https://www.securitymagazine.com/blogs/14-security-blog/post/101919-time-to-embrace-offensive-security-for-true-resilience

Set 18, 2025 Marina Londei In evidenza, News, RSS, Tecnologia 0

---

A un anno dall’annuncio della partnership, Cohesity e Semperis hanno presentato Cohesity Identity Resilience, una nuova soluzione per proteggere le infrastrutture critiche di identità delle aziende.

Il prodotto si occupa di difendere queste infrastrutture, inclusi gli asset di Microsoft Active Discovery, ormai uno degli obiettivi primari per i criminali informatici vista la sua centralità nella gestione di applicazioni e dati critici. Compromettendo l’Active Directory, gli attaccanti ottengono accesso alle risorse IT e possono distribuire ransomware e altre minacce più facilmente. 

Cohesity Identity Resilience è in grado di eseguire la scansione degli ambienti Active Directory on-premises o ibridi analizzando centinaia di indicatori di esposizione, visualizzare punteggi di rischio, applicare rimedi e prioritizzare i percorsi d’attacco.

In caso di incidenti di sicurezza, il prodotto garantisce backup immutabili confunzionalità di cyber vaulting per isolare i dati memorizzati e ripristini rapidi e sicuri con tempi di inattività ridotti.

La soluzione, inoltre, offre funzionalità di forensic e incident response che ripuliscono il sistema dalle tracce lasciate dagli attaccanti per ripristinare Active Directory in un ambiente affidabile. Infine, il prodotto offre supporto forense approfondito post-attacco con valutazioni rapide e validazione dell’integrità di Active Directory prima del ripristino in produzione dei sistemi.

“La sicurezza delle identità è uno dei principali campi di battaglia degli attacchi informatici per aziende e governi. Servono soluzioni che combinino prevenzione, resilienza e ripristino senza aggiungere complessità alla strategia di cyber-resilienza già esistente” ha dichiarato Sanjay Poonen, amministratore delegato di Cohesity. “Cohesity Identity Resilience offre un approccio moderno e collaudato che aiuta le organizzazioni a proteggere le fondamenta delle proprie operazioni digitali, permettendo loro di riprendersi rapidamente anche dagli attacchi più gravi alle infrastrutture di identità e di mantenere la propria resilienza informatica. Siamo entusiasti di collaborare con Semperis in questa iniziativa“.

“Dalle conversazioni con i CISO italiani emerge un dato chiaro: l’identità non è più solo una questione IT, ma un tema da Consiglio di amministrazione. Active Directory resta il “gioiello della corona” per gli attaccanti, e troppe organizzazioni si accorgono della sua importanza solo dopo una violazione. Con Cohesity Identity Resilience, basato sulla tecnologia Semperis, offriamo alle imprese italiane la certezza che, anche di fronte a un attacco basato sull’identità, possano riprendersi rapidamente e mantenere operative le proprie attività” ha aggiunto Antonio Feninno, AVP of Sales per il Sud Europa di Semperis.

La soluzione è già disponibile per l’acquisto tramite Cohesity.

---

---

---

https://www.securityinfo.it/2025/09/18/cohesity-identity-resilience-da-cohesity-e-semperis-una-soluzione-per-proteggere-le-infrastrutture-di-identita-aziendali/?utm_source=rss&utm_medium=rss&utm_campaign=cohesity-identity-resilience-da-cohesity-e-semperis-una-soluzione-per-proteggere-le-infrastrutture-di-identita-aziendali

Researchers at web security company Radware recently discovered what they described as a service-side data theft attack method involving ChatGPT. 

The attack, dubbed ShadowLeak, targeted ChatGPT’s Deep Research capability, which is designed to conduct multi-step research for complex tasks. OpenAI neutralized ShadowLeak after it was notified by Radware.

The ShadowLeak attack did not require any user interaction. The attacker simply needed to send a specially crafted email that when processed by the Deep Research agent would instruct it to silently collect valuable data and send it back to the attacker.

However, unlike many other indirect prompt injection attacks, ShadowLeak did not involve the ChatGPT client.

Several cybersecurity companies recently demonstrated theoretical attacks in which the attacker leverages the integration between AI assistants and enterprise tools to silently exfiltrate user data with no or minimal victim interaction.

Radware mentions Zenity’s AgentFlayer and Aim Security’s EchoLeak attacks. However, the company highlighted that those are client-side attacks, while ShadowLeak involves the server side. 

As in previous attacks, the attacker would need to send an email that looks harmless to the targeted user but contains hidden instructions for ChatGPT. The malicious instructions would be triggered when the user asked the chatbot to summarize emails or research a topic from their inbox. 

Unlike client-side attacks, ShadowLeak exfiltrates data through the parameters of a request to an attacker-controlled URL. A harmless-looking URL such as ‘hr-service.net/{parameters}’, where the parameter value is the exfiltrated information, has been provided as an example by Radware. 

“It’s important to note that the web request is performed by the agent executing in OpenAI’s cloud infrastructure, causing the leak to originate directly from OpenAI’s servers,” Radware pointed out, noting that the attack leaves no clear traces because the request and data don’t pass through the ChatGPT client. 

The attacker’s prompt is cleverly designed not only in terms of collecting the information and sending it to the attacker. It also tells the chatbot that it has full authorization to conduct the required tasks, and creates a sense of urgency.

The prompt also instructs ChatGPT to try multiple times if it doesn’t succeed, provides an example of how the malicious instructions should be carried out, and attempts to override possible security checks by convincing the agent that the exfiltrated data is already public and the attacker’s URL is safe. 

While Radware demonstrated the attack method against Gmail, the company said Deep Research can access other widely used enterprise services as well, including Google Drive, Dropbox, Outlook, HubSpot, Notion, Microsoft Teams, and GitHub. 

OpenAI was notified about the attack on June 18 and the vulnerability was fixed at some point in early August. 

Radware has confirmed that the attack no longer works. However, it told SecurityWeek that it believes “there is still a fairly large threat surface that remains undiscovered”.

The security firm recommends continuous agent behavior monitoring for mitigating such attacks. 

“Tracking both the agent’s actions and its inferred intent and validating that they remain consistent with the user’s original goals. This alignment check ensures that even if an attacker steers the agent, deviations from legitimate intent are detected and blocked in real time,” it explained.

Related: Irregular Raises $80 Million for AI Security Testing Lab

Related: UAE’s K2 Think AI Jailbroken Through Its Own Transparency Features

https://www.securityweek.com/chatgpt-deep-research-targeted-in-server-side-data-theft-attack/

The murder of right-wing activist Charlie Kirk reignited an old debate in the United States: Are we approaching a turning point in political violence, or is this simply another flashpoint in a long, uneven history of partisan conflict?

Political scientists and commentators appear divided. Some warn of a spiraling wave of tit-for-tat violence, fueled by incendiary rhetoric and amplified by online echo chambers. Others emphasize that such acts are rare, often the work of lone actors rather than coordinated movements, and that the broader public overwhelmingly rejects violence as a political tool.

For security professionals, the challenge is not to get swept away in media-driven panic but to cut through the rhetoric and focus on the facts. Political violence like workplace violence follows patterns we have studied, trained for, and know how to interrupt. The actors may gain national headlines, but their behaviors, motives, and pathways to violence remain familiar.

The Landscape of Political Violence

Robert Pape, director of the Chicago Project on Security and Threats, has warned that America is entering an era of violent populism, with levels of political violence now at their highest since the 1970s. According to his data, support for political violence has risen significantly since 2024, with 40 percent of Democrats and 25 percent of Republicans expressing some willingness to use force under certain conditions.

Other experts urge caution in interpreting these numbers. Sean Westwood of Dartmouth’s Polarization Research Lab found that fewer than 2 percent of Americans condone political murder, yet people mistakenly believe their opponents are far more violent than they are. This “phantom enemy” perception may be more dangerous than actual levels of violence.

Clionadh Raleigh of ACLED points out that most U.S. violence (even high-profile assassinations) tend to be individualized, not organized. In other words, we are not seeing mass partisan armies, but lone actors in a heavily armed, polarized society.

What does this mean for security professionals? It means the threat is real but not unprecedented. Just as with workplace violence, the most danger comes not from sweeping societal movements, but from isolated individuals who radicalize, plan, and act.

Pathways, Not Spontaneity

Whether in the office or the political arena, violence rarely erupts spontaneously. Most perpetrators travel a well-documented “Pathway to Violence”: grievance, ideation, planning, preparation, and implementation.

The grievances may differ in workplace conflict, political ideology, or personal resentment but the warning signs remain strikingly consistent. Individuals may withdraw socially, express obsessive or hostile thoughts, issue veiled threats, or fixate on perceived enemies. The difference between a politically motivated assassin and a workplace shooter is often not the pathway, but the publicity their actions attract.

Security professionals must remember: the actors are not fundamentally different. The context and amplification vary, but the behavioral cues are the same.

Separating Rhetoric from Reality

In times of high-profile political violence, media narratives tend to exaggerate the scope of the threat. Headlines suggest an impending civil war, while social media accelerates fear and anger on both sides.

Yet security professionals know better than to equate rhetoric with action. Just as we teach in workplace violence prevention, the presence of aggressive language online does not always equate to imminent physical harm. Instead, we must distinguish between “talkers” and “doers.”

Threat assessment teams (TATs) in organizations use structured analysis to evaluate the credibility and capability of threats. The same logic applies to political violence. Most incendiary posts online will never translate into real-world violence, but some will. Identifying those cases requires disciplined analysis, not reactive fear.

Lessons from Workplace Violence

The corporate sector has learned painful lessons about violence prevention. The tragic case of Charter Communications, where an employee with known behavioral issues murdered a customer, underscores the cost of ignoring red flags. A jury awarded the victim’s family $7 billion for negligent retention.

The parallels to political violence are clear: ignoring warning signs, dismissing threats as “just rhetoric,” or underestimating lone actors can be devastating. Security professionals in both private and public sectors must rely on established practices behavioral threat assessment, cross-functional collaboration, and proactive intervention.

In workplaces, we mitigate risk by embedding prevention into hiring, culture, and terminations. In society, we can do the same by embedding fact-based assessment into our analysis of political violence, resisting the urge to exaggerate, generalize, or politicize.

Escalation Dynamics

Another important lesson comes from understanding escalation. Political scientist Arie Perlinger has shown that assassinations often come in waves, as one act legitimizes retaliation by the other side. Online ecosystems amplify this effect, celebrating or demonizing perpetrators, and providing justification for “revenge” attacks.

In the workplace, we recognize that termination or disciplinary actions are high-risk inflection points. Mishandled, they can escalate grievance into violence. Similarly, in the political sphere, inflammatory rhetoric, especially from leaders, can function as an accelerant, pushing individuals already on the pathway closer to action.

For security professionals, the question is not whether rhetoric is harmful (it often is), but whether individuals exposed to it also display the warning signs of progression toward violence.

Turning Point or Flashpoint?

So, is America at a turning point toward sustained political violence, or is this another flashpoint in a long pattern of isolated events? The answer, as so often, lies somewhere in between.

Data show that public support for violence is not widespread, and most Americans continue to reject it outright. At the same time, polarization, fear, and misperceptions create fertile ground for lone actors to justify extreme actions.

For practitioners, the distinction matters less than the response. Whether the trend grows or fades, security professionals must stay grounded in training and proven models: recognize the pathway to violence, assess threats systematically, intervene early, and resist the temptation to inflate threats based on sensational headlines.

