Lo scorso aprile, Anthropic ha lanciato Claude Mythos, sistema descritto come capace di identificare e sfruttare vulnerabilità zero-day, e di trasformare quelle già note in exploit funzionanti, il tutto in tempi incredibilmente rapidi. L’implicazione è chiara: il passaggio da “esiste un punto debole” a “si verificano accessi non autorizzati” si sta accorciando drasticamente.

Questo non significa che stia per crollare il mondo, ma bisogna mantenere massima onestà e lucidità riguardo a ciò che cambia quando il rischio cyber si sposta a velocità macchina.

Con Mythos cambia il ritmo

Storicamente, la parte più complessa non era rilevare le vulnerabilità, ma trasformarle in exploit, con la velocità e la scala necessarie. Questo richiedeva tempo, competenze specifiche e investimenti economici di un certo tipo. Se questa barriera viene meno, il tempo medio necessario per sferrare un attacco si comprime e la capacità di azione dei cyber criminali aumenta: più tentativi, su più obiettivi, e molto più rapidamente.

Chi gestisce un ciclo di patching aziendale, è già consapevole del divario: è possibile migliorarlo e automatizzarne alcune parti, ma si opera comunque con limiti umani, finestre di manutenzione e compromessi dettati dalle esigenze di business.

La prevenzione è ancora fondamentale, ma quando il tempo di azione dell’attaccante si riduce in modo significativo, la prevenzione da sola diventa una difesa troppo fragile.

Cosa non cambia con Mythos: il backup non è prevenzione

Affrontiamo subito una comune obiezione “questo è un problema di prevenzione!” Esatto. Nel momento in cui si verifica lo sfruttamento di una vulnerabilità, entra in gioco la prevenzione. La protezione dei dati non ferma un exploit al momento dell’attacco, il backup non bloccherà uno zero-day e il ripristino non è affatto un firewall.

Quindi, se qualcuno cerca di proporre il backup come uno scudo magico, è bene essere scettici. Una volta che gli attaccanti sono riusciti ad accedere, è la recovery a diventare il controllo di sicurezza più cruciale, nonché quello decisivo.

Il vero rischio non è la violazione, ma l’impatto sul business

Per la maggior parte delle aziende il problema principale non è rappresentato dall’idea astratta di “violazione”, ma dalle interruzioni di servizio, la cifratura dei dati – e la loro cancellazione o corruzione – l’impatto sui clienti, le domande scomode delle autorità di regolamentazione e i team che impiegano settimane a cercare di capire quale sia lo “stato ottimale”. La resilienza non è perfezione, è capacità di ripristino. Una violazione è un evento, la capacità di recovery una competenza fondamentale.

La minaccia sottovalutata: il “vandalismo dell’AI” dall’interno

C’è un secondo aspetto che merita attenzione e non riguarda solo gli attaccanti esterni. Man mano che gli agenti AI diventano più comuni nell’IT, si introducono attori autonomi con privilegi reali: strumenti che possono ottimizzare i sistemi, migrare dati, ripulire repository o “correggere” configurazioni. Si tratta di una funzionalità utile, finché non smette di esserlo.

Se un agente autonomo interpreta male l’intento – o opera con un contesto errato – può corrompere o cancellare grandi volumi di dati rapidamente. E poiché opera all’interno dell’ambiente, molti dei classici controlli perimetrali non sono d’aiuto.

Possiamo definirlo “vandalismo dell’AI”, per sottolineare che il rischio per l’integrità dei dati non è più solo un modello di minaccia esterna. C’è quindi bisogno di una rete di sicurezza che consideri contemporaneamente due realtà parallele: da un lato la compromissione esterna è possibile (e più rapida), dall’altro anche l’automazione interna può creare danni con gravi conseguenze.

Qual è lo stato ottimale, a fronte di attacchi più rapidi

Se si accetta il fatto che una violazione possa verificarsi, la domanda diventa concreta: quando qualcosa va storto, si è in grado di ripristinare il sistema in modo rapido, completo e documentabile?

Una protezione dei dati SaaS resiliente si basa su quattro principi:

1. Indipendenza: ridurre il rischio legato alle dipendenze

Un’architettura che si affida a numerosi fornitori e sub-processori crea un maggior numero di punti di esposizione, soprattutto quando esistono zero-day e i tempi di passaggio dalla scoperta all’exploit si accorciano drasticamente. L’indipendenza non ferma uno zero-day, ma riduce la complessità, limita il raggio d’azione del danno e semplifica ripristino e controllo.

1. Immutabilità: la rete di sicurezza deve essere fuori portata

Se gli attaccanti ottengono accesso privilegiato, o un agente interno si comporta in modo anomalo, l’ultima linea di difesa è una copia che non può essere manomessa. L’immutabilità è un requisito di progettazione: i dati di backup non possono essere sovrascritti, cancellati o alterati in modo silenzioso. Il giorno in cui si avrà bisogno della recovery è lo stesso giorno in cui si presume che qualcuno cercherà di renderlo impossibile.

1. Rilevamento delle anomalie: sapere rapidamente quando qualcosa non va

Quando gli oggetti si muovono più velocemente, il rilevamento diventa ancora più importante. Si desiderano segnalazioni anticipate: cancellazioni malevole, pattern di cambiamento insoliti, corruzione su larga scala, prima che il danno si diffonda o che diventi difficile definire uno stato “ottimale”.

1. Accesso istantaneo e ripristino granulare: velocità e precisione

Recovery non significa dover ripristinare tutto. Nei servizi SaaS, questo servizio è spesso lento e crea interruzioni. È necessaria la capacità di trovare rapidamente l’ultimo stato noto e funzionante, di ripristinare solo ciò che è stato compromesso (un utente, una casella di posta, un set di file, record specifici) e di farlo senza un rollback completo dell’ambiente.

Quando gli attacchi si muovono più rapidamente, la velocità e la precisione nel ripristino diventano più preziose che mai.

Se la prevenzione è necessaria, la recovery è irrinunciabile

È essenziale continuare a investire nella prevenzione, ma il rischio cyber moderno sta provando qualcosa di chiaro: gli attaccanti sono più veloci, gli ambienti più complessi e l’autonomia all’interno dell’IT in aumento. In un mondo simile, il backup smette di essere una funzione nice-to-have e diventa una parte fondamentale della strategia di sicurezza, perché è ciò che permette di ripristinare integrità, disponibilità e fiducia dopo qualsiasi incidente.

La speranza non è certo una strategia di sicurezza, è necessario affidarsi alla recovery.

Articolo a cura di Kim Larsen, Group CISO, Keepit

L'articolo Con l’AI, il cyber rischio corre a velocità macchina. I piani di ripristino riescono a tenere il passo? proviene da Data Manager Online.

L’aumento delle vulnerabilità informatiche non è più l’unico problema per i team di cybersecurity. La vera sfida consiste nel distinguere rapidamente le esposizioni realmente sfruttabili da quelle che, pur generando alert, non rappresentano un rischio immediato per il business.

