Quando il processo di assunzione diventa il vettore di rischio che HR, IT e Security non governano insieme
Numeri industriali, non aneddoti
Un singolo gruppo di ventidue operatori ha inviato centosettantamila candidature in dieci mesi. Ne ha piazzate settantasei in aziende reali. Non attraverso exploit zero-day, non con phishing sofisticato, non violando un perimetro di rete. Attraverso colloqui video, curriculum convincenti e un processo HR che funziona esattamente come è stato progettato, senza chiedersi se la persona dall'altra parte dello schermo esista davvero. Quando un'organizzazione ha spedito un laptop-trappola all'indirizzo del neoassunto, la webcam ha ripreso un armadio pieno di computer aziendali di altre imprese, con i loghi ancora visibili sugli schermi. Una laptop farm, gestita come una catena di montaggio. I dati più recenti indicano che operazioni di infiltrazione lavorativa nel settore IT, condotte da attori statali nordcoreani, hanno raggiunto una scala industriale. L'intelligenza artificiale ha abbattuto costi e barriere linguistiche: le candidature generate sono ormai indistinguibili da quelle legittime. Come ha osservato Brian Jack, responsabile della sicurezza informatica di un'azienda che ha vissuto direttamente un'assunzione fraudolenta nel 2024, nel 2026 non conoscere questa minaccia è una negligenza, non una lacuna.
Un rischio che parla la lingua del business
L'impatto di un'infiltrazione riuscita non si misura in vulnerabilità tecniche. Si misura in accesso diretto, con credenziali legittime, a proprietà intellettuale, codice sorgente, dati sensibili. Un operativo che riceve il badge e il portatile aziendale non ha bisogno di bypassare alcun controllo: è dentro il perimetro per definizione. Il secondo livello di esposizione è sanzionatorio: il flusso di denaro generato da questi stipendi alimenta direttamente un regime sotto embargo internazionale. L'organizzazione che paga quello stipendio si trova, inconsapevolmente, nella catena di finanziamento. Il terzo effetto è operativo: decine di migliaia di candidature AI-generated intasano i processi di selezione, alzano i costi per candidato e abbassano la qualità del pipeline. Il danno reputazionale, infine, è immediato e difficile da contenere quando un caso diventa pubblico. Ryan LaSalle, alla guida di un'azienda specializzata in intelligence sulle minacce, lo sintetizza con chiarezza: la responsabilità di questo rischio ricade su una catena decisionale, HR, IT provisioning, Security, che tipicamente non ha un owner unico. E ciò che non ha un owner unico, nella pratica, non ha un owner.
La frattura che il board non vede
Qui si annida la frizione di governance più pericolosa. Il processo di assunzione è governato da HR, che valuta competenze e fit culturale. Il provisioning dei dispositivi è gestito da IT, che esegue procedure standardizzate. Il monitoraggio delle minacce interne è responsabilità della funzione Security. Ma nessuna di queste tre aree ha visibilità completa sulla catena end-to-end. I segnali deboli, un indirizzo di spedizione che cambia all'ultimo momento, un profilo LinkedIn creato tre mesi prima, un numero VoIP anziché mobile, cadono nelle fessure tra un handoff e l'altro. Non vengono ignorati per malafede. Vengono ignorati perché nessun processo li intercetta, nessuna metrica li misura, nessun comitato li analizza. Il paradosso più insidioso è quello del "bravo dipendente": l'operativo non ha fretta di rubare dati, perché il suo obiettivo primario è restare. Più a lungo resta, più stipendi genera, più accesso accumula. La funzione Security eredita un insider threat che è stato "validato" da un processo su cui non ha mai avuto autorità. Nicholas Kowalczyk, che gestisce rischio e compliance in un grande operatore del settore staffing, conferma: il punto cieco non è tecnologico, è organizzativo.
Il quadro normativo non lascia alibi
L'appiglio regolatorio è indiretto ma solido su più fronti. La direttiva NIS2, all'articolo 21, comma 2, lettera i, richiede esplicitamente ai soggetti essenziali e importanti l'adozione di misure di sicurezza delle risorse umane e politiche di controllo degli accessi. Il vetting del personale non è un suggerimento: è un obbligo. DORA, agli articoli 28-30, impone la gestione del rischio ICT derivante da terze parti, inclusi i contractor e i lavoratori contingenti, figure che, nelle prassi operative, ottengono spesso lo stesso livello di accesso dei dipendenti a tempo indeterminato. Il GDPR, dal canto suo, impone che l'accesso ai dati personali sia limitato a soggetti autorizzati e verificati. L'advisory congiunto che include esplicitamente la Germania conferma che la minaccia è riconosciuta a livello europeo, anche se i casi documentati restano prevalentemente nordamericani. Questo non riduce il rischio per le organizzazioni europee: lo rende semplicemente non ancora misurato. Jim Desmond, responsabile della sicurezza di un'azienda leader nel background screening, lo dice in modo diretto: il problema non è se arriverà in Europa, è se qualcuno lo sta già cercando.
La domanda che manca nell'organigramma
Se un operativo con identità falsa superasse domani quattro colloqui video nella vostra organizzazione, chi nel vostro organigramma se ne accorgerebbe? E soprattutto: a quale punto del processo? Prima dell'offerta? Prima del provisioning del laptop? Prima che il primo commit arrivi nel repository? La risposta, nella maggior parte delle organizzazioni europee, è che nessuno se ne accorgerebbe, perché il processo non è progettato per intercettare questo scenario. Non è un problema di budget. Non è un problema di strumenti. È un problema di architettura decisionale: tre funzioni, tre responsabilità parziali, zero ownership integrata. La soluzione non è un tool. È una riconfigurazione di processo che richiede un mandato esplicito dal board.
La minaccia più difficile da intercettare non è quella che forza la porta. È quella che suona il campanello, supera il colloquio e riceve il badge. Il vostro processo di assunzione è progettato per distinguerle?