Il 18 maggio 2026 Microsoft Security ha pubblicato un caso di studio che illustra come un semplice furto di credenziali possa evolvere in un attacco a livello cloud, sfruttando la fiducia implicita nei sistemi. L’incidente, denominato Storm‑2949, ha dimostrato che, una volta ottenuto l’accesso a un’identità compromessa, un aggressore può muoversi lateralmente senza dover installare malware, sfruttando le autorizzazioni predefinite e le policy di accesso.
Che cosa è successo?
Il gruppo di attacco ha rubato le credenziali di un account con privilegi di amministratore in un tenant Azure. Utilizzando queste credenziali, ha eseguito una serie di richieste API per enumerare risorse, creare nuove identità e infine spostare dati sensibili in bucket di storage non protetti. L’intero processo è stato completato in meno di 30 minuti, senza lasciare tracce di malware.
Perché Zero Trust è la risposta
Il modello Zero Trust si basa sul principio “non fidarsi mai, verificare sempre”. In pratica, significa:
- Autenticazione forte e multi‑fattore per ogni accesso, anche per account con privilegi elevati.
- Micro‑segmentazione dei servizi cloud, limitando i permessi alle funzioni necessarie.
- Monitoraggio continuo e analisi comportamentale per rilevare movimenti anomali.
Implementare queste misure riduce drasticamente il rischio che un’identità compromessa diventi un punto di ingresso per attacchi più ampi.
Implicazioni per PMI e MSP
Le piccole e medie imprese spesso dipendono da servizi cloud condivisi e possono non avere risorse interne per gestire una sicurezza avanzata. Gli MSP, invece, sono spesso i responsabili della sicurezza per più clienti. Ecco alcuni passi pratici:
- Valutare e ridurre i privilegi di accesso a “least privilege”.
- Implementare MFA su tutti gli account, specialmente quelli con accesso amministrativo.
- Utilizzare soluzioni di Identity Governance per monitorare e revocare automaticamente i privilegi non più necessari.
- Integrare strumenti di SIEM/SOAR per correlare eventi e rilevare movimenti laterali.
In sintesi, il caso Storm‑2949 è un monito che la sicurezza delle identità non può essere trascurata. Adottare una strategia Zero Trust non è più un’opzione, ma una necessità per proteggere le infrastrutture cloud delle PMI e garantire la continuità operativa.
