I criminali informatici ricorrono sempre più spesso a persone interne all'azienda piuttosto che all'hacking

Per il rapporto «The Market for Trust: How Cybercriminals Recruit Corporate Insiders», i ricercatori di TrendAI Mayra Rosario Fuentes, Stephen Hilt e David Sancho hanno analizzato come si organizza nel mercato sommerso il commercio di credenziali di accesso interne. La loro conclusione: da singoli casi si è evoluto un business maturo, basato sulla divisione dei compiti, con prezzi fissi, partecipazioni agli utili, commissioni di intermediazione e partnership a lungo termine che ricordano più un settore regolare che la classica criminalità informatica.

«Oggi la via più semplice per penetrare in un’azienda non passa più necessariamente attraverso una falla nella sicurezza: spesso basta un dipendente. Nel mondo clandestino del crimine informatico, l’accesso privilegiato viene sempre più spesso trattato come una merce: i criminali reclutano in modo mirato figure interne in grado di aggirare le misure di sicurezza semplicemente svolgendo il proprio lavoro quotidiano. Proteggersi dalle minacce interne significa oggi anche rendersi conto che i propri dipendenti sono diventati essi stessi un bersaglio», spiega David Sancho, Senior Threat Researcher presso TrendAI, la divisione dedicata alla sicurezza informatica aziendale di Trend Micro.

Panoramica dei risultati principali

• Il reclutamento tramite passaparola è oggi un settore economico a sé stante. Nei forum clandestini e nei canali di Telegram, broker, servizi fiduciari e partner commerciali fissi operano ormai con la stessa disinvoltura che si riscontra in un settore tradizionale.
• Non sono i diritti degli utenti a contare di più, bensì il massimo potere decisionale. I criminali cercano in modo mirato collaboratori in grado di autorizzare pagamenti, ripristinare conti o eludere i controlli antifrode – azioni che un aggressore esterno non potrebbe mai simulare in modo credibile.
• I servizi riservati agli addetti ai lavori stanno diventando un prodotto di massa. Che si tratti di sbloccare account sui social media, manipolare il tracciamento delle spedizioni o ottenere sconti con l’inganno: per tutto questo esistono ormai prezzi fissi, tempi di elaborazione garantiti e persino programmi di rivendita.
• Il settore dell'intelligenza artificiale è sotto i riflettori. Più dati preziosi relativi ai modelli, materiale di addestramento e accessi privilegiati accumulano le aziende che operano nel settore dell’intelligenza artificiale, più i loro dipendenti diventano un bersaglio allettante per i criminali.

«Per molto tempo, quando si parlava di minacce interne, pensavamo soprattutto a dipendenti frustrati o a errori umani. Quello che osserviamo oggi è qualcosa di fondamentalmente diverso: i criminali reclutano in modo mirato dipendenti affidabili attraverso mercati clandestini organizzati e trasformano gli accessi privilegiati in un servizio che può essere comprato e venduto», afferma Mayra Rosario Fuentes, Senior Threat Researcher presso TrendAI.

Il rapporto analizza questo fenomeno in tutti i settori: dalle amministrazioni pubbliche, alla sanità, ai social media, alle telecomunicazioni e al settore finanziario, passando per l'industria e l'energia, la logistica e il commercio al dettaglio, fino alle piattaforme di valutazione.

Tre settori al centro dell'attenzione

Il grado di professionalizzazione già raggiunto emerge in modo particolarmente evidente in tre settori: telecomunicazioni, social media e finanza. In questi ambiti, il rapporto documenta i casi più concreti con dati attendibili, che in alcuni casi hanno portato persino a procedimenti penali.

• Telecomunicazioni: lo “SIM swap” come attività più redditizia: Un dipendente corrotto può aggirare l’autenticazione a due fattori basata su SMS tramite lo “SIM swap”, aprendo così la strada agli hacker per accedere a conti bancari e di criptovalute. Nel mercato nero, questo servizio costa fino a 20.000 dollari USA presso Verizon, T-Mobile o AT&T, più una commissione del 20%. Un caso verificatosi negli Stati Uniti dimostra che le forze dell’ordine stanno già intervenendo: nel novembre 2025, la Procura di Manhattan ha incriminato un'organizzazione dedita al SIM-swapping che, avvalendosi di dipendenti corrotti di AT&T e T-Mobile, avrebbe sottratto circa 435.000 dollari a quattro vittime.
• Social media: account bloccati, sbloccati in cambio di denaro contante: Alcuni addetti ai lavori riattivano account bloccati su Meta, TikTok o X in cambio di somme che vanno da 1.000 a oltre 7.000 dollari USA oppure approvano annunci pubblicitari fraudolenti. Alla fine del 2022, l’uso improprio dello strumento interno «Oops» da parte di dipendenti corrotti ha portato, presso Meta, al licenziamento o ad altre conseguenze disciplinari per più di due dozzine di dipendenti e collaboratori esterni. Di conseguenza, nel 2023 Meta ha citato in giudizio i presunti intermediari dinanzi a un tribunale canadese.
• Finanza: la chiave per il conto corrente: In un forum clandestino, un venditore ha offerto l’accesso privilegiato, per un periodo di tre anni, alla contabilità di un’azienda con un fatturato annuo di 25 milioni di dollari USA; offerta iniziale: 25.000 dollari USA. Per la mediazione di un singolo dipendente corruttibile presso exchange di criptovalute come Binance o Robinhood, i committenti pagavano fino a 5.000 dollari di ricompensa o, in alternativa, una quota del 15% sui proventi.

Fonte: TrendAI

Questo articolo è apparso originariamente su m-q.ch - https://www.m-q.ch/de/cyberkriminelle-setzen-zunehmend-auf-insider-statt-auf-hacking/