TL,DR;

Tra fine settembre e metà ottobre abbiamo vistoMicrosoft superare la soglia delle 1.400 vulnerabilità corrette in un singolo Patch Tuesday, sistemi di backup cloud diventare la porta d’ingresso verso Microsoft 365, agenti AI entrare direttamente nelle operazioni offensive, centinaia di migliaia di credenziali ancora valide finire dentro dataset destinati all’addestramento dei modelli e perfino frigoriferi industriali trasformarsi in bersagli cyber con conseguenze decisamente fisiche.

In Italia il quadro non è stato più tranquillo. CERT-AGID ha osservato219 campagne malevole nella settimana 26 settembre–2 ottobre, 178 tra il 3 e il 9 ottobre e addirittura 254 tra il 10 e il 16 ottobre. In tre settimane significa651 campagne analizzate, con phishing, smishing, malware bancari e impersonificazione di servizi pubblici che continuano a rappresentare una pressione quasi industriale. Parallelamente, gruppi hacktivisti hanno mantenuto alta l’attenzione sull’Italia con offensive DDoS contro enti pubblici, aziende tecnologiche, infrastrutture logistiche e grandi gruppi nazionali.
Addirittura una macchina da caffè che per poco non blocca una rete locale domestica!

Il filo conduttore di questo speciale è però un altro:la superficie d’attacco si sta allargando in due direzioni contemporaneamente. Da una parte tutto diventa connesso, automatizzato e integrato. Dall’altra gli attaccanti iniziano a sfruttare la stessa automazione e la stessa intelligenza artificiale per muoversi più velocemente.

Microsoft supera quota 1.400 patch: trovare le falle non è più il collo di bottiglia

Partiamo dal numero più rumoroso:oltre 1.400 vulnerabilità corrette da Microsoft nel Patch Tuesday di ottobre.

Zeus News parla di 1.413CVE, mentre altre fonti applicano criteri di conteggio leggermente diversi (come sempre, peraltro!). La sostanza non cambia: è il più grande intervento di sicurezza mai distribuito da Microsoft in un singolo mese e continua una tendenza che avevamo già osservato a settembre, quando il Patch Tuesday aveva sfiorato quota mille.

La crescita non significa necessariamente che Windows stia improvvisamente diventando molto più insicuro. Una parte della spiegazione sta negli strumenti utilizzati per cercare i difetti.

Microsoft sta introducendo sempre più automazione e modelli AI nell’analisi del proprio codice. Il risultato è quasi inevitabile: quando aumentano drasticamente la capacità e la velocità con cui si cercano vulnerabilità, ne emergono molte di più.

Ed è un bene? Dipende...

Il problema è ciò che viene dopo.

Lo abbiamo già visto a settembre con KB5002914, che correggeva vulnerabilità importanti in Office ma rendeva inoperativa una funzione elementare come il copia/incolla di Excel (e molte altre cose!), e con gli aggiornamenti Windows che avevano creato problemi a Remote Desktop Services e Hyper-V.

Intendiamoci: non è che Microsoft abbia sempre fatto aggiornamenti perfetti che non hanno mai fatto danni da qualche altra parte rispetto a quello che correggevano. Questo è sempre successo.
L'utilizzo dei nuovi sistemi di analisi del codice però, porta questa dinamica su una scala ancora superiore.

Se l’AI permette di scoprire centinaia di vulnerabilità aggiuntive, l’intero sistema che viene dopo — analisi, sviluppo della patch, regression test, distribuzione, rollback e monitoraggio — deve crescere alla stessa velocità.

Non basta quindi dire che “l’intelligenza artificiale rende Windows più sicuro”. Più precisamente,l’AI aumenta enormemente la capacità di trovare problemi, ma costringe Microsoft e gli amministratori a gestire un volume di cambiamenti senza precedenti.

