Sono Corrado Tuccitto — Security Engineer e Auditor ISO 27001 certificato. Testo le tue web app come farebbe un attaccante reale, e ti guido nella conformità GDPR. Senza giri di parole, con risultati concreti.
Servizi mirati per PMI, e-commerce e startup che vogliono proteggere i propri asset digitali senza complessità inutili.
Un primo sguardo gratuito alla tua superficie d'attacco. Identifico le vulnerabilità visibili dall'esterno e ti dico cosa ho trovato — senza scendere nel dettaglio tecnico e senza indicarti come risolvere. Serve a farti capire se hai un problema.
Controllo quello che chiunque può vedere del tuo sito dall'esterno — tecnologie obsolete, dati trapelati, configurazioni errate, porte aperte. Ricevi un report dettagliato con tutto quello che ho trovato e cosa rischi, ma senza indicazioni su come risolvere.
L'analisi piu completa della tua superficie d'attacco. Include tutto quello di CT/Recon Base con in piu le indicazioni precise su come risolvere ogni vulnerabilita trovata. Ricevi un piano di remediation prioritizzato e pronto da implementare.
Con la tua autorizzazione, analizzo come si comporta la tua applicazione web e le sue API sotto attacco simulato — accessi non autorizzati, dati esposti, integrazioni vulnerabili. Ricevi un report con le vulnerabilita trovate, il loro livello di gravita e le azioni correttive consigliate.
Hardening di reverse proxy Nginx, mitigazione DDoS, segregazione di microservizi e gestione sicura di ambienti multi-tenant. Esperienza diretta nella protezione di infrastrutture che servono centinaia di clienti simultaneamente.
Sviluppo e audit di API REST e SOAP con applicazione dei principi CIA (Confidentiality, Integrity, Availability). Validazione input, encoding dell'output, autenticazione robusta e logging di sicurezza su web app monolitiche, microservizi e integrazioni di terze parti.
Hardening di container Docker in produzione: prevenzione privilege escalation, scansione vulnerabilità delle immagini, applicazione del principio di least privilege. Sicurezza concreta in ambienti dove un errore di configurazione espone tutti i tenant.
Implementazione controlli ISO/IEC 27001 e Statement of Applicability (SoA) in aziende ICT. Auditor certificato IBC con formazione ISO 19011:2018. Ogni vulnerabilità documentata con gravità, impatto, evidenza e piano di remediation concreto.
Due pacchetti calibrati per diverse esigenze. Entrambi includono report dettagliato e piano di remediation.
Scegli come pagare: Bitcoin o carta di credito
Pensi che il pericolo venga solo da hacker anonimi dall'altra parte del mondo? Ripensaci. Le minacce più frequenti e devastanti arrivano dall'interno: dipendenti infedeli, ex collaboratori rancorosi, e concorrenti senza scrupoli.
Un impiegato insoddisfatto, sottopagato, o semplicemente disonesto ha già le chiavi del regno. Accesso al gestionale, ai database clienti, alle email aziendali, ai documenti riservati. Non ha bisogno di "bucare" nulla: è già dentro. Può copiare il database clienti su una chiavetta USB in 30 secondi, vendere listini prezzi alla concorrenza, cancellare dati critici per vendetta, o semplicemente spiare comunicazioni riservate per mesi senza che nessuno se ne accorga. Un assessment di sicurezza identifica chi ha accesso a cosa, se ci sono permessi eccessivi, e se i log di accesso tracciano le attività in modo adeguato.
Hai licenziato qualcuno? Ha dato le dimissioni in modo brusco? Ecco la domanda: gli hai revocato tutti gli accessi? Email aziendale, VPN, pannelli admin, account cloud, repository codice, credenziali condivise, token API? Nella maggior parte delle PMI la risposta è no, o "non tutti". Un ex dipendente deluso con ancora le credenziali attive può entrare nei tuoi sistemi settimane o mesi dopo l'uscita: scaricare dati, sabotare progetti, cancellare backup, o vendere informazioni ai concorrenti. Senza log e senza un audit, non saprai mai cosa è successo — e soprattutto quando.
La competizione è spietata, soprattutto nelle PMI dove un singolo cliente grande fa la differenza. Un concorrente senza scrupoli può pagare un tuo dipendente per avere i tuoi listini, corrompere un ex collaboratore per le tue strategie commerciali, o persino ingaggiare qualcuno per cercare falle nel tuo sito ed estrarre dati. Spionaggio industriale non è roba da film: è quotidianità. Se il tuo gestionale web è accessibile con credenziali deboli, se le API non hanno rate limiting, se i file riservati sono in cartelle senza protezione — sei un bersaglio facile.
