A Russia-sponsored cyberattack campaign is targeting end-of-life Cisco devices that remain unpatched against CVE-2018-0171, a security flaw discovered seven years ago. This flaw was exploited by Chinese threat actor Salt Typhoon earlier this year and enables malicious actors to execute arbitrary code on targeted devices or enact denial-of-service conditions. 

In this instance, the Russia-sponsored group responsible for the attacks is known as as Static Tundra, Energetic Bear or Berserk Bear. The group has been active since 2015 and predominantly targets organizations in telecommunications, manufacturing, and higher education across the United States, Ukraine, and other countries. 

Below, security leaders discuss this campaign. 

Security Leaders Weigh In

Ernest Lefner, Chief Product Officer at Gluware: 

The Static Tundra campaign highlights a simple truth: the most effective defense against state-sponsored exploitation of aging, unpatched devices is not a single patch or product — it’s disciplined lifecycle and vulnerability management. Organizations that continue to run end-of-life infrastructure are leaving doors open that sophisticated adversaries are eager to walk through.

Automation is the key to closing those doors at scale. Enterprise capable automation enables IT teams to continuously assess device posture, automate patch deployment, and enforce lifecycle policies across complex, multi-vendor networks. Instead of waiting for the next CVE to make headlines, automated lifecycle management ensures that unsupported devices are flagged and phased out before they become liabilities, and vulnerabilities are remediated as part of a repeatable, policy-driven process.

For CIOs, the takeaway is clear: operationalizing lifecycle and vulnerability management through automation not only reduces attack surface but also shifts security posture from reactive to proactive. It’s a strategic investment that keeps the business resilient, compliant, and out of harm’s way.

Trey Ford, Chief Strategy and Trust Officer at Bugcrowd:

End of life devices are often removed from core observation, especially when tied to sunsetting applications and services.

Vulnerability management SLAs must apply to the company’s entire attack surface — this FBI Alert underscores the importance of both maintaining a current inventory (knowing what’s available to attackers), and how important continued vigilance of patching currency and configuration management remains until the devices is taken offline.

The impacted CVE (CVE-2018-0171) is a high scoring RCE (remote code execution) exploit — while some environments (like manufacturing, telecommunications, and other critical infrastructure) may face production delays for planned patching cycles — seeing a seven year delay for this kind of vulnerability to be widely exploited is a bit surprising.

Mayuresh Dani, Security Research Manager, at Qualys Threat Research Unit:

The Static Tundra campaign, attributed to Russian Federal Security Service (FSB) Center 16 (also known as Berserk Bear, Dragonfly and Energetic Bear), has been systematically exploiting CVE-2018-0171. It is a seven-year-old critical vulnerability in Cisco’s Smart Install (SMI) feature that allows unauthenticated, remote threat actors to execute arbitrary code on affected devices.

This campaign cements recent threat research that 40% of vulnerabilities exploited by threat actors in 2024 were from 2020 or earlier, with 10% dating back to 2016 or earlier. Some exploited vulnerabilities even date back to the 1990s, demonstrating the extraordinary longevity of unpatched security flaws! Since these devices are out of support, they no longer receive security updates, leaving newly discovered vulnerabilities permanently unaddressed. This creates persistent attack vectors that threat actors can exploit indefinitely. Moreover, legacy systems are often harder to monitor and secure, making it difficult to inventory and detect compromises.

Customers should:

1. Maintain inventories of network infrastructure, including identification of devices approaching or at end-of-life status. Create a replacement roadmap for devices approaching or at EOL.
2. Prioritize vulnerabilities affecting internet-facing devices or critical infrastructure devices. 
3. Periodically review important settings and disable remote management completely.
4. Disable the use of legacy SMI protocols and other legacy, unsecure protocols such as SNMP v1/v2.

https://www.securitymagazine.com/articles/101858-russia-sponsored-cyber-attack-campaign-targets-networking-devices-critical-infrastructure

Ago 22, 2025 Redazione Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

Un’immagine apparentemente innocua, inviata a un assistente AI multimodale, e senza nessun clic da parte dell’utente inizia l’esfiltrazione dei dati. È lo scenario dimostrato da un gruppo di ricercatori di Trail of Bits che ha sfruttato una debolezza tutt’altro che marginale: molte piattaforme AI, prima di passare un’immagine al modello, la ridimensionano. Durante il downscaling emergono porzioni del contenuto che a piena risoluzione non sono visibili all’occhio umano, ma che il modello è perfettamente in grado di leggere come testo o istruzioni. Dentro quella “zona grigia” prende forma una prompt injection multimodale che guida l’agente a compiere azioni non autorizzate, fino a spedire all’esterno informazioni private dell’utente.

Dove funziona l’attacco e perché è subdolo

I test mostrano impatti su implementazioni reali, inclusi Gemini CLI, Vertex AI Studio, interfacce web e API di Gemini, Google Assistant su Android e piattaforme come Genspark. Il denominatore comune non è il modello in sé, ma la catena che prepara l’input: l’immagine viene ridotta di dimensioni per motivi di prestazioni o compatibilità e il risultato consegnato al modello non corrisponde a ciò che l’utente ha visto nel proprio client. Questo scollamento percettivo consente di nascondere una istruzione malevola nel file sorgente che, una volta rimpicciolito, diventa leggibile dall’OCR o dal parser visivo del modello. L’utente è convinto di aver inviato un’immagine pulita; il modello in realtà “vede” un contenuto trasformato, che contiene un prompt strutturato per pilotarne il comportamento.

La catena di esfiltrazione su Gemini CLI con MCP Zapier

Il caso più eclatante riguarda Gemini CLI configurato con un server MCP di Zapier settato in modalità permissiva. La presenza di trust=true nel file di configurazione implica che le chiamate agli strumenti siano pre-approvate e non richiedano conferma esplicita. In questo contesto l’immagine truccata funziona da miccia: una volta ridimensionata e interpretata dal modello, il prompt nascosto chiede all’agente di utilizzare le integrazioni MCP, ad esempio per interrogare Google Calendar e inviare eventi e dettagli a un indirizzo controllato dall’attaccante. L’intera sequenza avviene dietro le quinte, senza anteprima dell’input effettivo e senza segnali di allarme per l’utente.

Dalle visioni classiche al multimodale: perché lo scaling è una superficie d’attacco

Gli attacchi di image scaling hanno un passato che affonda nel mondo della computer vision classica, dove i modelli imponevano dimensioni fisse e il pre-processing includeva riduzioni aggressive. Oggi i modelli multimodali sono più flessibili, ma le infrastrutture che li circondano continuano spesso a ridimensionare gli input. Questo riapre la porta a un vettore che sfrutta le proprietà dei filtri di ricampionamento. Quando si passa da un’immagine grande a una più piccola, gli algoritmi fondono più pixel in uno solo. Se i pattern ad alta frequenza non sono filtrati in modo adeguato, si produce aliasing: l’informazione originale si “ricostruisce” in modo ambiguo e può far emergere linee e caratteri che non erano percepibili a piena risoluzione. È il cuore della teoria di Nyquist–Shannon applicata in modo adversarial: manipolando i pixel sorgente si induce il downscaler a generare un messaggio mirato nella versione ridotta.
Non tutti i downscaler si comportano allo stesso modo. I ricercatori hanno messo a punto una metodologia per identificare l’algoritmo di ridimensionamento utilizzato dai vari sistemi. Tra i più diffusi compaiono nearest neighbor, bilinear e bicubic, ma le differenze non si fermano al nome: librerie come Pillow, PyTorch, OpenCV o TensorFlow implementano varianti con anti-aliasing, allineamento e kernel differenti. Attraverso una batteria di immagini di test – scacchiere, cerchi concentrici, bande verticali e orizzontali, pattern Moiré, spigoli inclinati – è possibile osservare artefatti di ringing, blur, gestione dei bordi e incoerenze cromatiche, sufficienti a riconoscere la pipeline e scegliere il crafting più efficace.

