Il rischio informatico nel settore finanziario non riguarda pi\u00f9 soltanto i server interni, le reti aziendali o i computer utilizzati dai dipendenti. La superficie esposta agli attacchi comprende oggi una rete molto pi\u00f9 ampia, formata da dispositivi connessi, piattaforme cloud, applicazioni SaaS, strumenti per l\u2019accesso remoto, fornitori tecnologici e societ\u00e0 che operano a loro volta per conto di questi ultimi.<\/p>\n\n\n\n
Banche, assicurazioni, societ\u00e0 finanziarie e intermediari dipendono da infrastrutture digitali complesse, all\u2019interno delle quali anche un singolo componente non aggiornato pu\u00f2 trasformarsi in un punto di ingresso. Il problema non \u00e8 rappresentato solamente dalla presenza di una vulnerabilit\u00e0, ma soprattutto dalla velocit\u00e0 con cui gli aggressori riescono a individuarla, automatizzarne lo sfruttamento e muoversi da un sistema all\u2019altro.<\/p>\n\n\n\n
In questo scenario, la cybersecurity non pu\u00f2 pi\u00f9 essere gestita esclusivamente come una funzione tecnica affidata ai reparti informatici. Diventa un elemento essenziale della continuit\u00e0 operativa, della gestione dei fornitori, della conformit\u00e0 normativa e della tutela dei clienti.<\/p>\n\n\n\n\n\n\n\n
Per molti anni la sicurezza informatica \u00e8 stata costruita intorno al concetto di perimetro. L\u2019organizzazione proteggeva la propria rete interna attraverso firewall, antivirus, sistemi di autenticazione e controlli sugli accessi. Questa impostazione, pur rimanendo necessaria, non \u00e8 pi\u00f9 sufficiente.<\/p>\n\n\n\n
I servizi finanziari utilizzano piattaforme online per la gestione dei clienti, sistemi cloud per l\u2019archiviazione dei dati, strumenti per l\u2019elaborazione delle transazioni, applicazioni di collaborazione, software forniti come servizio e collegamenti remoti con consulenti e partner. Una parte rilevante delle attivit\u00e0 digitali si svolge quindi fuori dall\u2019infrastruttura direttamente controllata dall\u2019azienda.<\/p>\n\n\n\n
La superficie di attacco comprende anche dispositivi che, pur non essendo sempre considerati centrali, possono comunicare con sistemi importanti. Router, stampanti di rete, terminali, telecamere, apparecchi per il controllo degli accessi, sportelli automatici e dispositivi utilizzati nelle sale operative possono diventare obiettivi utili per ottenere una prima presenza nella rete.<\/p>\n\n\n\n
Il rischio aumenta quando questi apparati utilizzano software non aggiornati, credenziali predefinite, configurazioni errate o protocolli non pi\u00f9 adeguati. Un dispositivo apparentemente secondario pu\u00f2 permettere all\u2019aggressore di osservare il traffico, raccogliere informazioni, sottrarre credenziali o tentare di raggiungere sistemi pi\u00f9 sensibili.<\/p>\n\n\n\n
Secondo le analisi richiamate nel rapporto 2026 di Armis Labs dedicato al comparto finanziario, una quota significativa delle violazioni osservate sarebbe riconducibile alla presenza di dispositivi non aggiornati. Un\u2019altra parte rilevante coinvolgerebbe strumenti normalmente impiegati per proteggere o collegare la rete, come firewall, VPN e router.<\/p>\n\n\n\n
Questi dati evidenziano un paradosso importante: le tecnologie installate per controllare gli accessi possono diventare esse stesse un punto debole. Firewall e sistemi VPN sono spesso esposti verso Internet perch\u00e9 devono gestire connessioni provenienti dall\u2019esterno. Quando contengono una vulnerabilit\u00e0, non vengono aggiornati rapidamente oppure sono configurati in modo scorretto, offrono agli aggressori una posizione particolarmente favorevole.<\/p>\n\n\n\n
Un firewall vulnerabile non rappresenta soltanto un\u2019applicazione difettosa. Si trova in un punto strategico dell\u2019infrastruttura, osserva il traffico e pu\u00f2 avere privilegi elevati. Lo stesso vale per una VPN, che ha il compito di consentire l\u2019accesso remoto alle risorse aziendali. La compromissione di questi strumenti pu\u00f2 permettere di aggirare i controlli che dovrebbero difendere l\u2019intera organizzazione.<\/p>\n\n\n\n
