Le organizzazioni che gestiscono infrastrutture critiche stanno affrontando un panorama di minacce in cui gli aggressori sfruttano credenziali rubate, strumenti nativi e tecniche “living-off-the-land” per spostarsi indisturbati all’interno delle reti. In risposta, l’agenzia statunitense CISA (Cybersecurity and Infrastructure Security Agency) ha pubblicato, il 18 settembre 2026, una guida pratica dedicata ai cyber decoy definendoli come risorse che sembrano legittime ma sono studiate per distrarre, rilevare o raccogliere cyber threat intelligence (CTI).
Linee guida CISA: integrazione dei decoy nel modello Zero Trust
La direttiva sottolinea che, in un contesto Zero Trust ogni utente, dispositivo o segmento di rete deve essere trattato come potenzialmente compromesso. I decoy, inseriti strategicamente, consentono un monitoraggio continuo e la generazione di allarmi ad alta fedeltà, riducendo l’alert fatigue per i team di sicurezza e abbattendo il mean-time-to-detection (MTTD). La guida, scaricabile dal sito di CISA, individua tre azioni immediate per i team difensivi: impostare tripwire digitali attorno a asset critici, mappare le tattiche degli avversari con i framework MITRE ATT&CK e MITRE Engage e condurre emulazione delle minacce per testare e affinare costantemente i decoy.
Tripwire, MITRE e emulazione: i tre pilastri operativi
Un tripwire è una trappola configurata in modo che qualsiasi interazione – accesso, tentativo di autenticazione o esecuzione di comandi – generi immediatamente un avviso di sicurezza. Utilizzando la matrice MITRE ATT&CK, le organizzazioni possono associare ogni possibile TTP (tattica, tecnica, procedura) a un decoy specifico, garantendo una copertura completa dei percorsi di attacco più probabili. L’emulazione delle minacce, invece, prevede la simulazione di comportamenti avversari reali per verificare l’efficacia dei decoy e correggere eventuali falsi positivi o configurazioni errate.
Prospettiva NCSC: risultati dei test del 2025 e avvertimenti pratici
Il NCSC britannico, pur non avendo pubblicato una sua guida formale, ha condotto una serie di sperimentazioni nell’ambito del programma ACD 2.0, concluse a dicembre 2025. Sono stati coinvolti 121 organizzazioni final-user e 14 fornitori tecnologici per verificare tre ipotesi: i decoy possono individuare compromissioni nascoste, rilevare attacchi in corso e modificare il comportamento degli avversari quando vengono percepiti. I risultati confermano l’efficacia dell’approccio, ma evidenziano anche dei rischi: una configurazione imprecisa può creare rumore inutile o, peggio, aprire vulnerabilità aggiuntive. Inoltre, la mancanza di una terminologia standard ha generato confusione tra i partecipanti.
Impatto psicologico e considerazioni operative
Una delle scoperte più interessanti è stata la risposta psicologica degli aggressori. Quando percepiscono l’esistenza di decoy, la loro fiducia diminuisce e tendono a commettere errori, perdendo tempo prezioso. Andy Smith, co-fondatore di Tracebit, ha commentato: “AI ha rivoluzionato il modo di distribuire i canarini su larga scala, mantenendoli freschi e rilevanti per l’attaccante. I decoy aumentano i costi e i tempi di un attacco, spingendo gli aggressori a cercare un bersaglio più semplice”. Questo aspetto, non approfondito dal rapporto CISA, rappresenta un valore aggiunto significativo.
Esperienze di campo: il caso Sysdig e i decoy per IA
Crystal Morin, senior cyber security strategist di Sysdig, ha sottolineato che la tipologia di decoy deve essere adeguata al profilo dell’avversario. “Non tutti i decoy sono uguali: quelli progettati per agenti AI rispondono in modo differente rispetto a quelli destinati a hacker umani”, afferma Morin. In un test interno, Sysdig ha inserito un prompt injection in un container vulnerabile; i grandi modelli linguistici (LLM) hanno eseguito il payload e restituito il marcatore nascosto, mentre un analista umano ha riconosciuto l’imbroglio e lo ha ignorato. Questo esperimento dimostra come un decoy ben posizionato possa ridurre drasticamente il MTTD ma solo se corrisponde alla classe di minaccia attesa.
La combinazione di tripwire, breadcrumb, honeytoken e honeypot, orchestrata con i framework MITRE, può trasformare una rete da “punto di passaggio” a vero e proprio “campo minato” per gli aggressori, migliorando la resilienza complessiva delle infrastrutture critiche.
