Organizations are heavily investing in zero trust, a security framework that requires strict verification and ongoing monitoring of every user, device, and application. As of 2025, the size of the zero trust market is estimated at $38.37 billion USD and is projected to grow to $86.57 billion USD by 2030. Investments include not only tools but also organizational transformation, policy overhaul, and long-term architectural changes. 

When combined with strong, phishing-resistant multi-factor authentication (MFA) and AI-powered threat detection, a move toward zero trust will significantly enhance cybersecurity. However, help desks often lack robust identity verification, creating a critical vulnerability.

Help desks are often the first line of defense for malicious identity verification activity, yet are among the most under-protected entry points in the enterprise. Attackers treat it not as a support function but as a security weakness. 

Instead of brute-forcing logins or guessing passwords, cybercriminals call in, impersonate employees, and gain access. All it takes is a convincing story, a spoofed caller ID, and the helpfulness of an agent trying to assist someone in getting back to work. 

The Marks & Spencer breach and the 2023 MGM Resorts attack highlight this issue. The group Scattered Spider turned social engineering into a science. They impersonated staff, bypassed weak protocols, and caused massive disruption. They exploited outdated workflows, studying organizations and mimicking internal language to deceive help desks. In the MGM attack, their help desk social engineering event led to over $100 million in damages and widespread disruption across hotels, casinos and their digital infrastructure. 

These breaches resulted from process failures, not individual human error.

What’s Going Wrong

Help desks are particularly vulnerable because they sit at the intersection of legacy infrastructure, human interaction and urgent access needs. Most still authenticate users with static credentials, such as birthdates, maiden names, employee IDs, and “memorable answers,” which stem from the password-centric era. These convenient methods, however, were never designed for resilience. Over time, they’ve become predictable, easily phished, or widely available through breached data and public sources. 

The problem isn’t just technical. It’s procedural and psychological. Help desks often prioritize speed and rely on scripted questions and assumed trust. Attackers exploit this by impersonating users and manipulating routine procedures. They don’t need to break in. They just need to sound legitimate. 

Such social engineering is effective because it thrives on human empathy, urgency and the comfort of familiar protocols. Without modern safeguards, such as adaptive authentication, help desks remain vulnerable to attacks. Relying on assumptions instead of real-time signals leaves a dangerous gap between convenience and security. 

The Attackers Playbook 

Attackers now use deepfake voice technology and generative AI to imitate employees, which makes outdated verification methods obsolete. They easily bypass human skepticism and technical safeguards with alarming accuracy. 

Threat actors infiltrate with ease by:

• Establishing credibility and trust using insider language.
• Manipulating caller IDs to appear legitimate.
• Exploiting weak verification protocols.
• Capitalizing on assumptions to gain access. 

Most attacks start with reconnaissance. Cybercriminals scrape LinkedIn profiles, company bios and breach data to build believable personas. By the time they call your help desk, they sound like legitimate employees. It’s all in the preparation.

That preparation pays off when the real manipulation begins. Social engineering succeeds because it persuades people, not systems. Attackers create a sense of urgency, impersonate authority and exploit empathy. These are intentional tactics that convince individuals to bypass security measures, leading to breaches that appear to be routine support calls. 

Outdated systems, not the teams themselves, are the real issue for help desk teams, who often work under pressure with limited tools and visibility.

The Cost of Getting It Wrong

When attackers bypass weak verification, the consequences extend far beyond just one compromised account. The ripple effect is substantial.

Credential misuse is fueling a surge of breaches across industries. A recent report found that in retail alone, 58% of organizations have suffered incidents tied to compromised credentials. The average cost per incident is $6.27 million. These costs include:

• Immediate expenses of investigation, containment and remediation
• Long-term repercussions, such as regulatory penalties and class-action lawsuits
• Loss of intellectual property
• Decline in consumer trust and retention

The last point is critical. The same research reports a staggering 81% of consumers say they would stop doing business with a company after a breach involving their personal data. 

These breaches highlight a business continuity issue masquerading as a security concern. Failed authentication erodes trust, which is challenging to rebuild.

Why Identity Verification is the Help Desk’s First Line of Defense

Help desks are a prime target for identity-based attacks; yet, many organizations still rely on authentication, rather than identity verification. Verification methods based on shared secrets, like password resets, knowledge-based questions, and SMS-based MFA, collapse under social engineering. Attackers already have the answers, often gleaned from personal information easily gathered from public sources, data breaches, or internal leaks. 

Furthermore, those static, secret-driven controls can’t assess real-time risk or prove that the requester is who they claim to be. Unfortunately, under pressure, support agents often default to lenient verification, which can open the door to unauthorized access. 

An identity verification-first approach flips the script. By issuing cryptographic credentials tied to trusted endpoints and optional biometric checks, every reset request carries instant, context-aware proof of identity with no shared secrets required. 

Elevating identity verification as a foundational control locks down help desk workflows, slashes fraudulent resets and secures critical transactions in real time. It’s not an add-on but rather a critical element in stopping identity-based threats. 

What CISOs Can Do Now: Turn the Help Desk into a Strategic Asset

CISOs need to rethink the help desk. It’s not just a soft spot or a support channel. It’s a strategic asset in their zero trust strategy. With the right changes, the help desk becomes a powerful layer of defense. 

• Adopting phishing-resistant authentication. Move beyond passwords and static credentials. Use FIDO2 security keys, biometric verification, and methods that can’t be easily spoofed or stolen.
• Require access from registered, trusted devices to ensure only legitimate users are supported. 
• Eliminate shared secrets. Stop relying on information that can be guessed, stolen or socially engineered. 
• Enable real-time identity checks. Provide help desk teams with tools to quickly and securely confirm users’ presence and intent.

These steps empower frontline teams with the tools and training they need to protect the organization confidently, without unnecessary friction.

Elevating Help Desks to Identity Guardians

Traditionally, help desks are reactive troubleshooters that focus on resolving technical issues rather than safeguarding identity. Forward-looking organizations break down silos between IT, identity and security. They align these functions into a unified access strategy where every support interaction strengthens assurance.

For example, if a user is locked out, the help desk can trigger a biometric challenge or device-based verification. The user verifies their identity in real-time. No guesswork. No assumptions. Just proof. These efforts thwart impostors and streamline access for legitimate users, while reducing frustration and downtime and strengthening security.

Modern identity assurance transforms help desk agents into defenders who proactively detect anomalies and suspicious behavior, stopping breaches before they occur. This is the essential evolution for today’s help desk.

https://www.securitymagazine.com/articles/101955-help-desk-havoc-why-identity-verification-is-still-the-weakest-link-in-targeted-attacks

Ott 10, 2025 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

Una vulnerabilità di Oracle E-Business Suite (EBS) è stata sfruttata in un’estesa campagna di estorsione che ha colpito decine di organizzazioni: a dirlo è il team del Google Threat Intelligence Group (GTIG) in un post pubblicato ieri che dettaglia le attività dei cyberattaccanti.

La campagna è stata individuata la prima volta lo scorso 29 settembre e sembrerebbe opera di un gruppo affiliato a Cl0p, nota gang ransomware attiva da molti anni. Le attività malevole, però, sarebbero cominciate ben prima di fine settembre: almeno dal 9 agosto, ma sono state rilevate attività sospette anche a inizio luglio.

“Gli attaccanti hanno cominciato a inviare un elevato volume di email ai dirigenti di numerose organizzazioni, affermando di aver rubato dati sensibili dagli ambienti Oracle E-Business Suite” ha spiegato il GTIG. A supporto delle loro affermazioni, gli attaccanti hanno allegato alle email delle liste di file di ambienti EBS appartenenti a diverse organizzazioni.

Nelle email il gruppo ha specificato che, per evitare la pubblicazione dei dati, le vittime avrebbero dovuto pagare un riscatto, senza specificare però né il metodo di pagamento, né l’importo effettivo; queste informazioni verrebbero rivelate solo dopo un primo contatto da parte delle vittime.

