This post was sponsored by InMotion Hosting. The opinions expressed in this article are the sponsor’s own.

We’ve all felt it, that sinking feeling in your stomach when your site starts crawling instead of sprinting.

Page speed reports start flashing red. Search Console is flooding your inbox with errors.

You know it’s time for better hosting, but here’s the thing: moving a large website without tanking your SEO is like trying to change tires while your car is still moving.

We’ve seen too many migrations go sideways, which is why we put together this guide.

Let’s walk through a migration plan that works. One that’ll future-proof your site without disrupting your rankings or overburdening your team.

Step 1: Set Your Performance Goals & Audit Your Environment

Establish Performance Benchmarks

Before you touch a single line of code, you need benchmarks. Think of these as your “before” pictures in a website makeover.

If you skip this step, you’ll regret it later. How will you know if your migration was successful if you don’t know where you started?

Gather your current page speed numbers, uptime percentages, and server response times. These will serve as proof that the migration was worth it.

Document Current Site Architecture

Next, let’s identify what’s working for your site and what’s holding it back. Keep a detailed record of your current setup, including your content management system (CMS), plugins, traffic patterns, and peak periods.

Large sites often have unusual, hidden connections that only reveal themselves at the worst possible moments during migrations. Trust us, documenting this now prevents those 2 AM panic attacks later.

Define Your Website Migration Goals

Let’s get specific about what success looks like. Saying “we want the site to be faster” is like saying “we want more leads.” It sounds great, but how do you measure it?

Aim for concrete targets, such as:

• Load times under 2 seconds on key pages (we like to focus on product pages first).
• 99.99% uptime guarantees (because every minute of downtime is money down the drain).
• Server response times under 200ms.
• 30% better crawl efficiency (so Google sees your content updates).

We recommend running tests with Google Lighthouse and GTmetrix at different times of day. You’d be surprised how performance can vary between your morning coffee and afternoon slump.

Your top money-making pages deserve special attention during migration, so keep tabs on those.

Step 2: Choose The Right Hosting Fit

Not all hosting options can handle the big leagues.

We’ve seen too many migrations fail because someone picked a hosting plan better suited for a personal blog than an enterprise website.

Match Your Needs To Solutions

Let’s break down what we’ve found works best.

Managed VPS is excellent for medium-sized sites. If you’re receiving 100,000 to 500,000 monthly visitors, this might be your sweet spot. You’ll have the control you need without the overkill.

Dedicated servers are what we recommend for the major players. If you’re handling millions of visitors or running complex applications, this is for you.

What we appreciate about dedicated resources is that they eliminate the “noisy neighbor” problem, where someone else’s traffic spike can tank your performance. Enterprise sites on dedicated servers load 40-60% faster and rarely experience those resource-related outages.

WordPress-optimized hosting is ideal if you’re running WordPress. These environments come pre-tuned with built-in caching and auto-updates. Why reinvent the wheel, right?

Understand The Must-Have Features Checklist

Let’s talk about what your web hosting will need for SEO success.

NVMe SSDs are non-negotiable these days. They’re about six times faster than regular storage for database work, and you’ll feel the difference immediately.

A good CDN is essential if you want visitors from different regions to have the same snappy experience. Server-level caching makes a huge difference, as it reduces processing work and speeds up repeat visits and search crawls.

Staging environments aren’t optional for big migrations. They’re your safety net. Keep in mind that emergency fixes can cost significantly more than setting up staging beforehand.

And please ensure you have 24/7 migration support from actual humans. Not chatbots, real engineers who answer the phone when things go sideways at midnight.

Key Considerations for Growth

Think about where your site is headed, not just where it is now.

Are you launching in new markets? Planning a big PR push? Your hosting should handle growth without making you migrate again six months later.

One thing that often gets overlooked: redirect limits. Many platforms cap at 50,000-100,000 redirects, which sounds like a lot until you’re migrating a massive product catalog.

Step 3: Prep for Migration – The Critical Steps

Preparation separates smooth migrations from disasters. This phase makes or breaks your project.

Build Your Backup Strategy

First things first: backups, backups, backups. We’re talking complete copies of both files and databases.

Don’t dump everything into one giant folder labeled “Site Stuff.” Organizing backups by date and type. Include the entire file system, database exports, configuration files, SSL certificates, and everything else.

Here’s a common mistake we often see: not testing the restore process before migration day. A backup you can’t restore is wasted server space. Always conduct a test restore on a separate server to ensure everything works as expected.

Set Up the New Environment and Test in Staging

Your new hosting environment should closely mirror your production environment. Match PHP versions, database settings, security rules, everything. This isn’t the time to upgrade seven different things at once (we’ve seen that mistake before).

Run thorough pre-launch tests on staging. Check site speed on different page types. Pull out your phone and verify that the mobile display works.

Use Google’s testing tools to confirm that your structured data remains intact. The goal is no surprises on launch day.

Map Out DNS Cutover and Minimize TTL for a Quick Switch

DNS strategy might sound boring, but it can make or break your downtime window.

Here’s what works: reduce your TTL to at least 300 seconds (5 minutes) about 48 hours before migration. This makes DNS changes propagate quickly when you flip the switch.

Have all your DNS records prepared in advance: A records, CNAMEs for subdomains, MX records for email, and TXT records for verification. Keep a checklist and highlight the mission-critical ones that would cause panic if forgotten.

Freeze Non-Essential Site Updates Before Migration

This might be controversial, but we’re advocates for freezing all content and development changes for at least 48 hours before migration.

The last thing you need is someone publishing a new blog post right as you’re moving servers.

You can use this freeze time for team education. It’s a perfect moment to run workshops on technical SEO or explain how site speed affects rankings. Turn downtime into learning time.

Step 4: Go-Live Without the Guesswork

Migration day! This is where all your planning pays off, or where you realize what you forgot.

Launch Timing Is Everything

Choose your timing carefully. You should aim for when traffic is typically lowest.

For global sites, consider the “follow-the-sun” approach. This means migrating region by region during their lowest traffic hours. While it takes longer, it dramatically reduces risk.

Coordinate Your Teams

Clear communication is everything. Everyone should know exactly what they’re doing and when.

Define clear go/no-go decision points. Who makes the call if something looks off? What’s the threshold for rolling back vs. pushing through?

Having these conversations before you’re in the middle of a migration saves a ton of stress.

Live Performance Monitoring

Once you flip the switch, monitoring becomes your best friend. Here are the key items to monitor:

• Watch site speed across different page types and locations.
• Set up email alerts for crawl errors in Search Console.
• Monitor 404 error rates and redirect performance.

Sudden spikes in 404 errors or drops in speed need immediate attention. They’re usually signs that something didn’t migrate correctly.

The faster you catch these issues, the less impact they’ll have on your rankings.