Per le aziende questo rende ancora più importante il rollout graduale: gruppi pilota, workstation tecniche, server non critici e soltanto dopo distribuzione generale. Il Patch Tuesday non è più semplicemente “il giorno in cui aggiorniamo Windows”. Sta diventando un processo continuo di gestione del rischio.
E, parere mio, non è detto che il rischio sia necessariamente l'attaccante: potrebbe esserlo pure la patch stessa (io, dopo settimane, sto ancora "litigando" con degli Excel in ufficio che non ne vogliono sapere di copiaincollare un accidente, da un momento all'altro! Perchè la patch "famigerata" non viene rimossa dai sistemi di aggiornamento e quindi si ripresenta).

Fonti:
Zeus News — Windows, il Patch Tuesday di ottobre è da record
BleepingComputer — Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days
Microsoft Security Response Center — Aggiornamenti di sicurezza di ottobre 2026

ConnectWise Cloud Backup: quando l’applicazione fidata diventa la chiave di Microsoft 365

Se il caso Microsoft racconta la complessità del patch management,ConnectWise Cloud Backupracconta perfettamente il problema della fiducia nel cloud.

Il servizio, precedentemente noto come SkyKick Cloud Backup, viene utilizzato da MSP e aziende per eseguire il backup di ambienti Microsoft 365. Per poter funzionare deve necessariamente disporre di identità applicative autorizzate ad accedere alle risorse dei clienti.

Ed è proprio lì che gli attaccanti hanno colpito.

ConnectWise ha confermatoaccessi non autorizzati alle application identity associate a Cloud Backup. In risposta all’incidente, il 17 ottobre l’azienda ha disabilitato sette identità applicative, revocato certificati e sospeso il servizio. Nei giorni successivi l’indagine e la bonifica erano ancora in corso.

Questo episodio mostra molto bene perché laMFAdegli utenti non risolve automaticamente tutti i problemi di identità.

Un service principal non è una persona che inserisce username, password e codice OTP. È un’identità tecnica alla quale l’organizzazione ha già accordato determinati privilegi. Se le credenziali di quell’identità vengono compromesse, l’attaccante può presentarsi con un pass perfettamente valido.

ConnectWise ha sottolineato un dettaglio molto importante:disabilitare le connessioni compromesse impedisce nuove autenticazioni, ma non annulla automaticamente le modifiche eventualmente già effettuate all’interno dei tenant.

È quindi necessario cercare credenziali aggiuntive, nuove assegnazioni di ruolo, modifiche ai permessi, persistenza attraverso altre identità e anomalie nelle mailbox.
In poche parole: un casino di lavoro incredibile e tedioso.

L’altro problema è operativo. Mentre prosegue l’indagine, backup, restore e alcuni servizi collegati sono rimasti indisponibili. L’azienda sostiene che gli archivi di backup esistenti siano cifrati e isolati e che non vi siano indicazioni di una loro compromissione (adoro la frase "non vi siano indicazioni", che significa "non ne abbiamo idea, ma pare di no").

Questo è probabilmente uno dei casi più istruttivi delle ultime settimane perché ribalta un concetto intuitivo:il servizio che scegliamo per proteggerci dalla perdita dei dati può diventare a sua volta parte della superficie d’attacco.

Cloud e SaaS non eliminano la gestione della sicurezza, come molti venditori vorrebbero farci credere.
Spostano una parte della fiducia (e della responsabilità) verso altre organizzazioni e altre identità.
Ma i dati che "saltano" o le identità hackerate, sempre le nostre sono.

Fonti:
ConnectWise — Security Advisories
BleepingComputer — Hackers breach Microsoft 365 tenants via ConnectWise supply-chain attack

DIVD e Zammad: l’AI accelera l’attacco, ma la storia è più complessa del primo racconto

Il caso delDutch Institute for Vulnerability Disclosuresembrava quasi scritto da uno sceneggiatore: l’organizzazione che cerca vulnerabilità negli altri viene compromessa attraverso due zero-day, mentre gli aggressori utilizzano agenti AI per proseguire l’attacco.

La parte essenziale è confermata.

