La falla è nella filiera: perché gli attaccanti puntano sui fornitori

Il perimetro da proteggere non coincide più con quello dell’azienda. Una parte crescente dei servizi che utilizziamo ogni giorno dipende da software, piattaforme, fornitori tecnologici e componenti sviluppati da soggetti esterni, spesso inseriti a loro volta in catene ancora più complesse.

Il Threat Landscape 2026 di ENISA, l’Agenzia dell’Unione europea per la cybersicurezza, torna proprio su questo punto. Il rapporto, pubblicato il 22 settembre e basato sugli incidenti osservati nel corso del 2025, segnala come gli attacchi contro supply chain e terze parti continuino a produrre incidenti su larga scala e ad alto impatto. Tra le organizzazioni colpite analizzate da ENISA, il 73% appartiene inoltre ai settori classificati dalla NIS2 come essenziali o importanti.

Per un attaccante la ragione è piuttosto semplice: compromettere un servizio digitale utilizzato da molte aziende, una libreria software, un repository o un fornitore con accesso ai sistemi dei clienti può offrire una strada più efficiente rispetto al tentativo di colpire separatamente ogni singola organizzazione. ENISA segnala infatti un crescente interesse dei cybercriminali verso i fornitori terzi e richiama anche le compromissioni di librerie e pacchetti software molto diffusi.

 

La supply chain nasconde più dipendenze di quanto pensiamo

Il problema, allora, non riguarda soltanto quanto sia sicura l’infrastruttura interna, ma anche quanto conosciamo ciò che le sta intorno. Un fornitore può gestire dati, avere accessi remoti, distribuire aggiornamenti software o fornire un servizio indispensabile per un processo aziendale. E dietro quel fornitore possono essercene altri. La supply chain digitale diventa così una rete di dipendenze nella quale non sempre è immediato capire dove si trovi il punto più vulnerabile. Per questo conoscere i propri fornitori non può significare soltanto avere un elenco aggiornato. Serve capire quali accessi possiedono, quali servizi sostengono, quali dati trattano e cosa accadrebbe se uno di loro venisse compromesso o diventasse improvvisamente indisponibile.