Non serve rubare dati per farti male. Basta impedirti di lavorare. Un attacco mirato che blocca il tuo e-commerce nel weekend di punta, che corrompe il database ordini il giorno della scadenza fiscale, che "buca" il sito e pubblica contenuti imbarazzanti. Un ex socio che conosce le password dell'hosting. Un fornitore arrabbiato che ha ancora l'accesso FTP. Un dipendente che prima di andarsene piazza una "bomba logica" nel codice. Queste cose succedono. E senza un audit delle autorizzazioni e dei log, non hai modo né di prevenirle né di dimostrare chi è stato.
Il Garante Privacy non fa sconti. Una violazione dei dati personali dei tuoi clienti può costare fino a €20 milioni o il 4% del fatturato annuo globale. Non è teoria: nel solo 2024, le PMI italiane hanno ricevuto centinaia di sanzioni.
Un data breach è una notizia. I tuoi clienti lo sapranno. E l'87% dei consumatori dichiara che non farebbe più affari con un'azienda che non protegge i loro dati. La fiducia si costruisce in anni, si distrugge in un giorno.
Il dato più duro: il 60% delle PMI che subisce un attacco informatico significativo cessa l'attività entro 6 mesi. Non per l'attacco in sé, ma per i costi di recupero, le sanzioni, e la perdita di clienti che seguono.
Un sito bucato, dati esposti, un defacement pubblico: Google indicizza tutto. Il danno SEO e reputazionale resta visibile per mesi o anni. I tuoi competitor ringraziano.
Il titolare del trattamento è legalmente responsabile della protezione dei dati. Non aver investito in sicurezza dimostra negligenza. In caso di causa civile, il giudice valuterà le misure preventive adottate. Zero misure = zero difesa.
I tuoi dati cifrati, il tuo business fermo, e una richiesta di riscatto. Il costo medio di un attacco ransomware per una PMI supera i €100.000 tra fermo attività, riscatto e ripristino. Un'analisi di sicurezza da 800 EUR sembra diversa adesso?
Sempre più bandi pubblici e gare private richiedono certificazioni di sicurezza o prove di compliance. Senza un assessment documentato, sei tagliato fuori dalle opportunità più importanti.
Un sito senza HTTPS, cookie banner non a norma, informative privacy copiate: il tuo cliente più attento lo nota. E pensa: "se non curano nemmeno questo, come gestiscono i miei dati?" Non investire in sicurezza comunica trascuratezza.
Questi non sono scenari ipotetici. Sono casi reali, con nomi e cognomi, sentenze penali, cause civili e danni milionari. Succede alle multinazionali. Succede alle startup. Può succedere a te.
Sbagli, ma non per il motivo che pensi. I casi delle PMI non finiscono sui giornali — non perché non succedono, ma perché non fanno notizia. Quando il dipendente di una carrozzeria a Brescia copia il database clienti su una chiavetta e apre un'officina concorrente, non lo leggi su TechCrunch. Quando l'ex contabile di un e-commerce di Catania cancella gli ordini per vendetta, non c'è un comunicato stampa. Ma succede ogni giorno. Il 12% dei dipendenti che lascia un'azienda porta con sé dati riservati (DTEX Report 2023). Il 75% degli incidenti insider coinvolge ex dipendenti delusi (Palo Alto Unit 42). Ecco alcuni dei casi che sono finiti in tribunale — e pensa a quanti non ci sono mai arrivati.
Deel ha pagato €5.000/mese un dipendente di Rippling affinché spiasse dall'interno. La spia cercava il termine "Deel" nei sistemi interni in media 23 volte al giorno, rubando listini prezzi, pipeline di vendita, dati clienti e nomi di dipendenti chiave. I pagamenti passavano tramite il conto della moglie del COO. Scoperto con honeypot, ha confessato sotto giuramento.
Christopher Dobbins, VP di Stradis Healthcare — una piccola azienda di confezionamento dispositivi medici — dopo il licenziamento ha usato un account fittizio creato mesi prima. In 45 minuti: 115.000 record modificati, 2.400 cancellati. Spedizioni di mascherine e guanti bloccate per giorni durante la pandemia. Ospedali senza forniture.
Una graphic designer di Showpo — un piccolo negozio di moda online — ha rubato l'intero database clienti (306.000 contatti) e lo ha consegnato a Black Swallow, un concorrente diretto. Black Swallow ha subito adottato branding identico a Showpo e ha iniziato a fare marketing mirato alla stessa base clienti. Un singolo dipendente con accesso al CRM ha distrutto anni di lavoro nel marketing.