Il gruppo ha sfruttato la CVE-2025-61882, una vulnerabilità zero-day che colpisce il componente BI Publisher Integration della suite Oracle nelle versioni 12.2.3 – 12.2.14. Considerato “facilmente sfruttabile” dal NIST, il bug permette a un attaccante non autenticato con accesso HTTP di compromettere Oracle Concurrent Processing, funzionalità che consente di eseguire contemporaneamente task non interattivi.

Secondo il team di Google, il gruppo avrebbe in realtà usato diverse catene di exploit per sottrarre i dati da EBS, tutti, in ogni caso, legati al bug CVE-2025-61882. La patch rilasciata da Oracle il 4 ottobre sembrerebbe comunque efficace contro i diversi exploit.

Il GITG non ha ancora attribuito formalmente la campagna a un gruppo specifico, ma ha specificato che, oltre al legame con Cl0p, ci sarebbero molte similarità con le tecniche e i tool usati da FIN11, gruppo attivo dal 2017 noto per l’ampia scala delle sue campagne malware. Anche l’uso di una vulnerabilità zero-day per una campagna di estorsione su larga scala è un modus operandi storicamente attribuito a FIN11.

“I gruppi affiliati a Cl0p quasi certamente considerano queste campagne di sfruttamento di massa come un successo, visto che hanno adottato questo approccio almeno dalla fine del 2020” spiegano i ricercatori.

Per proteggersi da questi attacchi, la prima cosa da fare è applicare le patch rilasciate da Oracle a inizio ottobre. Il GTIG consiglia inoltre di controllare la presenza di template malevoli nel database EBS, in particolare nelle tabelle XDO_TEMPLATES_B e XDO_LOBS, e di limitare il traffico non essenziale in uscita dai server EBS.

Oltre a ciò, occorre monitorare i log per individuare eventuali indicatori di compromissione, come le richieste all’endpoint TemplatePreviewPG con un TemplateCode con prefisso TMP o DEF, e analizzare i processi Java associati a EBS per individuare codice malevolo.

---

---

---

https://www.securityinfo.it/2025/10/10/un-bug-zero-day-di-oracle-e-business-suite-e-stato-sfruttato-in-una-campagna-di-estorsione/?utm_source=rss&utm_medium=rss&utm_campaign=un-bug-zero-day-di-oracle-e-business-suite-e-stato-sfruttato-in-una-campagna-di-estorsione

Cybersecurity Researcher Jeremiah Fowler discovered a database that lacked password protection as well as encryption, exposing 85,361 files (158 GB in total). The records included invoices, claims, and emails that contained policy holder names, addresses, phone numbers, email addresses, and other personally identifiable information (PII). The personal information of pets were also exposed, including their names, ages, breeds, medical histories, microchip numbers, and more. Partial credit card numbers were also found in veterinary invoices. 

According to the search, the information appears to belong to Rainwalk Technology, a pet insurance provider based in South Carolina. A responsible disclosure notice was sent to the organization, yet the database remained accessible for bout a month before becoming restricted from public access. No response was sent to Fowler’s notice. It is unknown if the database was owned and operated by the company or if a third party managed it. 

The exposure of PII is concerning, as it could enable phishing and social engineering attempts. While the exposure of pet-related data may seem harmless, these added details combined with an individual’s PII could lead to sophisticated, targeted attacks that leverage the personal data to appear legitimate. 

https://www.securitymagazine.com/articles/101956-85-000-pet-and-pet-owner-records-exposed

Nel cuore di Bruxelles, nei corridoi austeri della Commissione Europea, si è consumata negli ultimi anni una delle più straordinarie trasformazioni del potere mai tentate nell’era digitale. Non si tratta di una rivoluzione combattuta con le armi tradizionali della politica, ma di una guerra silenziosa condotta attraverso articoli di legge, procedimenti formali e database di trasparenza che stanno ridefinendo l’equilibrio tra il potere pubblico e i colossi tecnologici globali.

Il Digital Services Act – un nome apparentemente tecnico che nasconde dietro di sé l’ambizione di riscrivere le regole del gioco digitale per mezzo miliardo di europei – rappresenta oggi la più audace sfida mai lanciata contro l’egemonia delle piattaforme digitali. È una storia che inizia con un regolamento europeo e si trasforma in un epico confronto tra due visioni del mondo: quella di Silicon Valley, dove la libertà d’impresa incontra pochi limiti, e quella europea, dove i diritti fondamentali pretendono di porre argini al capitalismo digitale selvaggio.

Digital Services Act: la genesi di una rivoluzione normativa

Quando il Regolamento (UE) 2022/2065 entrò in vigore quel freddo 16 novembre 2022, pochi immaginarono che stessimo assistendo all’alba di una nuova era. Eppure, dietro quelle centinaia di articoli si celava un’ambizione rivoluzionaria: trasformare Internet da far west digitale in uno spazio regolamentato, dove le piattaforme non sarebbero più state semplici intermediari neutrali, ma attori responsabili del benessere collettivo europeo.

Il legislatore europeo aveva compreso una verità fondamentale che sfuggiva ai suoi omologhi oltreoceano: nell’era dell’informazione, chi controlla gli algoritmi controlla la realtà. Non si trattava più di regolamentare semplici servizi digitali, ma di disciplinare le nuove cattedrali dell’informazione globale, dove miliardi di decisioni algoritmiche plasmano quotidianamente il modo in cui percepiamo il mondo, consumiamo informazioni e interagiamo con i nostri simili.

Il DSA non è nato dall’oggi al domani, ma rappresenta il culmine di un lungo processo di maturazione politica europea. Dopo anni di scandali – da Cambridge Analytica alle interferenze elettorali, dalla diffusione di fake news all’odio online – l’Europa aveva finalmente trovato il coraggio di affermare la propria sovranità digitale. Il 17 febbraio 2024, quando il regolamento divenne pienamente applicabile, non fu semplicemente una data nel calendario legislativo, ma l’inizio di un nuovo capitolo nella storia del potere digitale globale.

L’anatomia del potere: le Very Large Online Platforms

Al centro di questa rivoluzione normativa si trova un concetto apparentemente tecnico ma profondamente politico: le Very Large Online Platforms, quelle cattedrali digitali che superano la soglia magica di 45 milioni di utenti attivi mensili nell’Unione Europea. Non si tratta di un numero casuale, ma di una precisa scelta politica: il 10% della popolazione europea rappresenta quel punto di non ritorno oltre il quale una piattaforma digitale cessa di essere un semplice servizio commerciale per diventare un’infrastruttura critica della democrazia contemporanea.

L’elenco di queste 23 piattaforme designate legge oggi come un Who’s Who del potere digitale globale: Facebook e Instagram, gli imperi social di Mark Zuckerberg; TikTok, la fenomenale creazione cinese che ha conquistato le menti dei giovani europei; X, l’ex Twitter trasformato dal visionario e controverso Elon Musk; YouTube, la biblioteca video dell’umanità; Amazon, il bazaar digitale globale. Ognuna di queste piattaforme non è più considerata un semplice servizio commerciale, ma un attore sociale con responsabilità sistemiche verso la democrazia europea.

L’articolo 25 del DSA, con la sua definizione apparentemente asettica delle soglie dimensionali, nasconde in realtà una rivoluzione copernicana nel modo di concepire il rapporto tra tecnologia e società. Per la prima volta nella storia, l’Europa ha osato dire che la dimensione conta, che oltre una certa scala l’impatto sociale di una piattaforma diventa così significativo da richiedere obblighi speciali e responsabilità particolari.

