A new report from Seemplicity reveals that vulnerability remediation delays are primarily caused by breakdowns in communication and team collaboration. Delays in vulnerability remediation occur in 91% of organizations, and 1 in 5 organizations require four or more days to fix critical flaws. 

According to the findings, 85% of organizations think they have strong cross-team collaboration. However, the report suggests that organizations are more confident in their collaborative efforts than they should be, as many rely on self-assignment or manual task assignment. This contributes to the communication breakdowns, which are the greatest cited reason of remediation delays. The report asserts that believed collaboration strength conceals deeper structural issues. 

61% of organizations measure success by resolved vulnerabilities; however, more strategic metrics are gaining traction. This includes fewer breaches (54%) and mean time to remediation (49%). 

Despite almost all organizations ranking structured prioritization models as the most effective, less than 20% of organizations use them. The report emphasizes the gap between intention and execution, indicating that mindsets may be shifting, but operations are still working to catch up. 

https://www.securitymagazine.com/articles/101585-91-of-organizations-face-vulnerability-remediation-delays

Governments hacking enterprise

A few years ago, zero-day attacks almost exclusively targeted end users. In 2021, GTIG spotted 95 zero-days, and 71 of them were deployed against user systems like browsers and smartphones. In 2024, 33 of the 75 total vulnerabilities were aimed at enterprise technologies and security systems. At 44 percent of the total, this is the highest share of enterprise focus for zero-days yet.

GTIG says that it detected zero-day attacks targeting 18 different enterprise entities, including Microsoft, Google, and Ivanti. This is slightly lower than the 22 firms targeted by zero-days in 2023, but it’s a big increase compared to just a few years ago, when seven firms were hit with zero-days in 2020.

The nature of these attacks often makes it hard to trace them to the source, but Google says it managed to attribute 34 of the 75 zero-day attacks. The largest single category with 10 detections was traditional state-sponsored espionage, which aims to gather intelligence without a financial motivation. China was the largest single contributor here. GTIG also identified North Korea as the perpetrator in five zero-day attacks, but these campaigns also had a financial motivation (usually stealing crypto).

That’s already a lot of government-organized hacking, but GTIG also notes that eight of the serious hacks it detected came from commercial surveillance vendors (CSVs), firms that create hacking tools and claim to only do business with governments. So it’s fair to include these with other government hacks. This includes companies like NSO Group and Cellebrite, with the former already subject to US sanctions from its work with adversarial nations.

In all, this adds up to 23 of the 34 attributed attacks coming from governments. There were also a few attacks that didn’t technically originate from governments but still involved espionage activities, suggesting a connection to state actors. Beyond that, Google spotted five non-government financially motivated zero-day campaigns that did not appear to engage in spying.

Google’s security researchers say they expect zero-day attacks to continue increasing over time. These stealthy vulnerabilities can be expensive to obtain or discover, but the lag time before anyone notices the threat can reward hackers with a wealth of information (or money). Google recommends enterprises continue scaling up efforts to detect and block malicious activities, while also designing systems with redundancy and stricter limits on access. As for the average user, well, cross your fingers.

https://arstechnica.com/security/2025/04/google-governments-are-using-zero-day-hacks-more-than-ever/

Commvault Command Center has a critical security flaw, potentially enabling the execution of arbitrary code on affected installations. This could led to a total compromise of the Command Center environment. 

The flaw was discovered by watchTowr Labs researcher Sonny Macdonald, who claims it could be leveraged to enact pre-authenticated remote code execution. The issue is caused by an endpoint called deployWebpackage.do, setting off a pre-authenticated Server-Side Request Forgery (SSRF). 

This flaw is tracked as CVE-2025-34028 and has a CVSS score of 9.0 out of 10.0. 

Security leaders weigh in 

Eric Schwake, Director of Cybersecurity Strategy at Salt Security:

This Commvault vulnerability underscores a significant risk: attackers can exploit weak API endpoints to gain extensive access to sensitive systems. The threat resides in the possibility of pre-authenticated remote code execution on systems that are often crucial to an organization’s data protection framework. A breach here could result in widespread data leaks, ransom demands for encrypted backups, or total control over recovery processes. To prevent such attacks, it is essential to implement stringent API security measures that focus on identifying and understanding the behavior of all API endpoints, including those used by critical infrastructure like backup systems. It is vital to enforce strict input validation and ensure strong authentication and authorization controls for all API functions, particularly those that manage file uploads or external connections. Additionally, continuous monitoring of API traffic is necessary to spot unusual activity that may indicate attempts to exploit these essential interfaces.

Thomas Richards, Infrastructure Security Practice Director at Black Duck:

A vulnerability like this could lead to an immediate compromise of the host running the Command Center software. Sensitive information could be exposed and the host system could be used for nefarious purposes. Users of Commvault should patch their installation immediately and begin forensic examination to determine if their instance was exploited.  If the instance was exposed to the internet, at all, firewall restrictions should be put in place to control who can access it. SSRF vulnerabilities are rather difficult to discover but they can cause significant damage. Commvault should review their secure coding guidelines and threat modeling processes to prevent vulnerabilities like this from occurring again.

Mr. Agnidipta Sarkar, Vice President CISO Advisory at ColorTokens:

This severity level CVSS 10 flaw does allow unauthenticated remote attackers to execute arbitrary code on affected systems without needing any credentials, which can lead to remote code execution. That this can lead to a complete compromise of the Command Center, the central component of Commvault’s data protection infrastructure, poses a clear and present danger to digital systems. Enterprises must follow mitigation steps on an immediate and persistent mode, and if they cannot shut down full networks, they should use appliance-based microsegmentation systems, like the Xshield Gatekeeper, which can opt in critical infrastructure isolation in minutes. Otherwise, organizations could be looking at a severe impact, potentially leading to irrecoverable business and personal data impact, should some ransomware impact them.

