10 Segnali che la Tua Azienda è Stata Compromessa

Nella cybersecurity, il tempo è la risorsa più critica. Il tempo medio necessario a un'azienda per rilevare una violazione dei dati è di ben 207 giorni. Durante quel tempo, gli aggressori stanno silenziosamente mappando la tua rete, rubando proprietà intellettuale e preparandosi per il dispiegamento di un ransomware.

Se stai leggendo questo perché hai una "brutta sensazione" riguardo a un problema del server o una strana email, non ignorarlo.

Ecco i 10 principali indicatori tecnici e comportamentali che la tua infrastruttura aziendale è stata compromessa, basati sulle indagini forensi che io e il mio team abbiamo condotto nell'ultimo decennio. Per uno sguardo più ampio alle statistiche del panorama delle minacce che guidano queste compromissioni, leggi il nostro rapporto sullo Stato della Cybersecurity 2026.

I 10 Indicatori di Compromissione (IoC) Principali

1. Creazione Inaspettata di Account Amministrativi

Il Segnale: Noti un nuovo account utente come admin_temp, support_user o sys_test che nessuno nel tuo team IT ha creato.
Cosa Significa: Gli aggressori stanno stabilendo la persistenza. Anche se applichi patch alla falla originale che hanno usato per entrare, questo account dà loro una backdoor per tornare più tardi.

2. Picchi Massicci di Traffico in Uscita

Il Segnale: I tuoi strumenti di monitoraggio della rete mostrano gigabyte di dati che lasciano la tua rete alle 2:00 del mattino.
Cosa Significa: Questa è Esfiltrazione di Dati. Gli aggressori stanno rubando i database dei tuoi clienti, il codice sorgente o le email prima di bloccare i tuoi sistemi con ransomware.

3. Strumenti Amministrativi "Fantasma" in Esecuzione

Il Segnale: Vedi strumenti legittimi come PowerShell, PsExec o AnyDesk in esecuzione su computer dove non dovrebbero essere (es. il laptop di un dipendente HR).
Cosa Significa: Gli hacker usano attacchi "Living off the Land" (LotL). Usano i tuoi strumenti amministrativi legittimi per nascondere la loro attività malevola dal software antivirus.

4. Disattivazione Spontanea dell'Antivirus

Il Segnale: La tua sicurezza Endpoint Detection (EDR/Antivirus) continua a spegnersi da sola, o gli avvisi vengono misteriosamente cancellati.
Cosa Significa: Malware o un intruso umano ha ottenuto privilegi di alto livello e sta accecando le tue difese prima di lanciare l'attacco principale.

5. Account Utente Bloccati Ripetutamente

Il Segnale: Decine di dipendenti si lamentano di essere bloccati fuori dai loro account ripetutamente.
Cosa Significa: Questo suggerisce un Attacco Brute Force o Password Spraying. Gli aggressori stanno provando attivamente migliaia di password contro la tua Active Directory.

6. Pop-up del Browser o Reindirizzamenti su Sistemi Interni

Il Segnale: Lo staff interno segnala strane barre degli strumenti, cambi di homepage o estensioni del browser che non hanno installato.
Cosa Significa: Solitamente un segno di Adware o Spyware. Sebbene spesso liquidato come un fastidio, in un ambiente aziendale, questo è spesso il punto di ingresso per rubare cookie di sessione e accedere ai portali cloud.

7. Velocità Internet Lenta o Pigra

Il Segnale: La rete sta strisciando, ma il tuo ISP dice che è tutto a posto.
Cosa Significa: I tuoi sistemi potrebbero far parte di una Botnet usata per attaccare altri (DDoS), o gli aggressori stanno usando la tua larghezza di banda per trasferire file enormi.

8. Strane Estensioni di File (.crypt, .lock)

Il Segnale: Apri un'unità condivisa e vedi file rinominati in financials.xlsx.locked o holiday_party.jpg.enc.
Cosa Significa: RANSOMWARE. Questa è la fase finale. Il processo di crittografia è iniziato. Disconnetti tutto immediatamente.