Il paradigma del rischio sistemico: una nuova filosofia del controllo

Ciò che rende il DSA genuinamente rivoluzionario non è tanto la sua ambizione regolatoria, quanto la sofisticatezza filosofica del suo approccio. L’articolo 34, nel suo linguaggio giuridico apparentemente arido, introduce un concetto che cambierà per sempre il modo in cui pensiamo alla responsabilità delle piattaforme digitali: il rischio sistemico.

Non si tratta più di aspettare che il danno si manifesti per poi reagire, ma di anticiparlo, prevederlo, mapparlo nelle sue molteplici manifestazioni. Le piattaforme sono ora chiamate a guardarsi allo specchio e riconoscere come i loro algoritmi possano amplificare quattro tipologie fondamentali di rischi: la disseminazione virale di contenuti illegali, l’erosione dei diritti fondamentali, la distorsione dei processi democratici e civici, e l’incubazione di violenza di genere e danni al benessere collettivo.

È una filosofia del controllo che trasforma le piattaforme da semplici intermediari tecnologici in custodi della salute digitale della società. Non possono più nascondersi dietro il velo dell’ignoranza algoritmica o della neutralità tecnologica. Devono guardarsi dentro, comprendere come funzionano i loro sistemi, riconoscere i rischi che generano e, soprattutto, agire per mitigarli.

L’articolo 35, che traduce queste valutazioni in obblighi concreti di mitigazione, rappresenta forse il passaggio più audace di tutta la normativa. Non si limita a chiedere trasparenza o informazioni, ma pretende cambiamenti strutturali: modifiche agli algoritmi, revisioni delle politiche di moderazione, persino ripensamenti delle funzionalità di base del servizio. È la democrazia europea che chiede alle piattaforme di riprogettarsi per servire meglio il bene comune.

La grande inquisizione: i procedimenti di enforcement

L’applicazione del DSA ha dato vita a quello che gli storici del futuro potrebbero definire come la “Grande Inquisizione Digitale” europea. Non si tratta di una persecuzione arbitraria, ma di un metodico e rigoroso processo di verifica della conformità che ha portato la Commissione Europea ad aprire procedimenti formali contro praticamente tutti i maggiori attori del panorama digitale globale.

Il sramma di TikTok: quando l’Oriente incontra l’Occidente

La saga di TikTok rappresenta forse il caso più affascinante e complesso dell’intero panorama di enforcement del DSA. La piattaforma cinese, con la sua capacità quasi magica di catturare l’attenzione di centinaia di milioni di giovani europei, si è trovata al centro di un vortice di procedimenti che riflettono tutte le tensioni geopolitiche dell’era contemporanea.

Il primo procedimento, avviato il 19 febbraio 2024, ha messo sotto la lente d’ingrandimento le politiche di protezione dei minori della piattaforma, sollevando interrogativi fondamentali su come un algoritmo progettato per massimizzare l’engagement possa interagire con menti giovani e impressionabili. Ma è stato il procedimento sui rischi elettorali, scaturito dalle controverse elezioni presidenziali rumene del dicembre 2024, a rivelare la dimensione geopolitica della questione: una piattaforma controllata da una società cinese può influenzare i processi democratici europei?

I rilievi preliminari del 17 maggio 2025 sul repository pubblicitario hanno segnato un momento storico: per la prima volta, la Commissione Europea ha formalizzato una violazione specifica del DSA con la concreta prospettiva di sanzioni pecuniarie. TikTok, la piattaforma che aveva conquistato l’Europa attraverso video di danza e meme virali, si è improvvisamente trovata a fronteggiare la possibilità di multe che potrebbero raggiungere il 6% del suo fatturato globale.

Meta: l’impero di Zuckerberg sotto assedio

Se TikTok rappresenta la giovane outsider che ha conquistato l’Europa dall’esterno, Meta incarna invece l’establishment del potere digitale che si trova a dover ripensare le sue fondamenta. I procedimenti contro il colosso di Menlo Park, avviati rispettivamente il 30 aprile e il 16 maggio 2024, toccano il cuore stesso del modello di business delle piattaforme social: la capacità di catturare e mantenere l’attenzione degli utenti attraverso meccanismi di design sempre più sofisticati.

Il caso del “design additivo” rappresenta una delle sfide intellettuali più affascinanti dell’intera saga DSA. Come si dimostra che un algoritmo progettato per essere coinvolgente attraversa la linea sottile che separa l’engagement legittimo dalla manipolazione psicologica? Come si bilanciano i diritti dei minori alla protezione con i diritti degli adulti alla libertà di scelta? Sono domande che vanno ben oltre la tecnologia e toccano questioni filosofiche fondamentali sulla natura della libertà nell’era digitale.

La decisione di dismettere CrowdTangle il 14 agosto 2024, proprio nel mezzo di un periodo elettorale cruciale, ha aggiunto un altro livello di complessità al caso. Meta ha sostenuto di aver fornito alternative adeguate, ma la Commissione ha visto in questa mossa un tentativo di limitare la trasparenza e ostacolare la ricerca indipendente sui rischi sistemici delle sue piattaforme.

X: la battaglia esistenziale di Elon Musk

Nessun caso nell’universo DSA è tanto drammatico e filosoficamente ricco quanto quello di X, l’ex Twitter trasformato dalla visione iconoclasta di Elon Musk. Il procedimento avviato il 18 dicembre 2023 ha assunto rapidamente i contorni di una battaglia esistenziale tra due concezioni radicalmente diverse della libertà di espressione e della responsabilità delle piattaforme.

Musk, con la sua retorica libertaria e la sua avversione viscerale per quello che considera un eccesso di regolamentazione europea, ha trasformato la sua piattaforma in un laboratorio di sperimentazione sociale dove le tradizionali regole della moderazione dei contenuti sono state stravolte. Il sistema di verifica “spunta blu”, trasformato da simbolo di autenticità a commodity acquistabile, è diventato l’emblema di questa rivoluzione: un esempio perfetto di come le scelte di design apparentemente tecniche possano avere profonde implicazioni sociali e democratiche.

I rilievi preliminari del 12 luglio 2024 hanno cristallizzato le tensioni in tre aree cruciali: il sistema di verifica ingannevole, la drastica riduzione dei team di moderazione, e il blocco sistematico dell’accesso ai dati per i ricercatori. Ognuna di queste questioni tocca nervi scoperti del dibattito contemporaneo sulla governance digitale: fino a che punto una piattaforma può rivendicare autonomia decisionale quando le sue scelte influenzano il benessere di milioni di cittadini europei?

Il database della verità: 3,5 miliardi di decisioni sotto la luce del sole

Tra tutte le innovazioni introdotte dal DSA, forse nessuna è tanto rivoluzionaria quanto il DSA Transparency Database, lanciato il 26 settembre 2023. In meno di due anni, questo strumento ha raccolto oltre 3,5 miliardi di “Statement of Reasons” – decisioni di moderazione che documentano in tempo reale come le piattaforme interpretano e applicano le loro politiche sui contenuti.

Non si tratta di semplici statistiche, ma del più grande esperimento di trasparenza mai condotto nell’ecosistema digitale globale. Per la prima volta nella storia, possiamo osservare dall’interno il funzionamento della macchina della moderazione dei contenuti, quella infrastruttura invisibile che determina quotidianamente cosa possiamo vedere, condividere e discutere online.

I numeri raccontano storie affascinanti e spesso inquietanti. L’automazione domina il panorama con percentuali che oscillano tra l’85% e il 99% delle decisioni prese da sistemi algoritmici. TikTok si avvicina alla totale automazione, mentre X mantiene ancora circa il 15% di moderazione umana – percentuali che riflettono non solo scelte tecnologiche, ma vere e proprie filosofie della governance dei contenuti.

