Il controllo identità fallisce quando gli alert restano senza risposta
CISA ha pubblicato un report raro sui propri red-team e ha mostrato due esiti opposti: in un impianto idrico il tentativo simulato è stato rilevato e isolato in fretta, in una organizzazione governativa l’attività è proseguita fino a dominio e cloud senza una risposta efficace. Il punto non è la raffinatezza del phishing, ma la tenuta della catena di rilevazione e contenimento.
Nel caso governativo, gli attaccanti hanno ottenuto accesso iniziale, poi privilegi più alti, e si sono mossi verso sistemi sensibili e risorse cloud. CISA attribuisce il fallimento a migliaia di falsi positivi, alert di EDR ignorati e silos organizzativi: gli avvisi c’erano, ma nessuno li ha trasformati in contenimento. Nell’altro caso, il SOC ha triagato gli alert e messo in quarantena gli host in pochi minuti.
Per chi dipende da Microsoft Conditional Access, Azure Active Directory, revoca dei token e workflow SOC/identity, il rischio è lo stesso: la persistenza non nasce solo dall’accesso iniziale, ma dal fatto che le decisioni restano sparse tra team e sistemi. Se l’identity lifecycle non si chiude davvero, un phishing riuscito può continuare a spostarsi tra endpoint, dominio e cloud anche dopo il primo alert.