9. Riavvii Ininspiegabili del Server

Il Segnale: I server si riavviano in orari strani senza un aggiornamento programmato.
Cosa Significa: Gli aggressori spesso hanno bisogno di riavviare una macchina per installare un rootkit o per cancellare i log di sistema che rivelerebbero la loro presenza.

10. Email Inviate Dal Tuo Dominio (Che Non Hai Scritto)

Il Segnale: I clienti rispondono a email che non hai mai inviato, chiedendo della "fattura" allegata.
Cosa Significa: Il tuo server email è compromesso. Gli aggressori stanno usando il tuo dominio fidato in una campagna Business Email Compromise (BEC) per truffare i tuoi partner.

Segnali forti e segnali deboli: i dieci Indicatori non pesano allo stesso modo

Un dettaglio che emerge in quasi ogni risposta a incidente: alcuni dei dieci segnali li nota per primo il personale, altri esistono soltanto nei log. I pop-up del browser, la rete lenta, gli account bloccati e le email spurie dal vostro dominio sono segnali rumorosi: un impiegato contabile può segnalarvi l'anomalia durante la pausa caffè. Gli account amministrativi fantasma, gli strumenti eseguiti fuori orario, i picchi di traffico in uscita e la disattivazione dell'EDR sono segnali silenziosi: se nessuno legge i log, possono restare lì per mesi senza che nessuno li veda.

La conseguenza pratica è netta. Se la vostra unica fonte è la segnalazione degli utenti, state monitorando solo metà dell'attacco, e di solito la metà meno pericolosa. Centralizzare i log di firewall, domain controller e posta e prevedere una revisione periodica è ciò che trasforma i segnali silenziosi in allarmi effettivi; per impostarvi su questo terreno, la nostra guida alla caccia alle minacce parte proprio da lì.

Falsi positivi: quando il segnale non è una compromissione

Prima di allertare tutta l'azienda, filtrate le tre anomalie che generano più falsi allarmi:

Accessi VPN in orario insolito: spesso sono dipendenti in remoto, orologi non sincronizzati o condivisi con colleghi. Diventano sospetti solo quando l'IP di origine cambia continente tra un login e l'altro sullo stesso profilo.
Tempeste di eventi MDM: un ripristino di fabbrica o un aggiornamento delle policy produce migliaia di eventi legittimi in poche ore. Non ogni marea di log è un'intrusione.
Password spraying tutta a vuoto: se gli assalti colpiscono un portale pubblico e non ottengono mai l'accesso, è rumore da tracciare e condividere con CSIRT, non un incidente. Se invece i blocchi cadono sull'Active Directory interna, come nel segnale 5, la priorità sale.

🚨 Vedo Questi Segnali. Cosa Faccio ORA?

Se hai identificato più di uno di questi segnali, assumi di essere stato violato. Non farti prendere dal panico, ma agisci rapidamente.

Passo 1: Disconnetti, Non Spegnere

Disconnetti le macchine infette dalla rete (scollega il cavo ethernet, spegni il Wi-Fi).
Cruciale: Non spegnere la macchina se possibile. Riavviare distrugge prove preziose (dati nella RAM) di cui gli esperti forensi hanno bisogno per capire l'attacco.

Passo 2: Resetta le Password Critiche

Resetta immediatamente le password per tutti gli account Amministratore. Usa un dispositivo pulito (pristine) per farlo.

Passo 3: Chiama gli Esperti (Incident Response)

Non provare a "contrattaccare". Non provare a pulire il malware da solo a meno che tu non sia addestrato. Potresti allertare l'aggressore, facendogli attivare un "kill switch" e distruggere i dati.

Chi Chiamare? Hai bisogno di un team professionale di Incident Response (IR).

