Intruder's 2026 Cloud Security Index shatters the myth of universal cloud risk, exposing how AWS, Azure and Google Cloud each harbor distinct misconfiguration patterns that undermine security in radically different ways.
Cloud security teams who trust in a single checklist are playing with fire. The latest data from Intruder's 2026 Cloud Security Index reveals a brutal truth: the most common misconfigurations on AWS, Azure and Google Cloud barely overlap, and the consequences for organizations are anything but theoretical.
One misstep in identity management can topple even the most hardened cloud estate. Intruder's analysis of 3,000 organizations shows that weak IAM controls are the one constant, plaguing 80% to 98% of accounts across all providers. Yet the real divergence emerges elsewhere: AWS accounts are seven times more likely than Google Cloud to expose services, and permissive firewalls are rampant on AWS but far less common on Azure or Google Cloud. Encryption weaknesses and misconfigured services follow their own unpredictable patterns, with Azure leading in the latter at a staggering 80%.
Le differenze tra AWS Azure e Google Cloud
Intruder classifica le configurazioni errate in sei categorie: gestione identità debole, logging assente, servizi mal configurati, firewall troppo permissivi, servizi esposti e crittografia debole. I numeri sono impietosi: il 76% degli account AWS espone servizi, contro appena l'8% su Google Cloud. I firewall permissivi colpiscono l'83% degli account AWS, il 45% su Azure e il 34% su Google Cloud. La crittografia debole è un problema per il 49% degli account AWS, il 35% su Azure e solo l'8% su Google Cloud. Azure invece primeggia per servizi mal configurati (80%), mentre Google Cloud resta il più "pulito" in quasi tutte le categorie, complice una gamma di servizi più ristretta e default di sicurezza più stringenti.
La complessità di AWS, con la sua offerta sterminata di servizi, moltiplica le occasioni di errore. Google Cloud, invece, limita la superficie d'attacco grazie a un modello Shared Fate che impone controlli di rete e crittografia più restrittivi già di default.
Le configurazioni più rischiose per ogni piattaforma
Su AWS, il tallone d'Achille è S3: l'87% degli account non impone l'uso di HTTPS, lasciando aperta la porta a intercettazioni. Il rischio si estende a policy IAM troppo permissive (83%) e firewall configurati in modo eccessivamente aperto. Un singolo errore può bastare: in un caso recente, un attaccante ha ottenuto privilegi amministrativi in meno di dieci minuti sfruttando credenziali esposte.
Azure si distingue per la gestione superficiale degli Storage Account: il 67% non ruota le chiavi, il 66% lascia attive le access key e il 61% consente l'accesso da rete pubblica. Più della metà degli account ha utenti Entra senza MFA, un errore che ha già favorito attacchi come quello di Midnight Blizzard contro Microsoft nel 2024.
Google Cloud concentra i rischi sull'identità: il 77% degli account non abilita MFA su OS Login, il 76% non attiva OS Login e il 75% mantiene account di servizio inutilizzati. Anche qui, un singolo account troppo permissivo può spalancare la porta a compromissioni.
Dimensione aziendale e velocità di risposta
Le grandi aziende sembrano più attente su firewall, servizi esposti e crittografia, ma la gestione delle identità resta il punto debole universale: il 98% delle imprese oltre i 10.000 dipendenti ha almeno un problema IAM. Le PMI non sono immuni, ma sono le organizzazioni di fascia media (251-10.000 dipendenti) a impiegare più tempo per correggere le falle: 35 giorni in media, contro 8-16 delle piccole e 10 delle grandi. Un segnale che la complessità cloud cresce più in fretta delle risorse disponibili.
Implicazioni operative e priorità per i team di sicurezza
Per chi gestisce ambienti multi-cloud, la vera sfida è capire dove concentrare gli sforzi: ogni piattaforma ha i suoi punti deboli e nessuna checklist universale può coprire tutto. Serve una valutazione trasversale che tenga conto delle specificità di ciascun provider, senza perdere di vista i dettagli tecnici necessari per intervenire davvero.
La realtà è che la sicurezza cloud non si gioca su una lista di controllo, ma sulla capacità di leggere i dati e adattare le strategie. Chi si affida a ricette preconfezionate rischia di ignorare le vere priorità e di lasciare varchi aperti proprio dove pensa di essere protetto. Il caso dei moduli Terraform infetti riportato di recente dimostra che basta una configurazione sbagliata per compromettere intere infrastrutture, a prescindere dal provider scelto.
Chi guida la sicurezza IT deve abbandonare l'illusione di una coperta corta e imparare a distinguere tra rischi reali e rischi percepiti. I dati di Intruder sono inequivocabili: la postura di sicurezza cloud è una questione di dettagli, non di slogan. Solo chi investe nella comprensione profonda delle piattaforme può davvero ridurre la superficie d'attacco e rispondere con efficacia alle minacce che cambiano da un provider all'altro.
