La kill chain e il paradosso dei 15 giorni: gli attacchi si fermano all'inizio, o non si fermano
Un attacco informatico non è un lampo: è un processo che si sviluppa per giorni. In un caso reale, dal primo clic alla cifratura passarono quindici giorni — quindici occasioni perse per fermarlo.
PM
Di Pierpaolo Marturano11 giugno 2026 · 3 min di lettura · Aggiornato il 19 giugno 2026
Nel maggio 2017, in meno di ventiquattro ore, il ransomware WannaCry paralizzò oltre duecentomila computer in centocinquanta Paesi: ospedali britannici rinviarono interventi, fabbriche fermarono le linee. Da allora il crimine informatico si è industrializzato — con ruoli specializzati, broker di accessi, operatori, persino "assistenza clienti" per le vittime che pagano. Ma per difendersi conviene partire da una constatazione semplice e spesso ignorata: un attacco non è un evento istantaneo, è un processo. E ogni processo si può interrompere.
La catena, fase per fase
La cyber kill chain descrive i passi dell'aggressore: ricognizione, preparazione dell'arma, consegna (di solito un'email di phishing), exploit, persistenza, escalation dei privilegi, movimento laterale e infine impatto — esfiltrazione o cifratura. Il punto cruciale è che ogni fase è un'occasione per individuare e fermare l'intruso. La sicurezza, letta così, non è un muro unico da reggere, ma una sequenza di porte che si possono chiudere una alla volta.
In un caso reale documentato — una media azienda manifatturiera — dal primo clic alla cifratura passarono quindici giorni. Quindici giorni in cui l'attaccante esplorava la rete, mappava le credenziali, si stabilizzava. Quindici giorni in cui avrebbe potuto essere scoperto, e non lo fu.
È il paradosso della kill chain: se non rilevi l'attacco nei primi giorni, di solito hai già perso.
Quel paradosso ribalta l'intuizione comune. Non conta solo la robustezza del perimetro, conta la capacità di accorgersi che qualcuno è già dentro e si sta muovendo. Le occasioni per intervenire ci sono — quindici, in quel caso — ma valgono solo se qualcuno le sa leggere mentre accadono, non a cifratura avvenuta.
Perché il backup non basta più
Il ransomware è cambiato. Dalla singola estorsione (cifrare i dati e chiedere un riscatto per la chiave) si è passati alla doppia (prima rubare i dati, poi cifrarli, e minacciare di pubblicarli) e alla tripla (aggiungere attacchi DDoS, contattare clienti e autorità). È un'evoluzione che colpisce proprio la difesa su cui molte aziende contavano.
La conseguenza è netta: il backup, da solo, non protegge più. Se i dati sono stati esfiltrati prima della cifratura, pagare per decifrarli non impedisce la loro pubblicazione. Il ripristino restituisce l'operatività, non la riservatezza. E i costi cascano: per una piccola azienda, tra produzione ferma, consulenti, penali e nuova infrastruttura, il conto supera facilmente le centinaia di migliaia di euro.
I numeri WannaCry, 2017: oltre 200.000 computer colpiti in 150 Paesi in meno di 24 ore. Il caso documentato: 15 giorni dal primo clic alla cifratura. Per una piccola azienda, tra produzione ferma, consulenti, penali e nuova infrastruttura, il conto supera facilmente le centinaia di migliaia di euro.
Dal castello allo zero trust — e alla responsabilità personale
Il vecchio modello "castello e fossato" — firewall a difesa del perimetro, fiducia totale all'interno — è obsoleto: i dipendenti lavorano da casa, i dati vivono nel cloud, i fornitori hanno accessi diretti. Il perimetro, semplicemente, non esiste più nei termini in cui lo si pensava. La risposta è lo zero trust: "mai fidarsi, sempre verificare", autenticazione e privilegi minimi per ogni accesso, indipendentemente da dove arrivi.
E c'è una novità che cambia le priorità in consiglio di amministrazione: con la direttiva europea NIS2, la sicurezza non è più delegabile all'IT. I dirigenti devono approvare personalmente le misure di gestione del rischio e possono risponderne in proprio. È uno spostamento di baricentro: il rischio informatico smette di essere una voce tecnica e diventa una scelta di governance. La cybersecurity ha smesso di essere un problema tecnico: è diventata una disciplina organizzativa, e una responsabilità di chi guida.
Questo articolo riprende temi trattati in «Cybersecurity per Aziende» (Core Matrix Edizioni).
In May 2017, in less than twenty-four hours, the WannaCry ransomware paralyzed over two hundred thousand computers in one hundred fifty countries: British hospitals postponed surgeries, factories halted production lines. Since then cybercrime has become industrialized — with specialized roles, access brokers, operators, even "customer support" for victims who pay. But to defend yourself it helps to start from a simple, often ignored fact: an attack is not an instantaneous event, it is a process. And every process can be interrupted.
The chain, phase by phase
The cyber kill chain describes the attacker's steps: reconnaissance, weaponization, delivery (usually a phishing email), exploitation, persistence, privilege escalation, lateral movement and finally impact — exfiltration or encryption. The crucial point is that every phase is an opportunity to detect and stop the intruder. Read this way, security is not a single wall to hold, but a sequence of doors that can be closed one at a time.
In a real documented case — a mid-sized manufacturing company — fifteen days passed from the first click to encryption. Fifteen days in which the attacker explored the network, mapped credentials, stabilized access. Fifteen days in which they could have been found, and were not.
It is the kill chain paradox: if you don't detect the attack in the first days, you have usually already lost.
That paradox overturns the common intuition. What matters is not only the strength of the perimeter, but the ability to notice that someone is already inside and on the move. The chances to intervene exist — fifteen, in that case — but they count only if someone can read them as they happen, not once encryption is done.
Why backup is no longer enough
Ransomware has changed. From single extortion (encrypt the data and demand a ransom for the key) it moved to double (first steal the data, then encrypt it, and threaten to publish it) and triple (add DDoS attacks, contact customers and authorities). It is an evolution that strikes precisely the defense many companies relied on.
The consequence is stark: backup alone no longer protects. If the data was exfiltrated before encryption, paying to decrypt it does not prevent its publication. Recovery restores operations, not confidentiality. And costs cascade: for a small company, between halted production, consultants, penalties and new infrastructure, the bill easily exceeds hundreds of thousands of euros.
By the numbers WannaCry, 2017: over 200,000 computers hit in 150 countries in less than 24 hours. The documented case: 15 days from the first click to encryption. For a small company, between halted production, consultants, penalties and new infrastructure, the bill easily exceeds hundreds of thousands of euros.
From the castle to zero trust — and personal liability
The old "castle and moat" model — a firewall defending the perimeter, total trust inside — is obsolete: employees work from home, data lives in the cloud, suppliers have direct access. The perimeter, quite simply, no longer exists in the terms it was once imagined. The answer is zero trust: "never trust, always verify", authentication and least privilege for every access, regardless of where it comes from.
And there is a change that reshapes priorities in the boardroom: under the European NIS2 directive, security can no longer be delegated to IT. Executives must personally approve risk-management measures and can be held personally accountable. It is a shift in the center of gravity: cyber risk stops being a technical line item and becomes a governance choice. Cybersecurity has stopped being a technical problem: it has become an organizational discipline, and a responsibility of those who lead.
This article draws on themes from «Cybersecurity per Aziende» (Core Matrix Edizioni).
