• I pirati informatici hanno pubblicato una falsa estensione per VSCode spacciandola per l'assistente AI Moltbot.
• L'estensione veicolava un trojan che utilizzava il controllo remoto del desktop e loader stratificati.
• L'attacco è stato rapidamente individuato e bloccato, ma il sito ufficiale di Moltbot è stato segnalato come pericoloso.

I pirati informatici hanno sfruttato la reputazione di Moltbot per veicolare malware a un numero indefinito di utenti ignari, ma fortunatamente l'offensiva è stata prontamente individuata e neutralizzata.

Moltbot è un assistente AI personale open source che opera localmente sul computer o sul server dell'utente (a differenza delle alternative basate sul cloud), consentendo l'interazione con i modelli linguistici di grandi dimensioni (LLM) e l'automazione di diverse attività. Tuttavia, poiché il software gira in locale con un accesso profondo al sistema, alcuni esperti di sicurezza hanno invitato alla cautela: eventuali configurazioni errate potrebbero esporre dati sensibili e prestare il fianco a tentativi di hacking.

Originariamente noto come Clawdbot, il progetto è stato recentemente rinominato per evitare controversie sui marchi registrati ed è oggi uno degli strumenti di intelligenza artificiale più popolari, con oltre 93.000 stelle su GitHub al momento della pubblicazione. Ciononostante, il suo sito web risulta attualmente segnalato come "pericoloso".

Falsificare Moltbot

Nonostante sia una stella nascente nel panorama degli assistenti IA, Moltbot non disponeva ancora di un'estensione per Microsoft Visual Studio Code (VSCode).

Alcuni cybercriminali hanno sfruttato questa lacuna pubblicandone una denominata "ClawBot Agent - AI Coding Assistant". L'estensione funzionava come promesso, ma nascondeva un "trojan perfettamente operativo", come spiegato dai ricercatori di sicurezza di Aikido. Il malware veniva distribuito attraverso un'istanza modificata di una legittima soluzione per il desktop remoto.

In realtà, i criminali avrebbero potuto ottenere risultati simili anche tramite il typosquatting, ma essere gli unici presenti sul Marketplace ufficiale delle estensioni ha indubbiamente facilitato il loro compito.

A rendere il malware particolarmente pericoloso è stato l'impegno profuso per farlo apparire autentico. "Icona professionale, interfaccia curata e integrazione con sette diversi provider di intelligenza artificiale (OpenAI, Anthropic, Google, Ollama, Groq, Mistral, OpenRouter)", ha precisato Aikido.

Gli aggressori hanno fatto di tutto per occultare le proprie reali intenzioni:

"La stratificazione è impressionante. C'è un finto assistente IA che installa un software di accesso remoto legittimo, configurato per connettersi all'infrastruttura degli attaccanti; a questo si aggiunge un loader di backup scritto in Rust che scarica lo stesso payload da Dropbox camuffandolo da aggiornamento di Zoom, il tutto all'interno di una cartella rinominata come un'app per screenshot. Ogni livello aumenta il grado di confusione per chi deve difendere i sistemi."

• La falla CVE-2025-8088 in WinRAR è sfruttata da gruppi criminali e attori statali.
• Gli aggressori utilizzano la funzione ADS (Alternate Data Streams) per distribuire malware tramite archivi malevoli.
• Si sollecitano gli utenti ad aggiornare WinRAR alla versione 7.13 o successive per protezione.

L'iconico programma di archiviazione per Windows, WinRAR, contiene una vulnerabilità di alto livello che consente ai malintenzionati di eseguire codice arbitrario sui dispositivi compromessi. Secondo i ricercatori di sicurezza, il bug è attualmente sfruttato da numerosi gruppi di hacker, sia filogovernativi che indipendenti.

La falla in questione è descritta come un difetto di "path traversal" (attraversamento di percorsi) e riguarda le versioni 7.12 e precedenti. Identificata come CVE-2025-8088, ha ricevuto un punteggio di gravità di 8.4/10 (alto).

Per mettere in sicurezza i propri sistemi e prevenire intrusioni da parte di hacker, gli esperti di sicurezza consigliano di aggiornare il programma alla versione 7.13 o successive.

Sfruttata come zero-day

Ora, BleepingComputer riferisce che diverse società di sicurezza hanno lanciato l'allarme sull'impiego di questa falla da parte di numerosi collettivi hacker nei loro attacchi.

Tra questi figura RomCom, gruppo vicino alla Russia, che l'ha utilizzata per distribuire NESTPACKER contro unità militari ucraine. Altre menzioni di rilievo includono APT44 e Turla (anch'essi attivi contro l'esercito ucraino), Carpathian e vari attori sponsorizzati dallo stato cinese, che l'avrebbero sfruttata per installare il malware POISONIVY.

Il Threat Intelligence Group (GTIG) di Google, la divisione di cybersicurezza che monitora principalmente gli attacchi di matrice statale, ha dichiarato che i primi segni di abuso risalgono a metà luglio 2025. Da allora, gli hacker hanno utilizzato la funzione Alternate Data Streams (ADS) di WinRAR per scrivere malware in percorsi arbitrari sui dispositivi bersaglio.

"Mentre l'utente visualizza solitamente un documento civetta all'interno dell'archivio, come un PDF, sono presenti anche voci ADS malevole: alcune contengono un payload nascosto, mentre altre sono dati fittizi", ha spiegato Google.

È stato chiarito che, quando la vittima apre l'archivio, il programma estrae il payload ADS sfruttando l'attraversamento delle directory (directory traversal).

Oltre agli attori statali, anche gruppi mossi da finalità economiche stanno sfruttando questo bug per diffondere infostealer come XWorm o AsyncRAT.

WinRAR non supporta gli aggiornamenti automatici, ma non è necessario disinstallare il programma prima di eseguire la nuova versione: l'installazione avverrà sovrascrivendo quella esistente.

• Le memorie HBM4 di Samsung sono già integrate nelle piattaforme dimostrative Rubin di Nvidia
• La sincronizzazione della produzione riduce i rischi di pianificazione per l'implementazione di grandi acceleratori IA
• La larghezza di banda della memoria sta diventando il principale collo di bottiglia per i sistemi IA di prossima generazione

Samsung Electronics e Nvidia starebbero collaborando strettamente per integrare i moduli di memoria di prossima generazione HBM4 di Samsung negli acceleratori IA Vera Rubin di Nvidia.

Secondo alcune indiscrezioni, la partnership segue tempistiche di produzione sincronizzate: Samsung avrebbe completato le verifiche sia per Nvidia che per AMD, preparandosi per le spedizioni di massa a febbraio 2026.

I moduli HBM4 sono destinati all'uso immediato nelle demo prestazionali di Rubin, in vista del debutto ufficiale alla GTC 2026.

Integrazione tecnica e innovazione congiunta

Le memorie HBM4 di Samsung operano a 11,7 Gb/s, superando i requisiti dichiarati da Nvidia e garantendo la larghezza di banda necessaria per i carichi di lavoro IA avanzati.

I moduli integrano un die logico di base realizzato con il processo a 4 nm di Samsung, garantendo un maggior controllo sulla produzione e sulle tempistiche di consegna rispetto ai fornitori che si affidano a fonderie esterne.

Nvidia ha integrato queste memorie nell'architettura Rubin con particolare attenzione all'ampiezza dell'interfaccia e all'efficienza della banda, permettendo agli acceleratori di supportare computazioni parallele su larga scala.

Oltre alla compatibilità dei componenti, la partnership punta sull'integrazione a livello di sistema: Samsung e Nvidia coordinano la fornitura di memorie con la produzione dei chip, consentendo di regolare le spedizioni di HBM4 in base ai programmi di fabbricazione di Rubin.

Questo approccio riduce le incertezze sulle tempistiche e si contrappone alle catene di fornitura della concorrenza, che dipendono da produzioni di terze parti e logistiche meno flessibili.

All'interno dei server basati su Rubin, le HBM4 sono abbinate a unità di archiviazione SSD ad alta velocità per gestire set di dati massivi e limitare i colli di bottiglia nel trasferimento dei dati.

Tale configurazione riflette una visione focalizzata sulle prestazioni end-to-end, piuttosto che sull'ottimizzazione isolata dei singoli componenti.

Larghezza di banda della memoria, throughput dello storage e design dell'acceleratore operano come elementi interdipendenti dell'intero sistema.

La collaborazione segna inoltre un cambio di passo nella posizione di Samsung nel mercato delle memorie ad alta larghezza di banda.

Le HBM4 sono ora destinate a un'adozione precoce nei sistemi Rubin di Nvidia, dopo le precedenti difficoltà nel garantire forniture ai principali clienti del settore IA.

I report indicano che i moduli di Samsung sono i primi in linea per l'implementazione su Rubin, segnando un'inversione di tendenza rispetto alle iniziali esitazioni relative alle sue soluzioni HBM.

La partnership riflette la crescente attenzione verso le prestazioni della memoria come fattore abilitante per gli strumenti IA di prossima generazione e le applicazioni ad alta intensità di dati.

Le demo previste per il GTC 2026 di Nvidia a marzo dovrebbero mostrare gli acceleratori Rubin abbinati alle memorie HBM4 in test di sistema dal vivo. Il focus rimarrà sulle prestazioni integrate piuttosto che sulle specifiche dei singoli prodotti.

Le prime spedizioni ai clienti sono attese a partire da agosto. Tale tempistica suggerisce un forte allineamento tra la produzione delle memorie e il lancio degli acceleratori, mentre la domanda di infrastrutture IA continua a crescere.

• SLH prende di mira circa 100 aziende con attacchi vishing sulle credenziali SSO di Okta
• Un pannello di phishing live intercetta credenziali e token MFA in tempo reale
• Non ci sono ancora violazioni confermate, ma le sessioni Okta hackerate pongono rischi gravi

I famigerati attori della minaccia Scattered LAPSUS$ Hunters (SLH) sono attualmente impegnati in una massiccia campagna di furto d'identità che prende di mira le credenziali di single sign-on (SSO) di Okta presso circa 100 grandi imprese.

I ricercatori di sicurezza di Silent Push hanno scoperto che gli hacker stanno conducendo una sofisticata campagna di vishing (phishing vocale), volta a ottenere l'accesso alle infrastrutture aziendali per esfiltrare dati sensibili e successivamente estorcere denaro alle vittime.

I ricercatori hanno affermato che SLH utilizza un nuovo "Live Phishing Panel", che consente ai loro operatori di "posizionarsi al centro di una sessione di login, intercettando credenziali e token MFA in tempo reale". In altre parole, gli aggressori chiamano le vittime al telefono e le convincono ad accedere a un servizio, posizionandosi "nel mezzo" e intercettando i segreti che transitano.

Risultati sconosciuti

Silent Push afferma che circa 100 organizzazioni appartenenti a diversi settori sono attualmente nel mirino. L'elenco completo, consultabile nel loro report, include bersagli di alto profilo come Atlassian, Morningstar, American Water, GameStop e Telstra.

Tuttavia, essere nel mirino e subire una violazione sono due cose completamente diverse. Non vi è alcuna conferma che una delle aziende in elenco sia stata effettivamente colpita e, al momento della pubblicazione, non vi erano prove a riguardo.

Silent Push ha dichiarato a The Register di non avere "informazioni da condividere" su potenziali vittime, e gli SLH non hanno ancora aggiunto nessuno al loro sito di leak. Gli hacker hanno comunque confermato che il numero dei bersagli indicati era "vicino" alla realtà.

Secondo i ricercatori, il rischio della campagna è elevatissimo: una volta che una sessione Okta viene compromessa, l'attaccante ottiene una sorta di "passepartout" (o skeleton key) per ogni applicazione dell'ambiente aziendale. Ciò consente loro di estorcere dati sensibili, muoversi lateralmente nella rete e persino criptare i dati, se necessario.

"La formazione standard sulla sicurezza spesso non riesce a fermare questa minaccia specifica. Gli operatori di SLH sono estremamente persuasivi: chiamano frequentemente l'help desk e i dipendenti, manipolando simultaneamente una pagina di phishing live per farla combaciare esattamente con le richieste di login specifiche della vittima", hanno spiegato i ricercatori.

• Due estensioni per VSCode hanno esfiltrato dati sensibili degli utenti verso server cinesi
• ChatGPT – 中文版 e ChatMoss hanno totalizzato oltre 1,5 milioni di installazioni
• Le estensioni utilizzavano iframe nascosti, comandi e SDK per sottrarre file e monitorare le attività

Oltre 1,5 milioni di persone potrebbero aver subito l'esfiltrazione dei propri dati sensibili a opera di hacker cinesi attraverso due estensioni malevole scoperte sul Marketplace di VSCode.

I ricercatori di Koi Security hanno dichiarato di aver individuato i due componenti dannosi nel Marketplace di Microsoft Visual Studio Code (VSCode), lo store ufficiale per i componenti aggiuntivi dell'editor di codice.

Le estensioni venivano pubblicizzate come assistenti alla programmazione basati sull'intelligenza artificiale. Di fatto, funzionavano esattamente come promesso, offrendo agli utenti un modo semplice e immediato per accedere a strumenti di IA generativa (GenAI) per scrivere codice. Tuttavia, all'insaputa degli utilizzatori, i tool caricavano dati sensibili su un server di terze parti situato in Cina.

MaliciousCorgi

Secondo Koi, i componenti aggiuntivi in questione, entrambi ancora disponibili per il download sul marketplace, sono i seguenti:

ChatGPT – 中文版 (editore: WhenSunset, 1,34 milioni di installazioni)

ChatMoss (CodeMoss) (editore: zhukunpeng, 150.000 installazioni)

Koi afferma che entrambi fanno parte della campagna denominata "MaliciousCorgi" e inviavano i dati rubati allo stesso server.

Per l'esfiltrazione dei dati venivano utilizzati tre meccanismi distinti. Il primo consiste nel monitoraggio in tempo reale dei file aperti nel client VS Code: non appena la vittima apre un file, il suo contenuto viene codificato in Base64 e inoltrato ai server.

"Nel momento in cui apri un file — senza nemmeno interagirci, basta solo aprirlo — l'estensione ne legge l'intero contenuto, lo codifica in Base64 e lo invia a una webview contenente un iframe di tracciamento nascosto. Non solo 20 righe. L'intero file", hanno spiegato i ricercatori.

Il secondo meccanismo è un comando controllato dal server che invia furtivamente fino a 50 file dall'area di lavoro (workspace) della vittima, mentre il terzo è un iframe da zero pixel nella webview dell'estensione in cui vengono caricati SDK di analisi commerciale. Questi SDK tracciano il comportamento dell'utente, creano profili identificativi e monitorano altre attività.

Microsoft ha dichiarato a BleepingComputer di star esaminando la situazione, ma gli add-on risultano ancora scaricabili.

• L'attività fraudolenta assistita dall'IA ha registrato una crescita netta, rendendo le campagne di phishing molto più convincenti.
• Gli attacchi d'identità basati su deepfake hanno causato perdite accertate superiori a 347 milioni di dollari a livello globale.
• I crimeware basati sull'IA offerti in abbonamento stanno creando un mercato sotterraneo stabile e in continua espansione.

L'intelligenza artificiale viene ora utilizzata dai criminali informatici per automatizzare le frodi, scalare le campagne di phishing e industrializzare i furti d'identità a un livello precedentemente impraticabile.

Purtroppo, gli attacchi assistiti dall'IA potrebbero essere tra le maggiori minacce alla sicurezza che la vostra azienda si troverà ad affrontare quest'anno; tuttavia, restare vigili e agire tempestivamente può permettervi di giocare d'anticipo.

Il rapporto Weaponized AI di Group-IB mostra come il crescente utilizzo dell'IA da parte dei criminali rappresenti una distinta "quinta ondata" del crimine informatico, alimentata dalla disponibilità commerciale di strumenti di IA piuttosto che da sperimentazioni isolate.

L'aumento del cybercrime guidato dall'IA

Le prove derivanti dal monitoraggio del dark web mostrano che l'attività criminale informatica legata all'IA non è una risposta a breve termine alle nuove tecnologie.

Group-IB afferma che i post pubblicati per la prima volta sul dark web contenenti parole chiave relative all'IA sono aumentati del 371% tra il 2019 e il 2025. L'accelerazione più marcata è seguita al rilascio pubblico di ChatGPT alla fine del 2022, dopodiché i livelli di interesse sono rimasti costantemente elevati.

Entro il 2025, decine di migliaia di discussioni sui forum ogni anno facevano riferimento all'uso improprio dell'IA, indicando un mercato sotterraneo stabile piuttosto che una semplice curiosità sperimentale. Gli analisti di Group-IB hanno identificato almeno 251 post focalizzati esplicitamente sullo sfruttamento dei modelli linguistici di grandi dimensioni (LLM), con la maggior parte dei riferimenti legati ai sistemi basati su OpenAI.

È emersa un'economia strutturata di crimeware basati sull'IA, con almeno tre fornitori che offrono "Dark LLM" auto-ospitati privi di restrizioni di sicurezza. I prezzi degli abbonamenti variano dai 30 ai 200 dollari al mese, con alcuni venditori che dichiarano oltre 1.000 utenti.

Uno dei segmenti in più rapida crescita è quello dei servizi di furto d'identità, con le menzioni di strumenti deepfake legati all'elusione della verifica dell'identità aumentate del 233% su base annua. I kit base per l'identità sintetica sono venduti a soli 5 dollari, mentre le piattaforme deepfake in tempo reale costano tra i 1.000 e i 10.000 dollari.

Group-IB ha registrato 8.065 tentativi di frode tramite deepfake presso un singolo istituto tra gennaio e agosto 2025, con perdite globali accertate che hanno raggiunto i 347 milioni di dollari. Anche i malware assistiti dall'IA e l'abuso delle API sono cresciuti drasticamente, con il phishing generato dall'IA ora integrato nelle piattaforme malware-as-a-service e negli strumenti di accesso remoto.

Gli esperti avvertono che gli attacchi alimentati dall'IA possono aggirare le difese tradizionali, a meno che i team non monitorino e aggiornino continuamente i sistemi. Le reti necessitano della protezione di firewall in grado di identificare il traffico insolito e i tentativi di phishing generati dall'IA.

Con un'adeguata protezione degli endpoint, le aziende possono rilevare attività sospette prima che il malware o gli strumenti di accesso remoto si diffondano. La rimozione rapida e adattiva dei malware rimane fondamentale, poiché gli attacchi abilitati dall'IA possono eseguirsi e propagarsi più velocemente di quanto i metodi standard riescano a rispondere.

Combinate con un approccio di sicurezza a più livelli e con il rilevamento delle anomalie, queste misure aiutano a bloccare intrusioni come chiamate deepfake, voci clonate e falsi tentativi di accesso.

• GitLab ha risolto la falla CVE-2026-0723, una vulnerabilità che permetteva l'aggiramento della 2FA (autenticazione a due fattori) e il conseguente furto degli account.
• Sono state corrette ulteriori vulnerabilità di tipo DoS (Denial of Service) che interessavano i sistemi di autenticazione, gli endpoint API, il Wiki e il protocollo SSH.
• GitLab sollecita un aggiornamento immediato: circa 6.000 istanze Community Edition (CE) esposte online restano potenziali bersagli.

GitLab ha risolto una vulnerabilità ad alta gravità nelle versioni Community Edition ed Enterprise Edition (CE/EE) che permetteva ai threat actor di aggirare l'autenticazione a due fattori e, potenzialmente, di prendere il controllo degli account degli utenti.

"GitLab ha corretto un problema che avrebbe potuto consentire a un individuo già in possesso del credential ID di una vittima di eludere l'autenticazione a due fattori inviando risposte artefatte dal dispositivo", ha dichiarato l'azienda in un avviso di sicurezza.

Come spiegato, la vulnerabilità era causata dalla mancata verifica di un valore di ritorno nei servizi di autenticazione di GitLab. Di conseguenza, gli aggressori erano in grado di bypassare la 2FA per le vittime di cui conoscevano preventivamente gli ID.

Una campagna strana

Il bug è attualmente tracciato come CVE-2026-0723 e ha ricevuto un punteggio di severità elevato (7.4/10). La falla è stata risolta nelle versioni 18.8.2, 18.7.2 e 18.6.4 di CE/EE.

Nello stesso pacchetto di aggiornamento, GitLab ha corretto altri due bug che permettevano agli aggressori di sferrare attacchi Denial-of-Service (DoS) tramite l'invio di richieste personalizzate con dati di autenticazione malformati e l'abuso di una convalida di autorizzazione errata negli endpoint API. Queste due vulnerabilità, identificate come CVE-2025-13927 e CVE-2025-13928, interessano sia la versione Community che quella Enterprise.

