Non tutte le compromissioni iniziano da una vulnerabilità zero-day o da un attacco tecnicamente sofisticato. Molti incidenti partono da un’azione normale eseguita nel contesto sbagliato: aprire un link, approvare una richiesta MFA, installare un programma non verificato, usare un dispositivo non gestito o rimandare un aggiornamento di sicurezza.
Il punto non è attribuire la responsabilità all’utente, ma riconoscere che il fattore umano fa parte della superficie di attacco. Le difese più efficaci combinano tecnologia, policy e comportamenti verificabili. In questo articolo analizziamo otto errori ricorrenti che possono aumentare il rischio cyber in azienda e le contromisure essenziali per ridurlo.
Formazione utenti
Vuoi ridurre in modo strutturato il rischio legato al fattore umano? Il percorso Nexsys insegna agli utenti a riconoscere phishing, social engineering, richieste anomale, rischi su credenziali e dispositivi.
Perché il fattore umano resta una superficie di attacco
Il threat landscape recente conferma che gli attaccanti continuano a privilegiare percorsi semplici e scalabili: phishing e social engineering, credenziali sottratte, software malevolo distribuito tramite siti o pubblicità, sistemi non aggiornati e servizi esposti. L’intelligenza artificiale aumenta la velocità e la qualità di alcune campagne, ma non elimina la centralità delle decisioni dell’utente.
Per questo la domanda corretta non è “come evitare ogni errore”, ma “come rendere un singolo errore meno probabile e meno dannoso”. Formazione, MFA resistente al phishing, gestione centralizzata dei dispositivi, patching, EDR/XDR, backup e processi di incident response devono lavorare insieme.
Gli 8 errori di sicurezza informatica più rischiosi per gli utenti aziendali
1. Fidarsi di email, QR code o messaggi costruiti per sembrare legittimi
Il phishing non arriva più soltanto come email scritta male. Può presentarsi come una notifica Microsoft 365, un documento condiviso, un QR code, un SMS, un messaggio Teams, una richiesta del management o una comunicazione apparentemente inviata da un fornitore reale. L’obiettivo può essere rubare credenziali, ottenere un pagamento, convincere l’utente ad autorizzare un accesso o avviare l’installazione di malware.
Prima di agire su richieste urgenti o insolite, è utile verificare mittente, dominio, URL, contesto e canale alternativo di conferma. Per una trattazione specifica consulta la guida Nexsys su phishing e security awareness.
2. Riutilizzare password o approvare richieste MFA senza verificarle
Una password riutilizzata trasforma la compromissione di un singolo servizio in un possibile accesso ad altri account. La misura corretta non è cambiare password a intervalli arbitrari, ma usare credenziali lunghe e uniche, un password manager affidabile, MFA e, quando possibile, metodi phishing-resistant come passkey/FIDO2.
Anche l’MFA non va trattata come un pulsante da approvare automaticamente. MFA fatigue, adversary-in-the-middle e device code phishing cercano proprio di convincere l’utente a validare una sessione o un accesso non richiesto.
Approfondimenti: password sicure secondo NIST e rischi e bypass della MFA.
3. Usare reti e connessioni non affidabili senza le protezioni previste
Il rischio non dipende solo dal fatto che una rete Wi-Fi sia pubblica o aperta. Conta l’intero contesto: dispositivo aggiornato, cifratura del traffico, configurazione del firewall, condivisioni attive, VPN aziendale quando prevista e capacità di verificare che la rete a cui ci si collega sia quella corretta.
Su dispositivi aziendali è opportuno evitare reti sconosciute quando esistono alternative più controllabili, disattivare condivisioni non necessarie e utilizzare hotspot o VPN secondo le policy interne. Il principio è ridurre la fiducia implicita nella rete, non considerare ogni Wi-Fi pubblico automaticamente compromesso.
4. Accedere ai dati aziendali da dispositivi personali o non gestiti
Il BYOD può essere compatibile con una strategia aziendale, ma solo se governato. Un dispositivo personale senza cifratura, inventario, patch, protezione endpoint o possibilità di separare dati personali e aziendali aumenta il rischio di perdita dati e accessi non controllati.
La risposta organizzativa è definire chiaramente quali dispositivi possono accedere a quali risorse e applicare controlli MDM/UEM, compliance e accesso condizionale. Nexsys tratta questi scenari nella pagina Endpoint Management e UEM.
5. Rimandare aggiornamenti di sistema operativo e applicazioni
Gli aggiornamenti non introducono solo nuove funzioni: correggono vulnerabilità note che gli attaccanti possono integrare rapidamente nelle proprie campagne. Rimandare patch e riavvii per periodi indefiniti aumenta la finestra in cui un endpoint resta esposto.
In azienda il patching non dovrebbe dipendere esclusivamente dalla scelta del singolo utente. Servono policy, finestre di manutenzione, reporting e gestione delle eccezioni. L’utente deve sapere perché un riavvio o un aggiornamento viene richiesto e quali comportamenti sono ammessi per posticiparlo.
6. Installare software, estensioni o contenuti da fonti non verificate
Malvertising, siti compromessi, falsi installer, estensioni browser e risultati manipolati sui motori di ricerca possono distribuire malware e infostealer. Questi ultimi sono particolarmente pericolosi perché puntano a credenziali, cookie di sessione, token e dati memorizzati nei browser, che possono poi essere rivenduti o riutilizzati per accessi successivi.
La regola operativa è semplice: software e componenti devono arrivare da fonti autorizzate e, quando possibile, essere distribuiti centralmente. Per il contesto tecnico consulta malware: come funzionano e come difendersi.
7. Lasciare dispositivi sbloccati, sessioni aperte o credenziali accessibili
La sicurezza fisica e quella digitale si sovrappongono. Un notebook sbloccato, una sessione browser aperta, credenziali salvate senza protezione o un dispositivo condiviso con persone non autorizzate possono aggirare controlli che sulla carta sono corretti.
Blocco automatico dello schermo, cifratura del disco, autenticazione forte, account separati e procedure per smarrimento o furto riducono l’impatto. Lo stesso principio vale per smartphone e tablet che accedono a posta, Teams, file cloud e applicazioni aziendali.
8. Sottovalutare insider threat, privilegi e account non più necessari
L’insider threat non coincide soltanto con il dipendente intenzionalmente malevolo. Include anche errori, accessi eccessivi, account di ex collaboratori non disabilitati, condivisioni rimaste attive, fornitori con privilegi non più giustificati e dati accessibili a più persone del necessario.
La contromisura è applicare least privilege, revisioni periodiche degli accessi, offboarding tempestivo, segregazione dei ruoli e logging. In questo modo un errore o un abuso resta circoscritto e produce meno impatto.
Come ridurre il rischio umano senza affidarsi solo alla formazione
La formazione è necessaria, ma non deve essere l’unico controllo. Un programma maturo combina quattro livelli: comportamenti, identità, dispositivi e capacità di risposta.
- Comportamenti: formazione periodica, esempi contestualizzati, procedure semplici di segnalazione e simulazioni controllate.
- Identità: password manager, MFA resistente al phishing, Conditional Access, privilegi minimi e revisione degli account.
- Endpoint: gestione centralizzata, patching, cifratura, EDR/XDR e controllo delle applicazioni.
- Risposta: canale per segnalare rapidamente eventi sospetti, triage, contenimento e incident response.
Per progettare il programma complessivo senza confonderlo con il singolo corso, consulta la pagina cybersecurity awareness.
Misurare il comportamento
La formazione può essere verificata con campagne simulate che misurano clic, inserimento credenziali e capacità di segnalazione senza esporre dati reali