Nel caso del bicubico il team spiega come sfruttare la dipendenza del pixel di output dai sedici vicini (4×4) e dai relativi pesi, individuando i pixel a massima importanza. Regolando in modo millimetrico la luminanza dei punti in aree scure e utilizzando un’ottimizzazione ai minimi quadrati, la versione ridotta dell’immagine tende verso uno sfondo di un colore specifico con testo ad alto contrasto che il modello interpreta senza difficoltà. Il messaggio non è percepibile a occhio nella sorgente ad alta risoluzione, ma diventa leggibile dopo il downscaling.

Anamorpher: l’officina open source per attacchi su misura

Per industrializzare l’approccio i ricercatori presentano Anamorpher, uno strumento open source pensato per generare e visualizzare immagini adversarial compatibili con i principali metodi di downscaling. L’interfaccia consente di selezionare l’algoritmo, pilotare i parametri e iterare fino a ottenere un payload stabile, mentre un backend modulare permette di sperimentare con varianti personalizzate del filtro di riduzione. L’obiettivo non è soltanto la dimostrazione accademica, ma la riproducibilità del fenomeno in condizioni vicine alla produzione, dove dettagli implementativi fanno la differenza tra un attacco che funziona e uno che fallisce.

Implicazioni per gli agenti e per la sicurezza by design
Il caso Gemini CLI con MCP evidenzia un problema più ampio: gli agenti con tool integrati spesso ereditano impostazioni permissive, allowlist troppo generose o meccanismi di conferma disattivati in nome dell’usabilità. La prompt injection, soprattutto quando innestata in un canale multimodale come l’immagine, sfrutta queste scelte per trasformare la generazione di testo in esecuzione di azioni con impatto reale, dall’esfiltrazione di dati fino al movimento laterale tra servizi connessi. La storia recente dei tool di coding agentico lo conferma: anche in ambienti sand-boxed sono emersi abusi legati a azioni non supervisionate, configurazioni errate e scarsa separazione dei domini.
Purtroppo, la mitigazione parte da un presupposto semplice: non affidarsi all’algoritmo “meno vulnerabile”. Ogni pipeline di downscaling espone margini di manipolazione e i dettagli di implementazione cambiano rapidamente. La prima linea di difesa è evitare il ridimensionamento quando possibile, imponendo limiti di upload sul client. Se una trasformazione è necessaria, l’utente deve vedere sempre l’input effettivo che il modello riceverà, anche su CLI e API, così da eliminare l’asimmetria percettiva. La seconda linea è l’hardening degli agenti: nessun input, incluso il testo dentro un’immagine, dovrebbe poter innescare chiamate a strumenti sensibili senza conferma esplicita dell’utente. La configurazione predefinita deve privilegiare la sicurezza, con permessi minimi, domini strettamente allowlistati, registri d’azione verificabili e revoche rapide dei token. In contesti enterprise è sensato aggiungere filtri di sanitizzazione lato server, conversioni a formati neutri che rimuovano componenti ad alta frequenza, OCR con policy che declassano o etichettano il testo estratto da immagini non affidabili e controlli specifici quando il modello sta per utilizzare un tool “ad alto impatto”.

Prospettive: mobile, edge e nuove superfici d’attacco
La vulnerabilità diventa ancora più interessante su dispositivi mobili ed edge, dove i framework impongono più spesso dimensioni fisse e metodi di riduzione meno sofisticati. In parallelo si aprono piste di ricerca sulla prompt injection semantica, su catene che combinano riduzione e upscaling con effetti collaterali come dithering e quantizzazione, e su poliglotte visive progettate per eludere pipeline difensive eterogenee. La lezione principale, tuttavia, è già chiara: ogni volta che tra l’input dell’utente e l’input del modello si inserisce una trasformazione opaca, nasce una superficie d’attacco che gli avversari possono plasmare.

---

• agenti AI, aliasing, Anamorpher, anteprima input, conferma azioni, difese prompt injection, downscaling, esfiltrazione dati, Gemini CLI, Genspark, Google Assistant, Google Gemini, hardening, image scaling attack, interpolazione bicubica, interpolazione bilineare, MCP, nearest neighbor, OCR, prompt injection, prompt injection multimodale, ridimensionamento immagini, sicurezza AI, teorema di Nyquist-Shannon, Vertex AI Studio, Zapier

---

---

https://www.securityinfo.it/2025/08/22/prompt-injection-nelle-immagini-limage-scaling-trasforma-un-jpeg-in-un-esfiltratore/?utm_source=rss&utm_medium=rss&utm_campaign=prompt-injection-nelle-immagini-limage-scaling-trasforma-un-jpeg-in-un-esfiltratore

Inotiv, a pharmaceutical firm, was hit with a ransomware attack. The organization became aware of the incident on August 8, 2025, and filed a report with the SEC on August 18, 2025. 

According to the filing, the organization has experienced disruptions to business operations as a result of this event, and it anticipates more disruptions to come. As of now, certain networks and systems remain inaccessible. 

“This ransomware attack on Inotiv is a stark reminder of how devastating disruptions can be to organizations deeply embedded in critical research and development,” says Ensar Seker, CISO SOCRadar. “A contract research organization like Inotiv supports pharmaceutical innovation with high volumes of sensitive data, so it’s no surprise the Qilin gang targeted them. Encrypting key internal systems and exfiltrating 176 GB of proprietary research data puts both operational continuity and intellectual property at grave risk, and the switch to offline workarounds underscores the severity of the disruption.” 

An investigation done by the company has revealed that the malicious actors accessed and encrypted certain systems. Currently, the organization has worked to contain, examine, and remediate the incident, including engaging law enforcement and external cybersecurity specialists. 

“Organizations across sectors should heed this as a cautionary tale. It highlights the importance of robust incident response planning, including standby offline capabilities, and stringent controls over who can access sensitive systems. In environments handling valuable research or regulated data, defenses must extend beyond detection. They must include rapid containment, strong backup strategies, and threat intelligence sharing that can anticipate when adversaries are likely to strike.”

https://www.securitymagazine.com/articles/101857-pharmaceutical-firm-hit-with-ransomware-attack

La guerra moderna non si combatte più solo con carri armati, missili o fanteria. Oggi, una centrale elettrica può essere spenta con un malware, un’elezione può essere manipolata tramite campagne di disinformazione, e la fiducia dei cittadini può essere erosa attraverso l’uso strumentale dei social media. Benvenuti nell’era della guerra ibrida: una forma di conflitto multiforme, asimmetrica e continua, che combina strumenti militari e civili, fisici e digitali, occulti e palesi, al fine di destabilizzare gli avversari senza ricorrere necessariamente all’uso dichiarato della forza.

Cos’è davvero la guerra ibrida?

Secondo il NATO Hybrid Warfare Centre of Excellence, la guerra ibrida è una strategia che integra in modo coordinato strumenti statali e non statali, convenzionali e non convenzionali, per ottenere effetti sinergici in grado di disorientare, paralizzare o indebolire un avversario rimanendo spesso al di sotto della soglia di guerra aperta. L’approccio è subdolo e adattivo: mira a sfruttare vulnerabilità sistemiche, infiltrarsi nei processi decisionali e sfruttare le divisioni interne delle democrazie occidentali.