È questa la principale conclusione di “Under Pressure: The 2026 Exposure Gap Report”, il nuovo studio pubblicato da Check Point Software Technologies, che analizza l’evoluzione della gestione delle vulnerabilità in uno scenario caratterizzato dall’uso sempre più massiccio dell’intelligenza artificiale anche da parte degli attaccanti.

Secondo il report, l’automazione sta modificando profondamente il ciclo degli attacchi: gli aggressori sono oggi in grado di individuare e testare vulnerabilità su larga scala con velocità che rendono sempre più difficile il tradizionale processo manuale di valutazione e prioritizzazione.

Il report è disponibile al seguente link:

https://www.checkpoint.com/exposure-gap-report/

Le vulnerabilità critiche sono più che raddoppiate

Uno dei dati più significativi riguarda la crescita delle vulnerabilità considerate critiche.

Nel 2026 rappresentano il 42,6% di tutte le esposizioni critiche, contro il 18,7% registrato l’anno precedente, diventando la categoria di rischio più diffusa.

Parallelamente aumenta anche il cosiddetto Exposure Gap, ovvero la distanza tra la capacità di individuare un’esposizione, comprenderne la reale pericolosità e intervenire prima che venga sfruttata dagli attaccanti.

Secondo lo studio, gli strumenti basati sull’AI consentono infatti ai cybercriminali di testare rapidamente credenziali, sistemi esposti, infrastrutture di phishing e vulnerabilità note su un numero sempre maggiore di organizzazioni.

Il 90% degli alert non richiede un intervento urgente

Il dato forse più interessante dello studio riguarda la qualità degli alert.

Dopo la verifica della reale sfruttabilità delle vulnerabilità, soltanto il 7,8% degli avvisi è stato classificato come Critico o Elevato.

In altre parole, oltre il 90% degli alert non richiedeva un intervento immediato.

Questo evidenzia uno dei principali problemi che oggi devono affrontare i Security Operation Center (SOC): non tanto la mancanza di informazioni, quanto il sovraccarico di notifiche che rischia di rallentare la risposta agli incidenti realmente pericolosi.

La capacità di assegnare correttamente le priorità diventa quindi un elemento fondamentale della strategia di cyber resilience.

Phishing e divulgazione di dati restano tra le principali minacce

L’analisi evidenzia anche una forte concentrazione del rischio.

Il 76% delle esposizioni critiche deriva infatti da sole due categorie:

• vulnerabilità software;
• divulgazione di informazioni interne.

Continua inoltre la crescita delle campagne di phishing.

I siti di phishing rappresentano oggi il 10,5% delle esposizioni critiche, contro appena l’1% rilevato dodici mesi prima, confermandosi tra le tipologie di attacco in più rapida espansione.

Settori diversi, priorità diverse

Lo studio evidenzia come il profilo di rischio vari sensibilmente in base al settore.

Nei comparti delle utility e della pubblica amministrazione, le vulnerabilità rappresentano rispettivamente il 78,2% e il 56,4% delle esposizioni critiche.

Nel settore sanitario, invece, prevale la divulgazione di informazioni interne, che costituisce il 63,6% delle esposizioni rilevate.

Proprio la sanità si conferma il settore più complesso da proteggere: il tempo medio necessario per risolvere le esposizioni critiche raggiunge infatti 158,8 ore, a causa della presenza di sistemi legacy, dei vincoli operativi e della necessità di garantire la continuità dei servizi clinici.

La velocità di risposta diventa un fattore competitivo

Nonostante l’aumento delle esposizioni, il report evidenzia anche segnali positivi.

Le organizzazioni analizzate hanno implementato quasi l’86% delle correzioni raccomandate, dimostrando che processi strutturati di prioritizzazione consentono di intervenire efficacemente anche su larga scala.

In alcuni casi, le vulnerabilità critiche vengono risolte addirittura entro un’ora dalla loro identificazione.

Il settore delle utility si distingue come il più rapido, mentre il comparto più efficiente registra un tempo medio di remediation di appena 12,6 ore.

Dalla gestione delle vulnerabilità all’Exposure Management

Lo scenario descritto da “Under Pressure: The 2026 Exposure Gap Report” conferma una tendenza ormai evidente: la cybersecurity sta evolvendo dalla semplice individuazione delle vulnerabilità verso un modello di Exposure Management, nel quale il valore non risiede nella quantità di alert generati, ma nella capacità di comprendere quali rappresentino un rischio concreto per il business.

Con l’aumento degli attacchi automatizzati e assistiti dall’intelligenza artificiale, le organizzazioni devono quindi investire in piattaforme in grado di correlare dati, verificare l’effettiva sfruttabilità delle esposizioni e guidare le attività di remediation secondo criteri di rischio, riducendo il tempo che intercorre tra l’individuazione di una vulnerabilità e la sua risoluzione.

L'articolo Vulnerabilità critiche in aumento, ma il vero problema è capire quali sono davvero pericolose proviene da Data Manager Online.

L’ondata di caldo che sta interessando gran parte dell’Europa non sta facendo aumentare soltanto le vendite di condizionatori e ventilatori. A crescere sono anche le campagne di phishing e le truffe online che sfruttano l’urgenza di acquistare sistemi di raffreddamento, inducendo i consumatori a effettuare acquisti su siti fraudolenti.

L’allarme arriva da Kaspersky, che ha individuato diverse campagne in cui i cybercriminali imitano brand e rivenditori conosciuti per convincere gli utenti a inserire dati personali e informazioni di pagamento.

Falsi negozi online sempre più credibili

Secondo gli esperti, una delle tecniche più diffuse consiste nella creazione di e-commerce che riproducono fedelmente il design dei siti ufficiali.

Le pagine utilizzano fotografie autentiche dei prodotti, descrizioni realistiche e persino recensioni apparentemente credibili per aumentare la fiducia degli utenti. L’elemento che accomuna queste campagne è la presenza di offerte eccezionali e sconti molto elevati, spesso accompagnati da messaggi che invitano ad acquistare rapidamente.

Una volta completato il pagamento, però, il prodotto non viene mai spedito e i dati della carta di credito finiscono nelle mani dei truffatori.

Nel mirino anche i grandi retailer

Le campagne non si limitano ai produttori di climatizzatori.

Kaspersky ha osservato anche siti che imitano l’identità grafica di importanti catene della grande distribuzione, riproducendo cataloghi e pagine prodotto con un elevato livello di dettaglio.

Per aumentare il senso di urgenza vengono utilizzati diversi meccanismi di persuasione: countdown che indicano la scadenza imminente dello sconto, disponibilità limitata, notifiche sul numero di utenti che stanno visualizzando lo stesso articolo o messaggi che suggeriscono un’elevata richiesta del prodotto.

