Negli ultimi anni i confini tra infrastrutture on-premise e servizi cloud si sono fatti sempre più sfumati. Questa trasformazione ha portato enormi vantaggi in termini di efficienza e scalabilità, ma ha anche ampliato in modo significativo il perimetro d’attacco a disposizione dei cybercriminali.
Analizzare attacchi informatici recenti come quelli che hanno colpito MGM Resorts, Storm-0501 e le piattaforme Drift/Salesloft permette di capire quanto una singola identità compromessa possa generare effetti a catena, impattando un’intera infrastruttura ibrida.
Caso Studio 1 – MGM Resorts (2023): il fattore umano come ponte verso il cloud
Uno dei casi più eclatanti tra gli attacchi informatici recenti è quello di MGM Resorts, orchestrato dal gruppo Scattered Spider affiliato a ALPHV/BlackCat. Questo incidente ha evidenziato quanto il fattore umano possa diventare il vettore principale per infiltrazioni sofisticate.
L'attacco è iniziato con una tecnica apparentemente semplice ma devastante: gli attaccanti hanno contattato l'help-desk interno di MGM Resorts spacciandosi per dipendenti legittimi. Sfruttando tecniche di ingegneria sociale avanzata e informazioni raccolte attraverso OSINT (Open Source Intelligence), sono riusciti a convincere il personale del supporto tecnico a resettare l'autenticazione multi-fattore (MFA) su account critici gestiti attraverso Okta, la piattaforma di Identity and Access Management (IAM) utilizzata dall'azienda.
Dinamica dell’attacco MGM Resorts
- Compromissione dell’help-desk e reset MFA su Okta
Gli aggressori hanno contattato l’help-desk fingendosi dipendenti, utilizzando tecniche avanzate di OSINT per ottenere il reset dell’autenticazione multi-fattore. - Escalation dei privilegi e accesso cloud
Una volta ottenute credenziali amministrative, l’accesso si è esteso a Microsoft Azure e AWS, aprendo la strada al movimento laterale. - Infiltrazione SaaS e infrastruttura on-premise
Applicazioni business critiche e hypervisor VMware ESXi sono stati compromessi, cifrando oltre 100 server con ransomware.
L'impatto è stato devastante: oltre 100 server ESXi sono stati cifrati attraverso ransomware, causando blackout operativi in numerosi resort e casinò di Las Vegas. Le conseguenze economiche hanno superato i 100 milioni di dollari tra interruzione delle attività, perdita di revenue e costi di ripristino.
Insight strategico -> Questo incidente ha rivelato una vulnerabilità fondamentale nelle organizzazioni moderne, ovvero la "catena di fiducia umana" (human trust chain). Il personale dell'help-desk, per sua natura orientato all'assistenza e alla risoluzione rapida dei problemi, può involontariamente trasformarsi nel vettore d'attacco ideale. Gli attaccanti hanno compreso che non era necessario violare tecnologie avanzate: bastava manipolare la componente umana per scavalcare ogni difesa tecnica e ottenere accesso privilegiato che attraversava senza ostacoli i confini tra IT tradizionale, cloud pubblico e applicazioni SaaS.
Caso Studio 2 – Storm-0501 (2024-2025): ransomware evoluto nell’era ibrida
Un altro esempio paradigmatico tra gli attacchi informatici recenti è Storm‑0501. Questo gruppo ha dimostrato come le credenziali on-premise possano servire da ponte verso il cloud, sfruttando la sincronizzazione tra Active Directory e Microsoft Entra ID.
Anatomia tecnica dell’attacco Storm‑0501
Gli attaccanti hanno dimostrato una profonda comprensione delle architetture ibride enterprise, sfruttando specificamente i meccanismi di sincronizzazione delle identità:
Timeline dell'attacco:
- Compromissione dei Domain Controller
Accesso iniziale tramite credential theft o vulnerabilità note. - Manipolazione dei server Microsoft Entra Connect
Controllo delle identità sincronizzate tra on-premise e cloud. - Escalation a Global Admin
Controllo completo del tenant cloud sfruttando configurazioni permissive. - Backdoor SAML persistenti
Certificati personalizzati garantivano accesso anche dopo revoca delle credenziali. - Cancellazione dei backup cloud
Azure Backup e snapshot di VM eliminati per impedire ripristini. - Deployment ransomware direttamente dal cloud
Uso di Azure Automation e strumenti di gestione remota.
