Quando le credenziali non bastano più: il ruolo della device trust nell’era AI

La sicurezza delle identità digitali sta affrontando una fase critica. I segnali di fiducia tradizionali utilizzati per valutare la legittimità di un accesso—come password, risposte MFA, reputazione IP, geolocalizzazione e caratteristiche del browser—sono sempre più facili da rubare, imitare o aggirare da parte degli attaccanti. L’intelligenza artificiale non introduce nuove tipologie di attacco, ma rende le tecniche esistenti più rapide ed efficienti. Inoltre, l’uso di indirizzi IP rotanti e profili browser usa e getta rende difficile distinguere tra accessi leciti e malevoli. In questo scenario in rapida evoluzione, le organizzazioni devono adottare strategie Zero Trust efficaci, capaci di bloccare anche i login apparentemente legittimi provenienti da infrastrutture controllate dagli attaccanti. Qui entra in gioco la device trust: le credenziali valide non bastano più senza il contesto del dispositivo autorizzato.

L’industrializzazione degli attacchi di account takeover

L’AI non ha creato una nuova classe di attacchi per il furto di account, ma ha reso più semplice e veloce l’esecuzione di tecniche note come phishing, furto di credenziali, abuso di MFA, hijacking di sessione e ingegneria sociale. Oggi, i criminali possono inviare migliaia di email di phishing credibili con poco sforzo. Se serve un messaggio più personalizzato, l’AI raccoglie informazioni pubbliche online per costruire profili dettagliati delle vittime e adattare i messaggi al loro contesto lavorativo. Ad esempio, un dipendente finance può ricevere una richiesta da un falso fornitore, mentre un amministratore IT viene contattato per un presunto problema di accesso cloud. L’AI non gestisce autonomamente l’intera intrusione: la scelta dei bersagli, la gestione dell’infrastruttura e le azioni successive restano in mano umana. Il vero cambiamento è che l’AI riduce il lavoro manuale tra la raccolta delle informazioni e l’azione, abbassando i costi della personalizzazione e permettendo di colpire più account ad alto valore.

Dove i segnali di fiducia tradizionali non bastano più

Le piattaforme di gestione delle identità combinano diversi segnali per valutare la fiducia di un login. Tuttavia, gli attaccanti sanno sempre meglio come rubare, imitare o bypassare questi controlli.

Credenziali: Nonostante la crescita delle soluzioni passwordless, le credenziali restano centrali nella maggior parte dei flussi di autenticazione. Il phishing e i malware infostealer sono spesso il primo passo per il furto di account, così come il riutilizzo di credenziali da precedenti violazioni. Un caso recente ha visto il canale Twitch di IGN compromesso tramite credenziali Restream.io rubate e rimaste nei dump di infostealer per un mese. Questo evidenzia l’importanza di monitorare le credenziali esposte, ad esempio con strumenti come Specops Password Auditor, che analizza Active Directory per individuare password compromesse e vulnerabilità correlate.

MFA: L’autenticazione a più fattori migliora la sicurezza, ma la sua efficacia dipende dal metodo e dal contesto. I codici OTP possono essere intercettati tramite phishing, le notifiche push abusate con richieste ripetute o ingegneria sociale, e il phishing “adversary-in-the-middle” può inoltrare in tempo reale credenziali e risposte MFA al servizio legittimo. Inoltre, il furto dei cookie di sessione può permettere di aggirare del tutto la verifica MFA.

Indirizzo IP e geolocalizzazione: La reputazione IP aiuta a identificare connessioni da infrastrutture malevole, mentre la geolocalizzazione segnala attività da regioni inattese. Tuttavia, gli attaccanti possono usare proxy residenziali, reti mobili o sistemi compromessi, scegliendo nodi di uscita vicini alla vittima per rendere l’accesso plausibile. Anche le attività legittime, come il lavoro da remoto o tramite VPN aziendale, possono generare localizzazioni insolite, aumentando i falsi positivi e il carico di supporto. Le linee guida Zero Trust di NIST (SP 800-207) sottolineano che non si deve mai concedere fiducia implicita solo sulla base della posizione fisica o di rete, trattando autenticazione utente e dispositivo come funzioni distinte da eseguire prima dell’accesso alle risorse aziendali.

Device trust: un nuovo livello di sicurezza

La maggior parte dei controlli d’identità si basa ancora su credenziali che possono essere utilizzate ovunque. Per questo, è necessario estendere le decisioni di fiducia oltre i segnali tradizionali. Soluzioni come Specops Device Trust riducono la possibilità che un attaccante simuli un accesso legittimo, limitando il rischio di account takeover grazie a:

• Associazione dell’accesso all’hardware autorizzato: Le organizzazioni possono registrare e limitare i dispositivi fidati, applicando policy diverse a dispositivi aziendali, personali o di terzi. Un accesso da dispositivo sconosciuto deve essere considerato un cambiamento di rischio significativo, e l’accesso non dovrebbe essere concesso solo perché credenziali e MFA sono corretti.
• Valutazione continua di utente e dispositivo: Un login riuscito non deve garantire fiducia permanente per tutta la sessione. L’accesso deve dipendere sia dall’identità dell’utente sia dallo stato di sicurezza del dispositivo. Se la postura del dispositivo cambia (ad esempio, protezione endpoint disattivata o non conformità), il livello di accesso deve essere adeguato.
• Applicazione proporzionata al rischio: Le policy di device posture non devono bloccare ogni anomalia. In base all’applicazione e alla gravità, si possono ridurre i privilegi o concedere un periodo di tolleranza per la correzione. Un aggiornamento mancante non va trattato come una protezione endpoint disattivata o un device rootato.
• Facilità di ripristino della fiducia per l’utente: Se l’accesso dipende dalla salute del dispositivo, gli utenti devono poter risolvere i problemi in autonomia, riducendo le interruzioni e mantenendo gli standard di sicurezza richiesti.

Come difendersi dagli attacchi AI-enabled

Con l’AI che accelera e personalizza i tentativi di furto d’account, le aziende devono adottare soluzioni che rendano inefficaci questi attacchi. Anche se identificare ogni login malevolo solo tramite segnali di rete è difficile, è possibile rendere le credenziali inutili senza il contesto del dispositivo autorizzato. L’integrazione della device trust nelle decisioni di accesso rappresenta oggi una delle strategie più efficaci per rafforzare la sicurezza delle identità digitali.

Articolo sponsorizzato e redatto da Specops Software.