Post-Migration Validation

After launch, run through a systematic checklist:

• Test redirect chains (we recommend Screaming Frog for this).
• Make sure internal links work.
• Verify your analytics tracking (you’d be surprised how often this breaks).
• Check conversion tracking.
• Validate SSL certificates.
• Watch server logs for crawl issues.

One step people often forget: resubmitting your sitemap in Search Console as soon as possible. This helps Google discover your new setup faster.

Even with a perfect migration, most large sites take 3-6 months for complete re-indexing, so patience is key.

Step 5: Optimize, Tune, and Report: How To Increase Wins

The migration itself is just the beginning. Post-migration tuning is where the magic happens.

Fine-Tune Your Configuration

Now that you’re observing real traffic patterns, you can optimize your setup.

Start by enhancing caching rules based on actual user behavior. Adjust compression settings, and optimize those database queries that seemed fine during testing but are sluggish in production.

Handling redirects at the server level, rather than through plugins or CMS settings, is faster and reduces server load.

Automate Performance Monitoring

Set up alerts for issues before they become problems. We recommend monitoring:

• Page speed drops by over 10%.
• Uptime drops.
• Changes in crawl rates.
• Spikes in server resource usage.
• Organic traffic drops by over 20%.

Automation saves you from constantly checking dashboards, allowing you to focus on improvements instead of firefighting.

Analyze for SEO Efficiency

Server logs tell you a lot about how well your migration went from an SEO perspective. Look for fewer crawl errors, faster Googlebot response times, and better crawl budget usage.

Improvements in crawl efficiency mean Google can discover and index your new content much faster.

Measure and Report Success

Compare your post-migration performance to those baseline metrics you wisely collected.

When showing results to executives, connect each improvement to business outcomes. For example:

• “Faster pages reduced our bounce rate by 15%, which means more people are staying on the site.”
• “Better uptime means we’re not losing sales during peak hours.”
• “Improved crawl efficiency means our new products get indexed faster.”

Pro tip: Build easy-to-read dashboards that executives can access at any time. This helps build confidence and alleviate concerns.

Ready to Execute Your High-Performance Migration?

You don’t need more proof that hosting matters. Every slow page load and server hiccup already demonstrates it. What you need is a plan that safeguards your SEO investment while achieving tangible improvements.

This guide provides you with that playbook. You now know how to benchmark, choose the right solutions, and optimize for success.

This approach can be applied to sites of all sizes, ranging from emerging e-commerce stores to large enterprise platforms. The key lies in preparation and partnering with the right support team.

If you’re ready to take action, consider collaborating with a hosting provider that understands the complexities of large-scale migrations. Look for a team that manages substantial redirect volumes and builds infrastructure specifically for high-traffic websites. Your future rankings will thank you!

Image Credits

Featured Image: Image by InMotion Hosting. Used with permission.

In-Post Image: Images by InMotion Hosting. Used with permission.

https://www.searchenginejournal.com/seo-guide-site-migration-inmotionhosting-spa/549001/

Public relations has always been about trust. Trust between a brand and its audience, between a spokesperson and the press, and between internal teams managing sensitive communications. But in 2025, that trust is under siege. Hackers are no longer just targeting financial systems or customer databases. They’re going straight for the heart of brand reputation, your communications channels. When a single compromised press release or hijacked email blast can trigger market panic or a public backlash, the stakes are higher than ever. And yet, many PR teams remain unprepared for the scale and sophistication of these threats.

The reality is that PR professionals now sit on the front lines of cybersecurity. They manage tools and workflows that are increasingly attractive to cybercriminals, who see media lists, press release platforms, and internal messaging systems not just as data repositories but as vehicles for deception. A breached PR channel can serve as a launchpad for misinformation, phishing campaigns, or ransomware attacks. The damage isn’t just reputational, it’s operational, financial, and legal. If you’re leading a communications function and haven’t had a serious conversation with your CISO lately, you’re already behind.

Why PR Channels Are a Prime Target

Cybercriminals go where the influence is. PR teams manage channels that reach thousands, sometimes millions, of stakeholders in a matter of minutes. That kind of reach is a goldmine for attackers looking to spread malware, manipulate public perception, or impersonate trusted voices. The tools PR teams rely on, email marketing platforms, media databases, social media dashboards, are often connected to broader company systems, making them an ideal entry point for more extensive breaches.

The Mailchimp breach in 2023 is a cautionary tale. Attackers gained access to internal tools used by the company’s customer support and account management teams. From there, they targeted users in the cryptocurrency and finance sectors, sending phishing emails that appeared legitimate because they came from a trusted platform. The implications were immediate: compromised customer accounts, phishing victims, and a wave of distrust that affected Mailchimp’s brand and its clients’ reputations alike. This wasn’t just a tech failure, it was a communications crisis in disguise.

Another high-profile example came from Marks and Spencer, where a ransomware attack halted operations and disrupted internal and external communications. The attackers didn’t just lock files, they froze the company’s ability to respond to media inquiries, update stakeholders, or control the narrative. In the absence of verified information, speculation filled the void. That vacuum cost the company both money and credibility.

These incidents are not anomalies. They’re signals. And if you’re in PR, you need to treat them as such.

How Breaches Happen: The Soft Spots in PR Workflows

The most common entry point for attackers remains the inbox. Media lists are often shared across teams, stored in spreadsheets or third-party tools, and rarely secured beyond a basic password. That makes them a prime target for phishing attacks. A single fake journalist inquiry or a spoofed email from a known contact can trick even seasoned professionals into clicking malicious links or downloading infected files.

Press release distribution platforms are another weak point. These tools often allow multiple users to access draft content, schedule releases, and send mass communications. If an attacker gains access to one of these accounts, they can issue false information under your brand’s name. Imagine waking up to find that your company has “announced” a merger or product recall that never happened. The damage control required in the hours that follow would be immense, and by then, the markets may have already reacted.

Social media is not immune either. Many PR teams use scheduling tools that require login credentials or API access. If those credentials are stored insecurely or shared across users, it only takes one compromised account to broadcast false messages across multiple platforms. The viral nature of social media means those messages can spread faster than your team can contain them.

Detection and Real-Time Response

Speed matters. The faster you detect a breach, the better your chances of limiting the fallout. But many PR teams lack the monitoring tools needed to catch anomalies in real time. Cybersecurity and PR response guidance outlines how automated systems that flag unauthorized changes to press release drafts or detect unusual email traffic patterns are no longer optional; they’re necessary.

When a breach is suspected, the first step is containment. That means isolating the compromised account, revoking access, and notifying your IT or cybersecurity team immediately. From there, you need to move quickly to inform media partners, stakeholders, and the public. Transparency is your best defense. Trying to hide an incident or delay your response only compounds the damage.

