Threat Actors - Nation-State, Insider, Hacktivist e altri

Cosa fa

#

Un threat actor e' qualsiasi individuo, gruppo o entita' che lancia o facilita un attacco informatico. Classificarli per motivazione e capacita' permette di calibrare le difese in modo proporzionato alla minaccia reale.

TL;DR

#

La domanda chiave davanti a un incidente non e' solo "cosa e' successo" ma "chi lo ha fatto e perche'". Un ransomware da cybercriminal si gestisce diversamente da un APT nation-state. Le motivazioni determinano la persistenza, la sofisticazione e gli obiettivi dell'attaccante.

1. Nation-State APT: risorse illimitate, stealth prolungato, obiettivi strategici
2. Cybercriminal: motivazione finanziaria, ransomware/RaaS, alta organizzazione
3. Hacktivist: motivazione ideologica, visibilita' pubblica, capacita' variabile
4. Insider Threat: accesso legittimo gia' dentro il perimetro, il piu' pericoloso
5. Script Kiddie: bassa capacita', tool preconfezionati, target non specifici
6. Competitor: spionaggio industriale, furto IP e segreti commerciali

Mappa globale — Threat Actors

#

Nation-State APT

#

Gli attori nation-state sono finanziati da governi e operano con risorse praticamente illimitate. Il loro obiettivo non e' un guadagno rapido ma il controllo a lungo termine: infrastrutture critiche, spionaggio, sabotaggio strategico.

Dev parallel: Un APT e' come un attaccante che ottiene credenziali di un utente e poi lavora silenziosamente nel sistema per mesi, leggendo dati senza mai alzare alert. Il suo obiettivo non e' fare down il sistema ma restare dentro. Equivale a un compromesso di un service account su un sistema di produzione, dove nessuno si accorge finche' non viene fatto un audit delle access log.

Cybercriminal e Ransomware-as-a-Service

#

I cybercriminal sono organizzati con strutture sempre piu' professionali. Il modello RaaS (Ransomware as a Service) ha reso accessibile l'attacco ransomware anche a chi non ha capacita' tecniche: si noleggia l'infrastruttura, si esegue l'attacco, si divide il riscatto.

Hacktivist

#

Gli hacktivist attaccano per ragioni ideologiche o politiche, cercando visibilita' pubblica piuttosto che guadagno economico. La loro capacita' tecnica e' variabile: da DDoS basilari a operazioni piu' sofisticate.

Insider Threat

#

L'insider threat e' il threat actor piu' pericoloso per un'organizzazione perche' ha gia' accesso legittimo e conosce i sistemi dall'interno. Si divide in due categorie fondamentalmente diverse per difesa e risposta.

Dev parallel: Come un ex-sviluppatore con una API key non revocata: ha ancora accesso ai sistemi anche dopo aver lasciato l'azienda. Non e' un exploit tecnico ma un fallimento del processo di account lifecycle. Le API key nei file .env pushati per errore su GitHub pubblico sono lo stesso problema: un insider involontario che ha esposto credenziali.

Script Kiddie e Competitor

#

Gli script kiddie usano tool preconfezionati senza capirne il funzionamento. Sono rumorosi e non selettivi, ma rappresentano il volume maggiore di tentativi di attacco automatici che ogni sistema deve filtrare.

I competitor conducono spionaggio industriale mirato: furto di proprieta' intellettuale, reverse engineering di prodotti, accesso a roadmap riservate o dati di clienti.

Shadow IT

#

Shadow IT non e' un threat actor ma un vettore di rischio: utenti o team che usano tool non approvati dall'IT security (Dropbox personale, ChatGPT con dati aziendali, SaaS non autorizzati) bypassando i controlli di DLP e policy aziendali.

Il rischio non e' l'intenzione malevola ma la perdita di visibilita' e controllo sui dati.

Scenario Reale

#

Un analista Blue Team riceve un alert da UEBA: un account di sviluppo ha effettuato download di 15 GB di codice sorgente alle 2:47 AM. Il dipendente ha dato le dimissioni la settimana precedente ma il processo di offboarding non ha ancora revocato tutti gli accessi.

Classificazione del threat actor: malicious insider in fase pre-dimissioni.

Azioni immediate: sospensione account, preservazione log di accesso per chain of custody, notifica HR e legal, avvio IR procedure.

Risorse

#

• MITRE ATT&CK Groups - database threat actor con TTP associate
• Mandiant APT Groups - report su campagne APT reali

Collegato a

#

• kill-chain - fasi operative degli attacchi
• mitre-attack-framework - mappatura TTP per threat actor
• supply-chain-attack - vettore preferito degli APT nation-state
• account-lifecycle - difesa critica contro insider threat
• lateral-movement - tecnica post-accesso iniziale