Il 21 settembre gli attaccanti hanno violato l’istanza Zammad utilizzata da DIVD per il proprio sistema di help desk e ticketing. Durante l’indagine sono state identificate due vulnerabilità, oggi catalogate comeCVE-2026-102489 e CVE-2026-102490. Dopo aver ottenuto privilegi elevati sul sistema, gli attaccanti hanno utilizzato agenti AI nelle fasi successive dell’operazione.

Ma nelle settimane successive la ricostruzione è diventata più precisa.

CVE-2026-102489 consente il session hijacking che può portare alla remote code execution come utentezammad. DIVD indica come effettivamente vulnerabili le versioni 6.3.0–6.5.4; il problema è presente anche nel codice di alcune versioni 7.x ma, a causa delle differenze nell’ambiente runtime, non risulta praticamente sfruttabile nelle stesse condizioni.

CVE-2026-102490 è invece una privilege escalation locale che interessa le installazioni realizzate tramite pacchetti DEB e RPM. Un attaccante che abbia già ottenuto la possibilità di scrivere come utentezammadpuò arrivare a privilegi root. Le installazioni da sorgente e le immagini container ufficiali non sono coinvolte nello stesso modo.

Zammad ha successivamente pubblicato ulteriori aggiornamenti, compresa una release straordinaria 6.5.5 per chi non fosse ancora riuscito a migrare dalla serie ormai fuori supporto.

La parte AI resta però quella più interessante.

DIVD sostiene di aver individuato elementi compatibili con l’uso di agenti autonomi nelle fasi successive alla compromissione. Questo non significa che “un’AI abbia deciso di attaccare DIVD”: significa che un attaccante ha potuto utilizzare automazione agentica per comprimere i tempi delle attività operative.

Ed è probabilmente questo il cambiamento da tenere d’occhio.

L’AI non deve inventare una zero-day impossibile. È sufficiente che riesca a farericognizione, concatenazione, escalation e movimento laterale più rapidamente di un operatore umano.
E lo sa fare. Dico sempre che questi agenti non sono, fondamentalmente, più "intelligenti" di un umano. Sono però molto, molto, MOLTO veloci nel cercare informazioni ed eseguire i compiti.
Diventa quindi difficilissimo fermarli in tempo, una volta che sono partiti. Ed è un problema che ci porteremo dietro nei prossimi anni, secondo me.

Fonti:
DIVD CSIRT — Incident response case DIVD-2026-00014
DIVD CSIRT — CVE-2026-102489
DIVD CSIRT — CVE-2026-102490
Zammad — Release 6.5.5

ARTEX contro il settore finanziario: il penetration testing agentico cambia squadra

Pochi giorni dopo il caso DIVD, CrowdStrike ha descritto un’altra operazione nella quale l’intelligenza artificiale entra direttamente nel workflow offensivo.

Una campagna attiva tra fine settembre e inizio ottobre ha preso di mira organizzazioni finanziarie sudcoreane utilizzandoARTEX, un framework open source di penetration testing agentico, insieme a modelli linguistici e sessioni Claude Code.

CrowdStrike è riuscita a ricostruire parte dell’operazione perché l’infrastruttura utilizzata dagli aggressori esponeva directory contenenti configurazioni ARTEX, cronologie delle sessioni Claude e file di memoria degli agenti.

È quasi come se gli attaccanti avessero lasciato aperto il proprio diario di bordo.

La ricerca mostra un’integrazione tra strumenti offensivi tradizionali e sistemi capaci di pianificare e automatizzare attività. CrowdStrike ha osservato anche richieste rivolte agli agenti per individuare canali Telegram utili alla vendita di dati sottratti.

L’attribuzione rimane prudente: l’azienda valuta con moderata confidenza che dietro l’attività vi sia un soggetto di lingua cinese con motivazioni economiche (che pare anche essere stato identificato ma è tutto in attesa di conferme).
Ed, aggiungo io, anche particolarmente ... diciamo incauto và, in quanto lasciare esposti determinati dati, strumenti utilizzati e operazioni effettuate non è da "professionisti".

