L'operazione appena chiusa da Bank of America
Bank of America ha comunicato il 30 luglio 2026 che acquisirà MDSec Consulting Limited, una società britannica di consulenza sulla sicurezza informatica con sede a Macclesfield, in Inghilterra, nel nord-ovest del paese, vicino a Manchester e Chester. MDSec impiega circa 65 specialisti altamente tecnici in penetration test, esercitazioni di red team, simulazione degli avversari e ricerca sulle minacce. Bank of America non ha reso noti i termini finanziari dell'operazione, il cui closing è previsto nel quarto trimestre del 2026, subordinatamente all'approvazione regolatoria. L'ufficio stampa della banca l'ha descritta come la sua prima acquisizione in cinque anni.
Kris Fador, responsabile della sicurezza informatica di Bank of America, ha inquadrato l'operazione attorno alla reputazione della società acquisita: "Ammiriamo da tempo le eccezionali capacità del team MDSec e siamo lieti che Bank of America e i suoi clienti possano ora beneficiare ulteriormente del loro lavoro." Dominic Chell, cofondatore di MDSec, ha descritto l'operazione dal lato del venditore come un incontro tanto culturale quanto finanziario: "Entrare in una delle principali istituzioni finanziarie al mondo, che riflette la nostra cultura di innovazione ed eccellenza tecnica, ci offre un'opportunità straordinaria."
Comprare la competenza di red team invece di costruirla
Le grandi banche regolamentate hanno storicamente trattato i test di sicurezza offensiva, ossia l'assunzione di specialisti per attaccare i propri sistemi prima che lo faccia un criminale, come un servizio da acquistare per progetto o una capacità da far crescere lentamente in casa. Bank of America gestisce già un ampio centro operativo contro le minacce informatiche nella vicina Chester, con oltre 1.400 dipendenti nella regione, quindi non parte da zero sull'organico di sicurezza. Ciò che cambia è il metodo: invece di pubblicare posizioni aperte o investire un altro anno di formazione interna, la banca ha comprato un red team già affermato, con relazioni con i clienti, pipeline di ricerca e reputazione intatte.
Questa scelta è il vero segnale. Una cultura di penetration test e red team, l'istinto di pensare come un attaccante invece di limitarsi a correggere falle note, è difficile da costruire dentro un'istituzione grande e avversa al rischio con un normale ritmo di assunzione. Acquisire una società come MDSec compra anni di pensiero avversariale accumulato in un'unica operazione, e li compra già formati, non a metà addestramento. Il fatto che un istituto senza acquisizioni da cinque anni abbia dedicato la prima proprio a talenti di sicurezza offensiva, e non a un prodotto, una piattaforma o una posizione di mercato, dice chiaramente quale capacità la banca considerasse carente al proprio interno.
La pressione dell'IA che alza l'asticella dei penetration test
Lo sfondo di questa operazione è un cambiamento in ciò che gli attaccanti sono in grado di fare. Gli strumenti assistiti dall'IA abbassano il costo della ricerca di vulnerabilità, automatizzano la ricognizione e generano materiale di social engineering convincente in un volume che supera quanto testavano la maggior parte dei team di sicurezza interni appena due anni fa. SecurityWeek e altre testate che hanno seguito l'operazione MDSec l'hanno collocata all'interno di un'ondata più ampia di banche e istituti finanziari che rivalutano le proprie difese informatiche, mentre gli strumenti di attacco diventano più economici e rapidi da usare. Dei penetration test interni "sufficientemente buoni" contro un singolo attaccante umano rappresentano un'asticella più debole contro strumenti capaci di iterare varianti di attacco in modo continuo.
Per questo l'operazione si legge come qualcosa di più di un'assunzione isolata. Possedere un red team sempre disponibile, invece di ingaggiarne uno per un'esercitazione annuale, permette a un'istituzione di testarsi in modo continuo contro una minaccia in evoluzione, invece di scattare una fotografia delle proprie difese una volta l'anno sperando che il divario tra un test e l'altro non conti. Per qualunque organizzazione i cui test di sicurezza seguano ancora un ciclo annuale o semestrale, il ritmo di sviluppo degli attacchi guidato dall'IA è l'argomento per trasformare i test di sicurezza offensiva da audit periodico a capacità interna permanente.
Cosa significa per chi dirige, o compete con, una boutique di pentesting
Il modo più utile di leggere questa operazione non è come una transazione isolata, ma come un dato precoce di uno schema destinato probabilmente a ripetersi. Le grandi istituzioni regolamentate, banche, assicurazioni e l'infrastruttura dei mercati finanziari che le circonda, sono sotto la stessa pressione competitiva e regolatoria a cui Bank of America sta rispondendo; in Italia, Banca d'Italia e Consob chiedono a istituti come Intesa Sanpaolo e UniCredit una difesa informatica altrettanto testata e aggiornata, e poche istituzioni possono costruire internamente una cultura matura di sicurezza offensiva al ritmo imposto dall'evoluzione degli strumenti d'attacco. Acquisire una boutique affermata di pentesting o red team, con la sua metodologia, i suoi ricercatori senior e la fiducia dei clienti, è più rapido di assumere uno specialista alla volta. I proprietari di MSSP di media dimensione e boutique europee di sicurezza dovrebbero considerare questa operazione un segnale di essere un obiettivo di acquisizione plausibile per un grande acquirente regolamentato, non ipotetico.
L'altro lato di questo segnale riguarda i CISO degli istituti concorrenti. Se la capacità di sicurezza offensiva diventa qualcosa che banche e assicurazioni omologhe possiedono interamente invece di noleggiare occasionalmente, l'asticella interna di "testiamo adeguatamente le nostre difese" si alza per tutti quelli misurati su quel gruppo di riferimento. Un CISO la cui organizzazione tratta ancora i penetration test come un esercizio annuale di conformità dovrebbe aspettarsi che quel confronto diventi meno comodo man mano che più istituti del settore portano la capacità in casa.
Da leggere ora: La scommessa da 3 miliardi di Nvidia è sulla rete elettrica | La flotta di robotaxi di Londra ora corre su un'unica azienda
