Il Blue Report 2026 di Picus Labs mostra che l'efficacia della prevenzione è salita al 69%, ma molte varianti silenziose degli attacchi continuano a eludere i controlli. Il report sottolinea l'urgenza di testare i comportamenti, non solo le firme, per una sicurezza realmente efficace.
Un punteggio di prevenzione indica ciò che un controllo riconosce, ma non sempre ciò che riesce effettivamente a bloccare. Il Blue Report 2026 di Picus Labs, giunto alla quarta edizione, analizza le performance reali di prevenzione e rilevamento nelle aziende, basandosi su oltre 338 milioni di simulazioni di attacco condotte in ambienti di produzione tra gennaio e giugno 2026. Il dato principale è positivo: l'efficacia della prevenzione è risalita dal 62% al 69%, tornando ai livelli del 2024. Tuttavia, questa media nasconde vulnerabilità profonde: i controlli che fermano gli attacchi noti spesso lasciano passare varianti più silenziose della stessa tecnica, soprattutto se nessuno ha mai testato queste versioni meno evidenti.
La differenza la fa la riconoscibilità del metodo dell'attaccante e la presenza di test specifici sulle varianti più subdole, non il prodotto in sé.
Test basati su IOC e TTP: due approcci, due risultati
La tenuta di una difesa dipende dalla domanda che le si pone. I test basati su IOC (Indicatori di Compromissione) verificano se un controllo riconosce minacce note: malware diffusi vengono inviati come tentativi di download e i controlli perimetrali - firewall, proxy web, gateway email - li bloccano o meno. Questo approccio è adatto per il perimetro, dove fermare contenuti noti è la funzione principale.
I test comportamentali, basati su TTP (Tattiche, Tecniche e Procedure), chiedono invece se il controllo blocca l'azione, indipendentemente dal percorso. Non si tratta di "intercetti Mimikatz?", ma di "un processo può ottenere credenziali su questa macchina?". Qui entrano in gioco endpoint e sistemi di rilevamento intrusioni, perché spesso l'attaccante è già in esecuzione. Gli artefatti si modificano facilmente, il comportamento molto meno.
Entrambi i test sono necessari, anche se spesso si scontrano con la resistenza dei responsabili finanziari. Purtroppo, anche il perimetro mostra segni di cedimento: il tasso di prevenzione IOC per i download di malware è sceso al 50% (dal 60% del 2025 e dal 71% del 2024). E un buon punteggio qui non dice nulla su ciò che accade a livello comportamentale, come dimostra il caso Mimikatz.
La prevenzione basata su firma perde 21 punti in due anni
I controlli bloccano la versione dell'attacco che conoscono. Se la stessa azione viene eseguita in modo più discreto, può passare inosservata, mentre i test precedenti danno esito positivo. Il Blue Report 2026 invita a verificare cosa blocca davvero il proprio stack, testando il comportamento e non solo la procedura.
Mimikatz: cambiare tecnica fa crollare la prevenzione dal 94% al 3%
Con Picus Autonomous Penetration Testing, le aziende hanno testato Mimikatz su tre modalità di estrazione delle credenziali. I risultati sono stati sorprendenti:
- Estrazione da memoria LSASS (il percorso più noto e signatured): bloccata nel 94% dei casi.
- Estrazione di credenziali RDP da altre aree di memoria: solo il 17% bloccato.
- Lettura dei LSA Secrets dal registro locale: appena il 3% bloccato.
Tutte e tre le tecniche rientrano nella stessa categoria MITRE ATT&CK (OS Credential Dumping T1003) e portano allo stesso risultato: l'attaccante ottiene le credenziali. L'unica differenza è la visibilità del percorso. La via LSASS è rumorosa e facilmente riconoscibile, mentre la lettura dei LSA Secrets dal registro è quasi indistinguibile da normali attività privilegiate. Anche quel 94% è meno solido di quanto sembri: basta rinominare le stringhe, ricompilare il tool o usare utility Microsoft legittime per aggirare la firma.
All'interno dell'ambiente, la prevenzione scende al 37%
Mimikatz è solo un esempio: la stessa dinamica si ripete su tutto il fronte interno. Il tasso di prevenzione complessivo del 69% misura la tenuta al perimetro, ma i test di penetrazione autonomi mostrano che, una volta dentro come "utente autenticato", solo il 37% delle azioni post-compromissione viene bloccato. Il perimetro ferma due attacchi su tre; all'interno, si scende a uno su tre.
Le azioni rumorose vengono intercettate: il movimento laterale è scoperto nel 90% dei casi, l'aggiramento dell'UAC nell'85%, il riutilizzo delle credenziali e l'abuso di Active Directory nel 63%. Ma per le azioni silenziose la situazione precipita: la lettura passiva di credenziali da memoria e registro è bloccata solo nel 22% dei casi, con l'estrazione dei segreti dal registro locale sotto l'1%. Le attività di discovery e raccolta dati sono fermate solo nel 10% dei casi: strumenti come SharpHound e la raccolta di file locali agiscono quasi indisturbati. Dove manca un indicatore a cui agganciarsi, l'attaccante avanza senza ostacoli.
Come colmare il divario: testare il comportamento, non solo la firma
È fondamentale eseguire entrambi i tipi di test e interpretare correttamente i risultati. I test su minacce note sono la base per i controlli perimetrali, ma non dicono nulla su ciò che accade all'interno. La validazione comportamentale, invece, spetta a endpoint, EDR, IDS e SIEM: bisogna testare ogni percorso di accesso alle credenziali, non solo quello più famoso. Limitarsi alla procedura più nota rischia di chiudere un falso allarme, lasciando aperta la porta agli attaccanti.
Automatizzare questi test è essenziale: Picus Swarm permette di orchestrare le varianti comportamentali degli attacchi e verificarle contro i controlli esistenti, dimostrando la copertura reale basata sul comportamento e non solo sulla firma.
La buona notizia? Non serve aggiungere nuovi prodotti, ma conoscere quali controlli già in uso possono davvero interrompere la catena d'attacco, così da poter decidere consapevolmente se correggere, mitigare, monitorare o accettare il rischio con prove concrete.
Per approfondire: vulnerabilità e attacchi in evoluzione
Questi risultati sono solo una parte del Blue Report 2026, che offre anche dati su performance per settore e area geografica, vulnerabilità più sfruttate (molte fermate in meno del 25% dei casi), gruppi di minaccia e ransomware più efficaci e i motivi dietro un tasso di log del 58% e di alert del 14%. Il tema della difesa contro attacchi sofisticati è centrale anche in altri casi recenti, come dimostra l'analisi sulle falle critiche in SAP Commerce Cloud già sfruttate dagli attaccanti.
Scarica il Blue Report 2026 per scoprire come si è posizionato il tuo settore e dove concentrare gli sforzi di difesa.
