Minacce informatiche nel 2026:
X-Force e gli esperti del settore esprimono il loro parere

La cybersecurity è una gara di perseveranza. I criminali informatici sondano incessantemente le difese, i difensori rispondono e gli attacchi inevitabilmente si ripresentano, spesso con maggiore rapidità e sofisticazione grazie alle tecnologie più avanzate.

Alla fine dello scorso anno, gli esperti di sicurezza di IBM hanno condiviso le loro previsioni con IBM Think, anticipando alcune delle minacce informatiche e delle soluzioni che stanno già emergendo nel 2026, tra cui nuovi rischi legati all'intelligenza artificiale (AI), nuove sfide nella gestione delle identità e molto altro.

Ora, nel nuovo X-Force Threat Intelligence Index 2026, il team X-Force di IBM ha individuato ulteriori tendenze che mostrano come i criminali informatici stiano adattando le proprie strategie e conducendo gli attacchi in un'era sempre più orientata all'AI e ai dati. Abbiamo parlato con IBM e con esperti del settore dei risultati del report.

Secondo il report, negli ultimi cinque anni le violazioni che hanno colpito la supply chain e le terze parti sono aumentate in modo significativo, quadruplicando gli incidenti. Questo dato riflette un cambiamento nel comportamento dei criminali informatici: anziché cercare di superare le difese di una singola organizzazione, prendono sempre più di mira sistemi interconnessi e integrazioni fidate, come fornitori, dipendenze open source, integrazioni delle identità, workflow CI/CD e interfacce cloud.

Questo andamento è coerente anche con i risultati di altre ricerche, tra cui il report "Breaking Trust" dell'Atlantic Council, che documenta le vulnerabilità sistemiche lungo le supply chain del software a livello globale e i rischi a cascata generati da componenti non sicuri e da relazioni di fiducia compromesse.

In un'intervista con IBM Think, Nick Bradley, Manager del team X-Force Threat Intelligence Malware di IBM, ha spiegato perché gli attacchi alla supply chain sono efficaci per gli avversari.

"I criminali informatici hanno capito che non è più necessario forzare l'ingresso principale, protetto con grande attenzione, quando possono entrare dalla porta sul retro di un vostro fornitore utilizzando credenziali valide", ha affermato Bradley.

Il software moderno, ha proseguito, "si basa su un'estesa rete di dipendenze, servizi cloud e API. La dura realtà è che abbiamo costruito sistemi altamente interconnessi senza considerare pienamente come questa connettività crei delle vulnerabilità per la sicurezza".

Il Dottor Gregory Falco, ricercatore della Cornell University specializzato nella sicurezza delle supply chain nei settori aerospaziale e dei semiconduttori, ha osservato che, in linea generale, le organizzazioni hanno due opzioni. Alcune organizzazioni stanno reagendo "integrando tutto verticalmente" e assumendo il controllo di ogni componente end-to-end. Altre accettano che "l'ecosistema continuerà a essere complesso e disordinato e scelgono di concentrarsi sulla capacità di rilevare e contrastare i problemi man mano che emergono", ha affermato.

Oltre all'aumento degli attacchi alla supply chain, X-Force di IBM ha rilevato un incremento del 44% su base annua dell'exploit delle applicazioni rivolte al pubblico. Secondo il report, le applicazioni rivolte al pubblico vengono comunemente utilizzate dai criminali informatici a causa delle vulnerabilità e degli errori di implementazione o configurazione; questo rischio è stato ulteriormente amplificato dagli attacchi alla supply chain che prendono di mira gli ecosistemi di sviluppo e le infrastrutture fidate.

Recenti incidenti che hanno coinvolto piattaforme come Salesloft e Drift, nei quali i criminali informatici hanno utilizzato token OAuth di Drift compromessi per accedere agli ambienti Salesforce, dimostrano come "la compromissione di una terza parte fidata possa consentire un accesso indiretto agli ambienti dei clienti in modi per i quali le organizzazioni non erano pienamente preparate", ha affermato Christopher Caridi, Cyber Threat Analyst di X-Force Strategic Threat Analysis, a IBM Think.

