inseriti in strutture criminali organizzate.

Nel 2025 Kaspersky ha rilevato attacchi mirati guidati da operatori umani in quasi il 21% dei clienti monitorati. Queste attività hanno rappresentato circa il 23% degli incidenti ad alta gravità, secondo il Global Report 2026 di Kaspersky Security Services. I numeri derivano dalla base clienti e dai servizi MDR e di risposta agli incidenti del vendor: descrivono quindi il campione osservato da Kaspersky, non l’intero mercato.

La pericolosità delle APT non dipende normalmente da un singolo exploit. Gli attaccanti combinano credenziali sottratte, strumenti già presenti nei sistemi, movimenti laterali e tecniche di persistenza progettate per confondersi con le normali attività amministrative. Il ricorso a tecniche “living-off-the-land” consente, per esempio, di usare PowerShell e altre utilità legittime riducendo la necessità di introdurre file facilmente riconoscibili come malevoli.

Per diminuire il tempo di permanenza degli attaccanti, Kaspersky indica cinque priorità operative:

• Ottenere visibilità in tempo reale sugli endpoint, così da riconoscere comportamenti anomali e primi segnali di compromissione;
• correlare la telemetria proveniente da endpoint, identità, posta elettronica e ambienti cloud, ricostruendo attacchi multistadio e movimenti laterali;
• automatizzare triage e contenimento degli incidenti ripetitivi;
• affiancare al rilevamento automatico attività di threat hunting, necessarie per individuare persistenze nascoste e operazioni più sofisticate;
• predisporre scenari di risposta attivabili rapidamente, con azioni e responsabilità definite prima dell’incidente.

L’obiettivo è passare dalla gestione continua delle emergenze a un modello proattivo guidato dall’intelligence, nel quale le minacce siano identificate tempestivamente, contenute rapidamente e analizzate nel loro contesto. Ogni incidente può così fornire indicazioni utili anche per impedire il ripetersi delle stesse tecniche.

L’intelligenza artificiale accelera anche lo sviluppo del malware

L’IA generativa riduce il tempo e le competenze necessarie per alcune fasi di un attacco. Può assistere le attività di ricognizione, produrre molte varianti di un messaggio di phishing, adattare le esche alle vittime e generare parti di codice da integrare in loader e malware.

Un esempio è la nuova attività attribuita a RevengeHotels, una campagna che prende di mira strutture ricettive attraverso messaggi di phishing inviati a indirizzi legati alle prenotazioni. Le esche osservate da Kaspersky hanno utilizzato fatture, conferme di prenotazione e false candidature di lavoro per indurre il personale ad aprire collegamenti o contenuti dannosi.

Analizzando i campioni più recenti, i ricercatori hanno individuato porzioni di JavaScript che sembrano prodotte con un modello linguistico. Tra gli indizi figurano una struttura del codice particolarmente ordinata, variabili esplicite, numerosi commenti e segnaposto predisposti per essere personalizzati. Lo script avvia una catena di caricamento basata anche su PowerShell che conduce all’esecuzione in memoria di VenomRAT, un trojan di accesso remoto.

La ricerca tecnica su RevengeHotels non dimostra che l’intera operazione sia stata creata dall’IA. Mostra però come questi strumenti possano aiutare un gruppo già attivo ad accelerare lo sviluppo e la diffusione di nuovi componenti del malware, lasciando agli operatori umani la selezione delle vittime, la distribuzione e la gestione dell’intrusione.

Il problema non è soltanto assumere più analisti

La stessa automazione che aumenta la capacità degli attaccanti può essere usata dai difensori per gestire un numero crescente di segnali. Il problema è che molti SOC devono farlo con organici e competenze che non crescono allo stesso ritmo degli alert.

Una ricerca Kaspersky sul mercato del lavoro nella sicurezza informatica rilevava che il 41% dei professionisti considerava il proprio team almeno in parte sottodimensionato. Gli studi più recenti suggeriscono però di distinguere tra mancanza di persone e mancanza di competenze specifiche.