Training is just as important as technology. Simulated phishing drills can help your team recognize suspicious emails before they click. Crisis communication workshops prepare spokespeople and managers to respond under pressure, ensuring that your messaging is clear, coordinated, and credible. These aren’t just exercises, they’re rehearsals for a reality that’s becoming more common by the day.

Preventing Breaches Before They Happen

The most effective defense is a proactive one. Start with access control. Every media database, distribution tool, and internal communication platform should require two-factor authentication. Passwords alone are not enough. Encrypting internal messages and documents adds another layer of protection, especially when dealing with embargoed information or sensitive announcements.

Collaboration between PR and IT teams must become standard practice. Too often, these departments operate in silos, with little understanding of each other’s tools or priorities. That needs to change. Just as PR teams have learned to align with SEO and digital marketing, they must now build regular workflows with cybersecurity counterparts. This includes participating in risk assessments, security audits, and incident response planning.

Vendor management is another area that often gets overlooked. Many PR teams rely on third-party platforms to distribute press releases, manage media contacts, or monitor coverage. Each of these vendors represents a potential vulnerability. Ask tough questions about their security protocols. Review their compliance with data protection laws. And don’t be afraid to switch providers if they can’t meet your standards.

The Cost of Inaction

The financial and reputational costs of a PR channel breach can be staggering. Beyond the immediate damage, lost data, public backlash, and legal exposure, there’s the long-term erosion of trust. Once an audience begins to question the authenticity of your communications, rebuilding that trust is a slow and expensive process.

Waiting until after an incident to prioritize security is like installing a fire alarm after the building has burned down. If you’re in a leadership position, it’s your responsibility to make the case. Frame cybersecurity not as a technical issue, but as a reputational one. Because in PR, reputation is everything.

What You Should Do Now

Start by auditing your current tools and workflows. Identify where sensitive information is stored, who has access, and how that access is managed. Work with your IT team to assess vulnerabilities in your communication channels and implement basic protections like two-factor authentication and encryption.

Schedule a tabletop exercise with your PR and cybersecurity teams. Simulate a press release breach or a phishing attack on your media list. Walk through your response plan, identify gaps, and assign clear roles. These drills will expose weaknesses in your current setup and give your team the confidence to act quickly when it counts.

Finally, make cybersecurity part of your regular PR planning. Just as you prepare for product launches, earnings calls, or crisis responses, you should plan for potential cyber incidents. Build relationships with your IT and legal teams before you need them. Review your vendor contracts with a security lens. And most importantly, educate your team. Security is not someone else’s job, it’s yours too.

The threat to PR channels is not theoretical. It’s happening now. The question is whether your team is ready. Cybercriminals have already figured out how valuable your communications tools are. It’s time you did too.

https://www.securitymagazine.com/blogs/14-security-blog/post/101715-pr-in-the-crosshairs-why-hackers-target-your-comms-channels

As reported by Cybernews, a record-breaking data breach occurred and involves the exposure of 16 billion login credentials. The research states that these credentials are not recycled from old breaches and are instead recently acquired from various infostealers. 

The researchers state, “This is fresh, weaponizable intelligence at scale.”

What Data Was Exposed?  

These records are spread across 30 databases. Some may be overlapping; still, this exposure could enable malicious actors to exploit the credentials for identity theft, account takeovers, and targeted phishing attacks. The potential overlap makes it currently impossible to determine how many individuals may be affected.

According to the research, the information followed a typical structure for most infostealers: a URL, followed by login details and a password. 

The leaked information could compromise a wide range of services, such as Apple, Facebook, and Google. However, the research warns that virtually any online service could be at risk. 

“The inclusion of both old and recent infostealer logs — often with tokens, cookies, and metadata — makes this data particularly dangerous for organizations lacking multi-factor authentication or credential hygiene practices,” the research team comments.

Implications of the Record-Breaking Breach

Cybernews researcher Aras Nazarovas argues that this breach could signal a shift in the way malicious actors are acquiring stolen data.

Nazarovas says, “The increased number of exposed infostealer datasets in the form of centralized, traditional databases, like the ones found be the Cybernews research team, may be a sign, that cybercriminals are actively shifting from previously popular alternatives such as Telegram groups, which were previously the go-to place for obtaining data collected by infostealer malware.”

https://www.securitymagazine.com/articles/101713-16b-login-credentials-exposed-in-worlds-largest-data-breach

Giu 23, 2025 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

---

Il team del Google Threat Intelligence ha pubblicato una nuova analisi in cui descrive una nuova campagna di phishing che consente agli attaccanti di aggirare l’MFA di Gmail grazie alle Application Specific Password (ASP).

Le ASP sono passcode di 16 cifre che consentono a un’applicazione o a un dispositivo meno sicuri di accedere a un Account Google con attiva l’autenticazione multi-fattore. Da documentazione Google sconsiglia l’utilizzo delle ASP.

La campagna del gruppo si basa sul convincere la vittima a creare e condividere uno screenshot di una ASP per permettere agli attaccanti di accedere all’account senza dover gestire l’MFA. Come riportato anche da The Citizen Lab, la prima notifica dell’attacco è arrivata da Keir Giles, un noto ricercatore inglese attivo nel controspionaggio contro la Russia.

Il 22 maggio Giles ha ricevuto un’email in cui il mittente era una certa “Claudie S. Weber” del Dipartimento di Stato statunitense. Nel messaggio Weber invitava Giles a un meeting con lei e alcuni suoi colleghi per parlare di alcuni “recenti sviluppi”, senza specificare di cosa si trattasse. Alcuni degli indirizzi email in CC terminavano con @state.gov, un trucco degli attaccanti per far apparire la comunicazione legittima.

Giles ha voluto approfondire la questione e ha risposto alla mail; tale Weber allora ha inviato un PDF con le istruzioni per registrare un account guest per conversare coi membri del Dipartimento dello Stato. Il PDF, che a una prima occhiata sembra legittimo, richiede alle vittime di navigare su un link Google per creare una ASP; in seguito, gli attaccanti chiedono all’utente di condividere con loro il codice di 16 cifre generato, apparentemente per consentirgli di accedere alla piattaforma del Dipartimento.

Il codice viene invece utilizzato dal gruppo per prendere il controllo dell’account Google della vittima, riuscendo di conseguenza ad accedere a tutte le email scambiate. Gli attaccanti hanno utilizzato per lo più proxy residenziali e server VPS per accedere agli account.

L’attacco a Gmail che supera l’MFA: la risposta di Google

Secondo il Google Threat Intelligence Group, dietro gli attacchi ci sarebbe UNC6293, un gruppo di cybercriminali che opera per conto del governo russo. Il team di sicurezza ritiene che il gruppo possa essere legato ad APT29, un’altra gang russa nota per aver distribuito la backdoor WINELOADER, anche se non ci sono indicazioni certe di una qualche relazione.

