Il concetto di “perimetro aziendale” inteso come un muro invalicabile che separa l’interno sicuro dall’esterno ostile è ormai superato. Con l’adozione massiva del cloud e la stabilizzazione del lavoro ibrido, la superficie di attacco delle aziende si è espansa ben oltre le mura degli uffici.
Fino a qualche anno fa, le aziende potevano contare sulla cosiddetta “oscurità difensiva”: un dispositivo di rete obsoleto ed esposto su Internet aveva buone probabilità di passare inosservato. Oggi, tutto ciò non è più possibile; l’Intelligenza Artificiale e l’automazione permettono agli attaccanti di scansionare l’intero spazio IP globale in poche ore, eliminando qualsiasi possibilità di nascondersi.
Come evidenziato dalle ultime analisi globali sulle minacce, gli avversari hanno compreso questa vulnerabilità strutturale e hanno riposizionato il loro mirino. Non cercano più di penetrare attraverso complessi strati interni, ma colpiscono direttamente i dispositivi che dovrebbero fare da scudo: i dispositivi Edge, come i concentratori VPN e i firewall. Questo fenomeno, noto come “Collasso del Perimetro” (Edge Decay), rappresenta uno dei macro-trend più critici che i dipartimenti IT devono fronteggiare per garantire la continuità aziendale.
I dati del panorama globale delle minacce confermano un cambiamento drastico nelle tattiche iniziali di accesso:
- Lo sfruttamento delle vulnerabilità come vettore di accesso iniziale per le violazioni ha raggiunto il 20%, registrando un impressionante aumento del 34% nel 2026 rispetto all’anno precedente.
- L’attenzione degli hacker verso i dispositivi Edge e le VPN ha subito una crescita esponenziale, aumentando di quasi otto volte: questi dispositivi rappresentano ora il 22% degli obiettivi negli attacchi basati sullo sfruttamento di vulnerabilità (contro il 3% dell’anno precedente).
I numeri della crisi: una corsa contro il tempo
Il tempo è il peggior nemico per chi difende il perimetro. I dati recenti mostrano uno squilibrio allarmante tra la velocità degli attaccanti e la lentezza della remediation aziendale:
- Sfruttamento “Zero-Day” fulmineo: se il tempo mediano impiegato dagli hacker per sfruttare una vulnerabilità nota (catalogo CISA KEV) è di 5 giorni, per i dispositivi Edge questo tempo scende a zero giorni. In oltre la metà dei casi, l’exploit viene usato in massa lo stesso giorno (o prima) della sua pubblicazione ufficiale.
- Remediation Gap: le aziende impiegano in media 32 giorni per rimediare a una falla su un dispositivo Edge, lasciando la rete indifesa contro attacchi automatizzati per un mese intero.
- Dispositivi dimenticati: solo il 54% delle vulnerabilità Edge viene completamente risolto. Un preoccupante 30% rimane totalmente senza patch, spesso a causa di dispositivi obsoleti o esclusi dai cicli di manutenzione.
Perché allora gli hacker prendono di mira Firewall e VPN?
Ci sono motivi tattici e strutturali molto precisi per cui gli attaccanti prendono di mira proprio gli apparati di rete aziendali:
- Il punto cieco degli EDR (Fantasmi Legacy): molte appliance eseguono sistemi operativi proprietari (es. FreeBSD) su cui è impossibile installare i moderni sistemi di sicurezza (EDR) usati sui PC. Questo trasforma firewall e gateway in ponti non monitorati, dove gli hacker operano senza far scattare allarmi.
- Le “Teste di ponte” (Beachheads): un firewall compromesso diventa un host non protetto dentro la rete aziendale. Da qui, l’hacker può lanciare attacchi interni, installare webshell o creare backdoor (come osservato, ad esempio, nella campagna ShadowPad).
- La creazione di reti “invisibili” (ORB): gli attori state-sponsored (spesso legati alla Cina) convertono router e firewall infetti in reti di inoltro operative (ORB – Operational Relay Box). Usano i dispositivi aziendali per far rimbalzare il loro traffico malevolo, nascondendo l’origine degli attacchi e rendendo l’attribuzione quasi impossibile.
- Hardware unpatchable e assenza di MFA: molti dispositivi legacy non supportano funzionalità moderne come il Secure Boot. In campagne come ArcaneDoor, gli hacker hanno installato malware a livello firmware capace di sopravvivere ai riavvii. Inoltre, le vecchie VPN cadono facilmente vittima di attacchi brute-force per la semplice mancanza dell’Autenticazione a Più Fattori (MFA).
Come mettere in sicurezza il perimetro (prima che crolli)
Affidarsi esclusivamente alla solidità teorica dei dispositivi esposti su Internet è oggi una strategia perdente. Trattare l’infrastruttura Edge come una superficie d’attacco primaria è vitale.
Ecco le azioni operative prioritarie:
- Patching critico o ritiro dell’hardware (End-of-Life): poiché il tempo di sfruttamento è pari a zero, gli aggiornamenti Edge devono avere priorità assoluta per azzerare quei 32 giorni di ritardo. Se un dispositivo è obsoleto e non supporta protezioni come il Secure Boot, non è rattoppabile: va sostituito.
- Applica la Micro-segmentazione e logiche Zero Trust: nega agli apparati Edge l’accesso diretto al cuore della rete (es. Domain Controller). Non fidarti ciecamente del traffico in arrivo da una VPN aziendale, ma monitora il comportamento post-connessione.
- Centralizza i log: non potendo installare un EDR sul firewall, invia tutti i suoi log a un sistema SIEM centralizzato per individuare anomalie o interruzioni sospette che indicano una manomissione.
- MFA Obbligatoria ovunque: tratta qualsiasi VPN o interfaccia di gestione remota priva di MFA come una vulnerabilità critica e non esporre mai le interfacce di management direttamente sull’Internet pubblico.
Il tuo perimetro aziendale sta cedendo?
Di fronte a minacce automatizzate che colpiscono nell’istante in cui vengono scoperte, la gestione manuale e le difese obsolete non bastano più. Un vecchio dispositivo “dimenticato” può rappresentare un punto cieco fatale.
👉 Parla con un esperto Nubee per una mappatura completa della tua superficie di attacco esposta. Scopri come possiamo affiancarti in un check-up della tua sicurezza IT, implementando architetture Zero Trust e bloccando le intrusioni prima che varchino il tuo perimetro aziendale.