L’adozione dell’EU Cyber Blueprint da parte del Consiglio dell’Unione Europea nel giugno 2025 segna un punto di svolta nella governance della sicurezza informatica continentale. Questo framework introduce un modello operativo unificato per la risposta coordinata agli incidenti cyber su larga scala, colmando lacune strutturali evidenziate da attacchi sistemici come NotPetya e SolarWinds. L’analisi che segue esamina l’architettura normativa, i meccanismi di coordinamento e le implicazioni strategiche di questo strumento, proponendo una lettura critica delle sue potenzialità trasformative nel panorama della cybersecurity europea.

Introduzione: dalla frammentazione alla convergenza strategica

Il panorama delle minacce cibernetiche ha subito una metamorfosi qualitativa nell’ultimo quinquennio. Non si tratta più esclusivamente di attacchi opportunistici o di criminalità informatica convenzionale: le offensive cyber sono divenute strumenti di proiezione geopolitica, capaci di paralizzare infrastrutture critiche transfrontaliere e destabilizzare economie interconnesse. La guerra ibrida in Ucraina ha fornito un laboratorio drammatico di questa evoluzione, dimostrando come le operazioni nel dominio digitale possano amplificare e precedere quelle cinetiche.

Di fronte a questa trasformazione, l’Unione Europea ha riconosciuto l’inadeguatezza di approcci nazionali disconnessi. Il Cyber Blueprint, formalmente denominato Blueprint for coordinated response to large-scale cybersecurity incidents and crises at Union level, rappresenta la risposta strutturale a questa consapevolezza. Proposto dalla Commissione Europea il 24 febbraio 2025 e adottato dal Consiglio il 6 giugno 2025 attraverso la Raccomandazione COM(2025) 66, questo framework non costituisce un mero documento programmatico, bensì un’architettura operativa che ridefinisce le modalità di cooperazione tra Stati membri, istituzioni europee e stakeholder privati durante le emergenze cyber.

Come sottolineato da Henna Virkkunen, Vicepresidente Esecutiva per la Sovranità Tecnologica, Sicurezza e Democrazia, in un’economia dell’Unione sempre più interdipendente, le perturbazioni derivanti da incidenti di cybersecurity possono avere impatti di vasta portata su molteplici settori. Il Blueprint riflette l’impegno a garantire un approccio coordinato, sfruttando le strutture esistenti per proteggere il mercato interno e preservare le funzioni sociali essenziali.

Il contesto normativo: l’edificio della cybersecurity europea

Per comprendere la portata innovativa del Cyber Blueprint, occorre situarlo all’interno dell’ecosistema regolatorio che l’Unione ha costruito progressivamente. La Direttiva NIS2 (Direttiva UE 2022/2555), adottata il 14 dicembre 2022 ed entrata in vigore il 16 gennaio 2023, con termine di recepimento al 17 ottobre 2024, ha ampliato significativamente il perimetro dei settori critici sottoposti a obblighi di sicurezza informatica, introducendo requisiti più stringenti per la notifica degli incidenti e la gestione del rischio. La direttiva ha abrogato la precedente NIS1 (Direttiva UE 2016/1148) a partire dal 18 ottobre 2024.

Parallelamente, il Cyber Resilience Act (Regolamento UE 2024/2847), adottato il 23 ottobre 2024, pubblicato nella Gazzetta Ufficiale il 20 novembre 2024 ed entrato in vigore il 10 dicembre 2024, ha stabilito requisiti di sicurezza orizzontali per i prodotti con elementi digitali. Gli obblighi principali troveranno piena applicazione dall’11 dicembre 2027, mentre gli obblighi di segnalazione si applicheranno dall’11 settembre 2026.

Il Cyber Solidarity Act (Regolamento UE 2025/38), adottato il 19 dicembre 2024, pubblicato nella Gazzetta Ufficiale il 15 gennaio 2025 ed entrato in vigore il 4 febbraio 2025, ha istituito meccanismi di solidarietà per il rilevamento, la preparazione e la risposta agli incidenti. Questo regolamento ha creato l’infrastruttura per il Cybersecurity Emergency Mechanism e la EU Cybersecurity Reserve, strumenti che il Blueprint integra nel suo framework operativo.

L’ENISA (Agenzia dell’Unione Europea per la Cibersicurezza), rafforzata dal Cybersecurity Act del 2019 (Regolamento UE 2019/881), assume nel nuovo paradigma un ruolo di hub informativo e coordinamento tecnico, mentre la rete EU-CyCLONe (European Cyber Crisis Liaison Organisation Network) diviene il fulcro della gestione delle crisi a livello operativo. EU-CyCLONe è stata formalizzata dall’articolo 16 della Direttiva NIS2.

Architettura del Cyber Blueprint: anatomia di un framework integrato

Tassonomia degli incidenti e soglie di attivazione

Il Blueprint introduce una classificazione sistematica degli incidenti cyber basata su criteri oggettivi di impatto. La distinzione fondamentale opera tra “incidenti di cybersecurity su larga scala” e “crisi di cybersecurity“, dove queste ultime richiedono un livello di perturbazione tale da eccedere le capacità di risposta di un singolo Stato membro o da produrre effetti significativi su almeno due Paesi dell’Unione.

I parametri valutativi includono l’estensione geografica dell’impatto, il numero di settori critici coinvolti, la durata prevedibile della perturbazione, le conseguenze economiche e sociali e le implicazioni per la sicurezza nazionale o pubblica. Questa tassonomia non è meramente descrittiva: determina l’attivazione di diversi livelli di risposta coordinata e l’accessibilità a risorse condivise.

La governance multilivello

L’architettura di governance del Blueprint si articola su tre strati interconnessi, mantenendo i principi fondamentali già stabiliti dalla Raccomandazione (UE) 2017/1584: proporzionalità, sussidiarietà, complementarità e riservatezza delle informazioni.

A livello politico-strategico, il Consiglio dell’Unione Europea, supportato dal Comitato Politico e di Sicurezza (PSC) e dall’IPCR (Integrated Political Crisis Response), mantiene la supervisione strategica e l’autorità decisionale per le misure di risposta che richiedono consenso politico. La Commissione Europea, attraverso la DG CONNECT e in coordinamento con l’Alto Rappresentante per gli Affari Esteri, garantisce la coerenza con la più ampia politica di sicurezza dell’Unione.

A livello operativo, EU-CyCLONe costituisce il nucleo della coordinazione, riunendo i rappresentanti delle autorità nazionali di gestione delle crisi cyber degli Stati membri e la Commissione. Questo organismo acquisisce con il Blueprint procedure standardizzate per la condivisione situazionale, l’elaborazione di raccomandazioni congiunte e il coordinamento delle risposte tecniche.

A livello tecnico, la rete dei CSIRT nazionali (Computer Security Incident Response Teams) e l’ENISA operano come interfaccia tecnica, gestendo lo scambio di indicatori di compromissione, l’analisi delle vulnerabilità sfruttate e il supporto forense. Il CERT-EU estende questo coordinamento alle istituzioni, organi e agenzie dell’Unione.

Attori e responsabilità a livello dell’Unione

Il documento COM(2025) 66 identifica con precisione gli attori che detengono responsabilità nella gestione delle crisi cyber a livello dell’Unione. Questi includono la Commissione, il Servizio Europeo per l’Azione Esterna (SEAE) con la Single Intelligence and Analysis Capacity (SIAC), l’ENISA, il CERT-EU, Europol attraverso l’European Cybercrime Centre (EC3), EU-CyCLONe, la rete CSIRT, il Centro Satellitare dell’UE (SATCEN), il Galileo Security Monitoring Centre e la rete delle delegazioni dell’Unione.

Protocolli di comunicazione e situational awareness

Un elemento distintivo del Blueprint risiede nella formalizzazione dei flussi informativi durante le crisi. Il framework stabilisce obblighi di notifica accelerati: oltre ai requisiti della NIS2, il Blueprint prevede canali di comunicazione dedicati per incidenti che superano determinate soglie di gravità, con tempistiche compresse e formati standardizzati.

Per la condivisione delle informazioni vengono utilizzate piattaforme sicure, inclusa la Cyber Information Sharing Platform (CISP) gestita da ENISA e infrastrutture classificate per informazioni sensibili. Il Blueprint introduce inoltre template comuni per la valutazione dell’impatto, la caratterizzazione della minaccia e la documentazione delle contromisure adottate, facilitando l’aggregazione delle informazioni a livello europeo.

La situational awareness viene costruita attraverso meccanismi di fusione analitica che integrano intelligence tecnica, informazioni provenienti dai settori critici e valutazioni geopolitiche. Questo approccio multidimensionale consente una comprensione più accurata della natura delle minacce, distinguendo tra attacchi criminali, operazioni sponsorizzate da Stati e attivismo hacktivista.

Interoperabilità con i meccanismi di gestione delle crisi esistenti

Integrazione con IPCR e ARGUS

Il Cyber Blueprint non opera in isolamento, ma si inserisce nell’architettura più ampia dei meccanismi europei di risposta alle crisi. L’IPCR del Consiglio può essere attivato per crisi cyber che raggiungano rilevanza politica, garantendo il coinvolgimento dei decisori al più alto livello. Il sistema ARGUS della Commissione assicura il coordinamento interno tra i servizi della Commissione stessa.

Il Blueprint garantisce inoltre la compatibilità con framework esistenti quali l’EU Cyber Diplomacy Toolbox, l’EU Hybrid Toolbox, il Law Enforcement Emergency Response Protocol (LERP) e i framework emergenti come il Critical Infrastructure Blueprint. L’innovazione del nuovo Blueprint consiste nella predefinizione di interfacce operative tra questi sistemi: protocolli che stabiliscono quando e come l’escalation dalla gestione tecnica a quella politica debba avvenire, evitando sia ritardi dannosi sia attivazioni premature che potrebbero saturare i canali decisionali.