Heath Renfrow, CISO and Co-founder at Fenix24:

The recently disclosed Commvault Command Center vulnerability (CVE-2025-34028), rated at a critical CVSS score of 9.0, is both technically serious and operationally significant for organizations relying on Commvault for backup and recovery.

What makes this vulnerability so dangerous is threefold: 

• Pre-Authentication Exploitation: The flaw can be triggered before any authentication is required, meaning an attacker doesn’t need valid credentials to initiate the exploit — removing one of the primary barriers to entry.
• Remote Code Execution via SSRF + ZIP Upload: The chained attack method, from Server-Side Request Forgery to ZIP-based file deployment, enables full remote code execution. This effectively hands over server control to an external attacker, potentially allowing them to access or manipulate sensitive backup data or pivot deeper into the environment.
• Critical Infrastructure Exposure: Commvault is often deployed in environments managing critical infrastructure and disaster recovery. A compromise here could impact not just data integrity but also a company’s ability to recover from ransomware or system failure, turning a single flaw into a multi-vector crisis.

Preventive actions organizations should take immediately:

• Apply Patches Without Delay: Commvault has issued a patch in their April 17th advisory. All organizations should treat this as an emergency change window item and prioritize remediation.
• Restrict External Access: Temporarily restrict internet access to the Command Center interface via firewall rules or access controls until the patch has been applied and verified.
• Inspect for Indicators of Compromise (IOCs): Look for abnormal outbound requests to unknown ZIP sources, file writes in temp directories, or unauthorized access to the /reports/MetricsUpload path.
• Conduct a Configuration Audit: Ensure application isolation, segmentation of management interfaces, and logging of all Command Center interactions.

https://www.securitymagazine.com/articles/101582-commvault-command-center-has-a-critical-security-flaw

Blue Shield of California has notified members of a data breach that may have impacted protected health information. Due to the complexity and scope of the disclosures, Blue Shield is unable to confirm whether any particular member’s specific information was affected.

Like other health plans, Blue Shield historically used the third-party vendor service, Google Analytics, to internally track website usage of members who entered certain Blue Shield sites. We were doing this to improve the services we provide to our members.

On February 11, 2025, Blue Shield discovered that, between April 2021 and January 2024, Google Analytics was configured in a way that allowed certain member data to be shared with Google’s advertising product, Google Ads, that likely included protected health information. Google may have used this data to conduct focused ad campaigns back to those individual members.

Blue Shield severed the connection between Google Analytics and Google Ads on its websites in January 2024.  Upon discovering the issue, Blue Shield immediately initiated a review of its websites and security protocols to ensure that no other analytics tracking software is impermissibly sharing members’ protected health information.

Potentially impacted information included: Insurance plan name, type and group number; city; zip code; gender; family size; Blue Shield assigned identifiers for members’ online accounts; medical claim service date and service provider, patient name, and patient financial responsibility; and “Find a Doctor” search criteria and results (location, plan name and type, provider name and type).

Ensar Seker, CISO at SOCRadar, says “In this case, the unintentional exposure of protected health information (PHI) from 4.7 million members to Google’s analytics and advertising platforms raises serious questions about how healthcare providers manage third-party tracking technologies. This isn’t just a technical misstep. It’s a HIPAA compliance failure. PHI should never be sent to platforms like Google Ads or Analytics, especially without explicit patient consent and proper business associate agreements (BAAs) in place. When you consider the type of data potentially exposed (names, IP addresses, search terms, and in some cases sensitive health-related activity) the privacy implications are significant. Such data can be used to infer medical conditions, insurance status, or treatment history, and that creates a risk not just of identity theft, but of discrimination, stigma, and profiling.”

“What’s particularly troubling is the duration of exposure. nearly three years before it was identified and addressed. That suggests a systemic gap in data flow visibility, audit logging, and vendor oversight. Many healthcare organizations unknowingly introduce risk through website trackers, pixel tags, and marketing scripts. tools that are standard in e-commerce, but dangerously misapplied in regulated environments like healthcare.”

Paul Bischoff, Consumer Privacy Advocate at Comparitech, says “Victims should be on the lookout for insurance fraud. Check your hospital bills and prescriptions for any unfamiliar charges that could indicate someone else is using your insurance to get drugs or other care in your name.”

Aditya K. Sood, VP of Security Engineering and AI Strategy at Aryaka, says “This incident underscores the critical importance of strong data governance for health organizations. By limiting third-party access and collecting only necessary data, organizations can maintain control over their data and reduce the risk of incidents like the Blue Shield data leak. Enhanced staff training, transparent patient communication, and secure system configurations are also crucial to prevention. Prioritizing encryption, having a clear incident response, and fostering a privacy-focused culture are non-negotiable for protecting patient health information. By self-regulating and always considering the potential downstream effects of data sharing, organizations can prioritize their own privacy and that of their patients, fostering a sense of security and control.”

https://www.securitymagazine.com/articles/101584-security-leaders-share-thoughts-on-blue-shield-of-california-data-breach

Apr 29, 2025 Marina Londei Approfondimenti, In evidenza, News, RSS, Vulnerabilità, Vulnerabilità 0

---

Secondo una recente analisi pubblicata dal Threat Intelligence Group di Google (GTIG), nel 2024 sono state individuate 75 vulnerabilità 0-day sfruttate dagli attaccanti. Anche se si tratta di un calo rispetto alle 98 del 2023, il numero dello scorso anno conferma la tendenza in aumento degli ultimi quattro.

I ricercatori del team di Google hanno diviso le vulnerabilità tra quelle trovate nelle piattaforme per utenti finali e quelle nei software enterprise. Se le piattaforme end-user si confermano di nuovo come le più colpite, negli ultimi cinque anni il GITG ha osservato un aumento significativo di bug presenti nei software enterprise, tanto che nel 2024 hanno raggiunto quasi la metà del totale.