Nel Cybersecurity Workforce Study 2025 di ISC2, condotto su oltre 16.000 professionisti e responsabili, il 59% segnala esigenze di competenze critiche o significative. Il 95% dichiara almeno una carenza di competenze e l’IA risulta l’area più richiesta, indicata dal 41% del campione. Proprio per riflettere questa evoluzione, nel 2025 ISC2 ha scelto di non pubblicare una nuova stima globale del divario numerico nella forza lavoro.

Assumere nuovi analisti rimane importante, ma non può essere l’unica risposta. I canali di reclutamento non sempre offrono persone con le competenze richieste e l’aumento degli alert può assorbire rapidamente anche le risorse aggiuntive. A questa pressione si sommano burnout ed elevato turnover, che possono privare i SOC proprio dell’esperienza necessaria per gestire gli incidenti più complessi.

L’alternativa proposta da Kaspersky è integrare l’automazione assistita dall’IA direttamente nei flussi di lavoro. Automatizzare la classificazione degli alert permette di filtrare gli eventi ripetitivi e ridurre il rumore prima dell’intervento umano. Accelerare le indagini attraverso una sintesi contestuale aiuta invece a riunire eventi, asset coinvolti, identità e informazioni sulla minaccia in una ricostruzione più rapidamente utilizzabile dagli analisti.

Un ulteriore passaggio consiste nello standardizzare la risposta attraverso procedure operative predefinite, evitando che incidenti simili vengano gestiti ogni volta in modo diverso. L’insieme di queste capacità può consentire a team più piccoli di operare con un’efficacia paragonabile a quella di strutture più ampie, senza moltiplicare nella stessa proporzione le attività manuali.

L’automazione richiede comunque controlli, registrazione delle decisioni e meccanismi di escalation. Una classificazione errata può propagarsi lungo il workflow, mentre una risposta automatica troppo aggressiva rischia di interrompere servizi legittimi. Per le azioni più delicate deve quindi rimanere prevista l’approvazione degli analisti.

Anche il consolidamento degli strumenti contribuisce a ridurre il carico cognitivo: ricostruire un incidente in un ambiente comune evita il continuo passaggio da una dashboard all’altra, lasciando agli specialisti più tempo per l’analisi e la riduzione proattiva del rischio.

Troppi strumenti possono ridurre la visibilità

Molte architetture di sicurezza non sono nate da un progetto unitario. Nel tempo sono stati aggiunti prodotti per endpoint, reti, identità, posta elettronica, cloud e protezione dei dati, spesso in risposta a una nuova minaccia o a uno specifico requisito normativo.

Il risultato può essere uno stack composto da decine di strumenti, ciascuno con la propria console, i propri dati e un sistema distinto di gestione degli alert. Gli analisti devono così passare continuamente da un’interfaccia all’altra per ricostruire la sequenza di un singolo incidente.

Una ricerca Kaspersky sugli ambienti multi-vendor indica che il 72% delle organizzazioni utilizza soluzioni di più fornitori. Il 43% degli intervistati considera lo stack eccessivamente complesso e dispendioso da mantenere, il 42% segnala sforamenti di budget dovuti a funzionalità sovrapposte e il 41% incontra difficoltà nell’automazione a causa di integrazioni insufficienti. Per il 39%, la frammentazione produce anche una visibilità incoerente sulle minacce.

Questa complessità alimenta la “stanchezza da allarmi”: aumenta il numero di notifiche da esaminare, prolunga le indagini e impegna professionisti qualificati in attività manuali di correlazione. Le lacune risultano particolarmente rischiose sugli endpoint, ancora oggi uno dei principali punti d’ingresso nelle reti aziendali.

