La CISA (l’agenzia americana per la cybersicurezza) ha pubblicato a fine agosto 2026 un rapporto che vale la pena leggere: “A Tale of Two SOCs”. Due organizzazioni di infrastruttura critica, le stesse tecniche di attacco, risultati completamente diversi. In una il red team è entrato, si è mosso liberamente nella rete, ha letto le email del team di sicurezza (si, davvero) e non è mai stato scoperto. Nell’altra l’attacco è stato rilevato e fermato in pochi minuti.
La differenza? Non gli strumenti. Le persone e i processi.
Organizzazione A: tutto aperto
L’accesso iniziale è stato quasi imbarazzante: un’applicazione web con credenziali predefinite su account integrati. Nessun zero day, nessun exploit sofisticato, solo una password admin che nessuno ha mai cambiato.. Da li il red team ha inviato email di phishing da un indirizzo interno e ha compromesso quattro workstation.
Poi la situazione è peggiorata. La Machine Account Quota (MAQ) era impostata al valore predefinito di 10, il che significa che qualsiasi utente del dominio poteva creare nuovi account macchina. In più, un modello di certificato Active Directory (ESC1) era configurato male, permettendo di richiedere certificati per qualsiasi utente. Il movimento laterale è avvenuto tramite server SCCM che rivelavano le associazioni utente-dispositivo.
Cosa ha trovato il team: password in chiaro sulle workstation degli amministratori, file di configurazione di database decifrati e chiavi AWS IAM statiche impostate su “nessuna scadenza”. Nel cloud hanno rubato un Primary Refresh Token e hanno abusato di applicazioni Entra ID con permessi eccessivi: Mail.ReadWrite, Chat.Read.All, Files.Read.All. Il red team ha aggiunto un nuovo client secret all’applicazione per mantenere l’accesso, e poi ha letto le email del team di sicurezza per controllare se qualcuno si fosse accorto di qualcosa.
Nessuno se ne è accorto.
Il SOC era sommerso da migliaia di falsi positivi che nascondevano gli alert veri. Più team SOC lavoravano in parallelo senza comunicare tra loro. Non c’erano procedure standard per le escalation, le responsabilità eranno poco chiare e i difensori non avevano l’autorità per agire autonomamente.
Organizzazione B: rilevato in minuti
Stesso approccio, tre dipendenti hanno cliccato, tre workstation compromesse. Ma qui il SOC ha rilevato i payload di phishing non appena sono stati eseguiti e ha isolato le macchine colpite entro 2-20 minuti, tagliando le comunicazioni C2 prima che qualsiasi dato potesse uscire dalla rete. Il red team ha dovuto passare a uno scenario di assumed breach.
Nonostante questo hanno trovato vulnerabilità gravi. La MAQ era impostata a 1000 (peggio dell’Organizzazione A). Un account di servizio aveva AllExtendedRights su un domain controller, permettendo un attacco DCSync. Nel cloud le credenziali MSOL erano esposte, un account disabilitato poteva essere riattivato e il Seamless SSO è stato sfruttato tramite l’account computer AZURESSO.
Sul fronte OT il team ha raggiunto un bastion host nella DMZ attraverso credenziali FTP. Ma il host bloccava tutto il traffico internet in uscita; nessun canale C2 possibile, i sistemi OT sono rimasti protetti. Non grazie a qualche soluzione AI, ma perchè qualcuno ha configurato una regola firewall come si deve.
Cosa possono imparare le PMI svizzere
Il rapporto rende una cosa molto chiara: la sicurezza non dipende dagli strumenti. L’Organizzazione A aveva il monitoring, aveva un SOC, aveva l’alerting. Non è servito a niente perchè mancavano i processi. L’Organizzazione B ha fermato un attacco prima che causasse danni, anche se le vulnerabilità tecniche erano in parte peggiori, perchè aveva procedure chiare e il personale aveva l’autorità di agire.
Per le PMI svizzere (e per gli operatori di infrastrutture critiche sotto la supervisione del BACS) le lezioni sono concrete:
- Cambiare le password predefinite. Sembra banale; evidentemente non lo è
- Impostare la Machine Account Quota a zero se non strettamente necessaria
- Verificare i modelli di certificato AD CS, in particolare la configurazione ESC1
- Cercare ed eliminare password in chiaro nei file di configurazione (connections.json, XML configs, ad es. su SCCM distribution points)
- Impostare date di scadenza sulle chiavi AWS/Azure e ruotarle regolarmente
- Ridurre i permessi delle applicazioni cloud al minimo; implementare Conditional Access per le workload identities
- Fare tuning degli alert: migliaia di falsi positivi sono peggio di nessun alerting, perchè almeno cosi sai di essere cieco
- Definire le procedure SOC: chi escala quando e a chi, senza burocrazia
- Separare le reti OT da internet (l’Organizzazione B ha dimostrato che basta una semplice regola firewall)
Conclusione
Il rapporto completo della CISA è disponibile gratuitamente (Advisory AA26-237A) ed è probabilmente la cosa più utile che l’agenzia ha pubblicato quest’anno. Non perchè gli attacchi fossero sofisticati, ma proprio perchè non lo erano. Credenziali predefinite, password in chiaro, AD mal configurato. Non sono tecniche da nation state, sono cose che ogni pentester trova in ogni seconda rete…
La vera domanda che ogni azienda deve porsi: sareste l’Organizzazione A o l’Organizzazione B?