Perché gli attacchi RDP sono ancora la via d’accesso preferita dagli hacker?

Nonostante l’evoluzione delle tecnologie di sicurezza, il protocollo Remote Desktop Protocol (RDP) rimane costantemente in cima alla lista dei vettori d’attacco più utilizzati dai gruppi cybercriminali. Per una PMI o una grande azienda, lasciare una porta RDP aperta verso internet equivale a lasciare le chiavi di casa inserite nella serratura esterna. Ma perché questo protocollo è così vulnerabile e perché continua a essere utilizzato massicciamente?

In questo articolo analizziamo le cause della diffusione degli attacchi RDP e come proteggere l’infrastruttura aziendale.

1. Facilità di sfruttamento e automazione

Gli attaccanti non hanno bisogno di competenze avanzate per colpire un server RDP esposto. Esistono botnet automatizzate che scansionano l’intero spazio IP mondiale alla ricerca della porta 3389. Una volta individuata, iniziano immediatamente attacchi di brute force o credential stuffing, provando milioni di combinazioni di password al secondo finché non trovano quella corretta.

2. Il fattore “Shadow IT” e la comodità

Spesso l’esposizione del protocollo RDP non è una scelta del dipartimento IT, ma il risultato di una configurazione temporanea dimenticata o di un tecnico esterno che ha richiesto un accesso rapido per la manutenzione. Questa “comodità” operativa crea una vulnerabilità strutturale: una porta aperta verso il cuore della rete (spesso un Domain Controller o un server critico) che sfugge al controllo delle policy di sicurezza centralizzate.

3. Vulnerabilità non patchate (BlueKeep e derivati)

Il protocollo RDP è stato storicamente affetto da vulnerabilità critiche che permettono l’esecuzione di codice remoto senza nemmeno avere le credenziali (come il celebre BlueKeep). Molte aziende, per timore di interrompere servizi critici, ritardano l’applicazione delle patch di sicurezza, lasciando i propri server alla mercé di exploit pubblici e pronti all’uso.

4. L’assenza di Multi-Factor Authentication (MFA)

Il problema principale non è il protocollo in sé, ma la sua implementazione. Un accesso RDP protetto solo da una password è destinato a essere compromesso. Senza un secondo fattore di autenticazione, all’attaccante basta un colpo di fortuna o una password rubata tramite phishing per ottenere i privilegi di amministratore.

Come mitigare il rischio con Wazuh e il monitoraggio attivo

Proteggere gli accessi remoti non significa solo chiudere le porte, ma monitorare chi cerca di aprirle. Con Wazuh è possibile:

• Rilevare tentativi di Brute Force: Identificare istantaneamente se un IP esterno sta tentando login ripetuti e bloccarlo automaticamente tramite Active Response.
• Analizzare le origini geografiche: Ricevere alert se un accesso RDP avviene da un paese non autorizzato o al di fuori degli orari lavorativi.
• Monitorare l’uso di credenziali amministrative: Tracciare ogni sessione remota per assicurarsi che solo il personale autorizzato stia operando sui server critici.

Conclusione

L’attacco RDP non passerà mai di moda perché è diretto, efficace e spesso trascurato. La soluzione non è rinunciare al lavoro remoto, ma implementare tecnologie che rendano l’accesso sicuro attraverso VPN, MFA e un monitoraggio costante dei log di sistema.

I tuoi server sono esposti senza che tu lo sappia? Contatta gli esperti di Cyberdef.it per una scansione delle vulnerabilità e metti in sicurezza i tuoi accessi remoti oggi stesso.