Un dipendente, il suo ultimo giorno di lavoro, ha inviato alla propria email personale i dati di 957 clienti — nomi, contatti, storico acquisti — prima di iniziare un nuovo ruolo presso un'azienda rivale. L'ICO (Garante Privacy UK) lo ha perseguito penalmente ai sensi del Data Protection Act. Non serviva essere un hacker: bastava un "inoltra" su Outlook.
FinWise Bank, una piccola banca dello Utah, ha scoperto — un anno dopo — che un ex dipendente aveva ancora accesso ai sistemi e aveva consultato i dati personali di 689.000 clienti: nomi, date di nascita, codici fiscali, numeri di conto. I dati erano salvati in chiaro, senza crittografia. Risultato: 6 class action consolidate e oltre $5 milioni richiesti in danni.
Sudhish Kasaba Ramesh, 5 mesi dopo le dimissioni, aveva ancora le credenziali AWS attive. Ha deployato uno script che ha cancellato 456 macchine virtuali, mandando offline 16.000 account WebEx Teams per due settimane. La causa: nessuno aveva revocato le credenziali cloud dopo l'uscita.
Due ingegneri GE hanno scaricato migliaia di file con segreti commerciali, caricandoli su cloud personali. Hanno convinto un sysadmin a concedere accessi non autorizzati. Con la proprietà intellettuale rubata hanno fondato una società concorrente che ha iniziato a vincere gare d'appalto al ribasso contro GE stessa.
Due ex dipendenti Tesla hanno esfiltrato nomi, indirizzi, telefoni e email di oltre 75.000 persone — dipendenti e collaboratori attuali e passati — consegnando tutto a un quotidiano tedesco. L'azienda non aveva limiti sufficienti sull'accesso privilegiato ai database HR.
Anthony Levandowski, lead engineer Waymo, un mese prima di dimettersi ha scaricato 14.000 file riservati su disco esterno. Ha fondato Otto, startup acquisita da Uber. La stessa dinamica succede ogni giorno nelle PMI: il commerciale che se ne va con il file Excel dei clienti.
Il dipendente di Stradis ha usato un account fittizio. L'impiegata di Showpo ha copiato un file Excel. L'ex dipendente di FinWise aveva ancora la password attiva. In tutti i casi, un audit degli accessi, un monitoraggio base dei log e una procedura di offboarding IT — cose che rientrano in un assessment da €1.490 — avrebbero evitato tutto.
Una call conoscitiva di 15 minuti è gratuita e senza impegno. Capiamo insieme se e come posso aiutarti.
Esistono incentivi concreti — italiani ed europei — che coprono fino alla metà dei costi in cybersecurity. Molte PMI non lo sanno e perdono migliaia di euro di agevolazioni ogni anno.
150 milioni di euro per voucher a fondo perduto destinati a PMI per l'acquisto di soluzioni di cybersecurity e software di sicurezza.
Progetto europeo da 22 milioni di euro per rafforzare la cyber-resilienza delle PMI. Cofinanziamento al 50%.
Compila il form, scegli il pacchetto e paga: Bitcoin o carta di credito.
Pagamento diretto in Bitcoin · Zero intermediari · Zero KYC · Indirizzo unico per transazione
La sicurezza informatica non deve costare al pianeta. Per questo abbiamo scelto una politica operativa consapevole che riduce al minimo il nostro impatto energetico.
I nostri server vengono spenti ogni sera e riaccesi ogni mattina. Durante le ore notturne (tipicamente dalle 22:00 alle 07:00) il sito potrebbe non essere raggiungibile. Non e un problema tecnico: e una nostra scelta deliberata per ridurre il consumo energetico.
Nei weekend, festivi e durante eventi particolari, il sito potrebbe essere offline. Crediamo che la disponibilita 24/7 non sia sempre necessaria e che l'energia risparmiata conti piu di qualche ora di uptime in orari in cui nessuno lavora.
Un server acceso 24/7 consuma quanto un frigorifero domestico — circa 200-400 kWh all'anno. Moltiplicato per milioni di server nel mondo, l'impatto e enorme. Noi scegliamo di fare la nostra parte, anche se piccola. Se trovi il sito temporaneamente non disponibile, sappi che e per una buona ragione.
Per richieste urgenti fuori orario — invia una email a support@ctsec.it. Risponderemo alla riapertura del servizio.