I bug 0-day nelle piattaforme end-user

Nel 2024 il 56% dei bug 0-day individuati è stato trovato nelle piattaforme end-user, ovvero tutti quei software e dispositivi usati quotidianamente dagli utenti. Chrome è stato tra gli obiettivi principali degli exploit, anche se il numero totale di exploit contro browser e dispositivi mobile è sceso drasticamente rispetto al 2023.

I device mobili sono rimasti però il target primario delle catene di attacco che sfruttano più 0-day, ammontando al 90% dei casi registrati. Android è il sistema operativo mobile più colpito, con più della metà delle vulnerabilità che interessavano componenti di terze parti.

Secondo il report di Google, il 2024 ha invece visto un incremento del numero di vulnerabilità 0-day che colpiscono i sistemi operativi desktop. Windows è stato il sistema operativo più colpito, confermando il trend in crescita cominciato nel 2022.

Vulnerabilità nei prodotti enterprise: l’analisi di Google

Dei 33 bug sfruttati presenti nei prodotti enterprise nel 2024, 20 di queste sono state individuate nei prodotti di sicurezza e di rete. Tra gli obiettivi più colpiti dagli exploit Google riporta Ivanti Cloud Services Appliances, Palo Alto Networks PAN_OS, Cisco Adaptive Security Appliance e Ivanti Connect Secure VPN.

“I tool e i dispositivi di sicurezza e di rete sono progettati per collegare sistemi distribuiti, rendendoli obiettivi di alto valore per gli attaccanti che cercano di accedere in maniera efficiente nelle reti enterprise” ha spiegato il GTIG.

Il team di Google ha evidenziato inoltre che i tool EDR non sono in grado di monitorare questi strumenti, lasciandoli scoperti a exploit di vulnerabilità. Stando ai risultati dell’analisi, gli attaccanti tendono a colpire intenzionalmente prodotti che possono fornirgli ampio accesso alle reti con un minor rischio di rilevamento.

Le vulnerabilità sfruttate e gli attaccanti

Dal report di Google emerge che i tre tipi di vulnerabilità più sfruttati sono lo user-after-free, prevalente da anni, il command injection e il cross-site scripting. Le ultime due tipologie, in particolare, sono state trovate quasi esclusivamente nei software e nelle appliance di sicurezza e di gestione della rete.

Il GTIG sottolinea che questo tipo di bug deriva da errori di sviluppo software che possono essere evitati solo seguendo elevati standard di programmazione, i quali comprendono, tra gli altri, revisioni attente del codice, aggiornamenti delle codebase obsolete e l’uso di librerie aggiornate.

Guardando invece al chi ha sfruttato le vulnerabilità, la maggior parte degli exploit è stata effettuata da gruppi affiliati ai governi, per lo più legati alla Cina. A seguire troviamo i vendor di software commerciali di sorveglianza e gruppi affiliati a governi e non spinti da motivazioni finanziarie.

“Difendersi dagli exploit 0-day rimane una gara di strategia e prioritizzazione. Non solo le vulnerabilità 0-day stanno diventando più facili da individuare, ma gli attaccanti che usano nuovi tipi di tecnologia possono mettere in difficoltà i fornitori meno esperti” avverte il GTIG.

Il team di Google prevede che il numero di exploit che coinvolge vulnerabilità 0-day continuerà a crescere, poiché questi bug colpiscono prodotti e piattaforme di grande interesse per gli attaccanti. Le big tech, in particolare, rimarranno gli obiettivi preferiti del cybercrimine, vista l’ampia diffusione dei loro prodotti.

Oltre a seguire le buone pratiche di sicurezza per lo sviluppo del codice, i vendor dovrebbero includere i principi zero-trust nelle loro architettura, limitando i permessi di accesso al minimo. Quando possibile, è opportuno usare strumenti per il monitoraggio continuo dei software e segmentare la rete per limitare i danni derivanti da un attacco.

---

---

---

https://www.securityinfo.it/2025/04/29/oltre-70-vulnerabilita-0-day-sfruttate-nel-2024-il-report-di-google/?utm_source=rss&utm_medium=rss&utm_campaign=oltre-70-vulnerabilita-0-day-sfruttate-nel-2024-il-report-di-google

Nel contesto digitale attuale, caratterizzato da un aumento costante delle minacce informatiche, le organizzazioni devono adottare un approccio proattivo e strutturato per affrontare gli incidenti di sicurezza informatica. Che si tratti di un attacco ransomware, di una violazione dei dati o di un accesso non autorizzato, la capacità di rispondere in modo tempestivo ed efficace può fare la differenza tra un problema gestibile e una crisi devastante.

Una strategia solida per la gestione degli incidenti non si limita alla semplice reazione. Inizia molto prima dell’incidente, con la pianificazione e la preparazione, e prosegue ben oltre la risoluzione immediata dell’emergenza, includendo analisi, apprendimento e miglioramento continuo. In questo articolo, esploreremo i principali aspetti di una conduzione efficace degli eventi di sicurezza informatica, suddivisi in quattro aree chiave.

Piano di risposta agli incidenti di sicurezza informatica: elementi essenziali

Un Cyber incident è un evento che comporta la violazione di riservatezza, integrità o disponibilità di dati e sistemi. Questo può variare dal malware che rallenta i processi aziendali fino a una violazione dei dati che coinvolge informazioni sensibili.

Gli incidenti di sicurezza informatica possono essere classificati in diverse categorie:

• Malware: software dannoso che può compromettere i sistemi.
• Data Breach: violazione di dati in cui informazioni sensibili vengono accedute oppure esposte in modo non autorizzato.
• DDoS (Distributed Denial of Service): attacco che compromette i server e i servizi sovraccaricandoli di traffico non desiderato.
• Accessi non autorizzati: situazioni in cui si verifica un accesso ai sistemi senza autorizzazione.

