Il 71% delle organizzazioni ha subito almeno una violazione legata alla protezione dell’identità online negli ultimi dodici mesi. Un numero che fa riflettere, certo, ma che racconta solo una parte della storia. Il report State of Identity Security 2026 pubblicato da Sophos mette nero su bianco una crisi che non riguarda soltanto i reparti IT delle grandi aziende, ma tocca chiunque abbia un’identità digitale. E parliamo praticamente di tutti.
Violazioni in crescita e un panorama che peggiora
Quel dato del 71% non è un’anomalia statistica o un picco momentaneo. È il segnale di un problema strutturale che si sta aggravando. Parliamo di imprese che, nonostante investimenti in cybersecurity, si ritrovano comunque esposte a violazioni legate alle identità digitali. Credenziali rubate, accessi non autorizzati, furti di dati personali: lo scenario è ampio e decisamente preoccupante. E non si tratta di piccole realtà con sistemi obsoleti. Il report di Sophos fotografa un ecosistema intero, dalle PMI fino alle grandi corporation, dove le difese tradizionali non bastano più.
Il punto è che la protezione dell’identità online non è più solo una questione di password robuste o autenticazione a due fattori. Questi strumenti restano fondamentali, ovviamente, ma il perimetro di attacco si è allargato in modo esponenziale. Ogni dipendente, ogni account di servizio, ogni dispositivo connesso rappresenta un potenziale punto di ingresso. E gli attaccanti lo sanno benissimo.
L’intelligenza artificiale agentiva cambia le regole del gioco
C’è un elemento che rende il quadro ancora più complesso, ed è l’arrivo dell’intelligenza artificiale agentiva. Non si parla della classica AI che risponde a domande o genera testi, ma di sistemi capaci di agire in modo autonomo, prendere decisioni e interagire con altri software senza supervisione umana costante. Questo tipo di tecnologia, se da un lato offre enormi opportunità per le aziende, dall’altro moltiplica i rischi legati alla sicurezza delle identità.
Pensare che un agente AI possa operare con credenziali proprie, accedere a database, eseguire operazioni e comunicare con altri sistemi apre scenari inediti. Chi controlla l’identità di quell’agente? Come si verifica che non sia stato compromesso? Le domande sono tante e le risposte, al momento, non sono affatto scontate. Il report di Sophos evidenzia proprio questo: con la diffusione dell’AI agentiva, la superficie di attacco è destinata a crescere in modo significativo, e le organizzazioni non sembrano preparate.
Un problema che riguarda anche i singoli utenti
Sarebbe un errore pensare che tutto questo sia affare esclusivo delle aziende. Quando un’organizzazione subisce una violazione delle identità, i dati che finiscono esposti sono spesso quelli dei clienti, degli utenti, delle persone comuni. Nomi, email, numeri di telefono, a volte molto di più. La protezione dell’identità online è quindi una responsabilità condivisa, che parte dalle scelte individuali e arriva fino alle policy aziendali.