Insight strategico -> Questo caso ha cristallizzato un principio fondamentale della sicurezza ibrida moderna: le credenziali on-premise hanno valore equivalente nel cloud. La distinzione tradizionale tra datacenter fisico e Software-as-a-Service non costituisce una barriera di sicurezza, ma rappresenta invece un ponte bidirezionale che gli attaccanti possono attraversare in entrambe le direzioni. La sincronizzazione delle identità, se non adeguatamente protetta e monitorata, trasforma ogni vulnerabilità on-premise in un potenziale accesso cloud, e viceversa.
Caso Studio 3 – Supply chain SaaS: Drift / Salesloft (2024)
Un terzo esempio tra gli attacchi informatici recenti ha interessato l’ecosistema SaaS. Compromettendo fornitori terzi, gli attaccanti hanno rubato token OAuth, ottenendo accesso a Salesforce di molte aziende.
Questo incidente rappresenta un esempio paradigmatico di movimento laterale cross-vendor o supply chain attack nel mondo SaaS, dove la compromissione di un singolo fornitore di servizi crea un effetto cascata verso decine o centinaia di aziende che si affidano a quell'integrazione.
Come si è sviluppato l’attacco Drift/Salesloft
Sequenza degli eventi:
- Compromissione del vendor
Violazione dei sistemi di piattaforme di sales automation come Drift e Salesloft. - Furto massivo di token OAuth
Accesso delegato ai dati Salesforce dei clienti. - Accesso non autorizzato agli ambienti Salesforce
Bypass dei sistemi di autenticazione interna. - Esfiltrazione di dati sensibili
Pipeline commerciali, contratti e dati personali soggetti a GDPR/CCPA.
Insight strategico -> Questo attacco mette in evidenza una vulnerabilità sistemica dell'ecosistema SaaS moderno: la fiducia transitiva tra fornitori può trasformarsi in un'arma contro le stesse organizzazioni che la sfruttano per ottenere efficienza operativa e integrazione dei servizi. Ogni connessione OAuth, ogni integrazione API, ogni servizio terzo che si collega ai vostri sistemi core rappresenta non solo una funzionalità aggiuntiva, ma anche una superficie di attacco estesa. La sicurezza della vostra organizzazione dipende non solo dalle vostre difese, ma anche da quelle del fornitore più debole nella vostra catena di trust.
Lezioni strategiche per la sicurezza delle identità ibride
Questi tre casi studio, analizzati nel loro complesso, rivelano un cambiamento fondamentale nel panorama delle minacce cyber: l'identità digitale è diventata il nuovo perimetro da proteggere, sostituendo il concetto tradizionale di network perimeter che ha dominato la sicurezza informatica per decenni.
Raccomandazioni operative per la sicurezza delle identità ibride
- Implementare la segmentazione delle identità tra ambienti on-premise e cloud
Non tutti gli account devono sincronizzarsi automaticamente. Adottate un approccio "least privilege" anche per la sincronizzazione delle identità: identificate quali utenti e gruppi necessitano effettivamente di accesso sia on-premise che cloud, e create identità separate per gli amministratori che operano esclusivamente in un ambiente o nell'altro. Considerate l'implementazione di Privileged Access Workstations (PAW) dedicate per l'amministrazione cloud, completamente separate dall'infrastruttura on-premise.
- Adottare MFA resistente al phishing su tutti gli account privilegiati
L'MFA tradizionale basato su SMS o applicazioni authenticator può essere compromessa attraverso tecniche come phishing, man-in-the-middle o SIM swapping. Implementate soluzioni di autenticazione resistenti al phishing come FIDO2, WebAuthn, passkey o Windows Hello for Business, che utilizzano crittografia a chiave pubblica e sono immuni agli attacchi di phishing tradizionali. Rendete obbligatorio questo tipo di MFA almeno per tutti gli account con privilegi amministrativi, sia on-premise che cloud.
- Monitorare continuamente la catena di fiducia tra servizi di identità
Stabilite visibilità e monitoraggio costante sui componenti critici della vostra infrastruttura di identità: server Microsoft Entra Connect, appliance Okta, AD FS (Active Directory Federation Services), controller di dominio, e tutte le applicazioni SaaS connesse. Implementate alerting in tempo reale per attività anomale come modifiche ai ruoli amministrativi, creazione di service principal, configurazione di nuove applicazioni OAuth, o modifiche alle regole di sincronizzazione.