L’articolo 23 della direttiva 2022/2555 (NIS2) stabilisce che gli incidenti significativi, ovvero quelli che possono causare danni economici, commerciali, alla persona o interrompere i servizi aziendali, devono essere segnalati alle autorità competenti attraverso i CSIRT nazionali, che sono i team responsabili della gestione degli eventi di sicurezza informatica.

Inoltre, il regolamento 2024/2690 definisce quali incidenti possano essere considerati significativi, nonché altre tipologie degli stessi, rilevanti per l’applicazione della Direttiva NIS2.

La gestione degli eventi informatici riveste un ruolo sempre più capillare per garantire la protezione delle informazioni e assicurare la continuità operativa. Tali eventi, infatti, possono causare gravi conseguenze, tra cui la perdita di dati, l’interruzione temporanea dei servizi e la compromissione o diffusione non autorizzata di informazioni riservate. In scenari più critici, possono anche comportare responsabilità legali e sanzioni legate alla violazione della normativa sulla protezione dei dati personali di terzi.

Un piano di risposta agli incidenti è il cuore di ogni strategia di gestione degli attacchi informatici. Possiamo dire che un piano di incident response è è l’insieme di processi, strumenti e metodologie adottati per rilevare e gestire un incidente di sicurezza informatica nel modo più efficace possibile, con l’obiettivo di annullarne o ridurne al minimo le conseguenze. Senza una guida chiara e dettagliata, anche il team più competente rischia di trovarsi impreparato di fronte a una crisi. Il piano quindi deve essere strutturato, documentato e regolarmente aggiornato per riflettere l’evoluzione delle minacce e delle tecnologie.

Tra gli elementi fondamentali di un piano efficace, vi è l’identificazione chiara degli scenari di rischio. Ogni organizzazione deve comprendere quali sono gli asset critici, quali vulnerabilità possono essere sfruttate e quali minacce sono più probabili in base al proprio settore e alla propria infrastruttura. Questo tipo di valutazione preliminare consente di creare una mappa dei potenziali scenari di attacco e di preparare risposte specifiche per ciascuno di essi.

Un altro pilastro del piano riguarda le fasi operative che verranno approfondite più avanti: identificazione, contenimento, eradicazione, recupero e, infine, l’analisi post-incidente. Ogni fase deve essere dettagliata in termini di azioni da intraprendere, strumenti da utilizzare, obiettivi da raggiungere e tempi di reazione. La chiarezza operativa riduce le incertezze nei momenti di emergenza e permette al team di agire con decisione.

Durante la fase di identificazione e valutazione iniziale, è fondamentale rilevare e valutare rapidamente i Cyber incidents per identificare la portata del problema e prepararsi per gli step successivi del piano di risposta.

In particolare, occorrerà procedere con:

Riconoscimento degli indicatori di compromissione (IoC): Identificare IoC, come accessi sospetti o traffico anomalo, permette di rilevare tempestivamente le minacce, facilitando una risposta rapida.

Monitoraggio delle anomalie e degli eventi imprevisti: Un monitoraggio continuo di anomalie ed eventi di sicurezza consente di individuare rapidamente gli incidenti, permettendo una reazione pronta ed efficace per ridurre l’impatto sull’organizzazione.

Prioritizzazione degli incidenti in base a rischio e impatto: Stabilire delle priorità permette di allocare risorse in modo mirato, affrontando prima gli eventi più gravi o ad alto rischio, minimizzando i danni e risolvendo tempestivamente i problemi critici.

La fase successiva del contenimento e mitigazione mira a ridurre l’impatto di un Cyber incident, evitando danni ulteriori e perdite.

Ecco cosa prevede questa fase.

• Strategie di contenimento: Azioni immediate, come isolare i sistemi compromessi e modificare le credenziali, limitano la diffusione dell’incidente. Le misure a lungo termine includono l’adozione di politiche di sicurezza più robuste.
• Isolamento e correzione: L’isolamento dei sistemi compromessi impedisce la diffusione dell’incidente, mentre l’indagine e la correzione eliminano la causa principale per prevenire futuri problemi.
• Patch di sicurezza e aggiornamenti: Mantenere software e sistemi operativi aggiornati con le ultime patch aiuta a proteggere dalle vulnerabilità conosciute.

Un efficace contenimento e mitigazione limita i danni e prepara al recupero completo.

Flusso di lavoro di risposta agli incidenti:
Il team IR coordina le azioni per contrastare l’incidente, seguendo diversi passaggi chiave.

• Notifica ed escalation: Sono definite le procedure per segnalare e gestire l’incidente, con escalation per garantire una reazione tempestiva agli incidenti critici.
• Collaborazione con investigatori esterni: Il team lavora con forze dell’ordine o esperti forensi per identificare le cause e risolvere l’incidente, analizzando i dati e i registri.
• Raccolta e conservazione delle prove: vengono raccolte e conservate per future indagini o azioni legali.

Recupero dagli incidenti:
In questa fase, l’attenzione si sposta sul ripristino delle funzioni e la riduzione dei tempi di inattività.

• Ripristino dei sistemi e dei servizi: I sistemi compromessi vengono verificati e ripristinati al loro stato precedente all’incidente.
• Verifica dell’integrità dei dati: Si controlla che gli stessi non siano stati danneggiati durante l’incidente.
• Ristabilire i canali di comunicazione: Dopo il ripristino, i canali di comunicazione con le parti interessate vengono riattivati.

Revisione e attività post-incidente:
La fase finale di un piano di IR riguarda la valutazione dell’incidente, la documentazione e l’implementazione di miglioramenti.

• Revisione dell’incidente: Si analizzano le cause e l’impatto dell’incidente per identificare aree di miglioramento.
• Documentazione: Viene redatto un rapporto dettagliato sull’incidente, con le lezioni apprese per migliorare le future risposte.
• Miglioramento dei processi: Si aggiornano i piani di risposta agli incidenti, migliorando processi e tecnologie basati sulle esperienze acquisite.