Le principali dimensioni operative della guerra ibrida includono:

• Attacchi cibernetici a infrastrutture critiche, reti militari, sistemi industriali;
• Campagne di disinformazione e influenza psicologica, amplificate da troll farm, bot e deepfake;
• Manipolazione economica e commerciale, incluse sanzioni, corruzione e ricatti energetici;
• Azioni di sabotaggio e atti ostili in ambito subacqueo, spaziale e terrestre;
• Presenza paramilitare o mercenaria negabile, come nel caso del Gruppo Wagner;
• Strumentalizzazione di migranti o rifugiati per destabilizzare confini e creare pressioni sociali (es. confine Bielorussia-Polonia 2021).

Il paradigma NATO: deterrenza e difesa su più livelli

Dal 2016 in poi, la NATO ha progressivamente aggiornato la propria dottrina per adattarsi a questa nuova forma di conflitto. In particolare:

• Ha riconosciuto formalmente che un attacco ibrido può attivare l’Articolo 5, che prevede la difesa collettiva;
• Ha definito una “Baseline Requirements for National Resilience”, cioè un insieme di requisiti minimi che ogni Stato membro deve garantire per resistere a minacce ibride, tra cui l’indipendenza energetica, la continuità delle comunicazioni e la protezione dei trasporti;
• Ha potenziato il NATO Cyber Defence Centre of Excellence e ha istituito Hybrid Support Teams specializzati nella risposta rapida alle crisi ibride;
• Ha avviato esercitazioni simulate multi-dominio, come Locked Shields, Cyber Coalition, e Trident Juncture, per allenare le forze armate alle nuove logiche del conflitto ibrido;
• Ha rafforzato la cooperazione con l’Unione Europea, in particolare nell’ambito della protezione delle infrastrutture critiche sottomarine, delle supply chain e del cyber space.

Inoltre, dal Vertice di Vilnius del 2023, i leader NATO hanno concordato un nuovo quadro strategico per contrastare minacce ibride e cyber provenienti da attori statali ostili come Russia, Cina, Iran e Corea del Nord.

La dimensione tecnologica: l’arma invisibile del XXI secolo

L’aspetto cyber è diventato una componente essenziale della guerra ibrida. Gli attacchi informatici non sono più un’appendice delle guerre tradizionali: sono parte integrante della strategia offensiva.

I malware usati per sabotare, spiare o paralizzare reti critiche diventano veri e propri strumenti bellici. Le tecnologie emergenti – intelligenza artificiale, analisi predittiva, droni autonomi, quantum computing, guerra elettronica e big data intelligence – vengono integrate in ambienti operativi connessi, multidominio, dove il confine tra civile e militare sfuma.

Esempi concreti includono:

• la compromissione dei sistemi SCADA e ICS (es. Industroyer 2 e WhisperGate);
• attacchi wiper che eliminano dati da server governativi o militari;
• exploit zero-day venduti nel dark web a gruppi APT (Advanced Persistent Threat) sponsorizzati da Stati;
• attacchi supply chain che colpiscono software critici (es. SolarWinds, NotPetya);
• campagne di deepfake targeting politici e processi democratici.

Casi studio: conflitto ibrido nella pratica

Ucraina: la guerra ibrida totale

Dal 2014 ad oggi, l’Ucraina è diventata il banco di prova della guerra ibrida moderna. Prima della fase cinetica del conflitto, la Russia ha implementato una massiccia campagna ibrida che ha combinato:

• Cyberattacchi mirati al settore energetico e finanziario (es. blackout causati da malware Industroyer e attacchi wiper su larga scala nel 2022-2023);
• Disinformazione digitale, con decine di migliaia di account falsi e contenuti virali su Telegram, VK, Twitter e YouTube per diffondere propaganda, false flag e scoraggiare la resistenza;
• Operazioni psicologiche e narrative, come la diffusione di notizie false sulla resa delle forze ucraine;
• Sabotaggio fisico e infiltrazioni nei territori orientali del Donbas, con l’impiego di milizie pro-russe, mercenari e operatori senza insegne.

Estonia e i Baltici: la prima avvisaglia

Nel 2007 l’Estonia fu colpita da un’ondata di attacchi DDoS che paralizzarono siti web governativi, bancari e media. A distanza di anni, quel primo attacco digitale su scala nazionale viene considerato il “9/11 del cyber” e spinse la NATO a creare a Tallinn il proprio centro per la difesa cibernetica. Oggi, Estonia, Lettonia e Lituania sono in prima linea nella resilienza alle minacce ibride, sviluppando sinergie tra esercito, aziende IT e società civile.

Mar Baltico e Nord Stream: sabotaggi sotto il mare

Nel 2022, l’esplosione dei gasdotti Nord Stream 1 e 2 e i successivi danneggiamenti ai cavi sottomarini tra Svezia, Finlandia e Lituania hanno sollevato l’allarme sulla vulnerabilità delle infrastrutture critiche marittime. Gli alleati NATO hanno incrementato la sorveglianza subacquea con droni AUV (Autonomous Underwater Vehicles), sensori acustici e sistemi ISR (Intelligence, Surveillance, Reconnaissance), lanciando operazioni come “Submarine Watch” e “Baltic Sentry”.

Sfide attuali e prospettive future

La NATO si trova oggi davanti a sfide complesse:

• Integrare la difesa cibernetica con quella convenzionale, garantendo interoperabilità tra eserciti e agenzie di sicurezza;
• Sviluppare una capacità di attribuzione rapida degli attacchi cyber, essenziale per attivare la deterrenza collettiva;
• Coinvolgere il settore privato, che spesso controlla le reti più critiche (cloud, telecomunicazioni, energia, logistica);
• Garantire la sicurezza dell’AI e del software militare, minacciato da backdoor e manipolazioni.

A livello politico, il rischio maggiore è la mancanza di consapevolezza pubblica: la guerra ibrida agisce sotto soglia, nel silenzio dei server, nelle immagini alterate, nei feed manipolati. Non fa rumore, ma può minare la sovranità nazionale dall’interno.

Conclusione

La guerra ibrida è ormai la modalità preferita dagli attori statali ostili per esercitare influenza, intimidire o disgregare gli avversari senza affrontare apertamente un conflitto armato. In risposta, la NATO sta evolvendo verso una strategia integrata e proattiva, dove cyber, intelligence, comunicazione strategica, tecnologie emergenti e forza convenzionale si fondono in una postura difensiva più resiliente, adattiva e credibile. In questo scenario, la cooperazione tra Stati, settori e discipline non è più un’opzione: è la nuova linea del fronte.

Fonti:

CCDCOE – Influence Cyber Operations… (2018): concetto integrato di guerra ibrida.

CCDCOE – Rhetoric on Cyber Warfare (2018): attacchi “covert, denial and deception”.

CCDCOE – Cyber Attacks and Article 5… (2021): afferma che la NATO può reagire a cyber e ibridi.

Microsoft Threat Intelligence – A year of Russian hybrid warfare in Ukraine (2023).

Microsoft – Digital Defence Report 2023 (Executive Summary).

ENISA Threat Landscape 2024.

AP News – Intervista a Lepassaar (2024): raddoppiati attacchi distruttivi in Europa.

