L’AI porta il cyberconflitto a velocità macchina, Microsoft fotografa il nuovo fronte digitale

(Adnkronos) –
Il Microsoft Digital Defense Report 2026, pubblicato a ottobre, fotografa una minaccia informatica globale in profonda trasformazione, spinta dall’intelligenza artificiale e dall’interconnessione sempre più stretta tra identità digitali, servizi cloud, software e infrastrutture critiche. Il cambiamento più rilevante riguarda la velocità: secondo Microsoft, l’AI sta comprimendo parti della catena d’attacco da giorni a pochi secondi, rendendo più accessibili capacità che fino a poco tempo fa richiedevano competenze specialistiche, tempo e risorse considerevoli.  Secondo i dati raccolti nel report, oltre il 63% delle intrusioni osservate sfocia nel furto diretto di dati sensibili, mentre il tempo medio necessario agli attaccanti per individuare e compromettere workload cloud esposti si è ridotto a circa 5,3 ore. Nonostante l’evoluzione tecnologica, i punti d’ingresso restano in larga parte quelli tradizionali: esecuzione inconsapevole da parte degli utenti, abuso di credenziali valide, social engineering e phishing continuano a costituire la porta principale delle violazioni. Microsoft ha inoltre rilevato oltre 46 milioni di attacchi basati sull’impersonificazione di contatti aziendali nell’arco di dodici mesi. 
La vera discontinuità arriva però dall’intelligenza artificiale. Gli strumenti generativi vengono impiegati per automatizzare la ricognizione, individuare vulnerabilità, personalizzare campagne di phishing, sviluppare malware e analizzare rapidamente le informazioni sottratte. Negli ultimi sei mesi Microsoft ha osservato un passaggio progressivo dall’AI utilizzata come semplice assistente dell’attaccante a sistemi capaci di dirigere parti dell’operazione e, in alcuni casi, orchestrare autonomamente sequenze complesse. Ciò non significa che gli attacchi completamente autonomi siano già la norma: le intrusioni più sofisticate continuano a richiedere un intervento umano significativo. Ma il costo operativo dell’attacco si sta abbassando e la sua velocità cresce.  
Le operazioni sponsorizzate da Cina, Russia, Iran e Corea del Nord mostrano, pur con obiettivi differenti, una crescente attenzione al controllo delle identità digitali, delle infrastrutture cloud e delle relazioni di fiducia che collegano organizzazioni, fornitori e piattaforme, estendendo così la geografia del rischio ben oltre i tradizionali confini delle reti aziendali. L’obiettivo non è necessariamente produrre un danno immediato: sempre più spesso consiste nel conquistare e mantenere nel tempo un accesso invisibile a sistemi di alto valore, creando una posizione utilizzabile per spionaggio, raccolta di intelligence, influenza o eventuali operazioni distruttive. Microsoft descrive questo modello come una tendenza comune verso forme di accesso più persistenti, scalabili e strategicamente allineate agli interessi degli Stati.  La Cina mantiene un forte orientamento verso lo spionaggio politico, tecnologico e industriale, con particolare attenzione all’Indo-Pacifico e ai Paesi occidentali mentre la Russia continua a concentrare una parte significativa delle proprie operazioni sull’Ucraina e sui Paesi che la sostengono, integrando lo strumento cyber nel più ampio confronto strategico. L’Iran combina operazioni informatiche, raccolta di intelligence e attività di influenza, soprattutto nei confronti di Israele e Stati Uniti. La Corea del Nord, infine, associa l’attività di intelligence alla necessità di generare risorse economiche, utilizzando anche tecniche legate alle supply chain, alle criptovalute e all’infiltrazione di personale IT. Il dato probabilmente più significativo è che la sicurezza digitale non riguarda più soltanto le aziende tecnologiche. Nel 2026 agenzie e servizi governativi rappresentano il 27% dell’attività cyber ostile osservata da Microsoft, risultando il settore maggiormente colpito. Nelle infrastrutture critiche, inoltre, il 78% delle tecniche d’attacco rilevate ha coinvolto l’abuso di identità cloud. Energia, trasporti, comunicazioni, sanità, ricerca e pubbliche amministrazioni diventano così parti dello stesso spazio operativo digitale.     Nel periodo compreso tra luglio 2025 e giugno 2026 Microsoft ha osservato 25 eventi riconducibili ad attività cyber di attori statali, collocando l'Italia tra quelli europei maggiormente interessati da questo tipo di operazioni. Nel più ampio quadro delle minacce informatiche, l’Italia risulta inoltre quinta in Europa e quattordicesima a livello mondiale tra i Paesi in cui i clienti Microsoft sono stati colpiti più frequentemente.  Nei dati di Microsoft Threat Intelligence, le organizzazioni italiane rilevate come vittime di attacchi ransomware sono passate da 48 a 135, con una crescita del 181% rispetto all’anno precedente. L’Italia compare inoltre tra i mercati esposti alla compravendita di credenziali compromesse e di accessi iniziali alle reti aziendali da parte degli Initial Access Broker, soggetti che trasformano l’accesso abusivo ai sistemi in una vera merce da rivendere ad altri gruppi criminali.  Microsoft indica la necessità di autenticazioni resistenti al phishing, privilegi ridotti, controllo continuo delle identità, maggiore visibilità sugli asset esposti e correlazione in tempo reale dei segnali provenienti da endpoint, reti, applicazioni e cloud. Anche la difesa, come l’attacco, si sta progressivamente spostando verso sistemi assistiti da agenti di intelligenza artificiale capaci di individuare e contenere le minacce a velocità macchina.  
Parallelamente sta cambiando anche la governance internazionale. Nel 2026 ha iniziato i propri lavori il Global Mechanism delle Nazioni Unite sulle tecnologie dell’informazione e della comunicazione nel contesto della sicurezza internazionale, una struttura permanente dedicata alle minacce ICT, alle norme di comportamento responsabile degli Stati, al diritto internazionale e alla costruzione di capacità comuni. La nascita del nuovo meccanismo permanente delle Nazioni Unite, la cui efficacia dipenderà inevitabilmente dalla collaborazione tra gli Stati, segnala quanto il dominio cyber sia ormai entrato stabilmente nell’architettura della sicurezza internazionale.  Il quadro che emerge dal Digital Defense Report è quindi più ampio di una semplice escalation della criminalità informatica: la cybersecurity non è più soltanto protezione dei dati, ma una componente strutturale della continuità operativa delle imprese, della resilienza delle infrastrutture e, sempre più chiaramente, della sicurezza nazionale. 
—tecnologiawebinfo@adnkronos.com (Web Info)