Minacce interne: tipi, rilevamento e prevenzione

Che cosa sono le minacce interne?

Le minacce interne sono rischi per la sicurezza creati da persone che hanno già accesso autorizzato ai sistemi, ai dati o alle reti di un'organizzazione e che li usano, ne abusano o li espongono accidentalmente causando danni. Può trattarsi di un dipendente attuale, un ex dipendente le cui credenziali non sono mai state revocate, un collaboratore esterno o un fornitore.

Nel 2023, Tesla ha comunicato alle autorità del Maine che il comportamento illecito di persone interne aveva esposto i dati personali di 75.735 dipendenti ed ex dipendenti. La sua indagine ha individuato due ex dipendenti che li avevano trasmessi a un organo di stampa. Se gestite un SOC, questa è la categoria di minacce che i vostri strumenti di sicurezza perimetrale non sono stati progettati per rilevare.

Il rapporto tra minacce interne e cybersecurity

Le attività interne sfuggono ai controlli perimetrali perché sono autenticate, autorizzate e difficili da distinguere dalle normali attività lavorative a livello di rete. Firewall, filtri email e controlli ai margini della rete presuppongono che un aggressore debba prima ottenere l'accesso. La definizione di CISA delle minacce interne si applica a chiunque usi un accesso autorizzato, consapevolmente o meno, per compromettere la riservatezza, l'integrità o la disponibilità. Include quindi collaboratori esterni, fornitori e partner, oltre ai dipendenti.

3 tipi di minacce interne

Gli insider malevoli, negligenti e compromessi hanno ciascuno intenzioni, comportamenti distintivi e controlli specifici. Classificare correttamente un incidente rivela quale controllo ha fallito.

1. Minacce interne malevole

Un insider malevolo usa deliberatamente l'accesso autorizzato contro l'organizzazione per esfiltrare dati, vendere accessi o danneggiare sistemi. Di solito lo spingono il guadagno economico, il risentimento dopo una valutazione o un licenziamento oppure il reclutamento esterno. Questi insider tendono ad agire lentamente e a restare entro le autorizzazioni assegnate, quindi i soli log di accesso raramente bastano a dimostrare l'accaduto.Edward Snowden, che nel 2013 ha divulgato informazioni riservate della National Security Agency (NSA).

2. Minacce interne dovute a negligenza

Gli insider negligenti causano danni senza volerlo, ignorando una policy che già conoscono o commettendo un errore sotto pressione. CISA distingue la negligenza dagli incidenti come due forme di minaccia interna non intenzionale. Lo schema è familiare: un link di phishing cliccato in un'email convincente, uno storage bucket lasciato aperto per consegnare il lavoro in tempo, un'unità di memoria dimenticata in un taxi.

3. Minacce interne tramite account compromessi

Implementare controlli di accesso – Limitare l'accesso ai dati sensibili in base al principio del privilegio minimo. Utilizzare l'autenticazione a due fattori, il controllo degli accessi basato sui ruoli e altri meccanismi di controllo degli accessi.

Monitorare e controllare l'attività degli utenti – Implementare soluzioni di registrazione e monitoraggio per rilevare comportamenti anomali e identificare potenziali minacce interne.

Applicare le politiche di sicurezza – Disporre di politiche di sicurezza chiare e applicarle rigorosamente.

Un insider compromesso è un utente legittimo le cui credenziali o il cui dispositivo sono ora sotto il controllo di un aggressore esterno. In genere, l'utente non ne ha idea. Ogni azione dell'aggressore viene autenticata correttamente e sfrutta le autorizzazioni reali dell'utente. L'aggressore segue un tipico schema di attacco informatico dall'interno di una sessione attendibile, quindi la verifica delle credenziali non rileva anomalie.

Esempi di minacce interne

Procedimenti penali federali e testimonianze davanti al Congresso degli ultimi due anni hanno reso pubblici esempi di minacce interne sufficientemente dettagliati da mostrare quale controllo ha fallito e quando.

Inoltre, le minacce interne stanno diventando sempre più diffuse e sofisticate, rendendo difficile per le organizzazioni stare al passo. Secondo il rapporto 2023 Insider Threat di Gurucul, nel 2022 si è registrato un aumento significativo degli attacchi interni, con il 74% delle organizzazioni che riferisce che gli attacchi sono diventati più frequenti (un aumento del 6% rispetto all'anno scorso), il 60% che ha subito almeno un attacco e il 25% che ha subito più di sei attacchi.
• Un account compromesso presso Change Healthcare, 2024. Gli aggressori hanno effettuato l'accesso a un portale remoto con le credenziali legittime di un dipendente, poi si sono mossi nei sistemi interni per nove giorni prima di distribuire ransomware. Il chief executive di UnitedHealth ha confermato, nella testimonianza davanti alla Commissione Finanze del Senato, che il portale non disponeva di MFA.
• Insider che non sono mai stati davvero assunti, 2025. Operativi all'estero hanno usato identità americane rubate per ottenere impieghi IT da remoto presso più di 100 aziende statunitensi. Una volta entrati in organico, hanno avuto accesso al codice sorgente e a dati della difesa soggetti a controlli sulle esportazioni. Il Dipartimento di Giustizia ha annunciato incriminazioni in tutto il Paese nel giugno 2025.