L’importanza della preparazione non può essere sottovalutata. Simulazioni periodiche, note come tabletop exercises o penetration test con finalità formative, sono cruciali per testare l’efficacia del piano e individuare eventuali lacune. Solo attraverso l’addestramento continuo è possibile garantire una reazione coordinata e tempestiva in caso di reale necessità.

Infine, un buon piano di Incident response deve includere un sistema di monitoraggio e rilevamento delle minacce in tempo reale. L’uso di sistemi SIEM (Security Information and Event Management) o soluzioni basate su intelligenza artificiale può migliorare significativamente la capacità di individuare attività anomale e reagire prima che l’incidente si trasformi in una compromissione su vasta scala.

Ruoli e responsabilità durante un incidente di sicurezza informatica

Nel momento in cui si verifica un incidente informatico, l’organizzazione deve poter contare su una struttura chiara in termini di ruoli e responsabilità. L’assenza di una governance definita rischia di rallentare la reazione, creare sovrapposizioni o, peggio ancora, lasciare scoperti ambiti critici.

Un Incident Management Team (IMT) è un gruppo di professionisti provenienti da diverse aree, dedicato a gestire gli eventi informatici che potrebbero influire sulle operazioni aziendali. Questo gruppo multidisciplinare è composto da professionisti della sicurezza, esperti di rete, rappresentanti legali, figure della comunicazione e, in alcuni casi, anche dal top management. Ogni membro deve conoscere esattamente il proprio compito e disporre delle autorizzazioni necessarie per agire tempestivamente.

La missione di questo team contempla le attività sopra già affrontate quali:

• Identificare
• Valutare
• Contenere
• Risolvere

gli incidenti nel minor tempo possibile, riducendo al minimo gli impatti negativi sull’azienda. Un IMT efficace non si limita a rispondere agli eventi, ma agisce anche in modo proattivo per prevenirli, analizzando costantemente le minacce e adattando le strategie di difesa.

Per quanto concerne i ruoli e responsabilità all’interno dell’Incident Management Team distinguiamo:

Coordinatore del Team: supervisiona le attività di Incident response, prende decisioni importanti e funge da principale punto di riferimento tra il team, la direzione e le parti interessate esterne.

Analista di sicurezza: individua e analizza le vulnerabilità, monitorando costantemente i sistemi aziendali per rilevare segnali di potenziali aggressioni.

Esperto di risposta agli incidenti: gestisce gli eventi, occupandosi di ogni fase, dalla valutazione iniziale alla risoluzione e all’analisi post-incidente.

Responsabile della comunicazione: gestisce tutte le comunicazioni interne ed esterne relative agli incidenti, garantendo che le informazioni vengano condivise in modo chiaro e tempestivo, prevenendo confusione o panico.

Tecnico IT: fornisce supporto tecnico per isolare, contenere e riparare i sistemi danneggiati, contribuendo attivamente alla gestione dell’incidente.

Il CSIRT (Computer Security Incident Response Team) invece, si concentra principalmente sulla risposta agli stessi, analizzando e mitigando gli attacchi. Il CSIRT può essere interno o esterno all’organizzazione, e la sua funzione è più focalizzata sulla reazione tecnica agli eventi, come la raccolta delle prove, l’analisi degli attacchi e la comunicazione con altre entità di risposta agli stessi.

Il coordinatore del CSIRT, spesso il CISO (Chief Information Security Officer), ha il compito di dirigere le operazioni, prendere decisioni strategiche e fungere da punto di contatto centrale per tutte le comunicazioni. A lui spetta anche il compito di valutare l’impatto dell’incidente, di attivare le procedure di escalation e di informare il vertice aziendale.

Il personale IT, invece, ha la responsabilità di attuare le misure tecniche di contenimento, come l’isolamento delle reti compromesse, la disconnessione di dispositivi sospetti e l’implementazione delle contromisure. È fondamentale che queste operazioni vengano svolte in coordinamento con il CSIRT per evitare di compromettere le evidenze digitali necessarie per le indagini forensi.

Anche il reparto legale, appartenente al team IMT, gioca un ruolo cruciale, specialmente nel caso in cui l’incidente comporti la violazione di dati personali. In tali circostanze, è obbligatorio informare le autorità competenti (come il Garante per la protezione dei dati personali, in Italia) entro termini prestabiliti. Il team legale collabora inoltre nella valutazione dei rischi reputazionali e contrattuali derivanti dall’incidente.

Da non dimenticare è l’apporto della direzione aziendale, che deve essere coinvolta nei momenti chiave per garantire supporto strategico e risorse, ma anche per autorizzare decisioni di impatto come la sospensione di servizi, la notifica ai clienti o il pagamento di eventuali riscatti (nel caso, controverso, di ransomware).

Comunicazione interna ed esterna durante un incidente

Durante un incidente informatico, la comunicazione diventa un elemento critico della gestione. Una strategia di comunicazione efficace può contribuire a contenere i danni, mantenere la fiducia degli stakeholder e assicurare una amministrazione coerente delle informazioni. Al contrario, messaggi confusi o contraddittori possono amplificare le conseguenze dell’incidente.

L’amministrazione degli incidenti è essenziale per la protezione aziendale e si concentra sull’identificazione, risposta e riduzione degli effetti di eventi indesiderati. Un processo efficace inizia con una preparazione accurata, che prevede la creazione di piani dettagliati e l’assegnazione di ruoli e responsabilità ben definiti. Rilevare tempestivamente gli attacchi, grazie a sistemi di monitoraggio avanzati, è essenziale per individuare comportamenti sospetti e rispondere prontamente, riducendo i danni e ripristinando la normalità. Successivamente, si svolge un’indagine approfondita per comprendere le cause e gli impatti, alimentando un flusso di acquisizione continuo.