A Call to Security Leaders

Political violence, like workplace violence, is a strategic risk with profound consequences. Security leaders cannot afford to be swayed by rhetoric or public panic. Instead, we must:

• Rely on training and evidence-based models. The pathway to violence remains the same, whether the grievance is workplace-related or political.
• Distinguish rhetoric from credible threats. Not all incendiary speech leads to action, but credible threats must be acted upon.
• Promote cross-functional collaboration. Threat assessment requires input from security, behavioral experts, law enforcement, and leadership.
• Educate stakeholders. Just as we build a culture of safety in organizations, we must help communities and leaders understand the facts, not the hype.
• Interrupt the escalation cycle. De-escalation, empathy, and restraint like those urged by Utah Governor Spencer Cox after Kirk’s murder are critical tools to prevent metastasizing cycles of violence.

Back to the Fundamentals

America may be experiencing a dangerous surge in political violence, or it may simply be enduring another spike in lone-actor incidents amplified by a polarized media environment. In either case, the role of security professionals remains unchanged.

We must not buy into exaggerated narratives of impending civil war. Nor can we dismiss the risks as isolated aberrations. Instead, we must stay disciplined, fact-driven, and grounded in the proven principles of violence prevention.

At the center, political violence is not fundamentally different from other forms of targeted violence. The perpetrators are not mythical figures of partisan lore they are individuals on familiar pathways, exhibiting familiar warning signs. The publicity may be greater, but the patterns are the same.

The choice before us is whether to escalate in fear and retribution or to apply the training, models, and strategies that we already know work. Security professionals have the tools. The challenge is to use them with clarity, objectivity, and resolve.

https://www.securitymagazine.com/blogs/14-security-blog/post/101913-political-violence-in-america-turning-point-or-flashpoint

Il panorama della cybersecurity sta attraversando una trasformazione epocale guidata dall’integrazione di due tecnologie rivoluzionarie: l’intelligenza artificiale neuromorfica e i modelli fondazionali. Questa convergenza tecnologica promette di rivoluzionare sia le capacità difensive che le strategie offensive, creando un paradigma completamente nuovo per la sicurezza informatica.

Gli stessi strumenti che stanno potenziando le difese cibernetiche vengono contemporaneamente sfruttati da attori malintenzionati per sviluppare vettori di attacco senza precedenti. Il rapporto CrowdStrike 2025 Global Threat documenta un aumento del 442% negli attacchi di ingegneria sociale basati sull’IA tra la prima e seconda metà del 2024, mentre il 79% delle intrusioni informatiche attuali opera senza malware tradizionale. Tale evoluzione rappresenta un cambio di paradigma che richiede un ripensamento fondamentale delle strategie di sicurezza informatica.

Il mercato globale dell’IA applicata alla cybersecurity riflette questa urgenza strategica, con una valutazione di 25.4 miliardi di dollari nel 2024 e proiezioni che indicano una crescita fino a 219.5 miliardi entro il 2034, sostenuta da un tasso di crescita annuale del 24.1%. Questa espansione testimonia l’importanza crescente dell’integrazione intelligente tra tecnologie difensive e offensive nel panorama della sicurezza digitale.

I fondamenti tecnologici della nuova era

L’intelligenza artificiale neuromorfica

L’IA neuromorfica rappresenta un cambiamento paradigmatico dall’architettura di von Neumann verso sistemi computazionali ispirati al cervello biologico. Questi sistemi integrano memoria e processamento in singoli elementi, eliminando il collo di bottiglia tradizionale del trasferimento dati e raggiungendo un’efficienza energetica superiore. Tale approccio consente l’elaborazione asincrona basata su eventi e la comunicazione attraverso picchi discreti, replicando i meccanismi fondamentali della trasmissione neuronale biologica.

Il sistema Intel Hala Point, inaugurato nel 2024, esemplifica il potenziale di questa tecnologia rappresentando il più grande sistema neuromorfico mai costruito. Composto da 1.15 miliardi di neuroni artificiali distribuiti su 1,152 processori Loihi 2, il sistema raggiunge fino a 20 petaoperazioni al secondo mantenendo un’efficienza superiore a 15 TOPS/W. Nonostante consumi un massimo di 2,600 watt di potenza, dimostra un’efficienza energetica fino a 100 volte superiore alle architetture CPU/GPU convenzionali per carichi di lavoro specifici, posizionandolo come soluzione ideale per applicazioni di sicurezza informatica in tempo reale.

Le caratteristiche distintive dell’IA neuromorfica si traducono in vantaggi tangibili per la cybersecurity attraverso il rilevamento di anomalie in tempo reale con latenze sub-millisecondi, l’analisi comportamentale continua con consumo energetico ridotto, e la capacità di adattamento dinamico a pattern di minaccia emergenti. La tecnologia supporta inoltre l’apprendimento continuo senza dipendenza da connettività cloud, garantendo operatività anche in ambienti disconnessi o con limitazioni di rete.

I modelli fondazionali per la cybersecurity

I modelli fondazionali rappresentano l’evoluzione dei sistemi di intelligenza artificiale su larga scala, addestrati su vasti dataset e successivamente adattati per compiti specifici nel dominio della cybersecurity. Basati su architetture transformer, questi modelli stanno rivoluzionando l’analisi delle minacce informatiche attraverso capacità avanzate di comprensione del linguaggio naturale e riconoscimento di pattern sofisticati.

Microsoft Security Copilot esemplifica l’integrazione pratica di questi sistemi nelle operazioni di sicurezza contemporanee. Alimentato da modelli linguistici di ultima generazione, il sistema elabora segnali di sicurezza in tempo reale, consentendo interrogazioni in linguaggio naturale per l’investigazione delle minacce e fornendo supporto automatizzato nella risposta agli incidenti. Le implementazioni aziendali documentano miglioramenti sostanziali nell’efficienza delle operazioni dei centri di sicurezza, testimoniando la maturità raggiunta da queste tecnologie nell’ambiente enterprise.

L’adozione di modelli fondazionali specializzati consente alle organizzazioni di sfruttare la potenza computazionale dell’IA per elaborare volumi di dati precedentemente ingestibili, identificando correlazioni e anomalie che sfuggirebbero all’analisi umana tradizionale. Questa capacità si rivela particolarmente preziosa nell’identificazione precoce di minacce avanzate e nella correlazione di indicatori di compromissione attraverso sistemi distribuiti.

La nuova frontiera delle minacce

La sofisticazione degli attacchi deepfake

L’evoluzione delle tecnologie deepfake ha raggiunto un livello di sofisticazione tale da rappresentare una minaccia concreta per le organizzazioni globali. Il caso dell’azienda di ingegneria Arup illustra drammaticamente questa realtà: nel 2024, l’organizzazione ha subito una perdita di 25 milioni di dollari a causa di un attacco orchestrato attraverso audio e video generati artificialmente per impersonare dirigenti senior durante una videochiamata.

L’attacco ha coinvolto un dipendente della sede di Hong Kong che, convinto della legittimità della richiesta dopo aver partecipato a una videoconferenza con quelli che credeva fossero suoi colleghi senior, ha trasferito 200 milioni di dollari di Hong Kong attraverso 15 transazioni separate verso cinque conti bancari controllati dagli attaccanti. La scoperta dell’inganno è avvenuta solo successivamente, quando il dipendente ha tentato di verificare l’operazione con la sede centrale dell’azienda.

Rob Greig, Chief Information Officer di Arup, ha successivamente dimostrato l’accessibilità di queste tecnologie, riuscendo a creare un video deepfake utilizzando software open-source in soli 45 minuti. Questa facilità di creazione evidenzia come le barriere tecniche per l’implementazione di attacchi sofisticati si stiano rapidamente abbassando, rendendo tali minacce accessibili anche ad attori con competenze tecniche limitate.

L’evoluzione delle tattiche offensive

Il rapporto CrowdStrike 2025 Global Threat fornisce una documentazione dettagliata dell’evoluzione delle tattiche offensive nel panorama contemporaneo della cybersecurity. L’aumento del 442% negli attacchi voice phishing tra la prima e seconda metà del 2024 testimonia come gli attaccanti stiano sfruttando l’impersonificazione audio generata dall’IA per superare le difese tradizionali basate sul riconoscimento vocale.

Parallelamente, l’analisi rivela che il 79% degli attacchi finalizzati all’ottenimento di accesso iniziale non utilizza più malware tradizionale, segnando un cambiamento fondamentale nelle metodologie offensive. Gli attaccanti prediligono ora approcci che sfruttano credenziali compromesse e tecniche di ingegneria sociale sofisticate, operando come utenti legittimi per evitare il rilevamento da parte dei sistemi di sicurezza tradizionali.

La crescita del mercato dei broker di accesso, con un aumento del 50% anno su anno negli annunci di vendita di credenziali compromesse, evidenzia la professionalizzazione crescente dell’ecosistema criminale. Questi intermediari facilitano l’accesso a sistemi compromessi, creando una catena di approvvigionamento illecita che supporta operazioni offensive su larga scala.

L’espansione delle operazioni di spionaggio cibernetico cinesi rappresenta un ulteriore elemento di preoccupazione documentato. CrowdStrike ha identificato sette nuovi gruppi di attacco legati alla Cina nel 2024, contribuendo a un aumento del 150% negli attacchi di spionaggio. Questa escalation riflette l’investimento crescente delle nazioni-stato nelle capacità offensive informatiche e l’intensificazione delle tensioni geopolitiche attraverso il dominio cibernetico.

Le vulnerabilità emergenti dei sistemi IA tradizionali

L’integrazione crescente di sistemi di intelligenza artificiale nelle infrastrutture critiche ha introdotto nuove categorie di vulnerabilità precedentemente inesistenti. Gli attacchi di prompt injection emergono come una delle minacce più significative, ottenendo il primo posto nella classificazione OWASP Top 10 per le applicazioni basate su Large Language Models. Questi attacchi sfruttano la natura conversazionale dei sistemi IA per manipolare le risposte e ottenere accesso a informazioni sensibili o funzionalità non autorizzate.

L’avvelenamento dei modelli IA rappresenta una minaccia ancora più sofisticata alla supply chain tecnologica. Incidenti documentati hanno rivelato la distribuzione di oltre 100 modelli compromessi contenenti backdoor nascoste attraverso piattaforme di condivisione pubbliche. Questi modelli compromessi possono rimanere dormienti fino all’attivazione di trigger specifici, compromettendo l’integrità di sistemi che li implementano senza alcun segnale di avvertimento visibile.

La natura subdola di queste vulnerabilità risiede nella loro capacità di rimanere non rilevate durante l’operazione normale, attivandosi solo quando incontrano condizioni predefinite. Questa caratteristica rende particolarmente complessa la loro identificazione e mitigazione, richiedendo approcci di sicurezza completamente nuovi per la validazione e il monitoraggio continuo dei modelli IA in produzione.

Gli attacchi di mimicry neuromorfico: una nuova classe di minacce

La ricerca accademica recente ha identificato una categoria completamente nuova di vulnerabilità specifica per i sistemi neuromorfi, denominata Neuromorphic Mimicry Attacks. Questa ricerca pionerristica, documentata nella letteratura scientifica, rivela come le caratteristiche uniche dei chip neuromorfi – la loro natura probabilistica, il processamento non deterministico e la dipendenza dai pesi sinaptici – introducano rischi di sicurezza precedentemente inesplorati.

Gli attacchi di mimicry neuromorfico sfruttano il comportamento biologico-simile dei chip neuromorfi per eseguire intrusioni coperte che imitano l’attività neurale legittima. Due tecniche principali caratterizzano questa classe di attacchi: la manipolazione dei pesi sinaptici e l’avvelenamento degli input sensoriali. La manipolazione dei pesi sinaptici altera sottilmente le connessioni neuronali che controllano l’apprendimento del sistema, mentre l’avvelenamento degli input introduce segnali maligni che assomigliano a dati legittimi ma inducono comportamenti errati nel sistema.

La pericolosità di questi attacchi risiede nella loro capacità di eludere i sistemi di rilevamento intrusione tradizionali, che sono progettati per architetture computazionali convenzionali e non possono identificare le anomalie sottili nei pattern di attivazione neurale. La ricerca sperimentale condotta attraverso simulazioni di chip neuromorfi ha dimostrato tassi di successo superiori al 90% per la manipolazione dei pesi sinaptici, con una riduzione dell’accuratezza del sistema di classificazione di appena il 4.8%, mantenendo così la furtività dell’attacco.

