Sicurezza dell’identità delle banche e IA

Cosa significa il mandato della BCE sulla cybersicurezza basata sull’IA di ottobre 2026 per la sicurezza dell’identità delle banche?

Il 7 luglio 2026, la Banca Centrale Europea ha ordinato alle banche dell’area euro di predisporre, entro il 31 ottobre 2026, un piano per affrontare le minacce informatiche basate sull’IA in grado di perturbare i servizi finanziari. Il mandato riguarda le banche dei seguenti Paesi europei: Austria, Belgio, Bulgaria, Croazia, Cipro, Estonia, Finlandia, Francia, Germania, Grecia, Irlanda, Italia, Lettonia, Lituania, Lussemburgo, Malta, Paesi Bassi, Portogallo, Slovacchia, Slovenia e Spagna.

È importante sottolineare che non si tratta soltanto di una linea guida, ma di una scadenza entro la quale adottare misure contro minacce informatiche sempre più sofisticate. L’identità è uno dei pochi livelli di controllo sui quali una banca può intervenire direttamente, senza attendere la roadmap di un fornitore o un rinnovo dell’infrastruttura.

Questo nuovo mandato della BCE evidenzia una tendenza più ampia verso una verifica dell’identità più solida, mentre le organizzazioni affrontano minacce informatiche sempre più sofisticate e accelerate dall’IA. Di fatto, l’identità è diventata la principale superficie di attacco per i criminali informatici, con l’86% degli attacchi di phishing ora alimentati dall’IA.

Il mandato riflette un’evoluzione che le autorità di regolamentazione non possono più considerare teorica: l’IA ha ridotto il divario tra il momento in cui viene scoperta una vulnerabilità e quello in cui viene sfruttata. In passato, i team di sicurezza avevano settimane per correggere una falla o rilevare un accesso sospetto. Con gli attacchi accelerati dall’IA, questa finestra si misura ormai in minuti.

Tre tendenze principali favoriscono questa compressione:

1. I modelli all’avanguardia possono individuare e sfruttare vulnerabilità in modo autonomo. I modelli più recenti hanno dimostrato di poter scoprire vulnerabilità finora sconosciute e costruire attacchi sofisticati sulla base dei risultati ottenuti. Inoltre, hanno dimostrato la capacità di combinare vulnerabilità di gravità moderata o bassa per realizzare attacchi efficaci.
2. Phishing generato dall’IA su larga scala. Gli attaccanti utilizzano l’IA generativa per produrre contenuti di phishing personalizzati e convincenti più rapidamente e in volumi molto maggiori rispetto alle campagne manuali. Un agente potrebbe utilizzare credenziali rubate per accedere a sistemi con vulnerabilità non corrette.
3. Dal furto di credenziali alla compromissione degli account in pochi minuti, non giorni. L’IA è in grado di costruire autonomamente exploit basati sulle vulnerabilità, riducendo drasticamente i tempi di risposta a disposizione dei team di sicurezza. Se un modello all’avanguardia individua una vulnerabilità sconosciuta, la sfida nel rispondere diventa ancora maggiore. Con credenziali rubate, l’IA dispone ora dell’accesso necessario per portare a termine l’attacco sfruttando le vulnerabilità appena scoperte.

La gestione degli accessi è un controllo fondamentale per contrastare la nuova realtà in cui viviamo. Come già accade, i meccanismi di autenticazione legacy che dipendono dalla decisione di una persona sotto pressione (approvare una notifica push, leggere un codice o fidarsi di una voce al telefono) non sono più sufficienti per proteggere l’accesso.

Controlli di identità resi indispensabili dall’IA

La direttiva della BCE è orientata ai risultati e non costituisce una checklist tecnologica prescrittiva. Le banche devono andare oltre una semplice dichiarazione di principi e creare un piano d’azione documentato che dimostri di aver valutato la propria esposizione alle minacce legate all’IA e di aver messo in atto misure concrete di mitigazione. In pratica, ciò significa affrontare la gestione delle vulnerabilità, il rilevamento automatizzato delle minacce e i controlli di identità e accesso con la stessa urgenza con cui operano oggi gli attaccanti.