Ancora più rivelatore è il problema delle disparità linguistiche. Il database mostra chiaramente come la capacità di moderazione vari drammaticamente a seconda della lingua: gli utenti che comunicano in inglese, francese, tedesco o spagnolo godono di livelli di protezione significativamente superiori rispetto a coloro che utilizzano lingue minoritarie dell’Unione. È una forma di cittadinanza digitale di serie A e di serie B che il DSA intende affrontare ma che rivela la complessità di governare uno spazio digitale veramente inclusivo e multilingue.

Come il DSA ha cambiato internet

L’effetto più sorprendente del DSA non è stato quello di spingere le piattaforme ad abbandonare il mercato europeo – come molti pessimisti avevano previsto – ma di stimolare una ondata di innovazione e ripensamento strutturale che ha trasformato l’esperienza digitale di milioni di utenti europei.

L’articolo 38, con il suo apparentemente tecnico obbligo di fornire sistemi di raccomandazione non basati sulla profilazione, ha scatenato una gara all’innovazione che ha prodotto risultati inaspettati. TikTok, Facebook e Instagram hanno introdotto feed cronologici come alternative ai loro algoritmi di personalizzazione, restituendo agli utenti un grado di controllo sulla propria esperienza digitale che sembrava perduto per sempre.

YouTube ha sperimentato con opzioni di feed alternative e livelli di trasparenza sui parametri di raccomandazione che erano impensabili solo pochi anni fa. LinkedIn ha intrapreso la strada degli algoritmi “explicabili” che tentano di demistificare il funzionamento dei sistemi di raccomandazione. Sono esperimenti ancora imperfetti e spesso goffi, ma rappresentano i primi passi verso una nuova generazione di piattaforme digitali progettate non solo per massimizzare l’engagement, ma per servire gli interessi a lungo termine degli utenti e della società.

Il cambiamento più profondo, tuttavia, è avvenuto nei consigli di amministrazione e nelle sale riunioni delle grandi piattaforme, dove il DSA ha imposto un nuovo linguaggio e nuove priorità. Termini come “rischio sistemico”, “valutazione di impatto”, “mitigazione” sono diventati parte del vocabolario quotidiano di manager e ingegneri che fino a ieri ragionavano esclusivamente in termini di crescita degli utenti e massimizzazione dei ricavi.

La sentenza che ha scosso Bruxelles

Il 10 settembre 2025, il Tribunale dell’Unione Europea ha emesso una sentenza che ha mandato onde d’urto attraverso i corridoi della Commissione Europea e i boardroom delle grandi piattaforme digitali. Con le sentenze T-55/24 e T-58/24, il Tribunale ha annullato le decisioni della Commissione sui contributi di vigilanza per Meta e TikTok, non per questioni sostanziali ma per vizi procedurali.

La sentenza non ha messo in discussione la validità o l’ambizione del DSA, ma ha mandato un messaggio chiaro: anche nella rivoluzione digitale, le forme contano quanto la sostanza. L’Europa può aspirare a regolamentare i giganti tecnologici globali, ma deve farlo rispettando rigorosamente i propri principi di due process e garanzie procedurali.

Per le piattaforme, la sentenza ha rappresentato una vittoria tattica in una guerra strategica che rimane lontana dalla conclusione. Per la Commissione, è stata un richiamo alla prudenza procedurale che ha già iniziato a influenzare la conduzione dei procedimenti successivi. Per gli osservatori, è stata la dimostrazione che il sistema di checks and balances europeo funziona anche nell’era digitale, e che nemmeno l’urgenza di regolamentare le piattaforme può giustificare scorciatoie procedurali.

L’Europa e l’America: due visioni del mondo a confronto

Il DSA non esiste nel vuoto, ma si colloca in un contesto geopolitico più ampio dove l’Europa e gli Stati Uniti rappresentano due filosofie radicalmente diverse della governance digitale. Da un lato, la Section 230 americana, con la sua protezione quasi assoluta delle piattaforme dalla responsabilità per i contenuti dei loro utenti; dall’altro, il DSA europeo, con la sua richiesta di rimozione “tempestiva” dei contenuti illegali e la sua enfasi sulla responsabilità sistemica delle piattaforme.

È uno scontro tra due concezioni del mondo: quella americana, radicata nella tradizione del primo emendamento e nella fiducia nel mercato come regolatore ultimo della verità; e quella europea, fondata sulla convinzione che i diritti fondamentali richiedano protezioni attive e che il mercato da solo non possa garantire il benessere collettivo.

L’assenza di un chiaro “Effetto Bruxelles” – quella dinamica che aveva portato il GDPR a influenzare le pratiche di privacy globali – rivela la complessità e la resistenza che il DSA incontra nel suo tentativo di ridefinire le regole del gioco digitale globale. Le piattaforme si trovano sempre più spesso a dover navigare tra sistemi normativi incompatibili, creando versioni diverse dei loro servizi per mercati diversi e alimentando il rischio di una frammentazione dell’Internet globale.

Intelligenza artificiale e nuovi frontiere digitali

Mentre il DSA continua la sua marcia attraverso i tribunali e gli uffici legali delle grandi piattaforme, nuove sfide tecnologiche si profilano all’orizzonte. L’esplosione dell’intelligenza artificiale generativa, con ChatGPT e i suoi concorrenti che stanno ridefinendo il modo in cui interagiamo con l’informazione, pone domande inedite sulla responsabilità delle piattaforme e sui rischi sistemici.

Il metaverso e le tecnologie di realtà virtuale promettono di creare spazi digitali ancora più immersivi e potenzialmente manipolativi, dove le tradizionali categorie di moderazione dei contenuti potrebbero risultare inadeguate. Le piattaforme di social commerce stanno trasformando il confine tra socializzazione e consumo, creando nuove forme di rischio che il framework attuale del DSA potrebbe non essere in grado di catturare completamente.

L’Europa si trova quindi di fronte a una sfida duplice: da un lato, portare a termine l’implementazione del DSA e dimostrare che la regolamentazione delle piattaforme digitali è possibile ed efficace; dall’altro, iniziare a immaginare come questo framework possa evolversi per affrontare le sfide tecnologiche del futuro.

Verso un nuovo contratto sociale digitale

Oggi, a distanza di due anni dall’entrata in vigore del DSA, possiamo iniziare a intravedere i contorni di quello che potrebbe essere un nuovo contratto sociale digitale. Non più la Silicon Valley che detta unilateralmente le regole del gioco digitale globale, ma un dialogo più equilibrato tra innovazione tecnologica e valori democratici, tra efficienza degli algoritmi e diritti fondamentali, tra libertà di espressione e responsabilità sociale.

Il DSA non è perfetto, né potrebbe esserlo. È un esperimento in corso, un work in progress che richiederà anni di aggiustamenti, interpretazioni giurisprudenziali e adattamenti tecnologici. Ma rappresenta qualcosa di fondamentale: la dimostrazione che le democrazie possono ancora affermare la propria sovranità nell’era digitale, che i cittadini possono ancora pretendere che la tecnologia serva l’umanità e non viceversa.

I 3,5 miliardi di decisioni di moderazione catalogate nel DSA Transparency Database non sono solo statistiche, ma testimonianze di una trasformazione in corso. Ogni procedimento aperto contro una grande piattaforma non è solo un atto amministrativo, ma un mattone nella costruzione di un nuovo equilibrio tra potere pubblico e potere privato nell’era digitale.

La storia del DSA è lungi dall’essere conclusa. Nei prossimi anni vedremo evolversi questa grande partita tra l’Europa e i giganti digitali globali, con nuove sfide, nuove tecnologie e nuove possibilità di innovazione normativa. Ma una cosa è già certa: l’era in cui le piattaforme digitali potevano operare come territori franchi, liberi da ogni responsabilità sociale, è definitivamente tramontata.

Il futuro digitale dell’Europa – e forse del mondo – si sta scrivendo oggi, nelle aule dei tribunali, nei database di trasparenza e nei boardroom delle grandi piattaforme. È una storia che merita di essere seguita con l’attenzione che riserviamo agli eventi che cambiano il corso della storia. Perché, in fondo, è esattamente quello che sta accadendo.