CCDCOE – Warsaw Summit communiqué (2016): NATO riconosce cyberspazio e minacce ibride.

https://www.ictsecuritymagazine.com/notizie/guerra-ibrida/

La sindrome da affaticamento da cybersecurity si sta affermando come una minaccia critica alla sicurezza organizzativa, colpendo l’84% dei professionisti del settore a livello globale e causando alle aziende statunitensi una perdita di produttività stimata in 626 milioni di dollari all’anno. Questo fenomeno – definito come “un senso di stanchezza o riluttanza ad affrontare la sicurezza informatica a seguito di una prolungata esposizione alle sue richieste” – rappresenta una sfida sistemica che richiede una risposta urgente da parte dei professionisti IT italiani e dei decisori istituzionali. La sindrome si manifesta attraverso una riduzione della conformità ai protocolli di sicurezza, compromissione della capacità decisionale e un aumento degli incidenti e delle vulnerabilità.

La ricerca più recente evidenzia che l’affaticamento da cybersecurity non è solo un problema di resilienza individuale, bensì un fenomeno organizzativo complesso con impatti misurabili sull’efficacia della sicurezza, sulle performance economiche e sulla stabilità della forza lavoro. Comprenderne le dinamiche è fondamentale nel contesto italiano, specialmente durante l’attuazione della Direttiva NIS2 e il rafforzamento del framework nazionale di cybersecurity promosso dall’Agenzia per la Cybersicurezza Nazionale (ACN).

Sindrome da affaticamento da cybersecurity: una comprensione scientifica sempre più sofisticata

Dal lavoro pionieristico del NIST nel 2016, la comunità scientifica ha notevolmente approfondito la comprensione del fenomeno. Studi condotti tra il 2023 e il 2025 indicano che il 74% dei professionisti della cybersecurity ha usufruito di permessi lavorativi per problemi di salute mentale legati al lavoro; il 53% dei CISO ha dichiarato di aver sperimentato burnout nel 2024. Sebbene in lieve miglioramento rispetto al 60% del 2023, il trend rimane allarmante.

Secondo il modello a quattro componenti di Reeves et al. (2021), la sindrome si articola in:

1. Affaticamento attitudinale – cinismo verso l’importanza della sicurezza;
2. Affaticamento cognitivo – automatismi negativi e decisioni compromesse;
3. Sovraesposizione ai consigli – eccesso di formazione e comunicazione;
4. Sovraesposizione all’azione – sovraccarico di compiti legati alla sicurezza.

La ricerca neuropsicologica mostra che la corteccia prefrontale – deputata a giudizio e ragionamento – funziona in modo meno efficiente durante le decisioni quotidiane in ambito sicurezza. Tale affaticamento decisionale porta a comportamenti evitanti e compromette la postura di sicurezza. I meccanismi psicologici rispecchiano il modello del burnout di Maslach: esaurimento emotivo, depersonalizzazione e senso di inefficacia.

Un impatto che supera il benessere individuale

Le conseguenze operative e finanziarie si riflettono sull’intera organizzazione. I team di sicurezza affaticati impiegano il 35% in più per contenere una violazione e sostengono costi del 50% più elevati per la risposta. Il 70% dei dipendenti affaticati ignora intenzionalmente le procedure di sicurezza; il 23% dei team di cybersecurity non risponde agli alert per via dell’eccessivo volume.

Un’espressione acuta del fenomeno è la alert fatigue, che colpisce duramente i Security Operations Center (SOC), dove un analista può ricevere oltre 10.000 alert al giorno. Il 51% dei team SOC si sente sopraffatto, dedicando più di un quarto del tempo alla gestione dei falsi positivi. Il sovraccarico cognitivo mina la capacità di distinguere minacce reali da falsi allarmi.

Alla crisi contribuisce anche la difficoltà di retention: il 50% dei leader cybersecurity potrebbe cambiare lavoro entro due anni, mentre il 65% dei professionisti SOC valuta le dimissioni a causa dello stress. Il costo di sostituzione di un dipendente qualificato varia da 6 a 9 mesi di stipendio, a cui si sommano perdite indirette significative.

Vulnerabilità settoriali: casi concreti

Nel settore sanitario, il 31% degli informatici clinici identifica l’esaurimento da cybersecurity come una delle principali sfide. Incidenti gravi includono la perdita di alert con conseguenze fatali per i pazienti e l’impatto del ransomware WannaCry sul National Health Service del Regno Unito.

Nel 2023, il settore educativo ha registrato un incremento del 258% negli attacchi informatici, con un +545% di incidenti che hanno portato alla divulgazione di dati. Esempi critici includono il furto di 230.000 record personali dell’University of Michigan e la compromissione di 500 GB di dati del Los Angeles Unified School District.

Nel settore finanziario, le interviste con data specialist rivelano un sofisticato calcolo costi-benefici da parte dei dipendenti, che sviluppano una “tolleranza selettiva” verso i compiti di sicurezza, definendo la sindrome come “una fatica crescente nel doverli affrontare”. Il comportamento conforme è trattato come una risorsa finita, sottolineando l’importanza di una pianificazione strategica.

Strategie di prevenzione: verso una trasformazione culturale e tecnologica

Le strategie più efficaci si fondano sui tre principi chiave del framework NIST:

• Limitare il numero di decisioni di sicurezza richieste all’utente;
• Rendere intuitiva la scelta sicura;
• Favorire la coerenza decisionale.

L’automazione si conferma l’intervento più efficace. L’adozione dell’intelligenza artificiale per gestire il 60-70% degli alert di routine riduce l’affaticamento, con soluzioni come XDR e SOAR che consolidano strumenti e riducono gli alert fino al 30%. Le organizzazioni che utilizzano l’AI in modo estensivo risparmiano fino a 2,2 milioni di dollari in costi di violazione.

I programmi di digital detox mostrano risultati misurabili, moderando significativamente il rapporto tra affaticamento e produttività (β = -0,25, p < 0,01). Interventi efficaci includono politiche di lavoro flessibile, supporto alla salute mentale e gestione dei carichi, con un massimo consigliato di 10.000 endpoint per analista.

Integrare il benessere mentale nei programmi aziendali riduce del 40% il turnover nei ruoli di sicurezza. I programmi migliori combinano accesso alla consulenza, formazione sulla gestione dello stress e riconoscimento delle buone pratiche anziché penalizzazione degli errori.

Formazione: da obbligo a leva strategica comportamentale

Tra il 2024 e il 2025 la formazione cybersecurity ha subito una radicale trasformazione, passando da approcci formali alla compliance a metodologie comportamentali avanzate. Nonostante il 90% delle aziende abbia programmi di awareness, il 70% dei dipendenti continua a comportarsi in modo insicuro (fonte: Gartner).

La gamification si è rivelata una leva potente: aumenta l’engagement del 60% e decuplica il reporting delle minacce. AES Corporation, ad esempio, ha visto la partecipazione salire dal 10% al 70% con simulazioni di phishing basate su scenari reali e difficoltà adattiva.

Micro-learning e formazione personalizzata tramite AI sono in crescita: moduli da 2-5 minuti ottengono un engagement del 50% superiore. Piattaforme come Keepnet riducono i comportamenti rischiosi del 90% tramite percorsi adattivi e feedback immediati.

Il focus si è spostato sulla gestione del rischio umano, promuovendo rinforzi positivi, ambienti “safe-to-fail” e formazione contestuale on demand, anziché corsi schedulati generici.

Misurazione e insight esperti per una gestione strategica

Modelli come il framework a quattro componenti e scale psicometricamente validate (es. Cybersecurity Fatigue Scale – α = 0,930) consentono diagnosi accurate. L’esperienza di esperti come Bruce Schneier (“gli amatori attaccano i sistemi, i professionisti le persone”) e Brian Stanton del NIST (“se la sicurezza è troppo complessa da usare, non sarà usata”) evidenziano la centralità del fattore umano.