Cooperazione con NATO e partner internazionali

Il framework riconosce esplicitamente la dimensione transatlantica della sicurezza cibernetica. I protocolli di cooperazione con la NATO, in particolare con il Cooperative Cyber Defence Centre of Excellence (CCDCOE) di Tallinn, sono integrati nel Blueprint attraverso meccanismi di liaison e scambio informativo. Questa interoperabilità risulta cruciale per minacce che originano da attori statali ostili, dove la risposta efficace richiede coordinamento tra capacità civili e militari.

Il Blueprint prevede una cooperazione più strutturata tra attori civili e militari, riconoscendo che un incidente cyber su larga scala che colpisca infrastrutture civili dell’Unione da cui dipendono le forze armate potrebbe attivare anche i meccanismi di risposta della NATO.

Strumenti operativi: dalla teoria alla prassi

Cyber Emergency Mechanism e Cybersecurity Reserve

Il Cyber Solidarity Act ha istituito strumenti finanziari e operativi che il Blueprint mobilizza durante le crisi. Il Cyber Emergency Mechanism prevede azioni di preparazione, inclusi test coordinati di entità operanti in settori critici, valutazioni di vulnerabilità e penetration testing su scala europea. Prevede inoltre supporto alla risposta, con assistenza tecnica agli Stati membri colpiti, incluso il dispiegamento di team specializzati e l’accesso a risorse computazionali per l’analisi forense. Sono inoltre previsti meccanismi formalizzati di assistenza mutua per la richiesta e l’offerta di supporto tra Stati membri, superando l’approccio bilaterale precedente.

La EU Cybersecurity Reserve costituisce un pool di capacità tecniche e umane, mantenute attraverso contratti con fornitori certificati (trusted providers), attivabili rapidamente su richiesta della Commissione, degli Stati membri o delle istituzioni, organi e agenzie dell’Unione per supportare la risposta a incidenti che eccedano le capacità nazionali. La Commissione ha la responsabilità generale dell’implementazione della Reserve e può affidare a ENISA, in tutto o in parte, l’operatività e l’amministrazione della stessa.

Esercitazioni e stress test

Il Blueprint istituzionalizza un programma di esercitazioni che trascende la mera verifica delle capacità tecniche. Il 4 novembre 2025 si è tenuta l’edizione 2025 del Blueprint Operational Level Exercise (BlueOLEx), la prima esercitazione dopo l’adozione del nuovo EU Cyber Blueprint, durante la quale funzionari di alto livello per la cybersecurity degli Stati membri e della Commissione hanno testato ruoli e responsabilità in uno scenario di crisi.

Le esercitazioni Cyber Europe, condotte con cadenza biennale sotto l’egida di ENISA, testano l’intera catena decisionale: dalla rilevazione iniziale alla comunicazione pubblica, dalla cooperazione tecnica all’escalation politica.

Particolarmente innovativa è l’introduzione di stress test settoriali che simulano attacchi coordinati contro specifiche infrastrutture critiche (energia, trasporti, sanità, finanza), coinvolgendo tanto le autorità pubbliche quanto gli operatori privati. Questi esercizi generano lesson learned che alimentano l’aggiornamento continuo del Blueprint stesso.

Il meccanismo di revisione degli incidenti

Il Cyber Solidarity Act istituisce anche il European Cybersecurity Incident Review Mechanism per valutare e revisionare incidenti specifici di cybersecurity. Su richiesta della Commissione o delle autorità nazionali (tramite EU-CyCLONe), ENISA è responsabile della revisione di incidenti significativi o su larga scala e deve produrre un rapporto che includa le lezioni apprese, raccomandazioni per migliorare la postura cyber dell’Unione e best practice derivanti dagli stakeholder rilevanti.

Implicazioni per gli operatori economici

Obblighi diretti e indiretti

Per le entità identificate come operatori di servizi essenziali o importanti dalla NIS2, il Cyber Blueprint genera obblighi di cooperazione durante le crisi che si aggiungono ai requisiti ordinari. Questi includono la partecipazione a meccanismi di condivisione informativa settoriali attivati durante le emergenze, l’implementazione di misure di mitigazione coordinate (potenzialmente includendo la disconnessione temporanea di sistemi compromessi) e la collaborazione con le autorità per le attività forensi e di attribution.

La non compliance, oltre alle sanzioni previste dalla NIS2 (fino a 10 milioni di euro o il 2% del fatturato globale per le entità essenziali), può comportare l’esclusione da programmi di supporto e finanziamento europei in materia di cybersecurity.

Opportunità strategiche

Il framework apre anche opportunità significative per il tessuto industriale europeo. I fornitori di servizi di sicurezza gestiti (MSSP), le aziende specializzate in incident response e i provider di threat intelligence possono accreditarsi per la Cybersecurity Reserve, accedendo a contratti quadro europei e a visibilità istituzionale.

Per le organizzazioni in generale, l’allineamento proattivo al Blueprint può divenire un differenziatore competitivo, segnalando a clienti e partner una maturità nella gestione del rischio cyber che trascende la mera compliance normativa.

Analisi critica: potenzialità e limiti del framework

Punti di forza innovativi

Il Cyber Blueprint del 2025 rappresenta un avanzamento sostanziale rispetto alla Raccomandazione del 2017. La principale innovazione risiede nella sua capacità di mappare chiaramente gli attori rilevanti dell’Unione e delineare i loro ruoli lungo l’intero ciclo di vita della crisi: preparazione e consapevolezza situazionale condivisa per anticipare gli incidenti cyber, capacità di rilevamento per identificarli, strumenti di risposta e recupero per mitigare, scoraggiare e contenere gli incidenti.

L’integrazione con il Cyber Solidarity Act fornisce inoltre le risorse finanziarie e operative che mancavano al precedente approccio, trasformando dichiarazioni di intenti in capacità effettive. Il budget complessivo per il Cyber Solidarity Act, inclusi i contributi degli Stati membri, può ammontare a 1,1 miliardi di euro, finanziati attraverso il Digital Europe Programme.

Criticità strutturali

Nonostante questi avanzamenti, permangono tensioni irrisolte nel framework.

La tensione tra sovranità nazionale e coordinamento europeo rappresenta una prima criticità. La gestione delle crisi cyber interseca sensibilità nazionali profonde, includendo intelligence, difesa e sicurezza pubblica. Il Blueprint opera nel rispetto delle prerogative nazionali, ma questa scelta limita l’effettività del coordinamento quando gli interessi divergono. Uno Stato membro colpito potrebbe privilegiare la protezione di informazioni sensibili rispetto alla condivisione tempestiva, compromettendo la risposta collettiva.

Le asimmetrie di capacità costituiscono un secondo elemento di criticità. Le capacità nazionali di cybersecurity restano drammaticamente disomogenee nell’Unione. Mentre Paesi come Estonia, Paesi Bassi e Francia dispongono di CSIRT maturi e risorse dedicate, altri Stati membri operano con mezzi limitati. La Cybersecurity Reserve può mitigare queste disparità durante le emergenze, ma non risolve il divario strutturale nelle capacità di prevenzione e rilevazione.

La dialettica tra velocità e procedure rappresenta una terza sfida. Le crisi cyber si sviluppano con tempi misurati in ore, talvolta minuti. L’architettura di governance multilivello del Blueprint, per quanto necessaria per garantire legittimità e coordinamento, introduce latenze potenzialmente critiche. L’equilibrio tra tempestività e consultazione rimane una sfida aperta.

Il coinvolgimento del settore privato presenta infine questioni ancora non risolte. La maggioranza delle infrastrutture critiche è gestita da operatori privati, la cui cooperazione è essenziale ma non sempre scontata. Preoccupazioni relative alla reputazione, alla responsabilità legale e alla protezione di informazioni commerciali sensibili possono inibire la trasparenza necessaria per una risposta efficace.

Prospettive evolutive: verso un’autonomia strategica cyber

Il Cyber Blueprint non costituisce un punto di arrivo, ma un’infrastruttura evolutiva che dovrà adattarsi a uno scenario di minacce in costante mutazione. Alcune direttrici di sviluppo appaiono già delineate.

L’integrazione dell’intelligenza artificiale rappresenta una prima traiettoria. L’impiego di sistemi AI per il rilevamento di anomalie, la correlazione di eventi e la generazione automatizzata di indicatori di compromissione trasformerà le capacità di situational awareness. Il framework dovrà incorporare standard per la condivisione di modelli addestrati e output analitici, oltre a governare i rischi derivanti dall’impiego offensivo dell’AI stessa. Il Cyber Solidarity Act già prevede l’utilizzo di tecnologie avanzate come l’intelligenza artificiale e l’advanced data analytics nei Cyber Hub nazionali e transfrontalieri.

L’estensione alle tecnologie emergenti costituisce una seconda direttrice. Minacce alla sicurezza delle reti 5G/6G, vulnerabilità quantistiche, rischi associati ai sistemi autonomi: il perimetro del Blueprint dovrà ampliarsi per includere vettori di attacco che oggi sono embrionali ma che domineranno il panorama delle minacce nel prossimo decennio.

Il tema delle capacità offensive coordinate rappresenta una terza area di potenziale evoluzione. Attualmente il framework si concentra esclusivamente sulla dimensione difensiva e di risposta. Il dibattito europeo sulla legittimità e utilità di capacità cyber offensive coordinate, incluse operazioni di hack back o disruption preventiva, resta aperto e potrebbe portare a future estensioni del Blueprint.

Infine, deterrenza e attribution costituiscono una quarta frontiera. L’efficacia di qualsiasi framework di risposta dipende anche dalla capacità di attribuire gli attacchi e di imporre costi agli aggressori. Il rafforzamento delle capacità forensi comuni e lo sviluppo di protocolli per l’attribution politica coordinata, in sinergia con l’EU Cyber Diplomacy Toolbox, rappresentano frontiere naturali dell’evoluzione del Blueprint.

Conclusioni: un test per la resilienza europea

L’EU Cyber Blueprint incarna l’ambizione europea di tradurre la propria forza normativa in capacità operativa nel dominio cibernetico. Non si tratta meramente di un’architettura tecnica per la gestione delle emergenze, ma di un tassello del più ampio progetto di autonomia strategica che l’Unione persegue in risposta a un ordine internazionale sempre più conflittuale.

La vera misura del suo successo non risiederà nei documenti prodotti o nelle strutture create, ma nella risposta effettiva alla prossima crisi cyber di rilevanza sistemica. Quando un attacco sofisticato colpirà simultaneamente infrastrutture energetiche o finanziarie in più Stati membri, il Blueprint sarà sottoposto alla prova definitiva: quella dell’efficacia operativa sotto pressione.

Per i professionisti della cybersecurity, per i decisori politici e per gli operatori economici, la familiarità con questo framework non è più opzionale. Il Cyber Blueprint definisce le regole del gioco per la gestione delle crisi cyber in Europa: conoscerle, comprenderle e contribuire alla loro evoluzione rappresenta una responsabilità condivisa da tutti gli attori dell’ecosistema digitale europeo.

https://www.ictsecuritymagazine.com/articoli/eu-cyber-blueprint/

The New York Times has published new details about a purported cyberattack that unnamed US officials claim plunged parts of Venezuela into darkness in the lead-up to the capture of the country’s president, Nicolás Maduro.

Key among the new details is that the cyber operation was able to turn off electricity for most residents in the capital city of Caracas for only a few minutes, though in some neighborhoods close to the military base where Maduro was seized, the outage lasted for three days. The cyber-op also targeted Venezuelan military radar defenses. The paper said the US Cyber Command was involved.

Got more details?

“Turning off the power in Caracas and interfering with radar allowed US military helicopters to move into the country undetected on their mission to capture Nicolás Maduro, the Venezuelan president who has now been brought to the United States to face drug charges,” the NYT reported.

The NYT provided few additional details. Left out were the methods purportedly used. When Russia took out electricity in December 2015, for instance, it used general-purpose malware known as BlackEnergy to first penetrate the corporate networks of the targeted power companies and then further encroach into the supervisory control and data acquisition systems the companies used to generate and transmit electricity. The Russian attackers then used legitimate power distribution functionality to trigger the failure, which took out power to more than 225,000 people for more than six hours, when grid workers restored it.

In a second attack almost exactly a year later, Russia used a much more sophisticated piece of malware to take out key parts of the Ukrainian power grid. Named Industroyer and alternatively Crash Override, it’s the first known malware framework designed to attack electric grid systems directly.

https://arstechnica.com/security/2026/01/unnamed-officials-tell-nyt-precise-cyber-op-took-out-venezuelas-power-grid/

Pairing Bluetooth devices can be a pain, but Google Fast Pair makes it almost seamless. Unfortunately, it may also leave your headphones vulnerable to remote hacking. A team of security researchers from Belgium’s KU Leuven University has revealed a vulnerability dubbed WhisperPair that allows an attacker to hijack Fast Pair-enabled devices to spy on the owner.

Fast Pair is widely used, and your device may be vulnerable even if you’ve never used a Google product. The bug affects more than a dozen devices from 10 manufacturers, including Sony, Nothing, JBL, OnePlus, and Google itself. Google has acknowledged the flaw and notified its partners of the danger, but it’s up to these individual companies to create patches for their accessories. A full list of vulnerable devices is available on the project’s website.

The researchers say that it takes only a moment to gain control of a vulnerable Fast Pair device (a median of just 10 seconds) at ranges up to 14 meters. That’s near the limit of the Bluetooth protocol and far enough that the target wouldn’t notice anyone skulking around while they hack headphones.

Once an attacker has forced a connection to a vulnerable audio device, they can perform relatively innocuous actions, such as interrupting the audio stream or playing audio of their choice. However, WhisperPair also allows for location tracking and microphone access. So the attacker can listen in on your conversations and follow you around via the Bluetooth device in your pocket. The researchers have created a helpful video dramatization (below) that shows how WhisperPair can be used to spy on unsuspecting people.

https://arstechnica.com/gadgets/2026/01/researchers-reveal-whisperpair-attack-to-eavesdrop-on-google-fast-pair-headphones/

Il presente articolo costituisce il primo contributo della serie curata dedicata all’esplorazione delle intersezioni tra neurotecnologie e benessere psicologico nel contesto del metaverso. Attraverso un’analisi approfondita delle fondamenta tecnologiche e concettuali del metaverso, questo studio introduce i lettori nell’universo delle tecnologie immersive che stanno ridefinendo il panorama digitale contemporaneo.

Uno dei concetti più discussi della tecnologia moderna, il metaverso può essere descritto come un mondo virtuale 3D immersivo e costante in cui le persone interagiscono tramite un avatar per svolgere una vasta gamma di attività[1]. Tali attività possono variare dal tempo libero e dal gioco alle interazioni professionali e commerciali, alle transazioni finanziarie o persino agli interventi sanitari come la chirurgia. Sebbene l’esatta portata e l’impatto del metaverso sulla società e sull’economia siano ancora sconosciuti, si può già vedere che il metaverso aprirà una serie di opportunità ma anche una serie di rischi in una varietà di settori.

Metaverse è una combinazione coniata dalle parole «meta» e «universo» tratte dal romanzo di fantascienza di Neal Stephenson, Snow Crash, scritto nel 1992. Nel romanzo, avatar di persone reali abitavano un mondo virtuale tridimensionale (3D). Il Metaverso è uno spazio informativo infinitamente grande, persistente, digitale e interattivo. Il Metaverso è infinito perché possiamo aggiungervi continuamente informazioni ed è persistente perché esiste anche quando non interagiamo con esso[2].

Dall’evoluzione del web al web 3.0: come siamo arrivati al metaverso

Tutto è iniziato con il Web 1.0, l’Internet «di sola lettura». Il Web 2.0 lo ha sostituito come una versione più interattiva in cui l’utente poteva inviare informazioni ai server. Poi sono emersi i social media, seguiti presto dall’inclusione della realtà virtuale/aumentata/mista. Ora, la convergenza di tutti questi progressi tecnologici ha dato origine al metaverso, che viene pubblicizzato come il futuro Web 3.0.[3].

Il Metaverso ha quattro aspetti principali; presenza, persistenza, immersione e interoperabilità[4]. La presenza è la sensazione di essere presenti o fisicamente localizzati all’interno di un ambiente digitale. Stimolando esperienze sensoriali realistiche e consentendo ai partecipanti di interagire con oggetti e altri partecipanti, crea un senso di immersione e coinvolgimento nel mondo virtuale, come se i partecipanti si trovassero nello stesso spazio fisico.

Il senso di presenza viene effettuato attraverso tecnologie come gli occhiali per realtà virtuale. La persistenza si riferisce alla capacità di oggetti, ambienti ed esperienze virtuali di assistere nel tempo, anche quando i partecipanti non interagiscono attivamente con essi. Consente ai partecipanti di fare progressi, possedere proprietà virtuali e costruire relazioni continuative. L’immersione si riferisce al grado in cui un partecipante è pienamente coinvolto e assorbito in un ambiente virtuale, al punto in cui l’individuo può dimenticare l’ambiente fisico circostante.

L’interoperabilità si riferisce alla capacità di diversi mondi e sistemi virtuali di comunicare e interagire tra loro senza soluzione di continuità, consentendo agli individui di muoversi liberamente tra diversi ambienti ed esperienze digitali. È essenziale per creare un mondo virtuale coeso e interconnesso che consenta alle persone di spostarsi senza problemi tra diverse esperienze e piattaforme.

Tecnologie e innovazioni che guidano il metaverso

Tecnologie

Poiché l’obiettivo finale del metaverso è sincronizzare il digitale e il fisico, il formato digitale prevalente sarà il 3D. Già oggi numerosi servizi Internet si basano sui formati 3D. Giochi come Minecraft, Roblox e Fortnite hanno portato centinaia di milioni di utenti in mondi 3D. I filtri dei social media stanno introducendo maschere, occhiali, cappelli e tanti altri elementi digitali 3D nella nostra condivisione sui social[5].

I mondi virtuali sono supportati[6] da varie tecnologie di realtà estesa (Extended reality o XR), una categoria ombrello che copre uno spettro di tecnologie più nuove e immersive, tra cui realtà virtuale (VR), realtà aumentata (AR), realtà mista (MR) e virtualità aumentata (AV)[7].

Gli elementi di base della realtà virtuale (VR) esistono da anni con livelli limitati di immersione e interazione. La realtà virtuale immersiva viene creata indossando un dispositivo montato sulla testa che utilizza display stereoscopici con lenti specializzate che trasportano hardware di tracciamento del movimento che forniscono l’illusione di essere fisicamente presenti in un mondo virtuale.

La realtà virtuale sostituisce il mondo reale con uno virtuale, mentre quella aumentata (AR) integra il mondo reale con contenuti virtuali sovrapponendo immagini digitali su oggetti fisici. Di conseguenza, la realtà virtuale consente agli utenti di sentirsi psicologicamente immersi in un ambiente virtuale, mentre l’AR fornisce un ambiente che consente agli utenti di interagire con oggetti virtuali nel mondo reale La realtà mista (MR)[8] è una miscela di realtà virtuale e reale che consente agli elementi reali e virtuali di interagire tra loro, consentendo agli utenti di avere un maggiore controllo sugli oggetti virtuali rispetto a AR.

Il metaverso è un’ampia rete di simulazioni virtuali 3D in tempo reale in cui gli utenti possono vivere un’esperienza profondamente coinvolgente di essere «dentro» Internet interagendo digitalmente con altri utenti, oggetti e ambienti. L’universo virtuale vanta tutte le caratteristiche del mondo reale in cui le persone possono riunirsi, socializzare, lavorare e giocare con gli altri in uno spazio fisico diverso incarnando corpi digitali configurabili chiamati Avatar (Mystakidis, 2022).

Questi avatar aiutano gli utenti a incontrarsi, socializzare e interagire in forma incarnata con altri utenti in un luogo virtuale. Inoltre, la personalizzazione di Avatar aiuta gli utenti a rappresentare la propria idea o aspirazione, aiutandoli a comunicare meglio, condividere esperienze e impegnarsi nell’espressione di sé in un mondo virtuale (Barrera & Shah, 2023).

Bloomberg aveva previsto che il mercato del Metaverso sarebbe cresciuto fino a raggiungere gli 800 miliardi di dollari entro il 2024 (Bloomberg Intelligence, 2021). Le piattaforme Metaverse come Decentraland, Sandbox, Zepeto, Fortnite, Roblox, Special, ecc., forniscono interfaccia virtuale e immersione agli utenti (ad esempio Oculus), economia (ad esempio Coinbase), connessione con una piattaforma di social media e infrastruttura virtuale utilizzo del cloud, dell’intelligenza artificiale e della realtà virtuale per la tecnologia pubblicitaria e la connettività tra marchi e consumatori (Newzoo, 2021)[9].

In pratica, la forma primitiva del metaverso è già qui e si evolverà in modi che potremmo non essere in grado di prevedere.

Il Web 3.0 cambierà il modo in cui socializziamo, lavoriamo e interagiamo. Gli NFT sono risorse digitali uniche che rappresentano oggetti come arte, musica, oggetti da collezione e oggetti di gioco. Gli NFT vengono scambiati online, spesso con criptovaluta, e sono un’unità di dati archiviati su una catena di blocchi blockchain, un database digitalizzato distribuito attraverso Internet.

I sistemi di criptovaluta come Bitcoin ed Ethereum e gli NFT sono basati su blockchain. La blockchain mantiene un registro sicuro e decentralizzato delle transazioni garantendo la sicurezza dei record di dati senza controllo di terze parti. La natura decentralizzata della blockchain offre prospettive di opportunità commerciali illimitate e l’interazione sociale nel metaverso. Gli NFT potrebbero diventare gli elementi costitutivi del metaverso. Ad esempio, gli avatar digitali NFT rappresentano identità di vita reale che possono essere utilizzate come token di accesso per diverse posizioni all’interno del metaverso.

I mondi virtuali sono supportati anche da altre tecnologie come l’Internet delle cose (IoT), che aiuta a trasferire informazioni tra il mondo reale e quello virtuale attraverso gli oggetti.

Alcune aziende affermano di aver iniziato a lavorare sulla prossima generazione di un Internet immersivo chiamato «Internet dei sensi»[10]. In effetti, secondo un recente rapporto (Sony Ericsson, 2020), la tendenza più importante per il 2030 sarà la creazione di un Internet dei sensi[11]: un nuovo paradigma tecnologico in cui le esperienze digitali diventeranno più multisensoriali e quindi pienamente immersive. In questo scenario dispositivi, sensori e reti, supportati da un ampio utilizzo della Realtà Estesa, fonderanno la realtà digitale e quella fisica, coinvolgendo tutti i nostri sensi. Queste esperienze saranno possibili grazie alla nuova generazione di dispositivi e sensori connessi, che saranno in grado di:

• migliorare la qualità delle esperienze XR (supportate dalla rappresentazione olografica);
• introdurre nuove esperienze sensoriali come sapori digitali e aromi digitali;
• creare nuove interazioni create utilizzando interfacce cervello-computer (BCI).

Applicazioni concrete del metaverso e della realtà virtuale

I mondi virtuali possono cambiare il modo in cui ci connettiamo, percepiamo e viviamo il mondo, aprendo numerose opportunità ma portando anche una serie di sfide.

Possono essere utilizzati in quasi tutti i settori[12], come ad esempio:

• istruzione: i mondi virtuali consentono agli utenti di visitare luoghi e tempi (come l’antica Grecia o altri pianeti) che altrimenti sarebbero impossibili da visitare;
• manifatturiero: le aziende possono testare prototipi di linee di produzione o interi stabilimenti utilizzando un gemello digitale per rilevare potenziali errori e ridurre al minimo i costi;
• assistenza sanitaria: i mondi virtuali possono aiutare i medici a diagnosticare in modo più accurato e rapido e a migliorare le prestazioni durante la preparazione all’intervento chirurgico. I pazienti possono beneficiare di esperienze immersive per alleviare il dolore e l’ansia, o consultare medici dall’altra parte del mondo;
• settore pubblico: i mondi virtuali possono essere utilizzati, ad esempio, per consultazioni con i cittadini, pianificazione urbana, visualizzazione di futuri progetti di sviluppo o formazione dei dipendenti;
• arte e design: visitando i mondi virtuali di musei, gallerie e archivi, gli utenti possono sperimentare come sarebbe trovarsi in un museo reale. Gli edifici virtuali in 3D consentono agli architetti di ottenere un’impressione realistica della loro struttura, dei mobili e delle decorazioni;
• intrattenimento: gli utenti dei mondi virtuali possono partecipare a vari eventi virtuali (come concerti, film, feste ed eventi sportivi);
• shopping online: i clienti possono esplorare negozi virtuali e provare abiti virtuali, mentre i marchi possono ospitare eventi virtuali e pubblicizzare i propri prodotti in mondi virtuali;
• turismo: i mondi virtuali consentono ai viaggiatori di pianificare il proprio viaggio esplorando rappresentazioni virtuali di destinazioni e hotel.

Sfide evolutive del metaverso

Senza affrontare queste tre sfide cruciali[13], il metaverso potrebbe non avere successo come piattaforma mainstream ma solo diventare una tecnologia di nicchia al servizio principalmente dell’industria dei giochi:

1.Interoperabilità della piattaforma

• La mancanza di interoperabilità e uniformità tra le varie piattaforme del metaverso è una delle sfide più grandi.
• Il protocollo HTML ha agito come struttura unificante per abilitare Internet. Si può navigare su Internet da qualsiasi browser e da qualsiasi dispositivo, tutto grazie all’HTML. Un protocollo simile è assolutamente necessario per facilitare lo spostamento degli utenti tra metaversi e dispositivi.

L’alternativa ha alcuni attori dominanti con protocolli di integrazione o API, come ad es. il dominio dell’iPhone di Apple e dei sistemi operativi Android di Google. Pur avendo dispositivi diversi, gli utenti possono comunque scambiarsi informazioni e connettersi tra loro. I creatori di contenuti e app possono fornire i propri prodotti su entrambe le piattaforme con il minimo sforzo. I dispositivi e le piattaforme del metaverso devono fornire tali funzionalità sia agli utenti che ai fornitori di contenuti.

2.Valore per le aziende

Per avere successo, le aziende avranno bisogno di generare valore dal metaverso. Affinché ciò accada, le aziende di tutti i settori verticali dovrebbero indagare su questa nuova piattaforma ed esplorarla come un nuovo canale di consegna e interattivo in un’architettura di consegna omnicanale, simile al modo in cui le aziende utilizzano il web, i social media o gli altoparlanti intelligenti per coinvolgere. o consegnare i propri prodotti ai clienti.

Un buon esempio è il modo in cui catene di fast food aprono ‘negozi’ nel metaverso, principalmente solo per essere lì e per consentire ai clienti di ordinare cibo reale in un mondo virtuale che viene consegnato direttamente alle loro porte fisiche.

3.Utilità e facilità d’uso per consumatori e utenti

L’usabilità deriverà principalmente dalla facilità d’uso e l’utilità deriverà dai vari contenuti e app che i consumatori/utenti potranno sperimentare in più metaversi.

Il settore sanitario e quello medico, ad esempio, hanno una grande opportunità di fornire esperienze di telemedicina estremamente avanzate e un migliore accesso all’assistenza sanitaria superando le limitazioni geografiche. Il metaverso offre l’opportunità di creare quello che è noto come il gemello digitale di un organo[14] o addirittura di un intero corpo umano in un formato 3D che consentirebbe di eseguire interventi chirurgici nonché di diagnosticare e curare malattie. Le implementazioni di Metaverse hanno già avuto successo nell’istruzione e nella formazione medica.

L’analisi presentata in questo primo contributo ha delineato il quadro tecnologico e concettuale del metaverso, evidenziando come questa convergenza di tecnologie immersive rappresenti una vera rivoluzione nel modo di concepire l’interazione digitale. Il prossimo articolo della serie approfondirà il concetto del metaverso per la salute mentale, analizzando l’impatto che queste tecnologie hanno sulla psiche umana.

Per approfondire invitiamo a scaricare il white paper gratuito “Neurotecnologia e Mental Health: Il Metaverso tra Opportunità e Rischi Legali” ad opera di Sergio Guida.

Fonti:

[1] T. MADIEGA, P. CAR, M. NIESTADT, L. VAN DE POL, Metaverse Opportunities, risks and policy implications, EPRS European Parliamentary Research Service, June 2022.

[2] D. ANTIN, The Technology of the Metaverse, It’s Not Just VR, Medium, May 5, 2020.

[3] USMANI S.S., SHARATH M., MEHENDALE M., Future of mental health in the metaverse, General Psychiatry, 2022; 35:e100825.

[4] AUSTRALIAN HUMAN RIGHTS COMMISSION, Protecting Cognition: Human Rights and Neurotechnology, 02 July 2023.

[5] L.B. MARTINS, S.G. WOLFE, Metaversed. See Beyond The Hype, John Wiley & Sons, Hoboken, New Jersey, 2023, ISBN: 978-1-119-88860-4.

[6] M. NIESTADT, Virtual worlds (metaverses), EPRS European Parliamentary Research Service, © European Union, July 2023.

[7] D. WEINSTEIN, What Is Extended Reality?, NVIDIA Blogs, May 20, 2022.

[8] «La MR è anche un’altra tecnica che ci aiuta a liberarci delle restrizioni dello schermo e migliora notevolmente l’immersione degli utenti. Piuttosto che creare una scena completamente virtuale, MR si concentra maggiormente sulle interazioni istintive tra il mondo reale e lo spazio digitalizzato [..]. Potrebbe essere considerato un ibrido tra AR e VR, in cui una transizione tra VR e AR potrebbe essere raggiunta simultaneamente» in F. Shi, H. Ning, X. Zhang et al., «A new technology perspective of the Metaverse: its essence, framework and Challenges», Science Direct, 4 Nov 2022.

[9] ARYA V., SAMBYAL R., SHARMA A., & DWIVEDI Y.K., Brands are calling your AVATAR in Metaverse – A study to explore XR-based gamification marketing activities & consumer-based brand equity in virtual world, Journal of Consumer Behaviour, 2023, 1–30.

[10] COUNCIL OF THE EUROPEAN UNION, Metaverse – Virtual World, Real Challenges, © European Union, March 2022.

[11] D.A. GAMBERA, E. DUARTE, D. RICCÒ, Internet of Senses (IoS) and Internet of Sensory Health (IoSH): A New Technology Epiphany, Human Dynamics and Design for the Development of Contemporary Societies, Vol. 25, 2022, pp. 313–320.

[12] A. CARRARA, C. BONITO, Ambiti applicativi e problematiche neuroetiche, Slide del Corso, 28/10/2022, pp. 7–47. (link di riferimento generico — se vuoi posso cercare la fonte diretta online)

[13] AUSTRALIAN HUMAN RIGHTS COMMISSION, Protecting Cognition: Human Rights and Neurotechnology, 02 July 2023.

[14] L. ROMANO, Il gemello digitale, Quotidiano Sanità, 15/02/2023.

https://www.ictsecuritymagazine.com/articoli/metaverso-realta-virtuale/

Gen 15, 2026 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, Minacce, News, RSS 0

---

Microsoft ha annunciato di aver smantellato RedVDS, una rete cybercrime-as-a-service che ha alimentato frodi multimilionarie in tutto il mondo. “Questi sforzi fanno parte di un’operazione congiunta più ampia con le forze dell’ordine internazionali, tra cui le autorità tedesche e l’Europol, che ha permesso a Microsoft e ai suoi partner di sequestrare infrastrutture dannose chiave e chiudere il marketplace di RedVDS, un passo importante verso lo smantellamento della rete dietro le frodi basate sull’intelligenza artificiale, come le truffe immobiliari” si legge nell’annuncio di Microsoft.

RedVDS operava come fornitore di server virtuali dedicati (VDS) a basso costo: per 24 dollari al mese (circa 20 euro), i cybercriminali potevano affittare macchine virtuali pre-configurate con software Windows senza licenza. Usando questi server, gli attaccanti potevano eseguire attacchi su scala globale con pochi dollari e rimanere nell’anonimato. Gli utenti che acquistavano il servizio ottenevano privilegi di amministratore completi grazie ai quali potevano installare qualsiasi kit di phishing e tool per l’intrusione.

I cybercriminali usavano l’infrastruttura di RedVDS per vari tipi di attività malevole, compresi l’hosting di infrastrutture scam e l’invio di grandi volumi di email di phishing. “In un solo mese, più di 2.600 macchine RedVDS distinte hanno inviato in media un milione di messaggi di phishing al giorno, solo ai clienti Microsoft” specifica Steven Masada, Assistant General Counsel della Digital Crimes Unit di Microsoft.

I ricercatori della compagnia hanno inoltre individuato un uso significativo dell’intelligenza artificiale, in particolare per tecniche di face swapping, manipolazione di video e clonazione di voci per impersonare dirigenti o partner commerciali e ingannare le vittime.

Una delle modalità di attacco più comuni abilitate da RedVDS era la business email compromise (BEC) nella quale gli attaccanti accedevano ad account email e monitoravano le conversazioni per individuare il momento propizio per colpire, per esempio la richiesta di un pagamento; a quel punto, impersonavano terze parti legittime e deviavano i fondi verso conti controllati da loro.

L’impatto di RedVDS

Dall’inizio del monitoraggio a marzo 2025, le attività facilitate da RedVDS hanno causato circa 40 milioni di dollari di perdite solo negli Stati Uniti. Tuttavia, Microsoft stima che il danno reale sia molto superiore, dato che molte frodi non vengono denunciate.

Per quanto riguarda l’Italia, Microsoft riporta che tra settembre 2025 e gennaio 2026 gli attacchi hanno compromesso circa 2480 account email di clienti nel nostro Paese. Il settore dei beni di consumo è stato il più colpito in termini di numero di account compromessi nello stesso periodo.

Tra le oltre 191.000 organizzazioni compromesse in tutto il mondo, spiccano due casi emblematici che si sono uniti a Microsoft come co-querelanti nell’azione legale: H2-Pharma, un’azienda farmaceutica dell’Alabama che ha perso oltre 7,3 milioni di dollari, e Gatehouse Dock Condominium Association, un’associazione condominiale in Florida truffata per quasi 500.000 dollari.

La collaborazione tra Microsoft e le autorità ha permesso non solo di mettere offline l’intera infrastruttura, ma anche di raccogliere prove cruciali per identificare le figure chiave dietro l’organizzazione.

Il successo dell’operazione non deve far abbassare la guardia, sottolinea Microsoft: nuovi servizi come questo, probabilmente ancora più strutturati, emergeranno in futuro. Per rendere più efficaci le difese, la compagnia consiglia innanzitutto di mettere sempre in discussione l’urgenza delle comunicazioni, contattare i partner commerciali su canali già noti prima di effettuare transazioni e fare attenzione a possibili piccole modifiche negli indirizzi email, spesso l’unico segnale di attacchi in corso. Contro il furto di account, inoltre, l’arma più efficace rimane la MFA.

---

---

---

https://www.securityinfo.it/2026/01/15/microsoft-smantella-redvds-rete-globale-di-cybercrime-as-a-service/?utm_source=rss&utm_medium=rss&utm_campaign=microsoft-smantella-redvds-rete-globale-di-cybercrime-as-a-service

Come il nuovo pacchetto normativo europeo ridisegna l’architettura della privacy online, tra semplificazioni GDPR e ripensamento del paradigma cookie.

L’alba di una nuova governance dei dati personali

Il panorama normativo europeo sulla protezione dei dati sta attraversando una metamorfosi strutturale. Il 19 novembre 2025, la Commissione Europea ha presentato il Digital Package on Simplification, un’iniziativa legislativa che promette di ricalibrare l’equilibrio tra tutela dei diritti fondamentali e competitività economica dell’Unione. Tra i pilastri di questa riforma emerge con particolare rilevanza la proposta di modifica al Regolamento (UE) 2016/679, meglio noto come GDPR, e una rivisitazione sostanziale delle regole sul consenso ai cookie.

L’iniziativa si articola in due strumenti legislativi distinti: un Digital Omnibus che interviene su GDPR, direttiva ePrivacy, Data Act e normativa sulla cybersicurezza, e un Digital Omnibus on AI dedicato alle modifiche dell’AI Act. Il pacchetto si accompagna inoltre alla Data Union Strategy e alla proposta di European Business Wallets, configurando un intervento sistemico sull’intero acquis digitale europeo.

Come sottolineato dalla Vice-Presidente esecutiva Henna Virkkunen nelle dichiarazioni successive alla pubblicazione, la semplificazione non significa ammorbidire gli standard, ma eliminare il “disordine regolamentare” che ostacola l’innovazione. Il Commissario alla Giustizia Michael McGrath ha precisato che non si tratta di una riapertura del GDPR, il cui nucleo essenziale rimane intatto, ma di misure mirate a favorire l’armonizzazione applicativa e a semplificare determinati obblighi.

Anatomia delle semplificazioni: cosa cambia nel GDPR

Il nuovo regime per le PMI: dalla compliance universale alla proporzionalità effettiva

La proposta introduce un principio di proporzionalità strutturale che modula gli obblighi di conformità in funzione delle dimensioni organizzative e della natura dei trattamenti effettuati. Un primo intervento era già stato operato con l’Omnibus IV, pubblicato il 21 maggio 2025, su cui l’EDPB e l’EDPS hanno espresso parere congiunto il 9 luglio 2025.

L’elemento più significativo riguarda l’esenzione dall’obbligo di tenuta del registro delle attività di trattamento ex articolo 30 del GDPR. La proposta estende la deroga alle imprese e organizzazioni con meno di 750 dipendenti, a condizione che il trattamento non presenti rischi elevati per i diritti degli interessati. Si tratta di un incremento considerevole rispetto alla soglia attuale di 250 dipendenti, giustificato dalla necessità di includere le cosiddette Small Mid-Cap Companies (SMC) nei benefici previsti per le PMI.

Anu Talus, Presidente dell’EDPB, ha accolto favorevolmente l’obiettivo di ridurre gli oneri amministrativi, osservando che la deroga attuale non sempre raggiungeva il suo scopo. Tuttavia, il Comitato ha chiesto chiarimenti sulla scelta della nuova soglia e ha raccomandato di precisare che le pubbliche amministrazioni rimangono escluse dalla deroga.

La Valutazione d’Impatto: verso un approccio risk-based maturo

L’articolo 35 del GDPR, relativo alla Data Protection Impact Assessment (DPIA), subisce una ricalibrazione significativa. La proposta mira a superare la frammentazione delle prassi nazionali attraverso l’elaborazione di liste unificate a livello europeo delle attività di trattamento che richiedono o meno una valutazione d’impatto. L’EDPB sarebbe incaricato di compilare tali liste e di sviluppare un template standardizzato per la DPIA, da sottoporre all’approvazione della Commissione.

Una volta adottate, queste liste unionali sostituirebbero le liste nazionali attualmente pubblicate dalle singole autorità di controllo, garantendo certezza giuridica alle organizzazioni che operano in più Stati membri. Le Linee Guida dell’EDPB sulla DPIA avevano già tentato di fornire orientamenti uniformi, ma la persistente eterogeneità applicativa richiedeva un intervento legislativo più incisivo.

Il nodo del consenso ai cookie: fine della cookie fatigue?

Dalla direttiva ePrivacy al GDPR: uno spostamento di baricentro

La componente più innovativa del pacchetto Digital Omnibus riguarda il trattamento del consenso per i cookie e le tecnologie di tracciamento analoghe. L’attuale framework, basato sulla Direttiva 2002/58/CE come modificata dalla Direttiva 2009/136/CE, ha prodotto il fenomeno universalmente noto come cookie banner fatigue: un’inflazione di richieste di consenso che, paradossalmente, ha eroso la consapevolezza degli utenti anziché potenziarla.

La proposta della Commissione opera uno spostamento strategico: le disposizioni sull’accesso ai dispositivi terminali, attualmente contenute nella direttiva ePrivacy, verrebbero trasferite nel GDPR. Questa migrazione comporta conseguenze rilevanti sul piano sanzionatorio, poiché le violazioni sarebbero soggette alle sanzioni previste dal GDPR, fino al 4% del fatturato annuo globale, garantendo maggiore effettività alla tutela dei consumatori.

Il consenso rimarrà necessario per la maggior parte delle attività di tracciamento, ma verranno introdotte eccezioni più ampie. In particolare, l’utilizzo di cookie per finalità di misurazione aggregata dell’audience e per scopi di sicurezza non richiederebbe più il consenso preventivo dell’utente. Quando le tecnologie di tracciamento comportano il trattamento di dati personali, il titolare potrà fare riferimento a qualsiasi base giuridica prevista dal GDPR, non esclusivamente al consenso.

I browser come gatekeeper del consenso: la centralizzazione delle preferenze

Un elemento particolarmente significativo della riforma è la promozione di meccanismi centralizzati per la gestione delle preferenze privacy. La Commissione prevede che, nel lungo termine, gli utenti possano esprimere le proprie scelte tramite segnali universali integrati nei browser, nei sistemi operativi o negli app store.

Questo approccio riecheggia lo standard tecnico Global Privacy Control (GPC), una specifica sviluppata dal W3C Privacy Working Group che consente agli utenti di comunicare automaticamente ai siti web la propria preferenza di non vedere venduti o condivisi i propri dati personali. Il GPC è già riconosciuto legalmente in California ai sensi del California Consumer Privacy Act, nonché in Colorado, Connecticut e New Jersey.

La proposta europea prevede che gli organismi di standardizzazione sviluppino specifiche tecniche per segnali machine-readable, e che la Commissione possa obbligare i produttori di browser e sistemi operativi a implementare tali funzionalità qualora il mercato non vi provveda spontaneamente. Decorsi sei mesi dall’entrata in vigore di tali standard, tutti gli editori sarebbero tenuti a rispettare i segnali di preferenza degli utenti.

Significativa l’eccezione prevista per i media service providers, esonerati dall’obbligo di rispettare tali segnali in considerazione del ruolo essenziale della pubblicità nel finanziamento del giornalismo indipendente.

Le reazioni dell’ecosistema: un coro dissonante

Le perplessità delle autorità di controllo e della società civile

L’European Data Protection Board ha accolto la proposta con cautela istituzionale. Se da un lato riconosce la legittimità dell’obiettivo di semplificazione, dall’altro manifesta preoccupazione per il potenziale indebolimento delle garanzie individuali.

Le critiche più severe provengono dalle organizzazioni per i diritti digitali. NOYB, l’organizzazione fondata da Max Schrems che ha promosso alcune delle più significative pronunce giurisprudenziali in materia di protezione dati, ha definito la proposta “il più grande attacco ai diritti digitali degli europei degli ultimi anni”. Secondo Schrems, le modifiche proposte aprirebbero numerose falle nella normativa, rendendola complessivamente inutilizzabile per la maggior parte dei casi. L’organizzazione ha pubblicato un’analisi dettagliata delle criticità della proposta.

Particolarmente controversa è la nuova disposizione che riconosce lo sviluppo e l’operatività di sistemi di intelligenza artificiale come legittimo interesse del titolare del trattamento. Questa previsione fornirebbe alle aziende una base giuridica più chiara per utilizzare dati personali nell’addestramento e nel funzionamento dei sistemi di IA, superando il dibattito sulla legittimità di tale pratica. I critici temono tuttavia che ciò equivalga a un “assegno in bianco” per le grandi aziende tecnologiche.

Le preoccupazioni investono anche la compatibilità con la giurisprudenza consolidata della Corte di Giustizia dell’Unione Europea. Nella sentenza Planet49 (causa C-673/17, 1 ottobre 2019), la Corte ha ribadito che il consenso all’installazione di cookie non essenziali deve essere attivo, libero, specifico e informato, escludendo la validità delle caselle pre-selezionate. La riforma dovrà dimostrare di non contraddire questi principi consolidati.

L’industria digitale: tra entusiasmo e opportunismo strategico

Le associazioni di categoria del settore tecnologico e pubblicitario hanno salutato con favore la proposta. DigitalEurope, la principale federazione industriale del settore, aveva da tempo sollecitato una revisione del regime del consenso, argomentando che l’attuale disciplina penalizza gli operatori europei rispetto ai competitor extracomunitari.

La GSMA e Connect Europe, che rappresentano gli operatori di telecomunicazioni europei, hanno accolto positivamente il pacchetto, così come la CCIA Europe, che tuttavia ritiene necessarie ulteriori e più incisive azioni di semplificazione.

Il contesto italiano: le Linee Guida del Garante sui cookie

In Italia, il quadro di riferimento per il consenso ai cookie è stato ridefinito dalle Linee Guida del Garante per la Protezione dei Dati Personali, adottate il 10 giugno 2021 e pubblicate in Gazzetta Ufficiale il 10 luglio dello stesso anno. Il provvedimento, entrato pienamente in vigore il 10 gennaio 2022, ha recepito le indicazioni dell’EDPB e i principi del GDPR, stabilendo regole dettagliate per l’acquisizione del consenso e la fornitura dell’informativa.

Tra i punti qualificanti delle Linee Guida italiane vi è l’obbligo di prevedere un meccanismo di rifiuto dei cookie equipollente a quello di accettazione: accanto al pulsante “Accetta” deve figurare un comando “Rifiuta” o una “X” con funzione equivalente. Lo scrolling della pagina, da solo, non costituisce più manifestazione valida di consenso, salvo che sia inserito in un processo più articolato che consenta all’utente di esprimere una scelta inequivoca e documentabile.

Il Garante ha inoltre chiarito che il cookie wall, ovvero il condizionamento dell’accesso ai contenuti all’accettazione dei cookie, è tendenzialmente illecito, salvo che il titolare offra all’interessato la possibilità di accedere a contenuti o servizi equivalenti senza prestare il consenso.

La riforma europea potrebbe rendere necessario un aggiornamento di queste disposizioni nazionali, qualora il nuovo framework introduca basi giuridiche alternative al consenso per determinate tipologie di tracciamento.

Implicazioni operative per i titolari del trattamento

La transizione verso il nuovo regime: una roadmap prudenziale

Le organizzazioni che operano nel mercato europeo dovranno affrontare un processo di adeguamento articolato in fasi distinte. Nella fase preparatoria, antecedente all’entrata in vigore delle modifiche, sarà opportuno condurre un’analisi differenziale tra le attuali prassi di compliance e i nuovi requisiti, identificando le aree di potenziale semplificazione e quelle che richiederanno un rafforzamento delle misure esistenti.

Particolare attenzione dovrà essere dedicata alla revisione delle informative privacy ex articoli 13 e 14 del GDPR per riflettere eventuali nuove basi giuridiche dei trattamenti. Qualora si intenda fare ricorso al legittimo interesse per finalità precedentemente basate sul consenso, sarà necessario documentare il balancing test e garantire la trasparenza nei confronti degli interessati.

I meccanismi di opt-out dovranno rispettare i principi di privacy by design e by default sanciti dall’articolo 25 del GDPR, garantendo che l’esercizio dell’opposizione sia altrettanto semplice della prestazione del consenso iniziale. La giurisprudenza della CGUE ha costantemente ribadito questo principio di simmetria.

Il ruolo del Data Protection Officer nell’era post-Omnibus

Il Responsabile della Protezione dei Dati, figura introdotta dall’articolo 37 del GDPR, assumerà una funzione ancora più strategica nella fase di transizione. Le competenze richieste si estenderanno dalla conoscenza normativa alla capacità di interpretare principi generali in contesti di incertezza regolamentare, fungendo da interfaccia tra le esigenze di business e i vincoli di conformità.

Prospettive evolutive: verso un’ecologia digitale sostenibile

L’integrazione con il framework dell’AI Act

La riforma del GDPR non può essere analizzata isolatamente dal più ampio contesto regolatorio europeo sul digitale. Il Regolamento (UE) 2024/1689 sull’intelligenza artificiale introduce requisiti specifici per i sistemi di IA che trattano dati personali, creando sovrapposizioni e potenziali tensioni interpretative con la disciplina generale sulla protezione dei dati.

Il Digital Omnibus on AI, parte integrante del pacchetto, propone di posticipare a dicembre 2027 l’entrata in vigore degli obblighi più stringenti per i sistemi ad alto rischio, estendendo al contempo alcune semplificazioni previste per le PMI anche alle Small Mid-Cap Companies. Questa dilazione temporale mira a consentire alle imprese di adeguarsi gradualmente ai nuovi requisiti, ma ha sollevato critiche da parte di chi teme un indebolimento delle tutele.

La dimensione geopolitica della privacy

La riforma si inserisce in un contesto di crescente competizione normativa globale. Mentre l’Europa ripensa il proprio modello, giurisdizioni come la California, il Brasile con la LGPD e l’India stanno elaborando framework privacy che, pur ispirandosi al GDPR, introducono varianti significative.

L’Unione Europea si trova di fronte a un dilemma strategico: mantenere il proprio primato come standard-setter globale in materia di protezione dati, rischiando però di imporre oneri che riducano la competitività delle imprese europee, oppure allinearsi a modelli meno stringenti, con il rischio di una corsa al ribasso nelle tutele. Il pacchetto Digital Omnibus rappresenta il tentativo di navigare tra questi due estremi, preservando i principi fondamentali del GDPR mentre ne modernizza l’architettura applicativa.

I prossimi passi del percorso legislativo

La proposta della Commissione seguirà la procedura legislativa ordinaria, con l’esame da parte del Parlamento Europeo e del Consiglio dell’Unione Europea. È previsto che le negoziazioni sui traguardi interinali (trilogue) inizino nella primavera 2026, con l’obiettivo di raggiungere l’adozione finale entro la metà dell’anno.

Esiste tuttavia la possibilità di un’accelerazione qualora il Parlamento decida di applicare la procedura d’urgenza prevista dall’articolo 170 del suo Regolamento interno, come già avvenuto per precedenti pacchetti omnibus. In tal caso, l’adozione potrebbe avvenire già nel primo trimestre 2026.

Parallelamente, la Commissione ha avviato una consultazione pubblica sul Digital Fitness Check, aperta fino al 16 marzo 2026, per raccogliere osservazioni sull’interazione tra le diverse normative digitali europee e sul loro impatto cumulativo sulle imprese. I risultati confluiranno in un rapporto atteso per il primo trimestre 2027.

Conclusioni: la privacy come infrastruttura democratica

La proposta di riforma contenuta nel Digital Omnibus trascende la dimensione meramente tecnico-giuridica per investire questioni di natura costituzionale. La protezione dei dati personali, come riconosciuto dall’articolo 8 della Carta dei Diritti Fondamentali dell’UE, costituisce un diritto fondamentale autonomo e un prerequisito per l’esercizio effettivo di altre libertà: espressione, associazione, autodeterminazione politica.

Semplificare non significa necessariamente depotenziare. Se correttamente implementata, la riforma potrebbe paradossalmente rafforzare l’effettività delle tutele, eliminando quegli elementi di complessità che oggi generano compliance formale priva di sostanza. Il consenso informato diventa significativo solo quando l’utente dispone degli strumenti cognitivi e tecnici per comprenderlo ed esercitarlo; la proliferazione di banner incomprensibili ha invece prodotto una desensibilizzazione collettiva che frustra gli obiettivi stessi del legislatore.

Il successo dell’iniziativa dipenderà dalla capacità delle istituzioni europee di resistere alle pressioni per trasformare la semplificazione in deregolamentazione, e dalla vigilanza attiva della società civile nel monitorare l’implementazione delle nuove norme. Come ha osservato l’European Digital Rights Initiative (EDRi), il problema non è il rulebook europeo, ma la sua effettiva applicazione: “se la Commissione dedicasse alla enforcement la stessa energia che impiega per ridimensionare le regole, non staremmo discutendo di semplificazione”.

In questo senso, il Digital Omnibus non è un punto di arrivo ma l’apertura di un nuovo capitolo nel dibattito europeo sulla governance dei dati, che richiederà il contributo di tutti gli stakeholder per tradursi in un effettivo progresso nella tutela dei diritti digitali.

https://www.ictsecuritymagazine.com/articoli/digital-omnibus/

@import url(‘https://fonts.googleapis.com/css2?family=Nunito+Sans:ital,opsz,wght@0,6..12,400;0,6..12,500;0,6..12,600;0,6..12,700;1,6..12,400;1,6..12,500;1,6..12,600;1,6..12,700&family=Nunito:ital,wght@0,400;0,500;0,600;0,700;1,400;1,500;1,600;1,700&display=swap’); @import url(‘https://fonts.googleapis.com/css2?family=Handlee&display=swap’); h3 { font-weight: bold; font-size: 18px; color: #C72026; } figure { padding: 4px; margin: auto; } figcaption { background-color: #f8f8f8; color: #404144; Nunito Sans’, Arial, sans-serif; font-size: 14px; padding: 2px; text-align: left; } .pqFull { display: block; border-width: 2px 0; border-style: solid; border-color: #404144; padding: 1.5em 0 0.5em; margin: 1.5em 0; position: relative; Handlee”, Arial, sans-serif; font-size: 20px; text-align: center; color: #0067A6; } .pqFull:before { content: ‘\275D’; position: absolute; top: -.10em; left: 50%; transform: translate(-50%, -50%); background: #fff; width: 4rem; height: 2rem; color: #666; text-align: center; } .pqFull:after { content: “\2013 \2003” attr(cite); display: block; text-align: center; font-size: 18px; color: #404144; } .w3-container:after,.w3-container:before,.w3-row:after,.w3-row:before { content: “”; display: table; clear: both } .w3-container { padding: 5px; } .w3-col,.w3-half,.w3-third,.w3-twothird,.w3-threequarter,.w3-quarter { float: left; width: 100% } @media (min-width:601px) { .w3-col.m1 { width: 8.33333% } .w3-col.m2 { width: 16.66666% } .w3-col.m3,.w3-quarter { width: 24.99999% } .w3-col.m4,.w3-third { width: 33.33333% } .w3-col.m5 { width: 41.66666% } .w3-col.m6,.w3-half { width: 49.99999% } .w3-col.m7 { width: 58.33333% } .w3-col.m8,.w3-twothird { width: 66.66666% } .w3-col.m9,.w3-threequarter { width: 74.99999% } .w3-col.m10 { width: 83.33333% } .w3-col.m11 { width: 91.66666% } .w3-col.m12 { width: 99.99999% }} .w3-row-padding,.w3-row-padding>.w3-half,.w3-row-padding>.w3-third,.w3-row-padding>.w3-twothird,.w3-row-padding>.w3-threequarter,.w3-row-padding>.w3-quarter,.w3-row-padding>.w3-col { padding: 0 8px }

New years are for new beginnings. While it may seem cliché, the sentiment rings true for many, especially those seeking to shift their career direction or join the workforce for the first time.

When new talent joins any field, the learning curve can be a challenge — and in the case of the security industry — intense. Working in security can be a demanding experience, and when someone is new to the profession, it can be overwhelming. This is where seasoned professionals can help.

“So much of the industry is based on experience and not education. You can learn all the lessons yourself, but it will take a lot longer,” explains Renée Burton, Vice President of Threat Intelligence at Infoblox. Learning from people who have seen enough things to have a strong intuition can help you be better and faster. In part, this is because the field is always changing. As bad actors constantly improve their techniques, the defenders must respond. Having mentors of all types who can support you in building those base skills helps a lot.”

Building the Next Generation

Robb Reck, Chief Information, Trust and Security Officer at Pax8, began his career at Electronic Arts, where he helped people “bring their video games to life.” The role eventually led him into corporate IT positions, then positions with systems engineering, networking and cybersecurity focuses.

Reck reflects on the role that mentorship played in his career, stating, “I’ve been fortunate to have had a series of role models throughout my career. In my first internal IT role, I had an incredible director who took the time to explain to me what kinds of skills were valuable both for my company and for the larger industry. His mentorship gave me confidence that I could pick my head up from the constant focus on break-fix work and take my career into my own hands, through training and focused development.

About five years later, when Reck was running his first security program, he says the IT VP helped him see the bigger picture and how his program could directly impact the company’s future.

“At the same time my wife and I were having our first children, and this boss was intentional about showing me how to balance work and personal life and be successful at both,” Reck recalls. “His lessons helped me become a better employee, husband and father.”

A decade later, Reck stepped in as the first CISO for Ping Identity.

“Our CEO and founder was one of the most thoughtful and caring people I have had the chance to work with,” he says. “Seeing how he balances tough trade-offs between organizational success and caring for individuals has built a huge part of my own leadership philosophy. Not only did I get to learn from him by watching, but he was also intentional in providing me with timely, thoughtful, and kind feedback while we worked together. I vividly remember blowing it at an executive meeting and not showing up as my best. After that, he set aside time with me to understand what had happened and provide guidance on how to be successful in the future.”

In this industry, support goes a long way. Whether guiding someone through technical expertise, boardroom meetings, or the complexities of work-life balance, more seasoned professionals can offer a helping hand to new talent, helping them to bridge gaps that may seem insurmountable to them.

