Pwn2Own participants have earned tens of thousands of dollars for Red Hat, Windows, Oracle VirtualBox, Docker Desktop, and AI exploits.
The post Hackers Win $260,000 on First Day of Pwn2Own Berlin 2025 appeared first on SecurityWeek.
https://www.securityweek.com/hackers-win-260000-on-first-day-of-pwn2own-berlin-2025/
United Kingdom retailer Marks & Spencer (M&S) has provided an update on the cyberattack it recently experienced, stating that personal customer data was stolen in the incident.
Neither payment details nor account passwords were stolen. Instead, information at risk may include:
According to the notice, the organization has seen no evidence that the stolen information has been shared.
From a compliance standpoint, this breach could trigger significant scrutiny under GDPR and UK privacy laws — particularly given the compromise of sensitive personal data, including names, addresses, birthdates, and order histories.
For enterprises across sectors, the incident underscores the need to move beyond “checkbox” compliance and adopt a comprehensive, policy-driven governance framework — one that continuously monitors adherence to internal controls and dynamically adapts to evolving regulatory requirements and business needs.
In the wake of recent cyberattacks and data breaches such as this, potentially impacted users/customers should be generally aware of an increased risk of being targeted by scams. This includes phishing attacks wherein they receive communication from a malicious actor purporting to be from a legitimate source, such as the impacted company/service, and potentially leveraging compromised data in an attempt to appear legitimate and encourage them to take some action or engage with the malicious actor further; in extreme cases, even fraud by criminals using the compromised data to masquerade as the affected user (depending upon the nature of the data compromised).
Users should generally remain vigilant for unusual activity across their accounts and take reasonable precautions such as resetting and not reusing credentials (such as passwords) across services, as well as monitoring for updates on the situation from the affected organization.
https://www.securitymagazine.com/articles/101632-update-on-marks-and-spencer-cyberattack
A new report analyzing 180 healthcare email breaches from January 1, 2024, to January 31, 2025 reveals widespread cybersecurity issues and escalating regulatory penalties. Paubox’s 2025 Healthcare Email Security Report highlights how email remains the leading attack vector, resulting in financial penalties, compromised patient data, and increased enforcement actions from regulators.
Key findings include:
Despite a 50% increase in healthcare cybersecurity spending since 2018, many healthcare organizations still fail to implement fundamental email security protocols. The report found that 98.9% of breached organizations lacked MTA-STS protections, exposing email communications to interception. Additionally, 37.2% of Microsoft 365 users had DMARC in ‘monitor-only’ mode, leaving phishing attempts undetected.
https://www.securitymagazine.com/articles/101621-almost-half-of-healthcare-breaches-involved-microsoft-365
KnowBe4 released its “Global Retail Report 2025,” revealing a shift in cybercriminal tactics targeting the retail sector. The report finds that credential harvesting, which is often orchestrated through phishing attacks, has become the predominant threat, accounting for 38% of all compromised data in 2023, while payment card data theft dropped to 25%.
The research shows an increase in cyberattacks in the retail sector, with attack frequency rising by 56% in 2023 compared to the previous year. This puts retail in the top five industries targeted by cybercriminals. The average cost of a retail data breach reached $3.48 million in 2024, an 18% increase from 2023.
Credential theft now accounts for 38% of all compromised data, while payment card theft dropped to 25%, making credential harvesting the leading threat in retail cyberattacks. North America’s retail sector experienced the highest percentage of attacks (56%), while Latin America saw the second most at 32%, and Europe experienced 11% of attacks.
The United States retail sector accounted for 45% of global ransomware attacks despite representing only 28% of market share, making retail the second most targeted sector. Conducting security awareness training and simulated phishing evaluations for one year or more can reduce the likelihood of employees falling for phishing attacks for organizations of all sizes.
Employee susceptibility to phishing attacks dropped from 42.4% to just 5.2% in large retail organizations, while small and medium-sized retailers saw similar improvements, with rates dropping to 4.7% and 4.5% respectively after one year of continuous training, according to the report.
https://www.securitymagazine.com/articles/101620-credential-harvesting-becomes-top-retail-data-threat
Once a key figure in the Angler exploit kit underworld, Tarasov’s life has unraveled into detention, paranoia, and an unwanted return to the Russia he publicly despised.