"Stiamo entrando in un mondo di sistemi non più affidabili", ha affermato Bruce Schneier, specialista in cybersecurity e politiche pubbliche della Harvard Kennedy School. (Schneier è stato anche CTO di Resilient Systems, acquisita da IBM nel 2016 e ideatrice di IBM X-Force—ndr.) Ha avvertito che le soluzioni sono poche e che persino quelle più comunemente proposte, come una maggiore trasparenza, funzionano solo in condizioni ideali. La trasparenza "è d'aiuto, a condizione che la base clienti sia sufficientemente preparata da comprendere ciò che vede", ha affermato. Ha tuttavia osservato che molte organizzazioni non dispongono ancora della visibilità e delle competenze necessarie per trasformare questi insight in misure di difesa efficaci.

Spesso si ritiene che i criminali informatici utilizzino tecniche e tattiche altamente sofisticate per violare le difese di un'organizzazione. Tuttavia, delle quasi 40.000 vulnerabilità monitorate dal team X-Force nel 2025, il 56% poteva essere utilizzato senza alcuna forma di autenticazione.

"Questo evidenzia quanto spesso i criminali riescano a individuare punti deboli che non dipendono dalle credenziali degli utenti, dall'aggiramento dell'MFA o da qualsiasi interazione da parte dell'utente", ha dichiarato Austin Zeizel, X-Force Threat Intelligence Consultant, a IBM Think. Ha aggiunto che molte organizzazioni non riescono a dare priorità alle vulnerabilità più facilmente utilizzabili nel mondo reale. La conclusione è difficile da ignorare: le minacce sofisticate esistono, ma molte organizzazioni vengono compromesse da attaccanti che si limitano ad approfittarsi di vulnerabilità semplici e prevenibili.

Questa tendenza rafforza anche il dibattito tra identità e patch, ovvero se le organizzazioni debbano dare priorità al rafforzamento dei controlli di identità o alla correzione delle vulnerabilità sfruttabili.

"I CISO devono considerare il patching delle vulnerabilità e il rafforzamento delle identità come priorità parallele", ha affermato Caridi. Ha proseguito spiegando che le vulnerabilità senza autenticazione richiedono una correzione tempestiva per "ridurre il rischio di accesso iniziale", mentre i controlli sulle identità contribuiscono a "limitare l'impatto quando l'exploit avviene davvero".

L'uso crescente di chatbot e agenti AI nelle operazioni aziendali crea una nuova superficie di attacco per il malware infostealer. Man mano che questi strumenti si integrano sempre più profondamente nei workflow organizzativi, sistemi compromessi come gli agenti AI contenenti credenziali chatbot memorizzate rappresentano un rischio emergente.

Nel 2025, i ricercatori di X-Force hanno trovato più di 300.000 credenziali ChatGPT messe in vendita sul dark web. Di recente OpenClaw, una piattaforma open source per agenti AI eseguiti in locale, ha guadagnato notorietà per essere un vero e proprio incubo dal punto di vista della sicurezza. "Gli agenti sono la minaccia interna più utile? Certo che lo sono," ha scherzato Dave McGinnis, VP and Senior Partner for Global Cyber Threat Management di IBM, in un recente episodio di Security Intelligence in cui si è parlato di OpenClaw.

Dato che gli agenti hanno bisogno di accedere ai dati per funzionare in modo efficace, le organizzazioni si trovano di fronte a un difficile esercizio di equilibrio, ha osservato McGinnis. Ai team di sicurezza viene chiesto di consentire ai dipendenti di utilizzare i benefici degli strumenti AI, assicurandosi al tempo stesso che queste funzionalità siano implementate in modo sicuro. Raggiungere questo equilibrio, ha sottolineato, è una delle sfide più difficili che i leader della sicurezza devono affrontare oggi.

Caridi ha condiviso il punto di vista di McGinnis, aggiungendo che "se da un lato le piattaforme di AI potrebbero diventare bersagli diretti, il rischio maggiore è rappresentato dall'aumento del volume e della sofisticazione dall'acquisizione delle credenziali reso possibile dal phishing assistito dall'AI e dai malware infostealer".

Secondo Caridi, le organizzazioni che "subiscono meno incidenti legati al furto di credenziali sono quelle che applicano in modo costante l'autenticazione MFA resistente al phishing e adottano solide pratiche di gestione delle identità, come l'accesso condizionale, il principio del privilegio minimo e il monitoraggio continuo dei comportamenti di autenticazione".