L’impatto di questi attacchi si estende a applicazioni critiche dove i sistemi neuromorfi trovano crescente impiego: veicoli autonomi, impianti medici intelligenti e reti IoT distribuite. In un veicolo autonomo, un attacco di mimicry neuromorfico potrebbe alterare sottilmente la percezione dell’ambiente circostante senza attivare allarmi di sicurezza, potenzialmente causando decisioni di navigazione errate. Negli impianti medici, tali attacchi potrebbero interferire con il monitoraggio in tempo reale dei parametri vitali, compromettendo la capacità del dispositivo di rilevare condizioni critiche.

La natura probabilistica intrinseca dei sistemi neuromorfi, che normalmente rappresenta un vantaggio in termini di efficienza energetica e adattabilità, diventa un vettore di vulnerabilità quando sfruttata da attaccanti sofisticati. La ricerca ha identificato che l’aumento della varianza dei picchi neurali durante un attacco – da 5 Hz² in condizioni normali a 8 Hz² sotto attacco – rappresenta un indicatore diagnostico potenziale, anche se la sottilità di questa variazione rende la detection estremamente challenging.

Le contromisure sviluppate specificamente per questi attacchi includono algoritmi di rilevamento anomalie neurale-specifici e protocolli di apprendimento sinaptico sicuri. Gli algoritmi di rilevamento analizzano la frequenza dei picchi e le variazioni dei pesi per identificare pattern sospetti, raggiungendo un’accuratezza di detection del 85% – significativamente superiore ai sistemi tradizionali che rilevano solo il 15% di questi attacchi. I protocolli di apprendimento sicuri implementano verifiche crittografiche per validare gli aggiornamenti dei pesi sinaptici, riducendo il tasso di successo degli attacchi di manipolazione dei pesi al 45%.

Questa emergente classe di minacce sottolinea l’urgenza di sviluppare framework di cybersecurity specificamente progettati per l’architettura unica dei sistemi neuromorfi. La transizione verso computing brain-inspired richiede non solo innovazioni hardware e software, ma anche l’evoluzione parallela delle metodologie di sicurezza per proteggere questi sistemi dalle vulnerabilità intrinseche alla loro natura biologicamente ispirata.

Proiezioni di mercato e investimenti

Il mercato dell’intelligenza artificiale in cybersecurity

L’analisi del mercato dell’IA applicata alla cybersecurity rivela dinamiche di crescita eccezionali che riflettono l’urgenza percepita dalle organizzazioni nel rafforzare le proprie difese. Con una valutazione attuale di 25.4 miliardi di dollari nel 2024, le proiezioni indicano una crescita fino a 219.5 miliardi entro il 2034, sostenuta da un tasso di crescita annuale composto del 24.1%. Questa espansione supera significativamente la crescita media del settore tecnologico, evidenziando l’importanza strategica attribuita all’integrazione dell’IA nelle soluzioni di sicurezza.

La segmentazione del mercato rivela che la sicurezza di rete domina attualmente il panorama, rappresentando il 36.3% delle entrate totali nel 2024. Questa leadership riflette la priorità delle organizzazioni nel proteggere le infrastrutture di rete, che costituiscono il fondamento dell’operatività aziendale contemporanea. Tuttavia, segmenti emergenti come la sicurezza cloud e la protezione dei dati mostrano tassi di crescita superiori, suggerendo una diversificazione degli investimenti verso aree precedentemente considerate secondarie.

Il computing neuromorfico tra promesse e incertezze

Il mercato del computing neuromorfico presenta una complessità particolare nelle proiezioni future, caratterizzata da significative variazioni nelle stime a seconda della metodologia di analisi adottata. Le proiezioni più conservative indicano una crescita da 28.5 milioni di dollari nel 2024 a 1.32 miliardi nel 2030, sostenuta da un tasso di crescita annuale dell’89.7%. Tuttavia, analisi più ampie del mercato suggeriscono una crescita da 5.277 miliardi nel 2023 a 20.272 miliardi nel 2030, con un tasso di crescita del 21.2%.

Questa variabilità nelle proiezioni riflette le diverse definizioni di mercato adottate dai ricercatori e l’incertezza intrinseca associata ai settori tecnologici emergenti. Le differenze possono derivare dall’inclusione o esclusione di segmenti specifici, dalla definizione di cosa costituisce effettivamente “computing neuromorfico”, e dalle diverse assunzioni sui tempi di adozione commerciale della tecnologia.

Nonostante l’incertezza nelle proiezioni numeriche, il consenso emerge sulla direzione della crescita e sul potenziale trasformativo della tecnologia neuromorfica. Gli investimenti crescenti da parte di aziende leader come Intel, IBM e Samsung, combinati con l’interesse crescente delle agenzie governative per le applicazioni di sicurezza nazionale, suggeriscono una traiettoria di sviluppo robusta indipendentemente dalle specifiche numeriche delle proiezioni.

Implementazioni industriali

PayPal e l’evoluzione della prevenzione frodi

PayPal rappresenta un esempio paradigmatico di come l’integrazione dell’intelligenza artificiale possa trasformare le operazioni di sicurezza su scala globale. L’organizzazione ha sviluppato un ecosistema sofisticato che analizza oltre 500 parametri per ogni transazione attraverso una rete che comprende 400 milioni di conti consumer e 20 milioni di merchant account. Questa infrastruttura consente l’elaborazione e l’analisi in tempo reale di volumi transazionali che raggiungono centinaia di milioni di operazioni.

Il sistema implementato da PayPal utilizza tecniche avanzate di machine learning per l’analisi comportamentale, il device fingerprinting e l’intelligence geolocalizzata, generando punteggi di rischio dinamici che informano decisioni istantanee senza compromettere la velocità di elaborazione richiesta dal commercio digitale. La capacità del sistema di prevenire centinaia di milioni di dollari in frodi trimestralmente dimostra l’efficacia pratica dell’approccio basato su IA su scala enterprise.

L’innovazione più recente dell’azienda include il lancio di un sistema di allerta per potenziali truffe nei pagamenti Friends and Family, che utilizza modelli di IA per analizzare pattern transazionali e identificare situazioni in cui gli utenti potrebbero essere vittima di ingegneria sociale. Questo sistema proattivo estende la protezione oltre la prevenzione tradizionale delle frodi, affrontando le vulnerabilità umane che spesso costituiscono l’anello più debole nelle catene di sicurezza.

La trasformazione dei Security Operations Center

Il panorama dei Security Operations Center sta attraversando una trasformazione fondamentale guidata dall’integrazione di tecnologie di intelligenza artificiale. Gli esperti del settore osservano una migrazione accelerata verso sistemi automatizzati che utilizzano agenti autonomi per gestire la maggior parte delle attività operative routine, liberando il personale umano per compiti che richiedono giudizio strategico e creatività nella risoluzione di problemi.

Questa evoluzione si manifesta attraverso l’integrazione di capacità IA avanzate nelle piattaforme SIEM esistenti, consentendo l’analisi automatizzata di volumi di log e eventi che supererebbero le capacità umane tradizionali. I sistemi contemporanei possono correlare eventi attraverso infrastrutture distribuite, identificare pattern anomali che indicano compromissioni in corso, e suggerire o implementare automaticamente misure di contenimento appropriate.

La transizione verso operazioni di sicurezza “native IA” non elimina il ruolo umano ma lo trasforma, richiedendo nuove competenze nella supervisione e interpretazione dei sistemi automatizzati. Gli analisti di sicurezza evolvono da operatori tattici a supervisori strategici, concentrandosi sulla validazione delle decisioni automatizzate, l’investigazione di anomalie complesse, e lo sviluppo di nuove logiche di rilevamento per minacce emergenti.

Sfide tecniche e limitazioni operative

La complessità dell’interpretabilità

Una delle sfide più significative nell’adozione dell’IA per la cybersecurity emerge dalla natura intrinsecamente opaca dei sistemi decisionali avanzati. I modelli di machine learning sofisticati operano spesso come “scatole nere”, rendendo difficile per gli analisti di sicurezza comprendere il razionale che sottende specifiche decisioni di rilevamento o raccomandazioni di risposta. Questa opacità può creare problemi di fiducia e compliance, particolarmente in settori altamente regolamentati dove la tracciabilità delle decisioni è un requisito normativo.

La ricerca nell’ambito dell’IA spiegabile sta sviluppando tecniche specificamente progettate per applicazioni di cybersecurity, includendo approcci che utilizzano mappe di salienza per rappresentazioni visuali dell’influenza delle caratteristiche, spiegazioni controfattuali per scenari ipotetici, e meccanismi di attenzione che evidenziano gli elementi di input più rilevanti nell’analisi delle minacce.

Tuttavia, la generazione di spiegazioni in tempo reale presenta sfide di prestazioni significative che richiedono compromessi attenti tra accuratezza, velocità e interpretabilità. Questi compromessi spesso portano all’adozione di approcci ibridi che combinano modelli interpretabili per decisioni critiche con sistemi più complessi ma opachi per l’analisi preliminare, creando architetture stratificate che bilanciano performance e trasparenza.

Vulnerabilità agli attacchi avversari

I sistemi di intelligenza artificiale utilizzati per la cybersecurity presentano vulnerabilità uniche che derivano dalla loro stessa natura probabilistica e adattiva. Gli attacchi avversari sfruttano queste caratteristiche attraverso la costruzione accurata di input progettati per ingannare i modelli, permettendo al malware di eludere il rilevamento o inducendo falsi positivi che possono sopraffare le capacità di risposta delle organizzazioni.

Le tecniche di difesa sviluppate per contrastare questi attacchi includono l’addestramento avversario, che incorpora esempi di attacco nei dataset di training per migliorare la robustezza, la distillazione difensiva per ridurre la sensibilità del modello alle perturbazioni, e metodi ensemble che utilizzano multiple architetture per decisioni più robuste. Tuttavia, l’efficacia di queste difese è costantemente messa alla prova dall’evoluzione continua delle tecniche offensive.

La situazione crea una dinamica di corsa agli armamenti tra sviluppatori di sistemi difensivi e attaccanti, con nuovi metodi di attacco che emergono costantemente per sfruttare vulnerabilità precedentemente sconosciute. Gli attacchi di avvelenamento del modello durante le fasi di addestramento rappresentano una minaccia particolarmente sofisticata, consentendo l’inserimento di backdoor che rimangono dormienti durante l’operazione normale ma si attivano quando incontrano trigger specifici.

Considerazioni di scalabilità e standardizzazione

L’implementazione su larga scala di sistemi IA per la cybersecurity presenta sfide architetturali che vanno oltre le considerazioni puramente tecniche. I requisiti computazionali per modelli di grandi dimensioni possono risultare proibitivi per organizzazioni con risorse limitate, mentre il consumo energetico continuo necessario per operazioni IA intensive può rappresentare un costo operativo significativo che deve essere bilanciato contro i benefici di sicurezza ottenuti.

L’integrazione di processori neuromorfi offre una soluzione promettente a questi problemi attraverso la loro efficienza energetica superiore, che li rende particolarmente adatti per deployment distribuiti e operazioni continue. Tuttavia, l’ecosistema software per la programmazione neuromorfa rimane limitato rispetto alle piattaforme IA tradizionali, creando barriere all’adozione che richiedono investimenti significativi in formazione e sviluppo di competenze specializzate.

La mancanza di standard unificati per il computing neuromorfo crea ulteriori complicazioni attraverso problemi di interoperabilità tra piattaforme diverse, mentre i requisiti di certificazione di sicurezza per applicazioni critiche continuano a evolversi. Queste sfide richiedono collaborazione industria-governo per sviluppare framework standardizzati che facilitino l’adozione sicura di queste tecnologie emergenti.

