La maggior parte delle aziende inizia a reagire nel momento in cui scatta un alert, un account viene compromesso o la fabbrica si ferma a causa di un ransomware.<\/p>\n\n\n\n
Ma spesso le operazioni di attacco iniziano molto prima\u2026 semplicemente osservando l\u2019organizzazione.<\/p>\n\n\n\n
Chi prende le decisioni? Chi ha accesso alle informazioni strategiche? Quali fornitori potrebbero rappresentare un punto di ingresso? Dove viaggiano le persone chiave? Qualcuno potrebbe alterare ci\u00f2 di cui ci fidiamo senza che ce ne accorgiamo?<\/p>\n\n\n\n
\u00c8 esattamente questo lo spazio che dovrebbe occupare la counterintelligence aziendale<\/strong>.<\/p>\n\n\n\n Non significa creare un servizio segreto interno o monitorare indiscriminatamente i dipendenti. Significa sviluppare una capacit\u00e0 strutturata per identificare, comprendere e contrastare tentativi ostili di raccolta di informazioni, manipolazione, infiltrazione, spionaggio e sabotaggio della propriet\u00e0 intellettuale e dei brevetti dell\u2019azienda.<\/p>\n\n\n\n La strategia classica di cybersecurity si basa su:<\/p>\n\n\n\n Offensive Security:<\/strong> identificare e sfruttare vulnerabilit\u00e0 e debolezze presenti in sistemi, applicazioni e infrastrutture.<\/p>\n\n\n\n Defensive Security:<\/strong> prevenire, rilevare, monitorare e gestire minacce e attacchi informatici.<\/p>\n\n\n\n Red Teaming:<\/strong> individuare debolezze nella tecnologia, nella sicurezza fisica, nei processi e nelle persone.<\/p>\n\n\n\n La Cyber Threat Intelligence<\/strong> si chiede: quali attori ci minacciano? Quali tecniche utilizzano? Quali settori e tecnologie prendono di mira? Quali campagne sono attive in questo momento?<\/p>\n\n\n\n La counterintelligence aggiunge ulteriori domande<\/strong>: che cosa potrebbe voler conoscere un attore ostile della nostra organizzazione? Quali segnali potrebbero indicarci che sta gi\u00e0 cercando di ottenere propriet\u00e0 intellettuale o segreti commerciali?<\/p>\n\n\n\n Dovremmo quindi aggiungere alla nostra strategia:<\/p>\n\n\n\n Counterintelligence:<\/strong> prevenire, rilevare e contrastare attivit\u00e0 di spionaggio, minacce interne e sabotaggio.<\/p>\n\n\n\n Un esempio significativo \u00e8 fast16<\/strong>, un framework di sabotaggio i cui componenti principali risalgono al 2005 e che \u00e8 stato analizzato pubblicamente da SentinelLABS nel 2026.<\/p>\n\n\n\n Era progettato per modificare in memoria il codice di software utilizzati per calcoli ad alta precisione, alterando i risultati in modo controllato invece di sottrarre direttamente i dati. Poteva inoltre propagarsi tra pi\u00f9 macchine dello stesso ambiente, facendo s\u00ec che verifiche apparentemente \u201cindipendenti\u201d producessero silenziosamente lo stesso risultato errato.<\/p>\n\n\n\n Un riferimento a fast16 era gi\u00e0 comparso anni prima in materiale collegato al leak Shadow Brokers, accanto a una nota insolita:<\/p>\n\n\n\n \u201cNothing to see here \u2013 carry on.\u201d<\/p>\n<\/blockquote>\n\n\n\n Potrebbe essere stato un segnale di deconfliction tra operatori offensivi, e non semplicemente una stringa da ricercare indiscriminatamente sugli endpoint.<\/p>\n\n\n\n Per rilevare questi problemi non \u00e8 sufficiente caricare una lista di indicatori di compromissione (IoC)<\/strong> nei sistemi di monitoraggio, come XDR o SIEM.<\/p>\n\n\n\n Una capacit\u00e0 di counterintelligence trasforma la ricerca pubblica in domande operative:<\/p>\n\n\n\n Utilizziamo software di simulazione simili? Esistono ancora ambienti legacy? Le nostre verifiche \u201cindipendenti\u201d vengono realmente eseguite su sistemi separati? Un\u2019anomalia potrebbe essere scambiata per un errore umano anzich\u00e9 per una manipolazione intenzionale?<\/p>\n\n\n\n La counterintelligence non si limita a chiedere:<\/p>\n\n\n\n \u201cQuesto sistema \u00e8 stato compromesso?\u201d<\/p>\n<\/blockquote>\n\n\n\n Chiede anche:<\/p>\n\n\n\n \u201cQualcuno potrebbe alterare ci\u00f2 di cui ci fidiamo senza che ce ne accorgiamo?