The post Andrei Tarasov: Inside the Journey of a Russian Hacker on the FBI’s Most Wanted List appeared first on SecurityWeek.
https://www.securityweek.com/andrei-tarasov-inside-the-journey-of-a-russian-hacker-on-the-fbis-most-wanted-list/
The FBI is warning people to be vigilant of an ongoing malicious messaging campaign that uses AI-generated voice audio to impersonate government officials in an attempt to trick recipients into clicking on links that can infect their computers.
“Since April 2025, malicious actors have impersonated senior US officials to target individuals, many of whom are current or former senior US federal or state government officials and their contacts,” Thursday’s advisory from the bureau’s Internet Crime Complaint Center said. “If you receive a message claiming to be from a senior US official, do not assume it is authentic.”
The campaign’s creators are sending AI-generated voice messages—better known as deepfakes—along with text messages “in an effort to establish rapport before gaining access to personal accounts,” FBI officials said. Deepfakes use AI to mimic the voice and speaking characteristics of a specific individual. The differences between the authentic and simulated speakers are often indistinguishable without trained analysis. Deepfake videos work similarly.
One way to gain access to targets’ devices is for the attacker to ask if the conversation can be continued on a separate messaging platform and then successfully convince the target to click on a malicious link under the guise that it will enable the alternate platform. The advisory provided no additional details about the campaign.
The advisory comes amid a rise in reports of deepfaked audio and sometimes video used in fraud and espionage campaigns. Last year, password manager LastPass warned that it had been targeted in a sophisticated phishing campaign that used a combination of email, text messages, and voice calls to trick targets into divulging their master passwords. One part of the campaign included targeting a LastPass employee with a deepfake audio call that impersonated company CEO Karim Toubba.
In a separate incident last year, a robocall campaign that encouraged New Hampshire Democrats to sit out the coming election used a deepfake of then-President Joe Biden’s voice. A Democratic consultant was later indicted in connection with the calls. The telco that transmitted the spoofed robocalls also agreed to pay a $1 million civil penalty for not authenticating the caller as required by FCC rules.
https://arstechnica.com/security/2025/05/fbi-warns-of-ongoing-scam-that-uses-deepfake-audio-to-impersonate-government-officials/
The sudden spike in copycat attacks in France, Belgium, and Spain over the last few months suggests that crypto robbery as a tactic has caught the attention of organized crime. (This week’s abduction attempt is already being investigated by the organized crime unit of the Parisian police.)
Crypto industry insiders seem convinced that organized crime likes these attacks because of a (mistaken) belief that crypto transfers are untraceable. So people like Chainalysis CEO Jonathan Levin are trying to clue in the crime bosses.
“For whatever reason, there is a perception that’s out there that crypto is an asset that is untraceable, and that really lends itself to criminals acting in a certain way,” Levin said at a recent conference covered by the trade publication Cointelegraph.
“Apparently, the [knowledge] that crypto is not untraceable hasn’t been received by some of the organized crime groups that are actually perpetrating these attacks, and some of them are concentrated in, you know, France, but not exclusively.”
https://arstechnica.com/security/2025/05/fractured-skulls-and-ski-masks-more-crypto-kidnap-madness-on-the-streets-of-paris/
Roblox, an online gaming platform for children, is facing a nationwide class action lawsuit. This lawsuit alleges that Roblox has violated the privacy of its users by tracking data without consent.
Plaintiffs Michael and Salena Garcia filed the lawsuit in California federal court, alleging the platform utilizes a secret tracking technology to collect data on a range of interactions, including mouse movements, keystrokes, chat messages and search terms. The lawsuit states that Roblox then monetizes the collected information to display targeted content for the user, keeping them engaged with the platform or providing the information to third-party advertisers.
Below, security leaders discuss the implications of this lawsuit as well as other potential security risks associated with the game.
Ensuring the safety of children on popular online platforms, such as Roblox, is crucial. While in-game interactions are often prioritized, the security of the platform’s underlying systems is just as important. Reports revealing potential vulnerabilities in support ticket systems underline that technical flaws in the infrastructure managing sensitive user data and communications, often through APIs, can present genuine risks. These vulnerabilities might allow unauthorized access to a child’s account or compromise personal information if these vulnerabilities are exploitable. Parents should definitely use all available in-app safety settings; however, they should also recognize that the security posture of the platform provider plays a fundamental role in safeguarding their children. These platforms need to enact robust security measures throughout all their systems, including API infrastructure, in order to deter potential exploits that could affect young users.