Strumenti come le interviste qualitative NIST, il Cybersecurity Assessment Tool della Ford Foundation e la piattaforma di eSentire aiutano a misurare non solo la postura tecnica ma anche la resilienza umana delle organizzazioni.

Compliance: una sfida multilivello per le istituzioni italiane

Il contesto normativo italiano presenta complessità specifiche. La Direttiva NIS2, in fase di recepimento con scadenza al 17 ottobre 2024, impone formazione obbligatoria e responsabilità diretta del top management. L’ACN, tramite il DL 82/2021, impone notifiche degli incidenti entro 6 ore (contro le 24 della NIS) e richiede competenze specialistiche per la gestione degli asset strategici.

Il GDPR richiede ai DPO di garantire formazione “effettivamente compresa” (Art. 39), non solo formalmente completata, mentre le Binding Corporate Rules (Art. 43) aggiungono ulteriori obblighi. Per il settore finanziario, il DORA impone ulteriori requisiti su resilienza e gestione dei terzi.

Questo scenario a norme sovrapposte può generare compliance fatigue, rendendo necessario un approccio unificato e strategico alla formazione.

Raccomandazioni per il contesto italiano

Le istituzioni italiane dovrebbero:

• Implementare programmi di formazione basati sul rischio, focalizzati su aree e ruoli critici;
• Mappare e integrare i requisiti normativi per evitare duplicazioni e ridurre il carico;
• Utilizzare automazione e AI per ridurre l’onere manuale mantenendo efficacia;
• Integrare sistemi di monitoraggio continuo e formazione just-in-time;
• Svolgere revisioni regolari dei programmi per mantenerli aggiornati e misurabili.

Conclusioni

La sindrome da affaticamento da cybersecurity è una sfida critica e sistemica, non un semplice problema individuale. I suoi effetti si riflettono in modo tangibile su sicurezza, finanza e capitale umano. Affrontarla significa considerarla un rischio strategico di business, integrando tecnologia, cultura e formazione sostenibile.

Con l’attuazione della NIS2 e il rafforzamento del ruolo dell’ACN, l’Italia ha oggi un’opportunità unica per ridisegnare le proprie strategie difensive, mettendo al centro non solo la tecnologia ma anche il benessere e la capacità decisionale delle persone incaricate di proteggere le infrastrutture digitali del Paese.

Fonti:

ASIS International. (2025). Tackling Burnout in the High-Stakes World of Security. Security Management Magazine.

Bitsight. (2024). 5 IT & Cybersecurity Burnout Statistics.

Calic, D., Pattinson, M., Parsons, K., McCormac, A., & Butavicius, M. (2016). The Role of Computer Self-Efficacy in Security Compliance: Implications for Training and Awareness. Computers & Security, 58, 47-59.

Cybereason. (2024). The Silent Epidemic: Uncovering the Dangers of Alert Fatigue and How to Overcome It.

Digital Strategy European Commission. (2024). NIS2 Directive: new rules on cybersecurity of network and information systems.

ESET. (2025). Fighting Cybersecurity Fatigue: Key Strategies for 2025. Digital Security Guide.

Furman, S., Theofanos, M. F., Choong, Y. Y., & Stanton, B. (2016). “Security Fatigue” Can Cause Computer Users to Feel Hopeless and Act Recklessly, New Study Suggests. National Institute of Standards and Technology.

Georgiadou, A., Mouzakitis, S., & Askounis, D. (2022). Stress, Burnout, and Security Fatigue in Cybersecurity: A Human Factors Problem. Humanities and Social Sciences Communications, 9(1), 1-15.

Help Net Security. (2024). The cost of cybersecurity burnout: Impact on performance and well-being.

Hoxhunt. (2024). Does Gamified Cyber Security Training Actually Work?

IBM Security. (2024). IBM Report: Escalating Data Breach Disruption Pushes Costs to New Highs. IBM Newsroom.

InformationWeek. (2024). The Psychology of Cybersecurity Burnout.

ISACA. (2025). Practical Strategies to Overcome Cyber Security Compliance Standards Fatigue. ISACA Now Blog.

Keepnet Labs. (2025). Cybersecurity Awareness Training Trends for 2025.

Mantere, M., Sainio, M., Huhtala, J., & Suominen, J. (2024). Digital detox: exploring the impact of cybersecurity fatigue on employee productivity and mental health. PMC.

NIST Computer Security Resource Center. (2024). Awareness, Training, & Education.

Ping Identity. (2024). Why Security Fatigue Is a Huge Cybersecurity Risk.

Proofpoint. (2024). Beyond Security Awareness: Sustained Behavior Change.

Proofpoint. (2024). What Is the NIS2 Directive? Compliance Requirements.

Reeves, A., Delfabbro, P., & Calic, D. (2021). Encouraging Employee Engagement With Cybersecurity: How to Tackle Cyber Fatigue. SAGE Open, 11(1).

Schweitzer Engineering Laboratories. (2024). Overcoming Cybersecurity Fatigue: Why It Matters and How to Manage It.

Splunk. (2024). Preventing Alert Fatigue in Cybersecurity: How To Recognize & Combat Alert Fatigue.

Zhang, P., Chen, H., & Liu, Q. (2024). Security Fatigue. PMC.

https://www.ictsecuritymagazine.com/notizie/sindrome-da-affaticamento-da-cybersecurity/

Il panorama geopolitico del 2025 ha evidenziato un’interconnessione senza precedenti tra tensioni internazionali e minacce cibernetiche, configurando un nuovo paradigma di conflittualità ibrida. L’analisi degli eventi recenti dimostra come gli attacchi informatici nation-state abbiano raggiunto livelli di sofisticatezza e coordinamento mai osservati in precedenza, con implicazioni critiche per infrastrutture strategiche, catene di approvvigionamento e sicurezza nazionale. Il presente studio esamina la convergenza tra geopolitica e cybersecurity attraverso l’analisi dei trend emergenti, degli incident più significativi e delle strategie di mitigazione adottate dalle organizzazioni leader nel settore.

Geopolitica e cybersecurity: il nuovo paradigma di conflittualità ibrida

La cybersecurity contemporanea ha subito una metamorfosi sostanziale, evolvendosi da disciplina tecnica specialistica a dominio strategico di rilevanza geopolitica primaria. Il World Economic Forum’s Global Cybersecurity Outlook 2025 identifica questa trasformazione come il risultato di tre fattori convergenti: l’escalation delle tensioni geopolitiche globali, l’adozione accelerata di tecnologie emergenti e l’incremento della dipendenza da supply chain interconnesse e complesse.

La complessità del cyberspace attuale riflette un ecosistema in cui le tradizionali demarcazioni tra conflitto statale e criminalità informatica si sono progressivamente dissolte, generando un ambiente operativo caratterizzato da incertezza strategica e vulnerabilità sistemiche. Questa nuova realtà richiede una riconfigurazione delle strategie difensive e un approccio olistico alla cyber resilience.

Le principali minacce nation-state nel 2025

Attività cibernetiche sino-americane

L’intelligence statunitense ha documentato un incremento del 150% delle operazioni di cyber-espionage cinesi nel corso del 2024, con particolare focus sui settori finanziario, manifatturiero e dei media. Gli attacchi targeting Taiwan hanno evidenziato un pattern di escalation, con 2,4 milioni di tentativi di intrusione giornalieri nel 2024, rappresentando un raddoppio rispetto al 2023.