Per questo motivo non \u00e8 sufficiente effettuare aggiornamenti occasionali. \u00c8 necessario conoscere in modo preciso quali dispositivi sono collegati, quali versioni del software utilizzano, quali servizi espongono e chi \u00e8 responsabile della loro manutenzione.<\/p>\n\n\n\n
Una parte crescente delle informazioni aziendali viene gestita attraverso piattaforme SaaS, ossia programmi utilizzati tramite Internet senza che l\u2019organizzazione debba installarli e amministrarli interamente sui propri server. Questi servizi possono riguardare la gestione dei clienti, i documenti, le comunicazioni, l\u2019assistenza, le risorse umane, la contabilit\u00e0 o l\u2019analisi dei dati.<\/p>\n\n\n\n
Il ricorso a piattaforme esterne offre vantaggi operativi, ma introduce nuove dipendenze. La sicurezza non dipende pi\u00f9 esclusivamente dall\u2019istituto finanziario, perch\u00e9 coinvolge le configurazioni del fornitore, le autorizzazioni assegnate agli utenti, le applicazioni collegate e le credenziali utilizzate per integrare servizi differenti.<\/p>\n\n\n\n
Il problema si estende inoltre alle cosiddette quarte parti. Un fornitore diretto pu\u00f2 utilizzare infrastrutture cloud, servizi di autenticazione, librerie software o societ\u00e0 specializzate appartenenti ad altri operatori. L\u2019organizzazione finanziaria pu\u00f2 quindi essere esposta a una catena tecnologica molto pi\u00f9 lunga di quella rappresentata nei normali contratti commerciali.<\/p>\n\n\n\n
La dipendenza da pochi grandi fornitori crea anche un rischio di concentrazione. Se numerose banche utilizzano lo stesso servizio cloud, la stessa piattaforma o il medesimo componente software, una vulnerabilit\u00e0 pu\u00f2 produrre conseguenze simultanee su molte organizzazioni. Non \u00e8 quindi sufficiente verificare che un singolo fornitore sia affidabile: occorre comprendere quali dipendenze condivise potrebbero generare un\u2019interruzione su larga scala.<\/p>\n\n\n\n
Non tutti gli incidenti nascono da vulnerabilit\u00e0 particolarmente sofisticate. In molti casi gli aggressori sfruttano configurazioni errate, account dimenticati, credenziali sottratte o autorizzazioni pi\u00f9 ampie di quanto realmente necessario.<\/p>\n\n\n\n
Le piattaforme utilizzate per creare portali destinati a clienti, collaboratori e partner rappresentano un esempio significativo. Questi ambienti devono consentire l\u2019accesso a utenti esterni e, proprio per questo, richiedono una gestione particolarmente accurata dei permessi. Un profilo configurato in modo scorretto pu\u00f2 permettere di visualizzare dati, eseguire interrogazioni o interagire con risorse che dovrebbero rimanere riservate.<\/p>\n\n\n\n
Le campagne attribuite al gruppo ShinyHunters hanno mostrato quanto una combinazione di ingegneria sociale, credenziali compromesse, applicazioni collegate e impostazioni permissive possa mettere a rischio grandi quantit\u00e0 di informazioni. Il punto critico non \u00e8 sempre la violazione diretta della piattaforma centrale: pu\u00f2 essere sufficiente compromettere un account, un\u2019integrazione o una connessione utilizzata da un soggetto esterno.<\/p>\n\n\n\n
Il principio del privilegio minimo diventa quindi fondamentale. Ogni utente, applicazione o fornitore dovrebbe poter accedere esclusivamente alle informazioni e alle funzioni necessarie allo svolgimento della propria attivit\u00e0. I permessi dovrebbero inoltre essere controllati periodicamente e rimossi quando non sono pi\u00f9 indispensabili.<\/p>\n\n\n\n
Uno degli aspetti pi\u00f9 preoccupanti riguarda la riduzione del tempo disponibile per intervenire. Quando una vulnerabilit\u00e0 viene resa pubblica, gli aggressori possono analizzare gli aggiornamenti, confrontare le versioni del software e sviluppare rapidamente strumenti in grado di individuare i sistemi esposti.<\/p>\n\n\n\n
Il catalogo KEV della CISA raccoglie vulnerabilit\u00e0 per le quali esistono prove di sfruttamento nel mondo reale. La presenza di una falla in questo elenco rappresenta un segnale particolarmente importante, perch\u00e9 indica che non si tratta pi\u00f9 di un rischio teorico. La vulnerabilit\u00e0 \u00e8 gi\u00e0 utilizzata negli attacchi e dovrebbe quindi ricevere la massima priorit\u00e0 nelle attivit\u00e0 di correzione.<\/p>\n\n\n\n