Si tratta di tecniche di social engineering ormai consolidate, progettate per ridurre il tempo dedicato alle verifiche e spingere gli utenti ad acquistare d’impulso.

La pressione psicologica resta l’arma principale

Più che sofisticati malware, queste campagne sfruttano la componente psicologica.

Nei periodi caratterizzati da un forte incremento della domanda – come durante le ondate di caldo o in occasione di eventi commerciali – la percezione di scarsità e la paura di perdere un’offerta rappresentano uno dei principali strumenti utilizzati dai cybercriminali.

L’obiettivo è creare un falso senso di urgenza che porti l’utente a trascurare controlli fondamentali, come la verifica dell’indirizzo web, dell’identità del venditore o dell’affidabilità del sito.

Come riconoscere un falso e-commerce

Per ridurre il rischio di cadere vittima di queste truffe, gli esperti raccomandano di verificare sempre l’autenticità del sito prima di inserire dati personali o informazioni di pagamento.

Tra gli elementi da controllare figurano:

• URL con domini insoliti o leggermente diversi da quelli ufficiali;
• errori grammaticali o grafici nelle pagine del sito;
• sconti eccessivamente elevati rispetto ai prezzi di mercato;
• offerte valide solo per pochi minuti o accompagnate da continui countdown;
• richieste di pagamento attraverso modalità insolite.

È inoltre consigliabile raggiungere il sito del produttore o del rivenditore digitando direttamente l’indirizzo nel browser, evitando di seguire collegamenti ricevuti tramite e-mail, SMS o messaggi sui social network.

L’importanza della protezione anti-phishing

Il fenomeno conferma come il phishing continui a evolversi adattandosi rapidamente ai principali eventi stagionali e alle abitudini di acquisto dei consumatori.

Le campagne sfruttano sempre più spesso template grafici professionali e domini molto simili a quelli originali, rendendo più difficile distinguere un sito legittimo da uno fraudolento.

Per questo motivo, oltre alla prudenza degli utenti, rimane fondamentale utilizzare browser aggiornati e soluzioni di sicurezza in grado di rilevare automaticamente siti di phishing e tentativi di furto delle credenziali, contribuendo a bloccare la truffa prima che vengano compromessi dati personali o informazioni finanziarie.

L'articolo Ondata di caldo, aumentano anche le truffe online: nel mirino gli acquisti di condizionatori proviene da Data Manager Online.

Le università continuano a rappresentare uno dei principali obiettivi del cyber-spionaggio internazionale. Le collaborazioni con enti governativi, i progetti di ricerca avanzata e l’elevato patrimonio di proprietà intellettuale rendono infatti il mondo accademico un bersaglio privilegiato per gli attori sponsorizzati dagli Stati.

È quanto emerge dalle ultime analisi di Proofpoint, che hanno individuato una nuova campagna di cyber-spionaggio attribuita a un cluster denominato UNK_MassTraction, ritenuto con elevata probabilità riconducibile agli interessi della Cina.

L’operazione prende di mira i server e-mail di università statunitensi e canadesi sfruttando una vulnerabilità nota di Roundcube, uno dei webmail client open source più diffusi.

Nel mirino fisica, ingegneria e ricerca strategica

La campagna, osservata a partire da maggio 2026, ha colpito in modo altamente selettivo dipartimenti universitari di fisica e ingegneria, con particolare attenzione ai docenti e agli amministratori coinvolti in programmi di ricerca collegati alla sicurezza nazionale, alla fisica delle particelle e all’astrofisica.

Secondo i ricercatori, la scelta dei bersagli dimostra una lunga fase preliminare di ricognizione durante la quale gli attaccanti hanno identificato le organizzazioni che utilizzavano ancora versioni vulnerabili di Roundcube.

L’obiettivo iniziale non sembrerebbe essere il singolo ricercatore, ma l’accesso ai server di posta elettronica per utilizzare successivamente tali sistemi come punto di ingresso verso l’intera infrastruttura universitaria.

Sfruttata una vulnerabilità di Roundcube

La catena di attacco sfrutta la vulnerabilità CVE-2024-42009, una falla di tipo Cross-Site Scripting (XSS) presente in Roundcube.

L’attacco richiede soltanto che la vittima apra un messaggio di posta appositamente predisposto. Da quel momento gli aggressori riescono a eseguire codice JavaScript direttamente all’interno del browser dell’utente.

Il codice malevolo consente dapprima di sottrarre le credenziali memorizzate nel browser e successivamente di ottenere un accesso persistente al server di posta elettronica.

Nella fase finale vengono installate una webshell oppure la backdoor VShell, strumenti che consentono agli attaccanti di mantenere il controllo del sistema e utilizzarlo come trampolino per ulteriori movimenti laterali all’interno della rete.

I server e-mail diventano il punto di ingresso

Uno degli aspetti più significativi evidenziati dall’analisi riguarda il ruolo attribuito ai server di posta.

Diversamente da molte campagne finalizzate esclusivamente al furto di e-mail, gli attori riconducibili al cyberspionaggio cinese tendono a utilizzare i mail server come veri e propri dispositivi edge, ossia punti di accesso privilegiati dai quali espandere progressivamente la compromissione verso altri sistemi interni.

Una volta ottenuto il controllo del server, gli aggressori possono infatti raccogliere credenziali, muoversi lateralmente nella rete e raggiungere infrastrutture molto più sensibili rispetto alla semplice casella di posta.

Gli indizi portano alla Cina

Proofpoint attribuisce la campagna con un elevato livello di confidenza a un attore sponsorizzato dallo Stato cinese.

L’analisi ha individuato diversi elementi tecnici compatibili con precedenti operazioni di cyber-spionaggio attribuite a Pechino, tra cui l’utilizzo di una rete di server privati virtuali già osservata in altre campagne, la presenza di artefatti in lingua cinese all’interno delle e-mail di phishing e l’impiego della backdoor VShell, già utilizzata in operazioni analoghe.

Anche il numero limitato di messaggi inviati conferma un approccio altamente selettivo, tipico delle attività di spionaggio piuttosto che delle campagne di cybercrime su larga scala.

Un richiamo alla sicurezza dei server di posta

Secondo gli esperti, questa campagna rappresenta un ulteriore segnale di come i server e-mail debbano essere considerati infrastrutture critiche al pari dei gateway VPN, dei sistemi di accesso remoto e degli Identity Provider.

L’utilizzo di vulnerabilità note ma non corrette dimostra inoltre quanto il patch management continui a rappresentare uno degli elementi fondamentali della difesa.

L’episodio evidenzia anche la necessità di rafforzare il monitoraggio continuo dei server di posta elettronica, adottare sistemi di rilevamento delle attività anomale e ridurre i tempi di applicazione degli aggiornamenti di sicurezza, soprattutto nelle organizzazioni impegnate in attività di ricerca strategica o nella gestione di informazioni sensibili.

L'articolo Cyber-spionaggio: un nuovo gruppo legato alla Cina colpisce le università nordamericane attraverso i server e-mail proviene da Data Manager Online.