La negligenza genera pochi procedimenti giudiziari. È poco rappresentata nella giurisprudenza, ma ricorre spesso negli incidenti reali. In ciascuno dei casi descritti, gli investigatori hanno ricostruito la sequenza degli eventi dopo il danno. Il rilevamento delle minacce interne serve a ridurre questo ritardo.

Principali indicatori delle minacce interne

Condurre regolarmente corsi di formazione sulla sicurezza – Una formazione regolare sulla sicurezza può aiutare i dipendenti a comprendere i rischi delle minacce interne e come evitarli. I dipendenti dovrebbero essere formati sulle migliori pratiche per la gestione delle password, gli attacchi di ingegneria sociale e su come segnalare attività sospette.

Monitorare le attività dei dipendenti – Il monitoraggio delle attività dei dipendenti è fondamentale per individuare e prevenire le minacce interne. Ciò può includere il monitoraggio delle e-mail dei dipendenti, dei trasferimenti di file e dell'attività di rete. Tuttavia, le organizzazioni devono trovare un equilibrio tra la necessità di monitoraggio e i diritti alla privacy dei dipendenti e i requisiti legali.

Implementare controlli di accesso – I controlli di accesso possono aiutare a limitare l'esposizione dei dati e dei sistemi sensibili agli insider. Le organizzazioni dovrebbero implementare controlli di accesso basati sui ruoli, garantendo che i dipendenti abbiano accesso solo ai dati e ai sistemi necessari per svolgere le loro mansioni lavorative. I controlli di accesso dovrebbero inoltre essere regolarmente rivisti e aggiornati per rimanere efficaci.

Utilizzare software XDR e anti-malware – XDR (Extended Detection and Response) è una tecnologia di sicurezza di nuova generazione che fornisce rilevamento e risposta alle minacce in tempo reale su più vettori, inclusi endpoint, reti e ambienti cloud. Il software anti-malware può aiutare a rilevare e impedire l'installazione di software dannoso sui dispositivi dei dipendenti. Con XDR, le aziende possono identificare accessi e comportamenti anomali degli utenti, consentendo il rilevamento di tali tentativi.

Effettuare controlli sui precedenti – Le organizzazioni dovrebbero effettuare controlli approfonditi sui precedenti dei dipendenti, degli appaltatori e dei partner terzi prima di concedere loro l'accesso a dati e sistemi sensibili. I controlli dei precedenti possono aiutare a identificare potenziali minacce interne, come individui con precedenti di furto o frode.

Implementare procedure di risposta agli incidenti – Le organizzazioni dovrebbero disporre di procedure di risposta agli incidenti per reagire in modo rapido ed efficace alle minacce interne. Tali procedure dovrebbero includere misure per la segnalazione e l'indagine degli incidenti, l'identificazione della causa principale dell'incidente e l'attuazione di azioni correttive per prevenire il verificarsi di incidenti simili in futuro.

Una minaccia interna può emergere quando i vostri sistemi vengono compromessi. Notate accessi a orari insoliti e un aumento dell'utilizzo dei dati sui dispositivi. Ecco alcuni modi per individuare gli indicatori di minacce interne:

Conclusione
• Individuate le sessioni di accesso remoto - Monitorate l'attività di hardware e software, come TeamViewer, usati a scopi malevoli. Controllate anche la presenza di server fisici, come i dispositivi Synology.
• Modifiche alle password  - Se le vostre password cambiano troppo spesso o quelle precedenti smettono improvvisamente di funzionare, potrebbe essere in corso un attacco interno. Verificate chi ha diritti di accesso, con quali privilegi e a quali risorse.
• Modifiche non autorizzate ad antivirus e firewall - Se cambiano le impostazioni dell'antivirus e del firewall, potrebbe trattarsi di un attacco interno.  Se rilevate nuovo malware, indagatene subito l'origine e fermatelo prima che la situazione peggiori.
• Tentativi di accesso eccessivi  - Se rilevate troppi tentativi di accesso ad aree sensibili della vostra rete, qualcuno potrebbe cercare di esfiltrare dati all'esterno dell'organizzazione. Esaminate i tentativi e indagate sull'attività di chi li ha effettuati.