I ricercatori di The Citizen Lab sottolineano che l’attacco è altamente sofisticato e che richiede una preparazione molto attenta: il gruppo ha creato numerosi account falsi per far apparire le comunicazioni come legittime e hanno posto molta attenzione al tono dei messaggi scambiati, senza mai far nascere il senso di urgenza nella vittima.

“L’interazione si è svolta in più di 10 scambi nel corso di diverse settimane, dimostrando una notevole pazienza da parte degli attaccanti” spiegano i ricercatori.  “Gli autori dell’attacco erano anche pronti con le risposte e preparati ad adattarsi in base alle repliche di Giles. Ad esempio, dopo che Giles ha affermato che non sarebbe riuscito a partecipare al meeting nella data proposta, gli autori dell’attacco hanno scelto di non esercitare pressioni o urgenza in modo esplicito, suggerendo invece di creare la piattaforma per il futuro“.

Il gruppo è effettivamente riuscito a convincere Giles a creare e condividere l’ASP, anche su diversi account. Google ha in seguito identificato l’attacco e ha disabilitato le email degli attaccanti, oltre che gli account compromessi. In un post su X, Giles ha confermato che c’è stato un login sospetto al suo account e ha quindi avvertito i suoi contatti di trattare con la massima attenzione eventuali comunicazioni o allegati inviati da uno dei suoi indirizzi email.

Oltre a quella che ha colpito Giles, Google ha individuato anche un’altra campagna analoga del gruppo che sfruttava invece figure legate al governo ucraino.

Visto il livello di sofisticazione della campagna e le personalità centrali prese di mira dagli attaccanti, la compagnia di Mountain View consiglia agli utenti a rischio di aderire al suo Advanced Protection Program volto a tutelare gli account che hanno elevata visibilità e gestiscono informazioni sensibili. Il programma, tra le altre cose, comprende il blocco della creazione di ASP.

---

---

---

https://www.securityinfo.it/2025/06/23/cybercriminali-russi-aggirano-l-mfa-di-gmail-con-una-campagna-di-phishing-sofisticata/?utm_source=rss&utm_medium=rss&utm_campaign=cybercriminali-russi-aggirano-l-mfa-di-gmail-con-una-campagna-di-phishing-sofisticata

In November 2024, Krispy Kreme experienced a cyber incident. As of recently, the organization has revealed that 161,676 people were impacted by this breach. The time frame between the breach and the notice of affected individuals has some cyber experts concerned. 

Chris Hauk, Consumer Privacy Champion at Pixel Privacy, remarks, “It is concerning that it has taken Krispy Kreme this long to acknowledge the data breach and inform the individuals affected by the breach. I’m not saying they need to put a glowing neon sign in their window that says ‘Your data is hot and has been stolen,’ but they should not have taken this long. 7 months is a long time for data to be exposed without anyone being informed, and the least Krispy Kreme could do is offer free credit monitoring and free donuts for life.”

For people affected by this breach, remaining aware and alert is essential to staying secure. 

Hauk states, “Affected individuals need to keep an eye on their accounts (and take advantage of any free credit monitoring services that may be offered) and stay alert for any phishing texts, emails, or phone calls from bad actors attempting to use the harvested data to get their hands on even more personal and financial data.”

https://www.securitymagazine.com/articles/101711-krispy-kreme-data-breach-update-160-000-individuals-affected

Radware’s recent ecommerce report found that automated bots accounted for 57% of e-commerce website traffic during the 2024 holiday season. It marks the first time that automated, non-DDoS generating bots drove more traffic than human shoppers, signaling a critical shift in the cybersecurity landscape for e-commerce providers and online retailers. 

The report highlights major bot attack trends and real-world attack data observed during the 2024 online holiday shopping season. In addition, it offers insights into the distributed, multivector attacks e-commerce providers and retailers can expect to battle this year.  

According to the report, bad bots made up 31% of total internet traffic during the last holiday season. Nearly 60% of the malicious traffic employed advanced behavioral techniques to evade traditional, signature-based detection. Combating these bots requires accurate AI-powered detection of attack patterns, including rotating IPs and identities, distributed attacks, 

Malicious bot traffic directed at mobile platforms rose 160% between the 2023 and 2024 holiday shopping seasons, representing a fundamental shift in attacker focus. Security strategies need to be shored up and tailored for vulnerable mobile platforms and attackers using more sophisticated techniques, including mobile emulators, mobile-specific proxies, and headless browsers with mobile user-agent strings. 

The proportion of holiday attack traffic originating from and blending in with ISP networks increased 32% between 2023 and 2024. Attackers are leveraging wider network and residential proxy services to evade rate-limiting, geo-based, and IP-based blocking mechanisms, creating even greater mitigation challenges for security teams working without advanced, multi-layered protections. 

To maximize their success, attackers are targeting applications by combining bot attacks with web application vulnerability exploits, business logic attacks, and API-focused attacks. Protecting already burdened security systems requires an integrated application security strategy that uses the latest threat intelligence and cross-correlates security threats across security modules. 

Download the report

https://www.securitymagazine.com/articles/101712-over-half-of-online-shopping-traffic-is-made-up-of-bots

Negli ultimi anni, a seguito della sua diffusione sempre più massiva, l’intelligenza artificiale (di seguito, IA) ha assunto un ruolo centrale nella trasformazione dell’approccio alla cybersecurity da parte delle organizzazioni, diventando una risorsa essenziale per affrontare le sfide derivanti da tutte le sfere legate alla gestione della cybersicurezza, sia a livello corporate che di operations.

In particolare si stima che il mercato globale dell’IA nella cybersecurity, il quale si attestava già nel 2023 in 24.3 miliardi di dollari e in 31.1 nel 2024, raggiungerà la soglia di oltre 130 miliardi di dollari entro il 2030^[1]; a fronte di un incremento di ricavi, per le aziende che impiegano nei processi interni strumenti di IA generativa, passato da 11 miliardi di dollari nel 2020 e 128 del 2024 a una prospettiva di oltre 1360 miliardi previsti per il 2030^[2] (cfr. Grafico 1).

La capacità dell’IA di analizzare grandi quantità di dati eterogenei e di trarne correlazioni utili agli scopi dell’utente, identificando pattern ricorrenti e relative anomalie, sta rivoluzionando il panorama della sicurezza digitale, grazie a strumenti quali il machine learning, il deep learning e l’elaborazione del linguaggio naturale.

In particolare, le intersezioni tra IA e cybersecurity non si limitano all’utilizzo di tali strumenti per l’automazione o l’incremento di precisione e affidabilità nelle operazioni di offensive security – quali i processi di threat intelligence, vulnerability assessment e penetration test – potendosi estendere anche alla gestione della cybersecurity governance, laddove per governance s’intenda l’attività di costruzione dei processi interni funzionali al raggiungimento degli obiettivi di business dell’organizzazione e, al contempo, in grado di intercettare gli interessi degli stakeholder.