Prevenire le interruzioni è, quindi, fondamentale, ma giustificare i costi della cybersecurity rispetto ad altre priorità aziendali non è sempre semplice. Altri ambiti aziendali, soprattutto quelli che generano ricavi, possono mostrare risultati tangibili: più vendite o time-to-market più rapidi. La sicurezza informatica raramente ha questo privilegio. Spesso deve giustificarsi sulla base di eventi che non dovrebbero mai verificarsi. E nelle dinamiche di budget, questa differenza pesa davvero.

Per capire quanto il tema sia reale, basta guardare i dati: uno studio di IANS e Artico ha rilevato che nel 2025 la crescita media dei budget per la sicurezza è calata al 4%, il livello più basso degli ultimi cinque anni, in netto calo rispetto all’8% del 2024. Il numero di CISO con budget invariati o ridotti ha superato, inoltre, quello di chi ha registrato incrementi, evidenziando una crescente difficoltà nell’ottenere risorse adeguate.

Un problema di prospettiva

Quando ci si chiede: “Come si può dimostrare il valore della sicurezza quando non è successo nulla?”, si finisce per giustificare le spese facendo riferimento a disastri che non si sono verificati. Questo approccio mette la sicurezza in una posizione difensiva e ignora gran parte del suo contributo quotidiano, oscurandone il reale valore. Si rischia anche un bias di sopravvivenza: un’azienda che ha investito poco in sicurezza e non ha subito incidenti potrebbe ritenere adeguata la propria strategia. Ma il fatto che negli ultimi anni non sia successo nulla non è una garanzia per il futuro. La sicurezza è spesso legata a rischi a “coda lunga”: situazioni che sembrano sotto controllo fino a quando, improvvisamente, non lo sono più, con conseguenze potenzialmente devastanti. Con minacce in continua evoluzione e normative sempre più stringenti, il rischio non diminuisce nel tempo, anzi tende ad aumentare.

Forse, quindi, è necessario cambiare domanda: non quanto si è evitato di perdere, ma cosa la sicurezza consente di fare. Misurare ciò che non è accaduto limita il discorso ai risparmi, trascurando le opportunità e la crescita che operazioni sicure rendono possibili. La capacità di operare in sicurezza in un contesto rischioso, dove i concorrenti non riescono, rappresenta un vantaggio competitivo raramente quantificato.

Una domanda più utile potrebbe essere: “cosa ci permette di fare la sicurezza che altrimenti non potremmo fare?”. Non in senso astratto, ma operativo. In questo modo, si passa dalla dimostrazione di un rischio evitato alla prova concreta di un valore generato. La sicurezza, infatti, incide direttamente sulla quotidianità e sulle prospettive future di un’organizzazione.

Dalla teoria alla realtà

La realtà operativa, soprattutto per le piccole e medie imprese, è spesso complessa. Le risorse sono limitate e le competenze difficili da reperire, rendendo complicato garantire un monitoraggio continuo 24/7. In molti casi, i log vengono raccolti e gli alert generati, ma la mancanza di tempo e personale porta a ritardi nelle analisi o, peggio, a una totale assenza di risposta. Questi limiti hanno conseguenze concrete. Più a lungo un attaccante resta indisturbato nella rete, peggiore può diventare la sua compromissione: esfiltrare dati sensibili, individuare backup o pianificare azioni mirate a causare il massimo danno.

Secondo il report Cost of a Data Breach 2025 di IBM, il costo medio di una violazione ha raggiunto i 4,44 milioni di dollari. Ma al di là dei numeri, è importante comprendere il valore delle misure di sicurezza che riducono questi impatti. Esistono framework dedicati al ROI della sicurezza e alla quantificazione del rischio cyber, ma analizzarli richiede una trattazione a parte. In questo caso l’attenzione si concentra su qualcosa di più difficile da misurare.

In questo contesto, servizi come il Managed Detection and Response (MDR) assumono un ruolo centrale. Si tratta di servizi attivi, che combinano rilevamento, risposta, intelligence sulle minacce e attività di remediation un’unica soluzione che consentono anche alle organizzazioni più piccole di beneficiare di un livello di protezione un tempo riservato alle grandi imprese. Significa, in pratica, avere sempre qualcuno che monitora e valuta se un’anomalia è innocua o rappresenta una minaccia reale. Questo cambiamento può sembrare minimo, ma ha effetti significativi. Anche incidenti apparentemente minori, come un tentativo di furto di credenziali, possono essere bloccati prima di evolvere in attacchi più gravi, come il ransomware. Inoltre, questo tipo di protezione è sempre più richiesto anche dalle compagnie assicurative cyber.

Il vero valore della sicurezza

Limitarsi a considerare la sicurezza come un costo da evitare significa non coglierne il valore reale. I benefici non sono sempre immediatamente visibili, ma sono profondi e cumulativi. La sicurezza contribuisce direttamente a obiettivi strategici fondamentali: continuità operativa, fiducia dei clienti e conformità normativa. In questa prospettiva, la sicurezza non è solo un prodotto o un servizio, ma un risultato essenziale.

Per le organizzazioni che guardano al lungo periodo, gli investimenti in cybersecurity si ripagano molte volte nel tempo. Consentono di crescere, scalare le operazioni, entrare in nuovi mercati e migliorare le performance complessive. In altre parole, la sicurezza crea spazio di manovra. E per le aziende più lungimiranti, questo è un valore strategico imprescindibile.

La prossima volta che tutto funziona senza intoppi e le attività procedono normalmente, vale la pena chiedersi il perché. Potrebbe essere proprio la sicurezza a fare il suo lavoro, in silenzio, ma in modo decisivo.

Articolo a cura di Samuele Zaniboni, Manager of Sales Engineering di ESET Italia

L'articolo Cybersecurity: come rendere visibile il suo valore al business proviene da Data Manager Online.

I dati sanitari sono diventati una delle risorse più ricercate dal cybercrime. A differenza delle carte di credito, che possono essere bloccate e sostituite, le informazioni cliniche, le diagnosi, la storia dei trattamenti e i dati biometrici accompagnano una persona per tutta la vita, aumentando il loro valore economico nei mercati illegali.

È quanto emerge da “The Cybercriminal Underground: Mapping the Healthcare Data Economy”, l’ultima ricerca pubblicata da TrendAI, la business unit di AI Security di Trend Micro dedicata all’analisi delle minacce informatiche.

Un mercato criminale sempre più organizzato

Per analizzare il fenomeno, i ricercatori hanno monitorato nel corso dell’ultimo anno 7.779 discussioni su forum underground, 21.813 inserzioni presenti nei marketplace clandestini e 95 siti ransomware dedicati alla pubblicazione dei dati sottratti alle organizzazioni sanitarie.