Implicazioni normative e compliance

Il panorama regolamentativo europeo

L’Europa ha assunto una posizione di leadership nella regolamentazione dell’intelligenza artificiale attraverso l’implementazione dell’EU AI Act del 2024, che rappresenta la prima regolamentazione comprensiva dell’IA a livello globale. Questa legislazione stabilisce requisiti rigorosi per applicazioni di cybersecurity classificate ad alto rischio, richiedendo trasparenza negli algoritmi decisionali, documentazione dettagliata dei processi di training, e meccanismi di audit continuo per sistemi implementati in contesti critici.

Il Digital Operational Resilience Act, entrato in vigore nel gennaio 2025, complementa questa struttura normativa imponendo misure di cybersecurity robuste specificamente per le istituzioni finanziarie. Questa regolamentazione richiede l’implementazione di framework di gestione del rischio ICT comprensivi, test di resilienza operativa regolari, e protocolli di incident reporting che devono essere integrati con i sistemi IA utilizzati per il rilevamento e la risposta alle minacce.

L’impatto di queste regolamentazioni si estende oltre i confini europei attraverso l’effetto di extraterritorialità, influenzando le pratiche di sviluppo e deployment di sistemi IA per organizzazioni globali che operano o forniscono servizi nel mercato europeo. Questa influenza regolatoria sta guidando l’adozione di standard più elevati di trasparenza e accountability nell’industria dell’IA applicata alla cybersecurity.

L’evoluzione del framework normativo statunitense

Gli Stati Uniti stanno sviluppando un approccio regolamentativo complementare attraverso l’aggiornamento del NIST AI Risk Management Framework, rivisto nel luglio 2024 per includere linee guida specifiche per l’applicazione dell’IA in contesti di cybersecurity. Questo framework enfatizza la gestione del rischio attraverso tutto il ciclo di vita dei sistemi IA, dalla progettazione iniziale fino al decommissioning, fornendo una struttura metodologica per la valutazione e mitigazione dei rischi associati.

La Federal Zero Trust Strategy implementa questi principi attraverso mandati specifici per la segmentazione di rete e l’implementazione di sicurezza potenziata dall’IA nelle agenzie governative. Questo approccio richiede l’implementazione di architetture che assumono la compromissione come scenario di default, utilizzando l’IA per il monitoraggio continuo e la validazione dell’identità e dei privilegi di accesso.

Lo sviluppo parallelo di testbed di sicurezza specializzati per la valutazione delle vulnerabilità dei sistemi IA dimostra l’impegno del governo federale nel garantire che l’adozione dell’IA per la sicurezza nazionale non introduca nuove vulnerabilità. Questi ambienti di test forniscono metodologie standardizzate per la valutazione della robustezza dei sistemi IA contro attacchi avversari e scenari di failure complex.

Strategie di implementazione e raccomandazioni

Approcci strategici per i Chief Information Security Officer

L’adozione efficace delle tecnologie IA neuromorfica e dei modelli fondazionali richiede una strategia di implementazione graduale che bilanci l’innovazione con la gestione del rischio. L’approccio più efficace prevede l’inizio con implementazioni pilota su piccola scala in funzioni di sicurezza non critiche, consentendo alle organizzazioni di sviluppare competenze interne e comprendere le implicazioni operative prima dell’espansione su larga scala.

La valutazione dei fornitori deve prioritizzare soluzioni che offrono caratteristiche dimostrabili di spiegabilità e robustezza contro attacchi avversari. I Chief Information Security Officer dovrebbero richiedere dimostrazioni concrete della capacità dei sistemi di fornire insight interpretatibili nelle loro decisioni, evidenze di testing contro attacchi avversari conosciuti, e documentazione dettagliata delle capacità di integrazione con l’infrastruttura di sicurezza esistente.

L’investimento nelle competenze rappresenta una priorità critica che richiede un approccio multifaceted. I programmi di formazione dovrebbero preparare gli analisti di sicurezza esistenti all’utilizzo e interpretazione degli strumenti IA, mentre l’acquisizione di competenze interdisciplinari che combinano neuroscienza computazionale, intelligenza artificiale e cybersecurity tradizionale diventerà essenziale per le posizioni di leadership tecnica.

Principi architetturali per sistemi sicuri

Gli architetti di sicurezza devono adottare principi di progettazione che mantengono la supervisione umana per decisioni di sicurezza critiche, implementano caratteristiche di interpretabilità come requisito architetturale fondamentale, e includono meccanismi fail-safe per gestire i guasti dei sistemi IA. Gli approcci ibridi che combinano multiple metodologie IA, incluse tecniche simboliche, neurali e neuromorfiche, offrono robustezza superiore rispetto alle implementazioni basate su singoli modelli.

L’integrazione edge-cloud deve essere ottimizzata per bilanciare latenza, privacy e capacità computazionale attraverso architetture che distribuiscono intelligentemente il processing tra componenti locali e remoti. L’apprendimento federato emerge come una tecnologia abilitante per l’intelligence collaborativa delle minacce, consentendo alle organizzazioni di condividere insight sulla sicurezza preservando la privacy dei dati sensibili.

Le architetture devono essere progettate intrinsecamente per l’apprendimento continuo e l’adattamento a pattern di minaccia emergenti. Questo richiede pipeline di dati che supportano l’aggiornamento di modelli in tempo reale, sistemi di monitoraggio che rilevano automaticamente la deriva delle prestazioni, e capacità di rollback per gestire aggiornamenti che introducono regressioni nelle performance o vulnerabilità inattese.

Conclusioni e prospettive future

La convergenza di intelligenza artificiale neuromorfica e modelli fondazionali nella cybersecurity rappresenta una trasformazione documentata che richiede preparazione strategica immediata da parte delle organizzazioni contemporanee. Le evidenze raccolte attraverso implementazioni reali, casi di attacco documentati e analisi di mercato convergono nell’indicare che questa trasformazione non rappresenta una possibilità futura ma una realtà operativa attuale che richiede azione immediata.

L’efficacia dimostrata attraverso casi come l’implementazione di PayPal, che previene centinaia di milioni di dollari in frodi trimestralmente attraverso l’analisi intelligente di oltre 500 parametri per transazione, illustra il potenziale trasformativo di queste tecnologie quando implementate con competenza e risorse appropriate. Parallelamente, la sofisticazione raggiunta dagli attaccanti, evidenziata dall’attacco deepfake da 25 milioni di dollari contro Arup, dimostra che l’evoluzione delle minacce procede di pari passo con lo sviluppo delle difese.

Le proiezioni di mercato, nonostante presentino variabilità nelle stime specifiche, concordano unanimemente sulla direzione e magnitudine della crescita degli investimenti in IA applicata alla cybersecurity. La proiezione di crescita da 25.4 miliardi nel 2024 a 219.5 miliardi entro il 2034 riflette non solo opportunità commerciali ma necessità strategiche per la sopravvivenza organizzativa in un panorama di minacce sempre più sofisticato.

Il successo nell’navigare questa trasformazione dipenderà fundamentalmente dalla capacità delle organizzazioni di creare partnership efficaci tra intelligenza umana e artificiale, combinando il giudizio strategico, la creatività e l’intuizione umana con le capacità di elaborazione, riconoscimento di pattern e risposta in tempo reale dell’intelligenza artificiale. Questa sintesi richiede non solo investimenti tecnologici ma trasformazioni culturali e organizzative che ridefiniscono i ruoli, le responsabilità e le competenze necessarie per la cybersecurity contemporanea.

Le decisioni strategiche prese nel 2025 determineranno la posizione competitiva delle organizzazioni nel panorama della sicurezza digitale per i decenni successivi. La preparazione attuale, attraverso programmi pilota, sviluppo di competenze, partnership strategiche con fornitori qualificati e investimenti in architetture adattive, costituisce la base per la leadership futura in un mondo sempre più definito dall’intelligenza artificiale.

La rivoluzione non rappresenta più una prospettiva futura ma una realtà presente che richiede scelte immediate. Le organizzazioni devono determinare se aspireranno a guidare questa trasformazione, sfruttandone le opportunità per creare vantaggi competitivi sostenibili, o se permetteranno che le eventi le travolgano, relegandole a posizioni di svantaggio strategico permanente. La preparazione odierna determinerà inequivocabilmente la sicurezza e la prosperità di domani in un ecosistema digitale sempre più complesso e interconnesso.

Fonti:

https://www.ictsecuritymagazine.com/articoli/ia-neuromorfica-sec/

La truffa deepfake che ha colpito Arup a Hong Kong non è solo un caso di cronaca, ma il segnale di un cambiamento epocale: l’uso dell’intelligenza artificiale per inganni sofisticati che ridefiniscono fiducia, verità e sicurezza digitale. In questo articolo analizziamo l’anatomia della frode, l’impatto globale e le strategie difensive per affrontare il futuro della cybersicurezza.

Frode con intelligenza artificiale ad Arup

Il messaggio arriva come tanti altri: urgente, riservato, apparentemente dal direttore finanziario. Ma quando il dipendente della filiale di Hong Kong di Arup si collega alla videochiamata di verifica, non immagina di trovarsi davanti a quello che diventerà il più clamoroso caso di frode con intelligenza artificiale della storia recente. Sullo schermo, volti familiari, voci riconoscibili, espressioni convincenti. Eppure, ogni singola persona presente alla riunione è un fake digitale, un’illusione creata dall’AI.

Quando la videoconferenza si conclude, 200 milioni di dollari di Hong Kong — circa 25,6 milioni di dollari americani — hanno già preso la strada dei conti correnti dei truffatori attraverso 15 transazioni separate. È gennaio 2024, e il mondo della cybersicurezza sta per cambiare per sempre.

L’anatomia dell’inganno perfetto

La sofisticazione dell’attacco lascia gli esperti senza parole. Secondo la polizia di Hong Kong, i perpetratori hanno sviluppato deepfake generati dall’intelligenza artificiale utilizzando file video e audio esistenti raccolti da conferenze online e riunioni aziendali virtuali. La vittima, inizialmente sospettosa del messaggio email ricevuto, abbandona ogni cautela durante la videochiamata.

Secondo la polizia di Hong Kong, il lavoratore aveva inizialmente sospettato di aver ricevuto un’email di phishing dall’ufficio britannico dell’azienda, ma ha messo da parte i suoi dubbi dopo la videochiamata perché le altre persone presenti sembravano e suonavano proprio come i colleghi che riconosceva.

L’intera operazione fraudolenta si è svolta nell’arco di una settimana, dal primo contatto alla scoperta della truffa quando l’azienda ha iniziato a indagare sulla questione. Il raggiro è stato scoperto soltanto quando il dipendente ha successivamente verificato la richiesta con la sede centrale dell’azienda nel Regno Unito.

Truffa deepfake: l’esplosione globale del fenomeno

I numeri dipingono un quadro inquietante dell’evoluzione delle minacce digitali. Secondo i dati di iProov, gli attacchi deepfake utilizzanti tecnologia “face swap” per tentare di aggirare la verifica remota dell’identità sono aumentati del 704% nel 2023.

Parallelamente, il rapporto di Onfido evidenzia un aumento di 31 volte delle frodi deepfake, indicando un incremento del 3000% degli tentativi di deepfake tra il 2022 e il 2023. Secondo Andrew Newell, Chief Scientific Officer di iProov: “L’intelligenza artificiale generativa ha fornito un enorme impulso ai livelli di produttività degli attori delle minacce: questi strumenti sono relativamente economici, facilmente accessibili e possono essere utilizzati per creare media sintetici altamente convincenti”.

I dati di Chainabuse, piattaforma di segnalazione delle frodi di TRM Labs, mostrano che le segnalazioni di truffe abilitate dall’intelligenza artificiale generativa tra maggio 2024 e aprile 2025 sono aumentate del 456% rispetto allo stesso periodo dell’anno precedente.