La cosa realmente importante, però, non è il nome del gruppo o della persona.

È il fatto chestrumenti nati per rendere più efficiente il penetration testing possano essere utilizzati esattamente nello stesso modo da chi conduce un’intrusione reale.

È il solito problema dual-use, soltanto amplificato dall’AI.
Intanto, i creatori di ARTEX hanno deciso di rendere il progetto closed source e bloccare ulteriori sviluppi.

Fonti:
CrowdStrike — Unknown Threat Actor Uses AI-Driven ARTEX to Target South Korean Finance
BleepingComputer — ARTEX AI and Claude agents used in attacks on South Korean banks

Mezzo milione di credenziali ancora funzionanti dentro i dataset AI

Non tutte le minacce delle ultime settimane richiedono zero-day o agenti autonomi.

A volte basta dimenticare una API key su GitHub.

Una ricerca ripresa da CERT-AGID ha trovato543.699 credenziali ancora valideall’interno di codice contenuto in The Stack v3, dataset da 15,9 TB costruito a partire da circa 224 milioni di repository GitHub pubblici e utilizzato per addestrare sistemi AI dedicati alla programmazione.

API key, password database, token d’accesso e credenziali di servizio sono finite quindi non soltanto nei repository originali, ma dentro un enorme corpus destinato all’addestramento dei modelli.

Il dato più significativo è forse l’età delle chiavi ancora funzionanti: molte erano pubbliche da moltissimo tempo.

Qui la lezione è quasi imbarazzante nella sua semplicità.

Cancellare una credenziale dal repository non significa revocarla.

Può esistere nella history Git, in un fork, in un mirror, in un archivio, in un dataset oppure in una cache.

I dataset AI rendono soltanto più visibile un problema che esiste da anni: Internet ha una memoria molto più lunga di quanto immaginiamo.
Una credenziale che è stata pubblicata deve essere considerata compromessa e sostituita, come il mio agent su ChatGPT mi ricorda ogni volta che mi "scappa" una cavolata simile.
"C'è una API Key nel codice che mi hai incollato. Disattivala e sostituiscila immediatamente con una nuova, e non inserirla più nella chat!" (in pratica mi prendo dei cazziatoni anche dall'agent, oltre che da tutto il resto del mondo!)

Fonti:
CERT-AGID — Credenziali GitHub esposte anche nei dataset per l'addestramento dell'IA

Dai repository ai frigoriferi: quando il cyberattacco produce danni fisici

Tra tutte le notizie delle ultime settimane, quella dei supermercati francesi è probabilmente la più efficace per spiegare a un non tecnico perché la cybersecurity non riguarda più soltanto computer e database.

Un attacco ha coinvoltocentinaia di supermercati francesi, compromettendo sistemi di refrigerazione connessi. In diversi casi la temperatura di frigoriferi e congelatori è stata portata fino a circa50 °C, provocando deterioramento degli alimenti e danni alle apparecchiature.

Il caso ha fatto emergere anche un problema meno evidente: la differenza tra danno cyber e danno fisico. Diverse analisi hanno evidenziato come alcune polizze informatiche possano non coprire integralmente le perdite economiche derivanti dalla distruzione di prodotti alimentari.

Ed è qui che il caso diventa particolarmente interessante.

La distinzione tra “incidente informatico” e “danno fisico” comincia a perdere significato quando sistemi HVAC, impianti industriali, refrigerazione, macchinari e building automation sono collegati alle reti.

Un controllore di temperatura con firmware obsoleto è pur sempre un computer.

Ma quando viene compromesso, non perde soltanto dei file.

Può far marcire tonnellate di alimenti.

Fonti:
Zeus News — Cyberattacco manda in crisi frigoriferi e congelatori nei supermercati
Reuters — French supermarket refrigeration systems targeted in cyberattack
Reuters — French supermarket cyber insurance may not cover food losses

"Quanto fa un caffè?" "1 Terabyte, grazie!"