Esempi reali di minacce interne

Diversi casi di minacce interne di grande rilievo hanno fatto notizia negli ultimi anni. Per esempio, la violazione dei dati di Equifax nel 2017 è stata causata da un insider che ha sfruttato una vulnerabilità nell'applicazione web dell'azienda per rubare i dati sensibili di 143 milioni di clienti. Un altro esempio è il caso di Edward Snowden, che nel 2013 ha divulgato informazioni classificate della National Security Agency (NSA).

Prevenire le minacce interne

Prevenire le minacce interne richiede un approccio multilivello che coinvolga persone, processi e tecnologia. Ecco alcune misure pratiche che le organizzazioni possono adottare per proteggersi:

• Formate i dipendenti – Offrite regolarmente formazione sulla sicurezza a dipendenti, collaboratori esterni e fornitori terzi.
• Implementate controlli degli accessi – Limitate l'accesso ai dati sensibili in base al principio del privilegio minimo. Usate l'autenticazione a due fattori, il controllo degli accessi basato sui ruoli e altri meccanismi di controllo degli accessi.
• Monitorate e verificate l'attività degli utenti – Implementate strumenti di registrazione e monitoraggio per rilevare comportamenti anomali e identificare potenziali minacce interne.
• Applicate le policy di sicurezza – Definite policy di sicurezza chiare e applicatele con rigore.

Come fermare le minacce interne

Potete adottare altre misure per prevenire gli attacchi interni. Ecco come ridurre ulteriormente il rischio di minacce interne:

• Usate strumenti UEBA - Gli strumenti di sicurezza che monitorano il comportamento degli utenti e delle entità possono definire profili di riferimento per l'attività dei dipendenti. Generano automaticamente avvisi per comportamenti anomali, come trasferimenti di dati non autorizzati, accessi fuori orario e download insoliti di file.
• Applicate l'autenticazione a più fattori - Non limitatevi a uno o due fattori di autenticazione. Combinate riconoscimento facciale, codici OTP, dati biometrici e altri metodi per impedire l'uso di account compromessi.
• Effettuate controlli regolari sui dipendenti - Che siano appena arrivati, in servizio o in procinto di lasciare l'azienda, rendete questi controlli obbligatori e regolari. Definite anche un programma completo per gestire l'uscita dei dipendenti dall'azienda. Effettuate verifiche periodiche e separate le responsabilità per ridurre il rischio di frodi nell'organizzazione.

Perché le minacce interne sono rilevanti?

Le minacce interne possono essere particolarmente dannose per le organizzazioni perché chi opera al loro interno ha già accesso a dati e sistemi sensibili. Non deve quindi aggirare i controlli di sicurezza per causare danni. Per questo, tali minacce sono più difficili da rilevare e prevenire.

Inoltre, chi opera all'interno può danneggiare gravemente la reputazione, la stabilità finanziaria e la posizione legale di un'organizzazione. Per esempio, il furto di proprietà intellettuale o di informazioni sensibili sui clienti può comprometterne reputazione e credibilità. L'interruzione delle attività di rete può causare perdite finanziarie significative e compromettere la capacità di fornire servizi ai clienti.

Le minacce interne sono inoltre sempre più diffuse e sofisticate, e per le organizzazioni è difficile tenere il passo. Secondo il report Insider Threat 2023 di Gurucul, nel 2022 gli attacchi interni sono aumentati significativamente: il 74% delle organizzazioni segnala attacchi più frequenti (il 6% in più rispetto all'anno precedente), il 60% ha subito almeno un attacco e il 25% ne ha subiti più di sei.

Come proteggersi dalle minacce interne

Per proteggere la vostra organizzazione dagli attacchi interni, dovete conoscere il rischio che affrontate. Seguite queste indicazioni per concentrare gli interventi su risorse, persone e strumenti:

Proteggete le risorse critiche

Iniziate identificando ciò che conta di più. Individuate i sistemi chiave, i dati sensibili, i luoghi fisici e il personale. Classificate queste risorse per importanza. Poi applicate le misure di sicurezza più forti a quelle con la priorità più alta. Così le vostre risorse più preziose ricevono la massima protezione.

Definite un modello del comportamento normale

Per individuare le anomalie, dovete sapere qual è il comportamento normale. Usate software per monitorare le attività degli utenti e dei dispositivi. Raccogliete dati dai log di accesso, dalle connessioni VPN e dai sistemi di autenticazione. Definite un modello del comportamento abituale per ogni utente e ruolo professionale. Questo riferimento vi permette di segnalare rapidamente anomalie, come il download di file di grandi dimensioni in orari insoliti, per esaminarle.

Aumentate la visibilità

Implementate strumenti di monitoraggio che osservino le azioni degli utenti e colleghino i dati di diverse fonti. Potete usare tecnologie di deception, per esempio predisponendo trappole per chi agisce con intenti malevoli dall'interno. Queste trappole possono rivelarne metodi e obiettivi. Integrate queste informazioni negli altri sistemi di sicurezza per bloccare gli attacchi.

