L’evoluzione della superficie di attacco aziendale è oggi definita dall’interconnessione capillare tra sistemi IT tradizionali, dispositivi IoT e infrastrutture operative ibride. L’ultima edizione del Device Security Threat Report 2025 di Palo Alto Networks conferma un quadro in cui la proliferazione dei device supera la capacità delle organizzazioni di governarne rischi, configurazioni e stato di sicurezza. L’analisi, basata su un dataset composto da oltre 27 milioni di dispositivi distribuiti in 1.803 reti aziendali, mette in evidenza come la mancanza di visibilità e la gestione non uniforme degli asset siano all’origine di vulnerabilità diffuse, spesso difficili da identificare in contesti infrastrutturali complessi. E secondo il report, il tema non riguarda più solo i reparti tecnici, ma interessa direttamente la resilienza di business, con implicazioni operative e regolamentari sempre più rilevanti.
Fra gli aspetti più significativi emerge certo la crescita dei dispositivi IoT, oggi pari al 16% del totale osservato, ma caratterizzati da livelli di esposizione mediamente superiori e da una frequente assenza di misure di sicurezza di base. La presenza congiunta, all’interno degli stessi segmenti di rete, di dispositivi IT e IoT rappresenta uno dei rischi strutturali più evidenti: il 77,74% delle reti analizzate presenta sottoreti ibride, con una concentrazione di circa il 55%, che facilita il movimento laterale e amplia il potenziale percorso di compromissione. In questo scenario, l’Italia figura tra i Paesi maggiormente esposti, con oltre 9,2 milioni di dispositivi IoT raggiungibili direttamente da Internet, un dato che posiziona il Paese all’11esimo posto a livello globale e che richiama l’urgenza di un approccio sistemico alla gestione del rischio digitale.
L’eterogeneità degli asset collegati alle reti aziendali porta alla necessità di una classificazione più precisa del rischio. Il report evidenzia come i dispositivi IT rappresentino l’84% del totale, con personal computer e mobile device che costituiscono il nucleo principale della superficie di attacco; i pc si attestano al 71,1% degli endpoint IT e gli smartphone e tablet al 24,3%, con una quota rilevante di dispositivi Byod spesso non soggetti a politiche di controllo. La presenza di device mobili e personali, unita alla loro mancata gestione centralizzata, contribuisce a introdurre variabili critiche nella protezione dell’identità, nell’aderenza alle policy e nel rispetto dei criteri di configurazione sicura. Le minacce legate a phishing, malware e tecniche di social engineering, già dominanti nel panorama cyber, trovano così un ambiente fertile, dove la compromissione di un singolo endpoint può avere impatti diretti sull’intera rete.
Dispositivi IoT, livelli di rischio elevati
Il dominio IoT, pur rappresentando una porzione minore del parco installato, mostra un livello di rischio significativamente più elevato. Il 21% dei dispositivi IoT presenta almeno una vulnerabilità nota, il 2% è oggetto di sfruttamento attivo (Known Exploited Vulnerabilities), mentre il 3,61% è esposto a exploit pubblicamente disponibili che abbassano la soglia tecnica d’ingresso per potenziali attaccanti. Le categorie più diffuse includono elettronica di consumo, telecamere IP, dispositivi di videoconferenza, gaming, smart TV e sistemi per la gestione intelligente dell’edificio, spesso introdotti in rete senza un processo strutturato di validazione o supervisione. Questa varietà di asset contribuisce a rendere fragile la postura di sicurezza complessiva, aumentando la possibilità che un malfunzionamento o una configurazione errata diventi un vettore per compromissioni più profonde.
Sul fronte delle minacce, i dati mostrano un quadro particolarmente critico. Gli attacchi brute-force Ssh superano i 3,48 miliardi di tentativi, mentre le exploit chain basate su Log4j registrano oltre 2,7 miliardi di rilevazioni, confermando la persistenza di vulnerabilità note nel parco applicativo delle aziende . Gli attacchi rivolti ai dispositivi IoT si concentrano soprattutto su router e apparati di rete, con milioni di tentativi di exploit relativi a vulnerabilità Rce nei prodotti di diversi vendor. Le categorie di device con il maggior numero di Cve note includono sistemi di videoconferenza, dispositivi di streaming, apparecchiature di rete, pc e server IT, ovvero asset centrali nelle attività quotidiane delle organizzazioni. Secondo l’analisi, questi dispositivi combinano ampia diffusione, elevato livello di esposizione e criticità operativa, rendendoli obiettivi prioritari per attori ostili .
