Come avviene l’accesso iniziale in un attacco informatico

In un attacco informatico l’accesso iniziale è il momento in cui l’attaccante riesce a ottenere il primo punto d’appoggio — il cosiddetto foothold — su un’identità, un dispositivo, un servizio esposto o una rete aziendale. Non coincide necessariamente con l’esecuzione di malware: in molti casi è sufficiente entrare con un account valido, sfruttare una VPN esposta o compromettere una relazione di fiducia con un fornitore.

Nel framework MITRE ATT&CK Enterprise questa fase è classificata come tattica TA0001, Initial Access. Il suo perimetro è preciso: descrive i vettori utilizzati per entrare nell’ambiente target. Persistenza, escalation di privilegi, movimento laterale, raccolta dati ed esfiltrazione appartengono invece a fasi successive dell’attacco.

Questa distinzione è importante anche dal punto di vista difensivo: se l’organizzazione sa quali vie d’ingresso sono realmente esposte, può applicare controlli mirati prima che una compromissione iniziale si trasformi in un incidente esteso.

Riferimento tecnico: MITRE ATT&CK – Initial Access, TA0001

Che cosa significa “Initial Access” in MITRE ATT&CK

MITRE ATT&CK organizza il comportamento degli avversari in tattiche e tecniche. “Initial Access” non indica quindi un singolo exploit, ma l’obiettivo operativo di entrare nell’ambiente della vittima. Lo stesso risultato può essere ottenuto attraverso canali completamente diversi: una mail di phishing, un account cloud rubato, una vulnerabilità su un’applicazione Internet-facing, un servizio remoto esposto o una supply chain compromessa.

Per il contesto generale sul framework, vedi MITRE ATT&CK: cos’è e come funziona. Questa pagina, invece, rimane focalizzata esclusivamente sulla tattica TA0001 e sui controlli che riducono la probabilità di compromissione iniziale.

Le 11 tecniche MITRE ATT&CK per l’accesso iniziale

La matrice Enterprise TA0001 comprende oggi undici tecniche. Non tutte hanno la stessa frequenza in ogni organizzazione, ma insieme descrivono una superficie di ingresso molto più ampia del solo phishing.

1. Phishing: l’accesso parte dall’utente, ma non finisce nella mail

Il phishing resta uno dei vettori di accesso iniziale più rilevanti perché permette di aggirare il perimetro tecnico sfruttando un’interazione legittima dell’utente. Un messaggio può portare al furto di credenziali, all’esecuzione di un allegato, all’apertura di un link malevolo o alla concessione di accesso tramite un servizio terzo. MITRE distingue anche il vishing tra le sotto-tecniche di spearphishing, confermando che la fase di accesso iniziale non è confinata alla posta elettronica.

Per l’analisi completa delle varianti, dei segnali e delle contromisure, usare la pagina dedicata: guida completa al phishing.

2. Valid Accounts: quando l’attaccante entra senza “bucare” nulla

Un accesso può essere tecnicamente valido e allo stesso tempo malevolo. Se l’attaccante possiede username, password, token o sessioni utilizzabili, può autenticarsi tramite portali cloud, VPN, webmail, servizi remoti o applicazioni aziendali senza sfruttare una vulnerabilità software. È uno scenario particolarmente insidioso perché l’attività iniziale può assomigliare a quella di un utente legittimo.

La difesa richiede MFA resistente al phishing dove possibile, Conditional Access, controllo delle identità privilegiate, analisi del rischio di accesso e riduzione degli account inutilizzati. Approfondimento: Identity Security per ambienti ibridi.

3. External Remote Services: VPN, RDP e accessi remoti esposti

VPN, gateway di accesso remoto, RDP, VDI e altri servizi pubblicati sono indispensabili in molti ambienti, ma diventano un vettore di Initial Access se esposti con autenticazione debole, software vulnerabile, configurazioni obsolete o credenziali compromesse. Il rischio non è il protocollo in sé: è la combinazione tra esposizione, identità e livello di hardening.

Per un caso verticale su RDP: proteggere l’accesso RDP da attacchi ransomware.

4. Exploit di applicazioni pubbliche: colpire ciò che deve rimanere raggiungibile

Web application, portali, appliance, VPN concentrator, API e servizi Internet-facing possono offrire un accesso iniziale quando presentano vulnerabilità note, zero-day, configurazioni errate o componenti non aggiornati. Qui la prevenzione dipende soprattutto da asset inventory, patch management, vulnerability management, hardening e riduzione della superficie pubblicata.

Per validare la reale sfruttabilità di una debolezza esposta, il contenuto corretto da collegare è il servizio di Penetration Test per aziende.

5. Supply Chain e Trusted Relationship: entrare attraverso qualcuno di cui ti fidi

Un’organizzazione può essere compromessa senza essere il primo bersaglio. Software, dipendenze, aggiornamenti, dispositivi, fornitori IT, partner, MSP e account B2B possono diventare la strada verso il target finale. Questi scenari rendono insufficiente una difesa limitata al perimetro interno: servono controllo delle terze parti, privilegi minimi, segmentazione, verifica degli accessi esterni e monitoraggio delle relazioni di fiducia.

6. Drive-by, Content Injection, Wi-Fi e supporti rimovibili

Gli altri vettori di TA0001 mostrano quanto l’accesso iniziale possa avvenire fuori dai percorsi più evidenti. Una navigazione web può portare a una compromissione drive-by; un canale di rete manipolato può veicolare contenuti malevoli; una rete Wi-Fi può fornire prossimità e accesso; un supporto rimovibile può introdurre codice anche in ambienti isolati. La superficie d’attacco deve quindi essere valutata per identità, endpoint, rete, applicazioni, canali fisici e supply chain, non per singolo prodotto di sicurezza.

Accesso iniziale non significa ancora compromissione completa

Ottenere il primo accesso è solo l’inizio della catena operativa. Da quel punto l’attaccante può tentare persistence, privilege escalation, credential access, discovery e lateral movement. È proprio questa separazione a evitare confusione tra i contenuti: questa pagina deve spiegare “come si entra”; la guida ransomware deve spiegare la catena e l’impatto del ransomware; il penetration test deve spiegare la simulazione autorizzata dell’attacco; le pagine di endpoint e identity security devono spiegare le tecnologie di protezione.

Per vedere come l’accesso iniziale può evolvere in un incidente ransomware, approfondisci come funziona un attacco ransomware.