Tra zero-day, ransomware e intelligenza artificiale usata negli attacchi, ogni tanto arriva una storia che sembra quasi una barzelletta: il 6 ottobre un utente conosciuto online come Nomad stava cercando di capire perché la rete Wi-Fi dei propri genitori si comportasse in modo anomalo. Aprendo il pannello di gestione UniFi ha trovato un responsabile decisamente improbabile: unaKeurig K-Supreme SMART, cioè una macchina del caffè connessa.
Il contatore associato al dispositivo mostrava1.008,45 GB di traffico in uscita e 9,94 GB in ingresso nell’arco di appena 10 giorni e 9 ore.

Più di un terabyte!!

Al primo colpo non ci credi, poi pensi ad un errore dei contatori, poi passi al panico che qualcuno ti sia entrato nella rete.
Perchè non ha senso per una macchina che, almeno in teoria, dovrebbe limitarsi a comunicare informazioni come stato operativo, riconoscimento delle capsule, cronologia delle preparazioni ed eventuali aggiornamenti software.

La prima reazione è stata quasi inevitabile: cosa cavolo sta facendo!?!?

La risposta, fortunatamente, sembra essere meno inquietante delle prime impressioni.

Analizzando meglio il comportamento del dispositivo, il proprietario ha chiarito chela quasi totalità del traffico non sarebbe uscita verso Internet, ma sarebbe rimasta all’interno della rete locale. Non ci sono quindi evidenze (aridaje...) che la macchina abbia caricato un terabyte di informazioni sui server del produttore o su qualche infrastruttura sconosciuta.

Questo ridimensiona parecchio lo scenario “elettrodomestico-spia”, ma non elimina il problema.

Un dispositivo IoT capace di generare centinaia di gigabyte di traffico locale può comunque saturare un access point, degradare le prestazioni della rete e rendere molto difficile capire cosa stia realmente succedendo.

Ed è esattamente quello che sarebbe avvenuto in questo caso.

Dopo un riavvio della macchina e il suo isolamento in unaVLAN dedicata, il comportamento anomalo non si è più ripresentato.

Il proprietario ha ipotizzato un bug della singola unità, ma qui bisogna fare attenzione a non correre troppo con le conclusioni.

Non è stata effettuata una cattura completa dei pacchetti mentre il fenomeno era in corso, quindi non sappiamo esattamente quali dati venissero scambiati e tra quali componenti della rete. Keurig, almeno al momento delle prime ricostruzioni, non aveva pubblicato una spiegazione ufficiale e non risultavano segnalazioni diffuse dello stesso comportamento su altre macchine.

Quindinon possiamo parlare di una vulnerabilità firmware confermata, né di un problema generalizzato del modello.

Possiamo però parlare di una splendida dimostrazione pratica del perché gli oggetti IoT vadano trattati come tutti gli altri dispositivi di rete: perché lo sono!!

Una macchina del caffè smart non è più soltanto una resistenza, una pompa e qualche pulsante. Contiene un sistema operativo o un firmware, dispone di una connessione Wi-Fi, comunica con altri dispositivi e spesso con servizi cloud, riceve aggiornamenti e mantiene uno stato.

Dal punto di vista della rete, è un computer con una funzione molto specifica: fare il caffè.

E, come qualunque altro computer, può avere bug.

La differenza è che raramente qualcuno apre il pannello del router per controllare quanta banda abbia consumato la propria macchina del caffè durante la notte.

È proprio questa invisibilità a rendere interessante la storia.

L’utente aveva già fatto qualcosa di corretto: il dispositivo si trovava su una sottorete destinata all’IoT. Ma le restrizioni applicate erano limitate, quindi un comportamento anomalo riusciva comunque a produrre abbastanza traffico da influenzare il resto dell’infrastruttura.

La soluzione adottata —VLAN separata e maggiore isolamento— è esattamente quella che avrebbe senso applicare in una rete domestica evoluta o, ancora di più, in un ambiente aziendale.

