Il rischio informatico nel settore finanziario non riguarda più soltanto i server interni, le reti aziendali o i computer utilizzati dai dipendenti. La superficie esposta agli attacchi comprende oggi una rete molto più ampia, formata da dispositivi connessi, piattaforme cloud, applicazioni SaaS, strumenti per l’accesso remoto, fornitori tecnologici e società che operano a loro volta per conto di questi ultimi.
Banche, assicurazioni, società finanziarie e intermediari dipendono da infrastrutture digitali complesse, all’interno delle quali anche un singolo componente non aggiornato può trasformarsi in un punto di ingresso. Il problema non è rappresentato solamente dalla presenza di una vulnerabilità, ma soprattutto dalla velocità con cui gli aggressori riescono a individuarla, automatizzarne lo sfruttamento e muoversi da un sistema all’altro.
In questo scenario, la cybersecurity non può più essere gestita esclusivamente come una funzione tecnica affidata ai reparti informatici. Diventa un elemento essenziale della continuità operativa, della gestione dei fornitori, della conformità normativa e della tutela dei clienti.
Oltre il perimetro aziendale: come cambia il rischio cyber
Per molti anni la sicurezza informatica è stata costruita intorno al concetto di perimetro. L’organizzazione proteggeva la propria rete interna attraverso firewall, antivirus, sistemi di autenticazione e controlli sugli accessi. Questa impostazione, pur rimanendo necessaria, non è più sufficiente.
I servizi finanziari utilizzano piattaforme online per la gestione dei clienti, sistemi cloud per l’archiviazione dei dati, strumenti per l’elaborazione delle transazioni, applicazioni di collaborazione, software forniti come servizio e collegamenti remoti con consulenti e partner. Una parte rilevante delle attività digitali si svolge quindi fuori dall’infrastruttura direttamente controllata dall’azienda.
La superficie di attacco comprende anche dispositivi che, pur non essendo sempre considerati centrali, possono comunicare con sistemi importanti. Router, stampanti di rete, terminali, telecamere, apparecchi per il controllo degli accessi, sportelli automatici e dispositivi utilizzati nelle sale operative possono diventare obiettivi utili per ottenere una prima presenza nella rete.
Il rischio aumenta quando questi apparati utilizzano software non aggiornati, credenziali predefinite, configurazioni errate o protocolli non più adeguati. Un dispositivo apparentemente secondario può permettere all’aggressore di osservare il traffico, raccogliere informazioni, sottrarre credenziali o tentare di raggiungere sistemi più sensibili.
Dispositivi non aggiornati e strumenti di sicurezza sotto attacco
Secondo le analisi richiamate nel rapporto 2026 di Armis Labs dedicato al comparto finanziario, una quota significativa delle violazioni osservate sarebbe riconducibile alla presenza di dispositivi non aggiornati. Un’altra parte rilevante coinvolgerebbe strumenti normalmente impiegati per proteggere o collegare la rete, come firewall, VPN e router.
Questi dati evidenziano un paradosso importante: le tecnologie installate per controllare gli accessi possono diventare esse stesse un punto debole. Firewall e sistemi VPN sono spesso esposti verso Internet perché devono gestire connessioni provenienti dall’esterno. Quando contengono una vulnerabilità, non vengono aggiornati rapidamente oppure sono configurati in modo scorretto, offrono agli aggressori una posizione particolarmente favorevole.
Un firewall vulnerabile non rappresenta soltanto un’applicazione difettosa. Si trova in un punto strategico dell’infrastruttura, osserva il traffico e può avere privilegi elevati. Lo stesso vale per una VPN, che ha il compito di consentire l’accesso remoto alle risorse aziendali. La compromissione di questi strumenti può permettere di aggirare i controlli che dovrebbero difendere l’intera organizzazione.
Per questo motivo non è sufficiente effettuare aggiornamenti occasionali. È necessario conoscere in modo preciso quali dispositivi sono collegati, quali versioni del software utilizzano, quali servizi espongono e chi è responsabile della loro manutenzione.
Il rischio proveniente da SaaS, fornitori e quarte parti
Una parte crescente delle informazioni aziendali viene gestita attraverso piattaforme SaaS, ossia programmi utilizzati tramite Internet senza che l’organizzazione debba installarli e amministrarli interamente sui propri server. Questi servizi possono riguardare la gestione dei clienti, i documenti, le comunicazioni, l’assistenza, le risorse umane, la contabilità o l’analisi dei dati.
