La sicurezza delle identità è diventata uno dei punti più esposti della cybersecurity aziendale. Secondo il report State of Identity Security 2026 di Sophos, il 71% delle organizzazioni ha subito almeno una violazione legata alle identità nell’ultimo anno, con una media di tre incidenti distinti per azienda. Il 5% degli intervistati ha dichiarato sei o più violazioni nello stesso periodo. Il dato arriva da un’indagine vendor-agnostic su 5.000 responsabili IT e cybersecurity in 17 Paesi e 14 comparti industriali.
Il quadro conferma uno spostamento ormai evidente: per gli attaccanti, l’identità è spesso il nuovo perimetro. Account utente, credenziali rubate, chiavi API, account di servizio e identità generate da sistemi automatizzati possono diventare porte di ingresso verso dati, applicazioni e infrastrutture critiche. Il testo diffuso in Italia segnala anche un dato specifico per il nostro Paese: l’Italia risulta terza in classifica, con l’80% delle aziende che ha subito violazioni legate alle identità.
Identità compromesse e ransomware: un legame sempre più stretto
Uno dei dati più rilevanti riguarda il rapporto tra identità e ransomware. Due terzi delle vittime di ransomware coinvolte nella ricerca, pari al 67%, hanno confermato che l’incidente è nato da un attacco alle identità. In pratica, una credenziale compromessa può diventare il punto di partenza per un blocco operativo più ampio, con furto di dati, estorsione e interruzione dei sistemi.
Il costo medio di ripristino indicato dal report è pari a 1,64 milioni di dollari, con una mediana di 750.000 dollari. Il 73% delle organizzazioni colpite ha sostenuto costi pari o superiori a 250.000 dollari. Questi numeri mostrano quanto un attacco alle identità possa incidere non solo sulla sicurezza tecnica, ma anche sulla continuità operativa e sui bilanci aziendali.
Errore umano e identità non umane tra le cause principali
Il report attribuisce una parte significativa degli incidenti a due fattori: errore umano e gestione debole delle identità non umane, note anche come NHI, Non-Human Identities. L’errore umano, in particolare dipendenti indotti a condividere credenziali, è stato citato in quasi il 43% degli incidenti. La gestione inefficace delle identità non umane è stata indicata nel 41% dei casi.
Le identità non umane comprendono chiavi API, account di servizio, credenziali statiche, processi automatizzati e, sempre più spesso, agenti basati su intelligenza artificiale. Il problema nasce dal fatto che queste identità possono avere permessi estesi, durata lunga e scarsa visibilità. Se una chiave API resta nel codice, se un account di servizio non ha più un proprietario chiaro o se una credenziale non viene ruotata, l’organizzazione conserva un punto di accesso che può sfuggire ai controlli tradizionali.
L’AI agentica accelera il rischio
Il tema diventa più delicato con la diffusione dell’AI agentica, cioè sistemi di intelligenza artificiale capaci di svolgere compiti in autonomia, interagire con strumenti aziendali, creare flussi di lavoro e richiedere accessi a dati o applicazioni. Secondo Sophos, gli agenti AI possono creare sub-agenti e nuove credenziali con privilegi ampi e persistenti, spesso senza un controllo umano coerente.
I framework di gestione delle identità usati oggi da molte aziende non sono stati progettati per questo scenario. Il report segnala infatti che solo una organizzazione su tre esegue regolarmente audit o rotazione degli account di servizio e delle identità non umane, mentre appena l’11% lo fa in modo continuativo.
La visibilità resta un punto debole
La capacità di individuare attività anomale è ancora insufficiente. Solo il 24% delle organizzazioni monitora in modo continuativo i tentativi di accesso insoliti, mentre oltre la metà effettua controlli ogni tre mesi o con frequenza inferiore. Questo ritardo lascia spazio agli attaccanti, soprattutto quando usano credenziali legittime e quindi più difficili da distinguere da un accesso autorizzato. (SOPHOS)
Il 14% delle organizzazioni colpite non è riuscito a individuare e bloccare l’attacco alle identità più grave prima che producesse danni. Le aziende più piccole, tra 100 e 250 dipendenti, hanno mostrato una probabilità quasi doppia di fallire nel rilevamento rispetto alle realtà più grandi.
Infrastrutture critiche più esposte
Il rischio non colpisce tutti i comparti allo stesso modo. I tassi più alti di violazione emergono nei settori energia, oil & gas e utility, con l’80%, e nella pubblica amministrazione centrale o federale, con il 78%. Sono ambiti nei quali l’accesso alle identità può aprire la strada a impatti operativi rilevanti, perché molte attività dipendono da sistemi connessi, fornitori, account privilegiati e servizi digitali distribuiti.
Anche la complessità normativa sembra incidere sul rischio. Le organizzazioni che hanno definito gli obblighi di conformità “molto complessi” hanno registrato un tasso di violazione dell’82,4%, contro il 68,3% delle aziende con minori difficoltà di compliance. Il dato suggerisce che la complessità organizzativa, se non accompagnata da processi chiari, può diventare un fattore di esposizione.
Come ridurre il rischio legato alle identità
Per ridurre l’esposizione, le aziende devono trattare le identità come un elemento centrale della difesa. Le misure indicate dal report includono l’adozione dell’autenticazione multifattore per tutti gli account, l’applicazione del principio del privilegio minimo e la rimozione tempestiva delle identità inattive. Per le identità non umane, servono inventario, classificazione, credenziali a breve durata e piattaforme di secrets management.
Con l’aumento degli agenti AI e delle identità macchina, diventano più importanti anche le soluzioni di Identity Threat Detection and Response, capaci di rilevare anomalie sugli accessi, e un modello Zero Trust, basato sulla verifica continua e sulla riduzione dei privilegi. Il punto non è soltanto bloccare una password rubata, ma capire quali identità esistono, che cosa possono fare, chi le controlla e quanto rapidamente possono diventare un rischio per l’intera organizzazione.
