Gli attacchi di acquisizione degli account contro le aziende sono in aumento. Secondo una ricerca di Abnormal Security, l’83% delle organizzazioni intervistate è stato colpito da almeno un attacco di acquisizione dell’account nell’anno precedente e il 26% ha riferito di aver subito un tentativo di acquisizione ogni settimana. E nel SMB Cybersecurity Report di Proton, abbiamo scoperto che 1 piccola impresa su 4 ha subito attacchi informatici nonostante le misure di cybersicurezza adottate.

Anche l’impatto finanziario può essere grave. Una ricerca di IBM riporta che le violazioni dei dati che comportano la compromissione di fornitori e l’acquisizione di account costano in media quasi 5 milioni di USD, con tempi di contenimento che spesso superano i 250 giorni.

Questa combinazione di frequenza e impatto spiega perché l’acquisizione dell’account sia così pericolosa per le aziende: gli aggressori possono semplicemente accedere con credenziali legittime e iniziare a operare dall’interno dell’organizzazione, spesso prima che chiunque si renda conto che l’account non è più attendibile.

Nel Regno Unito, il rapporto Cyber Security Breaches Survey 2025 del governo mostra anche che i tentativi di acquisizione e gli account compromessi fanno parte di un quadro più ampio di incidenti. Per le aziende, ciò rende l’acquisizione dell’account molto più di un semplice problema di login: è un rischio per la sicurezza dell’identità, per frode e per la continuità operativa.

Cos’è un attacco di acquisizione dell’account?

In cosa l’acquisizione dell’account differisce dagli attacchi tradizionali

I metodi più comuni di acquisizione dell’account

Perché gli account aziendali sono bersagli di alto valore

Segnali di rilevamento che le aziende dovrebbero tenere d’occhio

L’impatto aziendale dell’acquisizione dell’account

Il tuo piano di risposta pratico per una sospetta acquisizione dell’account

Costruire una cultura della sicurezza più forte intorno all’accesso agli account

In che modo Proton Pass for Business riduce il rischio di acquisizione dell’account

Cos’è un attacco di acquisizione dell’account?

I criminali informatici lanciano attacchi di acquisizione degli account ottenendo l’accesso non autorizzato a un account legittimo per poi utilizzarlo per scopi malevoli. In contesti aziendali, ciò solitamente significa ottenere la password di un dipendente, intercettare il suo flusso di autenticazione o ottenere in altro modo un accesso valido a un account di lavoro.

Una volta all’interno, un aggressore può leggere le comunicazioni interne, modificare le impostazioni dell’account, spostarsi nelle app connesse, esportare file riservati o impersonare il dipendente in conversazioni con colleghi, fornitori o clienti. Poiché l’aggressore ha ottenuto un accesso valido invece di forzare l’ingresso attraverso un sistema visibilmente compromesso, l’attività appare del tutto normale.

Questo è ciò che rende la compromissione di un account aziendale così pericolosa. Un aggressore può sembrare un utente normale finché il danno non è già in corso.

In cosa l’acquisizione dell’account differisce dagli attacchi tradizionali

L’acquisizione dell’account è così dirompente perché non è facile da individuare come il tipo di attacco palese o violazione che molti team si aspettano.

I team di sicurezza aziendali spesso cercano malware(nuova finestra), vulnerabilità sfruttate, sistemi corrotti o esecuzioni di codice sospetto. In un incidente di account takeover, nessun sistema potrebbe essere stato violato nel senso usuale perché l’autore dell’attacco ha utilizzato credenziali legittime e flussi di accesso ordinari.

Questa differenza è importante perché i team devono cercare l’abuso di credenziali piuttosto che un’intrusione perimetrale. Quando un malintenzionato accede utilizzando la stessa pagina di login di tutti gli altri usando credenziali valide, l’attività non appare sospetta se isolata.

Il rilevamento dipende quindi meno dall’individuazione di problemi tecnici e più dal notare comportamenti insoliti, come strani pattern di login, reimpostazioni della password impreviste o richieste di accesso anormali.

In altre parole, l’account takeover spesso ha successo abusando del normale modello di attendibilità dell’organizzazione.

I metodi più comuni di account takeover

Gli aggressori possono utilizzare diversi metodi consolidati per ottenere l’accesso agli account aziendali. Alcuni sono opportunistici, mentre altri sono altamente mirati.