GitLab ha inoltre sistemato due falle DoS attivabili attraverso la configurazione di documenti Wiki malformati o l'invio ripetuto di richieste di autenticazione SSH non conformi. I bug sono tracciati rispettivamente come CVE-2025-13335 e CVE-2026-1102.

In merito a quest'ultima patch, GitLab ha esortato gli utenti ad applicarla senza indugio:

"Queste versioni contengono importanti correzioni di bug e di sicurezza; raccomandiamo caldamente di aggiornare immediatamente tutte le installazioni GitLab self-managed a una di queste release", ha spiegato l'azienda. "GitLab.com sta già utilizzando la versione aggiornata. I clienti di GitLab Dedicated non devono intraprendere alcuna azione".

Citando i dati di Shadowserver, BleepingComputer riporta che attualmente sono circa 6.000 le istanze di GitLab CE esposte online, il che suggerisce un perimetro di attacco piuttosto vasto.

• Ricercatori scoprono una prompt injection in Gemini tramite gli inviti di Google Calendar
• Gli aggressori potevano esfiltrare dati privati dei meeting con un’interazione minima dell’utente
• La vulnerabilità è stata mitigata, riducendo il rischio di sfruttamento immediato

Alcuni ricercatori di sicurezza hanno scoperto un ulteriore metodo per sferrare attacchi di prompt injection contro l'intelligenza artificiale Gemini di Google, questa volta per esfiltrare dati sensibili da Google Calendar.

La prompt injection è un tipo di attacco in cui un malintenzionato nasconde un comando all'interno di un messaggio apparentemente innocuo. Quando la vittima chiede all'IA di analizzare il messaggio (o di utilizzarlo come input per un’operazione), l'IA finisce per eseguire il comando nascosto, assecondando le intenzioni dell'aggressore.

Fondamentalmente, la prompt injection è possibile perché le IA non sono in grado di distinguere tra l'istruzione impartita e i dati utilizzati per eseguirla.

Abuso di Gemini e Calendar

Finora, gli attacchi di prompt injection erano limitati ai messaggi di posta elettronica e all'istruzione di riassumere o leggere le e-mail. Nell'ultima ricerca, Miggo Security ha dimostrato che lo stesso può essere fatto attraverso Google Calendar.

Quando una persona crea una voce nel calendario, può invitare altri partecipanti aggiungendo il loro indirizzo e-mail. In questo scenario, un malintenzionato può creare un evento che contiene il prompt malevolo (per esfiltrare i dati del calendario) e invitare la vittima. L'invito viene quindi inviato sotto forma di e-mail, contenente i prompt. Il passaggio successivo spetta alla vittima, che istruisce la propria IA a controllare gli eventi imminenti.

L'IA analizzerà il prompt, creerà un nuovo evento nel calendario con i dettagli e aggiungerà l'attaccante, garantendogli direttamente l'accesso a informazioni sensibili.

"Questo bypass ha permesso l'accesso non autorizzato ai dati privati dei meeting e la creazione di eventi ingannevoli nel calendario senza alcuna interazione diretta dell'utente", hanno spiegato i ricercatori a The Hacker News.

"Dietro le quinte, tuttavia, Gemini ha creato un nuovo evento nel calendario e ha scritto un riepilogo completo dei meeting privati del nostro utente target nella descrizione dell'evento", ha dichiarato Miggo. "In molte configurazioni di calendari aziendali, il nuovo evento era visibile all'attaccante, permettendogli di leggere i dati privati esfiltrati senza che l'utente target dovesse compiere alcuna azione".

Miggo ha confermato che il problema è stato da allora mitigato.

• Socket ha individuato cinque estensioni malevole per Chrome che simulano piattaforme HR/ERP
• Le estensioni consentivano il furto di credenziali, l'hijacking delle sessioni e bloccavano la risposta agli incidenti
• Sono state rimosse dal Chrome Web Store, ma sono ancora presenti su siti di terze parti

Se al lavoro utilizzi Workday, NetSuite o SuccessFactors, faresti bene a prestare attenzione alle estensioni o ai componenti aggiuntivi installati nel browser, perché potresti aver installato inavvertitamente dei malware.

I ricercatori di sicurezza di Socket hanno lanciato l'allarme dopo aver scoperto cinque estensioni per Chrome che simulano popolari software per le risorse umane (HR) e piattaforme di pianificazione delle risorse aziendali (ERP).

Questi plugin sono progettati per rubare i token di autenticazione, bloccare le capacità di risposta agli incidenti o consentire il controllo totale degli account tramite il furto di sessione (session hijacking), come spiegato dai ricercatori.

Migliaia di vittime

Ecco la lista completa delle estensioni malevole:

DataByCloud Access

Tool Access 11

DataByCloud 1

DataByCloud 2

Software Access

Al momento della pubblicazione della notizia, tutte e cinque erano già state rimosse dal Google Chrome Web Store. Tuttavia, gli utenti che le hanno installate in precedenza non saranno del tutto sicuri finché non disinstalleranno i plugin ed eseguiranno una scansione approfondita per verificare che l'infezione sia stata eliminata.

Inoltre, The Hacker News riporta che i plugin sono ancora disponibili su siti di download di software di terze parti come Softonic, ma non abbiamo potuto verificare queste affermazioni in modo indipendente poiché il sito di Softonic risultava offline al momento della stesura dell'articolo.

Complessivamente, questi cinque componenti aggiuntivi sono stati scaricati 2.739 volte, il che suggerisce che la campagna non sia stata particolarmente efficace.

Tuttavia, Workday, NetSuite e SuccessFactors sono solitamente utilizzati da organizzazioni di medie e grandi dimensioni, comprese imprese e multinazionali, per i team che si occupano di risorse umane, finanza, paghe e operazioni. Il controllo totale di un account in una sola di queste organizzazioni può trasformarsi in un attacco informatico su larga scala con milioni di dollari di danni e migliaia di persone colpite.

A peggiorare le cose, alcune delle estensioni rimosse erano state pubblicate per la prima volta più di quattro anni fa.

"La combinazione di furto continuo di credenziali, blocco delle interfacce amministrative e hijacking delle sessioni crea uno scenario in cui i team di sicurezza possono rilevare l'accesso non autorizzato, ma non possono porvi rimedio attraverso i canali normali", ha dichiarato Socket.

• Il data breach di CIRO ha esposto i dati sensibili di 750.000 investitori canadesi
• Gli hacker hanno rubato dettagli personali, ma non password o PIN
• La CIRO offre due anni di monitoraggio gratuito del credito e protezione dell'identità

La Canadian Investment Regulatory Organization (CIRO) ha confermato che l'attacco informatico del 2025 ha colpito circa 750.000 canadesi.

Fondata nel 2023, la CIRO è l'organismo nazionale di autoregolamentazione del Canada che vigila sugli intermediari finanziari, sulle attività di trading e sull'integrità del mercato.

A metà agosto 2025, la CIRO aveva reso noto un attacco informatico e una violazione dei dati, dichiarando di essere stata costretta a chiudere parte della propria infrastruttura e ad avviare un'approfondita indagine forense per comprendere meglio l'accaduto.

CIRO protegge i propri clienti

L'indagine si è conclusa e ha rilevato che circa 750.000 investitori canadesi hanno subito l'esposizione di dati sensibili da parte degli hacker, tra cui date di nascita, numeri di telefono, reddito annuo, numeri di previdenza sociale, numeri di documenti d'identità, numeri di conti di investimento ed estratti conto.

Le credenziali di accesso, come password, domande di sicurezza e PIN, non sono state rubate, ha dichiarato CIRO, ma ciò rende comunque la violazione piuttosto pericolosa. Con tutte queste informazioni, i criminali informatici possono lanciare attacchi di phishing molto credibili, ingannando le vittime per farsi consegnare le credenziali e accedere alle loro piattaforme di investimento preferite.

CIRO ha affermato che l'indagine sulla vicenda è stata rigorosa, con gli investigatori che hanno dedicato oltre 9.000 ore all'analisi del caso.

La conclusione è che i dati non sono trapelati sul dark web e non sono stati usati impropriamente. Ciononostante, l'ente ha fornito a tutte le persone colpite due anni di servizi gratuiti di monitoraggio del credito e protezione dal furto d'identità, che torneranno sicuramente utili qualora iniziassero ad arrivare quelle email di phishing.

Coloro che sono stati colpiti dalla violazione riceveranno un'email diretta da CIRO con le istruzioni su come iscriversi al servizio di protezione dell'identità. Chi non riceverà alcuna notifica può contattare direttamente CIRO.

• MongoBleed (CVE-2025-14847) causa la fuga di dati sensibili attraverso lo sfruttamento della memoria heap non inizializzata.
• Circa 87.000 istanze MongoDB esposte risultano vulnerabili; la maggior parte si trova in Stati Uniti, Cina e Germania.
• Patch rilasciata il 19 dicembre; MongoDB Atlas è stato aggiornato automaticamente e non sono ancora stati confermati abusi nel mondo reale.

MongoBleed, una vulnerabilità ad alta gravità che affligge diverse versioni di MongoDB, può ora essere facilmente sfruttata poiché sul web è diventato disponibile un proof-of-concept (PoC).

All'inizio di questa settimana, il ricercatore di sicurezza Joe Desimone ha pubblicato il codice che sfrutta una vulnerabilità di "lettura di memoria heap non inizializzata" tracciata come CVE-2025-14847. Questa vulnerabilità, con un punteggio di 8.7/10 (alto), deriva da "campi di lunghezza non corrispondenti nelle intestazioni del protocollo compresso Zlib".

Inviando un messaggio malevolo che dichiara una dimensione maggiore una volta decompresso, l'attaccante può indurre il server ad allocare un buffer di memoria più grande, attraverso il quale verrebbero esposti dati in memoria contenenti informazioni sensibili, come credenziali, chiavi cloud, token di sessione, chiavi API, configurazioni e altri dati.

Come proteggersi

Inoltre, gli aggressori che sfruttano MongoBleed non hanno bisogno di credenziali valide per mettere a segno l'attacco.

Nella sua analisi, BleepingComputer conferma che esistono circa 87.000 istanze potenzialmente vulnerabili esposte su internet, secondo i dati di Censys. La maggior parte si trova negli Stati Uniti (20.000), con presenze significative in Cina (17.000) e Germania (circa 8.000).

Ecco l'elenco di tutte le versioni vulnerabili:

MongoDB da 8.2.0 a 8.2.3

MongoDB da 8.0.0 a 8.0.16

MongoDB da 7.0.0 a 7.0.26

MongoDB da 6.0.0 a 6.0.26

MongoDB da 5.0.0 a 5.0.31

MongoDB da 4.4.0 a 4.4.29

Tutte le versioni di MongoDB Server v4.2

Tutte le versioni di MongoDB Server v4.0

Tutte le versioni di MongoDB Server v3.6

Se stai utilizzando una delle versioni sopra elencate, assicurati di aggiornare: una patch per le istanze in self-hosting è disponibile dal 19 dicembre. Gli utenti che utilizzano MongoDB Atlas non devono fare nulla, poiché le loro istanze sono state aggiornate automaticamente.

Finora non ci sono rapporti confermati di abusi nel mondo reale, sebbene alcuni ricercatori stiano collegando MongoBleed alla recente violazione di Rainbow Six Siege di Ubisoft.

Via BleepingComputer

• Il 65% delle organizzazioni ha subito attacchi alla supply chain nell'ultimo anno
• L'adozione della GenAI aggrava i rischi; solo il 24% analizza il codice generato dall'IA per problemi di sicurezza o proprietà intellettuale

La supply chain del software, ovvero l'intera rete di componenti, strumenti e processi utilizzati per sviluppare, compilare e distribuire il software, si è evoluta in una nuova e popolarissima superficie di attacco. Ciò offre ai criminali informatici l'opportunità di aggirare le difese standard e ottenere vantaggi sproporzionati da una singola compromissione.

È quanto emerge da “Navigating Software Supply Chain Risk in a Rapid-Release World”, un nuovo report approfondito pubblicato dalla società di sicurezza applicativa Blackduck.

Basato su un sondaggio condotto su 540 leader della sicurezza software, il report afferma che due terzi (65%) delle organizzazioni hanno subito almeno un attacco alla supply chain negli ultimi 12 mesi. Per far fronte a queste minacce, le aziende devono implementare i migliori software per imprese e aziende che integrino protocolli di sicurezza avanzati.

La compliance è tutto

Questi incidenti stanno diventando sempre più sfaccettati: le organizzazioni segnalano dipendenze malevole (30%), vulnerabilità non patchate (28%), exploit zero-day (27%) e iniezioni di malware nelle pipeline di build (14%).

La velocità con cui l'intelligenza artificiale generativa (GenAI) viene adottata nelle imprese non fa che peggiorare le cose. Blackduck afferma che quasi tutte le organizzazioni (95%) sfruttano ora strumenti di IA per lo sviluppo software (principalmente ChatGPT), ma i protocolli di sicurezza non tengono il passo. La fiducia nello strumento è alta, mentre la verifica effettiva è allarmante bassa.

Infatti, solo un quarto (24%) delle organizzazioni analizza il codice generato dall'IA per aspetti quali proprietà intellettuale, licenze, sicurezza o rischi qualitativi. Il rapporto sostiene che ciò lasci ampio spazio a vulnerabilità nella supply chain, inclusa l'introduzione di IP protetta da copyright o l'esposizione di chiavi API sensibili. Per gestire queste operazioni in sicurezza, è consigliabile utilizzare i migliori notebook aziendali dotati di hardware dedicato alla protezione dei dati.

Per rafforzare le difese, è necessario valutare attentamente la conformità. Blackduck sostiene che, contrariamente alla credenza popolare, un approccio basato innanzitutto sulla compliance acceleri effettivamente i tempi di risposta della sicurezza.

Sembra esserci una chiara correlazione tra controlli di conformità robusti e velocità di remediation: il 54% delle organizzazioni che utilizzano almeno quattro tipi di controlli di conformità interviene sulle vulnerabilità critiche in modo significativamente più rapido rispetto al 45% del pool generale di intervistati. Inoltre, l'automazione appare imprescindibile. Affidarsi a un monitoraggio manuale periodico, come sta facendo circa il 36% degli intervistati, è ampiamente considerato insufficiente. Parallelamente, le organizzazioni che adottano un monitoraggio continuo automatico vengono descritte come "molto più efficaci".

• OpenAI afferma che gli attacchi di prompt injection non possono essere eliminati del tutto, ma solo mitigati.
• Prompt malevoli nascosti nei siti web possono trarre in inganno i browser IA, spingendoli a esfiltrare dati o installare malware.
• Il ciclo di risposta rapida di OpenAI utilizza il training avversariale e il rilevamento automatizzato per rafforzare le difese.

OpenAI ha dichiarato che, sebbene i browser basati sull'intelligenza artificiale potrebbero non essere mai del tutto immuni agli attacchi di prompt injection, l'industria non deve arrendersi o dichiararsi sconfitta dai truffatori: esistono infatti strategie per blindare i prodotti.

L'azienda ha pubblicato un post sul proprio blog discutendo i rischi di cybersecurity relativi ad Atlas, il suo browser potenziato dall'IA, condividendo una prospettiva piuttosto cupa.

"Il prompt injection, proprio come le truffe e il social engineering sul web, difficilmente potrà mai essere risolto del tutto", si legge nel blog. "Ma siamo ottimisti sul fatto che un ciclo di risposta rapida, proattivo e altamente reattivo, possa continuare a ridurre concretamente il rischio nel mondo reale nel tempo. Combinando il rilevamento automatico degli attacchi con il training avversariale e protezioni a livello di sistema, possiamo identificare prima i nuovi pattern di attacco, colmare le lacune più velocemente e aumentare costantemente i costi per chi tenta di sfruttare queste vulnerabilità". Per proteggere le proprie sessioni online, è fondamentale affidarsi ai migliori browser dotati delle ultime patch di sicurezza.

Ciclo di risposta rapida

Quindi, cos'è esattamente il prompt injection e in cosa consiste l'approccio del "ciclo di risposta rapida"?

Il prompt injection è un tipo di attacco in cui un comando malevolo viene "iniettato" nell'agente IA della vittima a sua insaputa o senza il suo consenso.¹ Ad esempio, a un browser IA potrebbe essere concesso di leggere l'intero contenuto di un sito web.² Se quel sito è malevolo (o è stato violato) e contiene un prompt nascosto (magari con testo bianco su sfondo bianco), l'intelligenza artificiale potrebbe eseguirlo senza che l'utente se ne accorga.

+1

Tale prompt può avere diversi scopi: dall'esfiltrazione di file sensibili al download e all'esecuzione di estensioni malevole per il browser. Per navigare senza rischi, è fondamentale scegliere i migliori browser che implementano filtri di sicurezza avanzati.

Sembra che OpenAI voglia combattere il fuoco con il fuoco.³ L'azienda ha creato un bot, istruito tramite l'apprendimento per rinforzo, lasciandolo agire come un hacker alla ricerca di falle. Questo bot viene messo a confronto con un difensore IA in una sfida continua per superarsi a vicenda. Il risultato finale è un difensore capace di individuare la maggior parte delle tecniche di attacco, un livello di protezione che oggi cerchiamo anche nei migliori antivirus per i nostri dispositivi.

• Il pacchetto maligno lotusbail su NPM sottrae account WhatsApp, rubando token, messaggi e contatti.
• Gli aggressori collegano il proprio dispositivo tramite il pairing di WhatsApp, mantenendo l'accesso anche dopo la rimozione del pacchetto.
• Il pacchetto ha registrato oltre 56.000 download prima di essere scoperto; gli sviluppatori sono invitati a verificare con cura le sorgenti.

Gli utenti del registro Node Package Manager (NPM) sono nel mirino di un malware capace di prendere il controllo degli account WhatsApp, rubando messaggi e liste di contatti, come avvertito dagli esperti.

I ricercatori di cybersecurity di Koi Security hanno recentemente scoperto un fork del popolare progetto WhiskeySockets Baileys, una libreria open source TypeScript/JavaScript che fornisce un'API basata su WebSocket per interagire con il protocollo WhatsApp Web, consentendo agli sviluppatori di connettersi a WhatsApp come dispositivo associato.

Il fork malevolo, denominato "lotusbail", mantiene tutte le funzionalità del progetto legittimo, ma sottrae anche i token di autenticazione e le chiavi di sessione di WhatsApp. Inoltre, intercetta e registra tutti i messaggi, estraendo contatti, file multimediali e ogni altro documento verso un server di terze parti. Per analizzare questi codici sospetti o gestire la sicurezza dei propri dati, è consigliabile utilizzare i migliori portatili con elevate capacità di calcolo. Chi lavora nello sviluppo software potrebbe aver bisogno dei migliori notebook per programmatori per individuare tempestivamente simili minacce nel proprio ambiente di lavoro.

Sottrazione degli account WhatsApp

"Il pacchetto avvolge il client WebSocket legittimo che comunica con WhatsApp. Ogni messaggio che transita attraverso l'applicazione passa prima dal socket wrapper del malware", ha spiegato Koi Security nel suo rapporto.

"Al momento dell'autenticazione, il wrapper cattura le credenziali. Quando arrivano i messaggi, li intercetta. Quando ne inviate, li registra". L'aspetto più allarmante è che il pacchetto collega il dispositivo dell'attaccante all'account WhatsApp della vittima tramite la funzione di pairing. Ciò significa che, anche se la vittima rimuove il pacchetto NPM malevolo, l'account WhatsApp resta compromesso finché il collegamento non viene disconnesso manualmente.

Il malware è rimasto su npm per almeno sei mesi, accumulando nel frattempo oltre 56.000 download. NPM è uno dei registri pubblici online più popolari al mondo per i pacchetti JavaScript. Per gestire lo sviluppo software in sicurezza, molti professionisti scelgono i migliori notebook per programmatori disponibili sul mercato.

Proprio per la sua popolarità, il registro è costantemente bersagliato da truffe e attacchi informatici, dai fork malevoli ai casi di typosquatting. Per proteggersi, si consiglia agli sviluppatori di prestare estrema cautela nel download e nell'esecuzione di qualsiasi risorsa, anche nel caso di progetti con migliaia di download. In scenari lavorativi critici, l'utilizzo dei migliori computer aziendali può offrire un ulteriore livello di protezione grazie a configurazioni hardware e software più sicure.