- Governare rigorosamente i token OAuth e le applicazioni connesse
Eseguite audit periodici di tutte le applicazioni che hanno ottenuto consenso OAuth nei vostri ambienti Microsoft 365, Google Workspace, Salesforce e altri sistemi SaaS. Revocate regolarmente i token associati ad applicazioni non più utilizzate, non riconosciute o che richiedono permessi eccessivi rispetto alla loro funzione dichiarata. Implementate policy di Conditional Access che limitano quali applicazioni possono essere autorizzate e da quali utenti.
- Implementare una piattaforma di visibilità centralizzata per rilevare anomalie
Adottate soluzioni SIEM (Security Information and Event Management) moderne e specializzate nella sicurezza delle identità ibride, come Microsoft Sentinel (con i connettori dedicati per Entra ID, Active Directory, applicazioni SaaS), Silverfort (specializzato nel monitoraggio delle autenticazioni ibride), o ManageEngine Log360. Configurate use case di detection specifici per movimento laterale, privilege escalation, autenticazioni anomale geograficamente o temporalmente, e tentativi di accesso dopo modifiche a MFA.
- Formare e testare continuamente il personale
Il caso MGM ha dimostrato quanto sia critico il fattore umano. Implementate programmi di Security Awareness Training continui, focalizzati specificamente su social engineering, pretexting e vishing (voice phishing). Eseguite simulazioni periodiche di attacchi di social engineering verso help-desk e personale IT, misurando e migliorando la capacità di resistenza a questi tentativi.
Conclusione: identità digitale come campo di battaglia
Gli attacchi informatici recenti – da MGM Resorts a Storm-0501 fino alla compromissione della supply chain SaaS – mostrano con chiarezza che la sicurezza delle identità è oggi il punto più critico. Ogni integrazione, ogni utente e ogni device rappresenta un potenziale vettore di attacco. Una protezione efficace passa ormai da segmentazione, MFA avanzata, monitoraggio continuo e governance rigorosa delle identità.
La difesa moderna non si fonda più soltanto su patch puntuali o firewall evoluti, pur restando componenti importanti. La vera resilienza nasce dalla comprensione delle relazioni complesse tra utenti, dispositivi, directory on-premise, servizi cloud, applicazioni SaaS e fornitori terzi: l’intero ecosistema di identità che sostiene l’operatività quotidiana.
Ogni identità è un possibile punto d’ingresso. Ogni relazione di fiducia può trasformarsi in un percorso sfruttabile per il movimento laterale. Ogni integrazione tra sistemi genera efficienza, ma al tempo stesso amplia la superficie d’attacco.
Le organizzazioni che riusciranno a proteggere in modo efficace le proprie identità – adottando segmentazione, MFA resistente al phishing, monitoraggio continuo e una governance rigorosa degli accessi – saranno quelle meglio posizionate per resistere alle minacce cyber avanzate di oggi e di domani.
Proteggi le identità della tua azienda con Nexsys
In uno scenario in cui gli attaccanti sfruttano le identità come principale vettore di compromissione, Nexsys è il partner strategico per costruire una difesa solida negli ambienti ibridi e cloud delle aziende italiane.
I nostri servizi specializzati in Identity Security
Hardening di Active Directory e Microsoft Entra ID
Analisi approfondita della tua infrastruttura di identità, implementazione di configurazioni Tier 0, segmentazione degli account privilegiati e applicazione delle best practice Microsoft per proteggere le tue identità più critiche.
Formazione Avanzata: Corso AD Attack & Defense
Percorsi formativi hands-on che insegnano ai tuoi team IT come pensano gli attaccanti e quali difese sono realmente efficaci. Laboratori pratici con simulazioni di attacchi reali, tecniche di lateral movement e strategie di detection & response.
Progetti MFA e Accesso Passwordless
Implementazione di soluzioni di autenticazione moderna (FIDO2, Passkey, Windows Hello for Business) e policy di Conditional Access per eliminare le password dai flussi critici e proteggere gli account da phishing e credential theft.
SIEM e Monitoraggio Centralizzato
Progettazione e deployment di piattaforme SOC basate su Microsoft Sentinel, ManageEngine Log360 e Silverfort, con use case personalizzati per rilevare anomalie, movimento laterale e privilege escalation in tempo reale.
Security Assessment e Gap Analysis
Valutazione completa del tuo livello di esposizione, identificazione di trust relationship a rischio, verifica della compliance (NIS2, GDPR) e roadmap operativa per colmare i gap di sicurezza.