L’analisi descrive un ecosistema criminale ormai pienamente industrializzato, nel quale diversi attori collaborano lungo un’unica filiera: broker che vendono accessi iniziali alle reti aziendali, gruppi ransomware, rivenditori di credenziali compromesse e specialisti delle frodi operano in modo coordinato per massimizzare il valore economico delle informazioni rubate.

Secondo la ricerca, il 36,3% delle attività osservate nei mercati underground riguarda la vendita di dati collegati ad attacchi ransomware, confermando come la doppia estorsione – cifratura dei sistemi e furto delle informazioni – sia ormai diventata uno degli approcci predominanti.

Perché i dati sanitari valgono più di altri

Il valore dei dati sanitari risiede soprattutto nella loro persistenza.

Mentre una carta di pagamento compromessa può essere rapidamente sostituita, una cartella clinica contiene informazioni che non possono essere modificate: anamnesi, referti, prescrizioni, dati assicurativi e informazioni biometriche mantengono il proprio valore anche a distanza di anni.

Questi dati possono essere utilizzati per molteplici attività illecite, dal furto d’identità alle frodi assicurative, fino a campagne di phishing altamente mirate e tentativi di estorsione nei confronti delle vittime.

Per questo motivo il settore sanitario continua a rappresentare uno dei bersagli privilegiati dei gruppi cybercriminali.

Cresce il rischio lungo la supply chain

Uno degli elementi più rilevanti emersi dalla ricerca riguarda il ruolo della supply chain digitale.

Secondo TrendAI, i fornitori di software per la gestione delle cartelle cliniche elettroniche (Electronic Health Record, EHR) stanno diventando obiettivi sempre più appetibili. Compromettere un singolo produttore di piattaforme sanitarie consente infatti agli attaccanti di estendere rapidamente le proprie operazioni a centinaia di strutture ospedaliere e cliniche che utilizzano gli stessi sistemi.

Lo studio evidenzia inoltre come le compromissioni della supply chain rappresentino oggi uno dei principali moltiplicatori del rischio informatico nel settore healthcare, amplificando gli effetti di una singola violazione ben oltre l’organizzazione inizialmente colpita.

Dai ransomware ai marketplace clandestini

La ricerca mostra come l’economia sommersa costruita attorno ai dati sanitari non si limiti alla vendita di informazioni rubate.

Nei marketplace illegali vengono infatti commercializzati accessi a reti ospedaliere, credenziali di amministratori di sistema, database assicurativi, intere cartelle cliniche e persino documentazione sanitaria contraffatta.

Questo modello conferma una crescente specializzazione del cybercrime: ogni attore contribuisce a una specifica fase della catena del valore, trasformando i dati dei pazienti in una risorsa che può essere monetizzata ripetutamente attraverso servizi e attività criminali differenti.

La sicurezza deve estendersi all’intero ecosistema

Per le organizzazioni sanitarie il quadro delineato dalla ricerca suggerisce la necessità di superare un approccio focalizzato esclusivamente sulla protezione del perimetro aziendale.

La crescente interconnessione tra ospedali, software house, fornitori di servizi cloud e piattaforme per la gestione delle cartelle cliniche rende infatti indispensabile rafforzare anche il controllo della supply chain, adottando modelli di valutazione continua del rischio, monitoraggio degli accessi privilegiati e verifica della sicurezza dei partner tecnologici.

In un contesto in cui i dati sanitari rappresentano una delle commodity più preziose per il cybercrime, la protezione dell’intero ecosistema digitale diventa un elemento strategico tanto quanto la difesa delle infrastrutture interne.

L'articolo Sanità nel mirino del cybercrime: i dati dei pazienti sono tra gli asset più preziosi del mercato nero proviene da Data Manager Online.

Le frodi ai danni dei programmi pubblici sono entrate in una fase completamente nuova. Reti criminali sempre più sofisticate, che fanno leva sull’intelligenza artificiale, stanno erodendo i bilanci e minando la fiducia dei cittadini nelle istituzioni. È una realtà con cui i governi devono ormai confrontarsi apertamente. Ciò che un tempo era un fenomeno prevalentemente opportunistico e frammentato si è trasformato in un’attività organizzata, industrializzata e sempre più transfrontaliera. I truffatori non si limitano più a colpire isolatamente un singolo sistema di sussidi, un’imposta o una procedura di appalto. Al contrario, le reti criminali coordinano attacchi su più programmi, più enti e più giurisdizioni contemporaneamente, sfruttando deliberatamente i silos di dati, le lacune normative e la lentezza dei controlli tradizionali. Secondo SAS, per le amministrazioni fiscali, gli enti previdenziali e i dipartimenti di finanza pubblica, la vera sfida nel 2026 non è più semplicemente individuare la frode ma riconoscere quanto il fenomeno sia cambiato nella sua natura profonda, e adattare di conseguenza modelli operativi, strumenti e forme di collaborazione tra istituzioni.

Da abuso opportunistico a crimine organizzato

I controlli antifrode tradizionali della pubblica amministrazione sono stati concepiti per un’epoca diversa. Partivano dal presupposto che i malintenzionati fossero individui isolati e relativamente poco sofisticati. Questa ipotesi, oggi, non regge più. Le frodi attuali sono spesso coordinate, ripetibili e scalabili. Gruppi organizzati pianificano le proprie operazioni, mettono in comune risorse e si dividono i compiti, replicando frequentemente le tattiche di successo su più programmi e oltre i confini nazionali. Le stesse persone possono comparire contemporaneamente in richieste di sussidi sociali, dichiarazioni fiscali o come fornitori di servizi, ma dietro identità diverse. È l’opportunità strutturale a permettere il persistere di questo coordinamento criminale. Quando una frode attraversa più programmi, enti e giurisdizioni, la sua individuazione dipende dalla capacità dell’amministrazione di collegare tra loro le informazioni. Troppo spesso, però, questi collegamenti restano sepolti all’interno di singoli fascicoli e attività isolate. La frode prospera proprio perché è un’attività lucrativa progettata per restare invisibile. Questo scenario pone le basi per comprendere le grandi tendenze che stanno ridisegnando la frode nel settore pubblico.

I fattori determinanti, dalla frammentazione agli abusi normativi

Nella pubblica amministrazione ogni area di competenza tende a vivere per conto proprio. Il fisco ha i suoi archivi, il welfare i suoi, gli uffici lavoro e quelli degli appalti altri ancora: ciascun comparto costruisce nel tempo un patrimonio informativo notevole, ma quasi mai qualcuno ha accesso a una visione d’insieme che unisca questi mondi. Chi organizza attività fraudolente conosce bene questa debolezza strutturale e la sfrutta apertamente, spostandosi da un programma all’altro proprio perché sa che nessun ufficio, da solo, può accorgersene. Il risultato è che molte frodi vengono alla luce solo a cose fatte: un dipendente che segnala un’anomalia, un controllo interno che fa emergere qualcosa, una verifica contabile condotta dopo l’erogazione dei pagamenti. A quel punto, però, recuperare le somme già versate è spesso impossibile.

