Quando un'azienda che sviluppa la tecnologia che protegge alcune delle reti più critiche al mondo subisce una violazione, l'intera comunità della sicurezza dovrebbe prestare attenzione. Il 15 ottobre 2025, F5 Networks ha rivelato in un documento SEC 8-K di aver subito una violazione della rete riconducibile a un sospetto attore di minaccia statale.
Il rapporto ha confermato che gli aggressori hanno mantenuto un accesso persistente agli ambienti di produzione di F5 per un periodo fino a un anno, rubando il codice sorgente proprietario BIG-IP e i dati di configurazione dei clienti. Dato che i prodotti F5 sono alla base di gran parte dell'infrastruttura di rete e di distribuzione delle applicazioni a livello mondiale, questa violazione non è solo un problema del fornitore, ma è un segnale di come il panorama delle minacce si sia spostato proprio sul perimetro che collega i sistemi cloud on-premise.
Quando il margine diventa il punto di ingresso
L'indagine condotta da F5 ha rivelato che gli intrusi avevano accesso segreto e prolungato ai sistemi utilizzati per sviluppare e gestire BIG-IP, F5OS e prodotti correlati. Sono stati sottratti anche alcuni dati relativi all'implementazione dei clienti e l'incidente è stato ritenuto sufficientemente grave da ritardarne la divulgazione pubblica, previa approvazione del Dipartimento di Giustizia degli Stati Uniti, a causa delle potenziali implicazioni per la sicurezza nazionale.
Questo attacco non riguardava una singola vulnerabilità. Riguardava l'accesso persistente: un autore della minaccia che si era infiltrato silenziosamente nella struttura affidabile dei sistemi più privilegiati di un'organizzazione. Ciò dimostra come anche le tecnologie perimetrali più solide possano diventare esse stesse superfici di attacco.
All'interno dell'anatomia del compromesso F5
Secondo l'8-K e la dichiarazione pubblica di F5:
- L'autore dell'attacco ha ottenuto e mantenuto un accesso a lungo termine all'ambiente di sviluppo del prodotto BIG-IP di F5.
- Hanno sottratto il codice sorgente, la documentazione interna e alcuni dati di configurazione dei clienti.
- Il compromesso potrebbe essere iniziato già 12 mesi prima della scoperta.
- Da allora F5 ha coinvolto CrowdStrike, Mandiant, NCC Group e IOActive per l'analisi forense, il contenimento e la convalida dell'integrità della propria catena di fornitura software.
Sebbene F5 non segnali alcun sfruttamento attivo di vulnerabilità non divulgate, il rischio è reale. Il furto del codice sorgente, combinato con i dettagli dell'infrastruttura, fornisce agli aggressori un modello per lo sfruttamento, in particolare quando prendono di mira dispositivi edge critici utilizzati da aziende e agenzie governative.
Perché l'infrastruttura Edge è il nuovo campo di battaglia
Nell'era ibrida, i dispositivi di rete periferici come F5 BIG-IP si trovano all'incrocio tra identità, rete e traffico delle applicazioni. Terminano le sessioni SSL, gestiscono i flussi di autenticazione e collegano gli ambienti privati ai cloud pubblici.
Questo potere li rende anche obiettivi primari. Una volta che un aggressore compromette un dispositivo periferico o l'infrastruttura che lo costituisce, può ottenere l'accesso a credenziali privilegiate, traffico crittografato e percorsi di movimento laterale invisibili agli endpoint .
IDC e i suoi partner di ricerca documentano le continue sfide legate alla visibilità perimetrale che espongono le organizzazioni ad attività furtive successive alla compromissione.
Ecco come funziona nella pratica:
L'infrastruttura periferica non è più solo un livello di sicurezza, ma è essa stessa una superficie di attacco.
Il quadro generale: rischio nazionale e aziendale
L'incidente F5 sottolinea anche una verità più ampia: gli aggressori stanno prendendo di mira il tessuto connettivo dell'infrastruttura digitale. La combinazione di esfiltrazione del codice sorgente e divulgazione ritardata indica una potenziale dimensione di sicurezza nazionale, poiché le stesse tecnologie proteggono le reti federali, i sistemi di difesa e cloud principali cloud .
Quando gli avversari possiedono conoscenze privilegiate sul funzionamento dei sistemi periferici, possono creare zero-day o compromettere gli aggiornamenti della catena di fornitura, aggirando completamente i controlli tradizionali.