• Gli hacker possono prendere il controllo degli account WhatsApp senza mai violare password o crittografia Gli attacchi
• GhostPairing sfruttano le funzioni legittime di collegamento dei dispositivi per ottenere l'accesso completo all'account
• Gli utenti vengono ingannati da false pagine di login di Facebook per autorizzare gli aggressori

I ricercatori di sicurezza hanno lanciato l'allarme su una tecnica di hijacking sempre più diffusa che permette di sottrarre gli account WhatsApp senza dover violare le password o forzare la crittografia.

Gli aggressori sfruttano la funzione ufficiale di collegamento dei dispositivi per connettere furtivamente il proprio browser all'account della vittima.

Una volta stabilita la connessione, l'hacker può leggere i messaggi in tempo reale, scaricare i contenuti multimediali condivisi e inviare messaggi che sembrano provenire direttamente dal profilo della vittima.

Questa minaccia è particolarmente insidiosa per chi utilizza l'app sui migliori smartphone, poiché l'intrusione avviene in modo silenzioso. Per una protezione completa, è sempre consigliabile navigare solo attraverso i migliori browser aggiornati e monitorare costantemente le sessioni attive.

Vuoi che ti spieghi come verificare subito se ci sono dispositivi non autorizzati collegati al tuo profilo?

Come viene sfruttata la funzione di collegamento

L'attacco, identificato con il nome di GhostPairing, inizia con un breve messaggio che sembra provenire da un contatto fidato.

Il testo contiene solitamente un link che promette di mostrare una foto del destinatario.

Per risultare credibile, l'anteprima del collegamento imita spesso i contenuti di Facebook.

Cliccando sul link, la vittima viene reindirizzata a una falsa pagina di login di Facebook, ospitata su un dominio contraffatto.

Invece di verificare l'identità, la pagina avvia la procedura di abbinamento dei dispositivi di WhatsApp.

Alle vittime viene chiesto di inserire il proprio numero di telefono sulla pagina fake, permettendo così all'aggressore di attivare una richiesta di pairing legittima.

WhatsApp genera quindi un codice di abbinamento, che l'hacker visualizza sul sito fraudolento.

L'utente viene istruito a inserire questo codice all'interno di WhatsApp, autorizzando inconsapevolmente il collegamento di un nuovo dispositivo.

Sebbene WhatsApp specifichi chiaramente che si sta aggiungendo un dispositivo, i ricercatori affermano che molti utenti trascurano o fraintendono il messaggio durante la procedura.

Una volta completato l'abbinamento, gli aggressori ottengono il pieno controllo dell'account senza necessità di credenziali di autenticazione.

Gen Digital avverte che molte vittime non si accorgono affatto che un dispositivo supplementare è stato collegato in background.

Ciò consente ai criminali di monitorare le conversazioni, raccogliere informazioni sensibili, impersonare la vittima e diffondere lo stesso inganno ai contatti e nelle chat di gruppo.

In passato, i ricercatori hanno osservato abusi simili nel collegamento dei dispositivi in attacchi contro altre piattaforme di messaggistica.

L'unico modo affidabile per rilevare questo tipo di intrusione è controllare manualmente la sezione "Dispositivi collegati" nelle impostazioni di WhatsApp.

Se l'utente non riconosce uno dei dispositivi in elenco, deve rimuoverlo immediatamente dall'account.

Si consiglia inoltre di segnalare i messaggi sospetti e attivare protezioni aggiuntive, tra cui la verifica in due passaggi.

Strumenti come i migliori antivirus possono aiutare a segnalare siti web malevoli, mentre le soluzioni per la rimozione di malware sono utili se si sospettano ulteriori compromissioni.

I servizi di protezione contro il furto d'identità possono ridurre i danni dopo l'esposizione dei dati personali, sebbene non impediscano l'hijacking dell'account.

Questa vulnerabilità dimostra che la consapevolezza dell'utente rimane un punto debole critico, anche quando le piattaforme forniscono avvisi durante operazioni sensibili eseguite sui migliori smartphone.

Via Bleeping Computer

• L'RC4 è stato sfruttato in attacchi di alto profilo attraverso le reti Windows aziendali.
• Il Kerberoasting sfrutta le debolezze di Active Directory, permettendo agli aggressori di eseguire il cracking delle password offline.
• L'AES-SHA1 richiede migliaia di volte più risorse rispetto all'RC4 per essere violato.

Microsoft sta procedendo alla disattivazione dell'RC4, un cifrario di crittografia integrato nell'autenticazione di Windows da oltre due decenni.

La decisione segue anni di abusi documentati, ripetuti avvertimenti da parte dei ricercatori di sicurezza e diverse violazioni ad alto impatto legate alla sua continua disponibilità.

L'RC4 è entrato in Windows con il lancio di Active Directory nel 2000, diventando centrale per l'autenticazione amministrativa nelle reti aziendali.

Supporto legacy e vulnerabilità persistenti

L'algoritmo RC4 trapelò a metà degli anni '90 e gli attacchi pratici erosero rapidamente la fiducia nella sua sicurezza; nonostante ciò, l'RC4 ha resistito per anni tra i principali protocolli e piattaforme.

Anche dopo la disponibilità di standard più forti, i server Windows hanno continuato ad accettare e rispondere a richieste basate su RC4 per impostazione predefinita.

Negli ambienti Windows, la sua sopravvivenza ha creato un affidabile percorso di "downgrade" che gli aggressori hanno imparato a sfruttare ripetutamente.

L'autenticazione amministrativa debole basata su RC4 è stata per decenni il "sacro Graal" degli hacker, con gli attacchi più dannosi nelle reti Windows legati all'autenticazione Kerberos.

Kerberos è alla base della verifica dell'identità in Active Directory, il che lo rende un obiettivo primario per gli aggressori che cercano il controllo di interi ambienti.

Il "Kerberoasting" abusa del modo in cui le credenziali degli account di servizio sono protette, consentendo agli aggressori di estrarre materiale crittografato e violarlo offline.

Sebbene l'RC4 presenti debolezze note, il problema più ampio risiede nel modo in cui Windows lo ha implementato, poiché le organizzazioni che si affidano a sistemi obsoleti spesso trascurano l'importanza dei software antivirus nel ridurre ulteriori percorsi di attacco.

Così come utilizzato in Active Directory, Kerberos si affida a password senza "salt" e a un singolo passaggio di hashing MD4.

Al contrario, l'implementazione AES-SHA1 di Microsoft utilizza l'hashing ripetuto e resiste agli attacchi brute-force in modo molto più efficace, richiedendo tempi e risorse decisamente superiori.

La protezione tramite firewall può aiutare a limitare l'esposizione della rete ad attacchi come il Kerberoasting, sebbene non possa sostituire la necessità di una crittografia più forte.

Microsoft sta affiancando la deprecazione a strumenti pensati per far emergere le dipendenze nascoste.

Gli aggiornamenti ai log del Key Distribution Center registreranno le richieste e le risposte basate su RC4, offrendo agli amministratori visibilità sui sistemi che ancora si affidano a tale cifrario.

Nuovi script PowerShell scansioneranno inoltre i log degli eventi di sicurezza per segnalare modelli di utilizzo problematici.

Queste misure riconoscono che l'RC4 rimane integrato in alcuni ambienti, spesso attraverso sistemi legacy o di terze parti che gli amministratori potrebbero aver dimenticato.

I regolari processi di rimozione malware rimangono fondamentali per garantire che i sistemi compromessi vengano puliti prima che le nuove protezioni entrino in vigore.

Microsoft rimuoverà finalmente l'obsoleto cifrario che ha causato decenni di danni, sebbene concederà un periodo di transizione.

Entro la metà del 2026, i controller di dominio Windows consentiranno per impostazione predefinita solo l'AES-SHA1, con l'RC4 disattivato a meno che gli amministratori non lo riabilitino esplicitamente.

Microsoft afferma che eliminare l'RC4 si è rivelato complicato a causa della sua presenza in decenni di codice e regole di compatibilità.

Nel tempo, cambiamenti incrementali hanno spinto l'utilizzo vicino allo zero, riducendo il rischio di interruzioni diffuse.

Via Ars Technica

• Gli aggressori possono monitorare i telefoni silenziosamente utilizzando solo il numero di telefono della vittima
• Il "probing" aumenta significativamente il consumo della batteria durante lo sfruttamento continuo delle ricevute di consegna
• Il tracciamento continuo consuma dati mobili e interferisce con le applicazioni pesanti

I ricercatori di sicurezza hanno reso nota una tecnica di tracciamento denominata "Silent Whisper" che sfrutta il modo in cui le popolari app di messaggistica gestiscono le conferme di consegna.

Il metodo prende di mira WhatsApp e Signal abusando delle ricevute dei messaggi a basso livello, che vengono scambiate automaticamente ogni volta che un'app elabora il traffico di rete in entrata.

Conoscendo solo un numero di telefono, un aggressore può interrogare ripetutamente un dispositivo senza inviare messaggi visibili o attivare notifiche.

Impatto sulla durata della batteria e sull'uso dei dati

Silent Whisper opera al di sotto dell'interfaccia utente, rendendo improbabile il rilevamento durante il normale utilizzo del telefono.

I test condotti su diversi smartphone hanno mostrato un consumo della batteria insolitamente elevato durante l'attività di "probing".

In condizioni normali, i telefoni in standby perdono tipicamente meno dell'1% di batteria all'ora.

Durante i test, un iPhone 13 Pro ha perso il 14% all'ora, un iPhone 11 il 18% all'ora e un Samsung Galaxy S23 il 15% all'ora.

L'applicazione dello stesso approccio a Signal ha comportato una perdita di batteria di solo l'1% all'ora grazie a limiti di frequenza più rigorosi.

Il probing continuo consuma anche dati mobili e disturba le applicazioni ad alto consumo di banda, come le videochiamate.

Il metodo di tracciamento si basa sulla misurazione dei tempi di andata e ritorno per le ricevute di consegna.

Questi tempi di risposta variano a seconda che il telefono sia attivo, inattivo, offline, connesso al WiFi o utilizzi i dati mobili.

Risposte stabili e veloci possono suggerire che un dispositivo sia utilizzato attivamente a casa, mentre tempi più lenti o incoerenti possono indicare movimento o una connettività più debole.

Su periodi prolungati, questi schemi possono rivelare routine quotidiane, orari del sonno e abitudini di viaggio senza accedere al contenuto dei messaggi o alle liste contatti.

Sebbene la ricerca accademica avesse descritto la vulnerabilità in precedenza, uno strumento proof-of-concept disponibile pubblicamente ne ha ora dimostrato la fattibilità pratica.

Lo strumento consente interrogazioni a intervalli brevi fino a 50 ms, permettendo un'osservazione dettagliata senza allertare il bersaglio.

Lo sviluppatore mette in guardia contro l'uso improprio ed enfatizza l'intento di ricerca, eppure il software rimane accessibile a chiunque.

Ciò solleva preoccupazioni circa un abuso diffuso, specialmente perché la vulnerabilità rimane sfruttabile a dicembre 2025.

Disabilitare le conferme di lettura riduce l'esposizione per i messaggi standard ma non blocca completamente questa tecnica.

WhatsApp offre un'opzione per bloccare i messaggi ad alto volume da account sconosciuti, sebbene la piattaforma non definisca le soglie di applicazione.

Signal fornisce controlli aggiuntivi, tuttavia i ricercatori hanno confermato che il probing rimane possibile.

I software antivirus tradizionali non rilevano l'uso improprio a livello di protocollo.

I servizi commercializzati per la protezione dal furto d'identità o la rimozione di malware offrono un valore limitato quando non è installato alcun malware sul dispositivo.

Questo rischio riguarda meno il furto di dati e più il monitoraggio comportamentale persistente che gli utenti non possono facilmente osservare o verificare.

• Google ha applicato una patch a uno zero-day di Chrome ad alta gravità insieme a due difetti di gravità media.
• La vulnerabilità è probabilmente legata a un buffer overflow di LibANGLE che abilita la corruzione della memoria e l'esecuzione di codice in remoto.
• Questa è l'ottava correzione zero-day di Chrome quest'anno, sottolineando i continui attacchi mirati ai browser.

Google ha recentemente aggiornato il suo browser Chrome per proteggere da una vulnerabilità ad alta gravità che veniva abusata attivamente come zero-day.

In un avviso di sicurezza pubblicato all'inizio di questa settimana, il gigante dei browser ha dichiarato di aver corretto tre bug per Chrome, inclusi due di media gravità e uno ad alta gravità.

Riguardo a quest'ultimo, Google ha affermato di essere "a conoscenza dell'esistenza di un exploit attivo". Altri dettagli non sono stati divulgati, al fine di proteggere gli utenti durante il rilascio della patch. Questa è una prassi standard per Google: omettere dettagli chiave agli utenti, ma anche ai cybercriminali e ad altri hacker.

Il problema del browser

Non sono note le date esatte in cui è previsto il rilascio della patch, ma Google ha confermato che arriverà alla maggior parte degli utenti "nei prossimi giorni/settimane". Il canale Stabile è stato aggiornato alla versione 143.0.7499.109/.110 per Windows/Mac e alla 143.0.7499.109 per Linux, e al momento della nostra verifica, l'aggiornamento era già installato.

Non esiste una conferma ufficiale su quale sia il bug, ma secondo l'ID del bug di Chromium, è stato trovato nella libreria open-source di Google LibANGLE, come riporta BleepingComputer. LibANGLE è un livello di traduzione che converte le chiamate OpenGL ES in altre API grafiche, di solito Direct3D su Windows.¹ Consente a browser e app di eseguire contenuti WebGL e OpenGL ES anche se il sistema operativo non supporta nativamente tali API.

La stessa fonte sostiene che il bug sia molto probabilmente una vulnerabilità di buffer overflow nel renderer Metal di ANGLE, causata da un dimensionamento improprio del buffer. I malintenzionati avrebbero potuto utilizzare il bug per corrompere la memoria, mandare in crash il browser, far trapelare dati sensibili o persino eseguire codice arbitrario in remoto.²

Questa è l'ottava vulnerabilità zero-day che Google ha corretto nel suo browser Chrome quest'anno. L'anno scorso, l'azienda ha risolto dieci vulnerabilità di questo tipo.

I browser sono uno dei software più utilizzati su un computer e come tali, sono sempre l'obiettivo di diverse campagne di hacking.

Via BleepingComputer

• OpenAI avverte che i futuri LLM potrebbero facilitare lo sviluppo di zero-day o il cyber-spionaggio avanzato.
• L'azienda sta investendo in strumenti difensivi, controlli di accesso e un programma di sicurezza informatica a livelli.
• Il nuovo Frontier Risk Council guiderà le salvaguardie e la capacità responsabile attraverso i modelli di frontiera.

I futuri Modelli Linguistici di Grandi Dimensioni (LLM) di OpenAI potrebbero rappresentare rischi più elevati per la sicurezza informatica, poiché, in teoria, potrebbero essere in grado di sviluppare exploit remoti zero-day funzionanti contro sistemi ben difesi, o assistere significativamente in campagne di cyber-spionaggio complesse e furtive.

Questo è quanto affermato da OpenAI stessa che, in un recente blog, ha dichiarato che le capacità informatiche nei suoi modelli AI stanno "avanzando rapidamente".

Anche se questo potrebbe sembrare sinistro, OpenAI sta in realtà valutando la situazione da una prospettiva positiva, affermando che i progressi portano anche "benefici significativi per la cyber-difesa".

Il "problema" del browser

Per prepararsi in anticipo ai futuri modelli che potrebbero essere abusati in questo modo, OpenAI ha dichiarato che sta "investendo nel rafforzamento dei modelli per attività di sicurezza informatica difensiva e nella creazione di strumenti che consentano ai difensori di eseguire più facilmente flussi di lavoro come l'auditing del codice e la patching delle vulnerabilità".

Il modo migliore per procedere, secondo il blog, è una combinazione di controlli di accesso, hardening dell'infrastruttura, controlli di uscita e monitoraggio.

Inoltre, OpenAI ha annunciato che introdurrà presto un programma che dovrebbe dare agli utenti e ai clienti che lavorano su attività di cybersecurity l'accesso a capacità migliorate, in modo articolato su diversi livelli.

Infine, il gigante dell'IA sostenuto da Microsoft ha detto di voler istituire un gruppo consultivo chiamato Frontier Risk Council. Questo gruppo dovrebbe essere composto da esperti e professionisti di sicurezza informatica di grande esperienza e, dopo un focus iniziale sulla cybersecurity, dovrebbe espandere il suo raggio d'azione altrove.

"I membri forniranno consulenza sul confine tra capacità utili e responsabili e potenziale uso improprio, e questi apprendimenti informeranno direttamente le nostre valutazioni e salvaguardie. Condivideremo presto maggiori informazioni sul consiglio", si legge nel blog.

OpenAI ha anche affermato che l'uso improprio informatico potrebbe essere fattibile "da qualsiasi modello di frontiera nel settore", motivo per cui è parte del Frontier Model Forum, dove condivide conoscenze e migliori pratiche con i partner del settore.

"In questo contesto, la modellazione delle minacce aiuta a mitigare il rischio identificando come le capacità dell'IA potrebbero essere utilizzate come arma, dove esistono colli di bottiglia critici per diversi attori della minaccia e come i modelli di frontiera potrebbero fornire un significativo uplift."

Via Reuters

• Europol ha scoperto una nuova tendenza denominata "Violence-as-a-Service" (Violenza come Servizio), che consiste nell'esternalizzare crimini violenti a giovani reclute.
• Originario in Svezia, il modello si è diffuso in tutta Europa; è stata istituita la task force OTF GRIMM per interrompere il reclutamento sui social media.
• In sei mesi, GRIMM ha arrestato 193 sospettati (esecutori, reclutatori, facilitatori, istigatori) e sequestrato armi da fuoco, prevenendo ulteriori attacchi.

Nella seconda metà del 2025, Europol ha arrestato e detenuto centinaia di persone coinvolte nel fenomeno del "Violence-as-a-Service" (VaaS), ovvero la Violenza come Servizio.

Questa tendenza bizzarra e pericolosa, che molti probabilmente paragonerebbero ai vecchi "picchiatori a pagamento", è emersa apparentemente nell'aprile di quest'anno e ruota attorno a criminali che esternalizzano la violenza a "autori giovani e inesperti".

"Questi individui vengono adescati o coerciti a commettere una serie di crimini violenti, che vanno dagli atti di intimidazione e tortura all'omicidio", ha dichiarato Europol in un comunicato stampa.

Hundreds arrested

"Una più stretta cooperazione con le aziende tecnologiche è altrettanto importante per rilevare e bloccare le attività di reclutamento sulle piattaforme di social media, impedendo che i giovani vengano sfruttati da queste reti criminali", sostiene Europol.

Europol afferma che il problema è nato in Svezia ma si è ormai diffuso in tutta Europa. Alcune reti criminali operano persino in diversi Paesi dell'UE. In risposta, l'agenzia di law enforcement ha istituito la Operational Taskforce (OTF) GRIMM, che si concentra principalmente sull'interruzione del processo di reclutamento che avviene prevalentemente sui social media.

L'agenzia ha dichiarato che la maggior parte del reclutamento avviene sui social media, ma non ha fornito dettagli su dove o come. Ha però affermato che, in futuro, GRIMM concentrerà maggiori sforzi per smantellare i facilitatori e i fornitori di servizi criminali.

L'OTF GRIMM è composta da investigatori specializzati provenienti da Belgio, Danimarca, Finlandia, Francia, Germania, Islanda, Paesi Bassi, Norvegia, Spagna, Svezia e Regno Unito, insieme a esperti di Europol e fornitori di servizi online.

Nei primi sei mesi di attività, GRIMM ha arrestato 63 esecutori, catturato 40 facilitatori, detenuto 84 reclutatori e arrestato 6 istigatori (tra cui cinque obiettivi di alto valore).

Tra questi sospettati, ci sono due persone nei Paesi Bassi arrestate per un tentato omicidio in Germania, tre persone sospettate dell'uccisione di tre persone nei Paesi Bassi e sei persone (tra cui un minorenne) sospettate di pianificare un omicidio. "L'operazione ha anche portato al sequestro di armi da fuoco e munizioni, prevenendo una potenziale tragedia", ha dichiarato Europol nel comunicato stampa.

