Mappa degli Attacchi Informatici
Le principali tipologie di attacco informatico — definizioni, esempi reali e meccanismi di funzionamento. Dal DoS al ransomware, dal phishing alla SQL injection.
Panoramica: come si classificano gli attacchi
Gli attacchi informatici si possono classificare in base all'obiettivo e al punto di ingresso sfruttato. Conoscere la tassonomia aiuta a capire quali difese sono efficaci contro quali minacce — non esiste una misura unica che protegga da tutto.
Una vulnerabilità è una debolezza (nel codice, nella configurazione, nel comportamento umano). Una minaccia è chi potrebbe sfruttarla. Un attacco è il tentativo concreto di farlo. La sicurezza informatica lavora su tutti e tre i livelli.
Attacchi di rete
Gli attacchi di rete prendono di mira i protocolli e i canali attraverso cui transitano i dati. L'obiettivo può essere rendere un servizio irraggiungibile, intercettare le comunicazioni o reindirizzare il traffico verso destinazioni malevole.
DoS — Denial of Service
Rischio: medioL'attaccante satura le risorse del bersaglio — larghezza di banda, CPU, connessioni aperte — fino a renderlo irraggiungibile per gli utenti legittimi. Un singolo computer genera il traffico d'attacco.
Un server web regge normalmente 1.000 connessioni simultanee. L'attaccante ne apre 100.000 lasciandole "mezze aperte" (SYN flood): il server esaurisce le risorse e non risponde più ai visitatori reali.
DDoS — Distributed Denial of Service
Rischio: altoCome il DoS, ma il traffico proviene da migliaia di macchine compromesse (botnet) distribuite in tutto il mondo. Molto più difficile da bloccare perché non esiste un singolo indirizzo IP da filtrare.
Un attacco DDoS da oltre 1 Tbps ha messo offline il provider DNS Dyn, rendendo irraggiungibili per ore servizi come Twitter, Netflix e Reddit. L'attacco usava una botnet di 600.000 dispositivi IoT (telecamere di sicurezza, router) con credenziali di default mai cambiate.
Man-in-the-Middle (MitM)
Rischio: altoL'attaccante si interpone fisicamente o logicamente tra due parti che credono di comunicare direttamente. Può leggere, modificare o iniettare messaggi in entrambe le direzioni senza che le vittime se ne accorgano.
L'attaccante invia risposte ARP false sulla rete locale associando il proprio indirizzo MAC all'IP del gateway. Il traffico della vittima passa attraverso la macchina dell'attaccante prima di raggiungere internet.
L'attaccante intercetta la connessione HTTPS e la "degrada" a HTTP verso la vittima, mantenendo HTTPS solo verso il server. La vittima vede il sito come HTTP e trasmette dati in chiaro.
DNS Spoofing / DNS Cache Poisoning
Rischio: altoL'attaccante corrompendo le tabelle DNS associa un nome di dominio legittimo (es. banca.it) a un indirizzo IP malevolo. La vittima digita l'URL corretto ma viene reindirizzata a un sito clone controllato dall'attaccante.
Sniffing
Rischio: medioTecnica di intercettazione passiva del traffico di rete. Su reti non cifrate (HTTP, FTP, telnet) è possibile catturare credenziali, cookie di sessione e contenuti in chiaro con strumenti come Wireshark.
HTTPS ovunque · VPN su reti pubbliche · DNSSEC per la validazione delle risposte DNS · CDN e firewall applicativi contro DDoS · Segmentazione della rete locale.
Malware
Malware (contrazione di malicious software) è un termine ombrello che indica qualsiasi programma progettato per danneggiare un sistema, sottrarre dati o ottenere accesso non autorizzato. Si distinguono per comportamento, vettore di infezione e obiettivo.
Il ransomware WannaCry ha colpito oltre 300.000 computer in 150 paesi in poche ore, sfruttando una vulnerabilità di Windows chiamata EternalBlue (sviluppata dall'NSA e poi trafugata). Ha paralizzato ospedali del NHS britannico, Telefónica, FedEx e centinaia di altre organizzazioni. Il riscatto richiesto era di 300$ in Bitcoin per sistema. Chi aveva installato la patch di sicurezza rilasciata da Microsoft due mesi prima non fu colpito.
Antivirus aggiornato · Sistema operativo e applicazioni sempre aggiornati · Non aprire allegati da mittenti sconosciuti · Backup regolari offline (i ransomware cifrano anche i backup connessi alla rete) · Principio del minimo privilegio.
Social engineering
Il social engineering è l'arte di manipolare le persone affinché compiano azioni o rivelino informazioni che normalmente non rivelerebbero. Non sfrutta vulnerabilità nel software, ma nella psicologia umana: fiducia, urgenza, paura, autorità, curiosità.
"Puoi avere la tecnologia migliore, i firewall migliori, i dispositivi di rilevamento delle intrusioni migliori e il personale di sicurezza più qualificato: tutto questo non conta nulla se qualcuno chiama un dipendente e convince a dargli la password." — Kevin Mitnick, ex hacker e consulente di sicurezza.
Phishing
Rischio: altoEmail o messaggi che imitano comunicazioni di enti affidabili (banca, INPS, corriere, Apple, Google) per indurre la vittima a cliccare su un link malevolo o a fornire credenziali su un sito clone.
| Variante | Canale | Caratteristica distintiva |
|---|---|---|
| Phishing | Invio massivo, bersaglio generico | |
| Spear phishing | Bersaglio specifico, messaggio personalizzato con dati reali sulla vittima | |
| Whaling | Bersaglio: dirigenti e figure apicali (CEO fraud) | |
| Vishing | Telefono/VoIP | L'attaccante si finge operatore bancario, polizia, supporto tecnico |
| Smishing | SMS | Link malevolo via SMS che imita notifiche di consegna, avvisi bancari |
Shoulder surfing
Rischio: basso-medioTecnica semplicissima: l'attaccante spia fisicamente lo schermo o la tastiera della vittima — sull'autobus, in un bar, in una sala d'attesa — per catturare PIN, password o informazioni sensibili.