Il ricorso a piattaforme esterne offre vantaggi operativi, ma introduce nuove dipendenze. La sicurezza non dipende più esclusivamente dall’istituto finanziario, perché coinvolge le configurazioni del fornitore, le autorizzazioni assegnate agli utenti, le applicazioni collegate e le credenziali utilizzate per integrare servizi differenti.
Il problema si estende inoltre alle cosiddette quarte parti. Un fornitore diretto può utilizzare infrastrutture cloud, servizi di autenticazione, librerie software o società specializzate appartenenti ad altri operatori. L’organizzazione finanziaria può quindi essere esposta a una catena tecnologica molto più lunga di quella rappresentata nei normali contratti commerciali.
La dipendenza da pochi grandi fornitori crea anche un rischio di concentrazione. Se numerose banche utilizzano lo stesso servizio cloud, la stessa piattaforma o il medesimo componente software, una vulnerabilità può produrre conseguenze simultanee su molte organizzazioni. Non è quindi sufficiente verificare che un singolo fornitore sia affidabile: occorre comprendere quali dipendenze condivise potrebbero generare un’interruzione su larga scala.
Configurazioni errate e autorizzazioni eccessive
Non tutti gli incidenti nascono da vulnerabilità particolarmente sofisticate. In molti casi gli aggressori sfruttano configurazioni errate, account dimenticati, credenziali sottratte o autorizzazioni più ampie di quanto realmente necessario.
Le piattaforme utilizzate per creare portali destinati a clienti, collaboratori e partner rappresentano un esempio significativo. Questi ambienti devono consentire l’accesso a utenti esterni e, proprio per questo, richiedono una gestione particolarmente accurata dei permessi. Un profilo configurato in modo scorretto può permettere di visualizzare dati, eseguire interrogazioni o interagire con risorse che dovrebbero rimanere riservate.
Le campagne attribuite al gruppo ShinyHunters hanno mostrato quanto una combinazione di ingegneria sociale, credenziali compromesse, applicazioni collegate e impostazioni permissive possa mettere a rischio grandi quantità di informazioni. Il punto critico non è sempre la violazione diretta della piattaforma centrale: può essere sufficiente compromettere un account, un’integrazione o una connessione utilizzata da un soggetto esterno.
Il principio del privilegio minimo diventa quindi fondamentale. Ogni utente, applicazione o fornitore dovrebbe poter accedere esclusivamente alle informazioni e alle funzioni necessarie allo svolgimento della propria attività. I permessi dovrebbero inoltre essere controllati periodicamente e rimossi quando non sono più indispensabili.
Dalla scoperta della falla all’attacco possono passare poche ore
Uno degli aspetti più preoccupanti riguarda la riduzione del tempo disponibile per intervenire. Quando una vulnerabilità viene resa pubblica, gli aggressori possono analizzare gli aggiornamenti, confrontare le versioni del software e sviluppare rapidamente strumenti in grado di individuare i sistemi esposti.
Il catalogo KEV della CISA raccoglie vulnerabilità per le quali esistono prove di sfruttamento nel mondo reale. La presenza di una falla in questo elenco rappresenta un segnale particolarmente importante, perché indica che non si tratta più di un rischio teorico. La vulnerabilità è già utilizzata negli attacchi e dovrebbe quindi ricevere la massima priorità nelle attività di correzione.
Il problema è che le procedure aziendali possono essere molto più lente delle attività criminali. L’installazione di un aggiornamento può richiedere verifiche, autorizzazioni, finestre di manutenzione e test di compatibilità. Gli aggressori, invece, possono iniziare a cercare sistemi vulnerabili nello stesso giorno in cui la falla viene comunicata, talvolta anche prima della pubblicazione ufficiale.
Questa differenza di velocità rende insufficiente un processo basato esclusivamente su segnalazioni manuali e interventi gestiti uno alla volta. Le organizzazioni devono essere in grado di associare rapidamente una nuova vulnerabilità ai dispositivi realmente presenti nella propria infrastruttura, valutando quali siano esposti, raggiungibili e collegati a servizi critici.
Intelligenza artificiale e automazione accelerano gli attacchi
L’intelligenza artificiale può ridurre il tempo e le competenze necessarie per svolgere numerose attività offensive. Può aiutare a raccogliere informazioni su un’organizzazione, analizzare grandi quantità di dati tecnici, adattare messaggi di phishing, individuare errori nel codice e generare varianti di script utilizzati per automatizzare alcune fasi dell’attacco.
Ciò non significa che ogni operazione possa essere condotta completamente senza intervento umano. Tuttavia, l’AI può aumentare la produttività degli aggressori, permettendo loro di analizzare più obiettivi, personalizzare meglio le comunicazioni fraudolente e modificare rapidamente le proprie tecniche.
