L'hacking con IA rende il password spraying più veloce. Ecco come colmare il divario

L'hacking con IA non ha inventato il password spraying. Ha solo fornito un motore più veloce

Password spraying è uno degli attacchi meno appariscenti che ci siano. Un attaccante sceglie un piccolo numero di password comuni e le prova su una lunga lista di account, restando sotto le soglie di blocco in modo che nessun singolo fallimento attivi un allarme. Nessun exploit. Nessun malware. Solo pazienza e un modulo di accesso.

Il password spraying è anche la tecnica dietro la maggior parte degli attacchi di identità oggi. Abbiamo spiegato perché in Password spraying: il 97% degli attacchi non effettua hacking, si limitano ad accedere, e quella matematica non è cambiata. Ciò che è cambiato è chi può eseguire l’attacco e quanto velocemente.

Questa è la storia dietro l'hacking con IA: non un nuovo tipo di attacco, ma uno vecchio che si svolge a una velocità e scala che gli operatori umani non hanno mai avuto.

Cosa che l’hacking AI cambia realmente in una campagna spray

Una campagna manuale di password spray ha limiti naturali. Qualcuno deve scegliere la lista delle password, gestire i tempi e adattarsi quando un account viene bloccato o scatta una difesa. L’hacking con IA rimuove la maggior parte di questi limiti.

• Ottimizzazione del tempo. Invece di indovinare gli intervalli sicuri tra i tentativi, gli strumenti di hacking AI modellano la politica di blocco di un'organizzazione e regolano le richieste appena sotto la soglia, su migliaia di account contemporaneamente.
• Rotazione dell'infrastruttura. Gli aggressori possono attivare e disattivare catene proxy automaticamente, quindi la stessa fonte non genera mai abbastanza tentativi di accesso falliti da essere segnalata.
• Personalizzazione su larga scala. Lo stesso approccio di hacking con IA che rende le email di phishing più convincenti crea anche elenchi di credenziali più intelligenti, estraendo nomi dei dipendenti, formati e probabili schemi di password da dati di violazioni pubbliche e profili social.

La ricerca di Netwrix mostra che il divario sta già costando alle organizzazioni

Netwrix Research Lab ha intervistato 2.317 professionisti IT e della sicurezza in 1.889 organizzazioni per il 2026 Data and Identity Security Report, e la scoperta principale è in linea con ciò che l'hacking AI sta facendo agli attacchi di identità in generale. Le organizzazioni in cui l'AI ha ampliato significativamente il numero di identità che richiedono accesso hanno riportato un tasso di violazioni del 43% negli ultimi 12 mesi, rispetto all'11% nelle organizzazioni in cui l'AI non ha modificato materialmente la loro impronta di identità. È una differenza di quattro volte, e non è una questione di maturità. Il rapporto ha rilevato che le organizzazioni che hanno puntato maggiormente sull'AI erano in realtà più avanti sui fondamenti dell'identità. Sono state violate comunque, perché la governance costruita per cambiamenti a ritmo umano non riesce a tenere il passo con identità e accessi creati alla velocità di deployment, la stessa velocità che l'hacking AI usa contro le difese basate su password.

Il rapporto ha anche rilevato che il 76% delle organizzazioni non governa né monitora completamente le identità non umane, e solo l'11% ha raggiunto la piena preparazione alla sicurezza AI.Scarica il rapporto completo 2026 Data and Identity Security Report per l'analisi completa, inclusi i benchmark di settore e regionali.

La rilevazione intercetta l’hacking AI in ritardo. La prevenzione lo ferma alla porta

L'analisi del comportamento e il rilevamento delle minacce sono importanti e catturano gran parte di ciò che supera la prima linea di difesa. Ma per il password spraying in particolare, il rilevamento è già un passo indietro. Quando una campagna di spraying genera un allarme, l'attaccante ha già provato la password. La prevenzione significa che la password debole o compromessa non è mai stata utilizzabile in primo luogo.

Quello è il livello per cui è stato creato Netwrix Password Policy Enforcer.

Dove si colloca Password Policy Enforcer

Password Policy Enforcer verifica le password nuove ed esistenti rispetto ai database di violazioni, come Have I Been Pwned, prima che vengano impostate, così le credenziali già esposte in una precedente fuga vengono bloccate invece di diventare il bersaglio degli attacchi della prossima settimana. Integra protezione con dizionario e modelli per intercettare parole comuni, sostituzioni e i modelli prevedibili che gli aggressori provano per primi, oltre a regole di complessità personalizzate per utente, gruppo o unità organizzativa.

Poiché viene eseguito sul controller di dominio negli ambienti Active Directory, l'applicazione della policy avviene nel momento in cui la password viene effettivamente creata o modificata, non successivamente. I modelli di conformità integrati per CIS, NIST, HIPAA e PCI DSS significano che la stessa policy che blocca un tentativo di spray soddisfa anche l'audit. E il feedback in tempo reale informa gli utenti sul motivo per cui una password è stata rifiutata, quindi la correzione avviene al primo tentativo invece che con un ticket di supporto.

La politica delle password blocca la porta principale. Data Classification limita ciò che c’è dietro

Password Policy Enforcer è progettato per impedire che un tentativo di attacco a spruzzo abbia successo, ma nessun controllo singolo chiude tutte le vie. Se un aggressore entra tramite un'email di phishing, una violazione di terze parti o un canale che Password Policy Enforcer non copre, ciò che accade dopo dipende da cosa quell'account può raggiungere e da quanto è esposto.

È qui che entra in gioco Netwrix Data Classification. Scopre e classifica continuamente i dati sensibili su file server, SharePoint, Microsoft 365 e repository cloud, così i team di sicurezza sanno dove si trovano realmente i dati regolamentati e ad alto rischio prima di un incidente, non dopo. Segnala anche dati ridondanti, obsoleti e triviali per la pulizia, riducendo la quantità di dati esposti che un attaccante potrebbe trovare in primo luogo. Da lì, alimenta quella classificazione negli strumenti di governance degli accessi e DLP a valle, fornendo a quei sistemi ciò di cui hanno bisogno per stringere permessi e controlli su ciò che è effettivamente sensibile invece di applicarli ciecamente a tutto.

Password Policy Enforcer e Data Classification risolvono problemi diversi. Uno impedisce che una password rubata o indovinata funzioni. L'altro assicura che, se un account viene comunque compromesso, ci siano meno dati sensibili a portata di mano e migliori informazioni su dove si trovano esattamente. Insieme restringono entrambe le estremità dell'attacco: meno credenziali funzionanti e dati sensibili classificati prima che un attaccante li trovi.

L'hacking con IA aumenta la velocità dell'attacco, non la difficoltà di difendersi. I principi fondamentali rimangono: applicare una corretta igiene delle credenziali e sapere dove si trovano i dati sensibili. Se si fanno bene entrambi, la velocità dell'attaccante smette di essere un vantaggio.