La comunicazione durante l’intero flusso di gestione dell’incidente è fondamentale e deve essere limpido, coinvolgendo dipendenti, clienti e autorità regolatorie.

La comunicazione interna deve essere rapida, chiara e coordinata. Tutti i dipendenti devono sapere a chi rivolgersi in caso di anomalie, come comportarsi durante l’incidente e quali informazioni sono riservate. È fondamentale evitare il diffondersi di voci incontrollate che potrebbero generare panico o disinformazione. Per questo, molte aziende definiscono una catena di comunicazione interna che parte dal CSIRT e arriva fino a tutti i livelli operativi.

Le leggi e le regolamentazioni a livello nazionale ed europeo stabiliscono frequentemente i requisiti per la divulgazione degli incidenti e le informazioni minime che devono essere incluse nella comunicazione. In Italia, le principali normative di riferimento sono il GDPR, il DDL sulla cybersicurezza e la direttiva NIS 2.

È generalmente consigliato comunicare l’incidente il prima possibile. Questo approccio aiuta a rassicurare gli stakeholder e consente all’organizzazione di influenzare l’opinione pubblica sin dalle prime fasi della crisi.

La tempestività deve essere accompagnata dalla precisione delle informazioni. In alcuni casi, può essere utile sovrastimare inizialmente l’impatto per garantire una comunicazione rapida, pur mantenendo un margine di correzione successiva.

Sul fronte esterno, la gestione della comunicazione è ancora più delicata. Se l’incidente ha impatto sui clienti, sui fornitori o sull’opinione pubblica, è necessario predisporre comunicati ufficiali che informino in modo trasparente, ma prudente. L’obiettivo è rassicurare gli stakeholder, mostrare che l’azienda ha la situazione sotto controllo e limitare i danni reputazionali.

I portavoce designati, spesso appartenenti al team di comunicazione o al top management, devono attenersi a un messaggio condiviso e approvato dal team legale, evitando dichiarazioni affrettate o non verificate. Nelle situazioni più complesse, può essere utile avvalersi del supporto di agenzie di crisis management specializzate.

In certi contesti, è anche obbligatorio comunicare l’incidente alle autorità di regolamentazione, alle forze dell’ordine o ad altre entità governative. Questi passaggi devono essere gestiti con attenzione, rispettando le normative vigenti, come il GDPR in Europa, che impone tempistiche precise per la notifica delle violazioni.

Dopo aver inviato la comunicazione, è fondamentale monitorare la reazione del pubblico:

• Monitorare i social media: È importante osservare le reazioni sui social per rispondere tempestivamente a domande e preoccupazioni.
• Gestire le richieste dei media: Bisogna fornire risposte rapide e coerenti alle richieste di informazioni da parte dei media, garantendo così coerenza nel messaggio.
• Contrastare altre minacce: È necessario adottare misure per prevenire eventuali tentativi di phishing e truffe che potrebbero sfruttare la vulnerabilità percepita.

Infine, un altro aspetto spesso trascurato è la comunicazione post-incidente. Dopo aver risolto l’emergenza, l’azienda deve aggiornare i propri stakeholder sui risultati dell’analisi forense, sulle azioni correttive adottate e sulle misure implementate per evitare il ripetersi dell’accaduto. Questa trasparenza può contribuire a ricostruire la fiducia e rafforzare la reputazione aziendale nel lungo periodo.

Analisi post-incidente e miglioramento delle procedure

La chiusura operativa di un incidente non rappresenta la fine del processo. Al contrario, è l’inizio di una fase fondamentale: l’analisi post-incidente. Questo momento di riflessione consente di capire cosa è successo, come si è sviluppato l’attacco, quali sono stati i punti deboli sfruttati dagli aggressori e cosa si sarebbe potuto fare diversamente.

Un incidente informatico può rappresentare un’opportunità per l’apprendimento all’interno dell’organizzazione, e l’integrazione tra gestione della sicurezza (ISM) e risposta agli incidenti (IR) è fondamentale per sfruttare appieno questa opportunità:

• Analisi post-incidente: È essenziale condurre un’analisi approfondita per identificare le cause dell’incidente, le vulnerabilità sfruttate e le inefficienze nel processo di reazione.
• Miglioramento continuo: Le lezioni apprese devono essere utilizzate per aggiornare le politiche di tutela, i processi di risposta e le misure di controllo, potenziando la resilienza dell’organizzazione.
• Formazione e sensibilizzazione: Potenziare la formazione del personale sulle migliori pratiche di sicurezza e sulla gestione degli incidenti aumenta la consapevolezza e la capacità di reazione dell’organizzazione, riducendo i rischi in futuro.

L’analisi post-incidente, più precisamente nota anche come post-mortem o lessons learned, deve essere condotta in modo strutturato, includendo tutti i reparti coinvolti nella risposta. È utile raccogliere tutte le evidenze disponibili, dai log di sistema alle registrazioni delle attività degli utenti, fino alle comunicazioni avvenute durante l’incidente.

Tra gli obiettivi principali di questa fase vi è la definizione di un report dettagliato, che includa una cronologia degli eventi, l’identificazione delle cause radice, l’analisi dell’efficacia delle contromisure adottate e le raccomandazioni per il futuro. Questo documento deve essere archiviato in modo sicuro, ma accessibile a chi ha la responsabilità della sicurezza.

Un elemento chiave dell’analisi è la revisione delle policy e delle procedure aziendali. Se l’incidente ha evidenziato lacune nei controlli di accesso, nella segmentazione della rete o nella formazione dei dipendenti, è necessario intervenire tempestivamente con aggiornamenti, nuove regole o programmi di sensibilizzazione.

Anche l’infrastruttura tecnica deve essere esaminata. L’incidente ha sfruttato una vulnerabilità software nota? È stato possibile a causa di patch non applicate? Ha avuto successo perché mancavano sistemi di monitoraggio avanzato? Tutte queste domande devono trovare una risposta, e le soluzioni devono essere implementate senza ritardi.