Fonti:

Regolamento (UE) 2022/2065 del Parlamento europeo e del Consiglio del 19 ottobre 2022 relativo a un mercato unico dei servizi digitali e che modifica la direttiva 2000/31/CE (Regolamento sui servizi digitali). Gazzetta ufficiale dell’Unione europea, L 277, 27.10.2022, pp. 1-102.

Commissione Europea. (2023, 18 dicembre). DSA: Commission opens formal proceedings against X. Comunicato stampa IP/23/6709.

Commissione Europea. (2024, 19 febbraio). DSA: Commission opens formal proceedings against TikTok. Comunicato stampa IP/24/926.

Commissione Europea. (2024, 30 aprile). Commission opens formal proceedings against Facebook and Instagram under the Digital Services Act. Comunicato stampa IP/24/2373.

Commissione Europea. (2024, 16 maggio). DSA: Commission opens formal proceedings against Meta. Comunicato stampa IP/24/2664.

Commissione Europea. (2024, 12 luglio). Commission sends preliminary findings to X for breach of DSA. Comunicato stampa IP/24/3761.

Commissione Europea. (2024, 31 ottobre). Commission opens formal proceedings against Temu under the Digital Services Act. Digital Strategy.

Commissione Europea. (2025, 17 maggio). Commission preliminarily finds TikTok’s ad repository in breach of the Digital Services Act. Digital Strategy.

Commissione Europea. (2025, 28 luglio). Commission preliminarily finds Temu in breach of the Digital Services Act in relation to illegal products on its platform. Comunicato stampa IP/25/3889.

Commissione Europea. (2023-2025). DSA Transparency Database. Direzione Generale delle Reti di Comunicazione, dei Contenuti e delle Tecnologie.

Commissione Europea. (2025). Supervision of the designated very large online platforms and search engines under DSA.

Kaushal, R., Van De Kerkhof, J., Goanta, C., Spanakis, G., & Iamnitchi, A. (2024). Automated Transparency: A Legal and Empirical Analysis of the Digital Services Act Transparency Database. Proceedings of the 2024 ACM Conference on Fairness, Accountability, and Transparency, 1121-1132.

Trujillo, A., Fagni, T., & Cresci, S. (2025). The DSA Transparency Database: Auditing self-reported moderation actions by social media. arXiv preprint arXiv:2312.10269v4.

Parlamento Europeo, Think Tank. (2024, 21 novembre). Enforcing the Digital Services Act: State of play. EPRS Briefing.

DSA Observatory. (2024, 20 dicembre). TikTok and the Romanian elections: A stress test for DSA enforcement.

Eucrim. (2025, gennaio). Overview of the Latest Developments on the DSA: November 2024-January 2025. European Criminal Law Review.

Eucrim. (2024, settembre). Overview of the Latest Developments Regarding the Digital Services Act (April-September 2024). European Criminal Law Review.

https://www.ictsecuritymagazine.com/articoli/digital-services-act/

Trend Micro’s Zero Day Initiative (ZDI) this week published 13 advisories describing unpatched vulnerabilities in Ivanti Endpoint Manager.

One of the flaws allows local attackers to elevate their privileges and was reported to Ivanti in November 2024. The remaining 12 lead to remote code execution (RCE) and were reported in June 2025.

While the vulnerabilities are technically not zero-days, ZDI flags all of the unpatched flaws it discloses as ‘0day’. ZDI’s advisories name the vulnerable component and provide a general description of the root cause, but do not contain any other technical details.

No CVE identifier has been issued for these vulnerabilities, but ZDI notes that all of them are high-severity defects. The most severe of them has a CVSS score of 8.8, one has a CVSS score of 7.8, while the remaining 11 have CVSS scores of 7.2.

According to ZDI, the local privilege escalation bug affects the Endpoint Manager’s AgentPortal service. It exists because user-supplied input is not properly validated, resulting in deserialization of untrusted data and code execution with System privileges.

Also rooted in the lack of proper validation of user-supplied data, the RCE weaknesses were found in the product’s Report_RunPatch, MP_Report_Run2, DBDR, PatchHistory, MP_QueryDetail2, MP_QueryDetail, MP_VistaReport, and Report_Run classes, and in the GetCountForQuery and OnSaveToDB methods.

For the first 11 of the RCE vulnerabilities, the improperly validated user-supplied input is used to construct SQL queries and could lead to arbitrary code execution in the context of the service account. Authentication is required to exploit all of them.

For the last RCE issue (CVSS score of 8.8), an improperly validated user-supplied path is used in file operations, leading to code execution in the context of the user. Attackers can exploit the defect if they have admin credentials or if they can convince a user to open a malicious page or file.

ZDI says Ivanti was notified of the first security hole in November 2024 and acknowledged it in January 2025. In July, the vendor notified ZDI that patches would be released in November.

Regarding the RCE flaws, Ivanti initially said it would patch 10 of them in September, but then requested an extension until March 2026 for all 12, ZDI says.

Per its disclosure policy, ZDI allows vendors 120 days to address vulnerabilities reported to them. If by the end of the deadline the vendor is unresponsive or does not provide a reasonable statement on why fixes have not been released, ZDI publishes a limited advisory on the reported security defect.

“Given the nature of the vulnerability, the only salient mitigation strategy is to restrict interaction with the product,” ZDI notes for each of the bugs. Additional information can be found on ZDI’s published advisories page.

“We have communicated to ZDI that the issues reported to Ivanti are complicated to fix and require additional time to resolve. We are in the middle of this work now, and we are looking at ways to further increase resources from other initiatives to accelerate this work,” an Ivanti spokesperson told SecurityWeek.

The company’s representative also underlined that the security defects do not pose a significant risk to customers, as they are difficult to exploit.

“An important part of Ivanti’s responsible disclosure is to try to ensure a fix is complete and cannot be circumvented before we disclose a vulnerability that has not been exploited in the wild. Our aim is to always balance speed with quality, with our customers’ security at the core of that decision,” the spokesperson said.

*Updated with statement from Ivanti.

Related: Sophisticated Malware Deployed in Oracle EBS Zero-Day Attacks

Related: CISA Analyzes Malware From Ivanti EPMM Intrusions

Related: Chinese Spies Exploit Ivanti Vulnerabilities Against Critical Sectors

Related: Broadcom Fails to Disclose Zero-Day Exploitation of VMware Vulnerability

https://www.securityweek.com/zdi-drops-13-unpatched-ivanti-endpoint-manager-vulnerabilities/

Apple on Friday announced significant updates to its bug bounty program and the company is now offering up to $2 million for complex exploit chains. 

Since the launch of its public bug bounty program in 2020, Apple has awarded a total of more than $35 million to over 800 security researchers. Multiple hackers earned $500,000 for their work, Apple said.

The tech giant recently unveiled Memory Integrity Enforcement (MIE), an always-on memory-safety protection for iPhones designed to combat sophisticated attacks such as the ones conducted by mercenary spyware vendors. 

Apple believes these spyware attacks are the only ones that actually pose a significant threat to its customers and the company now wants to boost the security of its products even further against sophisticated attacks. 

It’s doing this by harnessing offensive security talent from outside the company, specifically by significantly increasing bug bounties for vulnerabilities such as the ones that would be leveraged in the exploit chains of mercenary spyware attacks.

Specifically, the top reward for a zero-click exploit chain that achieves remote device compromise, has been increased from $1 million to $2 million. Apple pointed out that this is the base pay and researchers can in theory get as much as $5 million if they earn bonuses for Lockdown Mode bypasses and vulnerabilities discovered in beta software. 

Apple noted in a call with reporters on Thursday that for someone to earn a $5 million reward is not easy or likely, but it is theoretically possible.

