Cyberpediadi Brain
ITDEENESFR

Honeypot e honeytoken: trappole per individuare l'intruso

Server esca, documento falso, chiave di accesso falsa: cosa sono le esche di sicurezza e cosa deve fare il dipendente se ne incontra una.

In 30 secondi

Dove succede
Su sistemi, file o account che il team di sicurezza ha collocato di proposito, senza che i dipendenti debbano occuparsene.
Cosa vuole l'attaccante
Trovare password, chiavi o token di accesso. L'esca gli offre esattamente questo, ma non porta da nessuna parte.
Il riflesso
Non toccare un'esca, non installarne mai una da soli e segnalare alla sicurezza qualsiasi messaggio di allarme o file sospetto.
Se è già successo
Avvisare subito la sicurezza, indicando che cosa è stato aperto e in quale momento.

Di cosa si tratta

Un honeypot è un'esca. Il glossario del NIST lo definisce come un sistema (per esempio un server web) o una risorsa di sistema (per esempio un file su un server) progettato per attirare hacker e intrusi, « like honey is attractive to bears »1. In questa scheda, «honeytoken» indica la stessa idea su scala più piccola: un dato privo di un uso reale, come un falso identificativo di accesso o una falsa chiave di accesso, collocato dove un intruso lo troverà. Le fonti citate qui non definiscono questo termine.

Per un dipendente, queste trappole restano per lo più invisibili. Servono alla sicurezza dell'azienda, che le installa e le sorveglia. La scheda spiega il principio, che cosa ci si aspetta da ciascuno se un'esca si trova sul suo percorso, e i difetti che rendono questi strumenti inutili o pericolosi.

Domande dirette

A che cosa serve un'esca?

Serve a individuare un'intrusione. L'NCSC britannico ricorda che l'obiettivo primario della cybersicurezza è impedire gli attacchi2. Non è sempre possibile2. Il compito di un centro operativo di sicurezza (SOC) è limitare i danni rilevando e gestendo gli attacchi che aggirano i controlli preventivi2. Un'esca è uno strumento di rilevamento tra gli altri: si aggiunge alle protezioni che bloccano, non le sostituisce.

Perché un intruso ci casca?

Perché cerca proprio ciò che l'esca imita. MITRE descrive avversari che frugano nei file system locali e nelle condivisioni di rete alla ricerca di file contenenti credenziali protette male3. Possono essere file creati dagli utenti per annotare le proprie password, file di configurazione contenenti password, o codice sorgente con password incorporate3. Gli stessi avversari possono elencare file e cartelle per decidere come proseguire4. Un falso file di password, collocato nel punto giusto, sembra una scoperta fortunata.

Un dipendente può far scattare un'esca per errore?

È possibile, e la scheda non può dire con quale frequenza: le fonti del dossier non lo documentano. La regola è quindi semplice. Un file, un account o una condivisione che non c'entra con il vostro lavoro non va aperto per curiosità. Se lo avete aperto, ditelo alla sicurezza invece di tacere.

Un dipendente deve installare un'esca a casa o sul proprio computer?

No. Un'esca posizionata male può creare un problema invece di risolverne uno. La scelta della collocazione, dell'isolamento e della sorveglianza spetta al team di sicurezza.

1Come funziona2 min

Esistono tre grandi famiglie di esche, che la scheda distingue in base agli esempi del glossario del NIST1 e delle pagine MITRE35.

  • Il server o il sistema esca: è l'honeypot nel senso del NIST, un sistema attraente per l'intruso1.
  • Il documento o il file falso: una risorsa collocata su un server, che il NIST include anch'esso nella definizione di honeypot1.
  • Il token falso o la chiave di accesso falsa: un token applicativo serve a effettuare richieste autorizzate per conto di un utente o di un servizio ed è diffuso nelle applicazioni cloud e nei container5. Un avversario che ruba tali token può accedere ai dati e agire con i diritti degli account interessati5. Un token esca, secondo il ragionamento della scheda, attirerebbe la stessa avidità.

Il principio dell'allarme si fonda sull'uso: l'esca non ha alcuna funzione nel lavoro quotidiano, quindi ogni contatto con essa merita di essere esaminato. Le fonti del dossier non descrivono il funzionamento tecnico degli strumenti commerciali, e questa scheda non lo descrive.

