2026-07-19 · GUIDA · Il team di Offensive Technology

Cosa possono vedere davvero gli attaccanti della tua azienda?

La tua superficie di attacco esterna è tutto ciò che riguarda la tua azienda ed è raggiungibile da internet pubblico: ogni dominio, server, pagina di login, record di posta e password leaked che un attaccante può trovare senza mai mettere piede nel tuo ufficio o toccare i tuoi laptop. È la mappa che un attaccante traccia prima di fare qualsiasi altra cosa, e qui c'è la parte scomoda: di solito la tracciano meglio dell'azienda stessa, perché loro sono motivati e l'azienda è occupata.

Passiamo la nostra vita lavorativa a tracciare quella mappa dal punto di vista dell'attaccante. Ecco cosa c'è di solito sopra, in parole semplici, per un founder o un CTO che non ha mai acquistato security testing.

Sottodomini di cui avevi dimenticato l'esistenza

Il tuo sito principale è www.yourcompany.com. Ma nel corso degli anni l'azienda ha anche creato staging.yourcompany.com, old-demo.yourcompany.com, un microsito per una campagna del 2022 e una dashboard configurata da un consulente esterno. Sono tutti individuabili pubblicamente. I log di Certificate Transparency, un registro pubblico di ogni certificato TLS mai emesso, permettono a chiunque di elencare i sottodomini per cui hai richiesto certificati, usando strumenti gratuiti come crt.sh. Nessun hacking coinvolto, è una semplice consultazione.

Perché è importante: i sottodomini dimenticati eseguono software dimenticato. Un server di staging con il framework non aggiornato dello scorso anno, o un'istanza demo con una password predefinita, è un reale punto di ingresso. Peggio ancora, se un sottodominio punta ancora a un servizio cloud che hai smesso di pagare, un attaccante può a volte rivendicare quel servizio e distribuire i propri contenuti dal tuo dominio. Nel settore questo viene chiamato subdomain takeover, e succede ad aziende di ogni dimensione.

Servizi che non avrebbero mai dovuto essere pubblici

Esistono motori di ricerca per dispositivi connessi a internet. Shodan, il più conosciuto, indicizza continuamente ciò che è in ascolto su internet pubblico: database, pannelli di amministrazione, desktop remoti, webcam, stampanti. Se il tuo team ha mai esposto un database "solo per una settimana" per fare il debug di qualcosa, o un build server, o una dashboard interna, è rintracciabile da chiunque abbia una barra di ricerca.

I problemi più comuni che vediamo: porte di database aperte al mondo, desktop remoto o SSH su macchine che nessuno ricorda, interfacce di amministrazione per router e firewall, e strumenti di CI/CD o monitoraggio con credenziali deboli o predefinite. Nessuna di queste è stata una decisione presa deliberatamente. Sono avanzi, e gli avanzi sono ciò di cui si nutrono gli attaccanti.

Le tue password, dai data breach altrui

Quando un servizio terzo subisce un breach, gli indirizzi email e le password al suo interno finiscono in dump pubblici e semi-pubblici. Gli attaccanti li raccolgono e li provano ovunque, scommettendo sul fatto che le persone riutilizzino le password. La scommessa paga.

Puoi vedere parte della tua esposizione proprio ora: Have I Been Pwned, un servizio pubblico gratuito, ti permette di verificare quali breach contengono indirizzi del tuo dominio. Se un dipendente ha usato la propria email di lavoro e una password riutilizzata per registrarsi a uno strumento che in seguito ha subito un breach, quella combinazione potrebbe aprire i tuoi veri sistemi oggi stesso. Non è nulla di esotico. Il riutilizzo di credenziali da vecchi breach è uno dei modi più comuni in cui iniziano le vere intrusioni, e non richiede alcuna competenza tecnica.