As with any online game or social app, parents need to be vigilant about the interactive features in Roblox, as they can sometimes lead to scams or inappropriate behavior. The chat function is a great way for players to connect, share strategies, and collaborate, but it also carries risks. Children may be exposed to offensive language or be tempted to share personal information. That’s why it’s crucial to set up privacy and parental controls properly and regularly review them. It’s also important to talk to your children about common online scams targeting Roblox users. These can include fake Robux generators or phishing links disguised as in-game rewards. Remind them never to share private or account details with anyone.
Roblox is a fantastic platform for creativity and self-expression, with many user-generated games and experiences. However, not all content is suitable for children, so keep an eye on what they’re accessing. Finally, be aware of the financial aspect. In-game purchases are made using Robux, which can make it hard for kids to grasp the real-world value of what they’re spending. Help them understand digital money, monitor their spending, and consider enabling password protection for purchases until they can manage it responsibly.
When it comes to keeping kids safe on platforms like Roblox, the most effective defense is open, ongoing dialogue between parents and their children. Technology can help — privacy settings, parental controls, and monitoring tools are all useful — but they’re no substitute for trust and communication. Kids need to feel comfortable coming to their parents when something doesn’t seem right, whether it’s a stranger reaching out, encountering inappropriate content, or even just a gut feeling that something’s off.
Roblox, like any online platform, has its risks. Privacy concerns, like the allegations of tracking children’s data, are a big one. Parents should ensure accounts are set up with minimal personal information and use strong passwords and two-factor authentication. Beyond that, the social interaction piece is critical. While Roblox fosters creativity and connection, it’s also a space where bad actors can operate. Teaching kids to recognize red flags — like someone asking for personal details, trying to move conversations off-platform, or trying to encourage them towards “illegal” activity within the app — is key.
The other thing is to normalize conversations about mistakes. Kids are curious, and sometimes that curiosity can lead them into risky or even harmful situations online. If they feel they can talk to you without fear of punishment, you’re far more likely to catch and address issues early. Think of it as creating a “safe space” for them to share what they’re experiencing.
Ultimately, the goal isn’t to scare kids away from technology but to empower them to use it wisely. Open communication builds the kind of awareness and resilience that no app or setting can replace.
Parents often focus on in-game safety, but it’s equally important to consider the security of the mobile device and app itself. Mobile apps — especially those as widely used as Roblox — can be targets for malware, phishing, and exploitation through unpatched vulnerabilities. If the device is compromised, attackers can access sensitive information, hijack sessions, or manipulate app behaviors. We encourage parents to ensure that their child’s device has protection in place to detect threats in real time and prevent attackers from exploiting mobile-first vulnerabilities.
https://www.securitymagazine.com/articles/101628-lawsuit-alleges-roblox-tracks-childrens-data-without-parental-consent
Coinbase said a group of rogue contractors were bribed to pull customer data from internal systems, leading to a $20 million ransom demand.
The post Coinbase Rejects $20M Ransom After Rogue Contractors Bribed to Leak Customer Data appeared first on SecurityWeek.
https://www.securityweek.com/coinbase-rejects-20m-ransom-after-rogue-contractors-bribed-to-leak-customer-data/
Il settore dell’e-commerce ha registrato una crescita esponenziale negli ultimi anni, trainato dall’adozione massiva del digitale e da un cambiamento radicale nei comportamenti dei consumatori. Tuttavia, con questa espansione è diventata sempre più evidente la necessità di un framework normativo solido, che garantisca sicurezza, trasparenza e fiducia per tutti gli attori coinvolti: dai consumatori alle imprese, fino agli intermediari finanziari.
In questo contesto, l’Unione Europea ha assunto un ruolo guida nel definire regolamentazioni e direttive volte a disciplinare il commercio elettronico. Normative come la PSD2 (Payment Services Directive 2), il GDPR (General Data Protection Regulation), e il Digital Services Act hanno modificato in maniera significativa il panorama del commercio elettronico. Queste disposizioni non solo definiscono obblighi per le aziende, ma modellano anche l’architettura tecnica e organizzativa delle piattaforme di vendita online.