Telecamere, televisioni, prese intelligenti, elettrodomestici, aspirapolvere robot, termostati e assistenti vocali non hanno normalmente alcun motivo per comunicare liberamente con computer, NAS, server o dispositivi che contengono dati importanti.

Separarli significa ridurre sia il danno prodotto da un eventuale malfunzionamento sia quello di una futura compromissione.

E la parte più interessante della vicenda è forse proprio questa. La macchina del caffè non risulta essere stata hackerata, non abbiamo prova di un attacco, non abbiamo una CVE e non abbiamo neppure la certezza che il problema risiedesse nel firmware.

Eppureun semplice malfunzionamento di un dispositivo IoT è stato sufficiente a degradare una rete domestica generando più di un terabyte di traffico in dieci giorni.
E non voglio nemmeno immaginare se il bug avesse avuto accesso all'esterno e quella montagna di traffico, la caffettiera fosse riuscita a farlo passare su una rete a consumo.

È un ottimo promemoria del fatto che la sicurezza IoT non riguarda soltanto gli hacker.

Riguarda anche visibilità, segmentazione e controllo.

Perché prima ancora di chiederci se la macchina del caffè possa essere compromessa, forse dovremmo assicurarci di accorgercene quando comincia a comportarsi come un datacenter.

Fonti:
Zeus News — La caffettiera smart che ha generato 1 TB di traffico in 10 giorni
Tom's Hardware Italia — Macchina da caffè smart invia 1 TB di dati, nessuno capisce perché
Tom's Hardware Italia — Il Wi-Fi di casa rallenta: la colpa è della macchina del caffè?

Focus Italia: tre settimane sotto pressione

651 campagne malevole: il phishing italiano non rallenta, cambia soltanto vestito

Guardando insieme i tre bollettini CERT-AGID riguardanti il phishing, il quadro italiano mostra la solita pressione.

Tra il26 settembre e il 2 ottobresono state analizzate 219 campagne.

Tra il3 e il 9 ottobre, 178.

Tra il10 e il 16 ottobre, si sale a 254.

Totale:651 campagne malevole in tre settimane.

Non significa naturalmente 651 incidenti riusciti ma campagne, quindi centinaia o migliaia di messaggi inviati ad altrettante destinazioni, che, pescando a strascico, generano risultati con numeri molto inferioni ma che, comunque, giustificano la "fatica" di crearle.

Significa anche una pressione continua sugli utenti, fatta di phishing, smishing, malware, false notifiche e impersonificazioni che, per quanto attenti, possono portare a momenti di distrazione e quindi a cascarci.

Il rimborso fiscale continua a essere una delle esche preferite. Nella settimana 26 settembre–2 ottobre CERT-AGID ha contato 51 campagne tutte costruite sull’identità dell’Agenzia delle Entrate. Nell’ultima settimana del periodo il numero sale ulteriormente.

Poi ci sono le multe, le banche, il rinnovo dei documenti sanitari e le false comunicazioni amministrative.

La caratteristica comune è che queste campagne non cercano più necessariamente di sembrare straordinarie.

Al contrario:funzionano proprio perché sembrano burocraticamente normali.

Un rimborso IRPEF (Vabè, questo proprio "normale" non è...), una multa, una tessera sanitaria da rinnovare, un problema sul conto corrente.

Più la vita quotidiana diventa digitale, più il phishing può mimetizzarsi dentro le normali procedure e la guardia deve essere sempre alta.
Chiedete ai diretti interessati usando canali separati che trovate voi personalmente (esempio: cercate e chiamate il numero del CUP locale per capire come mai vi è arrivato un messaggio via sms di una prenotazione che non avete fatto) e non usateMAIi link o i numeri di telefono forniti in calce ad email e messaggi.