\u201d<\/p>\n<\/blockquote>\n\n\n\n Il servizio di sicurezza olandese AIVD e il servizio di intelligence italiano AISE avvertono esplicitamente che i viaggi di lavoro in Cina possono comportare tentativi di spionaggio, incluso l\u2019accesso fisico ai dispositivi.<\/p>\n\n\n\n Tra le misure raccomandate vi sono l\u2019utilizzo di dispositivi temporanei, la presenza della quantit\u00e0 minima di dati necessaria, la limitazione delle applicazioni installate e il divieto di riconnettere automaticamente il dispositivo alla rete aziendale al rientro.<\/p>\n\n\n\n L\u2019approccio sbagliato sarebbe monitorare indiscriminatamente chiunque \u201cviaggi in Cina\u201d.<\/p>\n\n\n\n L\u2019approccio corretto consiste nell\u2019utilizzare le informazioni gi\u00e0 raccolte per la gestione delle trasferte \u2014 come destinazione, ruolo, livello di accesso, progetto e contenuto dei dispositivi \u2014 per applicare un protocollo proporzionato al rischio.<\/p>\n\n\n\n Prima del viaggio:<\/strong> effettuare una valutazione del rischio e un briefing di sicurezza, fornire un dispositivo temporaneo contenente soltanto i dati necessari per la trasferta, preferibilmente mantenendo le informazioni su sistemi di archiviazione remota, e preparare documenti controllati con piccole variazioni uniche, ad esempio nel testo o nella formattazione, per aiutare a tracciare copie o condivisioni non autorizzate.<\/p>\n\n\n\n Dove consentito dalla legge, \u00e8 inoltre possibile abilitare il tracciamento dell\u2019apertura dei documenti e creare una registrazione di riferimento completa dei file, delle impostazioni e della configurazione del dispositivo prima della partenza.<\/p>\n\n\n\n Dopo il viaggio:<\/strong> confrontare il dispositivo con la registrazione effettuata prima della partenza ed eseguire un\u2019analisi forense per identificare eventuali modifiche inattese, nuovi file, impostazioni alterate o segnali di compromissione.<\/p>\n\n\n\n L\u2019obiettivo non \u00e8 monitorare il dipendente, ma proteggerlo, perch\u00e9 il suo ruolo potrebbe renderlo un bersaglio.<\/p>\n\n\n\n La Cybersecurity and Infrastructure Security Agency statunitense (CISA)<\/strong> definisce l\u2019insider threat come il rischio che una persona utilizzi il proprio accesso autorizzato o la propria conoscenza dell\u2019organizzazione per causare un danno.<\/p>\n\n\n\n CISA raccomanda programmi strutturati e interfunzionali, non un monitoraggio indiscriminato. Una funzione di counterintelligence dovrebbe collaborare con:<\/p>\n\n\n\n Qualunque forma di monitoraggio dei dipendenti deve avere uno scopo chiaro, una base giuridica, essere proporzionata, rispettare il principio di minimizzazione dei dati e garantire trasparenza.<\/p>\n\n\n\n Una buona funzione di counterintelligence non crea liste informali di persone sospette. Crea processi verificabili per riconoscere eventi realmente anomali.<\/p>\n\n\n\n Nell\u2019aprile 2026 \u00e8 diventato virale un video relativo a un colloquio di lavoro da remoto. Durante la videochiamata, l\u2019intervistatore ha chiesto al candidato di dichiarare davanti alla telecamera che Kim Jong Un era \u201cun maiale grasso e brutto\u201d.<\/p>\n\n\n\n Il candidato si \u00e8 bloccato, ha finto di non capire e ha abbandonato la chiamata.<\/p>\n\n\n\n Secondo i ricercatori, l\u2019episodio avrebbe permesso di smascherare un lavoratore IT nordcoreano che operava con una falsa identit\u00e0, all\u2019interno di uno schema di frode gi\u00e0 ampiamente documentato e finalizzato ad aggirare le sanzioni.<\/p>\n\n\n\n In questi casi, operatori nordcoreani riescono a ottenere lavori tecnologici da remoto presso aziende occidentali utilizzando curriculum falsi e, talvolta, il supporto di complici locali.<\/p>\n\n\n\n Un team di counterintelligence pu\u00f2 creare procedure per supportare le Risorse Umane nella verifica dei candidati destinati a lavorare completamente da remoto.<\/p>\n\n\n\n Sul fronte difensivo:<\/strong> l\u2019intelligenza artificiale viene utilizzata sempre pi\u00f9 spesso per il rilevamento nel SOC, il triage degli alert e l\u2019analisi comportamentale.