L’Impatto sistemico sulle organizzazioni

Un recente studio di TitanHQ e Osterman Research ha rilevato che l’11% delle organizzazioni intervistate ha subito un attacco abilitato da deepfake nell’ultimo anno. Sebbene questa percentuale possa apparire contenuta, gli esperti la considerano solo l’inizio di un fenomeno destinato a crescere esponenzialmente.

Rob Greig, Chief Information Officer di Arup, ha dichiarato: “Come molte altre aziende nel mondo, le nostre operazioni sono soggette ad attacchi regolari, incluse frodi su fatture, truffe di phishing, spoofing vocale WhatsApp e deepfake. Quello che abbiamo osservato è che il numero e la sofisticatezza di questi attacchi è aumentato drasticamente negli ultimi mesi”.

La sfida della rilevazione

Una ricerca di iProov su 2.000 consumatori nel Regno Unito e negli Stati Uniti ha rivelato risultati allarmanti: solo lo 0,1% dei partecipanti è riuscito a distinguere accuratamente i contenuti reali da quelli falsi in tutti gli stimoli presentati, che includevano immagini e video.

Lo studio ha anche scoperto che i video deepfake si sono rivelati più difficili da identificare rispetto alle immagini deepfake, con i partecipanti che avevano il 36% in meno di probabilità di identificare correttamente un video sintetico rispetto a un’immagine sintetica.

Le ricerche condotte dal professor Hany Farid dell’Università della California Berkeley, insieme ai suoi colleghi, dimostrano che la clonazione vocale alimentata dall’AI continua a migliorare in termini di realismo utilizzando solo alcuni minuti di audio.

Tecnologie di difesa e limitazioni

Gli strumenti di face swap più comunemente utilizzati dagli attori malintenzionati sono SwapFace, DeepFaceLive e Swapstream, secondo i ricercatori di iProov. Gli analisti di iProov attualmente monitorano più di 110 diversi strumenti di face swap e repository che potrebbero essere utilizzati per generare deepfake dannosi.

La tecnologia di rilevamento, pur migliorando costantemente, rimane in una corsa contro il tempo con strumenti di generazione sempre più sofisticati. I modelli di machine learning possono essere facilmente confusi in situazioni reali, con un’accuratezza che può diminuire significativamente se l’audio è degradato o contiene rumore di fondo.

Strategie di difesa aziendale

Gli esperti in cybersicurezza raccomandano un approccio metodico che include diverse linee di difesa. La verifica dell’identità dell’interlocutore attraverso canali indipendenti rimane la prima strategia difensiva. È essenziale confermare sempre richieste finanziarie significative utilizzando numeri telefonici salvati in rubrica aziendale.

Un portavoce di Arup ha confermato: “Sfortunatamente, non possiamo entrare nei dettagli in questa fase poiché l’incidente è ancora oggetto di un’indagine in corso. Tuttavia, possiamo confermare che sono state utilizzate voci e immagini false. La nostra stabilità finanziaria e le operazioni aziendali non sono state compromesse e nessuno dei nostri sistemi interni è stato compromesso”.

Il futuro della verità digitale

Secondo Greig: “Quello che è successo ad Arup – lo definirei ingegneria sociale potenziata dalla tecnologia. Non è stato nemmeno un cyberattacco nel senso più puro. Nessuno dei nostri sistemi è stato compromesso e non ci sono stati dati interessati. Le persone sono state ingannate nel credere di stare eseguendo transazioni genuine che hanno portato denaro a lasciare l’organizzazione”.

Il caso Arup non rappresenta un episodio isolato, ma il sintomo di una trasformazione più profonda del panorama digitale contemporaneo. Con 18.500 dipendenti distribuiti in 34 uffici nel mondo, Arup è una delle aziende di ingegneria più rispettate al mondo, responsabile di strutture iconiche come la Sagrada Familia, il ponte marittimo più lungo del mondo e l’Opera House di Sydney.

La lezione che emerge è cristallina: nell’era dei deepfake, la fiducia deve essere conquistata attraverso verifiche multiple e indipendenti, non accordata automaticamente sulla base di ciò che percepiamo attraverso i nostri sensi. La strada da percorrere richiede un equilibrio delicato tra sospetto metodico e paralisi operativa, tra innovazione tecnologica e tutela della verità.

Il furto di 25 milioni di dollari perpetrato ai danni di Arup rappresenta soltanto l’inizio di una nuova sfida che ridefinirà radicalmente il modo in cui concepiamo fiducia, verità e sicurezza nell’era digitale contemporanea.

Fonti:

Arup Group Limited. (2024, maggio). Dichiarazioni ufficiali sulla truffa deepfake di Hong Kong. Riportato in CNN Business, 17 maggio 2024.

Farid, H. (2023). Professor of Computer Science, UC Berkeley School of Information. Research on AI voice cloning and deepfake detection. UC Berkeley.

Barrington, S., Barua, R., & Koorma, G. (2023). Single and Multi-Speaker Cloned Voice Detection: From Perceptual to Learned Features. Workshop on Image Forensics and Security, IEEE WIFS, Nuremberg.

Barrington, S., Cooper, E.A., & Farid, H. (2025). People are Poorly Equipped to Detect AI-powered Voice Clones. Scientific Reports, 15, 11004.

iProov Ltd. (2024). The iProov Threat Intelligence Report 2024: The Impact of Generative AI on Remote Identity Verification. Marzo 2024.

Onfido (Entrust). (2023). 2024 Identity Fraud Report. Novembre 2023.

Chainabuse/TRM Labs. (2025). AI-enabled Fraud: How Scammers Are Exploiting Generative AI. TRM Blog.

TitanHQ & Osterman Research. (2025). The State of Email Security in 2025. Aprile 2025.

Financial Times. (2024, maggio). Arup deepfake scam investigation. Citato in Fortune Europe, 17 maggio 2024.

World Economic Forum. (2025, febbraio). Cybercrime: Lessons learned from a $25m deepfake attack. WEF Stories.

https://www.ictsecuritymagazine.com/notizie/truffa-deepfake/

Set 17, 2025 Marina Londei Approfondimenti, Attacchi, Attacchi, Campagne malware, In evidenza, Minacce, News, RSS 0

---

La minaccia di MuddyWater non si arresta, anzi: negli ultimi mesi il gruppo ha eseguito attacchi sempre più sofisticati grazie al miglioramento della propria infrastruttura e a un arricchimento dei tool di attacco.

Secondo un recente report di Group-IB, il gruppo APT iraniano sarebbe passato da campagne su larga scala ad attacchi più mirati facendo leva sullo spearphishing e sulla distribuzione di malware custom.

Attivo dal 2017, il gruppo opera seguendo gli interessi del governo dell’Iran. Gli obiettivi di MuddyWater sono solitamente realtà di settori ad alto valore, quali le telecomunicazioni, il settore energetico, quello della difesa e le entità governative.

Nel corso degli anni il gruppo ha eseguito campagne molto generiche allo scopo di colpire più vittime possibili, per esempio pubblicizzando finti corsi online e webinar. Dall’inizio del 2025, invece, c’è stato un importante cambiamento di tattiche e il gruppo ha cominciato a realizzare attacchi altamente mirati e più difficili da contrastare.

MuddyWater investe su nuovi tool e migliora la propria architettura

Tra i malware e i tool più utilizzati dal gruppo negli ultimi mesi c’è BugSleep, una backdoor custom ormai trai cavalli di battaglia di MuddyWater. Esistono diverse varianti del malware, ognuna con sempre nuovi miglioramenti e fix, a indicazione del fatto che il gruppo sta lavorando al perfezionamento del proprio arsenale.

Un’altra backdoor molto usata dal gruppo è StealthCache. Si tratta di un malware con capacità più avanzate rispetto a BugSleep e una comunicazione col server C2 significativamente più estesa. Al contrario, Phoenix è una backdoor con funzionalità molto ridotte, ma comunque ampiamente usata da MuddyWater. Il gruppo utilizza diversi altri strumenti per le proprie campagne, alcuni dei quali sono progetti open-source.

Dal punto di vista dell’infrastruttura, il gruppo può contare su una rete molto robusta a supporto degli attacchi. Il team di Group-IB riporta che MuddyWater utilizza diverse tecnologie e si affida a vari provider sia per massimizzare la flessibilità operativa che per meglio eludere i controlli. “MuddyWater ha utilizzato una vasta gamma di provider di hosting, inclusi servizi di hosting cloud e bulletproof come BlueVPS, AS-COLOCROSSING, BLNWX, SEDO, HosterDaddy, Stark Industries, DIGITALOCEAN, Strato AG, AWS, OVH SAS, Scalaxy, M247 e Clouvider Limited. La natura eterogenea dell’infrastruttura di hosting rende difficile il rilevamento e l’attribuzione, poiché non esistono modelli o preferenze distinguibili” specificano i ricercatori.

La differenziazione dei toolkit e l’uso di un’architettura robusta rendono MuddyWater una delle minacce più significative del momento. Il gruppo è attivo soprattutto nel Medio-Oriente, ma negli ultimi tempi ha intensificato le proprie attività anche in Europa e negli Stati Uniti.

“Il costante perfezionamento degli strumenti, delle infrastrutture e delle tecniche, insieme ai metodi di contro-attribuzione, indica che MuddyWater rimarrà una minaccia persistente e in grado di adattarsi, soprattutto nelle regioni e nei settori legati agli interessi strategici iraniani” sottolinea Group-IB. Per questo è indispensabile investire su sistemi di protezione e rilevamento, applicare le best practice di sicurezza e formare il personale aziendale sulle minacce odierne.

---

---

---

https://www.securityinfo.it/2025/09/17/muddywater-si-evolve-attacchi-piu-sofisticati-e-infrastruttura-piu-resiliente/?utm_source=rss&utm_medium=rss&utm_campaign=muddywater-si-evolve-attacchi-piu-sofisticati-e-infrastruttura-piu-resiliente

Questo articolo fa parte di una serie dedicata alla Business Impact Analysis (BIA) e alla gestione della continuità operativa aziendale. La BIA costituisce un elemento fondamentale per identificare i processi critici, definire gli obiettivi di Recovery Time Objective (RTO) e Recovery Point Objective (RPO), e sviluppare strategie efficaci di business continuity. Attraverso un approccio metodologico strutturato, esploreremo come mappare le priorità aziendali e costruire un sistema di resilienza operativa robusto.

Business Impact Analysis (BIA): definizione e obiettivi strategici

La BIA si prefigge di determinare i requisiti di Business Continuity fornendo informazioni atte a identificare le soluzioni più idonee. Inoltre, questa fase include l’identificazione delle dipendenze delle risorse di supporto e la definizione dei Recovery Time Objective (RTO).

Lo scopo della BIA è, di fatto, mappare e stabilire le priorità dei prodotti e dei servizi critici e strategici, che devono essere protetti e ripristinati rapidamente in caso di interruzioni.

Si tratta anzitutto di fornire un inventario delle attività e delle risorse aziendali, per identificare ciò che deve essere protetto o ripristinato a seguito di eventuali interruzioni o crisi.

Inoltre, stabilire gli obiettivi di RTO aiuta l’organizzazione a determinare il tempo entro il quale recuperare risorse e riattivare i processi, le attività, i servizi e i prodotti. Si tratta, quindi, anche di stabilire le priorità delle opzioni di trattamento del rischio nonché le strategie di risposta e di recupero, consentendo il raggiungimento degli obiettivi strategici dell’organizzazione.

È importante, altresì, stabilire gli obiettivi di RPO per determinare il punto in cui i dati devono essere recuperati per permettere il ripristino. Va ricordato che l’RPO è noto anche come la massima perdita di dati, che coincide con l’ultimo backup.