Cyberlord Secure Services: Forniamo risposta di emergenza 24/7. Possiamo distribuire i nostri agenti per contenere la minaccia, sfrattare l'aggressore e ripristinare le tue operazioni legalmente e in sicurezza.

Le prime 24 ore: l'ordine giusto per proteggere le prove

Nel frattempo, prima che subentri il retainer e con esso il team di risposta, ogni ora conta e ogni mossa sbagliata costerà cara in sede forense. L'ordine che seguiamo noi:

Fotografate e annotate. Screenshot con data e ora di ogni segnale, più una cronaca scritta di chi ha visto cosa e quando. Il primo registro che redigete diventerà il riferimento di tutti.
Salvate i log che ruotano. Firewall, proxy, VPN, gateway di posta e controller di dominio sovrascrivono i log vecchi a ogni finestra di rotazione: esportateli subito su un supporto esterno.
Esportate gli audit log del cloud. Microsoft 365 e Google Workspace conservano log di accesso e attività amministrativa per un tempo limitato: scaricateli con un account privilegiato da una macchina pulita.
Preservate la memoria volatile. Con la macchina spenta la RAM si perde. Scollegate la rete, non riavviate, non spegnete.
Isolate le copie. Ogni artefatto esportato va duplicato e custodito offline, annotando chi lo ha manipolato e quando: è il minimo di catena di custodia che resiste a un controllo in sede legale.

Cosa non fare: scanner "rapidi", strumenti forensi amatoriali o pulizie fai-da-te. Ognuna di queste azioni altera i timestamp e può rendere le prove inutilizzabili, vanificando il lavoro dei periti.

Chi avvisare in Italia, e in quale ordine

La risposta tecnica non esonera dagli adempimenti, e i tre canali si attivano in parallelo, non in fila:

Garante per la protezione dei dati personali: se la violazione riguarda dati personali, il GDPR impone la notifica entro 72 ore dal momento in cui ne avete preso cognizione (art. 33); anche una violazione solo probabile va comunque documentata in un registro interno.
CSIRT Italia (ACN): la segnalazione è obbligatoria per gli enti rientranti nel perimetro NIS2 (D.Lgs. 138/2024) e volontaria ma raccomandata per tutti gli altri. Fornisce indicatori di compromissione aggiornati e può contenere la diffusione della stessa campagna ad altri operatori del vostro settore.
Polizia Postale: per la querela penale; i Carabinieri NAS subentrano nei settori agroalimentare e farmaceutico. Conservate i numeri di protocollo di ogni ticket e condivideteli con il team di risposta, che li riporterà nella relazione finale.

Da quale segnale partire per decidere

Non tutti e dieci gli indicatori giustificano la stessa spesa. Una regola di triage che funziona bene in riunione:

Un segnale debole isolato (un pop-up, un riavvio fuori orario) → indurimento e formazione del personale, visto che l'ingegneria sociale resta la porta d'ingresso più sfruttata.
Più segnali deboli insieme, oppure un segnale forte non ancora confermato → un esercizio tabletop che metta provvisoriamente IT, legale e direzione alla prova dello stesso script decisionale che userete nel giorno vero.
Segnali di persistenza confermati (account fantasma, EDR disattivato, esfiltrazione in corso) → dopo il contenimento, una verifica completa delle vulnerabilità. Per capire quando serve lo scan automatizzato e quando invece il test invasivo condotto da specialisti, leggete la nostra analisi su valutazione delle vulnerabilità e penetration test.

La Prevenzione è Più Economica del Recupero

Il costo di un retainer per Incident Response è una frazione di una richiesta di riscatto da un milione di dollari. Se non sei sicuro della salute della tua rete, prenota una Valutazione di Compromissione con noi oggi. Daremo la caccia a questi segnali così potrai dormire sonni tranquilli stanotte.

Panoramica

Decisioni chiave, rischi e azioni di implementazione per questo argomento.

10 Segnali che la Tua Azienda è Stata Compromessa (e Chi Chiamare)