Per le aziende, ciò significa che i confini della sicurezza stanno scomparendo. Gli strumenti progettati per proteggere il traffico sono ora parte integrante della superficie di minaccia.
Il divario di sicurezza: perché le difese tradizionali falliscono
La violazione di F5 non è stata rilevata da antivirus, EDR o strumenti di patch, ed è proprio questo il punto.
- Endpoint Gli agenti non funzionano su dispositivi di rete.
- I SIEM si basano su registri che potrebbero non rilevare i movimenti laterali o che potrebbero essere manomessi.
- Gli strumenti Cloud monitorano il piano cloud , non il fabric fisico o virtuale periferico.
Questo crea un divario di visibilità: gli aggressori operano per mesi all'interno delle zone "affidabili", utilizzando credenziali, API o account di servizio validi, senza attivare alcun avviso basato su firme.
Il risultato? Un anno di accessi non rilevati, con gli aggressori che hanno sottratto dati e osservato le operazioni in modo furtivo.
Come Vectra AI il divario nella sicurezza periferica
Noi di Vectra AI aiutiamo le organizzazioni a vedere ciò che gli strumenti tradizionali non riescono a vedere. La nostra piattaforma offre un sistema di rilevamento senza agenti e basato sull'intelligenza artificiale che analizza continuamente i comportamenti all'interno di reti, identità e cloud ,ovvero proprio le aree che gli hacker sfruttano una volta penetrati all'interno.
Per i clienti che utilizzano tecnologie edge come F5, la vera preoccupazione non è solo come gli aggressori riescono a entrare, ma cosa succede dopo. Sia che un aggressore utilizzi un exploit rubato o inserisca una backdoor per passare da un sistema edge alla rete di un cliente, Vectra AI tale attività prima che raggiunga la fase di impatto.
Nel nostro blog, Zero-Day ai dispositivi periferici di rete: perché l'NDR è importante, abbiamo evidenziato come gli avversari abbiano sfruttato le vulnerabilità di firewall, VPN e router di diversi fornitori , trasformando dispositivi perimetrali affidabili in punti di accesso nascosti all'interno delle reti aziendali.
Ecco perché il rilevamento e la risposta di rete (NDR) è essenziale. Vectra AI monitora Vectra AI :
- Comportamenti di persistenza ed esfiltrazione all'interno di ambienti ibridi, anche in assenza malware .
- Traffico periferico e del data center per identificare comunicazioni segrete o escalation di privilegi che indicano una compromissione.
- Uso improprio dell'identità (come account di servizio o token rubati), correlato all'attività di rete per rivelare comportamenti di attacco reali, non avvisi isolati.
La Vectra AI consente ai team di sicurezza di dare rapidamente priorità alle minacce reali, colmando il divario di visibilità che consente alle intrusioni a lungo termine di prosperare.
Vedere, rilevare e reagire — più rapidamente
Per verificare se il tuo ambiente mostra segni di comportamenti simili da parte degli aggressori, dai un'occhiata alla funzione di ricerca assistita dall'intelligenza artificiale nella Vectra AI : il modo più veloce per trasformare le domande in risposte.
Con la ricerca assistita dall'intelligenza artificiale, puoi porre domande investigative e di ricerca in un linguaggio semplice e ottenere risposte immediate e ricche di contesto grazie ai metadati potenziati dall'intelligenza artificiale provenienti dalla tua rete, dalla tua identità e cloud. La funzione non si limita a mostrare i risultati, ma fornisce anche i passaggi successivi consigliati, in modo da poter seguire le tracce come un analista esperto.
Prova a chiedere:
- "Mostrami tutti i sistemi che comunicano con IP esterni tramite porte non comuni."
- "Elenca gli account che accedono alle console dell'infrastruttura di rete al di fuori dell'orario di lavoro."
Che tu stia cercando la persistenza, verificando l'esposizione alle vulnerabilità o assicurandoti che i tuoi dispositivi periferici non siano stati utilizzati in modo improprio, la ricerca assistita dall'intelligenza artificiale ti offre chiarezza alla velocità di una domanda , aiutandoti a vedere il quadro completo dietro ogni minaccia.
Esplora la ricerca assistita dall'intelligenza artificiale nella Vectra AI e scopri come un'indagine guidata e veloce può aiutarti a individuare ciò che gli strumenti tradizionali non riescono a rilevare. Guarda la demo autoguidata.