Dichiarazioni dei redditi, assegni sociali, bandi di sostegno, contributi straordinari: il numero di pratiche che un ente pubblico deve gestire ogni giorno ha raggiunto livelli mai visti prima. Verificare tutto a mano, applicando le solite regole fisse, è ormai un esercizio fuori scala. Chi si affida ancora a questo modello finisce davanti a una scelta scomoda: alzare l’asticella dei controlli, rassegnandosi a servizi più lenti e a fascicoli investigativi che si accumulano; oppure tenere il passo con la domanda, accettando però che il personale si esaurisca e che le porte restino più aperte agli abusi. Le organizzazioni criminali conoscono bene questo dilemma e ne approfittano, muovendosi con una rapidità che nessuna regola statica riesce a eguagliare. Quando finalmente un funzionario individua uno schema fraudolento, è probabile che quello stesso schema sia già in corso altrove, sotto un’altra giurisdizione o dentro un programma diverso.

Una linea sempre più sottile tra dolo, errore ed errata interpretazione

C’è poi un problema di definizione, prima ancora che di controllo. Sempre più spesso chi froda non ruba apertamente, ma si muove in una zona grigia: interpreta a proprio vantaggio un requisito ambiguo, presenta documenti parzialmente alterati, forza le condizioni di accesso a una prestazione. Distinguere tra un abuso deliberato e un errore commesso in buona fede diventa quindi un compito arduo, che grava soprattutto su chi opera in prima linea, dagli sportelli agli uffici investigativi fino ai revisori. Le domande che ne derivano non sono affatto semplici: quali fascicoli meritano un approfondimento, un’azione legale o una segnalazione formale? Con quali criteri si stabilisce dove concentrare risorse investigative limitate? E come si fa a restare equi verso i cittadini onesti mentre si protegge il denaro pubblico? Continuare ad aggiungere nuovi controlli senza affinare il modo in cui si valuta il rischio, o senza anticipare i segnali d’allarme, significa restare sempre un passo indietro rispetto a chi froda.

Gli stessi strumenti digitali che aiutano le amministrazioni vengono usati anche contro di esse. I dati trapelati da violazioni informatiche diventano materiale per costruire identità false e ottenere prestazioni non dovute; l’intelligenza artificiale generativa permette di produrre documenti e immagini contraffatte a sostegno di richieste fraudolente. D’altro canto, mai come oggi il settore pubblico ha a disposizione tecnologie capaci di ribaltare il rapporto di forza: analisi avanzate dei dati, apprendimento automatico, mappatura delle relazioni tra soggetti, sorveglianza continua dei processi. Per un ente che vuole passare da iniziative isolate contro le frodi a una gestione del rischio estesa a tutta l’organizzazione, la strada passa da tre mosse concrete: mettere in comunicazione i dati oggi sparsi tra programmi ed enti diversi; spostare il baricentro dalle indagini a posteriori all’individuazione anticipata dei rischi; incorporare i controlli antifrode dentro i processi quotidiani, invece di relegarli alle sole attività di audit. Chi riesce in questa transizione ottiene una fotografia condivisa del rischio a livello di intera organizzazione, e la possibilità di intervenire proprio nel momento in cui l’intervento pesa di più.

Per un approfondimento scarica l’ebook dedicato  Gone missing: Can AI save public funds from fraud, waste and abuse?

L'articolo Le frodi su larga scala: le tendenze che il settore pubblico non può più ignorare proviene da Data Manager Online.

Il dato più significativo riguarda però la permanenza degli attaccanti nelle infrastrutture aziendali: il caso più estremo individuato dai ricercatori è rimasto nascosto addirittura per quattro anni.

Gli strumenti di sicurezza non bastano

Il report mette in discussione un approccio ancora molto diffuso nelle aziende, basato principalmente sull’automazione.

Secondo Kaspersky, il 60% degli incidenti analizzati non è stato intercettato nonostante fossero già presenti alert ad alta affidabilità generati dagli strumenti di sicurezza installati.

Solo il 20% delle compromissioni è stato individuato attraverso attività di analisi manuale.

Per i ricercatori il problema non riguarda tanto la mancanza di tecnologie quanto la loro gestione: regole non aggiornate, monitoraggio insufficiente e scarsa capacità di analizzare gli alert fanno sì che segnali importanti vengano ignorati.

Il report evidenzia inoltre come anche gli avvisi classificati a bassa priorità possano rappresentare indicatori precoci di compromissione e dovrebbero quindi rientrare nei processi di analisi dei Security Operation Center (SOC).

Anche i backup possono diventare un rischio

Tra le criticità evidenziate emerge anche il ruolo dei backup.

Secondo Kaspersky, il 40% delle web shell individuate durante le attività di compromise assessment era presente anche nelle copie di backup.

Ciò significa che un’organizzazione potrebbe ripristinare involontariamente componenti malevoli dopo aver concluso le attività di risposta a un incidente.

Per questo motivo il report suggerisce di verificare non solo l’integrità dei backup, ma anche il loro contenuto, adottando procedure di scansione prima del ripristino.

La comunicazione resta un punto debole

Oltre agli aspetti tecnologici, il report richiama l’attenzione sulle criticità organizzative.

Nel 32% delle valutazioni effettuate sono emersi problemi di comunicazione interna, conferme incomplete delle attività svolte o perdita di conoscenze dovuta al turnover del personale.

Secondo Kaspersky, questi elementi possono rallentare la risposta agli incidenti tanto quanto una vulnerabilità tecnica.

Per questo motivo vengono raccomandate esercitazioni periodiche che coinvolgano non soltanto i team di sicurezza, ma anche i processi organizzativi, la documentazione operativa e i flussi di comunicazione tra le diverse funzioni aziendali.

Incident response: i playbook devono evolvere

Un’altra indicazione del report riguarda la necessità di aggiornare costantemente i playbook di incident response.

Le procedure non possono essere considerate documenti statici, ma devono evolvere seguendo le nuove tecniche utilizzate dagli attaccanti e le evidenze raccolte durante gli incidenti.

Secondo Kaspersky, mantenere playbook non aggiornati aumenta il rischio di non riconoscere tempestivamente nuove modalità di attacco e di compromettere l’efficacia delle attività di risposta.

Più analisi proattiva e verifica continua

Tra le raccomandazioni rivolte alle organizzazioni figurano il controllo periodico dello stato dei sistemi di rilevamento, la validazione degli alert a bassa affidabilità, il monitoraggio continuo supportato da attività di threat hunting, una gestione più rigorosa delle vulnerabilità e delle patch, oltre a programmi di formazione dedicati anche ai rischi legati ai dispositivi personali e alle politiche BYOD.

Per Kaspersky, integrare periodicamente attività di compromise assessment condotte da soggetti indipendenti può aumentare la probabilità di individuare compromissioni già presenti nell’infrastruttura e ridurre il rischio di incidenti gravi non rilevati.