Apple is also significantly increasing bug bounty payouts for an application sandbox escape (from $150k to $500k), attacks requiring physical access to a locked device (from $250k to $500k), wireless attacks requiring physical proximity (from $250k to $1M), and remote hacking that requires one-click user interaction (from $250k to $1M).

The company has also announced that one-click attacks through the web browser, which have to bypass its WebKit protections, will be rewarded with up to $300,000 if they can achieve code execution with a sandbox escape. The reward can increase up to $1 million if the exploit chain is taken even further to achieve unsigned code execution with arbitrary entitlements. 

The tech giant is also boosting rewards for categories where no exploit has been demonstrated to date, such as a Gatekeeper bypass on macOS ($100,000) and unauthorized iCloud access ($1 million). 

The new payouts will go into effect in November 2025. 

Apple on Friday also introduced a concept that involves flags, similar to capture-the-flag (CTF) competitions. These so-called ‘Target Flags’ are meant to make it easier for researchers to objectively demonstrate their findings and to know what reward they should expect for their report. 

“When researchers demonstrate security issues using Target Flags, the specific flag that’s captured objectively demonstrates a given level of capability — for example, register control, arbitrary read/write, or code execution — and directly correlates to the reward amount, making the award determination more transparent than ever,” Apple explained. 

“Because Target Flags can be programmatically verified by Apple as part of submitted findings, researchers who submit eligible reports with Target Flags will receive notification of their bounty award immediately upon our validation of the captured flag,” it added.

Target Flags are supported on iOS, iPadOS, macOS, visionOS, watchOS, and tvOS.

Apple also announced that exceptional research will continue to receive bonuses, and it has decided that even low-impact vulnerabilities may be rewarded with $1,000 to encourage researchers to continue reporting their findings.

Related: Apple Seeks Researchers for 2026 iPhone Security Program

Related: Apple Updates iOS and macOS to Prevent Malicious Font Attacks

Related: Apple Sends Fresh Wave of Spyware Notifications to French Users

https://www.securityweek.com/apple-bug-bounty-update-top-payout-now-2-million-35-million-paid-to-date/

Google Threat Intelligence Group (GTIG) and Mandiant have continued to analyze the recent Oracle E-Business Suite (EBS) extortion campaign and their researchers have identified some of the pieces of malware deployed in the attacks.

The attacks came to light on October 2, when GTIG and Mandiant warned that executives at many organizations using Oracle EBS had received extortion emails. It has since been determined that hackers likely exploited known EBS vulnerabilities patched in July, likely along with a zero-day flaw tracked as CVE-2025-61882.

The hacker groups ShinyHunters and Scattered Spider (now calling themselves Scattered LAPSUS$ Hunters) have published a proof-of-concept (PoC) exploit that appears to target CVE-2025-61882, but it’s still unclear which other CVEs are involved in the exploit chain. It’s worth noting that even on its own, according to Oracle, CVE-2025-61882 allows unauthenticated remote code execution.

CrowdStrike has found evidence that exploitation of CVE-2025-61882 started on August 9. A blog post published on Thursday by GTIG and Mandiant reveals that some suspicious activity was seen as early as July 10, right before Oracle published its July patches. 

GTIG and Mandiant have not obtained definitive proof, but they say it’s plausible that the July 10 activity was an early attempt to exploit EBS servers. 

GTIG and Mandiant researchers have also analyzed the exploit chain and malware deployed in the Oracle EBS campaign.

The attackers created a malicious template in vulnerable Oracle EBS databases, which stored a payload triggered in the final stage of the exploit chain. 

Two types of payloads have been identified in the malicious templates. One of them is a downloader tracked by Google as GoldVein.Java, which attempts to fetch a second-stage payload from a C&C server. However, the tech giant’s researchers have not been able to retrieve this second-stage payload.

The second payload delivered through malicious templates is actually a “nested chain of multiple Java payloads”. A loader named SageGift loads a dropper named SageLeaf, which in turn installs a Java servlet filter named SageWave that enables the threat actor to deploy the final payload. Again, the final payload could not be retrieved by the researchers. 

GoldVein, SageGift, SageLeaf, and SageWave have been described as sophisticated, multi-stage, fileless malware that can evade file-based detection.

The Cl0p name has been used in the extortion emails sent to victims (likely due to Cl0p’s reputation), but GTIG and Mandiant immediately discovered some links to a cybercrime group tracked as FIN11, based on the compromised email accounts used to send out the extortion messages. 

GTIG said it has yet to attribute the attack to a specific threat group, but pointed out that it has found further links to FIN11, which appears to have multiple activity clusters. Connections to FIN11 include the hackers being known for using Cl0p ransomware, and the malware used in the latest attacks being similar to malware previously linked to FIN11. 

Despite them leaking the PoC exploit, there is no evidence that the Scattered LAPSUS$ Hunters hackers were involved in the Oracle campaign. 

Google researchers believe dozens of organizations have been hit, and noted that the hackers managed to steal significant amounts of data from some of the victims. 

This is not surprising, as the previous large-scale campaigns linked to FIN11 and Cl0p — they targeted Cleo, MOVEit, Fortra and Accellion file transfer products via zero-day flaws — also resulted in large amounts of information being stolen, in some cases from hundreds of organizations.   

The Cl0p leak website currently displays a message suggesting that victims of the Oracle EBS campaign will soon be named unless they pay a ransom. However, similar to the previous Cl0p extortion campaigns, it will likely take weeks for the victims to be named.

Related: Recent Fortra GoAnywhere MFT Vulnerability Exploited as Zero-Day     

Related: All SonicWall Cloud Backup Users Had Firewall Configurations Stolen

https://www.securityweek.com/sophisticated-malware-deployed-in-oracle-ebs-zero-day-attacks/

Le frodi bancarie in Italia rappresentano una minaccia in costante evoluzione, con perdite stimate superiori a 180 milioni di euro nel 2024. I bonifici istantanei registrano tassi di frode 48 volte superiori rispetto a quelli ordinari, mentre le tecniche di manipolazione psicologica rappresentano oltre il 67% del valore totale delle frodi.

Secondo i dati più recenti di Banca d’Italia e Polizia Postale, il panorama delle truffe bancarie sta attraversando una trasformazione radicale: mentre le rapine fisiche agli sportelli sono crollate di oltre il 90% nell’ultimo decennio, le frodi digitali evolvono con sofisticazione crescente, sfruttando tecnologie sempre più avanzate e la vulnerabilità psicologica delle vittime. L’Italia si posiziona al terzo posto mondiale per credenziali di accesso rubate, con oltre 54.554 fascicoli di indagine aperti dalla Polizia Postale nel solo 2024.

Gli skimmer invisibili che clonano le carte alle pompe di benzina

L’ATM skimming presso le stazioni di servizio rappresenta una delle minacce più insidiose per gli automobilisti italiani. I criminali installano dispositivi praticamente invisibili sui terminali POS delle colonnine self-service, sfruttando la distrazione dei clienti durante il rifornimento. Nel 2024, l’operazione “Scacco al Cash” della Polizia Postale ha portato a 9 arresti e 48 denunce, smantellando una rete criminale romeno-italiana responsabile di centinaia di migliaia di euro di danni attraverso tecniche di cash trapping e skimming.

I dispositivi utilizzati hanno raggiunto livelli di sofisticazione allarmanti. Gli overlay skimmers, posizionati sopra i terminali esistenti, replicano perfettamente l’aspetto del lettore originale e trasmettono i dati rubati via Bluetooth fino a 30 metri di distanza. Gli insert skimmers, ancora più subdoli, sono sottili dispositivi inseriti nell’alloggiamento del lettore che intercettano i dati durante l’inserimento della carta. La tecnologia shimmer, inizialmente diffusa in Messico e Canada, può leggere dati anche dalle carte chip più moderne, inserendosi tra il chip e il lettore EMV.