A riprova della concretezza dei risultati ottenibili dall’impiego delle predette tecnologie, vi è la circostanza per cui l’efficientamento del comparto sicurezza sia uno degli ambiti dove si riscontra la minor discrepanza tra i benefici attesi e quelli conseguiti attraverso l’impiego dell’IA, unitamente all’efficientamento di costo nella gestione del comparto operations (cfr. Grafico 2)^[3].

Le applicazioni in ambito operations

Dal punto di vista dell’ambito operations, è importante sottolineare come l’IA possieda diverse caratteristiche che la rendono adatta ad essere impiegata a supporto della maggior parte delle attività rientranti in questa macroarea.

La capacità dell’IA di analizzare grandi volumi di dati in tempo reale agevola l’identificazione di bug o feature, rendendo possibile correlare eventi e generare insight predittivi estremamente funzionali allo svolgimento di attività che comprendono – inter alia – la threat intelligence, attraverso l’analisi di grandi quantità di dati provenienti da fonti eterogenee, come log di sistema o feed derivanti da attività di business intelligence, social media e dark web.

In particolare, attraverso strumenti di c.d. machine learning sia supervisionato che non, l’IA identifica eventuali discrepanze e anomalie rispetto ai pattern appresi, identificando potenziali segnali di attività malevole e rivelando così una potenziale vulnerabilità.

Ad esempio, i predetti modelli di machine learning possono analizzare flussi di dati in tempo reale per rilevare i c.d. indicatori di compromissione (IOC)^[4] o correlare eventi apparentemente isolati per scoprire campagne di attacco coordinate.

Anche le operazioni di vulnerability assessment possono beneficiare delle caratteristiche dei tool di IA, attraverso l’automatizzazione delle attività di scansione di reti, sistemi e applicazioni per analizzare vulnerabilità note, nonché per identificarne di nuove e potenziali. Grazie alla capacità di apprendimento a partire dai dati storici delle analisi svolte in precedenza, l’IA può prevedere quali vulnerabilità saranno più suscettibili di essere sfruttate, fornendo indicazioni di priorità basate sul contesto specifico dell’organizzazione.

Inoltre, le proprietà di machine e deep learning permettono di analizzare le configurazioni di rete attuali e identificare eventuali errori o differenze rispetto allo standard di sicurezza emerso da processi di apprendimento della macchina, spesso difficili da rilevare con metodi tradizionali^[5].

Analogamente l’IA permette lo svolgimento di penetration test attraverso simulazioni di attacco specifiche, grazie alle predette tecnologie di reinforcement e deep learning, quali la privilege escalation, l’esfiltrazione e la simulazione di tentativi di compromissione delle infrastrutture critiche.

Questi strumenti automatizzati non solo migliorano la velocità e l’efficienza dei test, ma identificano anche vulnerabilità che potrebbero essere trascurate da approcci manuali.

È, dunque, evidente come l’ambito operations possa beneficiare di numerosi vantaggi dall’impiego delle tecnologie di IA che hanno carattere trasversale, trasformando le modalità con cui le organizzazioni possono approcciarsi all’attività di individuazione e mitigazione delle minacce e delle vulnerabilità.

In particolare, preme sottolineare come i vantaggi si possano sintetizzare nei concetti di scalabilità ed efficientamento delle operazioni.

Infatti, la riduzione dei tempi operativi è uno dei principali vantaggi: la capacità dell’IA di analizzare grandi volumi e flussi di dati in tempo reale permette di svolgere le attività descritte riducendo in modo determinante le dilazioni temporali a cui le stesse sarebbero soggette qualora venissero svolte da operatori tradizionali, così come il relativo costo.

È del tutto evidente quali siano i vantaggi derivanti dal poter svolgere le predette attività ad un costo minore, in minor tempo e con un’efficienza superiore.

Un ulteriore vantaggio significativo derivante dall’impiego dell’IA nei processi di offensive security risiede nella sua scalabilità.

L’impiego dell’IA permette infatti lo svolgimento dell’estensione dei predetti processi su sistemi e perimetri complessi e distribuiti, adattandosi dinamicamente a infrastrutture in evoluzione nonché a volumi di dati e perimetri sempre più ampi^[6].

Ciò risulta ancora più rilevante, come verrà discusso anche successivamente (v. infra, par. 3), a fronte dell’estensione del perimetro della responsabilità delle organizzazioni, dovuta all’aggiornamento della normativa applicabile, in termini di gestione del rischio in materia di sicurezza dei sistemi informativi e delle reti.

In particolare, preme sottolineare gli obblighi in tema di gestione del rischio cyber in ambito supply chain di cui all’art. 21, par. 2, lett. d), Direttiva UE 2022/2555 – Network Information Security Directive II (c.d. Direttiva NIS2)^[7], che estende in modo significativo il perimetro rilevante per le organizzazioni, portando a livello di obbligo normativo la gestione del rischio derivante da tutta la catena di fornitura.

È chiaro come siffatte previsioni normative, estendendo ex lege il perimetro rilevante in tema di gestione del rischio cyber, rendono ancora più importante il contributo di soluzioni innovative in grado di rendere la gestione della ICT governance quanto più possibile scalabile, mantenendo elevati livelli di affidabilità e precisione nella generazione degli output.

Alla luce di ciò, la capacità degli strumenti di IA di analizzare in modo integrato i grandi volumi i dati ricavati dalle attività sopra descritte, di determinare pattern di correlazione tra gli stessi e, sulla base di essi, formulare previsioni a carattere deduttivo, permette non solo di migliorare la coordinazione tra le diverse attività di cui si compone la gestione della cybersecurity; ma aumenta anche la resilienza complessiva dell’organizzazione, permettendo la creazione di un ecosistema di governance ICT più robusto, proattivo e, soprattutto, in grado di agevolare l’assunzione di decisioni strategiche^[8].

L’IA non sostituisce quindi il ruolo degli esperti di sicurezza (o l’importanza del fattore umano nella governance in generale) bensì lo potenzia, fornendo uno strumento ulteriore per individuare le informazioni rilevanti in grado di mettere in luce l’impatto della sicurezza digitale sugli aspetti strategici del business e facilitando, di conseguenza, l’assunzione di decisioni strategiche in tal senso (v. infra, par. 3).

Le applicazioni in ambito corporate

I profili corporate della gestione del rischio cyber comprendono la definizione dell’approccio strategico e integrato adottato dalle organizzazioni per identificare, valutare e mitigare i rischi associati alle minacce informatiche.