Fate rispettare le policy

Definite le vostre regole di sicurezza. Documentatele e condividetele con tutti. Dipendenti, collaboratori e partner devono sapere quali comportamenti sono accettabili. Eliminate ogni ambiguità. Chiarite che non è consentito condividere informazioni riservate senza autorizzazione.

Promuovete un cambiamento culturale

È meglio bloccare una minaccia che rilevarla. Scoraggiate i comportamenti dannosi prima che si verifichino. Costruite una cultura in cui la sicurezza sia una responsabilità condivisa. La formazione regolare è importante. Misurate anche la soddisfazione dei dipendenti per cogliere i primi segnali di malcontento che potrebbero generare rischi.

Come affrontare il rischio delle minacce interne

1. Sviluppate un programma completo contro le minacce interne – Per affrontare le minacce interne, le organizzazioni dovrebbero sviluppare un programma completo che comprenda policy, procedure e tecnologie. Il programma dovrebbe coprire tutti gli aspetti del rischio interno, tra cui il monitoraggio dei dipendenti, il controllo degli accessi e la risposta agli incidenti.
2. Organizzate regolarmente corsi di sensibilizzazione sulla sicurezza – La formazione regolare sulla sicurezza può far comprendere ai dipendenti i rischi delle minacce interne e come evitarli. I dipendenti dovrebbero apprendere le migliori pratiche per la gestione delle password, gli attacchi di ingegneria sociale e le modalità di segnalazione delle attività sospette.
3. Monitorate le attività dei dipendenti – Monitorare le attività dei dipendenti è fondamentale per rilevare e prevenire le minacce interne. Il monitoraggio può riguardare le email, i trasferimenti di file e le attività di rete dei dipendenti. Le organizzazioni devono però conciliare la necessità di monitoraggio con il diritto alla privacy dei dipendenti e gli obblighi di legge.
4. Implementate controlli degli accessi – I controlli degli accessi possono limitare l'esposizione di dati e sistemi sensibili alle persone interne. Le organizzazioni dovrebbero implementare controlli degli accessi basati sui ruoli, affinché i dipendenti accedano solo ai dati e ai sistemi necessari per svolgere le proprie mansioni. I controlli degli accessi dovrebbero inoltre essere riesaminati e aggiornati regolarmente per mantenerne l'efficacia.
5. Usate XDR e software anti-malware – XDR (rilevamento e risposta estesi) è una tecnologia di sicurezza di nuova generazione che offre rilevamento e risposta alle minacce in tempo reale su più vettori, tra cui endpoint, reti e ambienti cloud. I software anti-malware possono rilevare e impedire l'installazione di software dannosi sui dispositivi dei dipendenti. Con XDR, le aziende possono individuare accessi e comportamenti anomali degli utenti e rilevare questi attemp.ts
6. Effettuate verifiche dei precedenti– Le organizzazioni dovrebbero verificare accuratamente i precedenti di dipendenti, collaboratori e partner esterni prima di concedere loro l'accesso a dati e sistemi sensibili. Queste verifiche possono individuare potenziali minacce interne, per esempio persone con precedenti di furto o frode.
7. Implementate procedure di risposta agli incidenti – Le organizzazioni dovrebbero disporre di procedure di risposta agli incidenti per reagire rapidamente ed efficacemente alle minacce interne. Queste procedure dovrebbero prevedere la segnalazione e l'indagine degli incidenti, l'individuazione della causa principale e l'attuazione di misure correttive per prevenire incidenti simili in futuro.

Ottenere informazioni più approfondite sulle minacce

Scoprite come il servizio di caccia alle minacce WatchTower di SentinelOne può far emergere maggiori informazioni e aiutarvi a superare gli attacchi.

Per saperne di più

Conclusioni

Le minacce interne rappresentano un rischio significativo e crescente per le organizzazioni di ogni dimensione e settore. Chi accede ai dati e ai sistemi sensibili di un'organizzazione dall'interno può causare danni gravi, intenzionalmente o meno. Dato il potenziale impatto delle minacce interne, le organizzazioni devono adottare misure per ridurre questo rischio.

È fondamentale un programma completo che comprenda policy, procedure e tecnologie per rilevare e prevenire le minacce interne. Le organizzazioni dovrebbero inoltre organizzare regolarmente corsi di sensibilizzazione sulla sicurezza, monitorare le attività dei dipendenti, implementare controlli degli accessi, usare tecnologie di crittografia e DLP, verificare i precedenti e adottare procedure di risposta agli incidenti.

Con queste misure, le organizzazioni possono ridurre il rischio delle minacce interne e proteggere dati sensibili, sistemi e reputazione. Ricordate: la difesa migliore contro le minacce interne è un approccio proattivo e completo che coinvolga tutti i livelli dell'organizzazione, dalla dirigenza ai dipendenti in prima linea.