Un nuovo report di Kaspersky Compromise Assessment mostra quanto sia ampio il divario tra la presenza di strumenti di sicurezza e la capacità reale di individuare un attacco. Nel 30,8% degli incidenti esaminati, le attività malevole erano presenti nell’infrastruttura da oltre tre mesi. La percentuale sale al 52% tra le compromissioni classificate ad alta gravità. Il caso più datato scoperto nel 2025 era rimasto nascosto per quasi quattro anni.
I dati indicano che una parte rilevante delle aziende conserva minacce persistenti all’interno delle proprie reti senza ricevere segnali chiari. Il problema non dipende solo dalla qualità dei prodotti di sicurezza. Configurazioni incomplete, controlli discontinui, carenze nella gestione delle vulnerabilità e processi interni poco maturi possono ridurre l’efficacia delle tecnologie già installate.
Il 52% delle compromissioni più gravi emerge dopo tre mesi
Il tempo medio necessario per identificare un incidente, spesso indicato con la sigla MTTD, Mean Time to Detect, rappresenta uno dei principali parametri per valutare la capacità difensiva di un’organizzazione. Più a lungo un attaccante mantiene l’accesso alla rete, maggiori sono le possibilità che ottenga privilegi elevati, si sposti tra i sistemi, sottragga dati o crei meccanismi di persistenza.
Secondo Kaspersky, gli incidenti scoperti entro il primo mese presentavano una distribuzione abbastanza equilibrata tra livelli di gravità bassi, medi e alti. Tra i casi emersi dopo 60-90 giorni, il 71,43% apparteneva alla categoria ad alta gravità. Tra quelli scoperti dopo oltre 90 giorni, la quota degli incidenti gravi raggiungeva il 52%.
Uno dei casi descritti nel report riguardava tre domain controller infetti da file associati alla campagna di cryptomining NSABuffMiner. I file risalivano al 2021 e sfruttavano EternalBlue, una vulnerabilità per la quale Microsoft aveva pubblicato una patch già nel marzo 2017.
La minaccia aveva quindi utilizzato per quasi quattro anni risorse centrali dell’infrastruttura senza che l’organizzazione ne fosse consapevole.
Gli strumenti automatici non bastano senza controlli continui
Tra tutti gli incidenti identificati dal servizio Kaspersky Compromise Assessment, il 20% è stato scoperto attraverso verifiche manuali. Nel 60% dei casi sfuggiti alle aziende, invece, gli strumenti esistenti non avevano prodotto alert ad alta affidabilità.
Il dato non indica che gli avvisi certi fossero presenti e ignorati, ma che le soluzioni installate non avevano generato segnali sufficientemente chiari.
Questo aspetto richiama un problema comune nei Security Operations Center. Gli analisti tendono a concentrare l’attenzione sugli avvisi con il livello di confidenza più alto, mentre gli eventi meno evidenti restano spesso senza verifica.
Un singolo alert debole può non giustificare un intervento immediato, ma una serie di anomalie correlate può rivelare attività di persistenza, movimenti laterali o abuso di strumenti legittimi.
Il report cita anche l’impiego diffuso di software di amministrazione remota e dei cosiddetti LoLBins, strumenti già presenti nei sistemi operativi che gli attaccanti possono usare per eseguire comandi, trasferire file o eludere alcuni controlli.
Questi strumenti sono comparsi in tutti i progetti di compromise assessment che hanno portato alla scoperta di un incidente.
Le web shell possono restare nascoste nei backup
Un altro punto critico riguarda i sistemi di backup. Il 40% delle web shell rilevate durante le verifiche era conservato nelle copie di sicurezza, mentre il restante 60% si trovava sui sistemi attivi.
Una web shell è uno script malevolo che consente all’attaccante di impartire comandi a distanza attraverso un server compromesso.
Se il backup contiene file infetti, il ripristino può reintrodurre la minaccia anche dopo la rimozione iniziale. Il controllo della sola integrità tecnica delle copie non è quindi sufficiente.