Le catene di stazioni di servizio sul territorio nazionale includono oltre 4.000 punti vendita ENI, circa 2.900 stazioni Q8 e circa 5.000 distributori IP, tutti potenzialmente vulnerabili a questi attacchi. In Piemonte, una recente operazione ha scoperto un’organizzazione specializzata nella clonazione di carte presso distributori di carburante, con oltre 100 sottrazioni illecite documentate.

Card stuffing: quando milioni di credenziali vengono testate automaticamente

Il card stuffing rappresenta una minaccia crescente che sfrutta l’enorme quantità di credenziali rubate circolanti nel dark web. Oltre 15 miliardi di credenziali rubate sono attualmente disponibili online, secondo Digital Shadows, con l’Italia al terzo posto mondiale per account compromessi (12% del totale globale). I criminali utilizzano software specializzati come Sentry MBA, SNIPR e OpenBullet per testare automaticamente queste credenziali su centinaia di siti bancari e piattaforme di pagamento.

La tecnica sfrutta la tendenza degli utenti a riutilizzare le stesse password su più servizi. Con un tasso di successo statistico dell’0,1-2%, i volumi massicci di tentativi rendono l’attacco estremamente redditizio. Nel 2024, UniCredit ha subito una multa di 2,8 milioni di euro dal Garante Privacy per un cyberattacco che ha colpito 778.000 clienti, evidenziando l’inadeguatezza delle misure di sicurezza di fronte a questi attacchi sistematici.

I marketplace del dark web come Abacus Market e STYX Market offrono strumenti di cybercrime e dati di carte rubate con prezzi a partire da soli 2 euro. Il malware Lumma (LummaC2) ha dominato l’ultimo trimestre del 2024 con il 92% degli alert per log di credenziali, mentre strumenti come Raccoon, Vidar e RedLine raccolgono sistematicamente credenziali da browser e applicazioni locali.

Frodi bancarie in tempo reale: come i criminali svuotano conti mentre le vittime dormono

Le frodi in tempo reale sfruttano strategicamente i fusi orari e la natura istantanea dei moderni sistemi di pagamento. I bonifici istantanei SEPA mostrano un tasso di frode dello 0,048%, ben 48 volte superiore ai bonifici ordinari dello 0,001%, secondo i dati di Banca d’Italia del febbraio 2025. I criminali colpiscono durante le ore notturne, quando le vittime dormono e il monitoraggio dei sistemi di sicurezza è ridotto.

L’European Banking Authority ha rilevato che il rischio di trasferimenti fraudolenti è fino a 10 volte superiore nei bonifici istantanei rispetto a quelli convenzionali. La natura irrevocabile di questi pagamenti rende quasi impossibile il recupero dei fondi una volta completata la transazione. Le perdite complessive da bonifici fraudolenti hanno raggiunto 65,5 milioni di euro nel secondo semestre 2024, con un aumento significativo su base annua.

Le frodi da “manipolazione del pagatore” rappresentano il 74% del valore totale delle frodi sui bonifici e il 65% del volume delle transazioni. Queste tecniche di ingegneria sociale, che includono phishing, vishing e spoofing, sono particolarmente insidiose perché non attivano i meccanismi automatici di rimborso previsti dalla normativa PSD2, lasciando spesso le vittime senza protezione legale.

Quando le banche non rimborsano: la zona grigia della responsabilità

La normativa europea PSD2, recepita in Italia con il D.lgs. 218/2017, stabilisce che le banche devono rimborsare immediatamente le operazioni non autorizzate entro 24 ore. Tuttavia, esiste una significativa zona grigia quando entra in gioco la “colpa grave” del cliente. L’articolo 12 del D.lgs. 11/2010 esime le banche dal rimborso quando dimostrano dolo o colpa grave dell’utente.

La Banca d’Italia, nella comunicazione del 30 ottobre 2023, ha chiarito che il “motivato sospetto di frode” deve riguardare un comportamento fraudolento dell’utente stesso, non di terzi. L’Arbitro Bancario Finanziario ha gestito circa 14.000 ricorsi nel 2024, mantenendo sostanzialmente stabile il numero di controversie per operazioni fraudolente non autorizzate. La giurisprudenza distingue tra phishing tradizionale, dove spesso viene riconosciuta la colpa grave del cliente, e tecniche sofisticate come lo spoofing SMS, che generalmente escludono la responsabilità dell’utente.

La giurisprudenza di merito si è orientata verso una valutazione caso per caso della condotta del cliente, considerando fattori come l’evidenza del tentativo di frode, il livello di istruzione della vittima e la sofisticatezza dell’attacco. La franchigia per operazioni non autorizzate è stata ridotta da 150 a 50 euro, mentre i tempi di risposta ai reclami sono scesi da 30 a 15 giorni lavorativi.

Le nuove tecniche di skimming che sfidano la sicurezza bancaria

L’evoluzione tecnologica dello skimming ha raggiunto livelli di sofisticazione preoccupanti nel 2024-2025. I dispositivi moderni incorporano componenti cannibalizzati da smartphone Samsung, con batterie che garantiscono autonomia fino a 14 giorni e memorie capaci di immagazzinare 32.000 numeri di carta. La Polizia Postale ha monitorato 290.000 siti web nel 2024, con un aumento del 63% rispetto all’anno precedente, oscurandone 2.364 per attività fraudolente.

Giorgio Cusmà Lorenzo, responsabile Cybersecurity di Intesa Sanpaolo, sottolinea che “conoscenza, collaborazione e condivisione sono fondamentali per combattere gli attacchi e le frodi informatiche”. Le banche italiane hanno investito 461 milioni di euro in sicurezza nel 2024, implementando sistemi di intelligenza artificiale, analisi comportamentale e autenticazione biometrica. L’83% delle banche italiane utilizza già forme di autenticazione biometrica, mentre il 41% dei consumatori ritiene che l’AI migliori significativamente la sicurezza bancaria.

Il CERTFin, l’iniziativa congiunta di Banca d’Italia e ABI attiva dal 2017, coordina la risposta del settore finanziario alle minacce cyber. La piattaforma MISP permette la condivisione automatizzata di indicatori di frode tra banche, mentre algoritmi predittivi sviluppati dall’UIF identificano rischi di infiltrazione criminale. Nonostante questi sforzi, le tecniche di social engineering continuano a evolversi, con criminali che utilizzano deepfake vocali e video per impersonare operatori bancari o forze dell’ordine.

Come proteggersi: i consigli degli esperti della Polizia Postale

La Polizia Postale enfatizza che “gli istituti di credito non chiedono mai la conferma di dati personali tramite e-mail, SMS o telefonate”. Nessun appartenente alle forze di polizia o dipendente bancario chiederà mai credenziali o codici di accesso all’home banking. Il Commissariato Online ha gestito 82.000 segnalazioni e 23.000 richieste di assistenza nel 2024, con 20 compartimenti distribuiti sul territorio nazionale (ora denominati C.O.S.C. – Centri Operativi Sicurezza Cibernetica).

Per verificare la presenza di skimmer, gli esperti consigliano di ispezionare visivamente i terminali cercando parti allentate o componenti di colore diverso, testare fisicamente tirando delicatamente i bordi del lettore di carte, e coprire sempre la tastiera durante la digitazione del PIN. È preferibile utilizzare ATM ben illuminati all’interno delle filiali bancarie e optare per pagamenti contactless quando possibile.