Baiting
Rischio: medioL'attaccante lascia in luoghi pubblici (parcheggi, reception, corridoi aziendali) chiavette USB infette con etichette allettanti ("Stipendi 2026", "Foto personali", "Riservato"). La curiosità spinge le vittime a inserirle nel proprio PC.
Pretexting
Rischio: medioL'attaccante crea un pretesto credibile per ottenere informazioni: si finge un collega nuovo, un tecnico IT, un ispettore, un giornalista. Spesso coinvolge più telefonate o email successive per costruire fiducia progressivamente.
- Urgenza insolita: "Il tuo account verrà bloccato entro 24 ore"
- Mittente sospetto anche con nome familiare (controlla il dominio reale)
- Link che non corrispondono al dominio ufficiale al passaggio del mouse
- Richiesta di credenziali, codici OTP o pagamenti "urgenti"
- Errori grammaticali o tono insolito per quella comunicazione
- Fidarsi del nome del mittente senza verificare l'indirizzo completo
- Cliccare su link nelle email invece di andare direttamente sul sito
- Inserire credenziali su pagine raggiungibili solo da un link email
- Eseguire istruzioni telefoniche da chi afferma di essere "il supporto IT"
- Usare USB trovate in luoghi pubblici
Attacchi applicativi
Gli attacchi applicativi prendono di mira errori di programmazione nelle applicazioni web. Sono tra le categorie più comuni: il progetto OWASP (Open Web Application Security Project) documenta ogni anno le dieci vulnerabilità più critiche nelle applicazioni web.
SQL Injection
Rischio: altoL'attaccante inserisce codice SQL malevolo in un campo di input (form di login, barra di ricerca, URL) non correttamente validato. Se il codice viene eseguito dal database, l'attaccante può leggere, modificare o cancellare dati, aggirare l'autenticazione o eseguire comandi sul server.
Un form di login esegue questa query: SELECT * FROM utenti WHERE email='[input]' AND password='[input]'. Se l'attaccante inserisce come email ' OR '1'='1, la query diventa sempre vera e bypassa la verifica della password.
XSS — Cross-Site Scripting
Rischio: altoL'attaccante inietta codice JavaScript malevolo in una pagina web che verrà eseguito nel browser di altri utenti. Può essere usato per rubare cookie di sessione, reindirizzare l'utente, modificare il contenuto della pagina o registrare i tasti premuti.
Il codice malevolo è nell'URL inviato alla vittima. Il server lo "riflette" nella risposta HTML senza sanitizzarlo. Richiede che la vittima clicchi su un link appositamente costruito.
Il codice malevolo viene salvato nel database (commento, profilo utente, messaggio) e mostrato a tutti gli utenti che visitano quella pagina. Più pericoloso perché non richiede un link specifico.
CSRF — Cross-Site Request Forgery
Rischio: medioL'attaccante induce un utente già autenticato su un sito (es. la propria banca) a inviare involontariamente una richiesta malevola. Il browser della vittima trasmette automaticamente i cookie di sessione, rendendo la richiesta apparentemente legittima.
L'utente è loggato nella banca online. Visita una pagina malevola che contiene un'immagine invisibile con src="https://banca.it/bonifico?importo=500&conto=attaccante". Il browser carica l'immagine inviando la richiesta con i cookie bancari: il bonifico viene eseguito.
Buffer Overflow
Rischio: alto (su software non aggiornato)L'attaccante invia più dati di quanti un buffer possa contenere. I dati in eccesso sovrascrivono zone di memoria adiacenti, potenzialmente modificando il flusso di esecuzione del programma. Tecnica classica per ottenere l'esecuzione di codice arbitrario sul server.
Command Injection
Rischio: altoSimile alla SQL injection, ma l'input malevolo viene eseguito come comando del sistema operativo invece che come query SQL. Se un'applicazione web passa l'input dell'utente direttamente a una shell, l'attaccante può eseguire qualsiasi comando con i privilegi del server.
Validazione e sanitizzazione di tutti gli input · Prepared statements per le query SQL · Content Security Policy (CSP) contro XSS · Token CSRF nelle form · Web Application Firewall (WAF) · Aggiornamenti regolari delle dipendenze.
Brute force e attacchi alle credenziali
Questi attacchi non sfruttano vulnerabilità nel codice ma tentano direttamente di indovinare o ottenere le credenziali di accesso. La loro efficacia dipende dalla qualità delle password utilizzate e dalla presenza di meccanismi di protezione.
Ogni anno decine di aziende subiscono violazioni di dati. I database con miliardi di credenziali vengono venduti o pubblicati online. Puoi verificare se la tua email è coinvolta su haveibeenpwned.com. Se sì, cambia immediatamente le password su tutti i servizi dove usi le stesse credenziali.
Password lunghe e uniche per ogni servizio (usa un password manager) · Autenticazione a due fattori (2FA) · Rate limiting e blocco account dopo N tentativi falliti · Monitoraggio dei data breach · CAPTCHA per scoraggiare i bot.
Come proteggersi — difesa a strati
Il principio cardine della sicurezza informatica è la difesa in profondità (defense in depth): predisporre più livelli di protezione sovrapposti, in modo che se uno fallisce gli altri contengano il danno.