Penetration test: cos'è, come funziona e quando farlo

Hai sviluppato un'app o una piattaforma web e stai per lanciarla. Il codice funziona, il design è curato, i test interni sono andati bene. Ma hai mai verificato se un attaccante esterno potrebbe entrare nel tuo sistema e rubare i dati dei tuoi utenti? Questa è esattamente la domanda a cui risponde un penetration test.

Non è un tema riservato alle grandi aziende. I data breach costano in media oltre 4 milioni di euro per incidente e più del 60% degli attacchi sfrutta vulnerabilità che sarebbero state rilevabili con un test di sicurezza preventivo. In questa guida ti spiego cos'è un penetration test, come funziona passo dopo passo e quando ha davvero senso farlo per il tuo progetto.

Cos'è un penetration test

Un penetration test (chiamato anche pen test o ethical hacking) è una simulazione controllata di un attacco informatico. Un esperto di sicurezza — il penetration tester — cerca attivamente di entrare nel tuo sistema esattamente come farebbe un malintenzionato, con una differenza fondamentale: lo fa in modo autorizzato, con l'obiettivo di trovare le vulnerabilità prima che lo faccia qualcun altro.

Non va confuso con una scansione automatica. Uno scanner individua vulnerabilità note sulla base di un database; il penetration test ragiona, combina tecniche diverse e tenta exploit reali su misura per il tuo sistema. È la differenza tra provare una serratura con un kit standard e chiamare un fabbro esperto che conosce tutti i trucchi del mestiere — e a volte inventa di nuovi.

Il risultato è un report dettagliato con tutte le vulnerabilità trovate, il loro livello di rischio e le istruzioni concrete per correggerle. Non un documento tecnico incomprensibile: un buon report parla anche all'imprenditore non tecnico, spiegando ogni problema in termini di impatto reale sul business.

I tre tipi di penetration test

Prima di commissionare un pen test, è importante capire che ne esistono tre varianti principali, che si differenziano per la quantità di informazioni condivise con il tester prima dell'analisi:

• Black box: il tester non ha nessuna informazione iniziale. Simula un attaccante esterno che parte da zero, senza conoscere nulla della tua architettura. È il test più realistico, ma anche il più lento e il più costoso perché gran parte del tempo viene speso nella fase di ricognizione.
• White box: il tester ha accesso completo a codice sorgente, documentazione tecnica e architettura del sistema. Permette un'analisi molto più profonda in meno tempo, ed è ideale quando vuoi trovare il maggior numero possibile di vulnerabilità senza limiti di budget.
• Grey box: via di mezzo. Il tester riceve informazioni parziali, come le credenziali di un utente standard. È la soluzione più comune per le applicazioni web e mobile aziendali: bilancia bene costi, tempi e profondità dell'analisi.

Per la maggior parte dei prodotti digitali, il grey box è il punto di partenza ideale. Nei casi in cui la sicurezza è un requisito critico — applicazioni mediche, finanziarie o che trattano dati sensibili su larga scala — il white box è più appropriato.

Come funziona: le 5 fasi di un penetration test

Un pen test professionale segue un processo strutturato. Ecco cosa succede concretamente, dall'accordo iniziale al report finale.

1. Pianificazione e definizione dello scope

Prima di iniziare qualsiasi attività, si definisce con precisione cosa testare: l'intera piattaforma, solo le API esposte, il pannello di amministrazione, le app mobile. Si firmano accordi di riservatezza (NDA) e si stabiliscono regole d'ingaggio chiare. Questa fase è cruciale: uno scope mal definito può rendere il test superficiale, troppo costoso o, peggio, generare downtime non previsti in produzione.

2. Ricognizione

Il tester raccoglie informazioni pubbliche sul target: domini registrati, indirizzi IP, tecnologie usate, eventuali dati esposti online (credenziali in leak, documentazione pubblica, job posting che rivelano lo stack tecnologico). È la fase più silenziosa e spesso la più sorprendente: molte aziende espongono informazioni sensibili senza rendersene conto.

3. Scansione e analisi delle vulnerabilità

Il tester usa strumenti specializzati per mappare porte aperte, servizi esposti, versioni software obsolete e configurazioni errate. Questa fase produce una lista di potenziali punti d'attacco da esplorare nella fase successiva. Non è ancora un attacco reale: è la fase in cui si costruisce la "mappa del terreno".

4. Exploitation

Qui avviene il vero attacco. Il tester tenta di sfruttare le vulnerabilità identificate per ottenere accesso non autorizzato: aggirare meccanismi di autenticazione, iniettare codice SQL per leggere il database, intercettare sessioni utente, scalare i privilegi da utente normale ad amministratore. Ogni tecnica viene documentata con prove, screenshot e log. L'obiettivo non è fare danni, ma dimostrare che la vulnerabilità è realmente sfruttabile e misurarne l'impatto potenziale.

5. Report e piano di remediation

Il risultato finale è un report strutturato che classifica ogni vulnerabilità per livello di rischio (critico, alto, medio, basso), descrive come è stata trovata, mostra le prove e indica come correggerla. Un buon report include anche una sezione executive summary pensata per chi non è uno sviluppatore: imprenditore o responsabile aziendale deve capire il rischio reale senza leggere il codice.

