Adam ListekIl red team di Microsoft descrive una debolezza che continua a sfruttare: “troppo accesso permanente, applicato con troppo poco rigore”. La maggior parte di ciò che il team sfrutta nell’identità, aggiunge, “non ha nulla a che fare con l’IA”.
Il Microsoft Digital Defense Report 2026 copre il periodo da luglio 2025 a giugno 2026. Nell’insieme dei risultati, gli attaccanti usano account validi e strumenti di amministrazione già noti per raggiungere più sistemi. Un’identità compromessa può aprire una sessione remota, esporre un’altra credenziale e offrire un percorso verso privilegi più alti.
Sono problemi concreti per i team che gestiscono l’accesso privilegiato. Una password può restare utile dopo la chiusura di una finestra di manutenzione. Un account può conservare diritti amministrativi tra un’attività e l’altra. Una connessione remota può lasciare troppe poche tracce per spiegare che cosa è successo.
I cinque risultati qui sotto collegano questi problemi a controlli precisi. Ogni sezione spiega il risultato e il ruolo di Devolutions oggi. L’ultima sezione riguarda il lavoro previsto per la 2027.1.
1. Il 52,2% delle intrusioni con account valido ha portato ad altro furto di credenziali
Nelle osservazioni di Microsoft Defender Experts, il 52,2% delle intrusioni iniziate con un account valido ha comportato un furto successivo di credenziali. Una volta dentro, gli attaccanti hanno raccolto altre credenziali e le hanno usate per ampliare l’accesso. Un account che può recuperare la password di un altro amministratore dà a un intruso un altro modo per muoversi nell’ambiente.
I criteri di checkout di Devolutions PAM possono richiedere un’approvazione, una motivazione o un ticket e una finestra di accesso definita. In Devolutions Cloud, il check-in reimposta la password dell’account privilegiato, così la password precedente non funziona più. L’approvazione limita chi riceve l’accesso; la rotazione limita per quanto tempo una password copiata resta utile.
2. Il phishing AiTM tramite URL ha rappresentato circa il 45% delle tecniche di phishing identificate
Il phishing tramite URL di tipo adversary-in-the-middle (AiTM) ha rappresentato circa il 45% delle tecniche di phishing identificate nel grafico di Microsoft. Microsoft segnala anche che gli attacchi alle password sono diminuiti del 26% su base annua, mentre il phishing AiTM e il furto di token hanno guadagnato quota nella prima metà del 2026. Il furto di sessione conta perché un attaccante può ottenere l’accesso dopo che l’utente legittimo ha completato i controlli di autenticazione.
In Devolutions Cloud e Devolutions Server, Devolutions PAM può richiedere l’autenticazione a più fattori (MFA) quando un account privilegiato viene sottoposto a checkout. È una verifica distinta dalla MFA all’autenticazione. La richiesta di autenticazione di un provider di identità esterno non soddisfa automaticamente il requisito del checkout. Gli amministratori devono configurare la MFA del checkout come controllo a sé.
3. Circa l’82% delle offerte di accesso pubblicizzate riguardava credenziali o portali di accesso remoto
Intel 471 ha seguito 2.591 offerte di accesso pubblicizzate. Le credenziali di accesso compromesse rappresentavano il 45%, e i portali aziendali di accesso remoto compromessi, compresi i dispositivi VPN, un altro 37%. Insieme, queste quote arrotondate arrivano a circa l’82% delle offerte. Un account funzionante o una connessione remota vale abbastanza per essere venduto prima che l’attaccante successivo inizi il lavoro.
Per le sessioni Remote Desktop Protocol (RDP), Devolutions Gateway può intermediare la connessione e iniettare le credenziali tramite un proxy, tenendo la password fuori dal computer dell’utente. Gli utenti esterni possono ricevere l’autorizzazione Execute senza l’autorizzazione View password. Un fornitore esterno può quindi usare la sessione configurata senza ricevere la password dell’account di destinazione.
4. Un agente RMM non autorizzato è un segnale affidabile di intrusione a metà percorso
Nelle indagini sugli endpoint, Microsoft ha rilevato che un agente non autorizzato di monitoraggio e gestione da remoto (RMM) era uno dei segnali più affidabili, a metà percorso, di un’intrusione condotta da persone. Questi strumenti danno agli attaccanti funzioni di comando remoto e di trasferimento file che compaiono anche nel lavoro legittimo di amministrazione. Chi indaga ha bisogno di un modo per stabilire chi ha autorizzato l’accesso e che cosa è successo durante la sessione.