In particolare, tali profili^[9] attengono alla definizione delle decisioni e all’implementazione delle conseguenti azioni che il top management dovrebbe intraprendere con l’obiettivo di creare valore e garantire un vantaggio competitivo all’organizzazione stessa, alla luce dei suoi obiettivi di business.

La gestione della cybersecurity a livello corporate si basa infatti sulla definizione di presidi di governance, declinati nella forma di politiche, procedure, linee guida, manuali operativi ecc., volti alla regolazione di processi operativi che disciplinano i vari aspetti della governance ICT.

Da una diversa prospettiva, a valle della definizione della propria postura strategica in tema di gestione del rischio cyber, l’Organizzazione ha la necessità di attuare concretamente ciò che è stato disegnato in precedenza. L’esecuzione pratica di quanto definito dai presidi di governance di cui sopra attiene all’ambito operations.

Infatti, mentre il livello corporate stabilisce quali siano gli obiettivi in tema di sicurezza dei sistemi informativi e delle reti, cosa è necessario fare per raggiungerli e perché sia necessario raggiungerli, il livello operation si focalizza sul “come”, traducendo le strategie in azioni concrete e coerenti con il business dell’organizzazione e con il suo contesto^[10]. Appare dunque evidente il rapporto di complementarietà tra le due sfere della gestione del rischio cyber.

Dei robusti benefici dell’IA nella sfera operations si è già parlato in precedenza (v. supra, par. 2). È tuttavia altrettanto meritevole di approfondimento la tematica dell’applicabilità dell’IA nella sfera corporate, in particolare con riferimento alle potenzialità della stessa in tema di analisi e comparazione documentale.

Sul tema, è necessario premettere il ruolo fondamentale del contributo di metodologie e best practices riconosciute, come quelle fornite da framework e standard internazionali (NIST CSF 2.0, ISO/IEC 27001:2022, ISO/IEC 27002:2022, ISO/IEC 27701:2019, ISO 22301:2019, ecc.), i quali forniscono ottimi strumenti di indirizzo per supportare la definizione e la struttura dei presidi di governance di cui si compone la strategia dell’organizzazione.

Il punto è meritevole di attenzione, in quanto i predetti standard e framework non solo forniscono modelli di indirizzo a cui ispirare la costruzione della propria postura di governance ICT ma offrono, altresì, un parametro funzionale a valutarne il livello di maturità, laddove per maturità si intenda il livello di sviluppo/integrazione e ottimizzazione dei processi, delle tecnologie e delle pratiche di sicurezza informatica all’interno di un’organizzazione.

In particolare, la valutazione del livello di maturità si basa sull’analisi delle evidenze documentali dell’impianto di governance aziendale, al fine di valutarne l’aderenza ai requisiti posti dallo standard o framework selezionato^[11].

Proprio con riferimento alla valutazione e monitoraggio del livello di maturità della postura di cyber governance di un’organizzazione emergono i vantaggi portati dall’impiego dell’IA in tema di analisi e raffronto documentale (v. supra, par. 3).

Infatti, le capacità di analisi documentale offerte da piattaforme che sfruttano agents di Large Language Models (LLMs) rappresentano un supporto fondamentale nell’accelerazione e ottimizzazione di operazioni di analisi caratterizzate da elevati coefficienti di effort, dal punto di vista sia temporale sia economico.

In particolare, tali processi implicano l’analisi e il raffronto sistematico di grandi volumi di dati in formato documentale, al fine di evidenziare analogie ed eventuali difformità o discrepanze: operazioni che le caratteristiche specifiche degli LLMs, quali l’elaborazione e comprensione di testi complessi, l’apprendimento contestuale, l’interoperabilità tra contesti predefiniti (e.g. tra diversi standard specifici), l’elaborazione multilingua e l’apprendimento supervisionato, permetterebbero di scalare in termini di tempo e volumi^[12].

Il ruolo del contesto

Pare rilevante sottolineare come, in ragione delle caratteristiche dei tool riconducibili alla tecnologia LLM, sia possibile aumentare ulteriormente la precisione dei risultati ottenibili, così come della definizione del perimetro di riferimento entro cui l’LLM dovrà operare, attraverso l’integrazione dei dati a sua disposizione con elementi di provenienza esterna rispetto al perimetro dell’organizzazione, ottenibili mediante strumenti di cyber intelligence.

Mediante la cyber intelligence è possibile, infatti, effettuare operazioni di raccolta, analisi e interpretazione di dati e informazioni relative a un dominio cibernetico (i.e. un contesto) determinato, per supportare decisioni strategiche in tema di gestione del rischio cyber^[13].

Appare del tutto evidente quali benefici tali informazioni possano apportare nell’utilizzo degli strumenti di IA, sia nella sfera corporate che nelle operations.

In particolare, la possibilità di basarsi sull’utilizzo delle informazioni addizionali raccolte mediante operazioni di cyber intelligence mirate permette agli algoritmi impiegati di beneficiare, da un lato, di un contesto di riferimento più preciso e definito; dall’altro, di poter contare su elementi ulteriori per alimentare il proprio processo di apprendimento, incrementando di conseguenza la qualità e la pertinenza dell’output finale.

All’esito di quanto sopra, pare ragionevole affermare che – nella misura in cui l’IA venga impiegata nell’ambito di attività specifiche, in contesti adeguatamente descritti e perimetrati e per la produzione di output altrettanto specifici – non ci si debba più rifare all’utilizzo di algoritmi ad uso generale e orizzontale, ma di agent di IA modellati e programmati alla luce di attività e contesti ben delineati^[14].

Conclusioni

L’integrazione dell’IA nella cybersecurity rappresenta un’evoluzione strategica fondamentale per affrontare le sfide poste da un panorama di minacce in continua evoluzione e da normative sempre più stringenti.

Le capacità dell’IA di impattare sia in ambito corporate che operations dimostra un potenziale nell’ottimizzazione e la scalabilità di tutti i processi di governance ICT.

In questo contesto l’IA non si limita a potenziare le capacità operative e strategiche, contribuendo a ridefinire la stessa natura della gestione del rischio cyber; nonché promuovendo un equilibrio dinamico tra automazione, precisione e adattabilità.

Per un’analisi approfondita delle metodologie di cyber intelligence, delle best practices di implementazione AI e delle strategie avanzate di risk management, consultate il Quaderni di Cyber Intelligence #7, dove esperti del settore forniscono insights tecnici, case study reali e roadmap strategiche per navigare con successo l’intersezione tra intelligenza artificiale e rischio cyber.

Note

[1] Artificial Intelligence (AI) in Cybersecurity, Statista, 2023, slide 18, slide 3.

[2] Ibidem, slide 4.

[2] Ibidem, slide 4.