Di seguito, analizziamo allora i principali impatti di questo panorama legislativo, focalizzandoci su quattro ambiti strategici: la Strong Customer Authentication (SCA), la protezione del consumatore, la compliance ai requisiti della PSD2 e l’evoluzione nel tempo delle disposizioni legislative legate al commercio elettronico.
Uno degli elementi centrali della normativa PSD2 è la Strong Customer Authentication. Questo protocollo rappresenta una risposta concreta alla necessità di aumentare il livello di sicurezza delle transazioni online, riducendo il rischio di frodi e migliorando la fiducia dei consumatori nei sistemi digitali di pagamento.
La SCA impone che tutte le transazioni elettroniche siano validate attraverso almeno due dei seguenti tre fattori: conoscenza (qualcosa che solo l’utente conosce), possesso (qualcosa che solo l’utente possiede) e inerzia (qualcosa che solo l’utente è, come un’impronta digitale o un riconoscimento facciale). Questo approccio multifattoriale garantisce che le identità siano verificate in modo robusto prima di autorizzare una transazione, sia essa bancaria o commerciale.
Dal punto di vista tecnico, le piattaforme e-commerce hanno dovuto aggiornare le proprie interfacce di checkout, integrando soluzioni di autenticazione forte come 3D Secure 2.0. Questo ha comportato modifiche profonde all’user experience: se da una parte la sicurezza è aumentata, dall’altra alcuni clienti hanno lamentato un processo di pagamento più lungo e complesso. Tuttavia, le statistiche dimostrano che le frodi su carte non presenti (card-not-present) sono diminuite nei Paesi che hanno applicato più rigorosamente la SCA.
Le modalità con cui viene applicata l’autenticazione forte del cliente dipendono dal tipo di transazione e dal dispositivo utilizzato. Ad esempio, nelle operazioni condotte da smartphone, si assiste a un crescente utilizzo di metodi biometrici, come il riconoscimento facciale o l’impronta digitale. Allo stesso modo, le carte di pagamento possono integrare meccanismi di autenticazione a due fattori, in cui il primo livello consiste nel riconoscimento della carta e il secondo in un codice di conferma ricevuto via SMS.
Per gli esercenti digitali, l’impatto della SCA è stato duplice. In primo luogo, è stato necessario investire in nuove tecnologie e interfacciarsi con gateway di pagamento aggiornati. In secondo luogo, è sorta la necessità di formare il personale interno e i clienti stessi, educandoli all’uso di metodi di autenticazione avanzati come le app bancarie con riconoscimento biometrico o l’autenticazione via token.
L’adozione della SCA non è però stata uniforme in Europa: alcuni Stati membri hanno applicato periodi di transizione più lunghi, mentre altri hanno adottato approcci più rigidi. Ciò ha generato una certa frammentazione nel mercato digitale europeo, costringendo molti marketplace a sviluppare sistemi flessibili, capaci di adattarsi alle diverse interpretazioni della norma.
La PSD2 contempla alcune deroghe all’obbligo di applicare la Strong Customer Authentication, valide in circostanze particolari, come ad esempio per le transazioni considerate a basso rischio ossia quando l’importo è inferiore a una soglia prestabilita oppure per i pagamenti ricorrenti effettuati verso lo stesso beneficiario.
La protezione del consumatore è un pilastro centrale nelle politiche europee relative all’e-commerce. L’obiettivo è garantire che l’utente finale abbia accesso a informazioni chiare, veritiere e aggiornate, possa esercitare diritti come il recesso o il rimborso, e sia protetto da pratiche commerciali scorrette o da offerte ingannevoli.
Con l’introduzione di direttive come la Consumer Rights Directive e più recentemente il Digital Markets Act (DMA), si è assistito a una codifica sempre più precisa degli obblighi informativi delle imprese online. Ad esempio, è ora obbligatorio indicare in modo trasparente i criteri utilizzati dagli algoritmi di ranking nei marketplace, così come segnalare se un prodotto è sponsorizzato o se una recensione è verificata.
Dal punto di vista tecnico, tutto ciò ha richiesto l’introduzione di standard e API che permettessero di automatizzare il tracciamento delle informazioni presentate all’utente. Alcuni esempi includono i metadata strutturati utilizzati per indicizzare correttamente i prodotti sui motori di ricerca o i tag HTML previsti per segnalare la presenza di offerte promozionali.