Le campagne attribuite ai gruppi APT cinesi, inclusi Volt Typhoon e UAT-5918, hanno dimostrato una preferenza strategica per l’infiltrazione di infrastrutture critiche piuttosto che per operazioni disruptive immediate, suggerendo una pianificazione a lungo termine finalizzata al posizionamento pre-conflitto all’interno di sistemi strategici occidentali.

Operazioni russe multi-vettore

La Federazione Russa ha intensificato le proprie capabilities offensive attraverso l’unità 26165 del GRU (nota come “Fancy Bear”), condotto campagne persistenti contro entità logistiche occidentali e organizzazioni tecnologiche coinvolte nel supporto all’Ucraina. L’NSA ha identificato pattern operativi caratterizzati da tattiche ibride che combinano cyber-attacks, disinformazione e operazioni di influence.

Particolarmente significativo risulta l’hijacking dell’infrastruttura pakistana perpetrato da operatori russi nel 2024, evidenziando una strategia di weaponization delle capacità offensive di threat actors terzi per amplificare la surface attack e complicare l’attribution.

Proliferazione nordcoreana e iraniana

La Corea del Nord ha espanso le proprie operazioni di infiltrazione verso organizzazioni europee della difesa e governative, implementando tecniche di remote worker impersonation per ottenere accessi privilegiati e generare revenue attraverso estorsioni post-breach. Parallelamente, gruppi affiliati iraniani hanno intensificato campagne di cyber-espionage contro entità governative irachene e infrastrutture di telecomunicazione yemenite.

Vulnerabilità delle supply chain e rischi sistemici

Complessità e interdipendenza

Il 54% delle organizzazioni enterprise identifica le vulnerabilità delle supply chain come il principale ostacolo al raggiungimento di livelli adeguati di cyber resilience. L’interconnessione crescente degli ecosistemi digitali ha generato punti di failure sistemici con conseguenze cascading sull’intero network di fornitori e partner.

L’incident ConnectWise del maggio 2025, attribuito a threat actors nation-state attraverso lo sfruttamento della vulnerabilità CVE-2025-3935, ha dimostrato come l’exploitation di un singolo vendor possa compromettere simultaneamente centinaia di organizzazioni clienti, amplificando exponenzialmente l’impatto operativo e reputazionale.

Costi economici e proiezioni

Le supply chain attacks hanno registrato un incremento del 200% nel 2023, con proiezioni che stimano un costo globale annuale di 138 miliardi di dollari entro il 2031, in crescita dai 46 miliardi del 2023. Questa escalation riflette l’evoluzione delle methodologie offensive, che privilegiano l’infiltrazione indiretta attraverso fornitori terzi rispetto agli attacchi diretti ai target finali.

Intelligenza artificiale come catalizzatore di complessità

Adozione asimmetrica e risk assessment

Nonostante il 66% delle organizzazioni riconosca l’impatto transformativo dell’AI sulla cybersecurity nel 2025, solamente il 37% ha implementato framework adeguati per il security assessment degli strumenti AI pre-deployment. Questa discrepanza evidenzia un gap critico tra adoption rate e security readiness, esponendo le organizzazioni a rischi emergenti non sufficientemente caratterizzati.

Il 47% delle organizzazioni identifica l’uso adversarial dell’AI generativa come preoccupazione primaria, con particolare riferimento all’enhancement delle capabilities di social engineering, phishing sophisticato e automated reconnaissance. Gli LLM attuali presentano vulnerabilità costitutive che non sono adeguatamente address nei framework di sicurezza correnti, creando surface attack potenzialmente devastating.

Geopolitica dell’AI e technological sovereignty

La competizione geopolitica nel dominio AI ha generato technological blocs attorno agli Stati Uniti e alla Cina, compromettendo la cooperazione internazionale e limitando l’accesso cross-border alle innovation più avanzate. La frammentazione regolatoria risultante impedisce lo sviluppo di standard globali uniformi, creando vulnerabilità sistemiche nelle implementazioni multi-jurisdictional.

Impatti sui settori critici

Infrastrutture energetiche e di telecomunicazione

Gli attacchi alle infrastrutture critiche hanno evidenziato la vulnerabilità sistemica dei settori energetico e delle telecomunicazioni, con particular focus su cavi sottomarini e sistemi satellitari. Gli incident nel Mar Baltico hanno sottolineato l’urgenza di proteggere gli asset infrastructure critici per il data flow globale e gli scambi economici internazionali.

La digitalizzazione del settore energetico ha amplificato l’exposure a cyberattacks capaci di causare damage significativo alle infrastrutture critiche e disruption della supply energetica, costituendo uno dei top geopolitical risks del 2025.

Settore finanziario e bancario

Il settore finanziario ha registrato aumenti significativi negli attacchi targetizzati, con l’India che emerge come seconda nazione più colpita globalmente nel 2024. Il settore finance e banking ha subito 20 vittime documentate, seguito da government (13), telecomunicazioni (12), healthcare e pharma (10).

L’attack a C-Edge Technologies, joint venture tra State Bank of India e Tata Consultancy Services, ha causato disruption nei sistemi di pagamento di circa 300 banche minori indiane, evidenziando la criticità delle interdipendenze sistemiche nel settore financial services.

Strategie di mitigazione e best practices

Framework di cyber resilience

L’implementazione di strategie di cyber resilience richiede un shift paradigmatico dalle tradizionali misure preventive verso approcci capability-based focalizzati sulla business continuity sotto attacco. Questo include lo sviluppo di minimum viable company (MVC) concepts e la modernizzazione delle infrastrutture legacy per garantire rapid recovery post-incident.

Le organizzazioni leader stanno adottando architetture zero-trust estese agli ecosistemi vendor, implementando segmentazione granulare e continuous trust validation across supply chain relationships. La threat intelligence sharing consortia rappresenta un meccanismo emerging per real-time alerting e prevention di large-scale cyber incidents.

Capacity building e workforce development

Il cyber skills gap ha registrato un incremento dell’8% nel 2024, con carenze moderate-to-critical in due terzi delle organizzazioni. Il settore pubblico presenta le deficienze più acute, con il 49% dei respondents che indica insufficienza della workforce per meeting cybersecurity objectives.

L’84,4% delle organizzazioni pianifica investimenti in training e exercising per il 2025, riflettendo la recognition dell’human element come componente critica della cyber resilience. La collaborazione inter-industry per sharing training resources e best practices rappresenta un approccio emergente per collective capability enhancement.

Regulatory frameworks e compliance

La frammentazione regolatoria costituisce un challenge significativo, con il 70% dei survey respondents che identifica le regulations come eccessivamente complex o convolute. Il 76% dei CISO indica che la confusion regolatoria impatta significativamente la capacity organizzativa di maintaining compliance.

L’harmonization degli standard internazionali e lo svilupimento di frameworks coherenti rappresentano priorities critical per enabling effective cybersecurity governance across jurisdictions multiple.

Conclusioni e prospettive future

L’analisi degli eventi del 2025 conferma l’emergenza di un nuovo paradigma geopolitico in cui le capabilities cyber costituiscono strumenti primari di proiezione del potere statale e di perseguimento degli interessi nazionali. La convergenza tra tensioni geopolitiche e sophisticated cyber threats ha generato un environment operativo caratterizzato da complexity senza precedenti e vulnerability systemiche.

Le organizzazioni devono adottare approcci proactive per building cyber resilience, implementando strategies che transcendano i traditional security perimeters e incorporino considerations geopolitical nel risk assessment e nella strategic planning. La collaboration ecosystem-wide e l’investment in advanced defensive capabilities rappresentano requirements essential per maintaining competitive advantage in un environment increasingly contested.