Credential stuffing

Credential stuffing avviene quando gli aggressori prendono nomi utente e password trapelati in violazioni di dati e li testano contro altri servizi. Questo funziona perché le persone spesso riutilizzano le password sia negli account personali che in quelli di lavoro.

Questo rende le password univoche una delle migliori difese della tua organizzazione contro l’account takeover. Il Data Breach Observatory di Proton mostra che nomi e indirizzi email compaiono in quasi 9 violazioni su 10, mentre le password sono esposte nel 47% degli incidenti. Quando quelle credenziali vengono riutilizzate in vari servizi, una singola violazione crea rapidamente un rischio di account takeover.

Phishing

Il phishing rimane una delle vie d’accesso più comuni agli account aziendali. Può essere usato per rubare password, token di sessione o approvazioni MFA, tutti elementi che possono alimentare direttamente un account takeover.

SIM swapping

Il SIM swapping avviene quando un aggressore convince un operatore di telefonia mobile a trasferire il numero di una vittima su una scheda SIM sotto il proprio controllo. Se un’azienda fa ancora molto affidamento sull’autenticazione basata su SMS, gli aggressori possono facilmente intercettare i codici di login.

Per proteggersi dal sim-swapping, i metodi di autenticazione a due fattori (2FA) sono molto più sicuri e adatti per gli account aziendali a rischio più elevato.

Affaticamento da 2FA e furto di sessione

Anche quando la 2FA è attivata, gli aggressori potrebbero cercare di sfinire gli utenti con ripetute richieste di approvazione o rubare i token di sessione tramite phishing e malware. La 2FA è essenziale, ma non è sufficiente da sola.

Password spraying

Il password spraying è un tipo di attacco brute force(nuova finestra), in cui gli aggressori provano un set di password comunemente usate su molti account. Invece di martellare un singolo utente con centinaia di tentativi, testano impostazioni predefinite deboli come “Welcome123!” o pattern aziendali prevedibili su un bacino più ampio di dipendenti.

Perché gli account aziendali sono bersagli di alto valore

Gli account aziendali sono appetibili per via dei dati e dei fondi che potenzialmente detengono. Un account email compromesso può attivare una compromissione dell’email aziendale: ad esempio, la frode sui pagamenti aziendali è una truffa in cui i criminali confezionano un’email su misura per un’organizzazione, impersonano un contatto legittimo e cercano di reindirizzare i pagamenti o ottenere informazioni sensibili.

Un account amministratore compromesso può essere ancora più dannoso. Può permettere agli aggressori di reimpostare le password, accedere ad altri sistemi, esportare dati o indebolire i controlli di sicurezza. Una volta che ciò accade, una singola identità compromessa può portare a un incidente molto più vasto.

Persino gli account dei dipendenti ordinari possono connettersi a:

  • Email e calendari.
  • Strumenti CRM e di assistenza clienti.
  • Sistemi HR e buste paga.
  • Archiviazione cloud.
  • Piattaforme di chat interna e di collaborazione.
  • Credenziali condivise e casseforti delle password.
  • Strumenti per sviluppatori o infrastruttura.

Il furto dell’account aziendale va oltre la semplice frode. È un problema di controllo degli accessi che può avere conseguenze su tutta l’organizzazione.

Segnali di rilevamento a cui le aziende dovrebbero prestare attenzione

Poiché il furto di un account spesso inizia con credenziali valide, il rilevamento dipende dall’individuazione di comportamenti irregolari.

  • Orari o posizioni di login insoliti: un login da un paese, una regione o un modello orario sconosciuto può essere sospetto, specialmente se seguito da modifiche alla configurazione.
  • Richieste di reimpostazione della password impreviste: i dipendenti che ricevono email di reimpostazione non richieste potrebbero trovarsi di fronte ai primi segnali di un tentativo di furto.
  • Dispositivi o browser sconosciuti: un login da un dispositivo mai visto prima merita di essere esaminato, in particolare se abbinato ad accessi insoliti alle app o a comportamenti di condivisione anomali.
  • Richieste 2FA non avviate dal proprietario dell’account: approvazioni 2FA inaspettate possono segnalare che qualcuno è già in possesso della password di un account e sta cercando di superare il secondo livello di sicurezza.
  • Modifiche alla casella email o alle regole di inoltro: gli aggressori che compromettono gli account email spesso creano regole per nascondere i messaggi, inoltrare la posta o mantenere l’accesso.
  • Attività insolita in strumenti sensibili: un utente che accede improvvisamente a sistemi finanziari, pannelli di controllo amministrativi, esportazioni o segreti condivisi in modi non conformi alle sue normali responsabilità può indicare una compromissione.
  • Modifiche sospette nelle casseforti o nelle credenziali condivise: se le password vengono modificate, ricondivise o vi si accede in modi insoliti, potrebbe essere un segno di uso improprio dell’account invece di una normale collaborazione.