Se stai valutando di far testare la sicurezza del tuo prodotto digitale, possiamo aiutarti a capire da dove partire: contattaci dalla sidebar per una consulenza gratuita.

Quando fare un penetration test

Non esiste un momento "perfetto", ma ci sono situazioni in cui il pen test è quasi obbligatorio:

• Prima del lancio: se stai per mettere online un'app o una piattaforma che gestisce dati degli utenti, il pen test è parte integrante del processo di go-live, non un optional.
• Dopo aggiornamenti significativi: nuove funzionalità, nuove integrazioni, nuove API significano nuova superficie d'attacco. Un aggiornamento rilevante merita almeno un pen test parziale sulle parti nuove.
• Per compliance normativa: il GDPR raccomanda misure tecniche adeguate alla protezione dei dati. Il PCI-DSS (obbligatorio se gestisci pagamenti) richiede pen test periodici. La certificazione ISO 27001 li include come best practice.
• Prima di una raccolta fondi o acquisizione: i due diligence tecnologici di investitori e acquirenti includono sempre più spesso una revisione della sicurezza. Arrivare con un pen test recente e le vulnerabilità già corrette è un vantaggio competitivo reale.
• Dopo un incidente: se hai già subito un accesso non autorizzato o un data breach, il pen test post-incident è imprescindibile per capire come è successo e chiudere tutti i varchi.
• Annualmente, come manutenzione: il panorama delle minacce evolve continuamente. Nuove vulnerabilità vengono scoperte ogni settimana. Un pen test annuale è best practice per qualsiasi prodotto digitale che gestisce dati critici.

Errori comuni da evitare

Chi commissiona un pen test per la prima volta spesso commette errori che riducono il valore dell'analisi o ne fanno esplodere i costi.

• Confonderlo con una scansione automatica. Strumenti automatici come OWASP ZAP o Nessus sono utili come punto di partenza, ma non sostituiscono un analista umano. Le vulnerabilità più pericolose — logiche di business errate, configurazioni sottili, combinazioni di bug — richiedono ragionamento, non automazione.
• Non definire lo scope. "Testa tutto" senza confini precisi porta a test superficiali o a costi non previsti. Meglio testare bene una parte critica che fare un'analisi superficiale dell'intero sistema.
• Non leggere il report. Il valore del pen test sta nelle azioni che ne seguono. Un report che finisce in un cassetto non protegge nessuno. Ogni vulnerabilità critica o alta va corretta entro una scadenza definita.
• Aspettare che ci sia un problema. Il pen test serve prima dell'incidente. Dopo si chiama incident response, dura settimane e costa ordini di grandezza di più — per non parlare del danno reputazionale.
• Scegliere il fornitore solo sul prezzo. Un pen test da 300€ è quasi certamente uno scanner automatico con un PDF generato in automatico. Prima di scegliere, chiedi sempre un esempio anonimizzato di report e referenze verificabili.

Quanto costa un penetration test

I prezzi variano molto in base allo scope, alla complessità del sistema e al tipo di test scelto. Ecco un riferimento indicativo per il mercato italiano:

• App web o mobile (grey box, scope limitato): 2.000–8.000 €
• Piattaforma con più moduli, API e integrazioni: 8.000–25.000 €
• Infrastruttura cloud completa o white box approfondito: 20.000 € e oltre

Il costo può sembrare significativo. Confrontalo però con il costo medio di un data breach — che supera i 4 milioni di euro — più le sanzioni GDPR che possono arrivare fino al 4% del fatturato annuo globale, più il danno reputazionale difficilmente quantificabile. Investire in sicurezza preventiva è quasi sempre molto più conveniente che gestire una crisi.

Checklist prima di commissionare un pen test

Rispondi a queste domande prima di contattare un fornitore:

1. Hai un ambiente di staging separato dalla produzione dove eseguire i test in sicurezza?
2. Hai documentato (anche in modo semplice) l'architettura del sistema, le API esposte e i servizi di terze parti?
3. Hai identificato chi nel tuo team sarà responsabile di correggere le vulnerabilità emerse?
4. Hai un budget e una finestra temporale chiari? (Un pen test professionale richiede da 3 a 10 giorni lavorativi.)
5. Sai quali parti del sistema gestiscono dati sensibili degli utenti e quali sono i rischi più critici per il tuo business?

Se hai risposto sì ad almeno 3 domande su 5, sei pronto per partire. Se no, inizia dalla documentazione: un pen test efficace richiede che tu sappia cosa stai proteggendo e perché.

Conclusione

Il penetration test non è un lusso per grandi aziende con team di sicurezza dedicati. È uno strumento pratico, accessibile e necessario per chiunque gestisca un prodotto digitale con dati degli utenti. La domanda non è se qualcuno tenterà di attaccare il tuo sistema, ma quando — e se preferisci scoprirlo prima o dopo.

Hai bisogno di capire se il tuo prodotto è davvero sicuro? Scrivici: trovi il form di contatto qui a destra e ti aiutiamo a definire lo scope, scegliere il tipo di test giusto e interpretare i risultati in chiave business.