Il problema \u00e8 che le procedure aziendali possono essere molto pi\u00f9 lente delle attivit\u00e0 criminali. L\u2019installazione di un aggiornamento pu\u00f2 richiedere verifiche, autorizzazioni, finestre di manutenzione e test di compatibilit\u00e0. Gli aggressori, invece, possono iniziare a cercare sistemi vulnerabili nello stesso giorno in cui la falla viene comunicata, talvolta anche prima della pubblicazione ufficiale.<\/p>\n\n\n\n
Questa differenza di velocit\u00e0 rende insufficiente un processo basato esclusivamente su segnalazioni manuali e interventi gestiti uno alla volta. Le organizzazioni devono essere in grado di associare rapidamente una nuova vulnerabilit\u00e0 ai dispositivi realmente presenti nella propria infrastruttura, valutando quali siano esposti, raggiungibili e collegati a servizi critici.<\/p>\n\n\n\n
L\u2019intelligenza artificiale pu\u00f2 ridurre il tempo e le competenze necessarie per svolgere numerose attivit\u00e0 offensive. Pu\u00f2 aiutare a raccogliere informazioni su un\u2019organizzazione, analizzare grandi quantit\u00e0 di dati tecnici, adattare messaggi di phishing, individuare errori nel codice e generare varianti di script utilizzati per automatizzare alcune fasi dell\u2019attacco.<\/p>\n\n\n\n
Ci\u00f2 non significa che ogni operazione possa essere condotta completamente senza intervento umano. Tuttavia, l\u2019AI pu\u00f2 aumentare la produttivit\u00e0 degli aggressori, permettendo loro di analizzare pi\u00f9 obiettivi, personalizzare meglio le comunicazioni fraudolente e modificare rapidamente le proprie tecniche.<\/p>\n\n\n\n
Un attacco tradizionale richiedeva spesso attivit\u00e0 manuali distinte: raccolta delle informazioni, individuazione dei servizi esposti, analisi delle vulnerabilit\u00e0, preparazione del codice e tentativi di movimento laterale. Gli strumenti automatici possono oggi collegare una parte di queste operazioni e ridurre l\u2019intervallo tra l\u2019accesso iniziale e il possibile impatto sui sistemi.<\/p>\n\n\n\n
Per gli istituti finanziari, la conseguenza \u00e8 un aumento della cosiddetta velocit\u00e0 del rischio. Le procedure di risposta progettate per minacce pi\u00f9 lente potrebbero non essere sufficienti contro campagne capaci di adattarsi in tempo quasi reale.<\/p>\n\n\n\n
Nei prossimi anni una parte rilevante del rischio potrebbe derivare dalla diffusione di modelli di intelligenza artificiale open source o, pi\u00f9 precisamente, open weight, i cui parametri possono essere scaricati ed eseguiti su infrastrutture private. Questi modelli hanno numerosi utilizzi legittimi e rappresentano una risorsa importante per la ricerca, l\u2019innovazione e la sicurezza informatica. La stessa disponibilit\u00e0, tuttavia, permette anche a soggetti criminali di modificarli e utilizzarli senza dipendere dai controlli applicati dai servizi commerciali online.<\/p>\n\n\n\n
Un modello eseguito localmente pu\u00f2 essere personalizzato, addestrato su raccolte di codice malevolo o integrato con strumenti automatici di scansione. Gli aggressori potrebbero sviluppare agenti specializzati nella ricerca delle vulnerabilit\u00e0, nella generazione di messaggi fraudolenti, nell\u2019analisi delle reti compromesse o nell\u2019adattamento degli strumenti offensivi alle difese incontrate.<\/p>\n\n\n\n
Il rischio pi\u00f9 realistico non \u00e8 necessariamente quello di una super-intelligenza capace di violare autonomamente qualsiasi sistema. \u00c8 pi\u00f9 probabile un progressivo abbassamento della barriera tecnica di ingresso. Operazioni che oggi richiedono competenze elevate potrebbero diventare accessibili a gruppi meno preparati, mentre gli operatori pi\u00f9 esperti potrebbero moltiplicare il numero di campagne condotte contemporaneamente.<\/p>\n\n\n\n
La disponibilit\u00e0 di modelli aperti rende inoltre pi\u00f9 difficile imporre limitazioni centralizzate. Un servizio cloud pu\u00f2 bloccare determinate richieste, registrare attivit\u00e0 sospette o disattivare un account. Un modello scaricato, modificato ed eseguito fuori da questi ambienti pu\u00f2 invece essere utilizzato senza gli stessi meccanismi di controllo.<\/p>\n\n\n\n