• Malanta.ai scopre un'infrastruttura di cybercrime indonesiana attiva da 14 anni, che assomiglia a operazioni sponsorizzate da uno Stato
• La rete si estende su oltre 320.000 domini, ha dirottato sottodomini governativi e include migliaia di app Android cariche di malware.
• La campagna ha rubato oltre 50.000 credenziali di gioco d'azzardo e ha utilizzato AWS e Firebase per il C2, sollevando sospetti di coinvolgimento statale.

I ricercatori di sicurezza hanno scoperto in Indonesia un'enorme infrastruttura di cybercrime che operava indisturbata da oltre 14 anni.

La durata dell'operazione, i domini coinvolti, il malware fatto circolare e i dati venduti sul mercato nero erano così vasti che i ricercatori – Malanta.ai – hanno affermato che la campagna assomiglia più a un'operazione condotta da un attore statale che non a quella di "semplici" criminali informatici.

"Ciò che è iniziato come un insieme di semplici siti web di gioco d'azzardo si è evoluto in un'infrastruttura di attacco globale, ben finanziata, sofisticata e di livello paragonabile a quello di uno Stato, che opera su web, cloud e mobile", ha dichiarato Malanta in un blog pubblicato di recente.

Is the government involved?

Secondo il rapporto, l'operazione era attiva almeno dal 2011. Gli operatori controllavano più di 320.000 domini, inclusi oltre 90.000 domini hackerati e dirottati. Controllavano anche oltre 1.400 sottodomini compromessi e 236.000 acquistati, tutti utilizzati per reindirizzare gli utenti a piattaforme di gioco d'azzardo illegali.

A peggiorare le cose, alcuni dei sottodomini compromessi si trovavano su server governativi e aziendali. In alcuni casi, gli attori della minaccia hanno distribuito reverse proxy basati su NGINX per interrompere le connessioni TLS su nomi di dominio governativi legittimi, nascondendo così il loro traffico C2 (comando e controllo) come comunicazioni governative legittime.

Poi c'è l'ecosistema del malware: i ricercatori hanno trovato "migliaia" di applicazioni Android dannose, distribuite tramite infrastrutture pubbliche (bucket S3 di Amazon Web Services).

Queste app fungevano da dropper, spacciandosi per piattaforme di gioco d'azzardo legittime e distribuendo al contempo malware che garantiva il pieno accesso ai dispositivi compromessi in background. I backdoor ricevevano i loro comandi direttamente da un altro pezzo di infrastruttura pubblica: il servizio Firebase Cloud Messaging di Google.

Ciò ha portato al furto di oltre 50.000 credenziali di accesso a piattaforme di gioco d'azzardo, a innumerevoli dispositivi Android infetti e a sottodomini dirottati che circolavano nel dark web. Per proteggervi da furti di credenziali di questo tipo, è fondamentale utilizzare i migliori password manager.

"E se questo ecosistema non fosse semplicemente cybercrime?" hanno speculato i ricercatori.

Normalmente, la portata, la scala e il supporto finanziario dietro un'infrastruttura di questo tipo si allineano molto più strettamente con le capacità tipicamente associate agli attori di minacce sponsorizzati da uno Stato.

• Gli abbonamenti al calendario possono essere dirottati, iniettando collegamenti di phishing o malware negli orari degli utenti.
• Bitsight ha riscontrato 347 domini che colpiscono circa 4 milioni di dispositivi, principalmente negli Stati Uniti.
• Non si tratta di un bug, ma di una funzionalità rischiosa; gli utenti devono gestire gli abbonamenti con cautela.

Secondo alcuni ricercatori, una comoda funzionalità presente nelle più popolari applicazioni di calendario può essere abusata per indurre le persone a cliccare su link dannosi o a divulgare informazioni sensibili.

La maggior parte delle applicazioni di calendario più diffuse consente agli utenti di iscriversi a calendari esterni, permettendo a terze parti, come aziende o organizzazioni, di aggiungere eventi direttamente nell'agenda degli abbonati. Questo può riguardare praticamente qualsiasi cosa, da sconti ed eventi promozionali a eventi pubblici, festività e altro ancora.

Tuttavia, se un'azienda chiude o il suo dominio scade, l'abbonamento al calendario non scade con esso. Se un cybercriminale riesce a ottenere il dominio, può aggiungere eventi direttamente nei calendari delle persone, inclusi link a pagine di phishing o a siti che ospitano malware. Lo stesso vale per le aziende la cui infrastruttura è stata dirottata o violata.

Rischi professionali

A sostenerlo sono i ricercatori di sicurezza di Bitsight, i quali affermano che si tratta di un problema reale che attualmente colpisce circa quattro milioni di dispositivi, poiché gli attacchi abusano della fiducia che le persone ripongono in diversi marchi e organizzazioni.

"La nostra ricerca è iniziata con un singolo dominio che abbiamo messo in sinkhole, registrando 11.000 indirizzi IP unici al giorno", hanno spiegato gli esperti. "Questo dominio funzionava come server per un calendario in abbonamento che distribuiva eventi relativi alle festività pubbliche e scolastiche tedesche, e questo ha attirato la nostra attenzione. Perché un dominio per le festività tedesche, con file .ics, era disponibile?"

Hanno finito per scoprire 347 domini, tra cui eventi FIFA 2018, calendari Hijri islamici e altri, collegati a circa quattro milioni di indirizzi IP unici, la maggior parte dei quali si trovava negli Stati Uniti.

Bitsight sottolinea che questa non è una vulnerabilità o un bug nelle app di calendario. È semplicemente una funzionalità che comporta rischi intrinseci e, come tale, dovrebbe essere gestita dagli utenti finali. Hanno anche aggiunto che la cifra di quattro milioni di possibili bersagli è una grave sottostima, poiché copre solo una frazione dell'ecosistema iPhone e non include nemmeno Android.

Questo evidenzia un rischio di sicurezza che può colpire anche i dispositivi personali, rendendo importante l'uso di migliori VPN per Android e per altri sistemi operativi per proteggere la propria navigazione.

• Antigravity IDE consente agli agenti di eseguire comandi automaticamente nelle configurazioni predefinite.
• Gli attacchi di prompt injection possono innescare l'esecuzione di codice indesiderato all'interno dell'IDE.
• L'esfiltrazione dei dati avviene tramite Markdown, invocazioni di strumenti o istruzioni nascoste.

L'IDE Antigravity di Google, lanciato con un design AI-first, mostra già problemi che sollevano preoccupazioni sulle aspettative di sicurezza di base, hanno avvertito gli esperti.

I ricercatori di PromptArmor hanno scoperto che il sistema consente al suo agente di codifica di eseguire comandi automaticamente quando sono abilitate determinate configurazioni predefinite, e questo crea aperture per comportamenti indesiderati.

Quando un input non fidato appare all'interno di file sorgente o altri contenuti elaborati, l'agente può essere manipolato per eseguire comandi che l'utente non ha mai inteso.

Rischi legati all'accesso e all'esfiltrazione dei dati.

Il prodotto permette all'agente di eseguire compiti tramite il terminale e, sebbene esistano delle misure di salvaguardia, permangono alcune lacune nel modo in cui tali controlli funzionano.

Queste lacune creano spazio per attacchi di prompt injection che possono portare all'esecuzione di codice indesiderato quando l'agente segue input nascosti o ostili.

La stessa debolezza si applica al modo in cui Antigravity gestisce l'accesso ai file.

L'agente ha la capacità di leggere e generare contenuti, e questo include file che possono contenere credenziali o materiale sensibile di progetto.

L'esfiltrazione dei dati diventa possibile quando istruzioni dannose sono nascoste all'interno di Markdown, invocazioni di strumenti o altri formati di testo.

Gli attaccanti possono sfruttare questi canali per indirizzare l'agente a far trapelare file interni in posizioni controllate dagli aggressori.

I report fanno riferimento a log contenenti credenziali cloud e codice privato già raccolti in dimostrazioni di successo, evidenziando la gravità di queste lacune.

Google ha riconosciuto questi problemi e avverte gli utenti durante la fase di onboarding, eppure tali avvertimenti non compensano la possibilità che gli agenti possano operare senza supervisione.

Antigravity incoraggia gli utenti ad accettare le impostazioni consigliate che consentono all'agente di operare con una supervisione minima.

La configurazione affida al sistema le decisioni sulla revisione umana, inclusa la scelta di quando i comandi del terminale richiedono approvazione.

Gli utenti che lavorano con più agenti tramite l'interfaccia Agent Manager potrebbero non intercettare comportamenti dannosi prima che le azioni vengano completate.

Questo design presuppone un'attenzione continua dell'utente anche se l'interfaccia promuove esplicitamente l'operazione in background.

Di conseguenza, compiti sensibili possono essere eseguiti senza controllo e semplici avvisi visivi fanno poco per cambiare la sottostante esposizione.

Queste scelte minano le aspettative solitamente associate a un firewall moderno o a una salvaguardia simile.

Nonostante le restrizioni, possono verificarsi fughe di credenziali. L'IDE è progettato per prevenire l'accesso diretto ai file elencati in .gitignore, inclusi i file .env che memorizzano variabili sensibili.

Tuttavia, l'agente può bypassare questo livello utilizzando i comandi del terminale per stampare il contenuto del file, aggirando di fatto la politica.

Dopo aver raccolto i dati, l'agente codifica le credenziali, le aggiunge a un dominio monitorato e attiva un sotto-agente del browser per completare l'esfiltrazione.

Il processo avviene rapidamente ed è raramente visibile a meno che l'utente non stia monitorando attivamente le azioni dell'agente, cosa improbabile quando più attività vengono eseguite in parallelo.

Questi problemi illustrano i rischi creati quando agli strumenti IA viene concessa ampia autonomia senza le corrispondenti salvaguardie strutturali.

Il design mira alla comodità, ma la configurazione attuale offre agli attaccanti una leva sostanziale ben prima che vengano implementate difese più robuste.

Quando si parla di innovazione nella cybersecurity, l'attenzione si concentra spesso su strumenti, tecnologie o framework. Ma, a mio avviso, uno dei cambiamenti più potenti e sottovalutati riguarda proprio il cambio di mentalità.

Le organizzazioni più solide con cui ho lavorato sono quelle che imparano a misurare e sfruttare il rischio, non solo a evitarlo. Non rispondono alle nuove idee con un "Non possiamo, perché...", ma piuttosto con un: "Vediamo come possiamo realizzarlo, in sicurezza e con i giusti controlli in atto."

La sicurezza come vantaggio competitivo

Questo ripensamento della cultura non si limita a ridurre il rischio, ma aiuta le organizzazioni a costruire un vantaggio competitivo.

Quando un CISO (Chief Information Security Officer) e il suo team sono chiari e comunicativi riguardo ai limiti e alle aree di accettazione del rischio aziendale – in breve, l'appetito al rischio dell'azienda – l'organizzazione è in una posizione molto migliore per rispondere ai cambiamenti del mercato.

Questa fiducia deriva da framework di rischio solidi, da un dialogo aperto e da una comprensione condivisa del fatto che una sicurezza efficace è un abilitatore di business, non semplicemente un guardiano.

Prospettiva aperta

Ciò che fa davvero la differenza è quando le persone di dipartimenti o unità di business diversi portano un'idea ai colleghi della sicurezza e vengono accolte con una prospettiva aperta: "Vediamo come possiamo trovare il modo di realizzarla in sicurezza".

Questo tipo di risposta crea fiducia e apre la porta alla collaborazione. Quando i team sanno che la loro funzione di sicurezza è lì per aiutarli ad avere successo, e non solo per dire di no, sono molto più propensi a chiedere in prima istanza: "Possiamo farlo?". Questo crea una cultura in cui innovazione e protezione procedono di pari passo.

I benefici in un paio di esempi

Prendiamo un'organizzazione desiderosa di passare a operazioni più agili: se il dipartimento di sicurezza si impegna fin dall'inizio a collaborare con le specifiche linee di business che cercano di utilizzare applicazioni cloud più veloci, può aiutare i colleghi dell'unità aziendale a elaborare una strategia, in collaborazione con solution architect e trusted cloud provider, per ridurre il rischio e snellire la migrazione al cloud. Questo è l'approccio vincente, in contrasto con l'opporre rapidamente un veto a tali richieste di innovazione adducendo rischi inaccettabili.

Quando la sicurezza è integrata fin dall'inizio (baked-in), anziché essere "applicata" alla fine (bolted on), tutte le persone coinvolte nel processo sono più soddisfatte.

Allo stesso modo, una funzione di sicurezza dalla mentalità aperta aiuterà la C-level (dirigenza) e gli altri dipartimenti a sviluppare una strategia di sviluppo data-centric per creare le basi per gli strumenti di machine learning e AI, senza ricorrere immediatamente ad argomentazioni sul rischio di conformità dei dati per escludere tali percorsi di innovazione.

Alcune sfide aziendali richiederanno collaborazioni più ampie tra i CISO e le altre funzioni aziendali: ad esempio, una ricerca del World Economic Forum nel 2025 ha rilevato che il 66% degli intervistati ritiene che l'IA influenzerà la cybersecurity nei prossimi 12 mesi, ma solo il 37% dispone di processi adeguati per la sua implementazione sicura. C'è forse un caso più lampante per l'apertura mentale e una collaborazione più profonda?

Dire di no, gestire il richio

L'approccio opposto, in cui i colleghi dei vari dipartimenti danno semplicemente per scontato che la sicurezza opporrà un veto e quindi non inoltrano nemmeno la richiesta iniziale, introduce un rischio decisamente maggiore.

È in quel momento che si finisce per avere team che avviano progetti di Shadow IT e sviluppo "ombra", con controlli inadeguati e workflow non sicuri. Il CISO viene a conoscenza del rischio solo dopo che questo si è manifestato in un incidente.

Dicendo "no" troppo spesso come professionista della sicurezza, non si elimina il rischio: lo si spinge semplicemente in clandestinità e si contribuisce a problemi di lunga data. Una ricerca Gartner del 2022 ha rilevato che quattro dipendenti su dieci utilizzavano già una qualche forma di Shadow IT. Con il boom degli strumenti AI basati su browser, è lecito immaginare quale sia quel numero oggi.

Parametri chiari

Certamente, non tutte le innovazioni o le richieste "fuori dagli schemi" ottengono il via libera. Ma un sì ragionato, che includa la comunicazione di parametri e salvaguardie chiare, è molto più potente di un no netto. Significa che la sicurezza diventa parte della soluzione fin dall'inizio.

Ciò contribuisce a garantire che l'organizzazione rimanga robusta e sicura nelle sue operazioni, dando al contempo la possibilità ai team di sperimentare e crescere.

Applicazioni e processi aziendali agili, con cybersecurity integrata, differenziano e aumentano la reattività delle organizzazioni. Questa apertura, innovazione e vantaggio competitivo sono ciò che una buona sicurezza offre nella pratica.

Sfido gli altri professionisti della cybersecurity a farsi portavoce di questo cambio di mentalità e a incoraggiare gli altri ad abbracciarlo. Perché in un panorama delle minacce in rapida evoluzione, curiosità e collaborazione sono punti di forza strategici per un'organizzazione. E le aziende che sfruttano il rischio, anziché fuggirne, costruiranno un potente vantaggio competitivo.

• Tor manda in pensione tor1 e passa a un sistema di crittografia dei relay più robusto e frutto di una ricerca approfondita.
• CGO introduce protezioni moderne in grado di bloccare gli attacchi di tagging su tutta la rete.
• La crittografia a blocchi ampi rende le celle modificate irrecuperabili e pone fine ai tentativi di intercettazione prevedibili.

Tor ha introdotto un nuovo sistema di crittografia per i relay, chiamato Counter Galois Onion (CGO), per sostituire il vecchio algoritmo tor1. La modifica mira a rendere la rete più resiliente contro le moderne tecniche di intercettazione che potrebbero compromettere la privacy degli utenti. CGO si basa su una Permutazione Pseudocasuale Robusta (Rugged Pseudorandom Permutation) denominata UIV+, progettata da ricercatori di crittografia per soddisfare requisiti di sicurezza rigorosi.

Correggere le vulnerabilità di tor1

Tor riferisce che questo sistema è stato verificato per la resistenza al tagging, la segretezza in avanti, i tag di autenticazione più lunghi e l'efficienza operativa senza aggiungere un significativo overhead di banda.

La precedente crittografia dei relay tor1 presentava diverse debolezze rispetto agli standard moderni, soprattutto perché si basava sulla crittografia AES-CTR senza autenticazione hop-by-hop. Ciò permetteva a un potenziale avversario che controllasse i relay di modificare il traffico in modo prevedibile, creando opportunità di attacchi di tagging.

Inoltre, riutilizzava le chiavi AES lungo tutto il circuito, offrendo una segretezza in avanti solo parziale, e utilizzava un digest SHA-1 da 4 byte per l'autenticazione, con la possibilità che una cella falsificata potesse passare inosservata.

Tor sostiene che, sebbene solo il primo problema sia da considerarsi critico, tutti e tre rappresentano aree che necessitano di miglioramenti in linea con l'evoluzione degli standard di crittografia.

CGO introduce la crittografia a blocchi ampi e il concatenamento dei tag (tag chaining), che rendono irrecuperabili le celle modificate e il traffico futuro, bloccando di fatto gli attacchi di tagging.

Le chiavi vengono aggiornate dopo ogni cella per impedire la decrittografia del traffico passato, anche nel caso in cui le chiavi attuali vengano esposte.

L'algoritmo SHA-1 è stato completamente rimosso e sostituito con un autenticatore da 16 byte, migliorando la sicurezza generale.

L'integrità del circuito è rafforzata dal concatenamento di tag crittografati e nonce attraverso le celle, rendendo immediatamente rilevabile qualsiasi manomissione.

Tor sottolinea che queste misure affrontano le precedenti debolezze mantenendo al contempo prestazioni ragionevoli.

Il sistema CGO è in fase di integrazione sia nell'implementazione C di Tor sia nel client Arti basato su Rust.

La funzionalità è attualmente sperimentale, con ulteriori lavori previsti per la negoziazione del servizio onion e l'ottimizzazione delle prestazioni.

Gli utenti di Tor Browser non devono intraprendere alcuna azione per beneficiare di CGO, poiché l'aggiornamento verrà applicato automaticamente una volta che il sistema sarà pienamente operativo.

Non è stata ancora annunciata una tempistica per quando CGO diventerà il metodo di crittografia predefinito.

Via BleepingComputer

• Le falle in Fluent Bit consentono agli aggressori di manipolare i log ed eseguire codice in remoto.
• La vulnerabilità CVE-2025-12972 consente la sovrascrittura di file su disco per un potenziale compromesso del sistema.
• La vulnerabilità CVE-2025-12970 sfrutta un buffer overflow dello stack per innescare l'esecuzione di codice in remoto.

Un noto strumento open source ampiamente utilizzato per l'elaborazione dei log presenta difetti critici che potrebbero consentire agli aggressori di compromettere l'infrastruttura cloud, secondo l'allarme lanciato dagli esperti.

Una ricerca di Oligo sostiene che le vulnerabilità in Fluent Bit consentono la manipolazione dei log, il bypass dell'autenticazione e l'esecuzione di codice in remoto sui sistemi dei principali fornitori di servizi cloud, tra cui AWS, Google Cloud e Microsoft Azure.

Fluent Bit è implementato in miliardi di container e ampiamente utilizzato in settori come quello bancario, l'intelligenza artificiale (IA) e la produzione, rendendolo un bersaglio interessante.

Falle specifiche e rischi

Lo sfruttamento di queste vulnerabilità potrebbe interrompere i servizi di cloud storage, alterare i dati e minacciare le operazioni aziendali che dipendono da un accesso cloud costante.

Il team di ricerca di Oligo Security ha identificato cinque vulnerabilità e, collaborando con i manutentori del progetto, ha pubblicato i dettagli relativi ai bug.

Le vulnerabilità divulgate includono path traversal attraverso valori di tag non sanificati, stack buffer overflow, bypass della corrispondenza dei tag e fallimenti nell'autenticazione.

La vulnerabilità CVE-2025-12972 consente agli aggressori di sovrascrivere file arbitrari su disco, mentre la CVE-2025-12970 può innescare l'esecuzione di codice in remoto tramite la denominazione dei container.

Le vulnerabilità CVE-2025-12978 e CVE-2025-12977 consentono il reindirizzamento dei log, l'iniezione di voci fuorvianti e l'alterazione dei registri di monitoraggio.

