L'AI è ora una superficie completa di cyberattacco

Introduzione

Microsoft afferma che l’AI non è più solo uno strumento di produttività per gli attaccanti: sta diventando parte integrante dell’intero ciclo di vita dell’attacco. Questo cambiamento è importante perché le organizzazioni si trovano ora ad affrontare attacchi più rapidi da lanciare, più facili da affinare e più efficaci su larga scala, soprattutto nel phishing e nella compromissione delle identità.

Cosa c’è di nuovo

L’ultima analisi sulla sicurezza di Microsoft evidenzia diverse tendenze importanti:

• L’AI è integrata, non emergente: gli attori delle minacce utilizzano l’AI nella ricognizione, nella creazione di malware, nel phishing, nella persistenza e nelle attività post-compromissione.
• Il phishing sta diventando molto più efficace: Microsoft segnala che le campagne di phishing assistite dall’AI possono raggiungere tassi di clic del 54%, rispetto a circa il 12% delle campagne tradizionali.
• L’identità resta il bersaglio principale: gli attaccanti combinano esche sofisticate generate dall’AI con infrastrutture adversary-in-the-middle progettate per aggirare MFA.
• Il cybercrime si sta industrializzando: Microsoft ha indicato Tycoon2FA, collegato a Storm-1747, come una piattaforma di phishing in abbonamento che supportava il bypass di MFA su scala enorme.
• L’interruzione resta fondamentale: la Digital Crimes Unit di Microsoft ha recentemente sequestrato 330 domini legati a Tycoon2FA in coordinamento con Europol e partner del settore.

Perché questo è importante per gli amministratori IT

Il messaggio principale per i team di sicurezza è che l’AI sta migliorando la precisione degli attaccanti, non solo il volume. Una localizzazione migliore, messaggi più credibili, impersonificazione in stile deepfake e iterazioni più rapide del malware riducono tutti il tempo tra la selezione del bersaglio e la compromissione riuscita.

Per gli amministratori, questo aumenta il rischio relativo a:

• Email phishing e business email compromise
• Bypass di MFA e furto di token di sessione
• Sviluppo di malware assistito dall’AI
• Scarsa visibilità su agent software e strumenti abilitati all’AI
• Movimento laterale post-compromissione e triage dei dati

Microsoft avverte inoltre che l’ecosistema degli agent e la supply chain del software diventeranno una superficie di attacco importante. Le organizzazioni che non dispongono di un inventario chiaro di app, agent e identità distribuiti potrebbero avere difficoltà a rilevare rapidamente gli abusi.

Prossimi passaggi consigliati

Gli amministratori della sicurezza e di Microsoft 365 dovrebbero considerare le seguenti azioni:

1. Rivalutare le difese contro il phishing con una protezione email più solida, segnalazione da parte degli utenti e programmi di simulazione.
2. Rafforzare le protezioni dell’identità riesaminando la resilienza di MFA, la protezione dei token, Conditional Access e i criteri di rischio di accesso.
3. Migliorare l’inventario di asset e agent affinché i team di sicurezza sappiano quali software, automazioni e servizi connessi all’AI sono distribuiti.
4. Dare priorità a rilevamento e risposta per il dirottamento di sessione, gli accessi anomali e i comportamenti post-compromissione.
5. Utilizzare threat intelligence integrata da Microsoft Defender e dagli strumenti di sicurezza correlati per monitorare l’evoluzione delle tattiche degli attaccanti.

In sintesi

Il messaggio di Microsoft è chiaro: l’AI sta cambiando l’economia del cybercrime rendendo le tattiche avanzate più economiche, più rapide e più facili da scalare. Per i leader IT e della sicurezza, la risposta deve concentrarsi sulla sicurezza dell’identità, su una migliore visibilità e su un rilevamento più rapido per tenere il passo con le minacce potenziate dall’AI.