Lo stesso ragionamento vale per gli account. MITRE osserva che gli account cloud, creati da un'organizzazione per i suoi utenti, i suoi servizi o l'amministrazione, sono bersagli6. Un avversario può prenderli di mira con la forza bruta o con il phishing6. Un account falso potrebbe fare da esca su questo terreno, secondo il ragionamento della scheda.

2Cosa fate1 min
  • Non toccate ciò che non vi riguarda. Un file con il nome «password_aziendali» in una cartella condivisa che non usate mai non è un colpo di fortuna.
  • Non copiate, non provate e non condividete alcun identificativo, chiave o token trovato per caso.
  • Segnalate alla sicurezza qualsiasi messaggio di allarme inatteso, qualsiasi file o account sospetto, con il nome, la posizione e l'ora.
  • Non installate un'esca da soli, né su un computer né in uno spazio cloud.
  • Non conservate le vostre password in un file: MITRE cita proprio questi file tra quelli che gli avversari cercano3.
3Le trappole2 min

L'esca troppo facile da riconoscere

Un documento falso rozzo, dal nome troppo ovvio, non inganna nessuno. Le fonti del dossier non dicono come realizzare un'esca credibile: il punto è solo segnalato qui, senza indicazioni tecniche.

L'allarme ignorato

Rilevare non serve a nulla se nessuno reagisce. L'NCSC descrive il SOC come un insieme che rileva e risponde2. La sua guida tratta sia il rilevamento sia la risposta agli incidenti2.

L'esca isolata male

Le fonti del dossier non trattano l'isolamento di un'esca rispetto al resto della rete. MITRE raccomanda invece, in termini generali, di ridurre la superficie di attacco eliminando software, funzioni e servizi inutili8, e questo vale anche per un'esca dimenticata.

I dati personali raccolti senza regole

Se un'esca registra ciò che fa una persona, possono applicarsi le norme sui dati personali. Il GDPR, all'articolo 5, chiede che siano trattati in modo lecito, corretto e trasparente7. Devono essere raccolti per finalità determinate, esplicite e legittime7. Devono inoltre essere limitati a quanto necessario7. Esige anche una sicurezza adeguata del trattamento7. Un dispositivo di sorveglianza senza una finalità chiara né un'informativa alle persone si discosta da questi principi.

L'account cloud preso di mira

Un account cloud sincronizzato con i sistemi interni può aprire la strada verso l'azienda stessa: MITRE precisa che gli account federati o sincronizzati possono permettere di agire sia sui sistemi interni sia sul cloud6. La scheda ne deduce che un falso account di questo tipo dovrebbe essere compartimentato come un account sensibile.

Scheda

Identificativo
CP-235
Ala
3. Protocolli e difesa
Competenza Brain
Navigare in sicurezza (browse_safely)
Riflesso Brain
cr-078
Schema
G3 · Sezione anatomica
Lingue
de, en, es, fr, it
Fonti
8 fonti verificate il 3 novembre 2026
Fonti8 fonti
  1. NIST, «honeypot - Glossary | CSRC». https://csrc.nist.gov/glossary/term/honeypot (consultato il 3 novembre 2026)
  2. NCSC (Royaume-Uni), «Building a Security Operations Centre (SOC)», 23 maggio 2022. https://www.ncsc.gov.uk/collection/building-a-security-operations-centre (consultato il 3 novembre 2026)
  3. MITRE ATT&CK, «Unsecured Credentials: Credentials In Files, Sub-technique T1552.001 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1552/001/ (consultato il 3 novembre 2026)
  4. MITRE ATT&CK, «File and Directory Discovery, Technique T1083 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1083/ (consultato il 3 novembre 2026)
  5. MITRE ATT&CK, «Steal Application Access Token, Technique T1528 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1528/ (consultato il 3 novembre 2026)
  6. MITRE ATT&CK, «Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/004/ (consultato il 3 novembre 2026)
  7. CNIL, «CHAPITRE II - Principes». https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre2 (consultato il 3 novembre 2026)
  8. MITRE ATT&CK, «Disable or Remove Feature or Program, Mitigation M1042 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1042/ (consultato il 3 novembre 2026)

Cita questo articolo

Brain, «Honeypot e honeytoken: trappole per individuare l'intruso», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/honeypot-honeytoken-canarytokens-esche/

BibTeX 
@misc{brain_cp235_it_2026,
  author = {Brain},
  title = {Honeypot e honeytoken: trappole per individuare l'intruso},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/it/articles/honeypot-honeytoken-canarytokens-esche/},
  note = {CC BY 4.0}
}
Licenza CC BY 4.0