Anche il costo effettivo supera quello delle licenze. Devono essere considerati infrastruttura, integrazioni, formazione, manutenzione, aggiornamento delle regole e tempo impiegato dagli analisti per spostarsi tra prodotti diversi. Kaspersky stima che questi fattori possano portare il costo totale di proprietà a un valore compreso tra tre e cinque volte l’investimento iniziale; il comunicato non fornisce però metodologia e campione di questa specifica stima.

Consolidare senza creare una nuova dipendenza

Ridurre il numero di prodotti non significa necessariamente affidare ogni funzione a un solo fornitore. Il consolidamento deve partire dai processi e dai risultati attesi, individuando sovrapposizioni, integrazioni fragili e aree nelle quali mancano dati.

Il primo intervento consiste nell’integrare gli strumenti sovrapposti in piattaforme EDR e XDR unificate, conservando le connessioni con i prodotti specialistici realmente necessari. Il secondo è centralizzare la raccolta della telemetria e la gestione degli incidenti, in modo che gli analisti possano ricostruire l’intera catena di attacco senza lasciare lacune tra endpoint, identità, posta elettronica e cloud.

Occorre poi automatizzare i flussi di correlazione e risposta, riducendo il carico delle operazioni manuali e i continui cambi di contesto. L’adozione di procedure di indagine predefinite e workflow di risposta standardizzati permette di applicare criteri coerenti anche quando cambiano l’analista o il turno di lavoro.

Infine, è necessario allineare le decisioni relative agli strumenti a risultati operativi misurabili e a un ritorno sull’investimento dimostrabile. Tra gli indicatori utilizzabili rientrano i tempi di rilevamento e contenimento, la copertura degli asset, il volume dei falsi positivi, il costo per incidente gestito e la quantità di attività manuali eliminata.

L’obiettivo non è soltanto diminuire le spese, ma ottenere maggiore chiarezza operativa. Una piattaforma unificata può ridurre il numero di strumenti, migliorare la visibilità e accelerare la risposta agli incidenti, rendendo la sicurezza sostenibile e scalabile senza richiedere un aumento proporzionale di personale e infrastrutture.

Il consolidamento presenta anche un compromesso. Un ambiente più uniforme può semplificare gestione e correlazione, ma un’eccessiva dipendenza da un solo vendor può limitare la flessibilità e creare un singolo punto di debolezza commerciale o tecnologico. Non a caso, pur mostrando un interesse crescente verso la razionalizzazione, soltanto il 28% delle organizzazioni considerate dalla ricerca Kaspersky aveva già adottato un approccio basato su un unico fornitore.

Dalla difesa reattiva alla resilienza operativa

Volume degli attacchi, uso offensivo dell’IA, carenza di competenze e frammentazione degli strumenti sono parti dello stesso problema. Automatizzare senza integrare i dati rischia di velocizzare processi incompleti; consolidare senza persone capaci di interpretare la telemetria non elimina le lacune; aumentare l’organico senza ridurre il rumore può aggravare burnout e turnover.

La linea Kaspersky Next Expert viene proposta dal vendor per combinare protezione continua basata sull’intelligenza artificiale, rilevamento e risposta sugli endpoint e sugli altri domini aziendali, correlazione in tempo reale e gestione centralizzata. L’obiettivo dichiarato è ridurre la frammentazione degli strumenti e il costo totale di proprietà senza richiedere un aumento proporzionale di personale e infrastrutture.

All’offerta tecnologica si affiancano i servizi degli esperti Kaspersky, personalizzabili in base al contesto dell’organizzazione: consulenza per la progettazione o il miglioramento del SOC, Managed Detection and Response, Incident Response e valutazione delle compromissioni.

Al di là dei singoli prodotti, la direzione indicata è quella di una sicurezza progettata per operare su larga scala: visibilità comune, procedure ripetibili, automazione controllata e intelligence utilizzabile direttamente nelle indagini. La resilienza non consiste soltanto nel bloccare un attacco, ma nel continuare a operare, contenere rapidamente l’impatto e trasformare quanto appreso in una difesa più efficace.