Fonti:
CERT-AGID — Sintesi riepilogativa delle campagne malevole nella settimana del 26 settembre – 2 ottobre
CERT-AGID — Sintesi riepilogativa delle campagne malevole nella settimana del 3–9 ottobre
CERT-AGID — Sintesi riepilogativa delle campagne malevole nella settimana del 10–16 ottobre

Dal CNR alla tessera sanitaria: rubare identità autentiche vale più che imitarle

Nella prima settimana del periodo, CERT-AGID e Telsy hanno segnalato una campagna mirata contro ilConsiglio Nazionale delle Ricerche.

Gli aggressori hanno realizzato una falsa webmail che riproduceva l’ambiente CNR e riferimenti a Outlook, con l’obiettivo di raccogliere credenziali di posta istituzionale.

Il motivo è semplice: impossessarsi di un vero account istituzionale è immensamente più utile che falsificarne uno.

Una mail che arriva realmente da@cnr.itha già superato il primo grande ostacolo psicologico.

La stessa logica continua nelle campagne contro i cittadini.

Nella settimana 10–16 ottobre CERT-AGID ha rilevato numerose campagne basate sul presunto rinnovo dellatessera sanitaria, sfruttando il nome del Ministero della Salute.

Anche qui la tecnica non punta sull’evento eccezionale, ma sulla routine amministrativa.

Ed è questo che rende il phishing moderno più difficile da riconoscere:non deve più sembrare urgente e assurdo. Deve sembrare plausibile e noioso.

Ovviamente, lo ricordo anche se vorrei fosse inutile, tutto il sistema si basa sul fatto che arriva una mail o un sms che "obbliga" a sostituire la tessera sanitaria. E fornisce un link su cui cliccare, in cui inserire dati personali e di pagamento per "sostituire la tessera sanitaria".
Tutte cazzate. Il link è ovviamente falso e tutti i dati personali che inserite vanno nelle mani di qualcun altro che poi potrà usarli come meglio crede.
Le regole sono le solite: non cliccate sui link in calce a mail o messaggi, specialmente quelli "urgenti", e prima di inserire dati personali su un sito, verificate sempre se si tratta di un sito legittimo oppure no.

Fonti:
Telsy — The latest from Italy: ITW exploits, new zero-days and cyber incidents
CERT-AGID — Sintesi riepilogativa delle campagne malevole nella settimana del 10–16 ottobre
Ministero della Salute — Attenzione alle false comunicazioni a nome del Ministero

WhatsApp, banking e malware Android: l’utente diventa parte della catena d’installazione

Durante la settimana 3–9 ottobre è tornata anche la cosiddettatruffa della ballerinasu WhatsApp.

La vittima riceve da un contatto conosciuto un messaggio che invita a votare una concorrente, che normalmente viene indicata come una parente, figlia di amici o comunque una stretta conoscente.
Il sito fraudolento chiede poi una verifica tramite WhatsApp che, in realtà, serve ad autorizzare il collegamento di un nuovo dispositivo all’account.

Non viene necessariamente rubata una password.

È l’utente stesso che, inconsapevolmente, concede l’accesso al suo account.

La stessa dinamica compare nelle campagne Android osservate da CERT-AGID, dove falsi messaggi bancari spingono gli utenti a scaricare APK malevoli come Herodotus, MidnightMimosa e Novinarya.

Il denominatore comune è evidente.

Gli attaccanti cercano di evitare la vulnerabilità tecnica quando possono utilizzare qualcosa di molto più economico:convincere l’utente a completare personalmente l’installazione dell’attacco.

È lo stesso paradigma di ClickFix sui computer Windows: il criminale prepara il percorso, la vittima esegue l’ultimo comando.

Tanti anni fa, credo attorno al 98-99, circolava una mail catena di sant'antonio chiamata "Virus Albanese" ... cercatela su google.
Con tutto il rispetto per gli Albanesi, faceva ridere, ma pensateci adesso e vedrete che la stanno trasformando in realtà.

Fonti:
CERT-AGID — Torna la truffa della ballerina: falsi concorsi su WhatsApp per sottrarre gli account
CERT-AGID — Sintesi riepilogativa delle campagne malevole nella settimana del 3–9 ottobre

Hacktivismo: l’Italia resta un bersaglio ad alta visibilità

Sul fronte più geopolitico, le ultime tre settimane hanno visto una continuità quasi perfetta.