Con Devolutions Cloud, Devolutions PAM e Gateway possono registrare le sessioni RDP, ARD, VNC e SSH supportate. I criteri di checkout possono anche terminare le sessioni al check-in. Accanto alla cronologia dei checkout, una registrazione dà a chi riesamina una prova del lavoro svolto. Questi controlli sostengono la supervisione dell’accesso approvato; rilevare un agente RMM non autorizzato richiede ancora il monitoraggio degli endpoint e della sicurezza.
5. I rilevamenti di ransomware nel settore IT sono passati da 248 a 649
La tabella ransomware enterprise di Microsoft indica 248 rilevamenti per il settore delle tecnologie dell’informazione nel 2025 e 649 nel 2026, circa 2,6 volte tanti. Queste cifre descrivono il settore IT, non gli attacchi ai sistemi IT in tutti i settori. L’aumento non stabilisce quali controlli di accesso hanno fallito, ma rafforza la necessità di limitare l’autorità disponibile per un account compromesso.
L’elevazione just-in-time (JIT) in Devolutions PAM aggiunge l’appartenenza al gruppo al checkout e la rimuove al check-in. Gli account standard mantengono le autorizzazioni di base, mentre gli account senza privilegio permanente ricevono i privilegi richiesti solo per la finestra di checkout. Gli amministratori possono completare il lavoro elevato senza lasciare quei diritti assegnati tra un’attività e l’altra.
Cosa arriva dopo: l’accesso privilegiato nella 2027.1
Il lavoro previsto per la 2027.1 si appoggia al checkout e ai controlli di sessione, con decisioni di accesso più dettagliate. Un motore di regole basato su flussi di lavoro definirà i passaggi di autenticazione e di checkout usando il richiedente, il provider, il gruppo di elevazione, la durata dell’accesso, la motivazione e il ticket. Il ramo che decide la richiesta verrà registrato.
WebAuthn e Duo sono previsti come metodi di MFA al checkout, e il modello esatto del fattore di checkout è ancora in definizione. I flussi di autenticazione sono previsti per richiedere la MFA e limitare i metodi consentiti, comprese le passkey. Devolutions Remote Desktop Manager (RDM) è previsto anche per usare le passkey memorizzate nell’area di lavoro quando un sito si apre nel browser integrato.
La direzione della versione tratta anche ciò che accade su un computer dopo che l’accesso è stato concesso. Luc Fauvel, responsabile di prodotto in Devolutions, descrive l’ampliamento previsto verso la gestione delle macchine:
“Mentre rafforziamo nella versione 2027.1 la nostra già solida gestione delle credenziali privilegiate e le connessioni remote sicure, aiutiamo anche gli amministratori a controllare ciò che accade sulle macchine stesse una volta stabilite quelle connessioni. La prossima versione di PEDM introduce la gestione centralizzata delle macchine e, con essa, il controllo dell’installazione delle applicazioni tramite UniGetUI. Da un unico punto, gli amministratori possono gestire le proprie macchine e definire quali applicazioni gli utenti possono installare su ciascuna di esse.”
Luc Fauvel, responsabile di prodotto in Devolutions
PEDM sta per Privilege Elevation and Delegation Management, la gestione dell’elevazione e della delega dei privilegi. I controlli previsti di gestione delle macchine estendono la supervisione all’installazione delle applicazioni sulle macchine gestite. Gli elementi della 2027.1 descritti qui restano capacità previste.
In sintesi
La prova utile è l’intero flusso di accesso privilegiato. L’approvazione deve stabilire la necessità dell’accesso. I controlli di sessione devono limitare l’esposizione delle credenziali e conservare una prova del lavoro. Il check-in deve ritirare la credenziale o i privilegi elevati secondo la politica.
I risultati di Microsoft danno ai team IT ragioni precise per esaminare ogni passaggio. La valutazione successiva può partire da un account di prova e seguirlo dalla richiesta di accesso fino al check-in.
Scarichi Devolutions RDM per valutare il checkout, l’elevazione just-in-time e le sessioni intermediate con un account privilegiato di prova.