Un ulteriore rischio riguarda la catena di distribuzione dell\u2019AI. Modelli, dataset, plugin e librerie possono essere alterati per introdurre codice indesiderato, comportamenti nascosti o dipendenze vulnerabili. Un\u2019organizzazione che scarica un modello da un archivio pubblico dovrebbe quindi trattarlo come qualsiasi altro componente software esterno, verificandone provenienza, integrit\u00e0, dipendenze e modalit\u00e0 di esecuzione.<\/p>\n\n\n\n
La risposta non pu\u00f2 consistere semplicemente nel vietare l\u2019open source. Gli stessi strumenti aperti possono aiutare i difensori a individuare vulnerabilit\u00e0, analizzare incidenti e sviluppare controlli pi\u00f9 trasparenti. Il punto centrale \u00e8 preparare infrastrutture e procedure capaci di resistere a un numero maggiore di attacchi automatizzati, evitando di affidare la sicurezza unicamente ai filtri presenti nei modelli commerciali.<\/p>\n\n\n\n
Nel settore finanziario, la continuit\u00e0 dei servizi dipende anche da dispositivi fisici collegati ai sistemi informatici. Sportelli automatici, terminali di pagamento, sistemi di controllo degli edifici, apparecchi delle sale di negoziazione e dispositivi utilizzati per autorizzare le operazioni possono avere un ruolo diretto nei processi aziendali.<\/p>\n\n\n\n
Un apparato obsoleto o non correttamente inventariato pu\u00f2 creare un\u2019area non visibile ai normali strumenti di sicurezza. In alcuni casi, questi dispositivi utilizzano sistemi operativi datati, applicazioni proprietarie difficili da aggiornare o configurazioni mantenute per evitare interruzioni operative.<\/p>\n\n\n\n
La protezione deve quindi comprendere sia l\u2019ambiente IT tradizionale sia gli apparati connessi che interagiscono con processi fisici. Non conoscere l\u2019esistenza di un dispositivo significa non poter valutare le vulnerabilit\u00e0, applicare controlli o stabilire una procedura di risposta in caso di incidente.<\/p>\n\n\n\n
Il regolamento europeo DORA, applicabile dal 17 gennaio 2025, ha rafforzato gli obblighi relativi alla resilienza operativa digitale delle entit\u00e0 finanziarie. La disciplina riguarda la gestione del rischio informatico, la segnalazione degli incidenti, i test di resilienza e il controllo dei fornitori terzi di servizi ICT.<\/p>\n\n\n\n
Uno degli elementi centrali \u00e8 il Registro delle Informazioni, attraverso il quale le organizzazioni devono documentare i rapporti contrattuali con i fornitori ICT e comprendere quali servizi supportino funzioni importanti o critiche. La mappatura deve permettere di individuare dipendenze, concentrazioni e possibili effetti di un\u2019interruzione.<\/p>\n\n\n\n
Le sanzioni applicabili alle entit\u00e0 finanziarie vengono definite nell\u2019ambito dei sistemi nazionali e devono essere effettive, proporzionate e dissuasive. DORA prevede inoltre specifici poteri di vigilanza sui fornitori ICT terzi considerati critici, compresa la possibilit\u00e0 di applicare penalit\u00e0 periodiche in caso di mancata collaborazione con le autorit\u00e0 europee.<\/p>\n\n\n\n
L\u2019aspetto pi\u00f9 rilevante non \u00e8 soltanto economico. La mancata conoscenza dei fornitori e delle dipendenze pu\u00f2 rendere pi\u00f9 difficile rispondere a un incidente, ripristinare i servizi e dimostrare di avere adottato misure adeguate. La conformit\u00e0 deve quindi essere collegata alla gestione concreta del rischio e non limitarsi alla produzione di documentazione formale.<\/p>\n\n\n\n
Per intervenire rapidamente \u00e8 necessario sapere quali componenti siano realmente presenti nei programmi e nei dispositivi. Le Software Bill of Materials, comunemente indicate con la sigla SBOM, sono inventari che descrivono librerie, moduli e dipendenze utilizzati da un\u2019applicazione.<\/p>\n\n\n\n