Un attacco tradizionale richiedeva spesso attività manuali distinte: raccolta delle informazioni, individuazione dei servizi esposti, analisi delle vulnerabilità, preparazione del codice e tentativi di movimento laterale. Gli strumenti automatici possono oggi collegare una parte di queste operazioni e ridurre l’intervallo tra l’accesso iniziale e il possibile impatto sui sistemi.
Per gli istituti finanziari, la conseguenza è un aumento della cosiddetta velocità del rischio. Le procedure di risposta progettate per minacce più lente potrebbero non essere sufficienti contro campagne capaci di adattarsi in tempo quasi reale.
Il futuro degli attacchi basati su AI open source
Nei prossimi anni una parte rilevante del rischio potrebbe derivare dalla diffusione di modelli di intelligenza artificiale open source o, più precisamente, open weight, i cui parametri possono essere scaricati ed eseguiti su infrastrutture private. Questi modelli hanno numerosi utilizzi legittimi e rappresentano una risorsa importante per la ricerca, l’innovazione e la sicurezza informatica. La stessa disponibilità, tuttavia, permette anche a soggetti criminali di modificarli e utilizzarli senza dipendere dai controlli applicati dai servizi commerciali online.
Un modello eseguito localmente può essere personalizzato, addestrato su raccolte di codice malevolo o integrato con strumenti automatici di scansione. Gli aggressori potrebbero sviluppare agenti specializzati nella ricerca delle vulnerabilità, nella generazione di messaggi fraudolenti, nell’analisi delle reti compromesse o nell’adattamento degli strumenti offensivi alle difese incontrate.
Il rischio più realistico non è necessariamente quello di una super-intelligenza capace di violare autonomamente qualsiasi sistema. È più probabile un progressivo abbassamento della barriera tecnica di ingresso. Operazioni che oggi richiedono competenze elevate potrebbero diventare accessibili a gruppi meno preparati, mentre gli operatori più esperti potrebbero moltiplicare il numero di campagne condotte contemporaneamente.
La disponibilità di modelli aperti rende inoltre più difficile imporre limitazioni centralizzate. Un servizio cloud può bloccare determinate richieste, registrare attività sospette o disattivare un account. Un modello scaricato, modificato ed eseguito fuori da questi ambienti può invece essere utilizzato senza gli stessi meccanismi di controllo.
Un ulteriore rischio riguarda la catena di distribuzione dell’AI. Modelli, dataset, plugin e librerie possono essere alterati per introdurre codice indesiderato, comportamenti nascosti o dipendenze vulnerabili. Un’organizzazione che scarica un modello da un archivio pubblico dovrebbe quindi trattarlo come qualsiasi altro componente software esterno, verificandone provenienza, integrità, dipendenze e modalità di esecuzione.
La risposta non può consistere semplicemente nel vietare l’open source. Gli stessi strumenti aperti possono aiutare i difensori a individuare vulnerabilità, analizzare incidenti e sviluppare controlli più trasparenti. Il punto centrale è preparare infrastrutture e procedure capaci di resistere a un numero maggiore di attacchi automatizzati, evitando di affidare la sicurezza unicamente ai filtri presenti nei modelli commerciali.
Quando il rischio digitale raggiunge gli apparati fisici
Nel settore finanziario, la continuità dei servizi dipende anche da dispositivi fisici collegati ai sistemi informatici. Sportelli automatici, terminali di pagamento, sistemi di controllo degli edifici, apparecchi delle sale di negoziazione e dispositivi utilizzati per autorizzare le operazioni possono avere un ruolo diretto nei processi aziendali.
Un apparato obsoleto o non correttamente inventariato può creare un’area non visibile ai normali strumenti di sicurezza. In alcuni casi, questi dispositivi utilizzano sistemi operativi datati, applicazioni proprietarie difficili da aggiornare o configurazioni mantenute per evitare interruzioni operative.
La protezione deve quindi comprendere sia l’ambiente IT tradizionale sia gli apparati connessi che interagiscono con processi fisici. Non conoscere l’esistenza di un dispositivo significa non poter valutare le vulnerabilità, applicare controlli o stabilire una procedura di risposta in caso di incidente.
DORA e la responsabilità lungo la filiera digitale
Il regolamento europeo DORA, applicabile dal 17 gennaio 2025, ha rafforzato gli obblighi relativi alla resilienza operativa digitale delle entità finanziarie. La disciplina riguarda la gestione del rischio informatico, la segnalazione degli incidenti, i test di resilienza e il controllo dei fornitori terzi di servizi ICT.
