Cybersecurity protegge le informazioni. Counterintelligence protegge il business.
La maggior parte delle aziende inizia a reagire nel momento in cui scatta un alert, un account viene compromesso o la fabbrica si ferma a causa di un ransomware.
Ma spesso le operazioni di attacco iniziano molto prima… semplicemente osservando l’organizzazione.
Chi prende le decisioni? Chi ha accesso alle informazioni strategiche? Quali fornitori potrebbero rappresentare un punto di ingresso? Dove viaggiano le persone chiave? Qualcuno potrebbe alterare ciò di cui ci fidiamo senza che ce ne accorgiamo?
È esattamente questo lo spazio che dovrebbe occupare la counterintelligence aziendale.
Non significa creare un servizio segreto interno o monitorare indiscriminatamente i dipendenti. Significa sviluppare una capacità strutturata per identificare, comprendere e contrastare tentativi ostili di raccolta di informazioni, manipolazione, infiltrazione, spionaggio e sabotaggio della proprietà intellettuale e dei brevetti dell’azienda.
Integrare la counterintelligence nella strategia di sicurezza
La strategia classica di cybersecurity si basa su:
Offensive Security: identificare e sfruttare vulnerabilità e debolezze presenti in sistemi, applicazioni e infrastrutture.
Defensive Security: prevenire, rilevare, monitorare e gestire minacce e attacchi informatici.
Red Teaming: individuare debolezze nella tecnologia, nella sicurezza fisica, nei processi e nelle persone.
La Cyber Threat Intelligence si chiede: quali attori ci minacciano? Quali tecniche utilizzano? Quali settori e tecnologie prendono di mira? Quali campagne sono attive in questo momento?
La counterintelligence aggiunge ulteriori domande: che cosa potrebbe voler conoscere un attore ostile della nostra organizzazione? Quali segnali potrebbero indicarci che sta già cercando di ottenere proprietà intellettuale o segreti commerciali?
Dovremmo quindi aggiungere alla nostra strategia:
Counterintelligence: prevenire, rilevare e contrastare attività di spionaggio, minacce interne e sabotaggio.
fast16: quando una compromissione non serve a rubare dati
Un esempio significativo è fast16, un framework di sabotaggio i cui componenti principali risalgono al 2005 e che è stato analizzato pubblicamente da SentinelLABS nel 2026.
Era progettato per modificare in memoria il codice di software utilizzati per calcoli ad alta precisione, alterando i risultati in modo controllato invece di sottrarre direttamente i dati. Poteva inoltre propagarsi tra più macchine dello stesso ambiente, facendo sì che verifiche apparentemente “indipendenti” producessero silenziosamente lo stesso risultato errato.
Un riferimento a fast16 era già comparso anni prima in materiale collegato al leak Shadow Brokers, accanto a una nota insolita:
“Nothing to see here – carry on.”
Potrebbe essere stato un segnale di deconfliction tra operatori offensivi, e non semplicemente una stringa da ricercare indiscriminatamente sugli endpoint.
Per rilevare questi problemi non è sufficiente caricare una lista di indicatori di compromissione (IoC) nei sistemi di monitoraggio, come XDR o SIEM.
Una capacità di counterintelligence trasforma la ricerca pubblica in domande operative:
Utilizziamo software di simulazione simili? Esistono ancora ambienti legacy? Le nostre verifiche “indipendenti” vengono realmente eseguite su sistemi separati? Un’anomalia potrebbe essere scambiata per un errore umano anziché per una manipolazione intenzionale?
La counterintelligence non si limita a chiedere:
“Questo sistema è stato compromesso?”
Chiede anche:
“Qualcuno potrebbe alterare ciò di cui ci fidiamo senza che ce ne accorgiamo?”
Viaggi di lavoro: proteggere le persone, non sorvegliarle
Il servizio di sicurezza olandese AIVD e il servizio di intelligence italiano AISE avvertono esplicitamente che i viaggi di lavoro in Cina possono comportare tentativi di spionaggio, incluso l’accesso fisico ai dispositivi.
Tra le misure raccomandate vi sono l’utilizzo di dispositivi temporanei, la presenza della quantità minima di dati necessaria, la limitazione delle applicazioni installate e il divieto di riconnettere automaticamente il dispositivo alla rete aziendale al rientro.
L’approccio sbagliato sarebbe monitorare indiscriminatamente chiunque “viaggi in Cina”.
L’approccio corretto consiste nell’utilizzare le informazioni già raccolte per la gestione delle trasferte — come destinazione, ruolo, livello di accesso, progetto e contenuto dei dispositivi — per applicare un protocollo proporzionato al rischio.
Prima del viaggio: effettuare una valutazione del rischio e un briefing di sicurezza, fornire un dispositivo temporaneo contenente soltanto i dati necessari per la trasferta, preferibilmente mantenendo le informazioni su sistemi di archiviazione remota, e preparare documenti controllati con piccole variazioni uniche, ad esempio nel testo o nella formattazione, per aiutare a tracciare copie o condivisioni non autorizzate.
Dove consentito dalla legge, è inoltre possibile abilitare il tracciamento dell’apertura dei documenti e creare una registrazione di riferimento completa dei file, delle impostazioni e della configurazione del dispositivo prima della partenza.
Dopo il viaggio: confrontare il dispositivo con la registrazione effettuata prima della partenza ed eseguire un’analisi forense per identificare eventuali modifiche inattese, nuovi file, impostazioni alterate o segnali di compromissione.
