Sì, e possono essere più efficaci, proprio perché le persone se li aspettano meno.

Smishing (SMS): gli SMS hanno un tasso di apertura superiore al 90%, contro il 20-30% delle email. I messaggi imitano tipicamente un'allerta di consegna (Posta, DHL), un avviso bancario o un messaggio dell'amministrazione. Il link reindirizza verso una falsa pagina di accesso. Su mobile, l'URL è spesso troncato e difficile da verificare.

Vishing (vocale): l'aggressore chiama direttamente la vittima fingendosi il supporto IT, una banca o Microsoft. La pressione in tempo reale e la voce umana aggirano le difese abituali. I deepfake vocali generati dall'IA permettono ora di imitare la voce di un collega o di un dirigente conosciuto.

La regola d'oro in entrambi i casi: non fornire mai informazioni sensibili a seguito di un messaggio o di una chiamata non sollecitata — richiamare direttamente l'organizzazione tramite un numero ufficiale conosciuto.

No. I percorsi di Bexxo Academy sono concepiti per essere accessibili a tutti i livelli, dal collaboratore senza formazione informatica al responsabile IT. Ogni percorso si adatta al profilo del partecipante. I moduli brevi (da 10 a 20 minuti) si integrano facilmente in una giornata lavorativa senza perturbazioni.

I nostri 12 modelli di politiche di sicurezza sono allineati ai controlli dell'ISO 27001:2022 (Allegato A) e alle raccomandazioni del NIST CSF. Coprono le aree chiave: autenticazione, controllo degli accessi, classificazione dei dati, crittografia, backup, gestione dei fornitori e delle risorse umane.

La nuova LPD (legge federale svizzera sulla protezione dei dati, in vigore dal settembre 2023) impone alle aziende di attuare misure tecniche e organizzative proporzionate per proteggere i dati personali. Sebbene non imponga esplicitamente un audit di rete annuale, la documentazione delle misure di sicurezza è obbligatoria. In caso di violazione dei dati, l'assenza di diligenza provata può comportare multe fino a 250 000 CHF per i responsabili del trattamento. Un rapporto di audit costituisce questa prova di diligenza presso l'Incaricato federale della protezione dei dati e della trasparenza (IFPDT).

Sì, un penetration test può potenzialmente disturbare la produzione, ma ciò dipende fortemente dalla metodologia utilizzata, dal livello di aggressività autorizzato e dalla maturità dell'infrastruttura testata. Ad esempio, lo sfruttamento di alcune vulnerabilità può causare riavvii di servizi, blocchi di accesso o un degrado delle prestazioni.

Per questo motivo, è essenziale definire un quadro chiaro prima di qualsiasi test, includendo le fasce orarie autorizzate, i sistemi da escludere (o da duplicare in ambiente di test) e le misure di backup. I pentesters professionisti applicano tecniche non distruttive, ma una comunicazione stretta con il team IT rimane indispensabile per anticipare e gestire gli impatti eventuali.

Un pentest può occasionalmente rivelare una zero-day, ma non è garantito. I pentesters si basano principalmente su vulnerabilità note (CVE, configurazioni errate, pratiche rischiose), ma può accadere che un test manuale, una logica di attacco particolare o un'intuizione permetta di scoprire una vulnerabilità inedita.

Tuttavia, la scoperta di zero-day nell'ambito di un pentest rimane rara e dipende dal livello di profondità dell'analisi, dall'esperienza dei tester e dalla complessità del sistema testato. Per questa ragione, alcuni pentest molto avanzati includono fasi di fuzzing o di audit del codice specifici per la ricerca di zero-day, soprattutto in contesti ad alto rischio (settore difesa, finanza, infrastrutture critiche).