L’identità è al centro di questo piano per una ragione semplice: protegge l’accesso a sistemi che potrebbero presentare una vulnerabilità sfruttabile. Inoltre, è il livello di controllo che le banche possono rafforzare più rapidamente ed è quello che l’IA è più direttamente progettata per attaccare. Due aree hanno il maggiore impatto immediato e a lungo termine e richiedono uno sforzo minimo:

1. Autenticazione resistente al phishing per gli utenti privilegiati. Codici, link e approvazioni push dipendono tutti dalla capacità di una persona di riconoscere una frode. L’autenticazione hardware FIDO2/WebAuthn elimina questa dipendenza: non esiste alcun codice da sottrarre tramite phishing né alcun segreto condiviso che l’IA possa estrarre, perché la credenziale è legata a un dispositivo fisico anziché a qualcosa che una persona potrebbe essere indotta a rivelare. Un’azienda non può fermarsi agli utenti privilegiati. In primo luogo, la definizione di utente privilegiato può essere complessa, poiché molti utenti hanno accesso a dati e sistemi sensibili. In secondo luogo, gli attacchi seguono spesso uno schema che prevede un primo accesso con un account a privilegi ridotti e la successiva individuazione di falle per accedere a un account con privilegi maggiori. Per essere pienamente protetti, tutti gli utenti devono utilizzare soluzioni di autenticazione resistenti al phishing.
2. Identificare e proteggere i punti di accesso pubblici e l’help desk. Gli attaccanti si concentreranno sui vettori ai quali possono accedere, a partire dagli accessi da Internet. Assicuratevi che tutti gli endpoint siano noti e richiedano meccanismi di autenticazione resistenti al phishing. Un altro vettore facilmente accessibile è l’help desk, dove gli strumenti di IA possono essere utilizzati per convincere un operatore a trasferire l’accesso. Se il recupero di un account può essere approvato da una voce al telefono, può esserlo anche da una voce clonata. La verifica degli utenti da parte dell’help desk deve includere un passaggio che una voce o un messaggio generato dall’IA non possa superare da solo.

I dati confermano l’urgenza: la ricerca di cyber intelligence di IBM indica un aumento del 44% su base annua nello sfruttamento di applicazioni pubbliche, in gran parte attraverso la raccolta di credenziali assistita dall’IA. Nel frattempo, le organizzazioni che sostituiscono l’autenticazione multifattore (MFA) tradizionale con l’autenticazione FIDO2/WebAuthn, come le chiavi di sicurezza fisiche, hanno registrato una riduzione delle compromissioni degli account fino al 99,9%, in gran parte perché nel flusso non rimane alcun segreto suscettibile di phishing da rubare.

Un monitoraggio continuo, una segmentazione degli accessi just-in-time e piani di risposta agli incidenti testati rispetto a tempistiche accelerate dall’IA completano un piano completo.

Il rapporto con DORA

Le banche che stanno già lavorando sulla gestione dei rischi ICT e sui requisiti di autenticazione forte previsti da DORA riconosceranno molte sovrapposizioni. Il mandato della BCE non è la stessa cosa di DORA, ma i due quadri si sovrappongono in modo significativo. DORA disciplina la gestione complessiva dei rischi ICT e la resilienza; questo mandato richiede specificamente un piano per le minacce informatiche legate all’IA. L’autenticazione resistente al phishing soddisfa i requisiti di entrambe le direttive. Implementare un’MFA resistente al phishing per conformarsi al mandato della BCE sull’IA soddisfa contemporaneamente le disposizioni di autenticazione di DORA. Un investimento nell’identità consente di adempiere a due obblighi normativi.

Se desideri accedere al testo originale, clicca qui