Inoltre, grazie alla BIA, un’organizzazione è in grado di:

• Confermare la validità dell’ambito del programma di Business Continuity in termini di attività e risorse aziendali necessarie per sostenere i processi, prodotti e servizi più critici e strategici. Ciò permette all’organizzazione di verificare se ci sono processi, prodotti e servizi inizialmente non considerati ma che risultano strategici in caso di interruzione.; in tal modo l’organizzazione può riesaminare l’ambito, identificando quali processi, prodotti e servizi devono essere inclusi e quali risorse devono essere considerate, poiché possono influenzare il programma di Business Continuity.
• Identificare e comprendere gli obblighi legali, regolamentari e contrattuali in modo da garantire una adeguata pianificazione della Business Continuity in termini di conformità.
• Avere una chiara visibilità dei costi di implementazione della strategia di Business Continuity a fronte della stima degli impatti (finanziari, reputazionali, contrattuali, normativi, operativi, ecc.) correlati ai tempi di interruzione, al fine di potere giustificare in modo documentato la selezione, l’implementazione e il mantenimento della strategia atta conseguire gli obiettivi di recupero.
• Raccogliere i dati propedeutici alla stesura dei Piani di Business Continuity in termini di: controlli esistenti; strategie di ripristino; requisiti in termini di team e personale; informazioni di contatti interni ed esterni; altre informazioni riferite alle specifiche risorse necessarie per il BCP.

Dopo aver raccolto queste informazioni, l’organizzazione – o, meglio, coloro che al suo interno sono incaricati di creare e mantenere il BPC – possono procedere a redigerlo.

La BIA si occupa di definire i requisiti di Business Continuity, identificare le dipendenze dalle risorse e convalidarle rispetto agli impatti stimati dei tempi di inattività. D’altro canto, il RA si concentra sulla comprensione della probabilità e della gravità delle perdite di attività e di risorse, con l’obiettivo di stabilire un elenco prioritario di trattamenti del rischio per prevenire interruzioni nella capacità dell’organizzazione di fornire prodotti e servizi.

Da dove iniziamo ad eseguire una BIA?

Solitamente per avviare la fase della BIA, si esegue un iter strutturato come segue.

• Meeting iniziale con la Leadership, per:
  • determinare le esigenze di Business Continuity, definendo il perimetro iniziale;
  • stabilire chi parteciperà al programma di BC;
  • preparare un primo cronoprogramma delle attività con il personale coinvolto.

• Kick-off meeting propedeutico a:
• allineare i partecipanti agli obiettivi del programma di BC con il supporto della leadership;
• presentare il programma delle attività di BIA;
• presentare la mappatura iniziale dei prodotti e servizi inclusi nel perimetro del programma di BC;
• illustrare le modalità di svolgimento della BIA e la documentazione di supporto. Le modalità includono: workshop (acquisizione rapida di informazioni da individui e team per aumentare la sensibilizzazione e integrare la Business Continuity); questionari (raccolta di informazioni dettagliate da singoli o team su supporto cartaceo o elettronico, generando una grande quantità di dati); interviste (acquisizione di informazioni di alta qualità, sebbene richiedano tempo, utili per discutere attività ordinarie, necessità di risorse, obblighi e possibili impatti di eventuali incidenti sulla capacità di erogare processi e servizi).

Di seguito si fornisce un esempio di come si possano strutturare le interviste di BIA.

Programmazione delle interviste di Business Impact Analysis (BIA), con:

• Responsabili di ciascun Dipartimento/Funzione, che devono dimostrare di avere una comprensione chiara delle priorità chiave dell’organizzazione in termini di prodotti e servizi e una conoscenza approfondita delle attività quotidiane svolte all’interno del Dipartimento/Funzione, unitamente alle dipendenze delle risorse richieste per lo svolgimento di ogni attività.
• Figure tecniche/esperti necessari.

NOTA: risulta strategico e propedeutico per il successo della riunione/intervista far precedere una comunicazione/invito che descriva lo scopo della BIA, gli obiettivi ci si prefigge raggiungere e come prepararsi ad essa.

L’esecuzione delle interviste di BIA e il RA

Interviste BIA – mirano a determinare i processi e le attività svolte dal dipartimento che supportano la fornitura di quei processi, prodotti e servizi critici/strategici rientranti nel perimetro del programma di Business Continuity.

Per ogni processo o attività identificata è fondamentale raccogliere informazioni sulla modalità di esecuzione, censendo applicazioni, attrezzature, strutture utilizzate, fornitori, personale dedicato e relativi backup, se presenti. È inoltre necessario identificare e descrivere le dipendenze di ciascun processo o attività, individuando potenziali soluzioni alternative (come soluzioni manuali o fornitori alternativi, in caso di perdita o interruzione delle dipendenze critiche) e definire gli obiettivi di RTO.

È altresì importante e utile effettuare un RA per valutare la probabilità di perdita per ciascuna dipendenza. Inoltre, è essenziale conoscere i periodi di picco delle operazioni, i periodi di inattività, le chiusure e le manutenzioni. Bisogna anche identificare i vari impatti dei tempi di inattività, come quelli finanziari, operativi, strategici, ambientali, normativi e reputazionali, valutando altresì come questi impatti si evolvano nel tempo. Infine, è utile raccogliere informazioni sugli eventi passati che hanno avuto un impatto significativo sull’organizzazione.

RA – consente all’organizzazione di identificare e descrivere il rischio associato a interruzioni specifiche, determinare la probabilità di interruzione dei processi e delle attività per la creazione o fornitura di prodotti e servizi nell’ambito del programma di Business Continuity, basandosi su una revisione dei controlli progettati per proteggere le risorse chiave come strutture, personale, attrezzature, tecnologia dell’informazione, dati e fornitori o partner commerciali. Inoltre il RA aiuta a identificare le potenziali cause o fonti di interruzione, comunemente chiamate minacce, e a raccomandare controlli per ridurre la probabilità o l’impatto delle interruzioni su processi, attività e risorse, tenendo conto dei potenziali costi di trattamento.

Di seguito la rappresentazione grafica dell’interazione tra Risk Assessment & Business Impact Analysis.

Una domanda lecita: viene prima la Business Impact Analysis (BIA) o il Risk Assessment (RA)?

Si tratta di una domanda che è spesso oggetto di dibattito tra professionisti del settore.

È doveroso ricordare che la BIA e il RA sono due componenti fondamentali per garantire lo sviluppo di un efficace BCMS.

“Prima la BIA” – le organizzazioni possono iniziare con la BIA per identificare le funzioni aziendali critiche, seguita da un RA per analizzare e mitigare i rischi associati a ciascuna attività. Tale approccio consente di focalizzarsi su minacce specifiche per ogni unità aziendale. Nelle organizzazioni più grandi, identificare tutti i rischi può essere complesso; quindi iniziare con la BIA può risparmiare tempo e sforzi, dato che essa aiuta a determinare le risorse essenziali per la continuità del business, mentre il successivo RA identifica i rischi potenziali e sviluppa piani di mitigazione.

“Prima l’RA” – un approccio alternativo prevede di condurre il RA per identificare minacce e rischi a livello organizzativo, prima di eseguire la BIA. Tale approccio permette di sviluppare misure di mitigazione necessarie e affrontare la BIA con una maggiore consapevolezza degli incidenti possibili e dei rischi a cui l’organizzazione è esposta. Di conseguenza, l’organizzazione sarà meglio preparata a focalizzarsi sulle conseguenze di tali incidenti durante la BIA. Inoltre, adottando un approccio basato sugli asset per la valutazione del rischio, sarà più semplice identificare tutte le risorse durante la BIA.

È doveroso ricordare che un efficace quadro di gestione della Business Continuity assicura che un’organizzazione possa continuare a fornire prodotti e servizi a un livello minimo accettabile, proteggendo al contempo gli interessi delle parti interessate.

La comprensione delle potenziali minacce e la definizione delle priorità di ripristino sono entrambe fondamentali per implementare un BCMS: pertanto, la decisione di eseguire prima la BIA o il RA dipende dalle preferenze e dalle circostanze specifiche. Entrambi i processi sono complementari e di pari importanza, contribuendo a valutare l’impatto potenziale di un’interruzione sull’organizzazione.

La Business Continuity si basa sull’analisi dei rischi e delle minacce per funzionare correttamente, concentrandosi sulla mitigazione degli impatti e sulla capacità di ripristino. Pertanto, senza la Business Continuity, il Risk Management manca di una misura fondamentale per mitigare l’impatto di un’interruzione. Il Risk Management si occupa di “trattare” i rischi, ovvero eliminarli quando possibile, ridurre la magnitudo delle conseguenze o la probabilità che si verifichino e trasferire a terzi le conseguenze finanziarie.

Predisposizione di un report finale delle interviste di BIA per ogni Dipartimento/Funzione

Il report finale delle interviste di Business Impact Analysis (BIA) include informazioni raccolte durante le interviste, requisiti di risorse, identificazione dei rischi e raccomandazioni basate sui dati raccolti, in particolare per quanto riguarda gli obiettivi di tempo di recupero (RTO) e la stima degli impatti. Tale report deve essere distribuito ai partecipanti delle interviste per finalità di verifica, revisione, eventuali modifiche e approvazione, allo scopo di stabilire i requisiti di Business Continuity a livello organizzativo, che saranno poi esaminati e approvati dalla Leadership e/o dal Top Management.

Durante la presentazione dei risultati delle interviste di BIA per la convalida finale, è necessario riesaminare i prodotti e servizi identificati, verificare che gli RTO per processi e attività siano allineati ai prodotti e servizi correlati, considerando i principali rischi insieme alle raccomandazioni su come affrontarli. I requisiti che l’organizzazione deve soddisfare e i rischi da mitigare per allinearsi agli RTO servono da input per lo sviluppo di strategie di Business Continuity.

Inoltre, se tali strategie risultano proibitive in termini di costi/benefici, dovranno essere riviste. Pertanto, la Leadership deve concentrarsi su come garantire il giusto livello di resilienza in conformità con gli obiettivi di Business Continuity, sviluppando strategie per gestire la perdita di attività e identificando le risorse necessarie.

Strategie & soluzioni di Business Continuity

Le BIA e il RA sono fondamentali per valutare le strategie e le soluzioni da implementare per continuare a operare dopo un’interruzione o crisi. È essenziale verificare l’allineamento dei risultati delle interviste di BIA e del RA con gli obiettivi iniziali di Business Continuity.

Pertanto è necessario sviluppare strategie appropriate per allinearsi ai requisiti, considerando i seguenti fattori.

• Mitigazione del rischio: ridurre la probabilità di interruzioni e limitare l’impatto.
• Risposta agli incidenti: definire un processo di risposta, predisponendo un team con figure di backup e procedure di valutazione e attivazione.
• Recupero di attività e di risorse: identificare risorse alternative per rispettare obblighi commerciali e normativi, come strutture, personale, attrezzature, IT e soluzioni manuali.

È inoltre essenziale determinare le risorse necessarie per implementare le strategie di Business Continuity, ovvero:

• Stimare i costi di attuazione e mantenimento delle strategie.
• Includere tutte le risorse identificate nelle interviste di BIA, necessarie in caso di interruzione, come persone, dati, strutture, attrezzature, trasporti e partner.
• Considerare più opzioni strategiche, valutando pro e contro e costi, per permettere alla Leadership di misurare gli investimenti rispetto alla propensione al rischio e selezionare la strategia più appropriata.

Infine, si devono condividere con ogni Dipartimento/Funzione gli obiettivi e le raccomandazioni della strategia di Business Continuity per feedback, selezione e approvazione.

Successivamente, la Leadership valuterà i costi-benefici di ogni strategia per determinare quella ottimale, sviluppando le procedure di Business Continuity corrispondenti.

Di seguito alcune tipologie di strategie di continuità.

Diversificazione: prevede la separazione di attività e risorse su due o più sedi, consentendo la continuità operativa in caso di interruzione in una di esse. È una soluzione costosa, ma adeguata quando l’RTO è di pochi minuti od ore.