Il report completo è disponibile sul Securelist.com.

L'articolo Cybersecurity, il vero problema non sono gli alert ma chi li ignora proviene da Data Manager Online.

L’open source costituisce la base di tutta la tecnologia moderna, andando ben oltre l’IT aziendale e Linux. Server applicativi, database, routing di rete, ambienti di sviluppo e tutti gli altri componenti invisibili che compongono il nostro tessuto tecnologico si basano in qualche misura su progetti open source.

Non esiste in sostanza un’alternativa all’open source. Il software proprietario, controllato da un’unica azienda, è ciò che vi si avvicina di più, ma non ne possiede la scalabilità, la varietà e la diffusione capillare. Con il software proprietario il codice sorgente è una scatola nera: solo il fornitore decide cosa correggere e quando. Se viene scoperta una vulnerabilità, è possibile che rimanga segreta, nota soltanto agli attaccanti che l’hanno individuata. Questo modello operativo può dare un’illusione di sicurezza, ma non fa altro che spostare il rischio dove non possiamo vederlo, rendendolo di fatto un’incognita. Nel software proprietario, le vulnerabilità proliferano nell’ombra.

L’open source ribalta questo paradigma rendendo il codice accessibile a tutti, incarnando il principio secondo cui “con sufficienti occhi, tutti i bug diventano evidenti”. Se tutti possono leggere il codice, chiunque può individuare e segnalare problemi. Oggi, questo paradigma si estende anche all’AI che amplifica enormemente la capacità di ispezione del codice. Inoltre, vista la dipendenza dall’open source di così tante organizzazioni, esiste una forte motivazione collettiva nel risolvere le vulnerabilità.

Nessun metodo di sviluppo garantisce software perfettamente sicuro, ma la natura trasparente e collaborativa dell’open source offre vantaggi distintivi rispetto ai modelli proprietari nel contrastare le minacce moderne. Le imprese sono sempre state vigili sulle vulnerabilità man mano che emergono, e continueranno a esserlo. Ciò che è cambiato è la velocità. Dal 2016 il numero di CVE pubblicati è cresciuto di oltre il 520%. Gli strumenti di scansione basati sull’AI oggi scoprono vulnerabilità zero-day critiche in ore anziché mesi, ma meno dell’uno percento delle vulnerabilità scoperte dall’AI è stato corretto. La vera sfida ora è la capacità operativa dell’impresa di assorbire e distribuire le correzioni con sufficiente rapidità.

Il problema è reso più complesso dalla mancanza di coordinamento. Ogni grande organizzazione dipende dagli stessi pacchetti open source di base – Spring Framework, Jackson, Log4j, Pandas, OpenSSL – eppure, in assenza di coordinamento, ciascuna scopre in modo indipendente le stesse vulnerabilità, sviluppa patch in isolamento e mantiene fork privati di cui nessun altro può beneficiare. Il risultato è uno sforzo ridondante, con costi enormi e qualità disomogenea, mentre l’ecosistema nel suo complesso rimane esposto. Per restare sicure, le organizzazioni devono contribuire alle community upstream, accelerare i loro standard operativi, e soprattutto devono farlo insieme. 

Cosa possono fare le imprese già oggi

L’open source rimane la base più sicura per l’innovazione, ma ridurre la finestra di esposizione alle minacce richiede azioni immediate. Ecco alcuni passaggi concreti e attuabili che le imprese possono intraprendere oggi per proteggere le proprie supply chain:

• Scegliere piattaforme supportate da fornitori responsabili:l’infrastruttura è la base su cui poggia tutto il resto. È fondamentale assicurarsi che i fornitori che la supportano contribuiscano attivamente ai progetti open source che distribuiscono. Un fornitore con una solida esperienza di contributi upstream, nel backporting di sicurezza e nella divulgazione responsabile ha un interesse reale nel mantenere la salute della community, non solo nel fornire servizi alle aziende.
• Costruire un inventario completo delle dipendenze:partite da un audit del vostro portfolio applicativo per mappare la situazione di partenza. Identificate ogni libreria open source, ogni dipendenza transitiva e ogni versione attualmente in produzione.
• Definire i tempi del ciclo patch-to-production:date una misura chiara alla vostra situazione attuale. Quanto tempo impiega effettivamente una patch upstream ad attraversare le scansioni di sicurezza interne, i test, i change advisory board e le pipeline di deployment? Una volta definiti i tempi, stabilite obiettivi ambiziosi per ridurre questa finestra temporale.
• Automatizzare le pipeline di rebuild e redeploy:con la frequenza delle minacce che si riduce sempre più da mesi a ore, gli aggiornamenti manuali non sono più sostenibili. Preparate il vostro ambiente per rebuild applicativi frequenti, deterministici e automatizzati, in modo da poter integrare pacchetti sicuri a velocità elevata.
• Adottare soluzioni di sicurezza attive:utilizzate soluzioni di supply chain attive che forniscano baseline zero-CVE e protezione runtime, come Red Hat Hardened Images, Red Hat Trusted Libraries e OpenShift Advanced Cluster Security, per accelerare i processi. 

Accelerare il cambiamento con Project Lightwell

IBM e Red Hat stanno costruendo un motore di remediation progettato per supportare le imprese che vogliono automatizzare le pipeline per integrare più velocemente le correzioni. Abbiamo recentemente lanciato Project Lightwell, un investimento congiunto da 5 miliardi di dollari sostenuto da una forza globale di oltre 20.000 ingegneri, con l’obiettivo di ridefinire la sicurezza della supply chain del software nell’era dell’AI.

Project Lightwell scala la metodologia collaudata da Red Hat in vent’anni di backporting di patch di sicurezza a livello enterprise. Stiamo estendendo questa precisa disciplina ingegneristica oltre l’ambito del sistema operativo verso i framework applicativi e dipendenze, iniziando da Maven/Java ed espandendoci verso PyPI, npm e altri ancora. Combinando l’AI per l’acquisizione ad alto volume delle minacce con l’esperienza ingegneristica umana, correggiamo in modo mirato le versioni stabili realmente in uso, evitando aggiornamenti indiscriminati che metterebbero a rischio l’operatività.

Senza un meccanismo che permetta di accettare le correzioni upstream, ogni backport sviluppato autonomamente da un’impresa crea un fork privato permanente, che deve essere mantenuto attraverso ogni successiva vulnerabilità, aggiornamento e modifica delle dipendenze. Questo aumenta costi e rischi per l’organizzazione. Project Lightwell rompe questo ciclo: Red Hat sviluppa la correzione, la mette a disposizione dell’impresa e la aggiunge al progetto open source originario. In questo modo, la correzione diventa parte del codebase pubblico.

