Ingaggi reali, risultati anonimizzati. Non promesse: vulnerabilità concrete, con impatto e prova. Tutto svolto su ambienti di staging autorizzati, con regole d'ingaggio concordate.
Applicazioni
SaaS multi-tenantWeb & API · grey-boxSeverità alta
Un cliente poteva leggere i dati di tutti gli altri clienti.
Il problema
Su una piattaforma SaaS B2B multi-tenant, l'isolamento tra aziende clienti era assente in lettura (BOLA). Il token di sessione non conteneva l'identificativo dell'azienda: il backend si fidava dell'ID presente nell'URL, senza verificare che l'utente appartenesse davvero a quel tenant.
L'impatto
Cambiando un identificativo nell'URL, un qualsiasi utente autenticato leggeva i dati di tutte le altre aziende clienti: anagrafiche dipendenti con codici fiscali e date di nascita, documenti d'identità, email, veicoli. Violazione grave di riservatezza e GDPR.
L'esito
Confermata con prova (richiesta/risposta) ed estesa da pochi endpoint noti a un'ampia superficie. Verificato anche che la protezione in scrittura era corretta — non gonfiamo i risultati. Root cause e fix consegnati: validare il tenant lato server a ogni accesso.
Portale web + APIGrey-box autenticatoSeverità critica
Da utente registrato a super-amministratore, con un campo in più.
Il problema
L'endpoint del profilo personale accettava in scrittura campi che non avrebbe dovuto — ruolo e flag di amministratore. Inviando un semplice {"is_superuser": true} alla modifica del proprio profilo, qualsiasi utente si promuoveva ad admin totale (mass-assignment).
L'impatto
Controllo completo della piattaforma: dati di tutti gli utenti, pannello di amministrazione, modifica e cancellazione arbitraria. Nello stesso ingaggio: un'intera risorsa API esposta senza autenticazione che restituiva password in chiaro — un anonimo poteva entrare come moderatore in sessioni riservate.
L'esito
6 vulnerabilità, 1 critica. Causa ricorrente individuata (campi privilegiati scrivibili nei serializer + autorizzazione mancante) e remediation a livello di codice consegnata. Ogni finding distinto tra Confermato e Da validare.
App mobile · AndroidAnalisi statica + reconSeverità media
Un'app che ammetteva traffico in chiaro — e un backend mai testato.
Il problema
Analisi statica di un'app mobile aziendale: il manifest ammetteva traffico HTTP in chiaro, senza certificate pinning. La ricognizione ha mostrato che l'app dialoga con un backend di produzione separato — host e servizi diversi da quelli già testati sul portale.
L'impatto
Il traffico in chiaro espone i dati a intercettazione (man-in-the-middle) su reti non fidate. Il backend separato significa che i fix applicati al portale potrebbero non esserci: una superficie d'attacco nascosta.
L'esito
Mappata la superficie mobile e i punti deboli statici; aperto un gate di scope per il test dinamico (dati sensibili = art. 9 GDPR → autorizzazione scritta e account di test prima di toccare la produzione). Esempio concreto del metodo: niente test fuori dal perimetro autorizzato.
Infrastruttura & AI
Sicurezza AI / LLMGrey-box autorizzatoSeverità alta
Il chatbot recuperava documenti fuori dal perimetro dell'utente.
Il problema
Su un chatbot aziendale integrato con una knowledge base interna, il modello poteva invocare strumenti di ricerca documentale senza un controllo server-side sufficiente sul perimetro dell'utente. Il sistema si affidava troppo alle istruzioni del prompt e troppo poco all'autorizzazione applicativa: modificando il contesto della conversazione si induceva il chatbot a cercare e sintetizzare contenuti non pertinenti al ruolo dell'account.
L'impatto
Un utente autenticato otteneva estratti e riassunti di documenti che non avrebbe dovuto vedere — procedure interne, informazioni contrattuali, ticket di supporto, riferimenti a dati personali. Non «allucinazioni», ma contenuti realmente presenti nei sistemi collegati. Violazione di riservatezza con rischio GDPR.
L'esito
Confermata con prove conversazionali e riscontro sui documenti recuperati. Verificato anche il limite dell'impatto: nessuna esecuzione di codice, nessun accesso diretto al DB. Remediation: autorizzazione lato server su ogni tool call, retrieval vincolato all'identità dell'utente, separazione dei tenant, logging e test specifici contro prompt injection e data leakage.
Perimetro esterno · reteBlack-boxSeverità critica
Un servizio esposto su Internet apriva la strada alla rete aziendale.
Il problema
Nella ricognizione del perimetro esterno è emerso un servizio di accesso remoto raggiungibile da Internet e mal protetto: autenticazione debole, assenza di MFA su un profilo operativo, interfaccia amministrativa esposta oltre il necessario. Formalmente «attivo», ma non più governato come asset critico.
L'impatto
Un attaccante avrebbe potuto ottenere un primo punto d'ingresso verso l'infrastruttura interna, aggirando i controlli applicativi: accesso a servizi interni, enumerazione degli asset, movimento laterale e preparazione di attacchi più estesi.
L'esito
Accesso e impatto verificati in modo controllato, senza attività distruttive né persistenza. Classificato critico perché pubblicamente esposto e utilizzabile come ponte verso l'interno. Remediation: chiusura dell'esposizione non necessaria, MFA obbligatoria, restrizione per IP/VPN, revisione degli account, inserimento nel vulnerability management periodico.
Rete interna · Active DirectoryAssumed breachSeverità critica
Da una postazione standard al controllo dell'intero dominio.
Il problema
Partendo da una postazione utente senza privilegi, sono emerse credenziali e configurazioni deboli sparse in rete: share troppo aperte, file di configurazione con segreti, account di servizio con privilegi eccessivi, riuso di credenziali locali su più macchine. Nessuna anomalia «risolutiva» da sola; concatenate, una escalation progressiva.
L'impatto
Il percorso portava da utente standard a privilegi elevati sull'infrastruttura: server, cartelle condivise, sistemi critici. In uno scenario reale la stessa catena avrebbe potuto supportare esfiltrazione, interruzione dei servizi o ransomware. Un problema di segmentazione, governo delle credenziali e controllo dei privilegi.
L'esito
Catena di compromissione documentata passo per passo e interrotta prima di qualunque azione distruttiva. Remediation: hardening Active Directory, rimozione dei segreti, gestione centralizzata delle password locali, revisione degli account di servizio, tiering amministrativo e logging sugli eventi di escalation.
Vulnerabilità che troviamo più spesso
BOLA / IDOR multi-tenantMass-assignment / privilege escalationAPI senza autenticazioneCredenziali & segreti espostiAssenza di rate limitingCORS misconfigurationUser enumerationHeader di sicurezza mancantiTraffico in chiaro (mobile)Prompt injection / data leakageTool call senza autorizzazioneServizi esposti / MFA mancantePrivilege escalation Active DirectoryRiuso credenziali & movimento lateraleSegmentazione insufficiente
Vuoi vedere com'è un report Pentropic?
Report di esempio completo, con dati fittizi — PDF.
Tutti i casi sono anonimizzati: nessun nome cliente, dominio o dato reale. I dettagli completi restano riservati al cliente, coperti da accordo di riservatezza.
Vuoi sapere cosa c'è sul tuo
Questi li abbiamo trovati sui loro sistemi. Sul tuo?
Raccontaci cosa devi proteggere: individuiamo il perimetro e partiamo da una prima prova in ambiente di collaudo.
Compila il modulo: ti rispondiamo entro 24 ore lavorative. Nessun impegno.