Infine, l’esperienza maturata deve diventare un patrimonio condiviso. Le organizzazioni più mature organizzano workshop interni per diffondere le conoscenze acquisite, aggiornano il piano di Incident response in base alle lezioni apprese e programmano nuove esercitazioni per testare le modifiche introdotte.

Conclusioni

La gestione dei cyber incidents non può essere improvvisata. Richiede pianificazione, collaborazione, competenza tecnica e una cultura aziendale orientata alla resilienza. Attraverso l’adozione di un piano ben strutturato, la definizione chiara dei ruoli, una comunicazione efficace e un’attenta analisi post-incidente, le organizzazioni possono non solo limitare i danni, ma trasformare una crisi in un’opportunità di crescita e rafforzamento.

In un’epoca in cui la sicurezza informatica è una delle sfide principali per il business, investire nella preparazione e nella gestione degli incidenti non è più un’opzione: è una necessità strategica.

https://www.ictsecuritymagazine.com/notizie/incidenti-sicurezza-informatica/

Research from Fortinet FortiGuard Labs reveals a record rise in AI-powered, automated attacks, with 36,000 scans per second to pick out targets early. This represents a 16.7% year-over-year (YoY) increase. This is facilitated by the darknet’s cybercrime-as-a-service ecosystem, allowing initial access, exploit kits, and large credential dumps. 

According to the research, exploit kits saw more than 40,000 new CVEs in 2024, representing a 39% increase. Furthermore, the analyzed credential dumps included more 100 billion records. There was also a 500% YoY rise in logs provided by infostealing malware, amounting to 1.7 billion credential records shared. Underground forums saw a 42% YoY increase in compromised records shared. 

The report asserts that AI tools such as FraudGPT and BlackmailerV3 make cyberattacks (such as phishing) more effective and challenging to detect. Ms. Kris Bondi, CEO and Co-Founder of Mimoto, comments, “The rise of AI, combined with automation and cybercrime-as-a-service (CaaS), is increasing the sophistication, speed, and ultimately, the success of attacks. The biggest risk AI brings to businesses is the ability for cybercrime to scale quickly. Just like any other business, AI enables the ability to automate and perform more functions faster. For cyber attackers, this means the ability to launch more attacks with the same resources. Brute force attacks are faster as is the ability to experiment with different AI generated attacks simultaneously. Other AI risks to business include the relatively new phenomenon of sophisticated attack tools now being available to unsophisticated bad actors and, of course, the use of deepfakes, which continue to improve.

“Cybersecurity strategists with hacking expertise are skilled at staying in step with the most innovative attack methods. Having said all of this, organizations do need to be concerned. If they focus solely on keeping attackers out, they will fail. To feel comfortable, they need to have a security posture that also addresses bad actors that have already gotten into their systems.”

https://www.securitymagazine.com/articles/101581-ai-powered-automated-attacks-have-reached-record-numbers

https://www.securitymagazine.com/blogs/14-security-blog/post/101579-how-higher-education-can-protect-student-data-from-cyber-siege

Zimperium zLabs has released research on mobile threats, analyzing key trends observed in the past year and providing a comprehensive look at how these threats are evolving. According to the report, outdated operating systems are run on approximately 50% of mobile devices. This could leave devices open to unpatched vulnerabilities, increasing the attack window for malicious actors.

Mobile targeted phishing (mishing) account for nearly one-third of threats analyzed, and SMS phishing (smishing) accounts for more than two-thirds of mishing attacks. Vishing and smishing have risen by 28% and 22%, respectively. Moreover, PDF phishing has become a new, effective attack vector. 

More than 60% of the most prominent Android and iOS third-party components or SDK’s are shipped as precompiled binaries, frequently with missing or partial SBOMs. Malicious actors could poison the mobile supply chain with tampered components.

23.5% of enterprise devices have sideloaded apps, raising the risk of mobile device compromise. 

Below, security leaders weigh in on these findings. 

Security leaders weigh in

Darren Guccione, CEO and Co-Founder at Keeper Security:

The rise of sophisticated and large-scale mobile phishing campaigns reflects the evolving threat landscape targeting mobile users. Cybercriminals are leveraging phishing pages that appear official to exploit users’ trust and the inherent limitations of mobile devices, such as reduced screen visibility. This tactic not only enables credential theft but also evades many traditional defenses, making it a potent threat.

Organizations must adopt a layered security approach to combat such attacks. Employee education is vital for raising awareness about mobile phishing attempts, teaching users to verify sender details, avoid clicking on suspicious links and independently confirm shipping information by navigating to official channels like the company website or app directly. Implementing Multi-Factor Authentication (MFA) adds a critical barrier to prevent unauthorized access even if credentials are compromised. Zero-trust security frameworks with Privileged Access Management (PAM) solutions further mitigate risks by restricting access to sensitive systems, ensuring only authorized users can interact with critical data. 

For mobile devices, deploying real-time mobile threat detection and ensuring devices and applications are updated with the latest security patches can proactively defend against threats. Strong encryption and automated patch management can further protect devices. MDM solutions that enforce compliance and restrict data access based on device health ensure a well-rounded mobile security strategy that goes beyond relying on OS updates alone.

Adam Brown, Managing Consultant at Black Duck:

When it comes to mobile devices, one of the more frequent risks is the extraction of biometric information from the trusted execution environment on the device. For each assessment it is assumed the device could be and would be rooted and that a nefarious third-party app would be present. Typically, weaknesses were found in architecture and code implementations, however, over the years, there have been improvements made by the major device producers in the architecture and software implementations of these devices and ultimately their resilience and security against such attacks.

While improved device resilience and security against malware is very positive, app producers and organizations that rely on mobile devices must understand the risk of the software architecture and code implementation on these devices and take action. Otherwise, the weaknesses introduced at that stage result in vulnerabilities and therefore breaches.