Questo approccio si allinea alla direzione tracciata dal recente Ordine Esecutivo su AI e cybersecurity emanato dall’amministrazione Trump che prevede la creazione di un “AI cybersecurity clearinghouse” per coordinare scansione, validazione e remediation delle vulnerabilità nelle infrastrutture critiche. Project Lightwell è concepito per essere la spina dorsale operativa del settore privato in supporto a questo mandato. 

Lavorare insieme per proteggere le imprese e l’intero ecosistema open source

Mettere in sicurezza la supply chain del software è una sfida che riguarda tutto il settore, e che nessuna singola impresa può affrontare da sola. Attraverso Project Lightwell stiamo collaborando con un gruppo selezionato di leader del settore finanziario e delle infrastrutture critiche per creare un clearinghouse aziendale sicuro.

Questa rete di intelligence collaborativa offre tre capacità che nessuna impresa può sviluppare autonomamente.

1. I partecipanti condividono le scoperte di nuove vulnerabilità e ricevono patch coordinate prima della divulgazione pubblica, trasformando scoperte isolate in difesa condivisa.
2. Ogni patch viene consegnata pronta per la produzione, con firma crittografica, corredata di SBOM machine-readable e security advisory per soddisfare i requisiti di compliance.
3. Project Lightwell opera secondo un mandato upstream-always: ogni correzione sviluppata viene sottoposta ai progetti open source di origine. Lavorando insieme in questo clearinghouse non ci limitiamo a proteggere le singole imprese: restituiamo sistematicamente i progressi in ambito sicurezza alla community, mantenendo l’open source sicuro per tutti.

L’open source ha costruito l’impresa moderna. L’azione coordinata e Project Lightwell contribuiscono a mantenere questo codice sicuro intervenendo più rapidamente, come un ecosistema che opera insieme, in modo aperto.

Articolo a cura di Chris Wright, Chief Technology Officer and Senior Vice President, Global Engineering, Red Hat

L'articolo Mettere in sicurezza l’infrastruttura software aziendale: un modello di riferimento per l’open source proviene da Data Manager Online.

L’analisi evidenzia come il gruppo abbia continuato a prendere di mira esclusivamente enti governativi e organizzazioni militari ucraine, sviluppando nuovi strumenti offensivi e introducendo modalità più sofisticate per la gestione dei server di comando e controllo (C&C) e per l’esfiltrazione dei dati.

Sei nuovi strumenti PowerShell arricchiscono l’arsenale di Gamaredon

Nel corso del 2025 ESET ha identificato sei nuovi malware sviluppati in PowerShell: PteroDee, PteroCache, PteroDum, PteroOdd, PteroPaste e PteroEffigy.

Tra questi, PteroPaste rappresenta l’evoluzione più significativa. Lo strumento combina infatti più funzionalità in un unico framework, integrando downloader, meccanismi di persistenza e capacità di propagazione tramite dispositivi USB compromessi.

Il gruppo ha inoltre ripreso a utilizzare PteroSetup, uno strumento basato su VBScript già osservato nel 2021, confermando una strategia che alterna nuovi sviluppi al riutilizzo di componenti già collaudati.

Cloud storage e servizi legittimi per nascondere il traffico malevolo

Uno degli aspetti più rilevanti emersi dalla ricerca riguarda l’utilizzo crescente di servizi cloud commerciali per l’esfiltrazione delle informazioni sottratte alle vittime.

Gamaredon ha aggiornato i malware PteroPSDoor e PteroVDoor affinché possano caricare i dati rubati su piattaforme compatibili con le API Amazon S3, tra cui Wasabi, Tebi e Intercolo, mentre il tool PteroBox continua a utilizzare Dropbox.

Dal punto di vista della difesa informatica, questa tecnica rende molto più complessa l’individuazione del traffico malevolo, che può apparire come normale utilizzo di servizi cloud ampiamente diffusi nelle organizzazioni.

Per i team di cybersecurity, il fenomeno conferma come il monitoraggio delle sole destinazioni IP sospette non sia più sufficiente: diventa sempre più importante analizzare il comportamento delle applicazioni e i flussi di dati.

Telegram, Mastodon e Dropbox utilizzati come “dead drop”

Un’altra tecnica documentata da ESET riguarda il ricorso ai cosiddetti dead drop online, una pratica mutuata dallo spionaggio tradizionale.

Anziché inserire direttamente nei malware l’indirizzo del server di comando e controllo, gli operatori pubblicano tali informazioni su servizi perfettamente legittimi. Il malware recupera quindi le istruzioni da pagine pubbliche presenti su piattaforme come Telegram, Dropbox, DEV Community, Mastodon e altri servizi online, per poi collegarsi successivamente ai server effettivamente utilizzati dagli attaccanti.

Questo approccio consente di aumentare la resilienza dell’infrastruttura e ridurre le possibilità di rilevamento.

Collaborazione tra gruppi APT filorussi

Il report mette inoltre in evidenza un elemento sempre più ricorrente nello scenario delle minacce: la collaborazione tra diversi gruppi riconducibili alla Russia.

Nel 2025 ESET ha osservato una cooperazione tra Gamaredon e Turla, storico gruppo APT noto per le proprie attività di cyber spionaggio.

I ricercatori ricordano inoltre precedenti collaborazioni con InvisiMole e segnalano anche casi in cui il gruppo UAC-0099 avrebbe svolto le attività di compromissione iniziale, trasferendo successivamente gli accessi ottenuti a Sandworm, altro attore già noto per operazioni di cyber warfare.

Secondo ESET, questa specializzazione delle attività suggerisce un modello operativo sempre più strutturato, nel quale diversi gruppi condividono competenze e infrastrutture per massimizzare l’efficacia delle campagne.

Spear phishing più frequente e infrastrutture più resilienti

Nel secondo semestre del 2025 Gamaredon ha inoltre intensificato le campagne di spear phishing, aumentandone sia la frequenza sia la portata.

Parallelamente il gruppo ha rafforzato la propria infrastruttura di rete ricorrendo a servizi di Dynamic DNS (DDNS), Platform as a Service (PaaS), tunnel e worker per mascherare i server di comando e controllo.

Secondo i ricercatori di ESET, l’insieme di queste tecniche dimostra una crescente maturità operativa e conferma come gli attori APT stiano sfruttando sempre più infrastrutture cloud e servizi legittimi per rendere più difficile l’individuazione delle proprie attività.

Per le organizzazioni, il report evidenzia la necessità di affiancare ai tradizionali strumenti di difesa un monitoraggio continuo dei comportamenti anomali, dell’utilizzo dei servizi cloud e delle tecniche di evasione adottate dai gruppi di cyber spionaggio più evoluti.

Per ulteriori dettagli su Gamaredon e sulle attività nel 2025, consultare il white paper “Gamaredon in 2025: Leveraging tunnels, workers, dead drops, and new alliances,” disponibile su WeLiveSecurity.com

L'articolo Gamaredon evolve le tecniche di cyber spionaggio: cloud legittimi e social network diventano infrastrutture d’attacco proviene da Data Manager Online.