<\/p>\n\n\n\n Il threat hunting si sta spostando verso agenti AI in grado di analizzare continuamente l\u2019ambiente, individuare vulnerabilit\u00e0, proporre correzioni e simulare attacchi contro l\u2019infrastruttura aziendale.<\/p>\n\n\n\n Sul fronte offensivo:<\/strong> attori criminali e collegati a Stati stanno gi\u00e0 utilizzando malware che interagiscono con modelli linguistici durante l\u2019esecuzione per modificare il proprio codice ed evitare il rilevamento.<\/p>\n\n\n\n L\u2019intelligenza artificiale generativa ha inoltre reso phishing e pretexting pi\u00f9 difficili da riconoscere, grazie a una grammatica perfetta, personalizzazione contestuale e coordinamento multicanale basato su dati provenienti da violazioni e fonti pubbliche.<\/p>\n\n\n\n Anche le impersonificazioni di dirigenti tramite deepfake stanno diventando sempre pi\u00f9 comuni.<\/p>\n\n\n\n Quando gli attacchi accelerati dall\u2019AI si combinano con un contesto geopolitico sempre pi\u00f9 apertamente competitivo, la risposta non pu\u00f2 limitarsi a:<\/p>\n\n\n\n \u201cCompriamo altri strumenti basati sull\u2019intelligenza artificiale.\u201d<\/p>\n<\/blockquote>\n\n\n\n I team di sicurezza devono cambiare anche ci\u00f2 che monitorano, il modo in cui interpretano i segnali deboli e la rapidit\u00e0 con cui intervengono.<\/p>\n\n\n\n Gli attacchi supportati dall\u2019AI possono richiedere capacit\u00e0 difensive altrettanto avanzate, tra cui rilevamento automatizzato, analisi pi\u00f9 rapida e risposta assistita dall\u2019intelligenza artificiale.<\/p>\n\n\n\n Allo stesso tempo, l\u2019AI automatizzer\u00e0 parte delle attivit\u00e0 oggi svolte da analisti SOC, team di threat intelligence, specialisti di vulnerability assessment, penetration tester e revisori del codice.<\/p>\n\n\n\n L\u2019errore sarebbe ridurre i team di sicurezza soltanto perch\u00e9 alcune attivit\u00e0 diventano automatizzabili.<\/p>\n\n\n\n Un approccio migliore consiste nello spostare le persone verso attivit\u00e0 a maggiore valore:<\/p>\n\n\n\n La geopolitica fornisce il \u201cperch\u00e9\u201d che una threat intelligence puramente tecnica pu\u00f2 talvolta trascurare.<\/p>\n\n\n\n L\u2019attuale panorama cyber \u00e8 caratterizzato da attivit\u00e0 continue di esplorazione, influenza, spionaggio e pressione al di sotto della soglia del conflitto aperto.<\/p>\n\n\n\n Anche la distinzione tra attori statali e non statali sta diventando sempre meno chiara.<\/p>\n\n\n\n La domanda centrale da portare nella prossima riunione sulla sicurezza non dovrebbe quindi essere soltanto:<\/p>\n\n\n\n \u201cSiamo in grado di rilevare un attacco supportato dall\u2019AI?\u201d<\/p>\n<\/blockquote>\n\n\n\n Dovrebbe essere anche:<\/p>\n\n\n\n \u201cSiamo in grado di riconoscere quando qualcuno sta gi\u00e0 raccogliendo le informazioni necessarie per preparare un attacco?\u201d<\/p>\n<\/blockquote>\n\n\n\n \u00c8 qui che la counterintelligence pu\u00f2 offrire un valore concreto alla sicurezza aziendale: aiutando le organizzazioni a individuare prima l\u2019interesse ostile, proteggere le persone e le informazioni chiave e intervenire prima che una compromissione tecnica diventi visibile.<\/p>\n\n\n\n La vostra organizzazione \u00e8 pronta a integrare la counterintelligence nella propria strategia di sicurezza?<\/strong><\/p>\n\n\n\n #Counterintelligence #CorporateSecurity #Cybersecurity #ThreatIntelligence #CyberDefence #InsiderThreat #DFIR #SecurityOperations #IndustrialEspionage #AIsecurity <\/p>\n\n\n\n Sources and further reading: <\/p>\n\n\n\nIntegrare la counterintelligence nella strategia di sicurezza<\/h2>\n\n\n\n
fast16: quando una compromissione non serve a rubare dati<\/h2>\n\n\n\n
\n
\n
\n
Viaggi di lavoro: proteggere le persone, non sorvegliarle<\/h2>\n\n\n\n
Insider threat, senza sorveglianza indiscriminata<\/h2>\n\n\n\n
\n
Creare deliverable utili: un Adversary-Aware Hiring Verification Playbook<\/h2>\n\n\n\n
L\u2019AI sta cambiando entrambi i lati del combattimento<\/h2>\n\n\n\n
Perch\u00e9 tutto questo avvicina la cybersecurity alla counterintelligence<\/h2>\n\n\n\n
\n
\n
\n
\n
\n
\n
\n