Quando viene scoperta una vulnerabilit\u00e0 in una libreria diffusa, una SBOM pu\u00f2 aiutare a verificare quali sistemi la utilizzino. Senza questo tipo di informazione, l\u2019organizzazione deve ricostruire manualmente la presenza del componente, con il rischio di impiegare troppo tempo o lasciare applicazioni vulnerabili non identificate.<\/p>\n\n\n\n
Le SBOM non risolvono automaticamente il problema della sicurezza. Devono essere aggiornate, associate ai sistemi effettivamente in uso e integrate nei processi di valutazione. Rappresentano per\u00f2 uno strumento importante per migliorare la trasparenza della catena software e ridurre i tempi di reazione.<\/p>\n\n\n\n
La crescente velocit\u00e0 degli attacchi rende inadeguato un modello basato soltanto su controlli annuali o scansioni occasionali. La superficie digitale cambia continuamente: vengono attivati nuovi servizi, aggiornate applicazioni, creati account, collegati fornitori e installati dispositivi.<\/p>\n\n\n\n
L\u2019Exposure Management punta a controllare in modo continuativo i punti esposti, collegando le vulnerabilit\u00e0 al contesto reale dell\u2019organizzazione. Non tutte le falle presentano infatti lo stesso livello di pericolo. Una vulnerabilit\u00e0 presente su un dispositivo isolato pu\u00f2 avere una priorit\u00e0 diversa rispetto alla stessa falla installata su un sistema raggiungibile da Internet e collegato a dati sensibili.<\/p>\n\n\n\n
Il Continuous Threat Exposure Management organizza questo lavoro attraverso attivit\u00e0 ricorrenti di individuazione dell\u2019esposizione, definizione delle priorit\u00e0, verifica concreta delle possibili vie di attacco e avvio degli interventi correttivi.<\/p>\n\n\n\n
Per essere efficace, il processo deve coinvolgere sicurezza informatica, gestione dei fornitori, responsabili delle infrastrutture, direzione aziendale e funzioni di conformit\u00e0. Le informazioni tecniche devono essere trasformate in indicatori comprensibili, come il tempo necessario per correggere le vulnerabilit\u00e0 urgenti, il numero di sistemi critici esposti e la riduzione del possibile impatto operativo.<\/p>\n\n\n\n
Il rischio cyber nel settore finanziario non pu\u00f2 essere eliminato completamente, ma pu\u00f2 essere ridotto attraverso una conoscenza pi\u00f9 precisa dell\u2019infrastruttura e una maggiore rapidit\u00e0 decisionale. Inventariare dispositivi e software, controllare i privilegi, verificare i fornitori e aggiornare i sistemi sono attivit\u00e0 essenziali, ma devono essere inserite in un processo continuo.<\/p>\n\n\n\n
L\u2019arrivo di strumenti offensivi potenziati dall\u2019intelligenza artificiale, compresi modelli open source modificabili ed eseguibili localmente, aumenter\u00e0 probabilmente il numero e la velocit\u00e0 dei tentativi di attacco. Le organizzazioni non dovranno soltanto individuare minacce pi\u00f9 sofisticate, ma resistere a campagne automatizzate capaci di colpire molti obiettivi nello stesso momento.<\/p>\n\n\n\n
La sicurezza diventa quindi una responsabilit\u00e0 strategica. Collegare la gestione dell\u2019esposizione agli obblighi previsti da DORA, alla continuit\u00e0 operativa e alla supervisione del consiglio di amministrazione permette di passare da una risposta reattiva a un modello orientato alla resilienza.<\/p>\n\n\n\n
In un ambiente nel quale una vulnerabilit\u00e0 pu\u00f2 essere sfruttata poche ore dopo la sua scoperta, conoscere i propri sistemi e le proprie dipendenze non rappresenta pi\u00f9 soltanto una buona pratica. \u00c8 la condizione necessaria per proteggere dati, servizi finanziari e fiducia dei clienti.<\/p>\n\n\n\n
<\/p>\n","protected":false},"excerpt":{"rendered":"
Il rischio informatico nel settore finanziario non riguarda pi\u00f9 soltanto i server interni, le reti aziendali o i computer utilizzati dai dipendenti. La superficie esposta agli attacchi comprende oggi una…<\/p>\n","protected":false},"author":1,"featured_media":1742,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"content-type":"","_sitemap_exclude":false,"_sitemap_priority":"","_sitemap_frequency":"","footnotes":""},"categories":[40,1],"tags":[],"class_list":["post-1741","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-criminologia","category-senza-categoria"],"yoast_head":"\n