Misure di protezione raccomandate:

Prevenzione quotidiana:

• Verificare regolarmente gli estratti conto e impostare notifiche push per ogni transazione
• Non cliccare mai su link sospetti ricevuti via SMS o email, anche se sembrano provenire dalla propria banca
• Utilizzare password uniche per ogni servizio e attivare l’autenticazione a due fattori
• Coprire sempre il PIN durante la digitazione e verificare l’integrità dei terminali POS

In caso di frode, le azioni immediate includono:

• Bloccare immediatamente carte e conti contattando la banca
• Presentare denuncia online o presso gli uffici della Polizia Postale
• Documentare tutte le comunicazioni e transazioni sospette
• Contattare l’Arbitro Bancario Finanziario se la risposta della banca risulta insoddisfacente

Associazioni come Adiconsum e Codacons offrono assistenza legale specializzata, con Altroconsumo che ha attivato azioni collettive per le vittime di truffe telematiche.

Conclusioni e prospettive future

Il fenomeno delle frodi bancarie in Italia mostra una preoccupante evoluzione verso tecniche sempre più sofisticate e difficili da rilevare. La crescita esponenziale dei pagamenti istantanei, pur offrendo vantaggi indiscutibili in termini di velocità e convenienza, ha aperto nuove vulnerabilità che i criminali sfruttano con crescente abilità.

L’approccio sistemico adottato dalle autorità italiane, con la collaborazione tra Banca d’Italia, Polizia Postale, ABI e il CERTFin, rappresenta un modello di eccellenza nella lotta alle frodi finanziarie. Tuttavia, la sfida più grande rimane l’educazione degli utenti e lo sviluppo di sistemi di sicurezza che bilancino protezione e usabilità.

L’investimento record di 461 milioni di euro in cybersecurity da parte del sistema bancario italiano nel 2024 dimostra l’impegno del settore, ma la battaglia contro i criminali informatici richiede un approccio olistico che coinvolga tecnologia, normative, formazione e consapevolezza dei consumatori.

Fonti:

Banca d’Italia (2025). Rapporto sulle operazioni di pagamento fraudolente in Italia – Secondo semestre 2024. Roma: Banca d’Italia.

Polizia di Stato – Polizia Postale e delle Comunicazioni (2025). Report 2024 delle attività di cyber security. Roma: Ministero dell’Interno.

Ministero dell’Interno (2024). Fermata la banda del Cash Trapping che svuotava i bancomat. Comunicato stampa ufficiale.

Repubblica Italiana (2017). Decreto Legislativo n. 218 del 15 dicembre 2017. Attuazione della direttiva (UE) 2015/2366 relativa ai servizi di pagamento nel mercato interno (PSD2).

Arbitro Bancario Finanziario – Banca d’Italia (2024). Relazione Annuale sull’attività dell’Arbitro Bancario Finanziario. Roma: Banca d’Italia.

European Banking Authority (2024). Payment Fraud Report 2024. Parigi: EBA Publications.

OSSIF-ABI (2024). Investimenti in sicurezza del sistema bancario italiano. Milano: ABI.

Digital Shadows/Recorded Future (2020). The Economy of Credential Stuffing Attacks. Report di intelligence cyber.

CERTFin – Computer Emergency Response Team Finanziario (2024). Rapporto annuale sulle minacce cyber al settore finanziario italiano. Milano: CERTFin.

ReliaQuest (2024). Quarterly Threat Landscape Report Q4 2024. Analisi malware infostealers.

https://www.ictsecuritymagazine.com/notizie/frodi-bancarie/

Discord says that hackers made off with images of 70,000 users’ government IDs that they were required to provide in order to use the site.

Like an increasing number of sites, Discord requires certain users to provide a photo or scan of their driver’s license or other government ID that shows they meet the minimum age requirements in their country. In some cases, Discord allows users to prove their age by providing a selfie that shows their faces (it’s not clear how a face proves someone’s age, but there you go). The social media site imposes these requirements on users who are reported by other users to be under the minimum age for the country they’re connecting from.

“A substantial risk for identity theft”

On Wednesday, Discord said that ID images of roughly 70,000 users “may have had government-ID photos exposed” in a recent breach of a third-party service Discord entrusted to manage the data. The affected users had communicated with Discord’s Customer Support or Trust & Safety teams and subsequently submitted the IDs in reviews of age-related appeals.

“Recently, we discovered an incident where an unauthorized party compromised one of Discord’s third-party customer service providers,” the company said Wednesday. “The unauthorized party then gained access to information from a limited number of users who had contacted Discord through our Customer Support and/or Trust & Safety teams.”

Discord cut off the unnamed vendor’s access to its ticketing system after learning of the breach. The company is now in the process of emailing affected users. Notifications will come from noreply @ discord.com. Discord said it won’t contact any affected users by phone.

The data breach is a sign of things to come as more and more sites require users to turn over their official IDs as a condition of using their services. Besides, Discord, Roblox, Steam, and Twitch have also required at least some of their users to submit photo IDs. Laws passed in 19 US states, France, the UK, and elsewhere now require porn sites to verify visitors are of legal age to view adult content. Many sites have complied, but not all.

https://arstechnica.com/security/2025/10/discord-says-hackers-stole-government-ids-of-70000-users/

Ott 09, 2025 Marina Londei In evidenza, News, Phishing, Prodotto, RSS 0

---

Kaspersky ha annunciato Notification Protection, una nuova funzionalità anti-phishing per la sua app mobile per Android. Il sistema è in grado di individuare e rimuovere link sospetti dalle comunicazioni ricevute sulle diverse applicazioni di messaggistica, compresi gli SMS.

“Nella prima metà del 2025, le funzionalità di protezione anti-phishing di Kaspersky hanno bloccato oltre 2 milioni di tentativi di clic su link di phishing o di truffa su dispositivi Android in tutto il mondo. Dall’ultimo report sul phishing di Kaspersky, emerge che ora gli strumenti di intelligenza artificiale consentono attività di phishing altamente personalizzate attraverso le app di messaggistica, aumentando il pericolo e rendendo più difficile il tracciamento” spiega la compagnia.

Notification Protection di Kaspersky esegue un controllo multilivello dei messaggi per garantire che gli utenti aprano solo link sicuri. Il primo livello di protezione controlla gli URL e avvisa gli utenti della presenza di potenziali siti di phishing nei browser; il secondo livello si occupa di rilevare eventuali link dannosi nelle app di messaggistica e mostrare un alert direttamente nell’applicazione; infine, il terzo livello analizza le notifiche in entrata su tutte le app per rimuovere link sospetti prima che l’utente apra l’applicazione.

La funzionalità rimane attiva anche con schermo spento e se il dispositivo è in modalità “Non disturbare”.

Notification Protection è già disponibile nell’ultima versione di Kaspersky per Android. Per abilitare la funzionalità è sufficiente aprire il menù dell’app, fare tap su “Tutte le funzioni”, poi sulla sezione “Messaggistica sicura” e poi attivare “Controlla notifiche”, fornendo l’accesso alle notifiche all’app e abilitando l’accessibilità.

“Ogni anno assistiamo a un aumento del numero di attacchi di phishing e truffe. I cybercriminali utilizzano attivamente nuovi canali, rendendo le truffe più mirate e difficili da riconoscere. È molto comune perdere la concentrazione durante la lettura dei messaggi e cliccare su link dannosi, diventando così vittime dei truffatori” ha affermato Marina Titova, Vicepresidente, Consumer Business di Kaspersky. “La nuova funzione Notification Protection di Kaspersky per Android è stata progettata per eliminare questo potenziale rischio e avvisare i clienti dei pericoli nascosti. Ora gli utenti possono sfruttare al massimo le comunicazioni tramite messenger e navigare senza temere di imbattersi in link di phishing, nemmeno tramite le notifiche. La protezione anti-phishing aggiuntiva è un’altra importante tappa nella salvaguardia di ogni aspetto della vita digitale dei nostri clienti”.

---

---

---

https://www.securityinfo.it/2025/10/09/notification-protection-da-kaspersky-un-sistema-anti-phishing-per-android/?utm_source=rss&utm_medium=rss&utm_campaign=notification-protection-da-kaspersky-un-sistema-anti-phishing-per-android