[3]V. Artificial Intelligence (AI) in Cybersecurity, Statista, 2023, slide 19

[4] Sul punto, si precisa come per Indicatore di Compromissione si intenda una traccia osservabile o un artefatto digitale che suggerisce una possibile compromissione della sicurezza di un sistema o di una rete. Gli IOC includono informazioni come indirizzi IP sospetti, hash di file malevoli, nomi di dominio utilizzati in campagne di phishing, stringhe specifiche all’interno di file o log e comportamenti anomali rilevabili all’interno di infrastrutture IT. Tali elementi vengono raccolti e analizzati congiuntamente nel contesto delle attività di threat intelligence. Cfr. H. Jahankhani – G. Bowen – M. S. Sharif – O. Hussein, Cybersecurity and Artificial Intelligence, Transformation Strategies and Disruptive Innovation, Springer, 2024.

[5] Cfr. H. Jahankhani – G. Bowen – M. S. Sharif – O. Hussein, Cybeersecurity and Artificial Intelligence, Transformation Strategies and Disruptive Innovation, Springer, 2024.

[6] Cfr. H. Jahankhani – G. Bowen – M. S. Sharif – O. Hussein, Cybeersecurity and Artificial Intelligence, Transformation Strategies and Disruptive Innovation, Springer, 2024, e S. Kumar et al. – Artificial Intelligence: Revolutionizing Cybersecurity in the Digital Era, in Journal of Computers, Mechanical and Management (JCMM), Vol. 2, Issue 3.

[7] Sul punto, il medesimo obbligo viene ripreso all’interno del D.lgs. 138/2024 che recepisce la Direttiva NIS2 all’interno dell’Ordinamento Italiano, in particolare all’art. 24, co. 1, lett. d).

[8] V. Nota 5.

[9] In generale, il concetto di corporate strategy include la determinazione delle attività che un’impresa dovrebbe gestire internamente o esternamente, l’identificazione delle sinergie tra le diverse unità aziendali e la gestione di transazioni come fusioni, acquisizioni, alleanze strategiche e dismissioni. Il top management dovrebbe coordinare le risorse all’interno dell’organizzazione, gestire relazioni interorganizzative e decidere quali attività includere o escludere dai confini aziendali. Una strategia aziendale ben eseguita non solo migliora la performance finanziaria dell’impresa, ma influenza anche il modo in cui le risorse vengono allocate e le interazioni con partner esterni vengono strutturate. Cfr. E. R. Feldmand – Corporate Strategy: Past, Present and Future, in Strategic Management Review 1, 2020.

[10] La maturità non riguarda solo la presenza di controlli tecnici o procedure operative ma anche la loro efficacia, adattabilità e allineamento agli obiettivi strategici dell’impresa. Un’organizzazione con un elevato grado di anticipare, identificare, mitigare e rispondere efficacemente alle minacce informatiche, riducendo al minimo l’impatto su operazioni, risorse e reputazione.

[11] Sul punto, preme sottolineare come tale analisi debba implicitamente avere carattere di terzietà ed imparzialità, al fine di rendere quanto più credibile e affidabile il risultato, ad esempio, applicando i principi propri degli audit di terza parte di cui alla ISO 19011:2018.

[12] Sul punto si vedano H. Jahankhani – G. Bowen – M. S. Sharif – O. Hussein, Cybeersecurity and Artificial Intelligence, Transformation Strategies and Disruptive Innovation, Springer, 2024; e S. Kumar et al. – Artificial Intelligence: Revolutionizing Cybersecurity in the Digital Era, in Journal of Computers, Mechanical and Management (JCMM), Vol. 2, Issue 3.

[13] Sul punto si veda Fahim Sufi, Novel Application of Open-Socurce Cyber Intelligence, in Electronics, 2023, 12, 3610.

[14] Sul punto si veda S. Kapoor, B. Stroebl et al., AI Agents that Matter, in airXiv.com, Princeton University, July 2, 2024; e Cristiano Castelfranchi, Modelling Social Action for AI Agent, in Artificial Intelligence 103 (1998), Elsevier.

https://www.ictsecuritymagazine.com/articoli/intelligenza-artificiale-rischio-cyber/

@import url(‘https://fonts.googleapis.com/css2?family=Nunito+Sans:ital,opsz,wght@0,6..12,400;0,6..12,500;0,6..12,600;0,6..12,700;1,6..12,400;1,6..12,500;1,6..12,600;1,6..12,700&family=Nunito:ital,wght@0,400;0,500;0,600;0,700;1,400;1,500;1,600;1,700&display=swap’); h3 { font-weight: bold; font-size: 18px; color: #C72026; } figure { padding: 4px; margin: auto; } figcaption { background-color: #f8f8f8; color: #404144; Nunito Sans’, Arial, sans-serif; font-size: 14px; padding: 2px; text-align: center; } .highlight { padding: 3%; border-top: 8px solid #207BBC; border-bottom: 3px solid #207BBC; width: 100%; Nunito Sans’,Arial,sans-serif; font-size: 14px; background-color: #EAF1F7; margin-top: 25px; margin-bottom: 25px; }

Every organization needs a way to monitor any risks that may come their way. Security magazine has highlighted a few recently released risk management products.

CyberSaint

Manage All Risks in One Platform

CyberStrong is purpose-built for enterprise cyber risk management. Users can manage cybersecurity with a standards-based, risk-centric lens through which can illustrate a program’s impact. Users can identify and quantify cyber risks quickly, prioritizing controls using financial metrics through models such as the FAIR model or NIST 800-30. Image courtesy of CyberSaint

Find out more at cybersaint.io

---

Operant AI

Uses AI to Manage Access Control

Operant AI announced AI Gatekeeper, a new product that brings end-to-end runtime AI protection to everywhere enterprises are deploying AI Applications and AI Agents – from Kubernetes to hybrid and private clouds. AI Gatekeeper not only brings Operant’s 3D Defense capabilities beyond Kubernetes, it also provides defenses against rogue agents, including trust scores, agentic access controls, and threat blocking for MCPs (Model Context Protocols) and Agentic AI Non-Human Identities (NHIs). Image courtesy of Operant AI

Find out more at www.operant.ai

---

SecurityBridge

Detects Malicious or Vulnerable Code

With the release of SecurityBridge Platform V6.31, SecurityBridge is introducing a set of AI-powered functions for early adopters within the SecurityBridge Code Vulnerability Analyzer (CVA) app. These features aim to help customers better understand vulnerabilities in custom ABAP code and clarify the purpose of specific code snippets within their systems.  This built-in feature simplifies the understanding of ABAP code by explaining the purpose and functionality of a selected code snippet. It is particularly valuable for users unfamiliar with ABAP’s complexities but who want to comprehend the behavior of specific code. Image courtesy of SecurityBridge

