La situazione del rischio umano nel 2026: quando i dipendenti di fiducia diventano una minaccia

Sono le 17:47 di venerdì. Un analista finanziario — di fiducia, con un incarico a tempo indeterminato e ampio accesso ai vostri sistemi più sensibili — scarica 10 gigabyte di dati riservati relativi a fusioni e acquisizioni su un'unità cloud personale. Entro lunedì mattina, avrà presentato le sue dimissioni. Entro mercoledì, tali dati saranno nelle mani di un concorrente. Non si è verificata alcuna violazione del firewall. Non è stata sfruttata alcuna vulnerabilità. Per sei anni, ogni mattina, quella minaccia entrava dalla porta principale.

Non si tratta di un'ipotesi. È la nuova normalità.

Gli insider malintenzionati hanno raggiunto la parità

Per la prima volta nella storia della sicurezza informatica, le minacce intenzionali provenienti dall’interno hanno raggiunto quelle accidentali. Secondo i dati emersi dalla ricerca condotta da Mimecast per il rapporto “The State of Human Risk 2026”, gli incidenti causati da personale interno con intenti dolosi rappresentano attualmente il 42% e di tutti gli eventi legati al personale interno, pari alla percentuale di quelli causati da negligenza. Non si tratta di un errore di arrotondamento. Si tratta di un cambiamento fondamentale nel panorama delle minacce.

La percentuale di organizzazioni che segnalano un aumento delle attività dolose da parte di personale interno è balzata dal 35% nel 2024 al 44% nel 2026: un’accelerazione del 26% in soli due anni. Non si tratta di un picco temporaneo. Si tratta di un cambiamento strutturale nel modo in cui gli addetti ai lavori interagiscono con i dati che sono chiamati a proteggere.

E il costo è sbalorditivo. Le organizzazioni segnalano attualmente una media di sei incidenti causati da personale interno al mese, con un costo mensile complessivo pari a 13,1 milioni di dollari.

L'economia del tradimento

Cosa sta determinando questo aumento? Le pressioni finanziarie — licenziamenti, stagnazione salariale, aumento del costo della vita — hanno reso i dipendenti più inclini ad accettare offerte di lavoro esterne. Ma il cambiamento più significativo è di natura strutturale: i criminali informatici hanno industrializzato il reclutamento di personale interno.

Benvenuti nell’era dell’“insider-as-a-service”.

Sui mercati del dark web, gli autori delle minacce reclutano attivamente dipendenti delle organizzazioni prese di mira, offrendo pagamenti in contanti in cambio di credenziali, accesso ai dati o l’installazione di malware. Anziché dedicare settimane a setacciare una rete alla ricerca di vulnerabilità, gli hacker si limitano ad assumere una persona che possiede già le chiavi di accesso.

Gli annunci sono rivolti ai dipendenti di aziende specifiche e offrono migliaia di dollari per azioni che richiedono pochi minuti: esportare un database clienti, condividere le credenziali VPN o disattivare un controllo di sicurezza. Questo modello ribalta la catena di attacco tradizionale. Anziché violare il perimetro e muoversi lateralmente, gli aggressori partono da una figura interna di fiducia che sa già dove sono custoditi i “gioielli della corona”. È più veloce, più economico e molto più difficile da individuare.

Il divario nella rilevazione

Sebbene il 66% delle organizzazioni preveda un aumento delle minacce interne, solo il 59% ha implementato l’analisi comportamentale, la tecnologia più adatta a identificare attività dolose da parte di personale interno prima che i dati escano dall’azienda.

La sicurezza perimetrale tradizionale è stata concepita per impedire l'accesso agli aggressori esterni. Non è mai stato concepito per monitorare le persone che si trovano già all’interno. Le politiche statiche di prevenzione della perdita di dati possono individuare errori dovuti a disattenzione, ma risultano in gran parte inefficaci nei confronti di un dipendente che conosce le regole e sa come aggirarle.

Gli insider malintenzionati sono capaci di adattarsi. Mettono alla prova i limiti. Utilizzano strumenti approvati in modi non previsti. Trasferiscono i dati in piccole quantità per evitare di superare le soglie. Per individuare tali casi è necessario comprendere i modelli comportamentali nel corso del tempo, non limitarsi ad applicare le regole in un single punto di contatto.

D’individuazione alla prevenzione

I programmi di gestione dei rischi interni più efficaci stanno passando da un approccio investigativo reattivo a uno di rilevamento proattivo, avvalendosi di segnali comportamentali per identificare i rischi prima che si concretizzino.

In pratica, ciò significa un sistema di valutazione del rischio basato sul contesto che tiene conto contemporaneamente di decine di variabili: quale file è stato consultato, quando, da dove, da chi e dove è stato inviato. Un dipendente che scarica un file sensibile alle 2 del mattino da un dispositivo non riconosciuto genera un segnale di rischio molto diverso rispetto allo stesso dipendente che accede a quel file durante l’orario di lavoro da un computer portatile aziendale.

Questa analisi contestuale consente ai team di sicurezza di reagire in modo proporzionato: da un leggero richiamo educativo al contenimento in tempo reale, fino all’escalation immediata.

Sviluppo di un programma resiliente di gestione dei rischi interni

La tecnologia da sola non basta. I programmi più efficaci prevedono un’integrazione tra le funzioni Risorse Umane, Affari legali, IT e Sicurezza, poiché il rischio interno non è limitato a single reparto.

La tutela della privacy deve essere integrata fin dall’inizio. Un monitoraggio efficace si basa su metadati di facile gestione — modelli di spostamento dei file, anomalie negli accessi, frequenza di accesso — e non su una sorveglianza invasiva di ogni singola battuta sulla tastiera. Le organizzazioni che riescono a trovare il giusto equilibrio mettono in atto programmi di cui i dipendenti possono fidarsi, pur assicurando al contempo che tali programmi proteggano l’organizzazione dai dipendenti di cui non ci si può fidare.

Il tempo a disposizione sta per scadere

Due terzi delle organizzazioni prevedono che le minacce provenienti dall'interno continueranno ad aumentare. L'economia dell'“insider-as-a-service” sta diventando sempre più sofisticata.

Le organizzazioni che riusciranno a superare questa trasformazione sono quelle che agiscono fin da ora: implementando analisi comportamentali in grado di individuare sottili modelli di intenti, unificando i segnali provenienti da e-mail, endpoint, piattaforme di gestione delle identità e di collaborazione, e creando strutture di risposta sufficientemente rapide da consentire di intervenire prima che i dati vadano persi.

La minaccia interna non è un problema futuro. Si tratta di una crisi attuale caratterizzata da un divario sempre più ampio tra chi è preparato e chi non lo è.

Scoprite come Mimecast Incydr rileva, classifica in ordine di priorità e risponde automaticamente ai rischi interni, senza necessità di configurare politiche né compromettere le prestazioni degli endpoint. Richieda la versione di prova di 30 giorni di Incydr.