La vulnerabilità CVE-2025-12969 disabilita l'autenticazione su alcuni forwarder, consentendo agli aggressori di iniettare telemetria falsa o sovraccaricare i sistemi di rilevamento.

"Possiamo notare, basandoci sulla cronologia del codice, che la falla di gestione dei tag alla base della CVE-2025-12977 è presente da almeno quattro anni, e il buffer overflow di input di Docker (CVE-2025-12970) risale a circa 6 anni fa," ha dichiarato Uri Katz, ricercatore di Oligo Security.

Queste vulnerabilità potrebbero ostacolare gli sforzi di rimozione del malware negli ambienti di cloud hosting e permettere agli aggressori di nascondere le tracce di attività non autorizzate.

AWS ha riconosciuto le vulnerabilità e ha rilasciato Fluent Bit versione 4.1.1 per proteggere i sistemi interni.

Si consiglia ai clienti di aggiornare i workload a quest'ultima versione e di utilizzare Amazon Inspector, Security Hub e Systems Manager per rilevare le anomalie.

Le aziende dovrebbero verificare le configurazioni dei log e mantenere un monitoraggio continuo.

Insieme a questi aggiornamenti, sono raccomandate misure di protezione tramite firewall e soluzioni antivirus per limitare l'esposizione.

Detto questo, la diffusa implementazione di Fluent Bit implica che un certo rischio residuo possa persistere anche dopo l'applicazione delle patch, e queste vulnerabilità sono facili da sfruttare.

"Ci sono diverse vulnerabilità con differenti livelli di complessità," ha osservato Katz. "Alcune possono essere innescate con una comprensione di base del comportamento di Fluent Bit... mentre altre... richiedono maggiore familiarità con la corruzione della memoria. Nel complesso, la soglia tecnica per sfruttarle è relativamente bassa."

• ASUS rilascia una patch per CVE-2025-593656, una grave falla che permette il bypass dell'autenticazione nei router che supportano AiCloud.
• La vulnerabilità consente l'Esecuzione di Codice in Remoto (RCE) non autenticata; gli utenti sono invitati ad aggiornare il firmware o a disattivare i servizi rischiosi.
• L'aggiornamento ha corretto un totale di nove vulnerabilità, evidenziando il ruolo dei router come obiettivi primari per gli attacchi informatici.

Asus ha rilasciato una patch per una vulnerabilità di livello critico nel firmware dei suoi router che potrebbe essere sfruttata per attacchi di esecuzione di codice in remoto (RCE). Dato il potenziale rischio, si consiglia agli utenti di applicare immediatamente la correzione.

In un avviso di sicurezza pubblicato, Asus ha dichiarato di aver corretto CVE-2025-593656, una vulnerabilità critica di bypass dell'autenticazione che interessa la funzionalità cloud/accesso remoto AiCloud presente su alcuni router.

Il problema deriva dalla sua interazione con il codice di condivisione file Samba, il quale era difettoso e consentiva agli aggressori non autenticati di eseguire comandi del sistema operativo senza credenziali valide.

Qilin takes the blame

Alla vulnerabilità è stato assegnato un punteggio di gravità di 9,2/10 (critica), e interessa le seguenti versioni firmware:

3.0.0.4_386

3.0.0.4_388

3.0.0.6_102

È difficile determinare un elenco esatto dei modelli interessati, ma in generale, qualsiasi router Asus che includa e abbia attiva la funzionalità AiCloud, e che esegua le versioni firmware interessate, è potenzialmente vulnerabile. Ciò include anche i router che hanno raggiunto lo stato di fine vita (end-of-life, EOL).

Gli utenti sono invitati ad applicare la correzione il prima possibile o, in alternativa, a disattivare AiCloud, Samba/condivisione file, accesso WAN remoto, port-forwarding e qualsiasi altro servizio esposto a internet. Si consiglia inoltre di aggiornare la password di amministrazione e la password Wi-Fi con credenziali più robuste.

Sebbene sia certamente la più pericolosa, questa non è l'unica falla affrontata da Asus in questo aggiornamento di sicurezza. Secondo l'avviso, in totale sono state corrette 9 vulnerabilità, la maggior parte delle quali con un punteggio di gravità medio o alto.

Essendo il gateway per tutti i dati che transitano in una rete, il router è l'obiettivo primario di molti attacchi informatici. Asus è uno dei produttori di hardware più diffusi al mondo i cui dispositivi vengono spesso presi di mira, motivo per cui l'applicazione delle patch è considerata essenziale. Ad aprile di quest'anno, l'azienda aveva già corretto una vulnerabilità critica separata di bypass dell'autenticazione che interessava anche i router con AiCloud attivo. Inoltre, rapporti recenti indicano che i criminali informatici coinvolti negli attacchi WrtHug hanno anch'essi sfruttato le vulnerabilità riscontrate nei router ASUS.

Via BleepingComputer

• Jamf segnala che alcuni hacker nordcoreani utilizzano annunci di lavoro falsi e tattiche ClickFix per prendere di mira gli utenti macOS
• Le vittime vengono indotte con l'inganno a eseguire comandi curl nel Terminale, installando il malware backdoor FlexibleFerret
• La campagna, denominata Contagious Interview, consente il furto di credenziali, l'esfiltrazione di file e la compromissione del sistema

Gli esperti hanno avvertito che gli autori delle minacce sponsorizzate dallo Stato nordcoreano stanno prendendo di mira gli utenti macOS con un nuovo malware, utilizzando una strategia che combina due approcci molto diffusi: annunci di lavoro falsi e ClickFix.

I ricercatori di sicurezza Jamf hanno confermato di aver individuato attacchi in circolazione che utilizzano ClickFix, un metodo di attacco in cui alla vittima viene presentato un problema falso e, allo stesso tempo, una soluzione. Si tratta di un'evoluzione del vecchio popup “Hai un virus” che ha dominato Internet nei primi anni 2000.

Jamf afferma che gli “operatori allineati alla Corea del Nord” della famiglia di malware FlexibleFerret hanno creato aziende false, profili LinkedIn falsi e, soprattutto, annunci di lavoro falsi, come parte di una campagna più ampia chiamata Contagious Interview.

Comandi curl e correzioni fasulle

Le vittime, per lo più sviluppatori software, scoprivano questi siti web e annunci di lavoro autonomamente oppure venivano invitate a colloqui tramite LinkedIn.

Dopo aver superato diverse fasi iniziali, veniva chiesto loro di registrare un video tramite la piattaforma del potenziale datore di lavoro. Tuttavia, al momento del tentativo, la piattaforma segnalava un malfunzionamento della fotocamera.

A questo punto, veniva suggerita una "soluzione": un comando curl da inserire nel Terminale, il quale in realtà non risolveva il problema, ma introduceva silenziosamente il malware nel sistema.

Questo software malevolo, in sostanza una backdoor, compie diverse azioni: genera un breve identificatore della macchina, verifica la presenza di duplicati e poi scarica comandi aggiuntivi da un server di controllo (command server) predefinito. Tali comandi includono la raccolta di informazioni di sistema, il caricamento o il download di file, l'esecuzione di comandi shell, l'estrazione dei dati del profilo di Chrome o l'attivazione di un furto automatizzato di credenziali.

Per proteggere i propri sistemi da minacce di questo tipo, è fondamentale che gli utenti si dotino dei migliori antivirus.

"Le aziende dovrebbero trattare le valutazioni di 'colloquio' non richieste e le istruzioni di 'risoluzione' basate sul Terminale come situazioni ad alto rischio, assicurandosi che gli utenti siano consapevoli di doversi fermare e segnalare tali richieste anziché seguirle", hanno concluso i ricercatori.

• Esperti scoprono che DeepSeek-R1 produce codice pericolosamente insicuro quando i prompt includono termini politici.
• La metà dei prompt sensibili politicamente induce DeepSeek-R1 a rifiutarsi di generare qualsiasi codice.
• Segreti codificati (hard-coded secrets) e gestione insicura degli input compaiono frequentemente in risposta a prompt a sfondo politico.

Quando è stato rilasciato nel gennaio 2025, DeepSeek-R1, un large language model (LLM) cinese, ha suscitato grande scalpore ed è stato da allora ampiamente adottato come assistente di codifica.

Tuttavia, test indipendenti condotti da CrowdStrike sostengono che l'output del modello può variare significativamente a seconda di modificatori contestuali apparentemente irrilevanti.

Il team ha testato 50 attività di codifica in diverse categorie di sicurezza con 121 configurazioni di parole chiave (trigger-word), eseguendo ciascun prompt cinque volte, per un totale di 30.250 test. Le risposte sono state valutate utilizzando un punteggio di vulnerabilità da 1 (sicuro) a 5 (vulnerabile in modo critico).

Argomenti politicamente sensibili corrompono l'output

Il rapporto rivela che quando termini politici o sensibili come Falun Gong, Uiguri o Tibet venivano inclusi nei prompt, DeepSeek-R1 produceva codice con gravi vulnerabilità di sicurezza.

Queste includevano segreti codificati (hard-coded secrets), gestione insicura dell'input dell'utente e, in alcuni casi, codice completamente invalido.

I ricercatori sostengono che questi trigger politicamente sensibili possono aumentare la probabilità di output insicuro del 50% rispetto ai prompt di base privi di tali parole.

Negli esperimenti che coinvolgevano prompt più complessi, DeepSeek-R1 ha prodotto applicazioni funzionali con moduli di registrazione, database e pannelli di amministrazione.

Tuttavia, queste applicazioni non avevano una gestione di base delle sessioni e dell'autenticazione, lasciando esposti i dati sensibili degli utenti – e in ripetuti tentativi, fino al 35% delle implementazioni includeva hashing delle password deboli o assente.

Prompt più semplici, come richieste per siti web di fan club calcistici, producevano meno problemi gravi.

CrowdStrike sostiene, quindi, che i trigger politicamente sensibili hanno avuto un impatto sproporzionato sulla sicurezza del codice.

Il modello ha anche dimostrato un kill switch intrinseco – in quasi la metà dei casi, DeepSeek-R1 si è rifiutato di generare codice per certi prompt politicamente sensibili dopo aver inizialmente elaborato una risposta.

L'esame delle tracce di ragionamento ha mostrato che il modello produceva internamente un piano tecnico ma alla fine rifiutava l'assistenza.

I ricercatori ritengono che ciò rifletta una censura incorporata nel modello per conformarsi alle normative cinesi, e hanno notato che l'allineamento politico ed etico del modello può influire direttamente sull'affidabilità del codice generato.

Per gli argomenti politicamente sensibili, gli LLM tendono generalmente a riflettere le idee dei media mainstream, ma questo potrebbe essere in netto contrasto con altre testate giornalistiche affidabili.

DeepSeek-R1 rimane un modello di codifica capace, ma questi esperimenti mostrano che gli strumenti di IA, inclusi ChatGPT e altri, possono introdurre rischi nascosti negli ambienti enterprise.

Le organizzazioni che si affidano al codice generato dagli LLM dovrebbero eseguire test interni approfonditi prima della distribuzione.

Inoltre, i livelli di sicurezza come un firewall e un antivirus rimangono essenziali, poiché il modello può produrre output imprevedibili o vulnerabili.

I bias incorporati nei pesi del modello creano un rischio di supply-chain inedito che potrebbe influenzare la qualità del codice e la sicurezza complessiva del sistema.

• Le nazioni ostili potrebbero presto sfruttare i computer quantistici per compromettere gli standard di crittografia esistenti.
• Gli attuali firewall potrebbero richiedere la sostituzione per rimanere efficaci contro le minacce abilitate dal calcolo quantistico.
• I browser aziendali integrati con l'IA aumentano l'esposizione agli attacchi sulle reti aziendali.

L'amministratore delegato di Palo Alto Networks, Nikesh Arora, ha avvertito che gli stati-nazione ostili potrebbero possedere "computer quantistici armati" entro il 2029, o anche leggermente prima.

Questo rapido progresso tecnologico potrebbe rendere gli attuali standard di crittografia e gli apparati di sicurezza esistenti (come i firewall) obsoleti. Arora ha sottolineato che le organizzazioni dovranno sostituire i dispositivi basati sulla crittografia per mantenere un'adeguata protezione.

Vulnerabilità dei browser aziendali

Arora ha inquadrato la situazione sia come un potenziale rischio che come un'opportunità commerciale, sottolineando che Palo Alto offrirà presto una gamma completa di prodotti sicuri contro il calcolo quantistico (quantum-safe).

Il CTO Lee Klarich ha aggiunto che i clienti stanno pianificando sempre più l'adozione di infrastrutture resistenti al calcolo quantistico.

L'azienda ha recentemente introdotto un browser focalizzato sull'utenza aziendale, citando uno studio di proof-of-concept in cui 167 dei 5.000 browser esaminati sono stati compromessi, evidenziando i rischi dei moderni flussi di lavoro basati sul web.

Klarich ha previsto che, man mano che i browser integrati con l'IA diventeranno più comuni, l'esposizione agli attacchi aumenterà.

L'azienda stima che fino a 100 milioni di installazioni di browser potrebbero rappresentare significative opportunità di monetizzazione, aumentando al contempo la domanda di tecnologie di ispezione della sicurezza.

Palo Alto sta gestendo contemporaneamente l'acquisizione di CyberArk per 25 miliardi di dollari, integrando al contempo Chronosphere per 3,5 miliardi di dollari.

Arora ha espresso fiducia nella capacità dell'azienda di fondere queste operazioni senza interruzioni.

Gli strumenti di osservabilità di Chronosphere sono progettati per gestire flussi di dati AI su scala petabyte con latenza minima e a un costo inferiore rispetto alle soluzioni concorrenti.

L'azienda ritiene che queste aggiunte consentiranno un modello basato su abbonamento più ampio, in cui anche un singolo firewall potrebbe essere collegato a dieci o più servizi di sicurezza distinti.

Arora ha indicato che sia l'IA che il calcolo quantistico dovrebbero aumentare in modo significativo i volumi di traffico, rendendo necessaria un'ispezione e un monitoraggio dei flussi di dati più estesi.

L'arrivo previsto del calcolo quantistico potrebbe richiedere la sostituzione di molti dispositivi di sicurezza esistenti, compresi i firewall, per proteggere i dati sensibili.

"Dal nostro punto di vista, l'IA e il calcolo quantistico genereranno un volume molto maggiore. Quindi, più bit circolano, più devono essere ispezionati, il che significa che la necessità di tecnologie di ispezione dei bit non scomparirà," ha affermato Arora.

Gli utenti sono incoraggiati a mantenere software antivirus aggiornato per difendersi dalle minacce convenzionali, utilizzando al contempo la protezione contro il furto di identità per monitorare attività sospette.

L'evoluzione delle minacce guidate dall'IA mostra l'importanza di difese a più livelli e di un'attenta gestione dei browser aziendali.

Le organizzazioni e gli individui dovrebbero pianificare un futuro in cui sia le tecnologie tradizionali che quelle emergenti richiedano misure di sicurezza proattive.

• L'UE ha proposto di apportare modifiche all'attuale legislazione digitale
• Il GDPR verrebbe ritoccato per consentire l'addestramento dell'IA su determinati dati personali
• Altre modifiche mirano a semplificare i processi e a rimuovere passaggi obsoleti/non necessari

L'Unione Europea ha proposto di apportare modifiche all'attuale legislazione digitale. Il GDPR verrebbe ritoccato per consentire l'addestramento dell'IA su determinati dati personali. Altre modifiche mirano a semplificare i processi e a rimuovere passaggi obsoleti/non necessari.

L'Unione Europea ha svelato i piani per semplificare tutta la sua legislazione digitale in risposta alle preoccupazioni che la complessità normativa possa ostacolare l'innovazione e la competitività, in particolare nel campo dell'Intelligenza Artificiale.

Porzioni del GDPR, ePrivacy, del Data Governance Act, del Data Act e della normativa sul libero flusso dei dati non personali saranno semplificate, così come l'AI Act.

In definitiva, l'obiettivo è rendere più facile per le aziende il trattamento dei dati anonimi/pseudonimi, consentendo l'uso di alcuni dati personali per l'addestramento dell'IA.

Il GDPR sarà modificato per aiutare l'addestramento dell'IA

l GDPR introdurrà definizioni e meccanismi più chiari per distinguere i dati anonimi adatti all'addestramento.

Separatamente dall'IA, l'UE vuole anche affrontare la cosiddetta "fatica del banner dei cookie". I cookie a basso rischio non richiederanno più pop-up di consenso e gli utenti potranno gestire il consenso a livello centrale tramite il browser (e i siti web dovranno rispettarlo).

Per promuovere ulteriormente la semplificazione, diverse leggi separate relative ai dati saranno fuse nel Data Act.

"L'accumulo di regole ha talvolta avuto un effetto negativo sulla competitività", ha spiegato la Commissione Europea, da qui le modifiche piuttosto consistenti stabilite dalla Presidente della Commissione von der Leyen per il suo mandato 2024-2029.

Inoltre, il grande cambiamento mira anche ad affrontare leggi obsolete che non si adattano più al panorama digitale in evoluzione, un panorama totalmente diverso da quello in cui molte leggi furono introdotte inizialmente.

Al momento, tuttavia, le modifiche sono solo in fase di consultazione e non sono confermate. La Commissione ha anche sottolineato l'importanza di consultare le PMI, che costituiscono una parte considerevole del panorama imprenditoriale europeo.

"A condizione che la proposta entri in vigore entro l'inizio del 2027, l'Omnibus Digitale potrebbe portare ad almeno 5 miliardi di euro di risparmi sui costi amministrativi per le aziende entro la fine del mandato della Commissione nel 2029, oltre a un ulteriore miliardo di euro per le autorità pubbliche," ha scritto la Commissione.

• La task force statunitense prende di mira i centri di truffa in Birmania, Cambogia e Laos
• Il team di sequestro di criptovalute confisca oltre 401 milioni di dollari da operazioni fraudolente
• Organizzazioni criminali transnazionali cinesi implicate nel coordinamento delle truffe nel sudest asiatico

Gli Stati Uniti hanno istituito una "task force" per contrastare le frodi e le truffe legate alle criptovalute provenienti dal sudest asiatico.

L'iniziativa prende di mira i centri di truffa in Paesi come la Birmania, la Cambogia e il Laos, dove reti organizzate hanno sottratto miliardi di dollari agli americani negli ultimi cinque anni.

La task force utilizzerà indagini, azioni penali, sanzioni e sequestri per smantellare queste operazioni, cercando al contempo di risarcire le vittime.

Operazioni e sequestri sono in corso

L'operazione coinvolge diverse agenzie federali, tra cui il Dipartimento di Giustizia, il Federal Bureau of Investigation, i Servizi Segreti statunitensi e altri partner interagenzia.

"L'FBI è impegnata nell'importante lavoro della task force contro i centri di truffa", ha dichiarato il vicedirettore aggiunto della divisione criminale dell'FBI, Gregory Heeb.

"È compito dell'FBI fermare questi criminali e, con l'aiuto dei nostri partner in tutto il mondo, lo faremo."

La task force è intervenuta contro obiettivi chiave in Myanmar, sequestrando i siti web di Tai Chang e richiedendo mandati per confiscare i terminali satellitari che collegano altri centri di truffa.

“Le reti criminali che operano dalla Birmania stanno rubando miliardi di dollari ai lavoratori americani attraverso truffe online”, ha dichiarato John Hurley, alto funzionario del Dipartimento del Tesoro. “Queste stesse reti praticano la tratta di esseri umani e contribuiscono ad alimentare la brutale guerra civile in Birmania”.

I team che indagano sulle reti di truffa con base a Bali hanno aiutato le autorità indonesiane a perseguire 38 individui.

Il team di sequestro di criptovalute ha annunciato la confisca di oltre 401,6 milioni di dollari in criptovalute e ha avviato procedimenti per altri 80 milioni di dollari in fondi rubati.

Queste operazioni hanno lo scopo di recuperare i beni e impedire ai truffatori di sfruttare le infrastrutture statunitensi per colpire i cittadini.

I membri della task force sono integrati nelle forze dell'ordine locali, compresa la Polizia Reale thailandese, per combattere i centri di truffa come KK Park e altri.

Tuttavia, alcuni gruppi etnici coordinati, come l'Esercito Democratico Benevolo Karen (DKBA), sono associati a questi crimini.

Il Dipartimento del Tesoro ha sanzionato il DKBA e le entità associate come "specially-designated nationals" (cittadini appositamente designati), bloccando i loro beni e limitando gli accordi commerciali con loro.