Per la prima volta in sei anni, il Nord America è diventato la regione più colpita, rappresentando il 29% di tutti i casi gestiti dal team di risposta agli incidenti X-Force nel 2025, in aumento rispetto al 24% registrato nel 2024. L'area Asia-Pacifico, che aveva guidato la classifica negli anni precedenti, è scesa dal 34% al 27%, segnando una significativa redistribuzione geografica dell'attenzione degli attaccanti.

Tre fattori possono contribuire a spiegare perché gli attaccanti abbiano dato priorità alle organizzazioni nordamericane, ha dichiarato Ryan Anschutz, responsabile per il Nord America di X-Force Incident Response, a IBM Think:

• La regione è caratterizzata da "un livello molto elevato di adozione del digitale, un'enorme presenza di infrastrutture cloud ed ecosistemi fortemente interconnessi, tutti elementi che evolvono a un ritmo molto rapido". Quella velocità crea degli spazi vuoti. A questo si aggiunge una forte dipendenza dalle identità digitali, dalle applicazioni SaaS e dagli accessi di terze parti, e i criminali semplicemente non hanno bisogno di vulnerabilità zero-day: bastano credenziali valide e un po' di pazienza".
  
  

• Le organizzazioni nordamericane si trovano spesso al centro delle supply chain globali e delle reti di clienti, il che significa che una singola compromissione può offrire ai criminali informatici un accesso a cascata a numerosi partner e clienti: un effetto moltiplicatore osservato frequentemente nelle attività di risposta agli incidenti.
  
  
• Allo stesso tempo, il rafforzamento dei controlli di sicurezza di base in alcune aree dell'Asia-Pacifico, tra cui controlli più rigorosi sulle identità digitali e una maggiore segmentazione delle reti, sembra aumentare il costo d'ingresso per gli attaccanti, spingendoli verso obiettivi più facili e con un ritorno potenziale più elevato.

"Dico sempre che i criminali informatici tendono a seguire il percorso di minore resistenza", ha aggiunto Anschutz, "purché questo garantisca comunque un elevato ritorno economico per i loro sforzi. Il Nord America risponde a entrambe queste caratteristiche, offrendo ai criminali sia un'ampia scala operativa sia un elevato ritorno economico".

In tutte le regioni e per tutte le tipologie di attacco emerge un elemento costante: molti incidenti di sicurezza sono stati causati da carenze nelle pratiche fondamentali di igiene della cybersecurity. Anche se i team di sicurezza stanno adottando strumenti sempre più automatizzati e basati sull'AI, queste lacune nelle misure di sicurezza fondamentali continuano a offrire opportunità ai criminali informatici. Perché persistono questi problemi? Zeizel ha attribuito la causa alla mancata "implementazione coerente e su larga scala dei controlli di sicurezza fondamentali".

Ha osservato che gli ambienti moderni sono spesso "troppo complessi per essere gestiti manualmente, la proliferazione delle identità digitali amplifica l'impatto di errori apparentemente semplici e gli strumenti di sicurezza vengono spesso implementati senza un'adeguata gestione o una governance continua".

Zeizel ha sottolineato che mantenere una solida cybersecurity dipende da diversi approcci fondamentali, tra cui:

• Per allinearsi ai moderni ambienti basati sulle identità digitali e sul cloud sono necessarie pratiche di sicurezza continue e automatizzate.
  
  
• La gestione costante dell'esposizione dovrebbe sostituire la scansione periodica.
  
  
• Solidi controlli delle identità e degli accessi, tra cui l'applicazione del principio del privilegio minimo, la protezione delle credenziali e il monitoraggio del loro uso improprio, sono essenziali, poiché i criminali informatici continuano a fare affidamento sull'abuso di account legittimi.
  
  
• Un'efficace igiene della cybersecurity dipende anche da inventari accurati degli asset, da una gestione coerente delle configurazioni e dalla tempestiva dismissione dei sistemi obsoleti o inutilizzati, prima che diventino un rischio per la sicurezza.

Presi insieme, questi approcci mostrano perché l'igiene della cybersecurity rimane la prima linea di difesa. Come ha detto Falco, anche le protezioni più avanzate basate su AI offrono poco beneficio "se stiamo lasciando aperta la porta d'ingresso".