Un’azienda può avere firewall aggiornati, formazione del personale e un SOC attivo 24 ore su 24 e restare comunque esposta, perché il punto debole non è mai stato al suo interno. Un supply chain attack sfrutta una vulnerabilità in un fornitore, in un software di terze parti o in un partner della filiera per raggiungere l’obiettivo reale. Ed è un fenomeno che sta crescendo più velocemente di quasi ogni altra tecnica di attacco.
Un vettore piccolo, un impatto enorme
I numeri raccontano una crescita che nessun’altra tecnica di attacco eguaglia. Secondo il Cost of a Data Breach Report 2025 di IBM, le violazioni legate a fornitori terzi sono tra i vettori di accesso più diffusi e più costosi monitorati: costano in media 4,91 milioni di dollari per incidente, secondo vettore più oneroso dopo lo sfruttamento di vulnerabilità zero-day; un costo che riflette l’effetto a cascata su più organizzazioni contemporaneamente quando un singolo fornitore viene compromesso.
Il Data Breach Investigations Report di Verizon conferma la traiettoria di crescita: l’edizione 2025 del report ha rilevato che il coinvolgimento di terze parti nelle violazioni è raddoppiato al 30% (dal 15% dell’edizione precedente); l’edizione 2026, più recente, segnala un’ulteriore crescita del 60% anno su anno, fino al 48% di tutte le violazioni. In entrambe le edizioni, le violazioni che coinvolgono terze parti risultano tra le più costose da gestire.
Perché la filiera è il punto debole strutturale
- Un fornitore IT gestisce spesso accessi privilegiati a più clienti contemporaneamente: comprometterlo significa ottenere una chiave che apre molte porte diverse con un solo attacco.
- Le PMI che fanno parte di filiere produttive più ampie sono bersagli indiretti privilegiati: attaccare un fornitore piccolo e meno protetto è spesso più semplice che colpire direttamente il cliente finale strutturato.
- Le dipendenze software (librerie, componenti open source, aggiornamenti automatici) creano canali di fiducia impliciti che gli attaccanti sfruttano proprio perché normalmente non vengono controllati con lo stesso rigore del traffico esterno.
Cosa significa in pratica per chi gestisce il rischio
La normativa europea sta già spingendo in questa direzione: la Direttiva NIS2 impone esplicitamente di valutare e gestire il rischio cyber lungo la catena di fornitura, non solo all’interno del proprio perimetro. Le linee guida ENISA sulla sicurezza della supply chain indicano un percorso concreto: mappare i fornitori critici, richiedere requisiti di sicurezza contrattuali verificabili, e monitorare continuativamente, non una tantum in fase di onboarding, il livello di esposizione di ciascun fornitore strategico.
Un rischio che si gestisce, non si elimina
Non è realistico pensare di azzerare la dipendenza da fornitori terzi: nessuna azienda produce internamente ogni componente software o servizio IT che utilizza. È realistico, invece, sapere quali fornitori hanno accesso a cosa, con quali garanzie contrattuali, e con quale capacità di rilevare tempestivamente un’anomalia, prima che diventi l’ennesimo caso di effetto a cascata sulle prime pagine.
Le risposte che cerchi: FAQ su supply chain attack
È un attacco informatico che non colpisce direttamente l’obiettivo finale, ma sfrutta una vulnerabilità in un fornitore, in un software di terze parti o in un partner della filiera per raggiungerlo indirettamente.
Quanto è diffuso il rischio legato ai fornitori?
È in forte crescita: secondo Verizon, il coinvolgimento di terze parti nelle violazioni è passato dal 15% al 30% in un anno, per poi raggiungere il 48% nell’edizione 2026 del report.
Quanto costa in media una violazione legata a terze parti?
In media 4,91 milioni di dollari, il secondo vettore di accesso più costoso dopo lo sfruttamento di vulnerabilità zero-day, secondo i dati raccolti da IBM e Verizon.
La normativa impone di controllare i fornitori?
Sì. La Direttiva NIS2 richiede esplicitamente di valutare e gestire il rischio cyber lungo tutta la catena di fornitura, non solo all’interno del proprio perimetro aziendale.