Il DKBA è accusato di proteggere i centri di truffa e di sfruttare i lavoratori vittime di tratta, con i cui proventi sostiene la criminalità organizzata e i gruppi armati coinvolti nel conflitto civile in Myanmar.

Anche organizzazioni criminali transnazionali cinesi sono state implicate nel coordinamento di queste truffe.

“I soldati del DKBA sono stati filmati mentre picchiavano lavoratori truffati e ammanettati. Le vittime salvate hanno dichiarato di essere state sottoposte a scosse elettriche, di essere state appese per le braccia in stanze buie e di aver subito altri trattamenti brutali”, ha dichiarato il Dipartimento del Tesoro.

“Per la sua partecipazione a queste operazioni di truffa, il DKBA riceve finanziamenti che utilizza per sostenere le sue continue attività illecite.”

Questi schemi hanno causato ingenti perdite finanziarie, con alcuni americani che hanno perso i risparmi di una vita intera.

“Dal 2019, i Servizi Segreti statunitensi hanno registrato un forte aumento delle truffe legate agli investimenti in criptovalute”, ha dichiarato Kyo Dolan, vicedirettore dei Servizi Segreti.

“Solo nell'anno fiscale 2025, i Servizi Segreti statunitensi hanno risposto a circa 3.000 vittime che ci hanno contattato in merito a schemi di truffa sugli investimenti in criptovalute.”

La task force non solo dimostra l'impegno degli Stati Uniti a smantellare queste reti, ma il presidente Trump vuole anche che gli Stati Uniti siano il fulcro mondiale delle criptovalute

“I centri di truffa stanno creando un trasferimento di ricchezza generazionale da Main Street America alle tasche della criminalità organizzata cinese”, ha dichiarato il procuratore statunitense Pirro.

“Il presidente Trump vuole che gli Stati Uniti siano il centro globale dell'industria mondiale delle criptovalute. È quindi assolutamente cruciale che gli americani comprendano l'uso sicuro di questa merce.”

• Gemini Pro 2.5 ha prodotto frequentemente risultati non sicuri in presenza di semplici prompt mascherati.
• I modelli ChatGPT hanno spesso fornito un'adesione parziale, inquadrata come spiegazioni sociologiche.
• Claude Opus e Sonnet hanno rifiutato la maggior parte dei prompt dannosi, pur mostrando delle debolezze.

Test avversari condotti sui principali modelli di IA hanno rivelato diverse vulnerabilità, dimostrando che alcuni possono essere manipolati per generare risposte non sicure nonostante le misure di protezione.

I ricercatori di Cybernews hanno condotto una serie di test avversari strutturati per verificare se i principali strumenti di intelligenza artificiale potessero essere spinti a produrre output dannosi o illegali. Il processo ha utilizzato una semplice finestra di interazione di un minuto per ogni prova, lasciando spazio solo a pochi scambi.

Schemi di adesione parziale e totale

Sebbene i rifiuti netti siano stati comuni, molti modelli hanno mostrato debolezze quando i prompt venivano ammorbiditi, riformulati o mascherati da richieste di analisi.

Gemini Pro 2.5 ha prodotto frequentemente output non sicuri utilizzando semplici prompt mascherati. I modelli ChatGPT (come ChatGPT-5 e ChatGPT-4o) hanno spesso fornito un'adesione parziale, inquadrata come spiegazioni sociologiche anziché rifiutare la richiesta. Claude Opus e Sonnet hanno rifiutato la maggior parte dei prompt dannosi, ma hanno comunque mostrato delle debolezze.

I modelli ChatGPT tendevano a fornire risposte educate o indirette che però si allineavano comunque al prompt. Un linguaggio più morbido si è dimostrato molto più efficace degli insulti espliciti per aggirare le protezioni.

I test relativi a sostanze stupefacenti hanno generato modelli di rifiuto più severi, sebbene ChatGPT-4o abbia comunque fornito output non sicuri più frequentemente di altri. Lo stalking è stata la categoria con il rischio complessivo più basso, con quasi tutti i modelli che hanno respinto i prompt.

I risultati rivelano che gli strumenti di IA possono ancora rispondere a prompt dannosi se formulati nel modo giusto. La capacità di aggirare i filtri di sicurezza con semplici riformulazioni significa che questi sistemi possono ancora lasciar trapelare informazioni pericolose.

• Fulgar conferma l'attacco ransomware attribuito al famigerato gruppo RansomHouse.
• Gli hacker hanno diffuso documenti interni che comprendono saldi bancari, fatture e comunicazioni riservate.
• Tra i clienti di Fulgar figurano colossi come H&M, Adidas, Wolford e Calzedonia.

Fulgar, un'azienda storica specializzata in filati sintetici che rifornisce molte delle principali case di moda, ha confermato di aver subito un attacco ransomware attribuito al gruppo RansomHouse.

Il 12 novembre, gli aggressori hanno inserito Fulgar nel loro sito "leak" (dove pubblicano i dati rubati, ndr), sostenendo di essere in possesso di dati crittografati sottratti il 31 ottobre.

Gli screenshot condivisi sul sito sembrano mostrare file interni, tra cui documenti, fogli di calcolo, comunicazioni e informazioni finanziarie, oltre a registrazioni che paiono relative a saldi bancari, fatture e scambi con enti esterni.

Fulgar è un attore di primo piano nel mercato delle fibre dalla fine degli anni '70 e produce poliammide 66 ed elastomeri ricoperti utilizzati per calzetteria, lingerie, abbigliamento sportivo e tessuti tecnici.

Tra i clienti di Fulgar figurano marchi come H&M, Adidas, Wolford e Calzedonia.

RansomHouse è attivo dal 2021 e ha elencato più di cento vittime sul suo sito. Le autorità informatiche statunitensi hanno precedentemente collegato il gruppo ad affiliati che collaborano con hacker iraniani, segnalando accordi che prevedono il supporto alla crittografia in cambio di una quota dei pagamenti del riscatto.

La violazione di Fulgar dimostra ancora una volta che anche i grandi fornitori possono essere vulnerabili quando un singolo gruppo ransomware, supportato da un buon antivirus, riesce ad accedere ai sistemi interni.

La crittografia è la spina dorsale della sicurezza digitale, proteggendo i dati sensibili da accessi non autorizzati. Molti degli attuali meccanismi di sicurezza hanno dimostrato il loro valore nel corso degli anni, ma ora si trovano di fronte a una sfida fondamentale: l'emergere dei computer quantistici.

Questa tecnologia minaccia di scuotere le fondamenta dei metodi di crittografia tradizionali e di cambiare radicalmente la cybersecurity per come la conosciamo.

Lo sviluppo di algoritmi crittografici resistenti ai computer quantistici è oggi una priorità assoluta per aziende, governi e istituti di ricerca a livello globale.

Questi nuovi metodi di cifratura devono garantire una protezione affidabile anche in un mondo in cui i computer quantistici sono una realtà, ponendo le basi per la sicurezza informatica del futuro. È il momento di dare uno sguardo più da vicino a questo argomento.

Perché la crittografia tradizionale è vulnerabile

I metodi di crittografia come RSA (Rivest-Shamir-Adleman) e ECC (Elliptic Curve Cryptography) si basano su problemi matematici che risultano praticamente irrisolvibili per i computer convenzionali senza la chiave corretta.

I problemi sono scelti appositamente affinché i computer tradizionali non possano risolverli. I computer quantistici, tuttavia, modificano drasticamente questo punto di partenza, poiché sono in grado di risolvere con molta più facilità anche le sfide matematiche più ardue.

Gli esperti stimano che computer quantistici pienamente funzionali e con sufficiente potenza di calcolo potrebbero essere disponibili entro i prossimi dieci anni.

Tuttavia, lo scenario "raccogli ora, decifra dopo" (harvest now, decrypt later) rappresenta un problema concreto già oggi: gli attaccanti stanno accumulando dati crittografati nella speranza di poterli decifrare in futuro, utilizzando la tecnologia quantistica.

Approcci diversi per l'era post-quantistica

La crittografia resistente ai computer quantistici adotta un approccio diverso rispetto alle soluzioni precedenti: esegue la cifratura basandosi su problemi matematici che sono talmente complessi che neanche i computer quantistici possono risolvere con facilità.

La crittografia utilizza strutture che richiamano labirinti o reticoli multidimensionali. Anche con la potenza di calcolo aggiuntiva delle macchine quantistiche, queste sfide non possono essere risolte.

Esistono vari approcci in competizione tra loro per individuare la soluzione migliore nella crittografia post-quantistica. Classic McEliece, ad esempio, utilizza la teoria della codifica come base e offre un elevato livello di sicurezza. Tuttavia, questo richiede chiavi di dimensioni molto grandi, il che lo rende inadatto a ogni situazione.

SPHINCS+, d'altra parte, si affida alle funzioni di hash e trasforma i dati in "impronte digitali" digitali. L'approccio è estremamente sicuro, ma funziona più lentamente rispetto ad altri metodi.

Altri approcci come HQC, BIKE e Rainbow sono attualmente oggetto di ricerca per scenari specifici. Alcuni di questi sono più adatti a piccoli dispositivi come i sensori, mentre altri sono progettati per applicazioni altamente sicure come i sistemi bancari.

Gli standard come guida per l'industria

L'Istituto Nazionale di Standard e Tecnologia (NIST) ha definito un approccio importante con i primi standard per la crittografia post-quantistica: CRYSTALS-Kyber (noto come ML-KEM) e CRYSTALS-Dilithium (noto come ML-DSA).

Entrambi sono stati sviluppati come standard dedicati ai computer quantistici, ma seguono percorsi diversi.

ML-KEM aiuta due parti a condividere in modo sicuro una chiave segreta. Questo è paragonabile all'accordo su una nuova password, inviolabile, attraverso un canale aperto.

ML-DSA, al contrario, è utilizzato come una firma in calce a una lettera per confermare digitalmente che un messaggio proviene effettivamente dalla persona specificata.

Entrambi i sistemi lavorano con complessi labirinti matematici basati su reticoli (lattice basis) e aggiungono volutamente del "rumore" casuale (random noise) per rendere gli enigmi ancora più difficili da risolvere. Sono progettati per resistere agli attacchi dei futuri computer quantistici e per funzionare in modo efficiente sull'hardware moderno.

Tuttavia, richiedono una quantità di dati maggiore, con chiavi e firme più grandi. E questo si traduce in più informazioni per la comunicazione e in maggiori esigenze in termini di potenza di calcolo.

Sfide per l'implementazione

La transizione verso la crittografia resistente ai computer quantistici comporta sfide sia tecniche che organizzative che creano problemi con i sistemi meno recenti. Inoltre, molte aziende si trovano ad affrontare la difficoltà di non avere una visione completa su dove e come viene utilizzata la crittografia.

Superare con successo queste sfide richiede un approccio sistematico. Le aziende dovrebbero innanzitutto condurre un audit per censire tutte le pratiche di crittografia attualmente in uso. La stretta collaborazione con partner tecnologici e fornitori è essenziale.

Una base fondamentale è la costruzione di sistemi crittograficamente agili (crypto-agile). Questi sistemi sono in grado di cambiare i metodi di crittografia senza la necessità di un'importante riorganizzazione. Allo stesso tempo, i team devono essere formati su questi nuovi approcci, in modo che tutti siano consapevoli dei cambiamenti.

Istituzioni e sicurezza globale

I governi e le organizzazioni internazionali svolgono un ruolo chiave nella promozione della crittografia resistente ai computer quantistici. A livello globale, organizzazioni e governi stanno lavorando insieme per creare standard a prova di futuro.

Il NIST (National Institute of Standards and Technology) e gli organismi europei come l'ETSI (European Telecommunications Standards Institute), l'ENISA (European Network and Information Security Agency) e l'NCSC (National Cyber Security Centre) del Regno Unito sono alla guida di questi sforzi.

Anche Paesi come il Giappone e il Canada stanno dando contributi importanti. Tutto ciò contribuisce a garantire che i nuovi standard di sicurezza siano solidi e accettati in tutto il mondo.

Gli sviluppi normativi stanno aumentando la pressione sulle aziende affinché agiscano tempestivamente. Negli Stati Uniti, alcuni ordini esecutivi esortano le organizzazioni federali a prepararsi alle future minacce quantistiche.

In Europa, i funzionari raccomandano che la migrazione verso la crittografia a prova di quanti sia completata entro il 2035 circa. Le aziende dovranno presto seguire linee guida specifiche per proteggere i propri dati.

Maggiore sicurezza grazie all'IA

Combinando l'intelligenza artificiale (IA) con la crittografia resistente ai computer quantistici, la sicurezza informatica può essere migliorata in modo significativo.

I sistemi di IA possono infatti cercare continuamente punti deboli nella cifratura, contribuendo anche a ottimizzare e gestire i processi crittografici per la massima efficienza. Ciò consente di testare i pattern di attacco e individuare le lacune di sicurezza.

Unendo l'IA alla crittografia a prova di quanti, le organizzazioni possono creare sistemi di sicurezza dinamici e autorigeneranti che si adattano alle minacce emergenti. Insieme, queste tecnologie rendono possibile lo sviluppo di meccanismi di difesa proattivi.

Il cambiamento come opportunità strategica

I computer quantistici segnano una svolta storica nella sicurezza informatica. Per la prima volta dopo decenni, le aziende devono ripensare le proprie misure di sicurezza e, al contempo, cogliere l'opportunità di proiettare nel futuro la propria infrastruttura crittografica.

Questa trasformazione va ben oltre il semplice cambio di algoritmo: richiede una nuova comprensione della gestione del rischio in un mondo in cui la sicurezza matematica tradizionale non è più garantita.

La chiave del successo risiede nella preparazione strategica. Le aziende che svilupperanno oggi architetture crittograficamente agili e formeranno di conseguenza i propri team saranno in grado di rispondere ai futuri exploit tecnologici.

Ciò offre una rara opportunità non solo di mantenere la sicurezza, ma di migliorarla, per coloro che vogliono plasmare attivamente il cambiamento anziché subirlo passivamente.

• Microsoft rileva che la Whisper Leak espone falle nella privacy all'interno dei sistemi AI crittografati.
• Le chat AI crittografate possono comunque far trapelare indizi sugli argomenti discussi dagli utenti.
• Gli attaccanti possono tracciare gli argomenti delle conversazioni utilizzando la dimensione e la tempistica dei pacchetti (packet size and timing).

Microsoft ha rivelato una nuova tipologia di attacco informatico che ha denominato "Whisper Leak", in grado di esporre gli argomenti discussi dagli utenti con i chatbot AI, anche quando le conversazioni sono completamente crittografate.

La ricerca dell'azienda suggerisce che gli attaccanti possono studiare la dimensione e la tempistica dei pacchetti crittografati scambiati tra un utente e un Large Language Model (LLM) per dedurre l'argomento della discussione.

"Se un'agenzia governativa o un Internet Service Provider (ISP) stessero monitorando il traffico verso un popolare chatbot AI, potrebbero identificare in modo affidabile gli utenti che pongono domande su specifici argomenti sensibili", ha affermato Microsoft.

Whisper Leak attacks

Ciò significa che la crittografia non implica necessariamente invisibilità: la vulnerabilità risiede nel modo in cui gli LLM (Large Language Models) inviano le risposte.

Questi modelli non attendono una risposta completa, ma trasmettono i dati in modo incrementale, creando piccoli pattern che gli attaccanti possono analizzare.

Nel tempo, raccogliendo un numero maggiore di campioni, questi pattern diventano più chiari, consentendo inferenze più accurate sulla natura delle conversazioni. Questa tecnica non decifra direttamente i messaggi, ma espone una quantità sufficiente di metadati per trarre inferenze informate, il che è forse altrettanto preoccupante.

In seguito alla divulgazione di Microsoft, OpenAI, Mistral e xAI hanno tutte dichiarato di aver agito rapidamente per implementare contromisure (mitigations).

Una soluzione consiste nell'aggiungere una "sequenza casuale di testo a lunghezza variabile" a ogni risposta, interrompendo la coerenza delle dimensioni dei token su cui fanno affidamento gli attaccanti.

Tuttavia, Microsoft consiglia agli utenti di evitare discussioni sensibili su reti Wi-Fi pubbliche, di utilizzare una VPN o di attenersi a modelli LLM non in streaming.

Queste scoperte giungono parallelamente a nuovi test che dimostrano come diversi LLM open-weight rimangano vulnerabili alla manipolazione, soprattutto durante le conversazioni a più turni (multi-turn conversations).

I ricercatori di Cisco AI Defense hanno riscontrato che anche i modelli creati da importanti aziende faticano a mantenere i controlli di sicurezza (safety controls) quando il dialogo diventa complesso. Alcuni modelli, hanno affermato, hanno mostrato "una sistemica incapacità... di mantenere i guardrail di sicurezza nel corso di interazioni estese".

Nel 2024, sono emersi rapporti secondo cui un chatbot AI ha fatto trapelare oltre 300.000 file contenenti informazioni personali identificabili (PII) e centinaia di server LLM sono stati lasciati esposti, sollevando interrogativi sulla reale sicurezza delle piattaforme di chat AI.

Le difese tradizionali, come l'antivirus o la protezione firewall, non possono rilevare o bloccare le fughe di informazioni da canali laterali (side-channel leaks) come Whisper Leak, e queste scoperte dimostrano che gli strumenti di IA possono inavvertitamente ampliare l'esposizione alla sorveglianza e all'inferenza dei dati.

• Gli hacker KONNI usano KakaoTalk per distribuire malware e raccogliere credenziali di account dalle vittime.
• Gli attaccanti sfruttano il Find Hub di Google per cancellare da remoto i dispositivi Android ed eludere il rilevamento.
• I PC compromessi diffondono malware ai contatti mentre i dispositivi mobili vengono ripetutamente ripristinati alle impostazioni di fabbrica.

Gruppi hacker nordcoreani collegati al governo sono stati osservati nell'atto di effettuare il factory reset dei dispositivi Android bersaglio per cancellare le proprie tracce.

I ricercatori di Genians hanno rilevato questi attacchi in corso (in the wild), diretti principalmente contro individui in Corea del Sud, e attribuiti a un gruppo denominato KONNI (che prende il nome da un remote access tool che utilizza).

I ricercatori evidenziano come KONNI presenti "obiettivi e infrastrutture sovrapposte" con Kimsuky e APT37, noti gruppi di cyber-spionaggio sponsorizzati dallo stato nordcoreano.

Cancellazione del dispositivo

L'attacco prende il via sulla piattaforma di messaggistica KakaoTalk, una delle più popolari in Corea del Sud, dove gli operatori di KONNI si fingono entità fidate, quali il Servizio Fiscale Nazionale o la polizia.

Durante la conversazione, inviano un file MSI con firma digitale (o un archivio ZIP contenente tale file) che, se eseguito dalla vittima, avvia uno script che, in ultima istanza, scarica diversi moduli malware, tra cui RemcosRAT, QuasarRAT e RftRAT.

Questi RAT (Remote Access Trojan) raccolgono ogni sorta di informazione dal dispositivo compromesso, incluse le credenziali degli account Google e Naver, che vengono poi utilizzate per accedere all'account Google della vittima.

Da lì, gli attaccanti accedono a Google Find Hub (strumento integrato che consente agli utenti di localizzare, bloccare o cancellare da remoto i propri dispositivi) e lo utilizzano non solo per visualizzare tutti gli altri dispositivi Android registrati, ma anche per tracciare la posizione della vittima.

Quando rilevano che la vittima è in movimento o in una condizione tale da non poter intervenire rapidamente, inviano comandi di factory reset remoto a tutti i dispositivi, cancellando i dati, disattivando gli avvisi e disconnettendo la vittima dalle sessioni PC di KakaoTalk. La cancellazione viene effettuata per ben tre volte.

Con il dispositivo mobile resettato ma la sessione PC di KakaoTalk ancora attiva, gli hacker sfruttano il computer compromesso per inviare file dannosi ai contatti della vittima, propagando ulteriormente le infezioni.

La motivazione dietro l'attacco non è nota al momento, ma gli attori di minacce sponsorizzati da stati sono solitamente impegnati in attività di cyber-spionaggio e disruption (disturbo operativo).

Via BleepingComputer

• Rhysida spoofed Microsoft Teams ads on Bing to deliver malware via fake download pages
• Victims received OysterLoader and Latrodectus, which deploy ransomware, backdoors, and infostealers
• Group operates on RaaS model; past targets include airports, libraries, and U.S. school districts

Security researchers have once again found poisoned ads on popular ad networks, spoofing major brands to deliver all sorts of nasties.