Replica: la replica delle risorse è una variante della diversificazione che consente una rapida ripresa delle attività, mantenendo una sede duplicata con tutte le risorse pronte all’uso (hot site). È una soluzione adatta quando l’RTO è compreso tra alcune ore e giorni. Il principale problema è trasferire il personale alla sede alternativa entro i rispettivi RTO delle attività.

Stand-by: prevede la disponibilità di una sede o stabilimento in stand-by, che può essere reso operativo nei tempi dell’RTO (warm site). Il principale problema è trasferire il personale alla sede alternativa entro i rispettivi RTO delle attività.

Acquisizione post-incidente: quando gli RTO sono misurati in giorni o settimane, le organizzazioni possono considerare una soluzione di Business Continuity in cui le risorse necessarie vengono acquisite dopo l’interruzione. Ciò include un elenco predefinito e prioritario dei fabbisogni di risorse e l’affidamento sui fornitori per consegnare le risorse – in termini di quantità e di qualità adeguate – entro tempi accettabili.

Non fare nulla: questo approccio è scelto quando l’RTO è espresso in settimane o mesi, oppure quando risulta impossibile o troppo costoso predisporre strutture e risorse alternative. È importante che il Business Continuity Manager o il professionista incaricato documenti sempre i motivi per cui si opta per questa soluzione, al fine di evitare controversie o conflitti in caso di incidente.

È doveroso evidenziare che alcune soluzioni e la relativa implementazione potrebbero richiedere il coinvolgimento di competenze tecniche da parte di esperti di altre aree di expertise o dipartimenti (i.e. specialisti in ICT, approvvigionamento/acquisti e rifornimenti, gestione delle scorte e pianificazione delle capacità di magazzino).

I BCP e Procedure di BC

Si tratta di predisporre una struttura di risposta, procedure di avviso e comunicazione, e piani di ripristino che costituiscano un processo ripetibile ed efficace, attivabile senza indugio in caso di incidente dirompente, interruzione o crisi.

I BCP devono essere redatti per:

• descrivere lo scopo e l’ambito del piano;
• delineare gli obiettivi di ripristino applicabili;
• documentare chiaramente i ruoli e le responsabilità del personale coinvolto nelle operazioni di risposta e recupero;
• identificare le dipendenze interne ed esterne;
• elencare i criteri per l’attivazione del piano;
• fornire modalità di risposta a un incidente dirompente e indicare come raggiungere gli RTO stabiliti per il ripristino e il ritorno alla normalità;
• dettagliare i requisiti in termini di risorse minime per il conseguimento dell’MBCO e di reporting.

Le procedure di Business Continuity fungono da supporto all’esecuzione dei BCP e, come tali, devono:

• fornire dettagli sulle misure specifiche, flessibili e adattabili, da implementare in caso di interruzione, definite in base ai requisiti della BIA e alle strategie di Business Continuity;
• identificare il responsabile della creazione e aggiornamento di ogni piano e delle relative procedure;
• descrivere una struttura di risposta coordinata ed efficiente per incidenti, crisi o eventi dirompenti, con criteri chiari per la risposta e il recupero, e decisioni che il Team di Risposta deve considerare, inclusi composizione, ruoli, attività, responsabilità e risorse;
• descrivere l’attivazione dell’Albero delle Chiamate e il monitoraggio degli incidenti;
• dettagliare le attività di ripristino e ritorno alla normalità;
• fornire modalità di avviso e comunicazione per facilitare la comunicazione con i soccorritori, ottenere informazioni dalle autorità competenti, identificare e monitorare le interruzioni e gestire le comunicazioni con tutte le parti interessate.

È importante ricordare che molte interruzioni richiedono l’attivazione di diversi piani di risposta per una gestione efficace. In un approccio olistico, il Business Continuity Manager deve collaborare con altri esperti come Risk Manager, IT Manager, Security Manager, Facility Manager, HR Manager, Marketing Manager e Communication Manager.

È importante ricordare che il piano di BCP e le procedure di Business Continuity devono essere redatte in modo da essere efficaci, sintetiche e chiare, possibilmente utilizzando diagrammi di flusso. Questo è cruciale poiché, nei momenti critici, l’organizzazione deve essere in grado di rispondere all’interruzione e ripristinare l’operatività entro gli RTO approvati dalla Leadership.

Inoltre, le procedure non solo supportano la creazione delle competenze necessarie per la risposta e il recupero ma permettono anche di valutarne l’adeguatezza durante esercizi e test.

Esercizi & Test

Il miglioramento continuo di un BCP è fondamentale per un efficiente ed efficace BCMS. Ciò può essere ottenuto attraverso un programma di esercizi e di test delle strategie e delle procedure di Business Continuity, che permette di convalidare o rettificare nel tempo le capacità di risposta a un incidente dirompente entro gli RTO stabiliti dalla Leadership.

Esistono diverse modalità per eseguire esercizi e test, tra cui:

• Esercitazioni basate sulla discussione – sono la modalità più semplice e meno costosa, in cui i partecipanti esplorano questioni rilevanti e analizzano i piani attraverso modalità come il walk-through.
• Esercitazioni di scenari – basate sulla discussione di uno scenario definito nel tempo. Si tratta di esercitazioni realistiche ed economiche, permettendo di esercitare diverse fasi dello scenario in modalità table-top. Richiedono familiarità con i piani e comprensione del loro funzionamento.
• Esercitazioni con simulazione – si tratta di esercitazioni complesse e realistiche, che coinvolgono i partecipanti in simulazioni di incidenti reali, con ruoli assegnati e interazioni tramite telefonate o social media. Tali esercitazioni sono propedeutiche a verificare procedure come la notifica di un incidente e il coordinamento dei team.
• Esercitazioni dal vivo – utili in contesti con vincoli legali o normativi; tuttavia queste esercitazioni sono molto costose e possono comportare rischi fisici e reputazionali poiché, avvenendo dal vivo, richiedono una gestione complessa.
• Test – solitamente riguardano attrezzature, procedure di recupero, tecnologie o team, per valutarne l’efficacia operativa.

Prima di eseguire esercitazioni o test, l’organizzazione deve prepararsi garantendo:

• l’allineamento con l’ambito e gli obiettivi del BCMS;
• la fiducia e la conoscenza adeguata del personale coinvolto nel BCMS;
• l’utilizzo di scenari realistici e obiettivi chiaramente definiti, considerando che la complessità varia in base alla tipologia di esercizio o test;
• l’efficacia dell’intera strategia, delle soluzioni, dei piani e delle procedure del BCP;
• la minima interruzione delle normali operazioni durante gli esercizi e i test;
• la conduzione periodica di esercizi e test, specialmente in caso di cambiamenti significativi nell’organizzazione o nel contesto operativo;
• la produzione di report formalizzati che riassumano i risultati rispetto agli obiettivi, includendo raccomandazioni per il miglioramento continuo delle strategie e procedure di Business Continuity.

Per facilitare lo svolgimento di esercitazioni o test è consigliabile designare un facilitatore, che può essere interno all’organizzazione (come un professionista della Business Continuity) o esterno, come un consulente. Inoltre, il facilitatore deve possedere eccellenti capacità di presentazione e comprovate capacità di leadership, oltre a un’esperienza adeguata nel formato di esercizio scelto. È fondamentale che abbia una conoscenza approfondita dell’organizzazione e/o del settore, nonché una sufficiente comprensione del BCMS dell’organizzazione, in particolare degli aspetti che vengono esercitati o testati.

Valutazione della documentazione e funzionalità della Business Continuity

Le valutazioni, effettuate tramite revisioni, analisi, esercizi, test, rapporti post-incidente ed esami delle prestazioni, devono considerare requisiti legali e normativi, best practices del settore e conformità alla policy di Business Continuity. Si tratta, altresì, di misurare la capacità di garantire la continuità da parte di partner e fornitori strategici.

A tal proposito, l’organizzazione deve: identificare il metodo per la valutazione, i.e. revisioni formali o analisi interne/esterne; stabilire criteri che considerino operazioni di altre organizzazioni del settore; conformità normativa; capacità di ripristino.

Inoltre, deve identificare i fornitori principali per condurre una valutazione formale del loro programma di Business Continuity, assicurandosi che tutti abbiano un programma esercitato, documentato e aggiornato annualmente, che condividano la strategia di Business Continuity è che siano previste procedure alternative per eventuali interruzioni.

Nel prossimo articolo della serie approfondiremo la valutazione delle prestazioni del BCMS, le strategie di miglioramento continuo e forniremo un esempio pratico di come progettare un Business Continuity Plan (BCP) con una struttura operativa completa.

Per approfondire ulteriormente questi temi e scoprire metodologie avanzate di implementazione, ti invitiamo a consultare il white paper completo “Business Continuity: mito o realtà? La continuità nella discontinuità – Guida teorica e pratica” elaborato da Federica Maria Rita Livelli e Chiara Cavicchioli, una risorsa completa per professionisti e organizzazioni che desiderano eccellere nella gestione della continuità operativa.

https://www.ictsecuritymagazine.com/articoli/la-bia/

Il mondo delle criptovalute, un tempo simbolo di democratizzazione finanziaria e innovazione tecnologica, si trova oggi al centro di una tempesta criminale senza precedenti. I dati emersi dall’Internet Crime Complaint Center (IC3) dell’FBI dipingono un quadro allarmante: nel 2024, gli americani hanno perso 9,3 miliardi di dollari a causa di frodi legate alle criptovalute, registrando un incremento del 66% rispetto ai 5,6 miliardi dell’anno precedente.

Questa escalation rappresenta molto più di una semplice statistica. È l’emblema di un ecosistema finanziario digitale che ha perso il controllo, trasformandosi in un terreno di caccia per organizzazioni criminali sempre più sofisticate.

Crypto scam: la globalizzazione del crimine digitale

Su scala globale, la portata del fenomeno assume dimensioni ancora più sconvolgenti. Secondo Chainalysis, azienda leader nell’analisi blockchain, il volume illecito delle transazioni in criptovaluta ha raggiunto almeno 40,9 miliardi di dollari nel 2024. Tuttavia, gli analisti avvertono che questa cifra rappresenta una stima conservativa: quando saranno identificati nuovi indirizzi illeciti e incorporata la loro attività storica, il totale potrebbe avvicinarsi ai 51 miliardi di dollari.

Per comprendere la velocità di questa crescita, basti considerare che quando Chainalysis pubblicò le prime stime per il 2023, riportò 24,2 miliardi di dollari. Un anno dopo, quella cifra è stata rivista a 46,1 miliardi, evidenziando come l’identificazione retroattiva di attività criminali riveli costantemente nuove dimensioni del problema.

L’evoluzione dei metodi criminali: dalla cameretta al crimine organizzato

Ciò che rende particolarmente preoccupante questo scenario è la crescente professionalizzazione del settore criminale. Non si tratta più di hacker solitari che operano in isolamento: l’industria della frode crypto si è evoluta in un ecosistema altamente organizzato, dove cartelli del crimine, gruppi sponsorizzati da stati nazionali e reti di truffatori utilizzano tecnologie all’avanguardia per perfezionare le loro attività illecite.

I cosiddetti “pig butchering scam” rappresentano l’apice di questa evoluzione. Questi raggiri combinano elementi di truffa sentimentale e di investimento: i criminali costruiscono relazioni di fiducia durature con le vittime attraverso piattaforme di dating o social media, per poi convincerle gradualmente a investire somme sempre maggiori in finte piattaforme di trading. Secondo i dati dell’FBI, gli investimenti fraudolenti in criptovalute hanno causato 5,8 miliardi di dollari di perdite nel solo 2024.

Il paradosso delle stablecoin

Una delle tendenze più significative del 2024 è stata la migrazione dei criminali dal bitcoin alle stablecoin. Secondo Chainalysis, le stablecoin rappresentano ora il 63% di tutte le transazioni crypto illecite per il terzo anno consecutivo, segnando un cambiamento epocale nelle preferenze dei criminali digitali.

