Penetration test: cos'è, come funziona e quando farlo

Un penetration test (o pentest) è un attacco informatico simulato e autorizzato contro un’applicazione, un’API, un’app mobile o una rete, fatto da specialisti per scoprire quali vulnerabilità un attaccante potrebbe sfruttare davvero e con quali conseguenze. Si chiude con un report che indica le falle trovate, quanto sono gravi e come correggerle, seguito da un nuovo test che verifica le correzioni.

Perché farlo

Gli attacchi sono in aumento e l’Italia è tra i Paesi più colpiti. Secondo il Rapporto Clusit 2026, nel 2025 gli incidenti gravi noti sono stati 5.265 nel mondo (+49% sull’anno precedente) e 507 in Italia (+42%): circa uno su dieci ha riguardato il nostro Paese. Un penetration test non rende un sistema invulnerabile, ma sposta la scoperta delle falle prima dell’attaccante, quando correggerle costa meno.

Vulnerability assessment o penetration test?

	Vulnerability assessment	Penetration test
Obiettivo	Trovare e classificare le vulnerabilità note	Dimostrare cosa si riesce davvero a ottenere
Metodo	In buona parte automatico, con verifica manuale	Soprattutto manuale, guidato da un tester
Profondità	Ampia, su tutto il perimetro	Profonda, sui percorsi di attacco più rilevanti
Risultato	Elenco di vulnerabilità con priorità	Prove di sfruttamento, impatto reale, catene di attacco
Quando	Spesso, anche in modo continuo	Prima dei rilasci importanti e periodicamente

Spesso conviene partire dal vulnerability assessment per avere una fotografia ampia e poi approfondire con il penetration test sui sistemi più esposti o più critici.

Tipi di penetration test

In base a quanto sa il tester:

• Black box: il tester parte da zero, come un attaccante esterno.
• Grey box: il tester ha account di prova con ruoli diversi e qualche informazione sull’architettura. È il compromesso più usato, perché permette di verificare cosa può fare un utente legittimo oltre i suoi permessi.
• White box: il tester ha accesso anche a codice e documentazione. È il più completo.

In base all’oggetto:

• Applicazioni web e API: autenticazione, gestione delle sessioni, controllo degli accessi, iniezioni, logica di business.
• App mobili iOS e Android: archiviazione dei dati sul dispositivo, comunicazioni, protezioni del codice.
• Rete esterna e interna: servizi esposti, configurazioni, movimenti laterali.
• Sistemi AI: prompt injection, fuga di dati, abuso degli strumenti degli agenti. Ne parliamo nella guida sulla sicurezza degli agenti AI.

Come si svolge: le fasi

1. Perimetro e autorizzazione. Si stabilisce per iscritto cosa si testa, in che finestre orarie, con quali account e quali tecniche sono escluse. Senza un’autorizzazione scritta non si inizia.
2. Raccolta di informazioni. Si mappano i sistemi, le tecnologie, le funzioni e i ruoli coinvolti.
3. Analisi delle vulnerabilità. Scanner e verifiche manuali individuano i punti deboli.
4. Sfruttamento controllato. Il tester prova a usare le vulnerabilità e a concatenarle, fermandosi quando ha dimostrato l’impatto senza causare danni.
5. Report. Ogni risultato viene documentato con gravità, prove e correzione consigliata.
6. Correzione e nuovo test. Dopo le correzioni si verifica che le vulnerabilità siano davvero chiuse.

Come riferimento metodologico si usano guide pubbliche e riconosciute: la OWASP Web Security Testing Guide per le applicazioni web, gli standard OWASP MASVS e MASTG per le app mobili, la NIST SP 800-115 per l’impostazione generale dei test.

Cosa deve contenere un buon report

• Una sintesi per la direzione, senza gergo: cosa è stato testato, cosa rischia l’azienda, cosa fare per primo.
• Per ogni vulnerabilità: descrizione, gravità (di solito calcolata con il sistema CVSS, oggi alla versione 4.0), prove, passaggi per riprodurla, impatto e correzione consigliata.
• Le priorità: cosa correggere subito, cosa nel prossimo rilascio, cosa monitorare.
• L’esito del nuovo test dopo le correzioni.

Un report che elenca solo l’output di uno scanner non è un penetration test.

Quando fare un penetration test

• Prima di andare online con un’applicazione nuova o con una funzione che tocca dati sensibili o pagamenti.
• Dopo un cambiamento importante: nuova architettura, nuovo sistema di autenticazione, integrazione con l’AI.
• Periodicamente sui sistemi esposti su internet, almeno una volta all’anno.
• Quando lo chiedono clienti, partner, assicurazioni o normative del tuo settore.
• Dopo un incidente, per capire se ci sono altre strade aperte.

Come prepararsi

1. Fai un elenco dei sistemi nel perimetro: domini, API, app, ambienti.
2. Prepara un ambiente di prova il più simile possibile alla produzione e account di test per ogni ruolo.
3. Verifica i backup e informa il fornitore di hosting o cloud, se il contratto lo richiede.
4. Nomina un referente raggiungibile durante il test.
5. Pianifica tempo per le correzioni e per il nuovo test: il valore del pentest sta lì.

Gli errori più comuni

• Chiamare penetration test una scansione automatica.
• Testare un perimetro troppo stretto, lasciando fuori proprio le API o il pannello di amministrazione.
• Non fare il nuovo test dopo le correzioni.
• Ricevere un report che nessuno in azienda sa trasformare in attività concrete.

Nel nostro lavoro la sicurezza parte dal codice: nei sistemi che sviluppiamo usiamo, ad esempio, credenziali separate per ogni dispositivo e firmware firmato, come nel box per la stampa delle comande. Se vuoi sapere quanto è esposto un tuo sistema, scrivici: definiamo insieme perimetro e regole prima di iniziare.