La quantum computing readiness e l’adoption di post-quantum cryptographic standards costituiranno elementi differenziating per organizational resilience nel prossimo quinquennio, mentre l’AI democratization richiederà framework governance sophisticati per balancing innovation benefits con security imperatives.

Fonti

World Economic Forum. (2025). Global Cybersecurity Outlook 2025: Navigating complexity. https://www.weforum.org/stories/2025/01/global-cybersecurity-outlook-complex-cyberspace-2025/

Industrial Cyber. (2025, January 14). WEF Global Cybersecurity Outlook 2025 report addresses geopolitical tensions, emerging threats. https://industrialcyber.co/reports/wef-global-cybersecurity-outlook-2025-report-addresses-geopolitical-tensions-emerging-threats-to-boost-resilience/

PwC. (2025). Cybersecurity + geopolitical conflict: What boards and CEOs should know. https://www.pwc.com/us/en/services/consulting/cybersecurity-risk-regulatory/library/cybersecurity-geopolitical-conflict-board-ceo-response.html

Center for Strategic and International Studies. (2025). Significant Cyber Incidents. https://www.csis.org/programs/strategic-technologies-program/significant-cyber-incidents

Cybersecurity and Infrastructure Security Agency. (2025). Nation-State Threats. https://www.cisa.gov/topics/cyber-threats-and-advisories/nation-state-cyber-actors

S&P Global. (2025). Top Geopolitical Risks of 2025. https://www.spglobal.com/en/research-insights/market-insights/geopolitical-risk

Critical Start. (2023, December 18). Geopolitical Factors Shaping the Future of the Cyber Domain. https://www.criticalstart.com/geopolitical-factors-shaping-the-future-of-the-cyber-domain/

Palo Alto Networks. (2025, June 26). Threat Brief: Escalation of Cyber Risk Related to Iran. https://unit42.paloaltonetworks.com/iranian-cyberattacks-2025/

The Hacker News. (2025, May). ConnectWise Hit by Cyberattack; Nation-State Actor Suspected. https://thehackernews.com/2025/05/connectwise-hit-by-cyberattack-nation.html

Business Today. (2025, January 13). AI, geopolitics, and workforce gaps: WEF Cybersecurity Report 2025. https://www.businesstoday.in/wef-2025/story/ai-geopolitics-and-workforce-gaps-wef-cybersecurity-report-2025-460436-2025-01-13

https://www.ictsecuritymagazine.com/articoli/geopolitica-cybersecurity/

@import url(‘https://fonts.googleapis.com/css2?family=Handlee&display=swap’); .pqFull { display: block; border-width: 2px 0; border-style: solid; border-color: #404144; padding: 1.5em 0 0.5em; margin: 1.5em 0; position: relative; Handlee”, Arial, sans-serif; font-size: 20px; text-align: center; color: #0067A6;
}
.pqFull:before { content: ‘\275D’; position: absolute; top: -.10em; left: 50%; transform: translate(-50%, -50%); background: #fff; width: 4rem; height: 2rem; color: #666; text-align: center;
}
.pqFull:after { content: attr(cite); display: block; text-align: center; font-size: 18px; color: #404144;
}

As with all things security, a proactive approach to mitigate potential risk is critical — the same is true to manage insider risks. From inadvertent to malicious risk, an organization should take measures to safeguard itself from a person inside the organization harming that organization.

All individuals with access to or knowledge of an organization’s computers, networks, facilities, information, or personnel are potential insider threats, including vendors and contractors. The ability to intentionally use or accidentally misuse any of this information can breach confidentiality, reveal trade secrets, cause a data security incident, or harm an organization’s personnel, ultimately impacting its reputation and ability to do business.

As the former Chief Privacy Officer to the U.S. Department of Homeland Security, I assessed the Department’s approach to insider threats, ensuring that the measures put into place effectively mitigated potential risk while safeguarding individuals’ privacy and civil liberties. The same considerations are at play in the private sector: effectively reducing potential threats to your organization and its people while facilitating your business and achieving your goals. In short, operationalizing your security.

There is no one-size-fits-all approach to managing insider risk. Rather, each organization should define what insider risk looks like to it based on its unique approach to its facilities, personnel and data.

Considerations include all aspects of a business from the doorstep to its digital assets, physical security to cybersecurity. For instance, are you concerned about physical security and personnel safety, access to and misuse of sensitive information, like consumer financial information or trade secrets, or product design details?

There is no one-size-fits-all approach to managing insider risk. Rather, each organization should define what insider risk looks like to it based on its unique approach to its facilities, personnel, and data.

Organizations will also need to define relevant indicators for the risk they are seeking to mitigate. For example, personnel with significant financial challenges or individuals who access facilities outside of their established working hours, continuously express grievances about the organization, or send information outside of the organization’s network or use prohibited media.

Then, the organization should develop an insider risk management program. Again, the program will be unique to the organization’s size, budget, resources, risk tolerance, business goals, and culture. An insider risk program can range from policies and practices to automatic systems that assist with monitoring defined risks and unusual behaviors.

Some organizations may wish to create an insider risk management team to develop, implement, and regularly assess the organization’s program. Having the right people in the room when developing a program is key to ensure that efficiencies are not impacted and other critical business needs, such as information sharing activities or sharing large files with clients, are balanced against the risk you seek to mitigate and your approach to mitigation.

A key part of an insider risk mitigation program is to assess potential risk when it has been identified and how best to mitigate it. For instance, individuals facing significant stress or life changes may flag indicators related to your risk mitigation program, but not every person who experiences these challenges is an actual or likely risk to your organization. Or an individual who incorrectly responds to an organization’s own phishing email may undergo additional training to mitigate related risks. Further, in addition to any related potential legal risk or collective bargaining issues, an organization will also want to consider the potential impact on culture, employee trust, and retention.

While developing an insider risk management program can be an investment of time and resources on the front end, it can save your organization money, time, and reputational value when an insider threat comes to fruition. The goal is not necessarily a zero-risk framework but one from which an organization may quickly recover with limited resources and minimal damage.

Managing insider risk is an ongoing exercise to account for changes in your business model, evolving threats, lessons learned, and your customers’ expectations. In combination with an organization’s general privacy and security practices, an effective insider risk mitigation program can help an organization achieve its goals while building and maintaining trust with its employees and customers.

https://www.securitymagazine.com/articles/101824-take-a-look-inside-managing-and-mitigating-insider-risk

Research from Darktrace reveals an attack campaign in which malicious actors are exploiting Virtual Private Server (VPS) infrastructure. By doing so, cybercriminals can compromise the business email systems of multiple organizations. 

In the observed incidents, the threat actors utilized anonymous VPS hosting services to take over email sessions while users were still logged in. Since these attacks are designed to coincide with legitimate activity, the malicious actors can bypass many traditional security measures. 

Jason Soroko, Senior Fellow at Sectigo, comments, “Attackers now rent trust. Five dollar VPS nodes buy entry to your allow list and they accomplish this by getting a clean ASN and fresh IP making traffic feel like a trusted source, not a criminal. In this case, the adversary is riding live sessions and no longer just harvesting passwords. The mailbox becomes the control plane. Vague rules act like a kind of stealth policy.”

“Concurrency, sequence, and locality must line up. If they do not, you must have a way to freeze the session, not the user. Make inbox rules visible, named, and attested. Alert on rule churn the way you alert on privilege churn. Score infrastructure by volatility and provenance, not brand. Expect remote tools to appear where they never should and block by context. Autonomous containment is a governance choice that decides outcomes. In this campaign, the absence of it gave the intruders time, which is the adversary’s most important currency.”