Find out more at securitybridge.com

---

SecurityScorecard

Manage Third Parties To Reduce Risk

Users can streamline collaboration with internal stakeholders and their third-parties in one dashboard, and create plans for your vendors to improve their security posture. Users can also generate dynamic remediation plans and prioritize critical vulnerabilities and assign individuals to fix issues. Users can see progress in real time, saving hours and reducing ecosystem risk. Continuously monitor and assess your third-parties with breach and incident data to ensure compliance and safeguard your supply chain against potential cyber threats. Image courtesy of SecurityScorecard

Find out more at securityscorecard.com

---

TrackVia

Automatically Flags Safety Concerns

TrackVia simplifies the process of conducting safety checks and inspections. Ucan standardize safety protocols across all locations, perform thorough inspections using mobile devices and capture data and photos directly from the field. TrackVia provides tools to automatically flag safety issues during inspections, assign corrective actions to responsible team members and track issue resolution in real time. Image courtesy of TrackVia

Find out more at trackvia.com

https://www.securitymagazine.com/articles/101714-product-spotlight-on-risk-monitoring

Large-scale attacks designed to bring down Internet services by sending them more traffic than they can process keep getting bigger, with the largest one yet, measured at 7.3 terabits per second, being reported Friday by Internet security and performance provider Cloudflare.

The 7.3Tbps attack amounted to 37.4 terabytes of junk traffic that hit the target in just 45 seconds. That’s an almost incomprehensible amount of data, equivalent to more than 9,300 full-length HD movies or 7,500 hours of HD streaming content in well under a minute.

Indiscriminate target bombing

Cloudflare said the attackers “carpet bombed” an average of nearly 22,000 destination ports of a single IP address belonging to the target, identified only as a Cloudflare customer. A total of 34,500 ports were targeted, indicating the thoroughness and well-engineered nature of the attack.

The vast majority of the attack was delivered in the form of User Datagram Protocol packets. Legitimate UDP-based transmissions are used in especially time-sensitive communications, such as those for video playback, gaming applications, and DNS lookups. It speeds up communications by not formally establishing a connection before data is transferred. Unlike the more common Transmission Control Protocol, UDP doesn’t wait for a connection between two computers to be established through a handshake and doesn’t check whether data is properly received by the other party. Instead, it immediately sends data from one machine to another.

UDP flood attacks send extremely high volumes of packets to random or specific ports on the target IP. Such floods can saturate the target’s Internet link or overwhelm internal resources with more packets than they can handle.

Since UDP doesn’t require a handshake, attackers can use it to flood a targeted server with torrents of traffic without first obtaining the server’s permission to begin the transmission. UDP floods typically send large numbers of datagrams to multiple ports on the target system. The target system, in turn, must send an equal number of data packets back to indicate the ports aren’t reachable. Eventually, the target system buckles under the strain, resulting in legitimate traffic being denied.

https://arstechnica.com/security/2025/06/record-ddos-pummels-site-with-once-unimaginable-7-3tbps-of-junk-traffic/

Giu 20, 2025 Marina Londei Attacchi, Hacking, In evidenza, News, RSS 0

---

Anche Viasat, colosso delle telecomunicazioni americano, è rimasto vittima della campagna di cyberspionaggio di Salt Typhoon dello scorso anno. A riportare per prima la notizia è stata la testata Bloomberg: secondo alcune fonti vicino all’azienda, la compagnia sarebbe avrebbe scoperto di essere stata vittima del breach all’inizio di quest’anno. 

Non solo quindi Verizon Communications e Lumen Technologies tra le vittime della campagna di spionaggio del gruppo cinese durante il periodo delle elezioni presidenziali, ma anche Viasat.

Gli impatti della campagna di Salt Typhoon sono stati devastanti: il gruppo ha rubato decine di migliaia di numeri di telefono rubati, inclusi quelli di numerose figure politiche. Nel caso di Viasat, però, non ci sarebbero conseguenze sugli utenti: “Viasat e il suo partner indipendente di cybersicurezza hanno indagato su una segnalazione di accesso non autorizzato attraverso un dispositivo compromesso“, ha dichiarato la società in un comunicato. “Al termine di un’indagine approfondita, non sono state trovate prove che suggeriscano un impatto sui clienti”.

La società non ha aggiunto altri dettagli sugli impatti dell’attacco sulla propria rete, ma in una dichiarazione successiva ha affermato che i dettagli delle analisi in corso, in collaborazione col governo e l’FBI, sono troppo sensibili e pertanto non ancora rilasciabili al pubblico.

Di fronte alle accuse degli Stati Uniti, il governo cinese ha negato qualsiasi collegamento a Salt Typhoon. Lo scorso gennaio la Casa Bianca ha emesso una sanzione ai danni di una compagnia cinese che, a detta del governo statunitense, avrebbe partecipato alla campagna del gruppo.

La minaccia Salt Typhoon

Attivo dal 2020, Salt Typhoon è un gruppo APT che si ritiene agisca per conto del Ministro per la Sicurezza dello Stato cinese. Fin dalla sua formazione ha eseguito campagne di spionaggio contro obiettivi di alto profilo, prendendo di mira in particolare gli Stati Uniti. Le operazioni del gruppo sono soprattutto di controspionaggio e furto di dati sensibili.

Secondo le informazioni raccolte negli anni dalle firme di sicurezza, il gruppo è organizzato in diversi sotto-team, ognuno dei quali opera contro un Paese, istituzione o settore differente.

Tra i principali tool usati dal gruppo c’è Demodex, un rootkit kernel-mode per Windows usato per prendere il controllo dei sistemi da remoto. Nel corso degli anni la gang ha affinato le proprie tecniche, arrivando a livelli di sofisticazione molto elevati che gli consentono di eludere i controlli e le analisi di sicurezza.

Noto alle intelligence di tutto il mondo fin dalla sua formazione, il gruppo si è guadagnato la fama del “grande pubblico” dopo il breach. Il gruppo aveva usato alcune vulnerabilità presenti nei router Cisco e avrebbe sfruttato l’intelligenza artificiale per eseguire gli attacchi su scala.

Sebbene da novembre il gruppo non sia tornato all’attacco, il livello di allerta è rimasto alto. L’attacco è stato talmente impattante che, in seguito, le agenzia governative statunitensi hanno cominciato a promuovere l’uso della crittografia end-to-end per proteggere le comunicazioni; un cambiamento significativo, visto che dagli anni ’90 il CALEA (Communications Assistance for Law Enforcement ACT) ha imposto ai provider di telecomunicazioni di inserire backdoor per le intercettazioni, le stesse backdoor che hanno usato gli attaccanti per portare a termine il breach. 

---

---

---

https://www.securityinfo.it/2025/06/20/anche-viasat-vittima-del-cyberspionaggio-di-salt-typhoon/?utm_source=rss&utm_medium=rss&utm_campaign=anche-viasat-vittima-del-cyberspionaggio-di-salt-typhoon