According to the Building Security in Maturity Model (BSIMM15) report, organizations are increasingly prioritizing activities that support compliance. For example, there has been a 22% rise in the number of organizations creating SBOMs for deployed software, and a 67% increase in organizations performing software composition analysis (SCA) on code repositories. BSIMM participants are also protecting the code they publish to improve regulatory compliance. The security activity “protect code integrity” increased by roughly 20% from BSIMM14 to BSIMM15, and “use code protection” increased by about 45%. 

Eric Schwake, Director of Cybersecurity Strategy at Salt Security:

Threat actors find mobile apps appealing for various reasons. These apps often manage sensitive user data such as financial details, personal information, and authentication credentials, which are commonly accessed and transmitted via APIs. Their ubiquitous presence on personal devices makes them prime targets for large-scale cyberattacks. Furthermore, design and development flaws, along with insecure API practices and inconsistent security measures, result in vulnerabilities that can be exploited.

AI-driven attacks pose a risk to mobile apps in several ways. Cybercriminals can leverage AI to streamline identifying and exploiting vulnerabilities within apps or APIs, circumvent existing security protocols using advanced obfuscation and evasion methods, and execute highly personalized phishing or social engineering schemes that evolve based on specific user behaviors. Furthermore, AI can create convincing counterfeit user interactions that can evade bot detection measures.

There is a trend towards integrating in-app protection alongside traditional backend security measures. This trend arises from the understanding that mobile apps are becoming increasingly susceptible to attacks that circumvent backend defenses and strike directly at the app. In-app protection enhances security by reinforcing the app against tampering, reverse engineering and runtime attacks. This method is essential to tackle the changing threat landscape and defend against advanced attacks aimed directly at the app. Additionally, for mobile apps that significantly depend on APIs, it’s vital to incorporate security measures for APIs within the app itself. This encompasses API posture governance to guarantee secure API configurations and access control and behavioral threat protection to identify and thwart harmful API activities originating from the app.

Jason Soroko, Senior Fellow at Sectigo:

One of the reasons some people like to root their Android device or jailbreak their iOS device is to have the ability to sideload applications. Sideloading bypasses the official app store’s rigorous vetting process, leaving devices exposed to malware, unauthorized code, and other security risks. 

With Apple now forced in Europe to allow sideloading, the safety net of curated applications is eroded, increasing the potential for compromised apps and systemic vulnerabilities that attackers can exploit to access sensitive data and undermine device integrity.

Spyware on iOS and Android often hinges on jailbreaking or rooting to breach core security measures. By circumventing built-in OS restrictions, attackers secure elevated privileges that allow them to install and conceal spyware. This malicious procedure typically starts with exploiting a device’s vulnerability or tricking users into compromising their own systems, ultimately enabling the spyware to operate undetected, monitor activities, and extract sensitive data.

J Stephen Kowski, Field CTO at SlashNext Email Security+:

The surge in mobile-targeted phishing attacks highlights the critical need for advanced, AI-driven security solutions that can detect and block sophisticated threats in real-time.

Mobile device security is a critical concern that’s often overlooked in corporate planning. Rather than implementing an all-or-nothing approach to personal devices, companies should consider deploying advanced threat detection that can identify compromised devices, block phishing attempts, and prevent lateral movement within networks without disrupting employee workflows. The real solution requires both technical controls and financial planning — recognizing that secure mobile access is now as essential to knowledge workers as computers were decades ago, and budgeting accordingly for proper protection.

By adopting a proactive approach to mobile security, organizations can significantly reduce their vulnerability to these evolving phishing tactics and better safeguard their sensitive data. Regular security audits and penetration testing can help identify and address vulnerabilities beyond those covered by platform updates.

https://www.securitymagazine.com/articles/101576-nearly-50-of-mobile-devices-run-outdated-operating-systems

The Cybersecurity & Infrastructure Security Agency (CISA) has released five Industrial Control Systems (ICS) advisories. These advisories offer timely information regarding current security issues, exploits and vulnerabilities associated with critical hardware.

Tim Mackey, Head of Software Supply Chain Risk Strategy at Black Duck, explains the value of the ICS advisories, stating, “The CISA KEV Catalog is primarily for the benefit of IT organizations while ICS advisories benefit the Operational Technology (OT) community. Since many organizations have differing cybersecurity requirements for IT staff vs OT systems, it’s reasonable to have different security feeds. Additionally, since OT systems typically include systems controlling a manufacturing or production line, or an industrial environment, patch processes are often more involved than simply updating a laptop and rebooting it.”

“An ICS advisory is published when a vendor or researcher discloses a flaw that affects industrial hardware and offers a patch or workaround,” adds Jason Soroko, Senior Fellow at Sectigo. “The goal is rapid risk awareness for operators whether or not attacks are happening. A CVE moves to the KEV catalog only after CISA confirms real exploitation. At that point United States federal agencies receive a binding directive with a patch-by date, and private operators usually adopt the same deadline in their risk scoring.”

In the advisories, CISA warns of flaws in Siemens, Schneider Electric, and ABB hardware. In particular, CISA warns of an “improper neutralization of special elements used in an SQL Command (SQL Injection).” 

Soroko explains, “Security staff should treat TeleControl Server Basic versions older than 3.1.2.2 as exposure points because an unauthenticated user on port 8000 can inject SQL, change process data, open an OS shell under Network Service, or crash the service. Block the port at every ingress edge, isolate the server on its own VLAN, collect logs on every SQL statement, and move to the fixed Siemens build. Where downtime will not be approved, place an inline WAF or reverse proxy that drops SQL metacharacters.  CVE-2025-27495 is recorded in the public CVE list and the NVD, but no public report shows in-the-wild use.”

https://www.securitymagazine.com/articles/101575-5-ics-advisories-released-by-cisa-security-leaders-discuss