Le piattaforme e-commerce, specialmente quelle operanti in più Stati europei, hanno dovuto adeguare i propri flussi di navigazione e checkout per consentire ai consumatori di accedere facilmente ai termini e condizioni, alle politiche di reso e ai dati relativi alla provenienza del venditore. Inoltre, i cookie banner e i meccanismi di consenso sono diventati parte integrante dell’interfaccia utente, in conformità con il GDPR.
Un altro impatto importante degli standard tecnici legati alla protezione del consumatore è la necessità di registrare e conservare le interazioni tra cliente e piattaforma. Questo non solo per finalità di audit, ma anche per garantire la tracciabilità in caso di contenzioso. Molte aziende hanno adottato logiche di versioning sui contenuti contrattuali, conservando copia delle condizioni accettate da ciascun utente al momento dell’acquisto.
In sintesi, gli standard tecnici per la consumer protection si traducono in requisiti pratici di sviluppo software, UX design e gestione del ciclo di vita dei contenuti. Questi aspetti, se ben implementati, non solo evitano sanzioni amministrative, ma diventano anche un vantaggio competitivo in termini di affidabilità percepita e tasso di conversione.
La Direttiva UE 2015/2366 PSD2 (Payment Services Directive 2) ha rivoluzionato il mondo delle transazioni digitali. Oltre alla Strong Customer Authentication, essa introduce il concetto di “open banking”, ossia la possibilità per terze parti autorizzate (TPP) di accedere, con il consenso dell’utente, ai dati dei conti bancari e di avviare pagamenti direttamente. In Italia è ufficialmente operativa dal 14 settembre 2019 e ha condotto a nuovi standard di autenticazione e sicurezza per autorizzare le operazioni bancarie.
La normativa ha introdotto tre principali tipologie di servizi:
Questa apertura ha portato all’emergere di nuovi attori nel panorama e-commerce, come i Payment Initiation Service Providers (PISP) e gli Account Information Service Providers (AISP), che offrono servizi innovativi per l’acquisto online e la gestione finanziaria. Ad esempio, molti marketplace oggi permettono di pagare direttamente da conto a conto, evitando l’uso delle carte di credito tradizionali e riducendo le commissioni.
Per essere conformi alla PSD2, i sistemi di pagamento del commercio elettronico devono implementare API standardizzate (in genere definite dall’European Banking Authority) e protocolli sicuri di autorizzazione come OAuth 2.0. Queste tecnologie devono essere integrate nei payment gateway e nei back-end delle piattaforme, il che spesso richiede una revisione dell’architettura software e una stretta collaborazione con le banche partner.
Dal punto di vista legale, la PSD2 impone anche l’adozione di procedure di gestione dei consensi, di logging sicuro e di auditing degli accessi. Ciò comporta l’implementazione di strumenti avanzati di identity management e di sistemi di monitoraggio delle frodi in tempo reale.
Una corretta implementazione della compliance PSD2 è oggi un indicatore di maturità tecnologica e di affidabilità per le aziende e-commerce. Inoltre, consente l’introduzione di servizi a valore aggiunto come il pagamento rateale istantaneo, il checkout intelligente e la gestione dinamica del credito.
Tuttavia, non tutte le aziende sono riuscite a adattarsi con la stessa rapidità. Le PMI, in particolare, hanno spesso subito ritardi nell’adeguamento per via dei costi di sviluppo e della complessità normativa. Questo ha favorito la nascita di soluzioni white-label e API-as-a-service che consentono anche ai player più piccoli di restare competitivi sul mercato. A tal proposito, a partire dal 14 settembre 2020, gli istituti bancari sono stati tenuti a rendere accessibili, tramite API (Application Programming Interface), determinati dati relativi ai conti correnti e alle operazioni di pagamento dei propri clienti, esclusivamente a soggetti terzi autorizzati e previo esplicito consenso da parte del cliente, nel rispetto delle disposizioni previste dal GDPR.
L’ambiente normativo che regola la vendita online non è statico, ma evolve in risposta ai cambiamenti tecnologici, economici e sociali. I cosiddetti “evolution pattern” delle disposizioni legislative rappresentano proprio questa capacità di adattamento progressivo del diritto alle nuove forme di interazione digitale.