L’impatto aziendale del furto dell’account

Il motivo per cui la frode tramite furto d’account è così grave è che una singola identità compromessa può improvvisamente causare diversi tipi di danni. C’è l’immediato rischio di frode: un aggressore può impersonare un dirigente, un dipendente o un fornitore per richiedere modifiche ai pagamenti o informazioni riservate.

C’è anche il rischio per i dati. Un account compromesso può esporre contratti, dati dei clienti, file interni o comunicazioni sensibili.

Inoltre, c’è il rischio operativo. I team potrebbero dover bloccare gli account, ruotare le credenziali, revocare gli accessi, esaminare i log, verificare le comunicazioni e controllare eventuali movimenti laterali.

Se l’aggressore raggiunge sistemi privilegiati, l’incidente può degenerare ben oltre un singolo account compromesso. Potrebbe essere in grado di distribuire ransomware, mantenere l’accesso a sistemi critici o attivare una compromissione più ampia in tutto l’ambiente.

A quel punto, il problema non è più solo proteggere l’identità di un utente. Può interrompere le operazioni, ritardare il ripristino e influire sulla capacità dell’organizzazione di funzionare normalmente; ecco perché il furto dell’account deve essere considerato nella pianificazione della continuità operativa.

Il tuo piano d’azione pratico per un sospetto furto d’account

Anche con solidi controlli preventivi in atto, le aziende devono comunque essere pronte a reagire rapidamente quando si sospetta un furto d’account. Una risposta rapida e strutturata può aiutare a contenere l’incidente prima che si diffonda ad altri sistemi o flussi di lavoro.

  1. Il primo passo è contenere il rischio disattivando temporaneamente l’account interessato, revocando le sessioni attive e reimpostando le credenziali. I team dovrebbero quindi esaminare le recenti attività di login e qualsiasi modifica sospetta collegata all’account. Se l’account dispone di permessi più ampi o di accesso a strumenti sensibili, la risposta dovrebbe essere ancora più veloce.
  2. Da lì, l’attenzione dovrebbe spostarsi sull’ambito d’azione. Le aziende devono capire a cosa potrebbe aver effettuato l’accesso, cosa ha cambiato o usato l’aggressore mentre era all’interno dell’account, incluse le regole email, le app connesse, le credenziali condivise e i segnali di movimenti laterali.
  3. È inoltre importante contenere qualsiasi esposizione correlata. Un’identità compromessa può influire sui processi finanziari, sulle comunicazioni con i fornitori, sugli strumenti interni o sui dati dei clienti, quindi la risposta non dovrebbe fermarsi all’account stesso.
  4. Una volta che il rischio immediato è sotto controllo, l’incidente dovrebbe essere utilizzato per rafforzare ciò che ha fallito, che si tratti di migliorare la gestione delle credenziali, inasprire l’applicazione della 2FA o migliorare il rilevamento tramite i log di attività e i flussi di lavoro di monitoraggio dell’identità. Questi strumenti aiutano a far emergere modelli di login sospetti, come posizioni insolite, ripetuti tentativi falliti, accessi in orari anomali o modifiche impreviste all’account, in modo che i team di sicurezza possano indagare tempestivamente.

Costruire una cultura della sicurezza più solida intorno all’accesso all’account

Il furto di account prospera quando l’accesso viene trattato come una questione di comodità invece che come una disciplina di sicurezza.

Una cultura della sicurezza più solida significa che i dipendenti comprendono che le credenziali non sono semplici login personali. Sono chiavi di accesso ai sistemi aziendali, alla fiducia dei clienti e alla continuità operativa. Significa anche che le organizzazioni rendono il percorso sicuro quello più semplice, fornendo ai team gli strumenti adeguati, policy chiare e un supporto centralizzato.

È qui che gestori di password aziendali, chiavi di accesso, monitoraggio del Dark Web, pratiche di 2FA più solide e un offboarding sicuro lavorano insieme. Questi controlli aiutano a ridurre il riutilizzo delle credenziali, migliorano l’igiene dell’account e limitano i danni che un singolo account compromesso può causare.