Impostazioni e-mail e DNS che permettono ad altri di impersonarti

L'e-mail ha tre record di protezione, SPF, DKIM e DMARC, che dicono al mondo quali server possono inviare e-mail per conto del tuo dominio e cosa fare con le e-mail che falliscono il test. Sono record DNS pubblici, quindi un attaccante li controlla in pochi secondi. Se DMARC manca o è impostato per non fare nulla, e-mail che falsificano perfettamente il tuo dominio possono finire nella posta in arrivo.

L'attacco che questo abilita è sconfortantemente semplice: un'e-mail da quello che sembra essere il tuo CEO o il tuo indirizzo di fatturazione, inviata a un tuo cliente o alla tua amministrazione, che chiede di modificare i dati di pagamento. Nessun sistema viene violato. La tua identità viene semplicemente presa in prestito, perché un record DNS non è mai stato configurato.

Cosa significa questo all'atto pratico

Nota cosa hanno in comune tutte e quattro le categorie. Nessuna di esse richiede di forzare qualcosa. Sono osservazioni, fatte da dati pubblici, su cose che la tua azienda ha messo su internet e ha smesso di sorvegliare. Ecco perché "cosa possono vedere gli attaccanti su di noi" è una domanda di sicurezza iniziale migliore di "possiamo essere violati". La seconda è speculativa. La prima ha una risposta concreta e verificabile.

Se vuoi iniziare da solo, puoi: elencare i tuoi sottodomini tramite Certificate Transparency, cercare i tuoi domini su Shodan, controllare il tuo dominio su Have I Been Pwned e leggere i tuoi record SPF e DMARC. Imparerai qualcosa, e ognuno di questi passaggi è gratuito.

Dove entriamo in gioco noi

La parte difficile non è eseguire le ricerche. È sapere quali dei duecento risultati contano, qual è il vero punto di ingresso e quali sono solo rumore. Questa è capacità di valutazione, ed è la valutazione che acquisti quando ingaggi persone che attaccano sistemi di professione.

Il nostro controllo da $100 è esattamente questo esercizio fatto come si deve: un'analisi mirata della tua superficie esterna, su un perimetro di cui hai verificato la proprietà e autorizzato per iscritto, esaminata da un operatore senior, consegnata come report con prioritizzazione e un debriefing di 30 minuti in cui una persona reale risponde alle tue domande. Non risolverà la tua sicurezza. Porrà fine ai dubbi su ciò che vede un attaccante, ed è il punto di partenza corretto.

Superficie di attacco esterna: risposte rapide

Cos'è una superficie di attacco esterna?

Tutto ciò che riguarda la tua azienda ed è raggiungibile da internet pubblico: ogni dominio, server, pagina di login, record di posta e password leaked che un attaccante può trovare senza toccare il tuo ufficio o i tuoi laptop. È la mappa che un attaccante traccia per prima.

In che modo gli attaccanti trovano i sottodomini che ho dimenticato?

Principalmente tramite i log di Certificate Transparency, un registro pubblico di ogni certificato TLS mai emesso. Strumenti gratuiti come crt.sh permettono a chiunque di elencare i sottodomini per cui hai richiesto certificati. Si tratta di una semplice consultazione, non di hacking.

Posso controllare la mia superficie di attacco esterna gratuitamente?

In parte. Elenca i sottodomini tramite Certificate Transparency, cerca i tuoi domini su Shodan, controlla il tuo dominio su Have I Been Pwned e leggi i tuoi record SPF e DMARC. La parte difficile non è eseguire le ricerche, ma sapere quali risultati contano davvero.

Cos'è un subdomain takeover?

Quando un sottodominio punta ancora a un servizio cloud che hai smesso di pagare, un attaccante può a volte rivendicare quel servizio e distribuire i propri contenuti dal tuo dominio. Deriva direttamente da un record DNS dimenticato e succede ad aziende di ogni dimensione.

Letture correlate

• Quanto sono esposti allo spoofing e-mail i primi 1.000 domini? La nostra analisi su chi applica davvero DMARC.
• Quanto costa un penetration test?
• Controllo, scan o pentest completo?