Le aziende devono verificare anche il contenuto, la data di creazione dei file, le modifiche anomale e la presenza di componenti estranei alle applicazioni legittime.
Il problema si aggrava quando l’inventario degli asset non è completo. Kaspersky ha rilevato lacune nell’inventario nel 25% degli incarichi esaminati. Server Linux presenti solo nel cloud, sistemi non collegati ad Active Directory e dispositivi non censiti possono restare fuori dalle normali scansioni di sicurezza.
Comunicazione interna e turnover possono ostacolare la risposta
Nel 32% delle valutazioni, Kaspersky ha rilevato problemi di comunicazione che avevano inciso sulla risposta agli incidenti. Tra le criticità figuravano conferme poco chiare sulle attività eseguite, documentazione incompleta e perdita di conoscenze dopo il ricambio del personale.
Un piano tecnico può risultare inefficace quando non assegna responsabilità precise o non definisce i passaggi tra reparto IT, sicurezza, direzione, ufficio legale e comunicazione.
Le esercitazioni periodiche permettono di verificare tempi, autorizzazioni, escalation e procedure di conservazione delle prove.
Anche i playbook di incident response richiedono revisioni regolari. Un documento statico rischia di non includere nuove tecniche di attacco, indicatori recenti o modifiche dell’infrastruttura.
Il report raccomanda di trattare i piani di risposta come documenti operativi soggetti ad aggiornamenti sulla base delle evidenze emerse durante le indagini e delle informazioni fornite dalla threat intelligence.
Incident response e compromise assessment non svolgono lo stesso compito
La risposta a un incidente mira prima di tutto a contenere l’attacco noto, limitare i danni e ripristinare i servizi.
Un compromise assessment estende invece l’analisi all’intera infrastruttura, con l’obiettivo di cercare accessi secondari, malware dormienti, attività pregresse e meccanismi di persistenza estranei al perimetro iniziale.
Kaspersky descrive il caso di un’azienda che aveva già contenuto un’intrusione grave. Una verifica successiva ha individuato ulteriori backdoor su sistemi che non rientravano nell’analisi originaria.
Tra i meccanismi scoperti figuravano un processo cron capace di ricreare una web shell, una reverse shell attiva e una sottoscrizione WMI che scaricava uno script PowerShell.
Il report associa inoltre gli audit proattivi a una quota inferiore di incidenti ad alta gravità. Le verifiche richieste dopo un attacco già noto presentavano il 40,7% di risultati ad alta gravità, mentre gli audit generali si fermavano al 27,7%.
I dati mostrano una correlazione, non una prova causale, ma supportano l’utilità di controlli periodici indipendenti.
Le misure indicate da Kaspersky
Kaspersky consiglia alle organizzazioni di verificare entro 30 giorni lo stato dei motori di rilevamento, con particolare attenzione alla qualità della telemetria e alla pertinenza delle regole.
Il report propone inoltre un team Tier 1 per la validazione degli alert a bassa affidabilità e un presidio operativo attivo 24 ore su 24.
Tra le altre misure figurano:
- un processo continuo di patch management;
- l’attivazione dei registri di audit sulle risorse critiche;
- programmi di formazione dedicati alla perdita di credenziali dai dispositivi personali;
- regole più chiare per il BYOD;
- esercitazioni tabletop periodiche;
- accordi operativi tra i diversi team;
- procedure standard per la documentazione delle attività.
Il perimetro del report
I dati derivano dai progetti Kaspersky Compromise Assessment svolti nel 2025. Circa il 71% degli incidenti identificati riguardava clienti della regione META, cioè Medio Oriente, Turchia e Africa. Il restante 29% interessava le regioni APAC e CIS.
I settori più rappresentati erano la pubblica amministrazione, con il 29% degli incidenti, l’istruzione con il 19% e il settore finanziario con il 17%.
Il campione non costituisce quindi una fotografia statistica di tutte le imprese mondiali. I risultati descrivono però problemi operativi ricorrenti: strumenti installati ma non verificati, asset non censiti, patch assenti, backup contaminati e procedure incapaci di conservare conoscenze e responsabilità nel tempo.