L’obiettivo non è monitorare il dipendente, ma proteggerlo, perché il suo ruolo potrebbe renderlo un bersaglio.
Insider threat, senza sorveglianza indiscriminata
La Cybersecurity and Infrastructure Security Agency statunitense (CISA) definisce l’insider threat come il rischio che una persona utilizzi il proprio accesso autorizzato o la propria conoscenza dell’organizzazione per causare un danno.
CISA raccomanda programmi strutturati e interfunzionali, non un monitoraggio indiscriminato. Una funzione di counterintelligence dovrebbe collaborare con:
- Cybersecurity
- Risorse Umane
- Legal
- DPO
- Physical Security
- Procurement
- Travel Security
- Risk Management
Qualunque forma di monitoraggio dei dipendenti deve avere uno scopo chiaro, una base giuridica, essere proporzionata, rispettare il principio di minimizzazione dei dati e garantire trasparenza.
Una buona funzione di counterintelligence non crea liste informali di persone sospette. Crea processi verificabili per riconoscere eventi realmente anomali.
Creare deliverable utili: un Adversary-Aware Hiring Verification Playbook
Nell’aprile 2026 è diventato virale un video relativo a un colloquio di lavoro da remoto. Durante la videochiamata, l’intervistatore ha chiesto al candidato di dichiarare davanti alla telecamera che Kim Jong Un era “un maiale grasso e brutto”.
Il candidato si è bloccato, ha finto di non capire e ha abbandonato la chiamata.
Secondo i ricercatori, l’episodio avrebbe permesso di smascherare un lavoratore IT nordcoreano che operava con una falsa identità, all’interno di uno schema di frode già ampiamente documentato e finalizzato ad aggirare le sanzioni.
In questi casi, operatori nordcoreani riescono a ottenere lavori tecnologici da remoto presso aziende occidentali utilizzando curriculum falsi e, talvolta, il supporto di complici locali.
Un team di counterintelligence può creare procedure per supportare le Risorse Umane nella verifica dei candidati destinati a lavorare completamente da remoto.
L’AI sta cambiando entrambi i lati del combattimento
Sul fronte difensivo: l’intelligenza artificiale viene utilizzata sempre più spesso per il rilevamento nel SOC, il triage degli alert e l’analisi comportamentale.
Il threat hunting si sta spostando verso agenti AI in grado di analizzare continuamente l’ambiente, individuare vulnerabilità, proporre correzioni e simulare attacchi contro l’infrastruttura aziendale.
Sul fronte offensivo: attori criminali e collegati a Stati stanno già utilizzando malware che interagiscono con modelli linguistici durante l’esecuzione per modificare il proprio codice ed evitare il rilevamento.
L’intelligenza artificiale generativa ha inoltre reso phishing e pretexting più difficili da riconoscere, grazie a una grammatica perfetta, personalizzazione contestuale e coordinamento multicanale basato su dati provenienti da violazioni e fonti pubbliche.
Anche le impersonificazioni di dirigenti tramite deepfake stanno diventando sempre più comuni.
Perché tutto questo avvicina la cybersecurity alla counterintelligence
Quando gli attacchi accelerati dall’AI si combinano con un contesto geopolitico sempre più apertamente competitivo, la risposta non può limitarsi a:
“Compriamo altri strumenti basati sull’intelligenza artificiale.”
I team di sicurezza devono cambiare anche ciò che monitorano, il modo in cui interpretano i segnali deboli e la rapidità con cui intervengono.
Gli attacchi supportati dall’AI possono richiedere capacità difensive altrettanto avanzate, tra cui rilevamento automatizzato, analisi più rapida e risposta assistita dall’intelligenza artificiale.
Allo stesso tempo, l’AI automatizzerà parte delle attività oggi svolte da analisti SOC, team di threat intelligence, specialisti di vulnerability assessment, penetration tester e revisori del codice.
L’errore sarebbe ridurre i team di sicurezza soltanto perché alcune attività diventano automatizzabili.
Un approccio migliore consiste nello spostare le persone verso attività a maggiore valore:
- comprendere le nuove minacce;
- validare i risultati prodotti dall’AI;
- collegare gli eventi tecnici al rischio aziendale;
- individuare segnali di preparazione ostile prima che l’attacco abbia inizio.
La geopolitica fornisce il “perché” che una threat intelligence puramente tecnica può talvolta trascurare.
L’attuale panorama cyber è caratterizzato da attività continue di esplorazione, influenza, spionaggio e pressione al di sotto della soglia del conflitto aperto.
Anche la distinzione tra attori statali e non statali sta diventando sempre meno chiara.
La domanda centrale da portare nella prossima riunione sulla sicurezza non dovrebbe quindi essere soltanto:
“Siamo in grado di rilevare un attacco supportato dall’AI?”
Dovrebbe essere anche:
“Siamo in grado di riconoscere quando qualcuno sta già raccogliendo le informazioni necessarie per preparare un attacco?”
È qui che la counterintelligence può offrire un valore concreto alla sicurezza aziendale: aiutando le organizzazioni a individuare prima l’interesse ostile, proteggere le persone e le informazioni chiave e intervenire prima che una compromissione tecnica diventi visibile.
La vostra organizzazione è pronta a integrare la counterintelligence nella propria strategia di sicurezza?
#Counterintelligence #CorporateSecurity #Cybersecurity #ThreatIntelligence #CyberDefence #InsiderThreat #DFIR #SecurityOperations #IndustrialEspionage #AIsecurity
Sources and further reading: