Nel secondo trimestre del 2025, il ransomware ha attraversato una trasformazione tanto profonda quanto inquietante, evolvendo da minaccia informatica a ecosistema criminale complesso che richiede competenze specialistiche per essere affrontato. Secondo il rapporto Q2 2025 di Coveware by Veeam, il pagamento medio per attacco ransomware ha raggiunto 1,13 milioni di dollari, un incremento del 104% rispetto al primo trimestre dello stesso anno. Ma questa cifra racconta solo una frazione di una storia molto più complessa, dove la figura del negoziatore ransomware è emersa dall’ombra per diventare protagonista indispensabile di una crisi che coinvolge tecnologia, diritto, etica e psicologia.

Il dato più significativo riguarda la percentuale di vittime che decidono di pagare il riscatto: il 26% secondo i dati Coveware, una percentuale che si è mantenuta stabile rispetto al trimestre precedente nonostante l’aumento drammatico degli importi. Parallelamente, l’esfiltrazione dei dati ha superato la criptazione come principale metodo di estorsione: il 74% degli attacchi nel secondo trimestre 2025 ha incluso il furto di informazioni sensibili, trasformando radicalmente le dinamiche del confronto tra vittime e criminali. Come sottolinea Bill Siegel, CEO di Coveware, “il secondo trimestre del 2025 segna un punto di svolta per il ransomware, dove social engineering mirato e data exfiltration sono diventati il playbook dominante”.

Questa evoluzione ha generato una professione tanto controversa quanto necessaria: il negoziatore ransomware. Figure che operano nell’intersezione tra cybersecurity, intelligence e psicologia criminale, capaci di interfacciarsi con organizzazioni criminali sofisticate per minimizzare i danni e, quando necessario, condurre trattative che possono valere milioni di dollari. Il fenomeno solleva questioni etiche e legali complesse, ma la domanda per questi servizi non è mai stata così alta in un panorama dove, come documenta Help Net Security nell’aprile 2025, ogni decisione può determinare la sopravvivenza stessa dell’organizzazione colpita.

Il modello Ransomware-as-a-Service nel 2025

Il Ransomware-as-a-Service ha subito nel 2025 quella che Coveware definisce una crisi strutturale profonda. Il modello RaaS “rimane irrimediabilmente compromesso” dopo che i gruppi che hanno pionieristicamente utilizzato questo framework sono stati esposti come caratterizzati da conflitti interni, inganni, profitti persi e anonimato compromesso per i loro affiliati. Le operazioni di law enforcement coordinate nel 2024 hanno sistematicamente danneggiato le risorse su cui gli attori ransomware dipendono per operare, mettendo anche alcuni criminali dietro le sbarre nel caso di minacce domestiche.

Questo collasso ha dato origine a un panorama frammentato dominato da tre categorie di attori secondo l’analisi Coveware del Q1 2025: operatori solitari non affiliati (“lone wolf”), un gruppo di nuovi brand ransomware che confondono i confini tra crimine finanziario motivato, spionaggio e hacktivism, e pochi gruppi sopravvissuti dell’era precedente. RansomHub, che aveva raggiunto una quota di mercato a due cifre, è improvvisamente scomparso intorno al 2 aprile 2025, con l’infrastruttura del gruppo che si è disconnessa. Sebbene la scomparsa abbia seguito reportage recenti che collegavano RansomHub all’entità sanzionata conosciuta come Evil Corp, rimane poco chiaro se questo sia stato un fattore contribuente.

Nel secondo trimestre 2025, come documenta il rapporto ufficiale Coveware, i tre gruppi più attivi sono stati Akira con il 19% degli attacchi, Qilin con il 13% e i cosiddetti “Lone Wolf” con il 9%. Per la prima volta, Silent Ransom e Shiny Hunters sono entrati nella top five, riflettendo un panorama delle minacce dinamico con nuovi entranti che rimodellano le classifiche. Questi gruppi hanno abbandonato gli attacchi opportunistici di massa per colpi di precisione, utilizzando nuove tattiche di impersonificazione contro help desk, dipendenti e fornitori di servizi terzi.

L’intelligenza artificiale sta ulteriormente complicando il quadro. Il rapporto Q2 2025 di Check Point evidenzia come i threat actors stiano utilizzando AI per automatizzare le comunicazioni e affinare le tecniche di social engineering. Scattered Spider, Silent Ransom e Shiny Hunters hanno dominato il secondo trimestre 2025 proprio grazie a tattiche di ingegneria sociale altamente mirate, rappresentando quella che Coveware identifica come le “minacce più grandi” del periodo.

I negoziatori ransomware: professionisti nell’ombra

La figura del negoziatore ransomware si è consolidata nel 2025 come componente essenziale della risposta agli incidenti, nonostante permangano controversie etiche e legali sulla sua stessa esistenza. Come racconta Jason Baker, analista lead del GuidePoint Research and Intelligence Team in un’intervista a Assured nel febbraio 2025, “Le persone spesso ci chiedono come facciamo a essere «tranquilli» con l’idea di interagire con i threat actors. La mia risposta è che una volta che smetti di vederla come «facilitazione» di un crimine e cominci a considerarla come un modo per contenere, limitare e ostacolare l’attaccante con ogni risorsa disponibile, diventa molto più semplice.”

I negoziatori non sono improvvisati: molti provengono da background in intelligence militare, forze dell’ordine o incident response. GuidePoint Security, una delle principali società del settore attiva dal 2023, riporta che il proprio team ha “dimostrato successo nel negoziare accordi con riduzioni che superano l’85%”. Secondo un comunicato Business Wire dell’agosto 2023, le capacità di negoziazione ransomware di GRIT (GuidePoint Research and Intelligence Team) hanno ridotto la richiesta media di riscatto del 50%, con la riduzione più grande pari all’85% rispetto alla richiesta originale.

Questi professionisti operano su database proprietari di threat actors che consentono strategie negoziali basate sull’evidenza e valutazioni realistiche degli outcome probabili, un vantaggio informativo che nessuna organizzazione vittima potrebbe possedere autonomamente. Il processo negoziale si articola in fasi precise. Come spiega Richard Foster, negoziatore che attinge alla propria esperienza nella gestione delle crisi ostaggio per le forze dell’ordine britanniche in un’analisi per BankInfoSecurity nel marzo 2025, “la negoziazione è più un gioco di pensiero, in cui cerchi di essere più furbo degli hacker per guadagnare tempo e accertare informazioni preziose”.

Il caso Royal Mail del gennaio 2023, analizzato in dettaglio nell’articolo di BankInfoSecurity, illustra perfettamente il valore strategico della negoziazione anche quando non si intende pagare. Il negoziatore professionista, presentandosi come junior IT staff per ridurre la percezione di autorità decisionale, ha esteso le trattative con LockBit per tre settimane. Durante questo periodo, Royal Mail ha potuto identificare quali file erano stati esfiltrati, valutare se contenessero dati personali e preparare una strategia di risposta. L’azienda non ha mai pagato, ma la negoziazione ha trasformato una crisi caotica in un processo gestito.

Coveware, leader globale nella risposta agli incidenti ransomware e acquisita da Veeam nell’aprile 2024, ha sviluppato strumenti proprietari come Recon e Unidecrypt specificamente per supportare il processo negoziale. Recon consente di prevedere con accuratezza i costi e le tempistiche di recupero, informazioni cruciali per determinare se la negoziazione di un pagamento abbia senso economico. L’azienda sottolinea che il proprio team di case manager specializzati negozia 24/7 per conto dei clienti, liberando i team interni per concentrarsi sul recovery tecnico.

Le questioni legali ed etiche della negoziazione

La decisione di negoziare con i ransomware operators solleva immediatamente complesse questioni legali che possono trasformare la vittima in potenziale criminale. Come documenta l’analisi di DLA Piper, l’Office of Foreign Assets Control (OFAC) del Dipartimento del Tesoro americano ha emesso nell’ottobre 2020 un advisory alle aziende che pagano o facilitano un pagamento di riscatto, avvertendole che le vittime di attacchi ransomware e le terze parti che assistono queste vittime potrebbero violare le leggi federali se pagano o facilitano il pagamento a un individuo o entità sanzionata, intenzionalmente o meno.

Le penalità possono essere criminali o civili, e le violazioni sono reati di strict liability (cioè violazioni indipendentemente dalla colpevolezza). Le multe per violazioni possono essere sostanziali, arrivando fino a 20 milioni di dollari e reclusione. L’advisory nota che penalità civili possono essere imposte per violazioni di sanzioni anche se le parti che iniziano o facilitano la transazione non sapevano o non avevano ragione di sapere di essere coinvolte in una transazione proibita.

Questo crea un dilemma kafkiano: un’organizzazione sotto attacco deve rapidamente determinare l’identità del proprio attaccante – processo lungo e spesso inconcludente – prima di poter anche solo considerare un pagamento. Come nota l’intervista a Nexus nel febbraio 2024, “negoziare e pagare sono due cose molto diverse”, e la prima fase critica consiste proprio nel verificare che eventuali fondi non finirebbero in mani proibite.

La questione è ulteriormente complicata dalla proliferazione di leggi statali. Florida, North Carolina e Tennessee hanno approvato normative che proibiscono alle entità del settore pubblico di pagare riscatti, come riporta TechTarget. A livello internazionale, secondo l’analisi di Acronis, gli stati membri dell’Unione Europea possono imporre multe per i pagamenti di riscatti nell’ambito della Direttiva NIS (Network and Information Systems Security).

Melissa K. Ventrone, leader della practice cybersecurity, data protection and privacy presso lo studio legale internazionale Clark Hill e intervistata da TechTarget, sostiene che le vittime dovrebbero assumere negoziatori professionisti proprio per navigare questi rischi legali: “I negoziatori sapranno come eseguire verifiche per assicurarsi che i pagamenti non violino le sanzioni nazionali, e avranno esperienza nella gestione delle criptovalute necessarie per effettuare un pagamento di riscatto”. Le polizze di cyber insurance spesso richiedono esplicitamente l’uso di negoziatori professionali designati dall’assicuratore.

L’FBI mantiene una posizione pubblica di forte scoraggiamento verso i pagamenti. Tuttavia, come riporta TechTarget citando l’agente Paul Vassilakos, le autorità comprendono che pagare è “una decisione di business” e che “le entità devono prendere la decisione che è nel loro miglior interesse”, aggiungendo che attacchi ransomware passati hanno distrutto organizzazioni. Il consiglio implicito, come riportato nell’intervista Nexus, è di informare comunque l’FBI delle intenzioni: “Spiegare ‘guardate, siamo in difficoltà e a meno che non ci diciate diversamente, pagheremo’ rende molto difficile perseguire un’azienda in quella situazione”.

Come prevenire gli attacchi ransomware nel 2025

La prevenzione del ransomware nel 2025 richiede un approccio radicalmente diverso rispetto al passato, principalmente perché la natura degli attacchi è cambiata. Come documenta il rapporto Coveware Q2 2025, il 74% degli incidenti ora include esfiltrazione dati, rendendo insufficienti le strategie difensive focalizzate esclusivamente sulla prevenzione della criptazione. Bill Siegel avverte: “gli attaccanti non cercano solo i vostri backup – puntano alle persone, ai processi e alla reputazione dei vostri dati”.

Il social engineering è diventato il vettore dominante nel 2025. Scattered Spider, Silent Ransom e Shiny Hunters hanno dominato il secondo trimestre 2025 utilizzando ingegneria sociale altamente mirata per violare organizzazioni attraverso settori. La guida CISA #StopRansomware, aggiornata nel maggio 2023 in collaborazione con FBI, NSA e MS-ISAC, identifica come vettori primari le credenziali compromesse, vulnerabilità non corrette e forme avanzate di ingegneria sociale. I dati Coveware Q2 2025 mostrano che compromissione delle credenziali, phishing e sfruttamento di servizi remoti continuano a dominare l’accesso iniziale.

L’implementazione dell’autenticazione multifattoriale è ora considerata requisito minimo basilare. Il caso Change Healthcare del febbraio 2024 è partito da un singolo account senza MFA. Come evidenzia Microsoft nelle proprie linee guida sulla protezione ransomware, l’MFA tradizionale via SMS non basta più nel 2025: servono soluzioni resistenti al phishing basate su hardware key o biometria per resistere agli attacchi sempre più sofisticati.

La formazione del personale ha assunto importanza critica. Secondo l’IBM Cost of a Data Breach Report 2024, le organizzazioni che stabiliscono team di incident response e testano regolarmente i loro piani IR possono ridurre il costo medio di una violazione di 232.008 dollari. Come raccomanda CISA, il training non è un evento annuale ma un processo permanente. Nel contesto 2025, questo include simulazioni di impersonificazione di help desk, riconoscimento di tecniche di social engineering avanzate e consapevolezza delle tattiche di manipolazione psicologica.

I backup rappresentano l’ultima rete di salvataggio, ma devono essere implementati correttamente. Secondo il rapporto Sophos State of Ransomware 2024, il 94% delle organizzazioni colpite nel 2024 ha subito tentativi di compromissione dei propri backup da parte dei criminali. La soluzione passa attraverso storage immutabile con object lock e air-gapped backups fisicamente separati dalla rete. Veeam raccomanda test regolari di ripristino: non basta avere i backup, devono essere funzionanti e ripristinabili in tempi ragionevoli.

Protezione ransomware: resilienza nell’wra dell’esfiltrazione

La protezione efficace nel 2025 richiede l’accettazione di una verità scomoda: la compromissione è sempre più probabile. Come sottolinea Veeam nelle proprie best practice, l’obiettivo non è più prevenire ogni attacco ma costruire resilienza operativa. Un rappresentante di Coalition Incident Response stima che il 90% delle organizzazioni ha qualche forma di backup, ma la questione critica è la viabilità: “Sono stati testati? Coprono tutti i dati necessari per ripristinare le operazioni? I backup possono essere messi in funzione in modo tempestivo? Se un’azienda ha più terabyte di dati e non ha mai eseguito un backup, potrebbero volerci settimane per ripristinare completamente”.

L’architettura Zero Trust, promossa dal National Institute of Standards and Technology, parte dal principio “never trust, always verify”. Questo approccio limita drasticamente il movimento laterale: anche se un attaccante compromette un endpoint, non può automaticamente espandersi all’intera rete. L’implementazione dello Zero Trust include verifiche continue di identità, autorizzazione per ogni richiesta di accesso e segmentazione rigorosa della rete.

La statistica più significativa riguarda l’efficacia dei pagamenti. Secondo un rapporto di febbraio 2025 di Coveware, il 25% delle aziende colpite nell’ultimo trimestre del 2024 ha pagato un riscatto, rappresentando un minimo storico che Coveware definisce “pietra miliare significativa nella lotta contro il ransomware”. Il rapporto ha anche rilevato che il pagamento mediano era di 110.890 dollari, in calo del 45% rispetto al trimestre precedente. Questa tendenza riflette investimenti crescenti in sicurezza proattiva, backup robusti e training di incident response.

Il coinvolgimento delle forze dell’ordine può accelerare significativamente identificazione e contenimento. L’IBM Cost of a Data Breach Report 2024 documenta come le organizzazioni che coinvolgono le forze dell’ordine lo facciano più di 2 settimane più velocemente delle controparti DIY: 281 giorni in media per identificare (213) e contenere (68 giorni) una violazione quando le forze dell’ordine sono coinvolte, contro 297 giorni totali (220 per identificare, 77 per contenere) quando non lo sono.

Gli attacchi ransomware del 2025: nuovi pattern

Il panorama degli attacchi nel secondo trimestre 2025 si caratterizza per la predominanza di gruppi che hanno sfruttato social engineering mirato. Come documenta il rapporto Coveware, Scattered Spider, Silent Ransom e Shiny Hunters hanno dominato il trimestre, abbandonando attacchi opportunistici di massa per colpi di precisione. Akira mantiene la leadership quantitativa con il 19% degli attacchi documentati, seguito da Qilin al 13%, mentre i “lone wolf” operatori rappresentano il 9%.

La scomparsa improvvisa di RansomHub nell’aprile 2025 illustra la volatilità dell’ecosistema. Come nota il rapporto Coveware Q1 2025, l’infrastruttura del gruppo si è disconnessa intorno al 2 aprile. Questo evento sottolinea l’efficacia delle azioni di law enforcement che, pur non eliminando il fenomeno, stanno rendendo sempre più rischiosa l’operatività dei grandi brand ransomware.

I settori più colpiti nel Q2 2025 secondo Security Brief sono i servizi professionali (19,7%), healthcare (13,7%) e consumer services (13,7%). Ma la dimensione aziendale rivela la vera strategia criminale: le organizzazioni tra 11 e 1.000 dipendenti rappresentano il 64% delle vittime secondo il rapporto Coveware Q2 2025, configurando quello che viene definito “ransomware sweet spot” – abbastanza grandi da avere risorse per un pagamento significativo, ma con difese meno mature delle grandi enterprise.

Gli attacchi del 2024 hanno lasciato cicatrici profonde. UnitedHealth/Change Healthcare ha subito perdite stimate in 3,09 miliardi di dollari secondo Sangfor. Il pagamento record da 75 milioni di dollari versato a Dark Angels da un’azienda Fortune 50, come riportato da The SSL Store, ha probabilmente creato un incentivo perverso. Come nota Help Net Security, il rapporto Zscaler suggerisce che questa cifra potrebbe aver incoraggiato altri operatori a spingere per pagamenti sempre più alti.

Rimozione ransomware: il recupero senza pagamento

Trovarsi con sistemi compromessi rappresenta lo scenario peggiore, ma le opzioni di recupero senza pagamento esistono e sono sempre più utilizzate. La checklist CISA identifica l’isolamento immediato come primo passo critico: disconnettere dalla rete non solo i sistemi evidentemente compromessi, ma tutti quelli potenzialmente a rischio, considerando che molti gruppi mantengono accessi persistenti per settimane prima dell’attacco definitivo.

L’iniziativa No More Ransom, collaborazione tra Europol e oltre 180 partner, offre strumenti di decriptazione gratuiti per oltre 160 varianti di ransomware. Tra le nuove aggiunte del 2024-2025 figurano decryptor per FunkSec, Phobos, DoNex, HomuWitch e BlackBasta. Kaspersky e altri vendor mantengono database simili, costantemente aggiornati.

Tuttavia, come spiega Cynet, per le varianti moderne che utilizzano implementazioni corrette di AES-256, la decriptazione senza chiave è matematicamente impossibile. In questi casi, le opzioni sono ripristinare da backup o accettare la perdita. Il ripristino richiede prima la certezza assoluta che ogni traccia del malware sia stata eliminata.

Il tempo di recupero varia drasticamente. Secondo Cigent, la media per un attacco ransomware è di circa 22 giorni, anche se le organizzazioni più piccole con alti livelli di preparazione possono recuperare in pochi giorni, mentre quelle più grandi meno preparate dovrebbero pianificare settimane o persino mesi di downtime. Come documenta BlackFog, quasi un terzo delle PMI americane colpite non recupera mai completamente e chiude definitivamente.

La decisione di pagare resta la più difficile. L’FBI continua a sconsigliare il pagamento, ma come nota l’esperto intervistato da Help Net Security, “se fosse solo questione legale ed etica, per principio non si dovrebbe mai pagare. Ma a volte il pagamento si riduce a decisione di business piuttosto che questione etica”. Secondo TechTarget, le organizzazioni devono valutare quanto tempo richiederebbe il recupero, quanto costerebbe quel recupero, il valore di eventuali dati persi e l’impatto del downtime.

Ransomware 2025: dalla tecnologia alla strategia organizzativa

Il ransomware nel 2025 rappresenta una minaccia multidimensionale che richiede risposte altrettanto complesse. Con pagamenti medi di 1,13 milioni di dollari nel secondo trimestre, il 26% delle vittime che paga, e il 74% degli attacchi che include ora furto di dati, l’ecosistema è radicalmente mutato. L’emergere dei negoziatori professionali come figure indispensabili sottolinea quanto la risposta al ransomware sia diventata specialistica, richiedendo competenze che spaziano dalla cybersecurity alla psicologia criminale, dal diritto internazionale alla gestione delle crisi.

Le operazioni di law enforcement stanno ottenendo risultati tangibili, anche se questi gruppi dimostrano resilienza nel riorganizzarsi. La frammentazione del modello RaaS, l’ascesa dei lone wolf attackers, e lo shift verso data exfiltration come metodo primario di estorsione stanno ridefinendo il panorama. Parallelamente, gli investimenti crescenti in prevenzione, backup immutabili, formazione del personale e architetture Zero Trust stanno progressivamente spostando il bilancio di potere.

Le organizzazioni che emergeranno più forti saranno quelle che avranno compreso una verità fondamentale: il ransomware nel 2025 non è solo problema tecnologico ma sfida organizzativa che richiede preparazione culturale, processi collaudati, e la capacità di prendere decisioni difficili sotto pressione estrema. In questa nuova realtà, avere accesso ai negoziatori professionali può significare la differenza tra recupero gestibile e disastro irrecuperabile.

https://www.ictsecuritymagazine.com/notizie/ransomware-2025/

Each defendant also helped the IT workers pass employer vetting procedures. Travis and Salazar, for example, appeared for drug testing on behalf of the workers.

Travis, an active-duty member of the US Army at the time, received at least $51,397 for his participation in the scheme. Phagnasay and Salazar earned at least $3,450 and $4,500, respectively. In all, the fraudulent jobs earned roughly $1.28 million in salary payments from the defrauded US companies, the vast majority of which were sent to the IT workers overseas.

The fifth defendant, Ukrainian national Oleksandr Didenko, pleaded guilty to one count of aggravated identity theft, in addition to wire fraud. He admitted to participating in a “years-long scheme that stole the identities of US citizens and sold them to overseas IT workers, including North Korean IT workers, so they could fraudulently gain employment at 40 US companies.” Didenko received hundreds of thousands of dollars from victim companies who hired the fraudulent applicants. As part of the plea agreement, Didenko is forfeiting more than $1.4 million, including more than $570,000 in fiat and virtual currency seized from him and his co-conspirators.

In 2022, the US Treasury Department said that the Democratic People’s Republic of Korea employs thousands of skilled IT workers around the world to generate revenue for the country’s weapons of mass destruction and ballistic missile programs.

“In many cases, DPRK IT workers represent themselves as US-based and/or non-North Korean teleworkers,” Treasury Department officials wrote. “The workers may further obfuscate their identities and/or location by sub-contracting work to non North Koreans. Although DPRK IT workers normally engage in IT work distinct from malicious cyber activity, they have used the privileged access gained as contractors to enable the DPRK’s malicious cyber intrusions. Additionally, there are likely instances where workers are subjected to forced labor.”

Other US government advisories posted in 2023 and 2024 concerning similar programs have been removed with no explanation.

In Friday’s release, the Justice Department also said it’s seeking the forfeiture of more than $15 million worth of USDT, a cryptocurrency stablecoin pegged to the US dollar, that the FBI seized in March from North APT38 actors. The seized funds were derived from four heists APT38 carried out, two in July 2023 against virtual currency payment processors in Estonia and Panama and two in November 2023 thefts from exchanges in Panama and Seychelles.

Justice Department attempts to locate, seize, and forfeit all the stolen assets remain ongoing because APT38 has laundered them through virtual currency bridges, mixers, exchanges, and over-the-counter traders, the Justice Department said.

https://arstechnica.com/security/2025/11/5-plead-guilty-to-laptop-farm-and-id-theft-scheme-to-land-north-koreans-us-it-jobs/

Nov 17, 2025 Marina Londei Attacchi, In evidenza, News, RSS 0

---

Il comando “Finger“, legato all’omonimo protocollo di rete, è tornato in auge nell’ambito di alcuni attacchi ClickFix, per eseguire comandi da remoto su dispositivi Windows e distribuire malware.

Nato inizialmente per sistemi Unix e Linux, il comando è stato aggiunto in seguito anche nei sistemi Windows. Il protocollo permette a un utente di visualizzare informazioni sugli altri utenti del sistema, quali, per esempio, il nome di login, la directory home e l’ultimo accesso. Pur essendo ancora supportato, il protocollo ormai viene usato pochissimo.

Come riporta Bleeping Computer, di recente sono state individuate alcune campagne malware che hanno usato Finger per attacchi ClickFix che eseguono comandi da remoto.

Nel dettaglio, gli attaccanti ingannano gli utenti chiedendogli di copiare e incollare un comando nel prompt di Windows ed eseguirlo, per esempio a completamento di una verifica CAPTCHA o nel caso di inviti a riunioni. Il comando usa la sintassi di Finger per connettersi a un server malevolo e, sfruttando la pipe (|), reindirizza l’output del comando Finger a un altro processo.

La risposta del server contiene infatti una serie di comandi Windows che, una volta eseguiti, installano il malware sul dispositivo della vittima. Il malware è spesso un infostealer, ma in alcune varianti più evolute è un RAT.

Non è la prima volta che il comando Finger viene abusato in questo modo: già nel 2020 alcuni ricercatori avevano segnalato casi simili. Le varianti più recenti del malware sono in grado di terminare l’esecuzione di eventuali strumenti di sicurezza attivi; nel caso in cui non ci siano tool di analisi in esecuzione, viene configurato un task per garantire la persistenza del software malevolo, avviandolo ogni volta che l’utente effettua il login.

Per bloccare l’uso del comando Finger e di conseguenza gli attacchi ClickFix che sfruttano questo vettore, Bleeping Computer consiglia di bloccare il traffico in uscita sulla porta TCP 79, ovvero quella usata dal protocollo per connettersi ai servizi remoti.

---

---

---

https://www.securityinfo.it/2025/11/17/il-protocollo-di-rete-finger-rinasce-in-attacchi-clickfix/?utm_source=rss&utm_medium=rss&utm_campaign=il-protocollo-di-rete-finger-rinasce-in-attacchi-clickfix

I framework normativi che regolano la protezione dei dati personali rappresentano oggi uno dei pilastri fondamentali per comprendere l’evoluzione dell’intelligence digitale. Questo articolo, parte di una serie che analizza in modo approfondito le metodologie e le implicazioni dell’Open Source Intelligence (OSINT) e dell’Advertising Intelligence (ADINT), si concentra sul complesso panorama regolamentare che governa la raccolta, il trattamento e l’utilizzo dei dati nell’era digitale.

Il GDPR come framework di riferimento

Il Regolamento Generale sulla Protezione dei Dati (GDPR) dell’Unione Europea rappresenta una pietra miliare nella legislazione sulla privacy. La sua adozione ha avuto come obiettivo quello di armonizzare le normative dei 27 Stati membri, riducendo le discrepanze e rafforzando la protezione dei dati personali in un contesto sempre più globalizzato e digitalizzato. Un aspetto particolarmente rilevante è il c.d. “principio di extraterritorialità”, secondo cui il GDPR si applica a tutte le organizzazioni che trattano dati personali di cittadini dell’UE, indipendentemente dalla loro sede geografica. Questo ha reso il regolamento un punto di riferimento globale, influenzando anche Paesi al di fuori dell’Europa e stimolando dibattiti sulla necessità di normative analoghe in altre regioni.

Le disposizioni del GDPR si basano su tre pilastri fondamentali: la trasparenza nel trattamento dei dati, il controllo individuale sulle proprie informazioni personali e l’accountability delle organizzazioni. Quest’ultimo aspetto richiede alle aziende di dimostrare concretamente il rispetto delle normative, attraverso l’adozione di misure specifiche come le valutazioni d’impatto sulla protezione dei dati (DPIA) e la nomina di un responsabile della protezione dei dati (DPO).

Il regolamento ha inoltre introdotto il principio innovativo del “privacy by design”. Questo è un approccio alla progettazione di sistemi, processi e tecnologie che integra la protezione dei dati personali e della privacy fin dalle fasi iniziali di sviluppo. Questo approccio prevede che la tutela della privacy sia una componente pivotale fin dall’inizio e non aggiunta nelle fasi successive dello sviluppo. Ciò garantisce che i dati vengano trattati in modo sicuro, trasparente e conforme alle normative applicabili.

Impatto sulle attività di OSINT

L’OSINT, basandosi sull’utilizzo di informazioni pubblicamente disponibili, presenta sfide particolari in relazione al GDPR. Come evidenziato da Hayes & Cappa (2018), il fatto che i dati siano accessibili pubblicamente non esenta le organizzazioni dal rispetto dei principi fondamentali del regolamento. Particolare attenzione deve essere posta alla base giuridica del trattamento, alla limitazione delle finalità e alla minimizzazione dei dati raccolti.

Un aspetto cruciale riguarda la gestione dei metadati e la possibilità di identificare individui attraverso la correlazione di informazioni apparentemente anonime, visto che le ricerche nel campo della privacy hanno dimostrato come anche dati apparentemente non personali possano portare all’identificazione quando combinati tra loro (Son et al., 2016). Questo fenomeno assume particolare rilevanza nel contesto dell’OSINT, dove l’aggregazione di informazioni provenienti da fonti diverse rappresenta una pratica comune.

Per garantire la conformità normativa, le organizzazioni devono implementare robuste procedure di anonimizzazione e pseudonimizzazione[1] dei dati, oltre a mantenere una documentazione dettagliata sulla provenienza delle informazioni raccolte. La valutazione continua dei rischi per i diritti e le libertà degli interessati rappresenta un elemento essenziale di questo processo.

Framework normativi e regolamentazione della pubblicità digitale

Il settore della pubblicità digitale è uno dei settori più trasformati dall’entrata in vigore del GDPR, data la sua forte dipendenza dalla raccolta e analisi di dati personali e comportamentali. Il regolamento ha imposto una revisione delle pratiche di tracciamento e profilazione, introducendo requisiti che puntano a tutelare i diritti degli utenti e a garantire maggiore trasparenza nell’uso dei loro dati. In particolare, l’Articolo 7 del GDPR stabilisce criteri stringenti per la validità del consenso, che deve essere esplicito, informato, specifico e revocabile in ogni momento. Questo implica che gli utenti debbano comprendere chiaramente come i loro dati saranno utilizzati e avere il pieno controllo su di essi, senza ambiguità.

Le tecnologie alla base della pubblicità digitale, come i cookie, i pixel di tracciamento e il fingerprinting[2] del dispositivo, sono state oggetto di particolare attenzione. Il consenso esplicito e preventivo per l’installazione di cookie non essenziali è diventato obbligatorio, con la conseguenza che i siti web hanno introdotto banner informativi per richiedere l’autorizzazione degli utenti. Tuttavia, la pratica dei banner sui cookie ha sollevato critiche, poiché molti utenti si limitano a cliccare “Accetta” per accedere rapidamente ai contenuti, vanificando in parte l’obiettivo di una scelta realmente informata.

Un altro aspetto significativo riguarda la profilazione degli utenti, che costituisce il cuore delle strategie di marketing digitale. Il GDPR regola questa pratica in modo rigoroso, richiedendo che il consenso sia esplicito per ogni finalità di trattamento e vietando qualsiasi decisione automatizzata con impatti significativi sugli individui senza l’intervento umano. Questa disposizione ha avuto un impatto diretto su piattaforme pubblicitarie come Google Ads e Meta Ads, che hanno dovuto implementare nuovi strumenti per gestire il consenso degli utenti e ridurre il rischio di violazioni.

Il ruolo del regolamento ePrivacy

Il regolamento ePrivacy, attualmente in fase di finalizzazione e previsto per l’approvazione definitiva entro il 2025, si propone di integrare il GDPR, affrontando specificamente le questioni legate alle comunicazioni elettroniche e al tracciamento online. Tra le novità più rilevanti, il regolamento mira a vietare il tracciamento predefinito senza consenso esplicito, eliminando l’ambiguità normativa che ha permesso pratiche discutibili come il “cookie wall” (cioè l’obbligo di accettare tutti i cookie per accedere ad un sito). Inoltre, l’ePrivacy introdurrà norme più severe sul tracciamento invisibile, come ad esempio il fingerprinting, e imporrà ai provider di servizi elettronici di garantire la riservatezza delle comunicazioni.

Questo regolamento non solo rafforzerà la tutela dei dati personali, ma potrebbe rivoluzionare le pratiche di marketing digitale, imponendo alle aziende di sviluppare approcci meno invasivi. Ad esempio, l’uso di strategie pubblicitarie contestuali, che non si basano sui dati personali, potrebbe diventare una soluzione più comune. Tale transizione potrebbe ridurre il valore dei modelli basati sulla profilazione, influenzando significativamente il business delle grandi piattaforme tecnologiche.

Impatti economici e strategici

Le normative introdotte dal GDPR (e in futuro dal regolamento ePrivacy) hanno un impatto economico significativo sulle aziende, in particolare su quelle che basano le loro attività sulla raccolta massiccia di dati. Per esempio, la riduzione dell’efficacia dei modelli di targeting personalizzato ha spinto molte imprese a investire in tecnologie alternative, come l’intelligenza artificiale per l’analisi dei dati aggregati o soluzioni di pubblicità digitale che rispettino il più possibile la privacy dell’utente (la c.d. “privacy-preserving advertising”). Inoltre, la compliance normativa ha comportato costi operativi aggiuntivi, inclusi quelli legati all’adozione di nuovi strumenti di gestione del consenso e alla formazione del personale.

Tuttavia, queste normative non rappresentano solo una sfida, ma anche un’opportunità visto che l’aumento della consapevolezza dei consumatori sulla protezione dei dati ha generato una domanda crescente di servizi più sicuri e rispettosi della privacy. Le aziende che adottano un approccio proattivo alla tutela dei dati possono quindi rafforzare la fiducia dei consumatori e differenziarsi dai concorrenti.

Confronto con il contesto normativo statunitense

Il confronto tra il sistema europeo e quello statunitense in materia di protezione dei dati mette in evidenza approcci filosofici e operativi molto diversi. L’Unione Europea, con il GDPR, ha stabilito un modello centralizzato e uniforme che garantisce un livello elevato di protezione dei dati personali per tutti i cittadini degli Stati membri. Questo approccio si basa su una visione della privacy come diritto fondamentale, sancito dalla Carta dei diritti fondamentali dell’Unione Europea (Articolo 8).

Negli Stati Uniti, invece, la protezione della privacy segue una logica più settoriale e decentralizzata. Non esiste una normativa federale onnicomprensiva simile al GDPR, ma una moltitudine di leggi specifiche per settori o categorie di dati. Ad esempio, l’Health Insurance Portability and Accountability Act (HIPAA) protegge i dati sanitari, imponendo standard di sicurezza e regole per la condivisione delle informazioni. Il Children’s Online Privacy Protection Act (COPPA), invece, regola il trattamento dei dati personali dei minori sotto i 13 anni, limitando la raccolta e richiedendo il consenso dei genitori.

Questa frammentazione normativa crea un contesto disomogeneo, in cui i diritti degli individui e gli obblighi delle organizzazioni variano a seconda del settore e dello Stato. Ad esempio, un’azienda che gestisce dati sanitari deve rispettare l’HIPAA, ma potrebbe non essere soggetta a regolamentazioni simili se opera in altri settori.

Il CCPA: un passo verso una maggiore tutela

Un importante passo avanti nella protezione dei dati personali negli USA è stato compiuto con l’introduzione del California Consumer Privacy Act (CCPA), entrato in vigore nel 2020. Questa normativa conferisce ai cittadini californiani diritti simili a quelli previsti dal GDPR per i cittadini europei, come ad esempio:

• Il diritto di sapere quali dati personali vengono raccolti e come sono utilizzati;
• Il diritto di richiedere la cancellazione dei propri dati;
• Il diritto di opporsi alla vendita dei propri dati personali.

Il CCPA si distingue per l’obbligo imposto alle aziende di notificare chiaramente ai consumatori l’uso dei loro dati e di offrire meccanismi semplici per esercitare i loro diritti, come l’opzione “Do not sell my personal information“. Tuttavia, a differenza del GDPR, il CCPA si applica solo alle imprese che superano determinate soglie, come un fatturato annuale di almeno 25 milioni di dollari, limitando quindi il suo ambito d’azione.

L’introduzione del “California Privacy Rights Act” (CPRA) nel 2023, che aggiorna e rafforza il CCPA, ha ulteriormente allineato il sistema californiano ai principi del GDPR, introducendo il concetto di diritto alla limitazione del trattamento e rafforzando la protezione per categorie sensibili di dati.

Sfide e limiti del sistema statunitense

Nonostante il CCPA e normative settoriali come l’HIPAA e il CPPA, l’assenza di una legislazione federale uniforme continua a rappresentare un problema. Questa lacuna crea complessità operative per le aziende che operano a livello nazionale, costrette a destreggiarsi tra normative diverse e ad implementare politiche di conformità personalizzate per ogni Stato o settore. Inoltre, la mancanza di un approccio omogeneo può lasciare aree importanti di protezione dei dati insufficientemente regolamentate, esponendo i consumatori a maggiori rischi.

Un’altra questione critica è il trattamento dei dati personali da parte delle aziende tecnologiche e dei governi. Negli Stati Uniti, il “Cloud Act” consente alle autorità governative di accedere ai dati memorizzati su server di aziende statunitensi, anche se ubicati all’estero e questo aspetto, unito alla sorveglianza di massa rivelata nel caso Snowden, ha sollevato preoccupazioni sulla tutela della privacy e ha contribuito alla sentenza Schrems II, che ha invalidato il “Privacy Shield”, cioè l’accordo per il trasferimento dei dati tra UE e USA.

Prospettive di convergenza e differenze persistenti

Nonostante le importanti differenze, sono in corso tentativi di convergenza tra i due sistemi normativi. La necessità di facilitare il trasferimento dei dati tra l’UE e gli Stati Uniti, fondamentale per le operazioni delle multinazionali, ha spinto alla negoziazione di un nuovo quadro normativo, il Data Privacy Framework, che cerca di bilanciare le preoccupazioni europee sulla protezione dei dati con le esigenze operative delle aziende statunitensi.

Tuttavia, sussistono rilevanti differenze filosofiche. Da una parte l’approccio europeo considera la privacy un diritto intrinseco, da proteggere attraverso regolamentazioni rigorose e vincolanti, mentre l’approccio statunitense considera la privacy principalmente come un interesse economico, delegando gran parte della responsabilità alle aziende e ai consumatori stessi.

Implicazioni per le organizzazioni

Le differenze normative tra UE e USA hanno implicazioni operative e strategiche rilevanti per le organizzazioni che operano su scala globale. La necessità di conformarsi sia al GDPR che a normative statunitensi come il CCPA impone la creazione di politiche di gestione dei dati flessibili e personalizzabili, e questo ha spinto molte aziende a investire in tecnologie avanzate, come ad esempio le piattaforme per la gestione del consenso e i sistemi di tracciamento conformi alle normative.

In definitiva, il confronto tra i due sistemi evidenzia non solo le sfide, ma anche l’opportunità di sviluppare soluzioni innovative che rispettino i diritti degli individui e facilitino il commercio globale. La convergenza, nonostante sia lenta, potrebbe rappresentare una svolta significativa nella protezione dei dati personali a livello internazionale.

Implicazioni per le attività di intelligence

Le differenze normative tra l’Unione Europea e gli Stati Uniti hanno profonde implicazioni sulle attività di intelligence digitale, in particolare su come i servizi di intelligence possono raccogliere ed elaborare i dati provenienti da fonti aperte. Come evidenziato da Hayes e Cappa (2018), le agenzie di intelligence moderne devono adattare le proprie metodologie OSINT e ADINT in base al quadro giurisdizionale di riferimento, mantenendo al contempo l’efficacia operativa.

I servizi di intelligence europei operano all’interno di un quadro normativo rigoroso sulla privacy e la protezione dei dati, con il GDPR che funge da framework principale. Agenzie chiave come la DGSE francese, il BND tedesco e l’AISE italiana devono dimostrare non solo la base giuridica e la necessità della raccolta dati, ma anche la proporzionalità delle misure di sorveglianza adottate. Come sottolineato da Son et al. (2016), anche le tecniche di intelligence apparentemente non invasive possono rivelare informazioni sensibili quando applicate sistematicamente, rendendo cruciale l’implementazione di robuste misure di protezione.

L’approccio europeo pone particolare enfasi sull’equilibrio tra le esigenze di sicurezza e i diritti fondamentali. Ad esempio, la legge tedesca sul BND del 2016 richiede esplicitamente che le attività di intelligence rispettino l’essenza dei diritti alla privacy e implementino adeguate misure di salvaguardia. Questo si differenzia significativamente dall’approccio statunitense, dove agenzie come la CIA e la NSA operano sotto framework legali che forniscono maggiore flessibilità operativa.

Come evidenziato da Yadav et al. (2023), l’integrazione di tecnologie di intelligenza artificiale nelle attività OSINT pone ulteriori sfide. I sistemi automatizzati devono essere progettati secondo i principi di “privacy by design” e “privacy by default”, garantendo che la protezione dei dati sia integrata in ogni fase del processo del lavoro delle agenzie di intelligence. Questo richiede un approccio multidisciplinare che combini competenze tecniche, legali ed etiche.

La sentenza Schrems II ha introdotto ulteriori complessità nel trasferimento internazionale dei dati, influenzando significativamente la collaborazione tra servizi di intelligence europei e statunitensi. Ciò ha spinto molte organizzazioni a sviluppare nuovi approcci per garantire la conformità normativa senza compromettere l’efficacia delle loro operazioni.

Per quanto riguarda le sfide emergenti, i servizi di intelligence devono affrontare non solo questioni tecniche come lo sviluppo di capacità analitiche che preservino la privacy, ma anche sfide legali relative alla navigazione di questioni giurisdizionali complesse. La ricerca di Edwards et al. (2022) ha evidenziato come la crescente sofisticazione delle minacce cibernetiche richieda un approccio sempre più integrato tra diverse agenzie di intelligence, pur mantenendo il rispetto delle normative sulla privacy.

Le tendenze future suggeriscono una crescente enfasi sulle tecniche di intelligence che preservano la privacy, un uso più esteso dell’IA con appropriate salvaguardie e lo sviluppo di framework più formali per la cooperazione internazionale. Come sottolineato dallo studio svolto da Albladi e Weir (2017), diventa sempre più cruciale bilanciare l’efficacia operativa con la protezione dei diritti individuali, specialmente in un contesto dove le minacce digitali evolvono rapidamente.

L’efficacia futura dei servizi di intelligence dipenderà dalla loro capacità di adattarsi a queste circostanze in evoluzione mantenendo la fiducia pubblica e le capacità operative. Tutto ciò richiederà non solo innovazione tecnologica ma anche un costante adattamento dei framework legali e operativi per affrontare le sfide emergenti nel panorama della sicurezza digitale.

Tendenze future e sviluppi tecnologici

L’evoluzione del panorama normativo è strettamente legata agli sviluppi tecnologici e l’emergere di nuove tecnologie (come l’IA e l’IoT) pone sfide inedite alla protezione dei dati personali. Le normative dovranno adattarsi per affrontare questioni come la profilazione automatizzata, la trasparenza degli algoritmi e la portabilità dei dati.

Si osserva una tendenza crescente verso la convergenza internazionale delle normative sulla privacy, dato che molti paesi stanno adottando framework simili al GDPR, riconoscendo l’importanza di standard comuni in un’economia sempre più digitalizzata e interconnessa. Questo processo di armonizzazione potrebbe facilitare le attività di intelligence transfrontaliere, garantendo al contempo una protezione uniforme dei diritti individuali.

Il quadro normativo che regola l’intelligence digitale e l’uso dei dati continua a evolversi in risposta alle sfide tecnologiche e sociali, con il Regolamento generale sulla protezione dei dati che ha stabilito un nuovo standard globale per la protezione dei dati, influenzando significativamente le pratiche di raccolta e analisi delle informazioni. Le notevoli differenze tra l’approccio europeo e quello statunitense evidenziano tuttavia la necessità di un maggiore coordinamento internazionale.

Una delle sfide più importanti per il futuro sarà quella di sviluppare framework normativi che possano adattarsi rapidamente all’evoluzione tecnologica, mantenendo un equilibrio tra le esigenze di sicurezza e la tutela dei diritti individuali. Le aziende e le istituzioni pubbliche dovranno investire in tecnologie e processi che permettano di condurre attività di intelligence efficaci nel pieno rispetto delle normative sulla privacy.

Quest’evoluzione richiederà un dialogo continuo tra legislatori, esperti di sicurezza e di privacy, per permettere di sviluppare soluzioni che possano soddisfare le diverse esigenze della società moderna. Solamente attraverso questo approccio sarà possibile garantire un futuro in cui sicurezza e privacy potranno coesistere armoniosamente.

Il panorama regolamentare della pubblicità digitale non è omogeneo a livello globale, e questa frammentazione crea sfide per le aziende che operano in più giurisdizioni. Ad esempio, negli Stati Uniti il California Consumer Privacy Act (CCPA) rappresenta un primo passo verso una regolamentazione simile al GDPR, ma manca ancora un quadro federale unificato. Questa diversità normativa spinge le aziende a implementare strategie regionali, aumentando la complessità relativa alla gestione dei dati.

In prospettiva, il regolamento ePrivacy potrebbe rappresentare un modello per altre regioni, accelerando l’adozione di normative più severe sulla pubblicità digitale. Inoltre, l’introduzione di tecnologie emergenti, come l’edge computing[3] e l’intelligenza artificiale distribuita[4], potrebbe trasformare ulteriormente il settore, riducendo la dipendenza dai dati personali e promuovendo modelli pubblicitari più sostenibili e conformi alle normative.

In sintesi, il GDPR e il regolamento ePrivacy stanno ridisegnando il futuro della pubblicità digitale, ponendo sfide significative per le aziende, ma offrendo anche l’opportunità di creare un ecosistema più trasparente e centrato sui diritti degli utenti.

L’analisi dei framework normativi presentata in questo articolo evidenzia come il GDPR abbia stabilito un nuovo paradigma globale per la protezione dei dati, influenzando profondamente le metodologie OSINT e ADINT. L’approfondimento ha illustrato le significative differenze tra l’approccio europeo, basato sulla privacy come diritto fondamentale, e quello statunitense, caratterizzato da una regolamentazione settoriale e decentralizzata.

Nel prossimo articolo approfondiremo come le organizzazioni di intelligence stanno adattando le loro strategie operative alle nuove sfide normative e tecnologiche. Approfondisci ulteriormente l’argomento scaricando il whitepaper completo di Sergiu Deaconu, “Open Source Intelligence e Advertising Intelligence: applicazioni e impatti in ambito industriale, civile e dell’intelligence europea”.

Fonti:

[1]Essa è una tecnica di protezione dei dati personali in cui le informazioni identificative dirette vengono sostituite con identificatori artificiali, come codici o token, rendendo i dati non direttamente associabili a un individuo senza l’uso di informazioni aggiuntive. A differenza dell’anonimizzazione completa, la pseudoanonimizzazione consente di risalire all’identità originaria mediante l’uso di chiavi o metodi specifici, mantenendo la conformità a normative come il GDPR;

[2]Rappresenta una tecnica di identificazione degli utenti basata sulla raccolta di informazioni uniche relative al dispositivo e al browser utilizzati durante la navigazione online. Questi dati, come configurazioni hardware, impostazioni software, risoluzione dello schermo e plug-in installati, vengono combinati per creare un’impronta digitale unica del dispositivo, permettendo il tracciamento degli utenti senza l’uso di cookie o altri identificatori tradizionali.

[3]Modello di elaborazione distribuita che consente di eseguire il trattamento e l’analisi dei dati direttamente nei dispositivi periferici o nei nodi della rete, vicino alla fonte dei dati. Questo riduce la dipendenza dal cloud, migliorando la velocità di risposta, diminuendo la latenza e ottimizzando l’uso della larghezza di banda, particolarmente utile per applicazioni come IoT e intelligenza artificiale in tempo reale;

[4]Questo è un approccio all’IA in cui i processi di apprendimento, inferenza e calcolo sono suddivisi tra più dispositivi, sistemi o nodi di rete, anziché concentrarsi in un unico server centrale. Questo modello consente una maggiore scalabilità, affidabilità e velocità, riducendo la latenza e ottimizzando l’uso delle risorse.

https://www.ictsecuritymagazine.com/articoli/framework-normativi/

Servono alternative agli hyperscaler statunitensi, poiché i loro modelli spingono le imprese verso una dipendenza sempre più forte. In Europa il problema è stato riconosciuto, ma interminabili consultazioni, comitati e normative regolatorie stanno portando alla fuga della creazione di valore.

Il micromanagement burocratico non crea un clima d’investimento favorevole alle imprese – il valore aggiunto se ne va.

Se si chiede a Dr. Christian Kaul, Chief Operating Officer di Impossible Cloud, perché dovrebbero esistere alternative agli hyperscaler americani, egli elenca una serie di motivi, tra cui “perché i loro modelli spingono le aziende in una dipendenza sempre maggiore”. A prima vista le offerte sembrano convenienti, spiega il manager, ma a causa di commissioni di egress, chiamate API e altri costi nascosti, le spese effettive “esplodono” rapidamente.

Una questione di sovranità dei dati

Ancora più grave, dal suo punto di vista, è il tema della sovranità dei dati: “Anche se i dati sono fisicamente archiviati in Europa, essi sono comunque soggetti al Cloud Act statunitense”, afferma Kaul. Secondo la sua interpretazione, ciò significa che le autorità americane, nell’ambito di una richiesta formale, possono pretendere l’accesso ai dati, fino al punto estremo di sospendere i servizi. Tre giuristi darebbero cinque opinioni diverse al riguardo, ma la contraddizione con le norme europee sulla protezione dei dati e sulla sicurezza è ampiamente riconosciuta. Secondo Kaul, per le aziende questo comporta un rischio reale, sia in termini di compliance, di dati dei clienti o di requisiti regolatori.

Le alternative europee offrono, a suo avviso, la possibilità di evitare tali rischi, poiché garantiscono trasparenza nei costi, eliminano gli effetti di lock-in e restituiscono alle imprese il pieno controllo su dove risiedono i dati e chi vi può accedere. Alla fine, non si tratta solo di risparmio sui costi, ma anche di sovranità digitale e di assicurare la competitività dell’Europa nel lungo periodo. Con il tema del “Cloud Switching” la situazione potrebbe ora cambiare: le nuove disposizioni del Data Act seguono l’idea della portabilità del numero di telefono per dare “slancio” al mercato.

Solo chi può cambiare fornitore quando vuole è veramente sovrano nelle proprie decisioni in materia di cloud computing. In questo giocano un ruolo anche aspetti tecnologici. Il Data Act dell’UE introduce norme vincolanti per garantire portabilità e interoperabilità dei dati. Insieme a regolamenti già esistenti come il GDPR o l’UK- GDPR, si delinea un quadro normativo in cui possono sopravvivere solo quei fornitori che non considerano i requisiti legali come un aspetto secondario, ma li integrano profondamente nella loro architettura.

Ciò che nel Data Act è stato regolato in materia di Cloud Switching è in vigore dal 12 settembre 2025 e rappresenta una svolta nella fornitura di servizi di elaborazione dati. “La legge segue l’idea della portabilità del numero di telefono per dare slancio al mercato”, si potrebbe dire. Tuttavia, in questo contesto emerge una tensione: le iniziative politiche e legislative spesso richiedono la possibilità di passare facilmente da un fornitore all’altro, ma nella realtà questi percorsi di migrazione risultano spesso tecnologicamente instabili.

Se le interfacce sono standardizzate solo superficialmente o i formati di esportazione non pienamente supportati, la pretesa di portabilità rimane teorica. Ciò espone le aziende al rischio che la libertà richiesta dalla regolamentazione non sia praticamente realizzabile, con conseguenze su costi, agilità e certezza giuridica.

Gli hyperscaler sono da tempo affermati in Europa: i loro data center si trovano qui e dominano ampie parti del mercato. Ma la domanda decisiva, secondo Kaul, è: “Perché ancora oggi non esiste un Microsoft Azure europeo?”.

La ragione, a suo avviso, risiede nelle strutture – negli enormi investimenti, nel potere degli ecosistemi di piattaforme e nelle economie di scala di questi fornitori. Così si è creata una dominanza difficilmente recuperabile. Il lato tragico: “Allo stesso tempo, la vera creazione di valore – profitti, sovranità sui dati, forza innovativa – fluisce verso l’America, mentre l’Europa diventa un semplice utilizzatore.”

Ma: “Se ora cercassimo semplicemente di costruire una copia europea di questi modelli, non avremmo guadagnato nulla: le stesse dipendenze, le stesse strutture di costo opache, gli stessi rischi per la protezione dei dati e la compliance”, riflette il manager, che con Impossible Cloud vuole colpire proprio in questo punto.

Secondo lui non si tratta di creare “un Azure europeo”, ma di ridefinire le regole del gioco – con nuove architetture, prezzi chiaramente calcolabili e vera sovranità dei dati. Solo così il valore resterà in Europa e solo così potrà nascere un’alternativa realmente indipendente.

Di iniziative nell’UE non manca certo: Gaia-X, 8ra, Eurostack, ecc. Dal punto di vista di Kaul, queste iniziative dimostrano che il problema è stato riconosciuto, “ma rischiano di perdersi in interminabili discussioni, comitati e prescrizioni regolatorie”.

Le imprese, sottolinea il manager, hanno bisogno oggi di soluzioni concrete e immediatamente utilizzabili, non di concetti che produrranno effetti solo fra anni. Solo gli approcci nati dal settore privato possono avere successo: con una proposta di valore chiara, prezzi competitivi e la velocità necessaria per promuovere l’innovazione. “La politica e la regolamentazione possono fornire il quadro, ma l’attuazione deve venire dal mercato”, è convinto Kaul.

Contesto: un’alternativa agli hyperscaler USA è auspicata

Secondo un recente studio di Bitkom, l’82% delle aziende tedesche desidera un’alternativa agli hyperscaler che provenga dalla Germania o dall’Europa. Per la maggioranza di esse, fattori come regolamentazione, indipendenza e localizzazione sono decisivi.

Nell’economia tedesca cresce la preoccupazione per una dipendenza eccessiva dai servizi cloud esteri: quasi due terzi (62%) delle aziende non potrebbero operare senza servizi cloud, mentre oltre tre quarti (78%) ritengono che la Germania sia troppo dipendente dai provider statunitensi.

La domanda, dunque, esiste – manca solo l’offerta di hyperscaler tedeschi o europei capaci di competere con i leader americani.

“Competere con successo contro gli hyperscaler americani significa, per me, unire diversi fattori”, afferma Kaul. In primo luogo la trasparenza dei costi: le aziende hanno bisogno di modelli prevedibili e comprensibili, senza tariffe nascoste per trasferimenti di dati o chiamate API. “Solo quando i costi sono equi e chiaramente calcolabili nascono fiducia e possibilità di pianificazione a lungo termine.”

Altrettanto importante è la “vera sovranità dei dati”: i dati devono essere archiviati in Europa, sottoposti solo alle leggi europee e non esposti ad accessi da parte di altri Paesi. Questo genera sicurezza e rafforza la fiducia.

Un ulteriore fattore chiave è la velocità e la capacità innovativa. “Le nuove offerte devono provenire dal settore privato, perché solo lì c’è la flessibilità e la vicinanza al mercato necessarie per essere realmente competitive”, sostiene il manager.

IA e cloud provengono in gran parte dagli Stati Uniti – i due motori tecnologici che costituiscono il fondamento di un’economia digitale prospera. Il legame è evidente: l’IA spinge il cloud computing, poiché le applicazioni di IA richiedono enormi capacità di calcolo e grandi quantità di dati; il cloud offre l’infrastruttura necessaria per fornire queste risorse in modo flessibile ed economico.

Jane Enny van Lambalgen, amministratrice di Planet Industrial Excellence e interim manager per diverse aziende, va dritta al punto nella sua critica alla burocrazia: secondo lei, l’UE si affida da anni a un micromanagement burocratico che ha praticamente paralizzato il continente. La sua massima è: “Lo Stato sa sempre meglio di tutti”, e di conseguenza cittadini e imprese vengono trattati come bambini piccoli. Questo, a suo avviso, “soffoca ogni progresso, cosicché si avanza solo a passo di lumaca”.

È un approccio fatale in un contesto competitivo globale, dominato negli Stati Uniti da un modello trainato dalle imprese anziché dallo Stato. La Commissione europea, secondo van Lambalgen, “trotta su un carro trainato da asini verso il futuro”, cercando di impedire con nuove, a volte assurde regolamentazioni, che il treno espresso americano la sorpassi – “anche se ormai si vedono solo i fanali posteriori”.

“Non dobbiamo però partire da zero: l’Europa dispone già di migliaia di data center che oggi hanno capacità inutilizzate.” Connettere in modo intelligente queste risorse e portarle a livello enterprise potrebbe essere un vantaggio decisivo, creando un’infrastruttura resiliente, sicura, economica e in grado di mantenere il valore aggiunto in Europa.

“Il successo si deciderà là dove trasparenza, sovranità dei dati, capacità innovativa e uso dell’infrastruttura europea esistente verranno combinati in modo coerente.”

Regole in Europa, affari in America?

I critici sostengono che nell’UE prevalgano regole, direttive e compliance, mentre negli USA si fa business. Il COO di Impossible Cloud offre però una visione più sfumata: certamente in Europa vi sono più regole e requisiti più severi, ma questo non è uno svantaggio, bensì un vantaggio competitivo.

Le imprese, spiega Kaul, hanno bisogno di sicurezza nel trattamento dei dati sensibili, e proprio questo offrono gli standard europei. “Chi è conforme in Europa può distribuire le proprie soluzioni in tutto il mondo e dispone di un forte marchio di qualità.”

Negli Stati Uniti, invece, spesso si agisce più rapidamente, ma a volte anche a rischio di trascurare privacy o sicurezza. “Noi crediamo che la regolamentazione non freni l’innovazione, ma renda il mercato più equo, trasparente e sostenibile”, conclude Kaul.

Per molte aziende, proprio questo è il motivo per cui scelgono fornitori europei.

Impossible Cloud garantisce alle aziende la conformità al regolamento GDPR proteggendo e gestendo efficacemente i dati di backup.

Per saperne di più a riguardo di Impossible Cloud cliccate qui.

https://www.ictsecuritymagazine.com/notizie/business-del-cloud/

Il Digital Omnibus, presentato dalla Commissione Europea il 19 novembre 2025, rappresenta la più ampia revisione del quadro normativo digitale europeo dall’entrata in vigore del GDPR nel 2018. L’iniziativa introduce modifiche parallele a molteplici regolamenti digitali dell’UE, tra cui GDPR e AI Act, sollevando un dibattito senza precedenti tra necessità di competitività e protezione dei diritti fondamentali.

Quando si parla di governance digitale europea, è difficile non percepire la tensione che attraversa questa riforma. Da un lato, l’esigenza concreta di rendere operabile un quadro normativo che negli ultimi anni si è stratificato fino a diventare labirintico. Dall’altro, il rischio tangibile che la semplificazione diventi il pretesto per una rinegoziazione dei principi fondamentali che hanno reso l’Europa punto di riferimento globale in materia di protezione dati.

L’architettura del Digital Omnibus: obiettivi e tempistiche

L’obiettivo dichiarato dalla Commissione Europea è ridurre il carico amministrativo di almeno il 25% per tutte le imprese e del 35% per le PMI, rispondendo alle preoccupazioni espresse nel rapporto Draghi sulla competitività europea. La Commissione ha aperto una consultazione pubblica il 16 settembre 2025, chiusasi il 14 ottobre, seguita dalla presentazione ufficiale del pacchetto normativo.

L’iniziativa tocca simultaneamente:

Le aree di intervento spaziano dalla semplificazione del reporting degli incidenti di cybersecurity all’armonizzazione delle definizioni cross-settoriali, dalla modernizzazione delle regole sui cookie alla facilitazione dell’applicazione pratica dell’AI Act.

La rivoluzione nascosta: ridefinire il “dato personale”

Uno degli aspetti più critici e meno pubblicizzati riguarda la proposta di aggiungere un “approccio soggettivo” nel testo del GDPR: se un’azienda specifica non può identificare una persona, i dati non sono “personali” per quella azienda e il GDPR cesserebbe di applicarsi.

La bozza può essere interpretata come l’abbandono della nozione che le tecniche per “isolare” una persona siano ancora coperte dalla legge. Invece, la formulazione suggerisce un’esenzione generale dal GDPR se i titolari utilizzano semplicemente “pseudonimi” (come “user12473” o dati da cookie di tracciamento) invece di nomi.

L’impatto sui settori digitali

Questa modifica avrebbe conseguenze drammatiche:

• Tracking online: la maggior parte del tracciamento web opera tramite identificatori pseudonimi;
• Advertising programmatico: l’intero ecosistema pubblicitario digitale si basa su ID univoci;
• Data broker: settori interi potrebbero uscire dall’ambito di applicazione del GDPR.

Le pratiche di sicurezza previste dal regolamento hanno rappresentato un cambio di paradigma per le aziende europee. Questa revisione rischia di smantellare tale impianto.

Questo cambiamento si discosta massicciamente dall’interpretazione piuttosto ampia della Corte di Giustizia (CGUE). Esiste una giurisprudenza di oltre 20 anni che supporta una comprensione ampia di cosa costituisca “dato personale”. Dato che il termine deriva dall’Articolo 8 della Carta, è molto probabile che un cambiamento così profondo non sopravviva al controllo della CGUE.

Small-Mid Caps: una nuova categoria di imprese

Il Digital Omnibus introduce una nuova categoria di impresa – le small-mid caps (SMCs) – che si collocano tra le piccole e medie imprese (PMI) e le grandi imprese. Le SMCs sono definite come aventi meno di 750 dipendenti e un fatturato annuo fino a €150 milioni o attivi totali fino a €129 milioni.

Le imprese precedentemente categorizzate come “grandi” potrebbero ora rientrare in questa nuova categoria SMC, beneficiando di:

• Deroghe GDPR: alcune deroghe attualmente disponibili per le PMI verranno estese alle SMCs, in particolare l’esonero dagli obblighi di tenuta dei registri ai sensi dell’Articolo 30, a meno che il trattamento dei dati personali non sia considerato a “rischio elevato”;
• Prospetti semplificati: per offerte pubbliche di titoli;
• Accesso facilitato ai mercati di capitali.

La Germania è stata particolarmente attiva nel plasmare questa agenda, spingendo per esenzioni per le medie imprese, procedure semplificate di richiesta dati e rimozione di disposizioni prescrittive sugli smart contract.

AI Act e intelligenza artificiale: il nodo del legittimo interesse

Tra le modifiche più significative emerge la creazione di una nuova disposizione nel GDPR che stabilisce lo sviluppo e l’operatività dei sistemi di AI come legittimo interesse del titolare del trattamento. In pratica, la Commissione Europea sta risolvendo per via legislativa un dibattito che ha attraversato l’intera comunità dei data protection officer: può l’intelligenza artificiale training fondarsi sul legittimo interesse come base giuridica?

La risposta proposta dal Digital Omnibus è affermativa e va oltre il semplice training, estendendosi all’intera operatività dei sistemi AI. Questa modifica introduce una forma di neutralità tecnologica inversa: invece di applicare le stesse regole a tutte le tecnologie, si crea un regime di favore per l’AI.

Il meccanismo “stop-the-clock” per l’AI Act

Tra gli elementi più attentamente osservati del Digital Omnibus vi è la revisione dell’AI Act, in particolare le regole per i sistemi AI ad alto rischio che dovrebbero applicarsi da agosto 2026. Con gli standard tecnici ritardati e le autorità nazionali ancora in fase di rafforzamento, sia Germania che Repubblica Ceca hanno formalmente chiesto alla Commissione di posticipare la data di inizio di un anno.

In risposta, la Commissione sta valutando un meccanismo “stop-the-clock” per allineare la tempistica della legge con la preparazione pratica. Questo rinvio, se approvato, sposterebbe l’applicazione piena dall’agosto 2026 all’agosto 2027, concedendo alle imprese e alle autorità più tempo per implementare gli standard armonizzati.

Dati sensibili: rivelati vs inferiti

La protezione rafforzata si applicherebbe dove i dati rivelano direttamente tratti sensibili. I titolari che si basano sull’inferenza di tratti sensibili (ad es. orientamento politico dalla navigazione) potrebbero affrontare meno vincoli dell’Articolo 9, ma devono comunque soddisfare gli Articoli 5 e 6 e essere consapevoli di correttezza, trasparenza e rischio di danno.

Le modifiche proposte introdurrebbero nuove esenzioni che consentirebbero agli sviluppatori di AI di processare legalmente categorie sensibili di dati come informazioni sulle convinzioni politiche o religiose, etnia o salute, per finalità di training e operatività. Questa disposizione rappresenta un punto di rottura rispetto all’architettura originaria del GDPR.

L’AI Act stabilisce precedenti normativi che potrebbero orientare future regolamentazioni internazionali. Tuttavia, il Digital Omnibus rischia di indebolire queste protezioni prima ancora della loro piena implementazione.

Cookie law e terminal equipment: la fine del consenso informato?

La Commissione intende affrontare la cosiddetta “consent fatigue” rivedendo le regole sui cookie e tecnologie di tracciamento simili, ampliando le situazioni in cui cookie e tecnologie comparabili possono essere utilizzati senza consenso. L’approccio proposto è duplice: estendere le eccezioni attuali del framework ePrivacy per includere finalità aggiuntive come sicurezza, misurazione dell’audience e fornitura di servizi richiesti dall’utente, e introdurre un meccanismo per l’espressione automatizzata e machine-readable delle preferenze degli utenti, progettato per ridurre la necessità di banner di consenso ripetitivi.

La proposta potrebbe spostare l’Europa da un sistema opt-in a qualcosa di più vicino all’opt-out, dove gli utenti devono attivamente rifiutare per fermare il tracciamento. Per i professionisti della cybersecurity, questo cambiamento ha implicazioni dirette sulla superficie di attacco dei dispositivi personali.

Accesso ai terminal equipment senza consenso

Le aziende potrebbero anche essere autorizzate a estrarre dati direttamente dai dispositivi degli utenti se determinate condizioni sono soddisfatte (ad esempio, un produttore di smartphone può sostenere di dover raccogliere dati dagli utenti per scopi di sicurezza).

Ogni tracciamento è potenzialmente un vettore di profilazione non autorizzata, di data exfiltration, di fingerprinting avanzato che può essere sfruttato per attacchi di social engineering.

Decisioni automatizzate: ampliamento delle esenzioni

Il GDPR attualmente prevede un diritto qualificato degli individui a non essere soggetti a decisioni esclusivamente automatizzate che hanno effetti legali o similmente significativi (Articolo 22 GDPR), soggetto a tre limitate esenzioni: dove la decisione è necessaria per stipulare o eseguire un contratto, autorizzata dalla legge, o basata su consenso esplicito.

La proposta del Digital Omnibus amplierebbe l’esenzione contrattuale chiarendo che una decisione automatizzata può essere presa anche quando lo stesso risultato potrebbe essere raggiunto anche con mezzi umani. Questo aggiustamento abbasserebbe la soglia per fare affidamento sulla base contrattuale e fornirebbe maggiore certezza legale per il deployment di decisioni automatizzate nell’UE.

Questa modifica faciliterebbe significativamente l’adozione di sistemi di:

• Rating automatico per rider e lavoratori della gig economy;
• Assegnazione turni algoritmica nei call center;
• Monitoraggio produttività per smart worker;
• Screening automatizzato nelle risorse umane.

ENISA Single-Entry Point: centralizzazione dell’incident reporting

Una delle proposte più tecnicamente sensate del pacchetto è il meccanismo “report once, share with all” che consente alle aziende di adempiere simultaneamente agli obblighi previsti da GDPR, NIS2, DORA e Digital Identity Regulation.

Un single-entry point ospitato da ENISA permetterebbe notifiche “report once, share many” ai sensi di NIS2, GDPR, DORA, eIDAS e il Digital Identity Regulation (e potenzialmente CER). Le entità invierebbero tramite un’unica interfaccia; le autorità competenti riceverebbero i dati giusti per il loro strumento.

Opportunità e rischi della centralizzazione

Sulla carta, si tratta di un avanzamento significativo per chi deve gestire un data breach navigando tra requisiti di notifica diversi, tempistiche discordanti, formati non standardizzati. La frammentazione degli obblighi di reporting rappresenta uno dei principali oneri amministrativi per le organizzazioni.

Tuttavia, la centralizzazione solleva questioni tecniche non banali:

• Target ad alto valore: diventa per definizione un obiettivo primario per attacchi informatici;
• Single point of failure: un compromesso potrebbe esporre vulnerabilità di molteplici organizzazioni;
• Coordinamento autorità: presuppone capacità di coordinamento tra Stati membri con diverse maturità cyber.

La direttiva NIS2 introduce la responsabilità diretta del top management per la non conformità, portando la cybersecurity all’attenzione del boardroom.

Modifiche all’AI Act: auto-declassificazione e accountability diluita

Tra le modifiche più allarmanti secondo i gruppi della società civile vi è la possibilità per le aziende di dichiarare unilateralmente un sistema di AI ad alto rischio come a basso rischio e aggirare le salvaguardie senza notificare nessuno, con la rimozione del requisito di registrare i sistemi auto-esentati nel database europeo. Questa disposizione smantella un compromesso faticosamente raggiunto nel 2023: la trasparenza come contrappeso alla flessibilità dell’auto-valutazione.

Un sistema di AI può passare da alto rischio a basso rischio senza che autorità, ricercatori o società civile possano verificare la ragionevolezza della decisione. In caso di incidente – un sistema di riconoscimento facciale che produce false identificazioni, un algoritmo di credit scoring che discrimina – sarà estremamente difficile ricostruire se il sistema fosse stato originariamente classificato come ad alto rischio e successivamente declassato impropriamente.

L’approccio risk-based adottato nell’AI Act ha portato a identificare quattro livelli di rischio. Il Digital Omnibus rischia di rendere questo sistema inefficace.

Consolidamento legislativo: abrogazione e fusione

Il Data Governance Act, l’Open Data Directive e il Free Flow of Data Regulation verrebbero abrogati e le loro regole chiave fuse nel Data Act, con nuove etichette volontarie UE per intermediazione dati e altruismo dei dati.

Questo consolidamento rappresenta un cambio strutturale significativo:

• Data Governance Act → assorbito nel Data Act;
• Open Data Directive → assorbito nel Data Act;
• Free Flow of Data Regulation → assorbito nel Data Act;
• Platform-to-Business Regulation → abrogato (coperto da DSA/DMA).

Le bozze trapelate indicano che la Commissione prevede di integrare Data Act, Data Governance Act e strumenti correlati in un unico framework semplificato, riducendo sovrapposizioni e complessità della compliance.

La Germania ha spinto per esenzioni per le medie imprese, procedure semplificate di richiesta dati e rimozione di disposizioni prescrittive sugli smart contract. Berlino sostiene anche obblighi di trasparenza più leggeri, come la sostituzione di molteplici notifiche con punti di accesso digitali.

EU Digital Identity Wallet: tra ambizione e rischi

Il Digital Omnibus prevede l’integrazione con il lancio dell’EU Business Wallet, modellato sul EU Digital Identity Wallet per cittadini. Viene applicato il principio ‘one in, one out’ al Business Wallet europeo, ma le tempistiche appaiono irrealistiche.

Le criticità del Wallet

Il Wallet non può essere una piattaforma affidabile per i dati più sensibili riguardanti identità, salute e finanze, se chiunque può richiedere informazioni che vanno ben oltre ciò che è proporzionato e legale per qualsiasi scopo dato.

Un sistema che comprende tutto, dagli acquisti quotidiani ai dati sanitari e finanziari, può avere successo solo se le persone lo percepiscono come sicuro. Ogni nuova riforma o intervento affrettato creerebbe solo più incertezza e rischierebbe di far deragliare l’intero progetto.

Gli Stati membri hanno la scadenza di fine 2026 per offrire il Wallet ai cittadini, ma questo è estremamente improbabile in molti paesi, in particolare poiché gli schemi di certificazione per il Wallet devono ancora essere completati.

Le pressioni geopolitiche: il fattore USA

Un aspetto raramente discusso pubblicamente ma fondamentale riguarda le pressioni geopolitiche che stanno influenzando il Digital Omnibus.

È profondamente preoccupante che, ancora una volta, interessi geopolitici e pressioni dagli Stati Uniti sembrino guidare rinnovati tentativi di mettere in discussione o indebolire il GDPR. Attualmente, la policy making sembra essere guidata da considerazioni a breve termine piuttosto che da obiettivi a lungo termine, con il rischio di approfondire ulteriormente la dipendenza digitale dell’Europa.

Secondo diverse fonti, l’amministrazione Trump ha esercitato forti pressioni sui funzionari europei per semplificare le regole digitali in modo che il blocco rimanga competitivo con la Cina. Ciò significherà cambiamenti all’AI Act, che è stato introdotto lo scorso anno nel tentativo di combattere i pericoli dei sistemi AI ad alto rischio.

Il paradosso della sovranità tecnologica

Invece di diluire il GDPR, l’UE dovrebbe riaffermare e rafforzare i principi in esso incorporati. Questi principi potrebbero servire come fondamento per ridurre la dipendenza dalle corporazioni tecnologiche americane dominanti e per promuovere alternative europee, così come la promozione di software libero e open-source.

La competitività è un concetto relativo: i principali beneficiari dell’Omnibus potrebbero essere le grandi aziende tecnologiche statunitensi, che già esercitano un forte controllo sugli utenti europei. Anche se la performance assoluta delle aziende europee migliora, il divario con gli USA nell’AI potrebbe ampliarsi.

La questione è particolarmente rilevante per la comunità della cybersecurity italiana ed europea. L’industria europea della sicurezza informatica si è sviluppata anche grazie a un contesto normativo che valorizzava la protezione dei dati e la security by design. Un abbassamento degli standards non necessariamente favorisce le imprese europee rispetto a competitor meno attenti alla privacy e alla sicurezza.

Le voci critiche: 127 organizzazioni contro lo smantellamento mascherato

Secondo una coalizione di 127 sindacati e gruppi della società civile, ciò che viene presentato come una semplificazione tecnica delle leggi digitali europee è in realtà un tentativo di smantellare segretamente le più forti protezioni dell’Europa contro le minacce digitali. Tra i firmatari delle lettere aperte alla Commissione figurano organizzazioni come NOYB, EDRi, Access Now, il Transatlantic Consumer Dialogue.

Il cuore dell’obiezione non riguarda il principio della semplificazione – che tutti riconoscono come necessario – ma il metodo e la sostanza. Mentre il GDPR ha richiesto anni di negoziazione, la consultazione pubblica sull’Omnibus si è conclusa solo in ottobre, con un processo percepito come affrettato rispetto alla portata delle modifiche proposte.

I documenti trapelati rivelano che, nonostante le promesse della Commissione che la riforma del quadro digitale dell’UE non indebolirebbe le protezioni fondamentali per i diritti e le libertà delle persone, la realtà è che questa sarebbe “il più grande rollback dei diritti fondamentali digitali nella storia dell’UE”.

Diritti degli interessati: limitazioni e restrizioni

L’Omnibus potrebbe anche rendere più difficile per i soggetti interessati esercitare i loro diritti di accedere ai propri dati, di farli trasferire o di opporsi al trattamento, se il titolare del trattamento può dimostrare che lo scopo della richiesta del soggetto non si limita alla protezione dei dati personali. Questo potrebbe, ad esempio, minare l’accesso dei lavoratori ai dati in caso di controversia legale.

Questa modifica avrebbe impatti diretti su:

• Contenziosi lavorativi: più difficile per i dipendenti ottenere prove;
• Investigazioni giornalistiche: ostacoli all’accesso a informazioni di interesse pubblico;
• Ricerca accademica: limitazioni all’accesso per finalità di studio.

Implicazioni per i professionisti della security

Per CISO, responsabili della protezione dati, esperti di digital forensics e professionisti del cyber law, il Digital Omnibus rappresenta una sfida su più livelli. Sul piano operativo, richiederà un aggiornamento significativo di policy, procedure, sistemi di compliance. Sul piano strategico, impone una riflessione più profonda sul posizionamento della funzione security.

L’Italia è stato il primo Stato membro UE a dotarsi di un framework legislativo organico su IA. Il Digital Omnibus potrebbe alterare significativamente questo quadro.

Competenze e formazione

Se il quadro normativo si orienta verso maggiore flessibilità nell’utilizzo dei dati personali per finalità di AI, la responsabilità dei security professional diventa paradossalmente più gravosa. Non potranno più fare affidamento su divieti normativi netti, ma dovranno esercitare un continuo bilanciamento tra opportunità di business e protezione dei diritti.

Sul piano della gestione degli incidenti, la centralizzazione del reporting potrebbe semplificare i processi, ma richiederà investimenti in nuovi tool e competenze. I team di incident response dovranno familiarizzare con le nuove piattaforme di notifica unificata, comprenderne i requisiti tecnici, adattare i propri playbook.

La direttiva NIS2 rappresenta una pietra miliare nell’evoluzione del panorama normativo della cybersecurity. Il Digital Omnibus deve integrarsi con questo framework senza creare ulteriori frammentazioni.

Conclusioni: una scommessa ad alto rischio per l’Europa digitale

Il Digital Omnibus non è né il disastro annunciato dai critici più radicali né la panacea promessa dai sostenitori della deregulation. È una scommessa ad alto rischio: quella che sia possibile semplificare significativamente il quadro normativo digitale europeo senza compromettere i diritti fondamentali e la sicurezza dei cittadini.

La Commissione ha presentato il Digital Omnibus il 19 novembre 2025, dopo di che le proposte seguiranno la procedura legislativa ordinaria nel Parlamento Europeo e nel Consiglio. Sono probabili emendamenti sostanziali durante il processo legislativo prima dell’adozione di qualsiasi testo finale.

Gli aspetti più critici identificati:

1. Ridefinizione di “dato personale” potrebbe escludere interi settori dal GDPR;
2. Pressioni geopolitiche USA rischiano di compromettere la sovranità tecnologica europea;
3. Auto-declassificazione AI elimina trasparenza e accountability;
4. Limitazioni diritti interessati indeboliscono protezioni fondamentali;
5. Consolidamento normativo crea incertezza durante la transizione.

Per i professionisti della cybersecurity, il compito nei prossimi mesi sarà seguire attentamente il processo legislativo, contribuire con la propria expertise tecnica al dibattito, e prepararsi a operare in uno scenario che, comunque vadano le cose, sarà profondamente diverso da quello attuale.

Ciò che è in discussione non è solo un insieme di norme tecniche, ma la visione stessa di quale Europa digitale vogliamo costruire: un’Europa che compete abbassando gli standard, o un’Europa che compete proprio grazie alla sua capacità di garantire fiducia, sicurezza e rispetto dei diritti? La risposta a questa domanda definirà non solo il successo del Digital Omnibus, ma il ruolo stesso dell’Europa nel panorama digitale globale dei prossimi decenni.

Fonti:

https://www.ictsecuritymagazine.com/articoli/digital-omnibus-gdpr/

Torna dal 19 al 21 novembre 2025 a Fiera Milano la nuova edizione di SICUREZZA, la manifestazione internazionale dedicata ai settori security & fire. Si tratta di un’occasione unica per tutti i professionisti del settore per prepararsi ad affrontare un contesto in cui sicurezza fisica e digitale non sono più mondi separati, ma elementi parte di un’unica architettura integrata e per osservare da vicino le tecnologie che stanno trasformando il modo in cui proteggiamo persone, luoghi, beni e dati: dall’intelligenza artificiale applicata all’analisi video ai sistemi di controllo accessi evoluti, dalle piattaforme integrate di sicurezza ai dispositivi antincendio di ultima generazione, fino alle soluzioni di building automation.

La manifestazione sarà anche un momento per dialogare con esperti e colleghi, comprendere l’evoluzione normativa e tecnologica e fare networking qualificato. Per rendere ancora più proficua la visita, l’edizione 2025 introduce un format rinnovato che punta costruire un’esperienza di formazione professionale strutturata. Le tre giornate di manifestazione sono state organizzate in tre tematiche verticali. Il primo giorno – il Cyber Day – sarà dedicato alla sicurezza digitale, con approfondimenti sulle normative europee come NIS2, CER e Cyber Resilience Act, sul nuovo paradigma Zero Trust e sulle strategie per proteggere la supply chain. Il giorno successivo – il Security Day – l’attenzione si sposterà sulla sicurezza operativa in contesti complessi come infrastrutture critiche, trasporti, retail, grandi eventi e tutela dei beni culturali, con un focus sull’evoluzione delle professioni del settore. La terza giornata – Job in security Day – sarà invece dedicata al rapporto tra formazione e lavoro e porterà in fiera circa 500 studenti delle scuole superiori, con l’obiettivo di facilitare l’incontro tra aziende, giovani e professionisti in fase di crescita.

La biglietteria è disponibile online. Il titolo di accesso vi consentirà di visitare SICUREZZA, ma anche le altre manifestazioni che fanno parte del format MIBA-Milan International Building Alliance: Made expo (architettura ed edilizia), Smart Building Expo (integrazione tecnologica e building automation) e GEE-Global Elevator Exhibition (mobilità orizzontale e verticale).

https://www.ictsecuritymagazine.com/notizie/sicurezza-2025-fiera/

Nov 17, 2025 Stefano Silvestri Attacchi, Hacking, In evidenza, Intrusione, Leaks, Malware, Minacce, News, Phishing, Privacy, Scenario, Tecnologia, Vulnerabilità 0

---

Nel periodo compreso tra l’8 e il 14 novembre, il CERT-AGID ha analizzato 87 campagne malevole dirette verso utenti e organizzazioni italiane.

Di queste, 53 hanno avuto obiettivi esplicitamente italiani, mentre 34 campagne generiche hanno comunque coinvolto il nostro Paese.

Complessivamente, sono stati condivisi con gli enti accreditati 820 indicatori di compromissione (IoC) relativi alle minacce osservate.

I temi della settimana

Sono stati 21 i temi sfruttati per veicolare phishing e malware, con un marcato aumento delle campagne che imitano servizi online legati ai rinnovi, alle multe, ai pagamenti e ai servizi bancari.

Il tema Rinnovo risulta tra i più diffusi con 12 campagne di phishing, sia italiane che internazionali, tutte via email.

Le comunicazioni imitano il rinnovo di servizi legati a Register, Serverplan, OVHCloud, Aruba, Wix, Axarnet, oltre a iCloud, Mooney, McAfee e vari provider di webmail, sfruttando la pressione psicologica delle scadenze amministrative e tecniche.

Altre 12 campagne, tutte italiane, hanno sfruttato il tema Multe, con finte comunicazioni PagoPA che simulano sanzioni stradali non pagate e invitano le vittime a inserire dati personali e bancari attraverso link malevoli.

Il tema Banking, con 11 campagne (8 italiane e 3 generiche), ha combinato phishing e malware mobile: tra gli istituti imitati figurano ING, Interactive Brokers, Credem e Standard Bank, mentre le campagne malware hanno diffuso DonutLoader, insieme ai trojan Android Copybara, Herodotus e GhostGrab.

Il tema Ordine, sfruttato in otto campagne, è stato impiegato esclusivamente per la diffusione di malware come Remcos, AgentTesla, PureLogs, FormBook e PhantomStealer, tutti veicolati tramite allegati manipolati.

Tra gli eventi di particolare interesse della settimana, il CERT-AGID segnala una campagna di phishing ai danni degli utenti Facebook che, attraverso email dai toni legali, indirizza le vittime verso una finta pagina Meta.

Il sito fraudolento replica un popup del browser e un modulo di login identico a quello originale, con l’obiettivo di sottrarre le credenziali di accesso.

Parallelamente è stata individuata una campagna diffusa via SMS e rivolta a utenti INPS, pensata per raccogliere una quantità significativa di dati personali: oltre alle generalità e all’IBAN, gli attaccanti richiedono un selfie e foto della carta di identità, della tessera sanitaria, della patente e delle ultime tre buste paga.

Un ulteriore caso riguarda una campagna a tema GLS che diffonde il malware Remcos tramite email con allegato XHTML, spingendo la vittima a copiare e incollare comandi dannosi nel terminale per scaricare ed eseguire uno script malevolo.

Infine, il CERT-AGID ha rilevato un nuovo caso di phishing mirato contro l’Università di Parma: una pagina ospitata su Weebly replica l’accesso all’area privata dell’ateneo e viene utilizzata per sottrarre credenziali istituzionali a studenti e personale.

Malware della settimana

Sono state 16 le famiglie di malware osservate tra l’8 e il 14 novembre.

Il più diffuso è Remcos, con 5  campagne italiane a tema “Preventivo”, “Ordine”, “Banking” e “Fattura”, e 4 campagne generiche “Delivery”, “Ordine” e “Pagamenti”. I file allegati utilizzati includono XLS, 7Z, Z, GZ, RAR, ZIP e DOCX, oltre a siti con finti Captcha.

AgentTesla è stato individuato in 3 campagne italiane a tema “Contratti”, “Ordine” e “Pagamenti” e in quattro campagne generiche “Contratti”, “Documenti”, “Pagamenti” e “Ordine”, diffuso tramite allegati TAR, BZ2, 7Z, ZIP e RAR contenenti script VBS e VBE.

PhantomStealer compare in 3 campagne generiche legate ai temi “Ordine”, “Pagamenti” e “Prezzi”, mentre DarkCloud è stato utilizzato in 2 campagne a tema “Prezzi” e “Delivery”.

Meritano attenzione anche i malware mobile: 2 campagne italiane hanno diffuso Copybara, una campagna generica ha distribuito GhostGrab, e un’altra campagna italiana ha impiegato Herodotus, tutti via SMS con link a file APK malevoli.

Guloader è stato individuato in 2 campagne generiche a tema “Fattura” e “Pagamenti” , mentre Rhadamanthys è stato usato in 2 campagne italiane a tema “Booking” e “Documenti”, distribuite tramite script PS1 e installer MSI.

Un’ulteriore campagna italiana ha diffuso MintLoader tramite PEC contenenti ZIP con file HTML.

Completano il quadro varie campagne italiane che hanno diffuso DonutLoader, FormBook, PureLogs e XWorm, insieme a campagne generiche Danabot e LummaStealer, sfruttando argomenti come “Aggiornamenti” e “Documenti”.

Phishing della settimana

Sono stati 27 i brand coinvolti nelle campagne di phishing rilevate nel corso della settimana presa in esame.

Particolarmente ricorrenti sono state le operazioni che hanno sfruttato i nomi di PagoPA e iCloud, insieme alle numerose campagne che imitano servizi di webmail non brandizzate, ancora fra i vettori più frequenti per la raccolta fraudolenta di credenziali.

Formati e canali di diffusione

L’analisi conferma la netta predominanza degli archivi compressi come principale mezzo di diffusione dei contenuti malevoli.

Nel periodo considerato sono state individuate 20 tipologie di file, con ZIP al primo posto (9 utilizzi), seguito da RAR (7) e 7Z (5). Seguono VBS e APK (4 utilizzi ciascuno), e Z (3).

I formati PDF, EXE e DOCX compaiono due volte, mentre BZ2, HTML, PS1, HTM, BAT, GZ, MSI, JS, VBE, TAR e XLS sono stati impiegati in un singolo caso.

La posta elettronica rimane il vettore dominante con 81 campagne. Cinque attacchi sono stati condotti via SMS, mentre una campagna è transitata tramite PEC.

---

---

---

https://www.securityinfo.it/2025/11/17/cert-agid-8-14-novembre-ondata-di-phishing-su-hosting-pagopa-e-universita/?utm_source=rss&utm_medium=rss&utm_campaign=cert-agid-8-14-novembre-ondata-di-phishing-su-hosting-pagopa-e-universita

Il ransomware gestito da operatori umani rappresenta una trasformazione fondamentale nel panorama delle minacce cyber, evolvendo da attacchi automatizzati di massa a operazioni sofisticate condotte da criminali altamente qualificati. A differenza del ransomware automatico che si propaga indiscriminatamente attraverso vulnerabilità note, gli attacchi human-operated coinvolgono avversari attivi che conducono ricognizione estensiva, adattano le loro tattiche in tempo reale e massimizzano l’impatto attraverso deployment strategici del ransomware. Secondo i dati di Microsoft del 2023, gli incontri con ransomware gestito da umani sono aumentati di oltre il 200% da settembre 2022, rappresentando una minaccia crescente per organizzazioni di ogni dimensione.

La distinzione critica risiede nella metodologia: mentre il ransomware tradizionale come WannaCry si diffondeva automaticamente attraverso exploit SMB, gli operatori umani impiegano tecniche di movimento laterale, furto di credenziali e persistenza tipiche degli attacchi nation-state. Questi criminali mantengono una presenza nell’ambiente vittima per settimane o mesi, studiando l’infrastruttura, identificando asset critici ed esfiltrando dati prima della cifratura finale. L’evoluzione verso modelli Ransomware-as-a-Service (RaaS) ha ulteriormente professionalizzato questo ecosistema, con gruppi specializzati che gestiscono diverse fasi dell’attacco.

Tattiche e metodologie tecniche degli attaccanti

La catena di attacco completa secondo MITRE ATT&CK

Gli operatori umani seguono una progressione metodica attraverso le fasi dell’attacco, adattando continuamente le loro tattiche basandosi su ciò che scoprono nell’ambiente target. L’accesso iniziale avviene principalmente attraverso spearphishing (95% degli incidenti), exploit di applicazioni pubbliche come CVE-2023-3519 (Citrix ADC) o compromissione di servizi remoti non protetti da MFA. I gruppi come Storm-0501 sono evoluti da attacchi on-premise a vettori cloud-based, mentre Black Basta utilizza tecniche di social engineering sofisticate combinando email bombing con chiamate telefoniche che impersonano il supporto IT.

La fase di esecuzione impiega pesantemente PowerShell (90% degli incidenti) con comandi codificati in Base64, Windows Management Instrumentation per l’esecuzione remota e framework come Empire o Cobalt Strike per il controllo persistente. Gli attaccanti stabiliscono persistenza attraverso modifiche al registro, creazione di account amministrativi locali e deployment di backdoor sofisticate. Il movimento laterale sfrutta protocolli legittimi come RDP (85% degli incidenti), SMB/Windows Admin Shares tramite PsExec, e WinRM per accesso interattivo.

Tecniche avanzate di evasione e raccolta dati

Gli operatori dedicano risorse significative all’evasione delle difese, utilizzando strumenti custom come Backstab per terminare soluzioni EDR, disabilitando Windows Defender attraverso PowerShell e iniettando codice maligno in processi legittimi. La fase di credential access impiega Mimikatz per il dumping della memoria LSASS, LaZagne per il recupero multi-piattaforma delle credenziali e tecniche pass-the-hash per l’escalation dei privilegi. La discovery utilizza strumenti come BloodHound per l’analisi di Active Directory, identificando percorsi di attacco ottimali verso asset critici.

L’esfiltrazione dei dati precede sempre la cifratura negli attacchi moderni, con gli operatori che utilizzano Rclone per la sincronizzazione verso cloud storage, AWS S3 buckets per upload diretti e strumenti specializzati come Exmatter o StealBit per la collezione automatizzata. I dati vengono tipicamente compressi con 7-Zip o WinRAR prima dell’esfiltrazione attraverso canali C2 cifrati o servizi cloud legittimi come Mega e Google Drive, rendendo la detection estremamente difficile.

Deployment del ransomware e massimizzazione dell’impatto

La fase finale vede il deployment strategico del ransomware per massimizzare il danno operativo. Gli schemi di cifratura moderni utilizzano ChaCha20 con RSA-4096 (Black Basta) o Curve25519 con cifratura intermittente (RansomHub) per velocizzare il processo. Prima della cifratura, gli attaccanti eliminano le Volume Shadow Copies tramite vssadmin.exe, terminano servizi critici di backup e disabilitano l’ambiente di recovery. Il targeting prioritario include hypervisor ESXi che ospitano migliaia di VM, domain controller e sistemi di backup, garantendo che il recovery sia estremamente difficile.

Impatti organizzativi e conseguenze economiche

Costi finanziari oltre il riscatto

L’impatto economico del ransomware human-operated ha raggiunto proporzioni senza precedenti nel 2024. Il costo totale medio di un attacco ransomware è salito a 5,13 milioni di dollari nel 2024, un aumento del 574% dal 2019 quando ammontava a 761.000 dollari, con il pagamento del riscatto che rappresenta solo una frazione dei costi totali. I costi di recovery, escludendo il riscatto, ammontano in media a 2,73 milioni di dollari secondo Sophos, aumentati di quasi 1 milione rispetto ai 1,82 milioni del 2023. Le richieste di riscatto superano 1 milione di dollari nel 63% dei casi, con il 30% che supera i 5 milioni.

L’analisi settoriale rivela che il settore sanitario affronta i costi più elevati con una media di 10,93 milioni di dollari per breach nel 2023, seguito dai servizi finanziari a 5,9 milioni. Il downtime operativo rappresenta un costo significativo, con le organizzazioni che richiedono una media di 24 giorni per il recovery completo. Solo il 35% delle organizzazioni recupera entro una settimana nel 2024, in calo rispetto agli anni precedenti, dimostrando l’efficacia crescente degli attacchi human-operated nel compromettere i sistemi di backup e rallentare il ripristino.

Disruption operativa e impatto sulla supply chain

Gli attacchi human-operated causano disruption operativa nell’86% dei casi, con impatti a cascata attraverso le supply chain. Il caso Change Healthcare del 2024 ha dimostrato come un singolo attacco possa interrompere il 50% dell’elaborazione delle richieste mediche negli Stati Uniti, con costi totali diretti di 2,87 miliardi di dollari per UnitedHealth Group nel 2024. Durante la crisi, UnitedHealth ha dovuto erogare oltre 9 miliardi di dollari in prestiti temporanei ai provider sanitari colpiti dalla paralisi dei sistemi di fatturazione, di cui circa 3,2 miliardi erano stati ripagati entro ottobre 2024.

Il 94% degli attacchi ransomware tenta di compromettere i backup durante l’attacco, riuscendoci nel 57% dei casi secondo i dati Sophos 2024, estendendo significativamente i tempi di recovery. L’impatto umano sui team IT è sostanziale: il 57% del personale coinvolto nel remediation riporta stanchezza estrema, il 25% sperimenta rabbia e tristezza, e quasi il 20% considera di lasciare il proprio lavoro. Le organizzazioni con backup non compromessi recuperano entro una settimana nel 46% dei casi, mentre quelle con backup compromessi scendono al 25%, evidenziando l’importanza critica della protezione dei sistemi di backup.

Strategie di difesa e mitigazione

Implementazione dell’architettura Zero Trust

La difesa efficace contro il ransomware human-operated richiede un approccio Zero Trust completo che verifichi esplicitamente ogni richiesta di accesso, utilizzi privilegi minimi e assuma sempre una breach. L’implementazione di autenticazione multi-fattore resistente al phishing utilizzando WebAuthn o PKI è essenziale, con le organizzazioni che implementano Zero Trust che mostrano una riduzione significativa nell’impatto del ransomware. Il Privileged Access Management (PAM) deve eliminare i privilegi permanenti, implementando accesso just-in-time con elevazione temporanea basata sul contesto di rischio.

La microsegmentazione della rete è critica per limitare il movimento laterale, con soluzioni software-defined che forniscono politiche granulari a livello di workload. Le organizzazioni con microsegmentazione completa recuperano dagli attacchi ransomware più velocemente rispetto a quelle con segmentazione minima, riducendo i tempi di ripristino di diverse ore. I controlli est-ovest devono monitorare e limitare le comunicazioni interne, bloccando SMB non necessario (porte TCP 137-139, 445) e richiedendo SMB v3.1.1 con cifratura e firma.

Detection avanzata e risposta automatizzata

Le strategie EDR moderne devono impiegare analisi comportamentale AI-driven, analisi della memoria per detection in-memory e rilevamento di script per PowerShell e tecniche living-off-the-land. Microsoft Defender XDR può interrompere attacchi ransomware in pochi minuti attraverso correlazione dei segnali, mentre CrowdStrike Falcon e Sophos Intercept X hanno dimostrato tassi di detection del 100% nei test 2024 di SE Labs. Le regole di detection devono includere monitoraggio per comandi PowerShell codificati, tentativi di credential dumping e cancellazione delle Volume Shadow Copy.

L’implementazione SOAR accelera la risposta attraverso playbook automatizzati che isolano endpoint affetti, disabilitano account compromessi e bloccano IP maligni immediatamente al rilevamento. Le tecnologie di deception forniscono early warning con quasi zero falsi positivi, deployando honeypot dinamici, honey token e sistemi esca che attraggono e ritardano gli operatori umani. I canary file nelle directory critiche possono rilevare tentativi di cifratura prima che si diffondano.

Backup immutabili e resilienza operativa

La strategia di backup deve seguire la regola 3-2-1-1-0 evoluta: 3 copie dei dati critici, 2 tipi di storage diversi, 1 copia offsite, 1 copia immutabile e 0 errori nella verifica. Le tecnologie di backup immutabile come AWS S3 Object Lock, Azure Immutable Blob Storage e Veeam Hardened Repository prevengono la modifica o cancellazione dei backup anche con credenziali amministrative compromesse. Le organizzazioni con backup immutabili attraverso aree critiche multiple recuperano significativamente più velocemente rispetto agli approcci tradizionali, riducendo i tempi medi di ripristino da oltre 15 ore a circa 4 ore.

Casi studio: lezioni dal campo

MGM Resorts e la vulnerabilità del fattore umano

L’attacco del settembre 2023 a MGM Resorts dimostra come una singola chiamata telefonica possa bypassare tutti i controlli tecnici. Scattered Spider ha ottenuto accesso attraverso social engineering dell’help desk in circa 10 minuti, fornendo poi accesso ad ALPHV/BlackCat per il deployment del ransomware su oltre 100 hypervisor ESXi. L’incidente ha causato 100 milioni di dollari in perdite operative e circa 10 giorni di disruption, evidenziando la criticità della verifica dell’identità e della formazione del personale help desk. A differenza di Caesars Entertainment che ha pagato circa 15 milioni di riscatto in un attacco simile, MGM ha rifiutato di pagare, collaborando invece con le forze dell’ordine.

British Library: trasparenza e resilienza istituzionale

L’attacco Rhysida dell’ottobre 2023 alla British Library fornisce lezioni preziose attraverso il loro approccio trasparente post-incidente. La mancanza di MFA su un server Terminal Services ha permesso l’accesso iniziale, con centinaia di gigabyte di dati esfiltrati prima della cifratura. Nonostante costi di recovery significativi stimati in diversi milioni di sterline e una disruption operativa che si è estesa per mesi, l’istituzione ha dimostrato eccellenza nella risposta rifiutando il pagamento del riscatto, comunicando trasparentemente con gli stakeholder e documentando lezioni chiave per il settore culturale e accademico.

Change Healthcare: l’impatto sistemico su scala nazionale

L’attacco ALPHV del febbraio 2024 rappresenta il breach sanitario più costoso e impattante nella storia USA. Un portale Citrix senza MFA ha fornito l’accesso iniziale il 12 febbraio, compromettendo alla fine i dati di oltre 100 milioni di individui (con stime successive che raggiungono 192,7 milioni) e interrompendo l’elaborazione delle richieste sanitarie nazionali per mesi.

UnitedHealth ha confermato di aver pagato un riscatto di 22 milioni di dollari ma non ha recuperato i dati. I costi totali per l’azienda hanno raggiunto 2,87 miliardi di dollari nel 2024, con proiezioni che suggeriscono costi totali superiori ai 3 miliardi considerando l’intero ciclo dell’incidente. Il caso dimostra come singoli punti di failure nell’infrastruttura critica possano avere conseguenze catastrofiche a livello di settore, con Change Healthcare che processa 15 miliardi di transazioni sanitarie annualmente.

Conclusione: evoluzione futura e imperativi strategici

Il ransomware gestito da operatori umani continua ad evolversi come minaccia dominante, con l’ecosistema RaaS che si professionalizza ulteriormente e gli attaccanti che adottano tecniche sempre più sofisticate. Le proiezioni di Cybersecurity Ventures indicano che i costi globali del ransomware raggiungeranno 275 miliardi di dollari annualmente entro il 2031, con attacchi previsti ogni 2 secondi. L’integrazione di capacità nation-state, l’evoluzione verso attacchi cloud-native e il targeting sistematico delle infrastrutture critiche richiederanno trasformazioni fondamentali negli approcci di cybersecurity.

Le organizzazioni devono adottare strategie defense-in-depth che combinino Zero Trust architecture, detection comportamentale avanzata, backup immutabili e capacità di risposta agli incidenti mature. Il successo richiederà investimenti sia in tecnologia che in persone, con particolare attenzione alla security awareness, alla resilienza operativa e alla collaborazione settoriale. L’evidenza dai casi studio dimostra che la mancanza di MFA su sistemi critici, la formazione inadeguata del personale e l’assenza di backup immutabili rappresentano i fattori di rischio più critici.

La natura adattiva degli operatori umani richiede strategie difensive ugualmente adattive che possano rilevare e rispondere a TTP innovative mantenendo l’efficacia operativa. Solo attraverso un approccio olistico che affronta vulnerabilità tecniche, fattori umani e resilienza organizzativa le organizzazioni possono sperare di difendersi efficacemente contro questa minaccia in evoluzione. La collaborazione internazionale tra forze dell’ordine, l’implementazione di framework normativi più stringenti e l’adozione diffusa di best practice di sicurezza saranno essenziali per invertire la tendenza attuale e ridurre l’impatto economico e sociale del ransomware human-operated.

Fonti:

Cybersecurity and Infrastructure Security Agency (CISA). (2024a). #StopRansomware: Black Basta. U.S. Department of Homeland Security.

Cybersecurity and Infrastructure Security Agency (CISA). (2024b). #StopRansomware: RansomHub Ransomware. U.S. Department of Homeland Security.

Cybersecurity and Infrastructure Security Agency (CISA). (2023). #StopRansomware: CL0P Ransomware Gang Exploits CVE-2023-34362 MOVEit Vulnerability. U.S. Department of Homeland Security.

Cybersecurity and Infrastructure Security Agency (CISA). (n.d.). #StopRansomware Guide. U.S. Department of Homeland Security.

Federal Bureau of Investigation (FBI) & CISA. (2024). Joint Cybersecurity Advisory: Black Basta Ransomware. Internet Crime Complaint Center.

Microsoft Security. (2024a). Microsoft Digital Defense Report 2024. Microsoft Corporation.

Microsoft Security. (2024b). How Microsoft Copilot for Security helps defend against human-operated ransomware attacks. Microsoft Security Blog.

Microsoft Security. (2023a). Microsoft Digital Defense Report 2023. Microsoft Corporation.

Microsoft Security. (2023b). Espionage fuels global cyberattacks. Microsoft On the Issues.

Microsoft Security. (2020). Human-operated ransomware attacks: A preventable disaster. Microsoft Security Blog.

Microsoft Learn. (n.d.). What is ransomware? Microsoft Documentation.

(2024a). The State of Ransomware 2024. Sophos Ltd.

(2024b). Ransomware Payments Increase 500% In the Last Year, Finds Sophos State of Ransomware Report.

(2025). The State of Ransomware 2025. Sophos Ltd.

IBM Security. (2024). Cost of a Data Breach Report 2024. IBM Corporation.

IBM Security X-Force. (2024). X-Force Threat Intelligence Index 2024. IBM Corporation.

Cybersecurity Ventures. (2025). Global Ransomware Damage Costs Predicted To Exceed $275 Billion By 2031. Cybercrime Magazine.

(2025). The Average Cost Of Ransomware Attacks (Updated 2025).

Varonis Systems. (2024). Ransomware Statistics, Data, Trends, and Facts [updated 2024].

Check Point Software Technologies. (n.d.). Human-Operated Ransomware. Check Point Research.

Palo Alto Networks Unit 42. (2025). 2025 Unit 42 Global Incident Response Report.

HIPAA Journal. (2024). Change Healthcare Increases Ransomware Victim Count to 192.7 Million Individuals.

IBM Think. (2024a). Change Healthcare attack expected to exceed $1 billion in costs.

IBM Think. (2024b). Change Healthcare discloses USD 22M ransomware payment.

(2025). The complete story of the 2024 ransomware attack on UnitedHealth.

American Hospital Association (AHA). (2024). Change Healthcare Cyberattack Underscores Urgent Need to Strengthen Cyber Preparedness.

(2025). MGM Cyber Attack 2023: Impact, Updates, and Response by MGM Resorts.

(2024). MGM Resorts ransomware attack led to $100 million loss, data theft.

NBC News. (2023). Cyberattack cost MGM Resorts about $100 million, Las Vegas company says.

org. (n.d.). 10 Lessons from the British Library Ransomware Attack.

(2024). British Library cyberattack.

(2024). Scattered Spider.

MITRE Corporation. (n.d.). MITRE ATT&CK Framework.

National Institute of Standards and Technology (NIST). (2018). Framework for Improving Critical Infrastructure Cybersecurity, Version 1.1. U.S. Department of Commerce.

https://www.ictsecuritymagazine.com/notizie/ransomware-gestito-da-operatori-umani/

Nov 14, 2025 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

Una presunta vulnerabilità di Fortinet FortiWeb sta venendo attivamente sfruttata per creare utenti admin. A riportarlo è Daniel Card, ricercatore di PwnDefend, spiegando che si dovrebbe trattare di un bug di Path Traversal non ancora patchata. Inizialmente il problema era stato individuato dalla compagnia Defused ed è stato dettagliato negli ultimi giorni da Card.

Il ricercatore spiega che, utilizzando uno specifico endpoint (/api/v2.0/cmdb/system/admin%3F/../../../../../cgi-bin/fwbcgi), è possibile inserire un payload nella richiesta POST che crea un utente con privilegi di amministratore, garantendo agli attaccanti accesso persistente al sistema.

“Questo payload sembra crea un account utente locale con livello admin sul dispositivo colpito. Ho un firewall Fortinet in esecuzione e non sono riuscito a confermare l’effetto dell’attacco” afferma Card, aggiungendo però che, analizzando l’endpoint, è altamente probabile che la vulnerabilità sia effettivamente quella presunta.

Dalle analisi effettuate sono emersi una serie di payload che riportavano la creazione di utenti con username quali, tra gli altri, Testpoint, trader1, trader2, test1234point che sembrano per l’appunto indicare una serie di exploit di verifica. In un post su X, i ricercatori WatchTowr  hanno in seguito condiviso l’exploit funzionante.

another exploited in-the-wild FortiWeb vuln? It must be Thursday! pic.twitter.com/F9TQgdJQ4l

— watchTowr (@watchtowrcyber) November 13, 2025

Come riporta Bleeping Computer, il team di WatchTowr ha anche rilasciato un tool per aiutare gli amministratori di sistema a identificare i dispositivi vulnerabili. La testata sottolinea che, al momento, non c’è alcun riferimento al bug sul portale di Fortinet dedicato agli avvisi di sicurezza. Bleeping Computer ha contattato direttamente la compagnia per fare chiarezza sulla questione, ma non ha ancora ricevuto risposta.

I prodotti colpiti sono i Fortinet FortiWeb con versione inferiore alla 8.0.2. Agli amministratori di sistema è caldamente consigliato aggiornare il prima possibile i dispositivi vulnerabili e, nel frattempo, assicurarsi che gli endpoint di gestione siano raggiungibili solo entro reti sicure.

---

---

---

https://www.securityinfo.it/2025/11/14/vulnerabilita-di-fortinet-fortiweb-sfruttata-per-creare-utenti-admin/?utm_source=rss&utm_medium=rss&utm_campaign=vulnerabilita-di-fortinet-fortiweb-sfruttata-per-creare-utenti-admin