Experts at Expel spotted a new malware distribution campaign conducted by the Rhysida ransomware group which apparently began in June 2025, and is still ongoing at press time.

For the campaign, Rhysida’s operatives created landing pages to imitate download sites for Microsoft Teams, one of the world’s most popular online collaboration platforms. Then, they set up new ads on Microsoft’s Bing search engine to promote these pages.

Abusing .LNK files

Victims who would search for Microsoft Teams via Bing would likely see an ad at the top of their search engine results page and, given Microsoft’s and Bing’s good standing, would probably trust them enough to click on the links. Then, they would be redirected to a page that is seemingly identical to the actual Teams download page, but with a big difference - this one deploys two pieces of malware: OysterLoader, and Latrodectus.

Both Latrodectus and OysterLoader are, as the latter’s name suggests, a loader, delivering different stage-two malware depending on the attacker’s needs at any given time. That can include infostealers, backdoors, various remote access trojans, and most notably - ransomware

In fact, the Rhysida group is a famous ransomware operator. It works on a RaaS principle - developing and maintaining the encryptor, while its affiliates breach their targets’ networks and deploy the malware - for a share of the profits.

There had been several notable breaches attributed to the Rhysida gang including the 2023 attack on the British Library (when roughly 600GB of files were taken), the 2024 attack on the Seattle-Tacoma International Airport, as well as multiple attacks on government and education organizations (City of Columbus, multiple US school districts and institutions, and more).

Via The Register

Nonostante quello che dice il messaggio che stai leggendo, non hai fatto una spesa di quasi 800 dollari in un negozio che non hai mai visitato con una banca che non utilizzi. È una truffa e una che puoi imparare (e insegnare ad altri) a riconoscere e evitare durante questa frenetica stagione dello shopping del Black Friday.



Lo capisco, i messaggi di testo suscitano una risposta quasi pavloviana. Non sappiamo di cosa trattano o se sono anche minimamente importanti, ma quando compaiono, focalizziamo la nostra attenzione e abbiamo un desiderio quasi irrefrenabile di reagire.

Durante la stagione degli acquisti del Black Friday, che, se siamo onesti con noi stessi, è iniziata il 1° novembre, stai visitando decine di negozi online e di persona, trovando le migliori offerte del Black Friday, utilizzando molto le tue carte di credito e organizzando più consegne a casa tua e altrove. Le offerte, le conferme di acquisto e le notifiche di consegna arrivate (o meno) provengono principalmente tramite email e messaggi di testo.

Buon Natale... per i truffatori

"Dal Black Friday fino a Natale questi tipi di truffe vanno alle stelle. Non solo è la stagione festiva quando ci sono più offerte e saldi del solito, ma è sempre quando i consumatori sono più occupati, e più sei occupato, meno è probabile che tu trovi il tempo per individuare una truffa," ha detto Steven C. Morgan, fondatore e caporedattore di Cybercrime Magazine, in un'e-mail a me.

La criminalità informatica è un grande affare. Secondo Cybersecurity Ventures, la criminalità informatica costerà all'economia mondiale 9,5 trilioni di dollari nel 2024, il che significa che ha il potenziale di costare 1 miliardo di dollari all'ora. Per te, il costo della criminalità informatica potrebbe essere incalcolabile. Certamente, se avessi seguito un recente messaggio di testo che ho ricevuto, il costo per me sarebbe stato molto meno, ma non meno catastrofico.

Un messaggio con il veleno

Come milioni di altre persone, ho una carta di credito Chase che preferisco per gli acquisti discrezionali. Se non sapessi quello che so sui criminali informatici, potrei essere cascato in questa truffa di phishing. Il messaggio è progettato per suscitare una combinazione di confusione e preoccupazione. Viene indicato un importo casuale ma significativo, il tono è allarmistico e menziona Amazon dove tutti fanno acquisti. E inoltre, mi hanno già fatto il favore di negare gli addebiti ("Oh, gli importa di me"). Tuttavia, poiché il messaggio contiene anche "in sospeso", è chiaro che gli addebiti potrebbero ancora essere applicati al mio conto.

Cruciale per la truffa è il link. "TRUFFA 101: Sito web Chase falso. Fanno un lavoro davvero buono su quelli. Ma basta qualcuno con buone competenze di web design e tempo. Se vai al sito .es da cui proviene, puoi vedere chi sono" ha scritto Morgan in un'e-mail dopo che gli ho inviato il messaggio.

Morgan ha ragione, l'URL non si preoccupa nemmeno di nascondere il fatto che non proviene direttamente da Chase. Quando ho visitato il dominio principale sono finito sulla homepage di un web designer spagnolo. Tuttavia, quando ho fatto risolvere l'URL completo a una pagina web, sono finito su un sito che sembrava esattamente come il vero sito web di Chase. Se avessi effettuato l'accesso al mio account Chase tramite questo sito, i criminali informatici avrebbero acquisito le mie credenziali e le avrebbero utilizzate per causarmi seri danni finanziari.

Il diavolo è nei dettagli

Come qualcuno che ha trascorso la maggior parte degli ultimi quattro decenni lavorando nella tecnologia, so che questo non è il vero Chase, ma mi preoccupo per il resto di voi. Persino Morgan ha ammesso che non c'è un modo facile per rilevare la differenza. "Ecco esattamente perché la nostra industria sta investendo miliardi (letteralmente) in formazione sulla consapevolezza della sicurezza in modo che per impostazione predefinita non fai clic su un URL come quello," mi ha scritto Morgan. Forse stai leggendo questo e pensi "Non ho mai ricevuto un messaggio di testo o un'e-mail come quella". Potresti anche pensare che anche se l'avessi ricevuta, non saresti ingannato. Se stai leggendo questo (grazie, comunque), potrebbe essere vero, ma ci sono molte persone che non sono esperte di tecnologia e pensano che quando Amazon, la loro banca, il Servizio di Sicurezza Sociale o forse l'FBI invia loro un messaggio di testo, è meglio che rispondano. E spetta a te dirglielo, specialmente durante la frenetica stagione dello shopping natalizio: Si sbagliano. "Anche se potrebbe esserci un'eccezione, di regola i giganti della tecnologia e le banche NON inviano messaggi di testo ai consumatori invitandoli a visitare siti web per indagare su addebiti fraudolenti o altre attività," ha detto Morgan in un'e-mail.

Onestamente, lo stesso vale per il Dipartimento della Sicurezza Sociale (preferiscono inviare posta tradizionale), l'FBI (si presenteranno alla tua porta) e Amazon (potrebbero inviare una notifica tramite il tuo account Amazon o l'app di Amazon). In generale, nessuno invia messaggi di testo che ti chiedono di visitare un URL. Potresti ricevere un avviso dalla tua banca su addebiti sospetti, ma ti incoraggeranno a visitare il sito ufficiale da solo, accedere e affrontare gli addebiti, o chiamarli direttamente, e non con un numero fornito in un messaggio di testo. Comunque, capisco come tutto questo possa essere confuso e la prima linea di difesa è dare un'occhiata attenta all'e-mail o al messaggio di testo e cercare segni rivelativi come un indirizzo e-mail che non potrebbe assolutamente provenire da una fonte ufficiale, un dominio estero (".es" invece di ".com"), errori di ortografia nell'URL o nel messaggio e drammatica come TUTTE MAIUSCOLE. Non so esattamente che forma prenderà la tua truffa, ma se possiedi uno smartphone e hai un conto bancario e carte di credito, le incontrerai. Così faranno la tua famiglia, i tuoi amici e i tuoi colleghi. Questa stagione festiva, regala loro il regalo della conoscenza e insegnali come non farsi ingannare in modo che possiamo tutti goderci questa stagione di offerte del Black Friday festiva, divertente e incredibilmente frenetica.

Riflessioni finali

• • •
    Non seguire gli URL nei messaggi di testo
  • •
    Non farti spaventare dalle tattiche di terrore
  • •
    Contatta tutti direttamente
  • •
    Non lasciare mai che nessuno controlli il tuo computer
  • •
    Ottieni password migliori e una migliore sicurezza digitale
  • •
    Sii sospettoso (cioè, questo è il consiglio)
  • •
    Condividi questo articolo

You might also like

• Best Black Friday deals: shop all the top offers today
• Exclusive Samsung Black Friday deals: get up to $1,000 off Galaxy ...
• Best Buy's 3-day Black Friday sale ends today - shop the 19 best ...
• I shop sales for a living - here are the 9 Black Friday deals I ...

• Empty list

• • Collins Aerospace ha subito una violazione informatica
• • Questa violazione potrebbe interessare i passeggeri degli aeroporti di Dublino e Cork
• • Chiunque sia stato colpito potrebbe essere a rischio di furto di identità o frode

Un fornitore chiave per gli aeroporti di Dublino e Cork ha confermato di aver subito una violazione informatica, che si dice coinvolga i dati di viaggio di potenzialmente milioni di persone che hanno volato attraverso i due aeroporti nell'agosto 2025.

La DAA, l'ente che gestisce i due hub aeroportuali, ha comunicato all'Irish Times che un incidente di sicurezza informatica che ha coinvolto il fornitore terzo Collins Aerospace ha comportato la pubblicazione online di informazioni relative ai biglietti di imbarco da parte di un "gruppo di criminali informatici".

Sebbene la DAA abbia rassicurato i passeggeri che non devono intraprendere alcuna azione immediata, se le informazioni personali fossero esposte, questo potrebbe esporli a rischi di furto di identità o frode - pertanto dovrebbero monitorare attentamente i loro account per eventuali attività sospette.

Ongoing investigation

Swedish airline SAS distributed an email warning passengers who flew to Dublin or Cork in August 2025 that their information may be affected;

“The affected files included your booking reference, first name, last name and Frequent Flyer Number. Based on this information, it is possible that other details connected to your booking – such as contact information and travel itinerary – could have been accessed. It is possible that this information may be leaked to the public by the unauthorised party.”

So far, there is no evidence of any direct impact on DAA systems themselves, and there seems to be no disruption to flights or bookings.

There has been a string of high-profile cybersecurity incidents in recent months, the vast majority of which originated through the initial breach of third-party contractors.

Recent research suggests that a third of all cyberattacks now involve third-party vendors or external platforms, highlighting the challenges security teams now face in ensuring the security not just of their own systems, but also of their partners.

• • Kaspersky avverte che l'IA è utilizzata per redigere email convincenti, generare deepfake e molto altro
• • Il numero di clic sui link di phishing cresce trimestre dopo trimestre
• • Gli utenti sono avvertiti di restare vigili per stare al sicuro dagli attacchi

L'Intelligenza Artificiale Generativa (GenAI) sta rendendo gli attacchi di phishing più intelligenti, più difficili da rilevare e più diffusi, secondo una nuova ricerca di Kaspersky.

I suoi risultati affermano che nel secondo trimestre 2025, i suoi prodotti hanno rilevato e bloccato più di 142 milioni di clic su link di phishing, rappresentando un aumento del 3,3% rispetto al primo trimestre.

Se da un lato potrebbe significare che c'erano più attacchi di phishing durante l'estate, dall'altro potrebbe anche significare che il volume è rimasto lo stesso - ma gli attacchi effettivi sono diventati più convincenti.

Generating deepfakes

“AI has elevated phishing into a highly personalized threat. Large language models enable attackers to craft convincing emails, messages and websites that mimic legitimate sources, eliminating grammatical errors that once exposed scams,” the researchers said.

“AI-driven bots on social media and messaging apps impersonate real users, engaging victims in prolonged conversations to build trust. These bots often fuel romantic or investment scams, luring victims into fake opportunities with AI-generated audio messages or deepfake videos.”

The researchers also said that GenAI isn’t just being used to eliminate spelling and grammar errors - arguably the biggest red flags in phishing emails.

It is also used to create realistic audio and video deepfake impersonations of trusted individuals, including colleagues, celebrities, and bank officials.

These deepfakes are then used to promote fake giveaways, or steal sensitive information such as multi-factor authentication (MFA) codes, passwords, and similar.

“AI-powered tools analyze public data from social media or corporate websites to launch targeted attacks, such as HR-themed emails or fake calls referencing personal details,” Kaspersky added.

How to stay safe

As the risk of phishing grows, staying vigilant online remains the best way to be safe.

Users should always be skeptical of unsolicited incoming messages, especially those that demand urgent action or threaten with a disaster.

These are, and will continue to be, the biggest red flag in phishing attacks.

You might also like

• This Microsoft 365 phishing campaign can bypass MFA - here's what we know
• Take a look at our guide to the best authenticator app
• We've rounded up the best password managers

Incogni e Kanary sono due noti servizi di rimozione dati. Lanciato nel 2022 da Surfshark, un'azienda nota per la sua applicazione di rete privata virtuale (VPN), Incogni aiuta a cancellare le informazioni dei tuoi dati personali da numerosi siti di broker. Scansiona i siti dei broker alla ricerca dei tuoi dati e invia richieste di rimozione automatizzate o manuali per eliminare le tue informazioni.

Dopo una scansione iniziale, Incogni esegue frequenti nuove scansioni per mantenere i tuoi dati lontani dai nuovi siti di broker. È un compagno digitale che aiuta a proteggere la tua privacy online con un abbonamento mensile o annuale.

Kanary è stata fondata nel 2020 come app per la rimozione di dati personali. Da allora, si è concentrata sulla sua funzione principale di aiutare gli utenti a trovare e rimuovere le loro informazioni personali dal web. Scansiona numerosi data broker e siti di ricerca persone per i dati personali, quindi invia richieste di cancellazione dove applicabile.

Sebbene servano allo stesso scopo, Incogni e Kanary differiscono in molti modi. Questa guida confronta queste app in criteri chiave, tra cui prezzi, copertura dei broker, facilità d'uso, funzionalità e assistenza clienti, aiutandoti a decidere qual è l'opzione migliore per mantenere i tuoi dati personali lontani dal web.

Copertura dei broker

Incogni copre ufficialmente oltre 420 siti di data broker, dove può inviare richieste di rimozione automatizzate che vengono elaborate rapidamente. Questa copertura include alcuni dei più grandi siti di data broker a livello globale. Tuttavia, non si ferma qui. Incogni copre anche oltre 1.000 siti di data broker dove può inviare richieste di rimozione manuali, anche se queste non vengono elaborate così rapidamente come le richieste automatizzate. In particolare, Incogni elabora richieste di rimozione personalizzate solo per gli utenti abbonati al piano Unlimited. Gli utenti del piano Standard sono limitati alle richieste di rimozione automatizzate sui oltre 420 siti di data broker coperti.

Kanary supporta richieste di rimozione automatizzate per circa 300 siti di data broker, inclusi alcuni dei più prominenti. Tuttavia, supera Incogni nelle richieste di rimozione manuali, supportando oltre 20.000 siti. Il personale di Kanary può aiutarti a inviare richieste di rimozione manuali formali a praticamente qualsiasi sito dove sono presenti le tue informazioni personali. Queste richieste potrebbero richiedere molto tempo per essere elaborate, a seconda del sito, ma il personale di Kanary le segue per garantire un'elaborazione rapida.

Incogni ha una copertura più ampia per le richieste di rimozione automatizzate, ma Kanary fa meglio per le richieste di rimozione manuali, in particolare per i siti che non hanno processi standard per richiedere la cancellazione dei dati.

Informazioni sui dati

Sia Incogni che Kanary forniscono informazioni e report chiave sulle richieste di rimozione dati in sospeso e riuscite. Gli utenti possono accedere a questi report dalla loro dashboard e ricevere anche aggiornamenti regolari via email.

Su Incogni, ho apprezzato ricevere avvisi via email quando una richiesta di rimozione in sospeso veniva elaborata con successo. Potevo anche controllare la mia dashboard per visualizzare lo stato di ciascuna richiesta in sospeso. Dopo aver fornito le mie informazioni personali, la prima scansione di Incogni ha richiesto circa due giorni, il che non è fuori dalla norma. Una volta completata la scansione, ho ricevuto un avviso via email e una notifica per autorizzare Incogni a inviare richieste di rimozione per mio conto. Dopo l'autorizzazione, ho monitorato lo stato di ciascuna richiesta dalla mia dashboard e ho ricevuto un avviso via email quando ciascuna richiesta è stata elaborata con successo.

Su Kanary, la mia prima scansione ha richiesto circa un giorno per essere completata, il che è più breve dei due giorni di Incogni, ma previsto perché Kanary copre meno siti di broker rispetto a Incogni. Ho ricevuto un avviso via email dopo il completamento della scansione, quindi ho effettuato l'accesso alla mia dashboard per autorizzare le richieste di rimozione. Potevo monitorare ciascuna richiesta in sospeso dalla mia dashboard: alcune sono state riuscite in pochi giorni, ma la maggior parte ha richiesto più tempo.

Le richieste di rimozione possono richiedere fino a 90 giorni o più per essere elaborate sia su Incogni che su Kanary, a seconda del sito. Le richieste manuali richiedono ancora più tempo rispetto alle richieste automatizzate dai siti di data broker.

Incogni e Kanary hanno eccelso in questa categoria, ma ho notato una differenza chiave. Incogni offre un approccio più automatizzato e senza intervento, mentre Kanary fornisce un approccio più pratico e manuale. Entrambe le piattaforme mi hanno permesso di monitorare le richieste di rimozione dati da una dashboard intuitiva, ma Kanary richiedeva accessi più frequenti per tenere d'occhio queste richieste e apportare modifiche di tanto in tanto.

Funzionalità extra

Incogni e Kanary offrono alcune funzionalità complementari. Ad esempio, Kanary ti aiuta anche a rimuovere le Informazioni Personalmente Identificabili (PII) da Google, anche se il sito del data broker che ha memorizzato le informazioni non le ha ancora rimosse. In tal caso, Kanary invia una richiesta di rimozione a Google per tuo conto, e tali richieste vengono generalmente soddisfatte rapidamente.

Sia Incogni che Kanary offrono rimozioni ricorrenti, monitorando continuamente il web per i tuoi dati personali e inviando richieste di rimozione quando vengono rilevati. Tuttavia, non ci sono funzionalità extra oltre a queste. Entrambe le piattaforme si concentrano principalmente sulla rimozione dei dati personali e non offrono funzionalità di sicurezza extra come una VPN o la scansione dei dati del dark web, che ho trovato su alcune piattaforme di rimozione dati rivali.

Facilità d'uso

Incogni fornisce un'interfaccia intuitiva accessibile tramite il tuo browser web o l'app mobile (solo Android; nessun iOS). L'ho trovata molto semplice da navigare, grazie a una dashboard con funzionalità ben organizzate nella parte superiore e tutti gli elementi visivi chiaramente evidenziati su uno sfondo bianco.

Su Incogni, ho fornito i miei dati personali e avviato una scansione. Una scansione completa può richiedere fino a due giorni, quindi è necessaria un po' di pazienza: ho ricevuto un avviso via email una volta completata la scansione. Dopo la scansione, Incogni ha inviato richieste di rimozione automatizzate ai siti di data broker supportati. Potevo anche avviare richieste di rimozione manuali dalla dashboard ogni volta che necessario.

Anche Kanary è facile da usare, con un'interfaccia a tema scuro e dal look retrò che ho apprezzato. È accessibile da un browser web o scaricando l'app Kanary Copilot sul tuo dispositivo Android o iOS. In particolare, Kanary offre app sia per iOS che per Android, a differenza di Incogni, che è solo per Android.

È una scelta difficile, ma dirò che Incogni offre un'interfaccia leggermente più intuitiva rispetto a Kanary, anche se entrambe sono semplici da navigare.

Assistenza clienti

Durante i test, Incogni si è distinto per le sue abbondanti risorse di auto-aiuto. Il suo centro di supporto ufficiale contiene FAQ e guide per l'utente che ho trovato utili durante la navigazione della piattaforma, in particolare per la prima volta.

Se le risorse di auto-aiuto non sono sufficienti a risolvere il tuo problema, puoi contattare il team di supporto di Incogni via email, chat dal vivo e telefono. Tuttavia, il supporto telefonico è disponibile solo se sei abbonato al piano Unlimited.

Anche Kanary fornisce risorse di auto-aiuto, principalmente FAQ e guide per l'utente, accessibili sul suo sito web. Ho trovato queste risorse utili per risolvere problemi banali. Per problemi complessi, il team di supporto di Kanary era a solo un'email di distanza e ho ricevuto una risposta entro 24 ore. La mia principale lamentela è la mancanza di supporto telefonico e chat dal vivo di Kanary, il che la mette in svantaggio competitivo rispetto a Incogni.