Uno degli elementi centrali è il Registro delle Informazioni, attraverso il quale le organizzazioni devono documentare i rapporti contrattuali con i fornitori ICT e comprendere quali servizi supportino funzioni importanti o critiche. La mappatura deve permettere di individuare dipendenze, concentrazioni e possibili effetti di un’interruzione.
Le sanzioni applicabili alle entità finanziarie vengono definite nell’ambito dei sistemi nazionali e devono essere effettive, proporzionate e dissuasive. DORA prevede inoltre specifici poteri di vigilanza sui fornitori ICT terzi considerati critici, compresa la possibilità di applicare penalità periodiche in caso di mancata collaborazione con le autorità europee.
L’aspetto più rilevante non è soltanto economico. La mancata conoscenza dei fornitori e delle dipendenze può rendere più difficile rispondere a un incidente, ripristinare i servizi e dimostrare di avere adottato misure adeguate. La conformità deve quindi essere collegata alla gestione concreta del rischio e non limitarsi alla produzione di documentazione formale.
SBOM e inventari per conoscere i componenti vulnerabili
Per intervenire rapidamente è necessario sapere quali componenti siano realmente presenti nei programmi e nei dispositivi. Le Software Bill of Materials, comunemente indicate con la sigla SBOM, sono inventari che descrivono librerie, moduli e dipendenze utilizzati da un’applicazione.
Quando viene scoperta una vulnerabilità in una libreria diffusa, una SBOM può aiutare a verificare quali sistemi la utilizzino. Senza questo tipo di informazione, l’organizzazione deve ricostruire manualmente la presenza del componente, con il rischio di impiegare troppo tempo o lasciare applicazioni vulnerabili non identificate.
Le SBOM non risolvono automaticamente il problema della sicurezza. Devono essere aggiornate, associate ai sistemi effettivamente in uso e integrate nei processi di valutazione. Rappresentano però uno strumento importante per migliorare la trasparenza della catena software e ridurre i tempi di reazione.
Dalle verifiche periodiche alla gestione continua dell’esposizione
La crescente velocità degli attacchi rende inadeguato un modello basato soltanto su controlli annuali o scansioni occasionali. La superficie digitale cambia continuamente: vengono attivati nuovi servizi, aggiornate applicazioni, creati account, collegati fornitori e installati dispositivi.
L’Exposure Management punta a controllare in modo continuativo i punti esposti, collegando le vulnerabilità al contesto reale dell’organizzazione. Non tutte le falle presentano infatti lo stesso livello di pericolo. Una vulnerabilità presente su un dispositivo isolato può avere una priorità diversa rispetto alla stessa falla installata su un sistema raggiungibile da Internet e collegato a dati sensibili.
Il Continuous Threat Exposure Management organizza questo lavoro attraverso attività ricorrenti di individuazione dell’esposizione, definizione delle priorità, verifica concreta delle possibili vie di attacco e avvio degli interventi correttivi.
Per essere efficace, il processo deve coinvolgere sicurezza informatica, gestione dei fornitori, responsabili delle infrastrutture, direzione aziendale e funzioni di conformità. Le informazioni tecniche devono essere trasformate in indicatori comprensibili, come il tempo necessario per correggere le vulnerabilità urgenti, il numero di sistemi critici esposti e la riduzione del possibile impatto operativo.
La prevenzione come elemento di resilienza aziendale
Il rischio cyber nel settore finanziario non può essere eliminato completamente, ma può essere ridotto attraverso una conoscenza più precisa dell’infrastruttura e una maggiore rapidità decisionale. Inventariare dispositivi e software, controllare i privilegi, verificare i fornitori e aggiornare i sistemi sono attività essenziali, ma devono essere inserite in un processo continuo.
L’arrivo di strumenti offensivi potenziati dall’intelligenza artificiale, compresi modelli open source modificabili ed eseguibili localmente, aumenterà probabilmente il numero e la velocità dei tentativi di attacco. Le organizzazioni non dovranno soltanto individuare minacce più sofisticate, ma resistere a campagne automatizzate capaci di colpire molti obiettivi nello stesso momento.
La sicurezza diventa quindi una responsabilità strategica. Collegare la gestione dell’esposizione agli obblighi previsti da DORA, alla continuità operativa e alla supervisione del consiglio di amministrazione permette di passare da una risposta reattiva a un modello orientato alla resilienza.
In un ambiente nel quale una vulnerabilità può essere sfruttata poche ore dopo la sua scoperta, conoscere i propri sistemi e le proprie dipendenze non rappresenta più soltanto una buona pratica. È la condizione necessaria per proteggere dati, servizi finanziari e fiducia dei clienti.