Il rilevamento appartiene al livello di monitoraggio più ampio, ma i gestori di password possono comunque supportarlo generando log e report che alimentano i sistemi di indagine e allerta. Insieme, questi controlli rendono il furto di account più difficile da eseguire e più facile da contenere.

In che modo Proton Pass for Business riduce il rischio di furto dell’account

Molti incidenti di furto di account iniziano con credenziali esposte, deboli o riutilizzate, per poi aggravarsi perché i dipendenti non hanno un modo coerente per generare password sicure, archiviarle in modo protetto, usare la 2FA in modo affidabile o individuare i primi segni di esposizione. Proton Pass for Business riduce questo rischio rendendo più semplice applicare pratiche per l’account più sicure tra i team, non limitandosi a raccomandarle.

Una migliore igiene delle password su larga scala

Un gestore di password sicuro supporta la generazione di password sicure, il riempimento automatico, l’archiviazione sicura e la condivisione protetta, aiutando i team ad abbandonare le password riutilizzate, la dispersione dei browser e la gestione informale delle credenziali.

Questo è essenziale per prevenire il furto di account perché gli aggressori spesso si affidano al riutilizzo delle password e ad abitudini di login prevedibili per trasformare una credenziale esposta in un accesso a più servizi. Proton Pass supporta anche le chiavi di accesso, che riducono la dipendenza dalle password per i servizi supportati e offrono una protezione per l’accesso resistente al phishing. Offre inoltre un autenticatore 2FA integrato e il riempimento automatico dei codici TOTP, rendendo più semplice l’uso costante di abitudini di login più sicure.

Maggiore visibilità sulle credenziali esposte e a rischio

Proton Pass include Pass Monitor, che offre approfondimenti sullo stato di integrità della password, avvisi di monitoraggio del Dark Web per le email violate e visibilità sulla 2FA inattiva. In pratica, questo aiuta le organizzazioni a identificare credenziali deboli, riutilizzate o già esposte prima che vengano usate per attacchi di credential stuffing o successivi tentativi di furto dell’account.

Un gestore di password aziendale è ideale per prevenire il furto di account. Aiuta i membri del team ad archiviare e gestire in modo sicuro le credenziali, oltre ad aiutare i team a identificare quelle che hanno maggiori probabilità di creare rischi a cascata.

Una 2FA più fruibile nel lavoro quotidiano

La 2FA aiuta a rendere una password rubata meno utile di per sé, ma l’adozione spesso viene meno quando risulta scomoda o frammentata. Proton Pass aiuta in questo senso supportando un autenticatore 2FA integrato e il riempimento automatico per i codici OTP, il che rende più semplice l’uso costante di abitudini di login più sicure negli account supportati. Questo non sostituisce i controlli di identità più ampi, ma colma una delle lacune pratiche che gli aggressori spesso sfruttano.

Controllo amministratore e segnali di sicurezza a supporto delle indagini

Proton Pass contribuisce inoltre a un’utile visibilità per l’amministratore e la sicurezza tramite report, log e informazioni sulle attività. Questo aiuta le organizzazioni a monitorare le attività relative alle credenziali, supportare le indagini interne e fornire segnali rilevanti a workflow di sicurezza più ampi dove necessario.

In che modo Proton Sentinel integra Proton Pass for Business

Proton Sentinel è un programma avanzato di protezione dell’account disponibile per i piani Proton idonei che crea un livello di protezione più solido per gli account Proton stessi, includendo sfide più severe per i tentativi di login sospetti, una maggiore visibilità sugli accessi e sulle modifiche all’account e l’inoltro h24 di eventi sospetti ad analisti della sicurezza.

Questo lo rende rilevante per proteggere l’accesso all’account Proton e, di riflesso, i dati sensibili archiviati all’interno dei servizi Proton. Tuttavia, non dovrebbe essere presentato come se rilevasse login sospetti nell’intero stack SaaS di un’azienda.

Proton Pass for Business aiuta a ridurre il rischio di furto dell’account migliorando l’igiene delle password, rendendo l’MFA più facile da usare, facendo emergere prima le credenziali esposte o deboli e fornendo ai team un controllo migliore su come le credenziali vengono gestite nell’organizzazione. Proton Pass for Business rafforza le pratiche relative alle credenziali che gli aggressori sfruttano più spesso, mentre Proton Sentinel può aggiungere un ulteriore livello di protezione per l’account Proton stesso.

Sei pronto a iniziare? Proteggi i tuoi account aziendali dai furti con Proton Pass — provalo gratuitamente o parla con il nostro team commerciale.