Piani e prezzi

Incogni ha quattro piani tariffari: Standard, Unlimited, Family e Family Unlimited. Gli utenti possono pagare mensilmente o annualmente, con un abbonamento annuale che fornisce uno sconto del 50% rispetto al pagamento mensile.

Il piano Standard costa 16$ al mese ma scende a 96$ per un abbonamento annuale (8$ al mese, rispetto ai 16$ mensili). Con il piano Standard, puoi scansionare i tuoi dati personali su oltre 420 siti di data broker e inviare richieste di rimozione automatizzate. Il piano Unlimited costa 30$ al mese ma scende a 180$ per un abbonamento annuale (15$ al mese, annualizzato). Con questo piano, puoi scansionare i tuoi dati personali e inviare richieste di rimozione automatizzate a oltre 420 siti, oltre a richieste di rimozione manuali a oltre 1.000 siti. Questo piano sblocca anche il supporto telefonico, mentre il piano Standard è limitato al supporto via email e chat dal vivo.

Il piano Family offre le stesse funzionalità del piano Standard, ma per un massimo di 5 utenti, e costa 32$ al mese. Il piano Family Unlimited offre le stesse funzionalità del piano Unlimited per 5 utenti, con un costo di 46$ al mese. Incogni non ha una prova gratuita, ma puoi richiedere un rimborso entro 30 giorni se non sei soddisfatto della piattaforma.

Kanary ha una struttura di prezzi semplice. Puoi pagare 17$ al mese o 180$ annualmente (uno sconto del 10% sul prezzo mensile). Dopo l'abbonamento iniziale, puoi aggiungere un membro familiare extra per 8,50$ al mese o 90$ all'anno. Kanary offre un periodo di prova gratuita di 14 giorni.

Quale è il migliore?

Scegliere tra Incogni e Kanary sembra una scelta difficile. Piuttosto che dire che uno è migliore dell'altro, dirò che ciascuno ha il suo punto di forza chiave. Incogni è il migliore se vuoi una piattaforma che gestisca richieste di rimozione ricorrenti per tuo conto con un input minimo da parte tua. Kanary è ideale per richieste di rimozione manuali, dove hai identificato il sito in cui si trovano i tuoi dati e vuoi che vengano rimossi. Per tuo conto, Kanary invierà una richiesta formale al sito e userà mezzi legali disponibili per far rimuovere i dati. Non c'è una garanzia al 100% che i dati vengano rimossi, ma Kanary raggiunge questo obiettivo più spesso che no.

• Sfruttare una vulnerabilità ha reso l'altra più facile da attivare con successo

Due nuove falle recentemente scoperte nei router VPN Omada e Festa di TP-Link hanno esposto debolezze profonde nella sicurezza del firmware dell'azienda.

Le vulnerabilità, identificate come CVE-2025-7850 e CVE-2025-7851, sono state individuate dai ricercatori di Forescout's Vedere Labs.

Queste vulnerabilità sono state descritte come parte di un modello ricorrente di patching incompleto e codice di debug residuo.

Accesso root ripristinato tramite codice residuo

Un problema precedentemente noto, CVE-2024-21827, permetteva agli aggressori di sfruttare una funzione di "codice di debug residuo" per ottenere l'accesso root sui router TP-Link.

Sebbene TP-Link abbia corretto questa vulnerabilità, l'aggiornamento ha lasciato residui dello stesso meccanismo di debug accessibile in condizioni specifiche.

Se veniva creato sul dispositivo un certo file di sistema, image_type_debug, ricompariva il vecchio comportamento di login root.

Questa scoperta ha formato la base per la nuova vulnerabilità CVE-2025-7851.

L'indagine ha poi scoperto una seconda falla, CVE-2025-7850, che colpisce l'interfaccia di configurazione VPN WireGuard dei router.

Una sanitizzazione impropria di un campo di chiave privata ha consentito a un utente autenticato di iniettare comandi del sistema operativo, risultando nell'esecuzione completa di codice remoto come utente root.

In pratica, sfruttare una vulnerabilità ha reso l'altra più facile da attivare, creando una rotta combinata per completare il controllo del dispositivo.

Questo rivela come le correzioni di routine possano a volte introdurre nuovi percorsi di attacco piuttosto che eliminare quelli esistenti.

• CVE-2025-55315 consente lo smuggling di richieste HTTP nel server web Kestrel di ASP.NET Core
• Gli attaccanti possono bypassare i controlli, accedere alle credenziali, alterare file o mandare in crash il server
• Microsoft ha rilasciato aggiornamenti per le versioni interessate di .NET e Visual Studio per mitigare la falla

Microsoft ha confermato di aver recentemente risolto una delle vulnerabilità più gravi mai riscontrate nel suo prodotto ASP.NET Core. Descritto come un "bug di HTTP request smuggling", la vulnerabilità è tracciata come CVE-2025-55315 e ha ricevuto un punteggio di gravità di 9.9/10 (critico). Colpisce il server web Kestrel ASP.NET Core e consente ad attaccanti non autenticati di "contrabbandare" richieste HTTP secondarie all'interno della richiesta originale.

Come aggiornare

La richiesta contrabbandabile può aiutare gli attaccanti a bypassare diversi controlli di sicurezza. "Un attaccante che sfrutta con successo questa vulnerabilità potrebbe visualizzare informazioni sensibili come le credenziali di altri utenti (Riservatezza) e apportare modifiche al contenuto dei file sul server di destinazione (Integrità), e potrebbe essere in grado di forzare un crash all'interno del server (Disponibilità)", ha spiegato Microsoft nel suo avviso di sicurezza.

A seconda delle versioni in esecuzione, esistono diversi modi per proteggere la propria infrastruttura da potenziali attacchi. Chi utilizza .NET 8 o versioni successive deve installare l'aggiornamento .NET da Microsoft Update, mentre chi utilizza .NET 2.3 deve aggiornare il riferimento al pacchetto Microsoft.AspNet.Server.Kestrel.Core alla versione 2.3.6, quindi ricompilare l'applicazione e ridistribuirla. Chi utilizza un'applicazione self-contained/single-file deve installare l'aggiornamento .NET, ricompilare e ridistribuire.

Microsoft ha inoltre rilasciato aggiornamenti di sicurezza per Microsoft Visual Studio 2022, ASP.NET Core 2.3, ASP.NET Core 8.0 e ASP.NET Core 9.0, nonché il pacchetto Microsoft.AspNetCore.Server.Kestrel.Core per le app ASP.NET Core 2.x.

Su GitHub, il responsabile del programma tecnico di sicurezza .NET Barry Dorrans ha affermato che il punteggio del bug non sarebbe "neanche lontanamente così alto", ma i punteggi si basano su come il bug potrebbe influenzare le applicazioni costruite su ASP.NET, quindi dipende davvero da ogni singola app: "Non sappiamo cosa sia possibile perché dipende da come hai scritto la tua app", ha detto. "Quindi, valutiamo tenendo presente il peggior caso possibile, un bypass delle funzionalità di sicurezza che modifica lo scope."

Via The Register

Segui TechRadar su Google News e aggiungici come fonte preferita per ricevere le nostre notizie, recensioni e opinioni esperte nei tuoi feed. Assicurati di cliccare sul pulsante Segui!

E naturalmente puoi anche seguire TechRadar su TikTok per notizie, recensioni e unboxing in formato video, e ricevere aggiornamenti regolari da noi anche su WhatsApp.

Potrebbe interessarti anche

• Microsoft avvisa che gli hacker hanno un nuovo e subdolo modo di distribuire malware
• Dai un'occhiata alla nostra guida alle migliori app di autenticazione
• Abbiamo selezionato i migliori gestori di password

• Windows 10 ha raggiunto il fine vita, terminando gli aggiornamenti di sicurezza e i futuri miglioramenti
• Oltre il 40% degli endpoint globali esegue ancora Windows 10, ponendo gravi rischi per la sicurezza
• Le aziende finanziarie affrontano vincoli di bilancio e sfide infrastrutturali legacy che ritardano la modernizzazione

Windows 10 ha ufficialmente raggiunto lo status di end-of-life (EoL), il che significa che non riceverà più aggiornamenti di sicurezza cruciali, miglioramenti importanti o upgrade. Nonostante la scadenza sia stata di dominio pubblico per anni, molti endpoint in tutto il mondo utilizzano ancora il sistema operativo, rischiando acquisizione di dispositivi, esfiltrazione di dati e una miriade di altre minacce destinate a manifestarsi prima o poi. In concomitanza con la data di EoL, due aziende hanno analizzato il mercato per comprendere quanto sia grande il potenziale panorama delle minacce, ottenendo risultati sorprendenti. Cloudhouse ha intervistato 135 responsabili IT del settore finanziario e ha scoperto che il 60% gestisce ancora "un gran numero" di server e desktop con versioni non supportate di Windows OS.

Il peso del debito tecnico

Contemporaneamente, dati separati di TeamViewer hanno rivelato che più del 40% degli endpoint globali che hanno ricevuto supporto tramite la sua piattaforma utilizzano ancora Windows 10. L'azienda ha analizzato un campione anonimizzato di 250 milioni di connessioni TeamViewer avviate tra luglio e settembre 2025, includendo connessioni da utenti con licenze sia a pagamento che gratuite. Windows 10 è ancora supportato e non presenta vulnerabilità note ad alta gravità o zero-day che possono essere sfruttate. Questo non significa che i team IT non stiano lottando con l'infrastruttura legacy. Infatti, il rapporto di Cloudhouse ha rilevato che il 90% delle organizzazioni ha un debito tecnico Windows e più del 59% dei responsabili IT finanziari dedica troppo tempo alla manutenzione e alla risoluzione dei problemi dell'infrastruttura Windows legacy. Il denaro sembra essere il vincolo chiave che impedisce alle aziende di migrare verso tecnologie più recenti. Lo studio ha anche scoperto che il 95% degli intervistati vorrebbe poter spendere più denaro - e tempo - in progetti strategici, piuttosto che nella manutenzione quotidiana. Eppure, quasi il 90% ha un piano per modernizzare la propria infrastruttura entro i prossimi 24 mesi. "Le società di servizi finanziari si assumono un acuto rischio operativo derivante dai sistemi Windows legacy", ha affermato Mat Clothier, CEO di Cloudhouse. "Questo è un rischio critico per il business che prosciuga i budget e impedisce il lavoro di sicurezza e trasformazione digitale. Con importanti traguardi di supporto Microsoft in arrivo nel 2025, le aziende hanno bisogno ora di percorsi di migrazione attuabili e a basso rischio."

Non dimenticare di dare un'occhiata ai nostri aggiornamenti live su Windows 10 End of Life qui

Segui TechRadar su Google News e aggiungici come fonte preferita per ricevere le nostre notizie, recensioni e opinioni di esperti nei tuoi feed. Assicurati di cliccare sul pulsante Segui! E ovviamente puoi anche seguire TechRadar su TikTok per notizie, recensioni e unboxing in formato video, e ricevere aggiornamenti regolari da noi anche su WhatsApp.

Potrebbe interessarti anche

• La scadenza di Windows 10 si avvicina: sei pronto?
• Dai un'occhiata alla nostra guida alle migliori app di autenticazione
• Abbiamo raccolto i migliori gestori di password

• • Gli strumenti di ripristino complessi fanno perdere rapidamente fiducia al personale IT già esausto
• • Molti esperti vedono gli strumenti AI come un ulteriore livello di stress
• • La paura di essere incolpati personalmente genera profonda ansia nei team di cybersecurity

La pressione su professionisti IT e cybersecurity si intensifica con l'aumento della portata e sofisticazione delle minacce cyber, secondo una nuova ricerca.

Un sondaggio di Object First mostra come questa pressione sia diventata una crisi di salute mentale nel settore: l'84% si sente stressato al lavoro a causa dei rischi di cybersecurity, mentre quasi il 60% sta valutando di lasciare il proprio impiego.

Molti intervistati temono inoltre di essere incolpati personalmente se gli attaccanti compromettono i sistemi, aumentando il peso emotivo.

Minacce crescenti ed esaurimento emotivo

Il sondaggio descrive un ambiente in cui i lavoratori IT si sentono intrappolati tra minacce crescenti e aspettative irrealistiche.

Quasi la metà degli intervistati ha dichiarato di essere sotto pressione da parte dei vertici aziendali per "sistemare tutto" dopo un incidente cyber.

Un 18% significativo ha ammesso di sentirsi "senza speranza e sopraffatto" durante o dopo tali eventi.

Il senso di responsabilità per proteggere intere reti, spesso senza risorse sufficienti, ha lasciato molti in difficoltà.

"Lo stress crescente sui professionisti IT e cybersecurity non è solo una questione HR, ma una sfida per la resilienza aziendale", ha affermato David Bennett, CEO di Object First.

"Con l'escalation di frequenza e sofisticazione delle minacce cyber, il rischio di produttività compromessa e perdita di talenti per burnout potrebbe rendere le organizzazioni più vulnerabili che mai."

La complessità degli strumenti di ripristino e dei sistemi di protezione ransomware è emersa come fattore chiave del burnout.

Quasi tre quarti (74%) degli intervistati ha dichiarato che le tecnologie di ripristino o gli strumenti di rimozione malware erano troppo complessi da gestire senza competenze di sicurezza approfondite.

Carichi di lavoro pesanti e team sottodimensionati aggravano questa sfida, portando a orari più lunghi e minore fiducia nella risposta agli attacchi.

Molti professionisti ritengono che soluzioni di backup più rapide ed efficienti potrebbero alleviare lo stress, mentre quasi due terzi (65%) ha affermato che tecnologie testate indipendentemente aumenterebbero la loro fiducia.

Mentre le organizzazioni dipendono sempre più da strumenti AI per automatizzare rilevamento e risposta, l'onere di interpretare e gestire tali sistemi ricade spesso sul personale umano.

Questo aumenta la fatica mentale invece di ridurla. C'è quindi urgente bisogno di supporto per la salute mentale e tecnologie più semplici.

Metà dei professionisti intervistati ha dichiarato che le loro aziende non riescono a dare priorità costante al benessere, con molti che identificano orari flessibili, programmi di assistenza ai dipendenti e servizi per la salute mentale come aiuti cruciali.

Per affrontare questi problemi, Object First, in collaborazione con Cybermindz, sta rilasciando materiali educativi e risorse per la gestione dello stress volte a ripristinare la concentrazione e migliorare il riposo.

• Il BYOD è ormai diffuso, ma i team di sicurezza faticano a gestirlo
• I dispositivi periferici restano esposti: il 40% risulta non gestito
• Scarsa adozione del modello zero trust mentre i dipendenti continuano a usare dispositivi personali

Il BYOD (Bring Your Own Device) è ormai la norma più che l'eccezione nei luoghi di lavoro, secondo quanto rilevato da una nuova ricerca di Ivanti.

BYOD indipendentemente dalle policy

Tre lavoratori IT su quattro affermano che il BYOD è una prassi regolare, nonostante solo il 52% delle organizzazioni lo consenta ufficialmente. Dove le policy lo vietano, il 78% dei dipendenti lo fa comunque.

Questa mancanza di controllo rende le aziende vulnerabili. I dati Microsoft mostrano che oltre il 90% degli incidenti ransomware inizia da un dispositivo non gestito.

Google DeepMind ha presentato CodeMender, un agente di intelligenza artificiale che, secondo l'azienda, è in grado di rilevare e correggere automaticamente le vulnerabilità del software prima che vengano sfruttate dagli hacker.

Il braccio di ricerca AI di Google afferma che il nuovo strumento può mettere in sicurezza progetti open source generando patch che possono essere applicate dopo essere state revisionate da ricercatori umani.

CodeMender si basa sul modello Gemini Deep Think di DeepMind e utilizza molteplici strumenti di analisi, tra cui fuzzing, analisi statica e test differenziali, per identificare le cause profonde dei bug e prevenire regressioni.

Aiutare, non sostituire gli umani

Raluca Ada Popa, senior staff research scientist di DeepMind, e John "Four" Flynn, vicepresidente della sicurezza, hanno dichiarato che il sistema ha già fornito decine di correzioni.

"Negli ultimi sei mesi in cui abbiamo sviluppato CodeMender, abbiamo già integrato 72 correzioni di sicurezza in progetti open source, alcuni dei quali comprendono fino a 4,5 milioni di righe di codice", hanno scritto Popa e Flynn in un post sul blog di DeepMind.

L'azienda afferma che CodeMender può agire sia in modo reattivo che proattivo, riparando le falle scoperte e riscrivendo il codice per eliminare intere classi di vulnerabilità. Il sistema dovrebbe essere in grado di ridurre il carico di lavoro di manutenzione della sicurezza validando le proprie patch prima di inviarle alla revisione umana. Il passaggio della revisione è qualcosa su cui Google tiene particolarmente a insistere, sottolineando che CodeMender non è lì per sostituire gli esseri umani, ma piuttosto per agire come agente utile ed espandere il crescente volume di vulnerabilità che i sistemi automatizzati possono rilevare. In un caso, il team afferma che CodeMender ha applicato automaticamente annotazioni -fbounds-safety a parti della libreria di compressione immagini libwebp, un passo che DeepMind sostiene avrebbe prevenuto exploit passati. Le annotazioni costringono il compilatore a verificare i limiti del buffer, riducendo il rischio di attacchi basati su overflow. Gli sviluppatori riconoscono anche il crescente uso dell'AI da parte di attori malintenzionati e sostengono che i difensori hanno bisogno di strumenti equivalenti. DeepMind prevede di espandere i test con i manutentori open source e, una volta che la sua affidabilità sarà adeguatamente dimostrata, spera di rilasciare CodeMender per un uso più ampio da parte degli sviluppatori. Google ha anche rivisto il suo Secure AI Framework e lanciato un nuovo Vulnerability Reward Program per le falle legate all'AI.

• • Codice generato dall’AI usato in campagna di phishing, bloccato da Microsoft Defender• Gli attaccanti hanno usato un file SVG mascherato da PDF, con codice a tema aziendale nascosto• Security Copilot ha segnalato tratti tipici dell’AI, come identificatori verbosi e commenti generici

Il codice AI è ora usato in molti settori e, nella cybersicurezza, sia i team di difesa che gli attaccanti si affidano sempre più ai modelli linguistici per supportare il loro lavoro.

Microsoft Threat Intelligence ha recentemente rilevato e bloccato una campagna di phishing che si ritiene abbia usato codice generato dall'AI per nascondere il payload in un file SVG.

Raffinato ma non pratico

La campagna ha usato un account email aziendale compromesso per inviare messaggi auto-indirizzati con i veri destinatari nascosti in BCC, e l'allegato era nominato per sembrare un PDF pur contenendo codice SVG eseguibile.

Via Infosecurity Magazine

• • I criminali informatici sfruttano la paura del copyright per diffondere malware negli spazi online
• • I bot Telegram ora fungono da centri di comando per minacce malware in evoluzione
• • False società legali distribuiscono malware tramite truffe di rimozione contenuti in più lingue

I criminali informatici sfruttano da tempo la paura per manipolare le vittime, e le rivendicazioni di copyright si stanno rivelando uno degli strumenti più recenti.

La ricerca di Cofense Intelligence ha rilevato che gli aggressori inviano messaggi progettati per sembrare legittime richieste di rimozione a più utenti.

Tuttavia, la vera intenzione di questi messaggi è distribuire malware con il pretesto di pressioni legali.

Una campagna basata sull'inganno

Il rapporto descrive come un attore di minacce vietnamita noto come Lone None stia distribuendo campagne che imitano studi legali, inviando messaggi che sostengono di segnalare contenuti che violano il copyright sul sito web o sull'account social media del target.

Ciò che rende notevole questa ondata di attività è l'uso di più lingue, suggerendo l'utilizzo di traduzione automatica o strumenti AI per generare modelli convincenti in diverse regioni.

All'interno di questi archivi, applicazioni legittime come lettori PDF sono raggruppate insieme a file dannosi.

Sebbene le campagne attuali si concentrino sul furto di informazioni, i metodi utilizzati potrebbero facilmente distribuire ransomware in iterazioni future.

Una combinazione di strumenti avanzati di sicurezza email e protezione degli endpoint offre una difesa solida, poiché il solo filtraggio non può prevenire completamente queste campagne di spoofing del copyright.

Potrebbe interessarti anche

• • Abbiamo anche elencato i migliori proxy per le aziende