As leaders, we have to offer opportunities to the next generation. For people coming up in the field, you have to take advantage of those opportunities.

Scott McHugh, Program Executive at the Institute for Homeland Security at Sam Houston State University, shares what he has seen from a mentor who had gone “beyond just the mentorship of having a cup of coffee and talking about how things are going.”

“This mentor took steps with his mentees that were very practical, very positive, and put the spotlight on that mentee and encourage them to go beyond their comfort zone,” McHugh describes. “He pushed them to go beyond their normal in a way that enabled them to gain confidence, experience, and knowledge as to how to be a strategic business executive who uses security to solve business problems. That type of commitment will create the next generation that is so crucial for our profession going forward.”

As powerful of a tool as mentorship is, security leaders can’t build up every single individual that comes across their path. There simply isn’t enough time, and stretching yourself thin to try and guide as many people as possible won’t help anyone in the long run. Ultimately, it is about allowing those mentorship relationships to develop organically — and to provide guidance to those who are willing to accept it.

“I look for people who are excited to ‘hunt’ criminals in data, and then try to nourish that excitement,” Burton shares. “As leaders, we have to offer opportunities to the next generation. For people coming up in the field, you have to take advantage of those opportunities.”

Retaining the Next Generation

Building up new talent in the industry is crucial, but it means nothing if that talent can’t be retained. Retention in the security industry can be a challenge, with burnout often cited as a main concern.

“We’ve seen this happen in the security industry,” says Dr. Anmol Agarwal, Senior Security Researcher at Nokia. “It has been studied that women, for example, leave the industry after some time. In particular, women that want to move into leadership roles face an uphill battle.”  

New talent may struggle to adjust to the security industry, especially if they struggle with an “uphill battle.” While these challenges may never fully disappear, they can be better managed with help from professionals who have already walked the path — and succeeded.

“The industry should ensure that management has strategies in place for talent retention,” Dr. Agarwal asserts. “Professionals should have access to communities where they can obtain support and share their challenges. For example, when women want to move into leadership, there should be a pathway for them to get into the C-Suite. Leadership should set advancement metrics and ensure that these metrics are inclusive and provide opportunities to those who want to be in leadership.”

As we welcome in another year, now is the perfect time to reflect on how security is changing and what direction it is headed. Leaders of the industry can choose the direction by spearheading innovative initiatives and tackling emerging threats — but to leave a truly lasting impact, cultivating the next generation of leaders is a must.

https://www.securitymagazine.com/articles/102070-securitys-new-years-resolution-building-up-the-next-generation

A federal judge in Austin, Texas, has dismissed a major securities class action lawsuit against CrowdStrike over the highly disruptive outage caused by a software update in July 2024.

Millions of Windows devices worldwide crashed after the cybersecurity giant pushed an insufficiently tested update to endpoints running its software. The incident led to severe disruptions at airports, banks, media outlets, and hospitals.

Just days after the incident, CrowdStrike investors announced plans to file a securities class action, alleging that the company made materially false and misleading statements and omissions about its product updates and their potential to cause major outages and pose a substantial reputational harm and legal risk. 

CrowdStrike announced on Wednesday that a judge has dismissed the lawsuit, ruling that shareholders failed to prove the cybersecurity firm intentionally defrauded them.

The judge instead noted that the plaintiffs were misleading and took CrowdStrike’s statements regarding its products out of context. 

“We appreciate the Court’s thoughtful consideration and decision to dismiss this case,” Cathleen Anderson, Chief Legal Officer at CrowdStrike, said in an emailed statement. 

While the dismissal marks a significant legal victory for CrowdStrike, it does not resolve the company’s ongoing multi-million dollar dispute with Delta Air Lines.

Delta filed a lawsuit against the security firm in October 2024, alleging that the outage caused by the bad update resulted in more than $500 million in lost revenue and incident response expenses. 

Unlike the shareholder suit, which centered on intent to defraud the market, Delta’s litigation in Georgia focuses on claims of gross negligence and breach of contract.

A lawsuit filed against CrowdStrike by airline passengers was dismissed in June 2025. 

Related: Google Says Chinese ‘Lighthouse’ Phishing Kit Disrupted Following Lawsuit 

Related: NSO Ordered to Stop Hacking WhatsApp, but Damages Cut to $4 Million

Related: Arizona Attorney General Sues Chinese Online Retailer Temu Over Data Theft Claims

https://www.securityweek.com/investor-lawsuit-over-crowdstrike-outage-dismissed/

Microsoft announced on Wednesday that it has teamed up with law enforcement to target RedVDS, a cybercrime service that has facilitated a wide range of malicious activities. 

Launched in 2019, RedVDS is a virtual dedicated server (VDS) service that enables cybercriminals to set up disposable Windows-based RDP servers that they can then leverage for mass phishing, BEC attacks, financial fraud, and account takeover.

A subscription costs as little as $24 per month, but reported fraud losses tied to RedVDS total $40 million in the US alone, Microsoft said. As an example, the tech giant named an Alabama pharmaceutical company that lost over $7.3 million following a BEC attack that involved the cybercrime service.

According to Microsoft, cybercriminals have used RedVDS to target organizations in the United States, the United Kingdom, Canada, France, Germany, and Australia, including sectors such as legal, manufacturing, healthcare, real estate, construction, and education. 

The tech giant tracks the threat group that operates and develops RedVDS as Storm-2470.

Microsoft was able to link many attacks to RedVDS due to most of the virtual servers using the same base Windows installation. The servers were generated from the same Windows Server 2022 image, and the server instances had the same computer name.

“This host fingerprint appears in RDP certificates and system telemetry, serving as a core indicator of RedVDS activity. The underlying trick is that Storm-2470 created one Windows virtual machine (VM) and repeatedly cloned it without customizing the system identity,” Microsoft explained.

These RedVDS servers do not conduct the actual malicious activity on their own. Instead, they can be provisioned by threat actors for malicious activities.

The company’s analysis showed that the RedVDS servers were used for a wide range of purposes. Some cybercriminals installed mass mailer utilities that they used to send out spam and phishing emails. Others installed email address harvesters that enabled them to create target lists.

Cybercriminals also installed privacy-focused browsers and VPNs on their servers, as well as remote access tools such as AnyDesk. Some of the service’s users also leveraged AI tools to improve their operations, Microsoft reported. 

The company saw, in just one month, 2,600 RedVDS VMs sending an average of one million phishing emails per day to Microsoft customers.

“While most were blocked or flagged as part of the 600 million cyberattacks Microsoft blocks per day, the sheer volume meant a small percentage may have succeeded in reaching the targets’ inbox,” Microsoft said. “Since September 2025, RedVDS‑enabled attacks have led to the compromise or fraudulent access of more than 191,000 Microsoft email accounts across over 130,000 organizations worldwide.”

RedVDS disrupted

Microsoft has teamed up with international law enforcement to disrupt RedVDS. Actions taken against the cybercrime service include the seizure of domains associated with the RedVDS marketplace and customer portal.

Key servers have also been seized, and Microsoft is working with law enforcement to disrupt payment networks associated with the service.

Microsoft has filed legal action in the United States — and for the first time in the United Kingdom — in an effort to disrupt RedVDS infrastructure and identify the individuals behind the operation.

The news comes just months after Microsoft and Cloudflare teamed up to disrupt the RaccoonO365 phishing service. Some of the threat actors that used the RaccoonO365 service before its takedown have also used RedVDS.

Related: Microsoft Disrupts ONNX Phishing Service, Names Its Operator

Related: Google Says Chinese ‘Lighthouse’ Phishing Kit Disrupted Following Lawsuit 

Related: RaccoonO365 Phishing Service Disrupted, Leader Identified

https://www.securityweek.com/redvds-cybercrime-service-disrupted-by-microsoft-and-law-enforcement/

Robo-advisor pioneer Betterment has disclosed a cybersecurity incident after a threat actor used social engineering to breach its systems.

The attack involved third-party software platforms that the company uses for marketing and operations and was not the result of Betterment infrastructure hacking, the investment advisor said.

The threat actor on January 9 sent a crypto-related message to certain Betterment customers, impersonating the company to trick users into sending them funds.

The fraudulent message claimed that Betterment would triple fresh deposits made to Bitcoin and Ethereum cryptocurrency addresses controlled by the attacker.

“After the fraudulent message was sent on January 9, our teams immediately revoked the unauthorized access and launched a comprehensive investigation, which is ongoing,” Betterment said.

The company says it has contacted the affected customers directly to notify them of the scam.

According to Betterment, no customer accounts were accessed in the attack, and no passwords or other credentials were compromised.

In a January 10 notice, the fintech firm explained that no accounts were compromised even if the affected users clicked on the links in the fraudulent message.

This week, however, Betterment revealed that the threat actor might have accessed certain customer information, including names, addresses, email addresses, phone numbers, and dates of birth.

“We encourage all customers to remain vigilant and to be cautious of unexpected communications. Please remember that Betterment will never call, text, or email you with a request to share your password or other sensitive personal information,” the company said.

What Betterment did not share was the number of potentially impacted individuals. SecurityWeek has emailed the company for additional information and will update this article if it responds.

Headquartered in New York City, Betterment is one of the largest robo-advisors in the US, with over 1 million customers and more than $65 billion worth of assets under management.

Related: After Goldman, JPMorgan Discloses Law Firm Data Breach

Related: Instagram Fixes Password Reset Vulnerability Amid User Data Leak

Related: Researcher Spotlights WhatsApp Metadata Leak as Meta Begins Rolling Out Fixes

Related: European Space Agency Confirms Breach After Hacker Offers to Sell Data

https://www.securityweek.com/robo-advisor-betterment-discloses-data-breach/