J Stephen Kowski, Field CTO at SlashNext Email Security+, adds, “The playbook isn’t new — it’s the same old tricks as you would see on a desktop: changing inbox rules, stealing tokens, resetting passwords, and cleaning up tracks. The only twist is that it’s happening on a rented cloud desktop, which makes the activity blend in with normal traffic a slightly differently. The real issue is the first break-in — usually stolen logins, hijacked sessions, weak MFA, or a malicious app link. That’s where tools that watch sessions in real time, catch phishing across channels, block shady app approvals, and roll back mailbox tampering shut it down before that cloud desktop turns into a launchpad.”

https://www.securitymagazine.com/articles/101847-cybercriminals-attack-vps-to-access-business-email-systems

Ago 21, 2025 Redazione Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

Un gruppo di cyber spionaggio legato ai servizi segreti russi sta sfruttando una falla di sicurezza risalente a sette anni fa nei software Cisco IOS e IOS XE. L’allarme arriva da Cisco Talos che ha osservato attività riconducibili a Static Tundra, un gruppo collegato all’FSB e operativo da oltre un decennio impegnato nella raccolta di intelligence a lungo termine.

Secondo i ricercatori, il gruppo prende di mira settori sensibili come telecomunicazioni, università e manifatturiero, con attacchi documentati in Nord America, Europa, Asia e Africa. Negli ultimi anni le attività si sono concentrate soprattutto contro l’Ucraina e i suoi alleati, in parallelo al conflitto avviato nel 2022.

Una vulnerabilità critica mai scomparsa

Il punto d’ingresso sfruttato dagli attaccanti è la CVE-2018-0171, una vulnerabilità critica (CVSS 9.8) nel protocollo Smart Install che può consentire a un aggressore remoto e non autenticato di provocare denial of service o eseguire codice arbitrario. Nonostante la patch sia disponibile dal 2018, molti dispositivi vulnerabili restano esposti, in particolare quelli obsoleti o non più supportati.

Lo stesso difetto era stato già sfruttato in passato da altri gruppi di hacker di stato: tra questi il gruppo cinese Salt Typhoon, che nel 2024 lo aveva utilizzato contro provider statunitensi.

Il Federal Bureau of Investigation (FBI) conferma in una nota che le operazioni di Static Tundra hanno coinvolto migliaia di apparati di rete negli Stati Uniti e a livello globale. Gli attaccanti avrebbero sfruttato anche SNMP e altri protocolli deboli per raccogliere file di configurazione, manipolare le impostazioni dei dispositivi e creare accessi non autorizzati.

Una volta stabilita la testa di ponte, i criminali conducono attività di ricognizione interna e installano tool personalizzati come SYNful Knock, un impianto malevolo sui router che modifica il firmware per mantenere persistenza e può essere aggiornato nel tempo. In alcuni casi, hanno utilizzato SNMP per scaricare file da server esterni e modificarne la configurazione oppure alterato i parametri TACACS+ per eludere i sistemi di logging.

Le operazioni mirano anche a intercettare traffico sensibile: gli attaccanti creano tunnel GRE per dirottare pacchetti verso infrastrutture controllate dal gruppo, oppure raccolgono dati NetFlow ed esfiltrano le informazioni tramite connessioni TFTP o FTP.

Target, finalità strategiche e contromisure

Static Tundra si concentra soprattutto su apparati non aggiornati o a fine vita, sfruttandoli come trampolino per spingersi più a fondo nelle reti delle vittime. L’obiettivo è ottenere informazioni di valore strategico e garantire un accesso a lungo termine, adattando le proprie operazioni agli interessi geopolitici russi del momento.

Cisco sottolinea che lo scopo della campagna è la raccolta massiva di configurazioni e dati di rete che possono essere sfruttati in tempi successivi in base alle priorità governative di Mosca.

L’azienda ha aggiornato il bollettino relativo alla CVE-2018-0171, ribadendo che la falla è tuttora sfruttata attivamente. La raccomandazione è di applicare senza ritardi le patch disponibili o, laddove non sia possibile aggiornare, disabilitare la funzione Smart Install.

---

• attacchi rete, Cisco IOS, Cisco IOS XE, Cisco Talos, CVE-2018-0171, cyber spionaggio Russia, FBI advisory, FSB, router compromessi, sicurezza informatica, Smart Install, spionaggio informatico, Static Tundra, SYNful Knock, vulnerabilità Cisco

---

---

https://www.securityinfo.it/2025/08/21/static-tundra-sfrutta-una-vecchia-vulnerabilita-cisco-per-spionaggio/?utm_source=rss&utm_medium=rss&utm_campaign=static-tundra-sfrutta-una-vecchia-vulnerabilita-cisco-per-spionaggio

The Health Insurance Portability and Accountability Act of 1996 (HIPAA) was signed into law on August 21, 1996. Today marks the 29th anniversary of the act that established federal standards of securing private heath information. 

As the cyber threat landscape grows more complex, the healthcare industry remains an attractive target for malicious actors. 

Below, experts share their perspectives on the modern privacy threats the sector faces as well as how these organizations can evolve to meet these challenges. 

The Healthcare Landscape

Theresa Lanowitz, Chief Evangelist at LevelBlue: 

The healthcare landscape has undergone massive digital transformation since 1996 when the Health Insurance Portability and Accountability Act (HIPAA) was first enacted. We now face a surge in sophisticated cyberattacks powered by artificial intelligence (AI). According to recent data, nearly half of healthcare organizations experienced a higher volume of attacks than just a year ago, but only 29% feel prepared for AI-driven threats like deepfakes and synthetic identity fraud. While AI tools promise greater efficiency and automation in healthcare, their rapid evolution is outpacing governance and cybersecurity controls, leaving protected health information (PHI) dangerously exposed.

Healthcare organizations must move beyond basic compliance and make cyber resilience a core business function. That means elevating cybersecurity to the C-suite agenda, aligning security teams with business goals, and embedding resilience into every stage of digital transformation. Now is the time for healthcare organizations to be proactive, intentional, and bold about cyber resilience — both to honor HIPAA’s mission and to ensure the protection of PHI in the age of AI.

Dr. Sean Kelly, Chief Medical Officer and SVP of Customer Strategy at Imprivata: 

As we approach the 29th anniversary of HIPAA, its core mission, protecting patient privacy and securing health data, has never been more relevant. Yet the landscape it governs has changed dramatically. Healthcare is now one of the most targeted industries for cyberattacks, and as hospitals increasingly turn to shared-use devices to enhance efficiency, they’re introducing more endpoints than ever. Without stronger access controls, real-time tracking, and formal governance, shared mobile devices could expose organizations to both cybersecurity threats and regulatory penalties under HIPAA.  

In today’s fast-paced, collaborative healthcare environment, shared mobile devices can easily become blind spots for security teams that lack proper identity verification, automated session timeouts, or audit trails. Recent data shows 74% of shared-use devices are frequently left signed in after use, and 79% of staff admit to sharing credentials when accessing them — leaving personal health information (PHI) vulnerable to anyone within reach. The challenge isn’t just locking systems down, it’s doing so in a way that preserves the speed and accessibility clinicians need. Healthcare organizations must modernize their security strategies to ensure that the efficiency gains from shared technology never come at the cost of patient privacy or HIPAA compliance.

https://www.securitymagazine.com/articles/101854-29-years-of-hipaa-whats-next