Uno degli esempi più evidenti è l’introduzione del Digital Services Act (DSA) e del Digital Markets Act (DMA), che mirano a regolamentare in modo più efficace le grandi piattaforme online, definite come “gatekeepers“. Questi atti legislativi introducono obblighi di trasparenza algoritmica, prevenzione della disinformazione e gestione responsabile dei contenuti.
Con il DSA e il DMA, l’Unione Europea inaugura una nuova stagione di regolazione proattiva, rivolta non più al singolo attore, ma all’intero ecosistema. I gatekeeper ovvero le piattaforme online che mediano una parte significativa del traffico digitale sono soggetti a obblighi specifici:
Per il settore e-commerce, ciò significa l’obbligo di dotarsi di strumenti di compliance avanzata: dai filtri di contenuti all’audit algoritmico, fino a sistemi antifrode e processi di verifica delle identità. L’obiettivo non è solo la conformità, ma la costruzione di una filiera digitale più affidabile e verificabile.
L’impatto sul commercio elettronico è duplice. Da un lato, aumenta la pressione sulle piattaforme per sviluppare sistemi di moderazione e controllo più sofisticati. Dall’altro, si incentiva l’adozione di pratiche responsabili nella gestione dei dati, della pubblicità e del trattamento delle recensioni degli utenti.
Un altro ambito in forte evoluzione è quello legato alla sostenibilità e alla duty of care nella supply chain digitale, dove cresce l’esigenza per le aziende e-commerce di garantire la responsabilità ambientale e sociale lungo tutta la catena del valore, adottando strumenti di monitoraggio avanzato, criteri di due diligence e sistemi di rendicontazione ESG, in risposta sia alla crescente attenzione dei consumatori, sia alle nuove disposizioni europee in materia di trasparenza e accountability. Le nuove normative in discussione – come quelle legate al Green Deal europeo o alla Corporate Sustainability Due Diligence Directive (CSDDD) – introducono principi di responsabilità estesa per i venditori online:
Tali requisiti comportano l’adozione di strumenti digitali evoluti per la supply chain governance, come i registri distribuiti (blockchain), o i digital passport dei prodotti.
Anche il settore delle criptovalute e dei pagamenti decentralizzati è oggetto di nuove normative, come il Regolamento MiCA (Markets in Crypto-Assets), che influenzerà sempre più i gateway di pagamento che vogliono accettare asset digitali. Per gli operatori e-commerce, ciò implica che l’accettazione di criptovalute come mezzo di pagamento dovrà avvenire solo attraverso intermediari regolamentati, con sistemi di identificazione del cliente (KYC), prevenzione del riciclaggio e custodia sicura degli asset. L’interoperabilità tra il mondo fiat e crypto diventa dunque una questione legislativa, oltre che tecnica.
Infine, l’evoluzione normativa è sempre più orientata al dialogo con l’innovazione tecnologica. Si osserva una crescente interazione tra regolatori, sviluppatori e operatori del mercato, che porta alla nascita di sandbox regolamentari e framework flessibili come i Digital Operational Resilience Act (DORA), pensati per gestire i rischi operativi nelle infrastrutture digitali critiche. L’obiettivo è permettere alle imprese di testare soluzioni innovative in ambienti controllati, sotto la supervisione delle autorità. DORA rappresenta un modello avanzato di regolazione preventiva, non più incentrata su sanzioni ex post, ma su requisiti di robustezza e reattività continua.
L’impatto del framework normativo sull’e-commerce è profondo e multiforme. Le regolamentazioni non sono semplicemente vincoli da rispettare, ma leve strategiche che orientano lo sviluppo tecnologico, la progettazione dell’esperienza utente e la gestione del rischio.
Dall’autenticazione forte alle API bancarie, dagli standard informativi per la protezione del consumatore ai modelli evolutivi della regolamentazione, ogni aspetto del commercio elettronico è oggi influenzato da requisiti legislativi sempre più articolati.
Comprendere e anticipare queste dinamiche rappresenta non solo un vantaggio competitivo, ma anche una necessità per chi vuole operare in modo sostenibile e conforme nel complesso scenario digitale attuale.
https://www.ictsecuritymagazine.com/notizie/framework-normativo/