Come funziona la ricognizione silenziosa prima che l’attacco inizi
Qualcuno ha cercato il nome della tua azienda su Google stamattina. Non era un potenziale cliente.
C’è una differenza che non si vede tra una ricerca e un’altra. Due persone aprono un browser, digitano il nome della tua azienda, guardano i risultati. Una sta valutando se diventare tuo cliente. L’altra sta costruendo una mappa.
La mappa non serve per comprare. Serve per entrare.
Perché proprio te
Un attacco a target non inizia da una vulnerabilità tecnica. Inizia da una valutazione economica.
Qualcuno ha deciso che la tua azienda vale lo sforzo. Non è una scelta casuale: è una decisione razionale, basata su criteri precisi.
Hai dati che qualcuno vuole: clienti, brevetti, contratti, progetti in corso. Sei fornitore di qualcuno più grande, e sei il percorso più facile per arrivarci: le grandi aziende hanno difese robuste, i loro fornitori spesso no. Sei in un settore dove i riscatti vengono pagati: manifatturiero, sanitario, legale, finanziario. Oppure qualcuno che lavorava con te, o per te, sa qualcosa sulla tua infrastruttura e ha deciso di venderlo.
In tutti questi casi, il tuo nome è finito su una lista. E prima che succeda qualsiasi cosa tecnica, qualcuno ha aperto un browser.
La ricognizione che non lascia tracce
Nell’attacco automatizzato, quello che colpisce migliaia di aziende a settimana senza distinzione, la fase di ricognizione dura secondi. In un attacco a target può durare settimane. Ed è quasi interamente condotta su fonti pubbliche, legali, insospettabili. Non lascia tracce. Non è nemmeno illegale.
LinkedIn è la prima fermata. Dal profilo della tua azienda e dei tuoi dipendenti si ricava in pochi minuti: chi lavora nell’IT e chi no, chi ha accesso ai sistemi critici, chi è appena arrivato e probabilmente non conosce ancora bene le procedure, chi ha lasciato l’azienda di recente e potrebbe essere frustrato. Ogni connessione, ogni post, ogni like su un articolo tecnico è un tassello.
Le offerte di lavoro sono la seconda. «Cerchiamo sistemista con esperienza su Fortinet e VMware, gestione Active Directory, familiarità con ambienti Windows Server 2019.» Hai appena descritto il tuo stack tecnologico a chiunque stia guardando. Non ai candidati: a chi sta costruendo la mappa.
Il sito aziendale, i comunicati stampa, le fiere. I fornitori che ringrazi pubblicamente. I clienti che citi come referenze. I premi che hai vinto. Ogni dettaglio è un tassello. Messi insieme costruiscono un quadro che nessun singolo elemento lascerebbe intuire.
Poi ci sono i canali meno puliti: un ex dipendente scontento, o uno ancora in azienda ma in conflitto, può essere avvicinato anche con un semplice messaggio WhatsApp e convinto a vendere informazioni o credenziali. Qui si esce dalla legalità, ma succede più spesso di quanto si pensi.
Quando chi sta costruendo la mappa ha finito, sa sulla tua infrastruttura più di quanto il tuo responsabile IT immagini. Sa come si chiamano i tuoi sistemi. Sa chi ha accesso a cosa. Sa qual è il momento giusto per colpire e qual è la porta più facile da aprire.
La decisione che non vedi
C’è un punto in cui chi prepara l’attacco si ferma e valuta.
Ho abbastanza informazioni? Il valore del bersaglio giustifica il rischio e il tempo? Ci sono percorsi di ingresso realistici?
È una decisione razionale, quasi imprenditoriale. Se la risposta è no, passa ad altro: ci sono altre aziende nella lista. Se la risposta è sì, quello che viene dopo è costruito su misura per te: il phishing imita un tuo fornitore reale, il messaggio arriva alla persona giusta nel momento più vulnerabile, le credenziali usate sono quelle di qualcuno che lavora davvero nella tua azienda.
La differenza rispetto all’attacco automatizzato non è la tecnica. È l’intenzione, e la precisione con cui ogni fase è calibrata su quello che è stato trovato nella fase silenziosa.
Gli indizi che quasi nessuno legge
Un attacco a target, prima di diventare visibile, lascia tracce. Indizi deboli, sparsi, che singolarmente sembrano innocui.
Tentativi di accesso a orari insoliti su account reali. Richieste di informazioni via email che sembrano legittime ma hanno qualcosa di leggermente fuori posto: un dominio quasi identico al tuo, una firma che non torna del tutto. Qualcuno che chiama l’ufficio chiedendo conferma di dettagli tecnici «per aggiornare i nostri sistemi».
Il problema è che per leggerli insieme serve qualcuno che stia guardando l’insieme, non i singoli eventi. E nella maggior parte delle PMI non c’è nessuno che presidia quel livello. Non per incapacità, ma per impossibilità strutturale. Chi gestisce l’IT gestisce tutto il resto, e questi indizi si perdono nel rumore.
Quello che non si può nascondere e quello che si può fare
C’è una cosa che non si può eliminare dalla superficie pubblica di un’azienda che funziona: deve essere trovabile, deve comunicare, deve assumere, deve avere fornitori e clienti. La visibilità è necessaria per fare business.
Ma c’è una differenza tra essere visibili e rendere ogni dettaglio della propria infrastruttura leggibile da chi sa dove guardare. Le offerte di lavoro possono descrivere competenze senza elencare lo stack tecnologico. I documenti pubblicati possono essere ripuliti dai metadati prima di essere caricati. I dipendenti possono essere informati su cosa non condividere sui social professionali.
Non si tratta di sparire. Si tratta di ridurre la densità informativa disponibile a chi costruisce la mappa.
E si tratta di accettare che una parte della superficie rimarrà comunque visibile, e che quindi la domanda non è solo «come mi proteggono le difese perimetrali», ma «cosa succede quando qualcuno, nonostante tutto, è già dentro?»