Questo passaggio non è casuale: le stablecoin offrono transazioni quasi istantanee, stabilità del valore agganciato al dollaro americano e, soprattutto, punti ciechi normativi che rendono più facile riciclare denaro attraverso protocolli DeFi e servizi di mixing. La velocità di queste transazioni rappresenta una sfida particolare per le forze dell’ordine: spesso i fondi rubati vengono trasferiti e dispersi nel giro di ore, rendendo estremamente difficile il loro recupero.

L’età della vulnerabilità: quando l’esperienza non protegge

Una delle statistiche più dolorose emersa dai rapporti del 2024 riguarda l’età delle vittime. Gli americani over 60 hanno rappresentato la fascia demografica più colpita, perdendo 2,8 miliardi di dollari in truffe crypto su circa 33.000 denunce. Questa cifra rappresenta quasi il 30% delle perdite totali negli Stati Uniti, nonostante gli anziani costituiscano una frazione molto più piccola degli utilizzatori di criptovalute.

Il fenomeno non è limitato agli Stati Uniti. I truffatori mirano specificamente alle persone anziane, sfruttando la loro minore familiarità con le tecnologie digitali e la loro maggiore disponibilità finanziaria. In molti casi, queste vittime perdono non solo i risparmi di una vita, ma anche la casa e i fondi pensione.

Il caso Bybit: quando l’impossibile diventa realtà

Il 21 febbraio 2025, il mondo crypto ha assistito al più grande furto della sua storia. Bybit, il secondo exchange di criptovalute per volume di trading, ha subito un attacco che ha portato al furto di 1,5 miliardi di dollari in token Ethereum. L’FBI ha successivamente attribuito l’attacco al gruppo Lazarus della Corea del Nord, confermando ancora una volta il coinvolgimento di attori statali nel crimine crypto.

Ben Zhou, CEO di Bybit, ha confermato che un hacker aveva preso il controllo di uno dei wallet offline Ethereum della piattaforma durante un trasferimento di routine. Nonostante la gravità dell’incidente, Zhou ha assicurato che l’exchange rimaneva solvibile e che tutti gli asset dei clienti erano garantiti attraverso riserve di emergenza.

Storie di devastazione umana: il costo oltre i numeri

Dietro ogni statistica si nascondono storie umane di devastazione. Il caso di Anson Que, CEO di Elison Steel, e del suo autista Armanie Pabillo, rapiti e uccisi nelle Filippine nel marzo 2025, ricorda tragicamente che questi crimini hanno conseguenze che vanno ben oltre le perdite finanziarie. I criminali avevano richiesto un riscatto di circa 200 milioni di pesos filippini (3,68 milioni di dollari) prima di uccidere entrambe le vittime.

La famiglia di Que aveva pagato il riscatto in criptovalute attraverso un elaborato sistema di riciclaggio che coinvolgeva operatori di junket e conversioni in valute digitali. Questo caso ha spinto le autorità filippine a formare una task force anti-rapimento specializzata e a creare tribunali dedicati per i casi di sequestro.

Il collasso CBEX: quando le promesse si trasformano in incubi

L’aprile 2025 ha visto il collasso di CBEX, una piattaforma di trading digitale che aveva attirato migliaia di investitori in Nigeria e Kenya con la promessa di rendimenti del 100% in 30 giorni. Quando la piattaforma è improvvisamente crollata, bloccando tutti i prelievi e azzerando i saldi degli account, le perdite stimate si sono attestate tra i 6 e i 12 milioni di dollari.

Il caso CBEX ha esposto le vulnerabilità degli investitori africani di fronte a schemi Ponzi sofisticati. La Securities and Exchange Commission nigeriana ha lanciato un’indagine, collaborando con FBI e Interpol per identificare i responsabili.

Le contromisure: la corsa agli armamenti tecnologica

Di fronte a questa escalation criminale, l’industria e le autorità stanno sviluppando contromisure sempre più sofisticate. L’FBI ha creato unità specializzate, come il Virtual Assets Unit formato nel 2022, per centralizzare l’expertise in materia di criptovalute.

L’Operazione Level Up, lanciata nel gennaio 2024, ha identificato oltre 4.300 vittime di frodi e ha contribuito a prevenire perdite per 285 milioni di dollari. Tuttavia, il tasso di recupero complessivo rimane disastrosamente basso: secondo le stime di CoinLaw, solo lo 0,1% dei fondi illeciti viene mai recuperato.

Previsioni per il futuro: verso i 30 miliardi annui

Cybersecurity Ventures, autorevole società di ricerca nel settore della sicurezza informatica, prevede che le perdite globali dovute ai crimini crypto raggiungeranno i 30 miliardi di dollari entro la fine del 2025. Se le tendenze attuali dovessero continuare, potremmo vedere perdite che superano i 100 miliardi di dollari all’anno entro il 2040.

La crescita annuale del 15% prevista per i crimini crypto significa che, senza interventi drastici, questa non è più solo una questione di regolamentazione finanziaria: è diventata una minaccia alla sicurezza economica globale.

Il bivio del futuro digitale

Il settore delle criptovalute si trova oggi a un bivio cruciale. Da un lato, l’innovazione tecnologica continua a offrire opportunità straordinarie per la finanza decentralizzata e l’inclusione finanziaria. Dall’altro, l’escalation criminale rischia di minare la fiducia del pubblico e provocare una reazione normativa che potrebbe soffocare lo sviluppo legittimo del settore.

La battaglia per il futuro delle criptovalute non si combatte solo sui mercati finanziari o nelle aule parlamentari, ma anche nei server dei criminali informatici e negli uffici delle forze dell’ordine. Il risultato di questa battaglia determinerà se le criptovalute manterranno la promessa di rivoluzionare la finanza globale o se diventeranno un capitolo ammonitore nella storia dell’innovazione tecnologica.

I 30 miliardi di dollari che potrebbero essere persi entro la fine del 2025 rappresentano più di una statistica: sono i sogni infranti, i risparmi svaniti e la fiducia tradita di milioni di persone che avevano creduto nella promessa di un futuro finanziario più democratico e inclusivo.

Fonti:

Crime Report: Cryptocurrency Fraud Statistics. Washington, DC: U.S. Department of Justice.

Federal Bureau of Investigation. (2025, 26 febbraio). Public Service Announcement: North Korea Responsible for $1.5 Billion Bybit Hack. Internet Crime Complaint Center, PSA-250226.

Chainalysis Inc. (2025). 2025 Crypto Crime Trends: Illicit Cryptocurrency Activity Report. New York: Chainalysis.

Chainalysis Inc. (2025). 2025 Crypto Crime Mid-Year Update: Stolen Funds and Criminal Activity Analysis. New York: Chainalysis.

Cybersecurity Ventures. (2024). Global Cryptocrime Cost Projections: $30 Billion Annual Forecast for 2025. Northport, NY: Cybersecurity Ventures.

TRM Labs. (2025). The Bybit Hack: Following North Korea’s Largest Exploit. TRM Labs Research Blog.

TRM Labs. (2025). A Record-Breaking Year for Cybercrime: Key Findings from the FBI’s 2024 IC3 Report. TRM Labs Research Blog.

Philippine National Police. (2025). Investigation Report: Anson Que Kidnap-Murder Case. Manila: PNP Anti-Kidnapping Group.

Securities and Exchange Commission Nigeria. (2025). Regulatory Warning on Digital Asset Trading Platforms. Abuja: SEC Nigeria.

https://www.ictsecuritymagazine.com/notizie/crypto-scam/

Set 16, 2025 Marina Londei Attacchi, In evidenza, News, RSS 0

---

I ricercatori della compagnia di sicurezza Socket hanno descritto un attacco supply chain responsabile della compromissione di più di 40 pacchetti NPM. La campagna è stata individuata inizialmente da Daniel Pereira, software engineer presso Loka, per via di un aggiornamento sospetto a @ctrl/tinycolor, una libreria per la manipolazione di file JavaScript con 2.2 milioni di download settimanali.

I ricercatori spiegano che le versioni compromesse dei pacchetti “includono una funzione (NpmModule.updatePackage) che scarica un pacchetto tarball, modifica il package.json, inietta uno script locale (bundle.js), crea di nuovo il pacchetto e lo ripubblica, abilitando la troianizzazione automatica dei pacchetti in download“.

Lo script malevolo scarica ed esegue TruffleHog, un tool legittimo usato per individuare eventuali credenziali o chiavi presenti nel codice. Gli attaccanti lo utilizzano per individuare token e credenziali cloud sul dispositivo della vittima; in seguito, i dati raccolti vengono inviati ai cybercriminali tramite un webhook.

Nel dettaglio, gli attaccanti cercano variabili d’ambiente quali, tra le altre, GITHUB_TOKEN, NPM_TOKEN, AWS_ACCESS_KEY_ID e AWS_SECRET_ACCESS_KEY. Per esfiltrare i dati e mantenere la persistenza, lo script crea un workflow di GitHub Actions all’interno dei repository a cui ha accesso.

I pacchetti NPM con relative versioni colpiti dall’attacco sono:

• angulartics2@14.1.2
• @ctrl/deluge@7.2.2
• @ctrl/golang-template@1.4.3
• @ctrl/magnet-link@4.0.4
• @ctrl/ngx-codemirror@7.0.2
• @ctrl/ngx-csv@6.0.2
• @ctrl/ngx-emoji-mart@9.2.2
• @ctrl/ngx-rightclick@4.0.2
• @ctrl/qbittorrent@9.7.2
• @ctrl/react-adsense@2.0.2
• @ctrl/shared-torrent@6.3.2
• @ctrl/tinycolor@4.1.1, @4.1.2
• @ctrl/torrent-file@4.1.2
• @ctrl/transmission@7.3.1
• @ctrl/ts-base32@4.0.2
• encounter-playground@0.0.5
• json-rules-engine-simplified@0.2.4, 0.2.1
• koa2-swagger-ui@5.11.2, 5.11.1
• @nativescript-community/gesturehandler@2.0.35
• @nativescript-community/sentry 4.6.43
• @nativescript-community/text@1.6.13
• @nativescript-community/ui-collectionview@6.0.6
• @nativescript-community/ui-drawer@0.1.30
• @nativescript-community/ui-image@4.5.6
• @nativescript-community/ui-material-bottomsheet@7.2.72
• @nativescript-community/ui-material-core@7.2.76
• @nativescript-community/ui-material-core-tabs@7.2.76
• ngx-color@10.0.2
• ngx-toastr@19.0.2
• ngx-trend@8.0.1
• react-complaint-image@0.0.35
• react-jsonschema-form-conditionals@0.3.21
• react-jsonschema-form-extras@1.0.4
• rxnt-authentication@0.0.6
• rxnt-healthchecks-nestjs@1.0.5
• rxnt-kue@1.0.7
• swc-plugin-component-annotate@1.9.2
• ts-gaussian@3.0.6

Secondo quanto riportato da The Hacker News, sono emersi anche altri pacchetti compromessi dall’attacco oltre a quelli segnalati da Socket. Gli attaccanti avrebbero sfruttato l’account di NPM “crowdstrike-publisher” per diffondere il malware in altri pacchetti.

I ricrcatori hanno confermato che la campagna è ancora in corso. Il team di Socket consiglia innanzitutto di passare a versioni non compromesse dei pacchetti finché non ci saranno patch risolutive e di ruotare i token NPM e altri segreti che potrebbero essere stati esposti.

---

---

---

https://www.securityinfo.it/2025/09/16/un-attacco-supply-chain-ha-compromesso-oltre-40-pacchetti-npm/?utm_source=rss&utm_medium=rss&utm_campaign=un-attacco-supply-chain-ha-compromesso-oltre-40-pacchetti-npm