Il collettivo filorussoNoName057(16)ha rivendicato nuove offensive contro portali italiani, affiancato in diverse occasioni da altri gruppi hacktivisti.

Telsy ha documentato campagne contro comuni, infrastrutture portuali e logistiche, società tecnologiche, ministeri e gruppi industriali. Tra gli obiettivi citati nelle varie settimane compaionoTerna e Gruppo Azimut|Benetti, oltre a diversi enti pubblici e aziende nazionali.

Qui è importante non confondere una rivendicazione DDoS con un data breach.

Un attacco di denial of service può rendere un sito temporaneamente irraggiungibile senza che l’aggressore abbia mai avuto accesso ai sistemi interni.

Ma per l’hacktivismo l’obiettivo è spesso proprio quello: ottenere visibilità attraverso una perturbazione pubblicamente percepibile.

L’Italia, per dimensioni, posizione politica e ruolo internazionale, continua quindi a essere un bersaglio molto appetibile per operazioni dimostrative.

Fonti:
Telsy — L'Italia nel mirino di diversi avversari: cyberspionaggio, cybercrime e incidenti di sicurezza
Telsy — Attacchi alla penisola, campagne APT e vulnerabilità sfruttate in the wild

Tre settimane, una sola direzione

Guardando insieme questi tre run emerge un quadro più interessante di quello che avremmo ottenuto pubblicandoli separatamente.

Da un lato la cybersecurity sta diventandopiù automatizzata: Microsoft utilizza l’AI per trovare una quantità di vulnerabilità impensabile fino a pochi anni fa.
Gli attaccanti utilizzano framework agentici come ARTEX (causando, di fatto, il blocco del progetto!)
DIVD osserva agenti AI durante una compromissione reale.
Gli sviluppatori addestrano modelli su centinaia di milioni di repository.

Dall’altro lato cresce contemporaneamente lacomplessità della fiducia.
ConnectWise deve avere accesso ai tenant Microsoft 365 per poterli proteggere ma se "aprono" lei, allora son nei casini tutti.
Un frigorifero deve essere raggiungibile per poter essere monitorato, ma se ha buchi sfruttabili, sta dentro la tua rete domestica.
Un cittadino deve fidarsi dei servizi digitali della Pubblica Amministrazione, che sono servizi come tutti gli altri e soggetti a vulnerabilità.
Un dipendente deve poter aprire una webmail ma deve stare attento a cosa fa.
Un utente WhatsApp deve poter collegare un nuovo dispositivo, ma qualcuno prova a truffarlo, può rubargli l'account.

Ogni funzionalità legittima crea quindi anche una strada potenzialmente abusabile.

Ed è probabilmente questo il messaggio più importante di queste tre settimane.

La sicurezza non consiste più soltanto nel chiudere le portema consiste nel saperequali porte abbiamo deliberatamente lasciato aperte, chi possiede le chiavi e cosa può fare una volta entrato.

L’intelligenza artificiale renderà vulnerabilità e attacchi sempre più veloci.
Il cloud continuerà a concentrare privilegi.
IoT e sistemi industriali continueranno a portare il cyber nel mondo fisico.
E il phishing continuerà a funzionare finché riuscirà a inserirsi dentro procedure che consideriamo normali.

Non possiamo eliminare questa complessità.

Possiamo però smettere di trattare la fiducia come qualcosa che, una volta concessa, non debba più essere verificata:in un mondo sempre più automatizzato, anche la fiducia deve avere una scadenza.
Controlli sui permessi, verifiche dei log ma anche solo capire come mai la nostra rete di casa è più lenta del solito per un periodo prolungato.
L'utente deve imparare (dovrebbe già averlo fatto da anni, in realtà) a proteggersi da solo perchè certe cose non potranno essere risolte da qualcun altro al posto suo.

Alla prossima, spero tra non troppo tempo!
M.