Un altro elemento strutturale riguarda la sicurezza degli endpoint. Il 38,75% dei dispositivi registrati in Active Directory non dispone di un agente Edr/Xdr attivo, creando un divario che riguarda asset considerati “fidati” e che spesso hanno accessi privilegiati . Parallelamente, il 32,5% dei dispositivi in rete risulta non gestito: si tratta di IoT, Byod o sistemi che non supportano agenti tradizionali, generando ulteriori punti ciechi. Questa combinazione fa sì che quasi la metà del traffico proveniente dai dispositivi IoT verso sistemi IT interni sia classificata come “ad alto rischio”, con il 4% che rientra nella categoria di “rischio critico”. In un contesto in cui le architetture sono frequentemente piatte o insufficientemente segmentate, tali comunicazioni rappresentano un vettore privilegiato per movimenti laterali e compromissioni concatenate.
Ai rischi legati alle vulnerabilità software si affiancano quelli derivanti dall’uso di protocolli obsoleti. Snmpv1 è ancora presente su 2 milioni di dispositivi, Ftp su oltre 650.000 endpoint, mentre Telnet e Smbv1 compaiono rispettivamente in 44.085 e 31.421 casi . L’utilizzo persistente di questi protocolli facilita intercettazioni, spoofing e operazioni di intrusione particolarmente efficaci in ambienti che non applicano controlli di segmentazione o filtraggio. La sovrapposizione tra dispositivi IoT esposti e protocolli legacy rappresenta un rischio combinato che amplifica il potenziale di compromissione.
Il quadro è aggravato dalla presenza significativa di sistemi operativi non più supportati: il 7,87% dei sistemi Windows e il 26,4% dei sistemi Linux nel dataset risultano in EoL, quindi privi di aggiornamenti di sicurezza . Questi dispositivi costituiscono un punto di ingresso ideale per attori malevoli che sfruttano vulnerabilità note e non più correggibili. Il report cita, ad esempio, le tattiche del gruppo Volt Typhoon, che sfrutta apparati di rete e IoT non aggiornati come basi operative per infiltrazioni prolungate.
L’analisi dedicata al malware conferma Windows come principale bersaglio con il 97,58% delle attività rilevate, seguito da Linux (2,16%), con famiglie come Mirai e berbew orientate specificamente al compromesso dei dispositivi IoT per la costruzione di botnet . Ransomware come LockBit, GandCrab e WannaCry continuano a rappresentare una minaccia concreta e trasversale, spesso distribuita come payload secondario dopo una prima fase di intrusione. Le tecniche più usate dagli attaccanti, mappate sul framework Mitre Att&ck, riguardano escalation dei privilegi, evasioni difensive, persistenza e injection, confermando la necessità di combinare hardening, monitoraggio continuo e capacità di correlazione avanzata.
Palo Alto Networks, consigli per una strategia di protezione efficace
Secondo l’analisi di Palo Alto Networks, l’unica strategia efficace passa da una visibilità end-to-end dell’inventario, dalla contestualizzazione del rischio e dall’implementazione coerente di un modello Zero Trust. La segmentazione, insieme a criteri di least privilege e verifica continua, consente di contenere gli impatti di una compromissione e ridurre le superfici esposte. L’adozione di una gestione del rischio basata su percorsi di attacco, priorità operative e sfruttamento attivo rappresenta una condizione necessaria per limitare esposizioni e intervenire in modo proattivo.
Come sottolinea Michele Lamartina, Regional Vice President di Palo Alto Networks per Italia, Grecia, Cipro e Malta, “la cybersecurity non è più solo una questione tecnica, ma una priorità di business strategica che richiede un cambio di mentalità e un’azione immediata”.
Il dato relativo ai milioni di dispositivi IoT esposti in Italia rappresenta, nelle sue parole, un segnale che le aziende non possono più ignorare, soprattutto in un contesto in cui infrastrutture integrate e modelli digitali sempre più distribuiti ampliano i punti di vulnerabilità. In concreto, la complessità infrastrutturale richiede capacità di analisi più profonde, processi strutturati e investimenti mirati. La combinazione di visibilità, segmentazione, gestione del rischio e adozione di un modello Zero Trust rappresenta la direttrice su cui le organizzazioni sono chiamate a muoversi per garantire continuità operativa e resilienza, in un contesto in cui ogni dispositivo diventa un potenziale punto di ingresso e ogni vulnerabilità può trasformarsi in un rischio sistemico.
Leggi tutti gli approfondimenti nella Room Palo Alto Networks incontra i C-Level
Per saperne di più scarica il whitepaper: Device Security Threat Report 2025
© RIPRODUZIONE RISERVATA
