Il tempo di reazione non è più una metrica operativa: è un indicatore di sopravvivenza. Quando SCATTERED SPIDER colpisce server Exchange non aggiornati sfruttando CVE-2026-42897, non sta dimostrando abilità straordinarie. Sta semplicemente correndo su un campo minato lasciato incustodito.

La vulnerabilità, un cross-site scripting (XSS) nell'interfaccia Outlook Web Access (OWA), permette il dirottamento delle sessioni tramite link malevoli. Un classico vettore di attacco, reso letale dall’esposizione diretta al web di sistemi critici. L’exploit è stato osservato in azione entro 18 ore dalla pubblicazione del CVE — un lasso di tempo che ormai rientra nella norma per attori ben organizzati.

Eppure, il dato più allarmante non è la tempestività dell’attacco, ma la cronica incapacità delle organizzazioni di chiudere la finestra di esposizione. Secondo i dati CISA 2025, il tempo mediano tra la disponibilità di una patch e la compromissione effettiva è di 187 giorni. Ma per dispositivi di perimetro come Exchange, quel tempo crolla a meno di 24 ore. Il perimetro non è più una barriera: è un bersaglio.

Il paradosso del 'quasi zero-day'

Quello che appare come un attacco zero-day è in realtà un exploit window failure. SCATTERED SPIDER non ha bisogno di zero-day: trova vulnerabilità note, già patchate, su sistemi ancora esposti. E non è sola. Gruppi con collegamenti alla Cina hanno utilizzato catene XSS simili nel 68% degli intrusioni recenti su OWA, secondo CrowdStrike 2026. Il pattern è chiaro: attaccano dove sanno di trovare ritardi, e li trovano quasi sempre.

La lezione è amara: il rischio non cresce con la sofisticazione dell’attacco, ma con la banalità della negligenza. Un link malevolo in OWA basta, se il sistema è esposto, non aggiornato e privo di controlli di accesso dinamici.

Difendersi con la matematica, non con la speranza

La buona notizia è che esistono contromisure efficaci, misurabili e testate. Non si tratta di tecnologie esoteriche, ma di applicazioni rigorose di principi di sicurezza già noti.

La prima: ridurre l’esposizione diretta di Exchange al web. Spostare l’accesso OWA dietro politiche di accesso condizionato con verifica della conformità del dispositivo taglia l’attacco superficiale dell’82%, secondo il Verizon DBIR 2025. Non è un dettaglio tecnico: è un cambiamento di architettura che sposta il perimetro dal server al dispositivo.

La seconda: isolamento del browser. Mandiant ha testato soluzioni di browser isolation per l’accesso a OWA in un pilota di 14 giorni, riducendo il successo degli attacchi XSS a livelli prossimi allo zero. L’idea è semplice: se il browser non gira sul dispositivo dell’utente, l’XSS non può rubare la sessione. Il risultato è potente: neutralizza l’exploit anche se la vulnerabilità esiste ancora.

La terza: timeout di sessione a 15 minuti. Una misura apparentemente banale, ma fondamentale per limitare il dwell time in caso di furto del token. Se un attaccante riesce a ottenere un cookie di sessione, ha solo un quarto d’ora per sfruttarlo. Non è una difesa completa, ma è un ostacolo che costringe a velocità operative superiori.

Queste misure non eliminano il rischio, ma ne riducono l’impatto a livelli gestibili. E soprattutto, spostano il campo di battaglia: non si tratta più di vincere la corsa alla patch, ma di rendere inutile l’exploit anche se applicato.

La domanda cruciale non è se il vostro Exchange sia patchato. È: quando il vostro team ha simulato un’emergenza con finestra di exploit inferiore a 24 ore? Perché ormai, non è più un’ipotesi. È il nuovo standard operativo.