In un contesto aziendale sempre più digitalizzato e interconnesso, la sicurezza informatica è diventata un pilastro strategico. Tuttavia, il valore di una solida postura di cybersecurity dipende non solo dalla tecnologia impiegata, ma anche e soprattutto dalla capacità del Chief Information Security Officer (CISO) di comunicare efficacemente con il top management. Il dialogo tra chi si occupa della sicurezza e chi guida le decisioni aziendali è fondamentale per assicurare un’adeguata protezione degli asset digitali, garantendo al contempo la continuità operativa e la crescita dell’organizzazione.

Il CISO si trova oggi nella posizione delicata di dover tradurre concetti tecnici complessi in informazioni strategiche accessibili al Consiglio di amministrazione (CDA) e agli executive. Questo richiede non solo competenze tecniche, ma anche un’elevata intelligenza comunicativa e una visione orientata al business.

Importanza della reportistica sulla sicurezza informatica: come il CISO comunica i rischi al CDA

Una delle principali sfide nella comunicazione tra il Chief Information Security Officer e i vertici aziendali riguarda la reportistica. Fornire rapporti chiari, sintetici e significativi è essenziale per ottenere l’attenzione e il supporto del vertice aziendale.

Negli ultimi anni, l’attenzione crescente verso la cybersecurity ha rappresentato un valido supporto per i CISO nel costruire un resoconto più efficace. Questo contesto favorevole consente loro di illustrare con maggiore chiarezza al CDA i punti di vulnerabilità dell’azienda, i limiti attuali dei controlli di protezione implementati e le aree in cui le infrastrutture e le informazioni aziendali risultano esposte ai rischi.

È in questo contesto che il report assume un ruolo strategico. Il Chief Information Security Officer deve saper costruire report periodici che offrano una panoramica aggiornata del panorama delle minacce, dello stato della sicurezza aziendale e delle iniziative in corso. Ogni informazione deve essere orientata a rispondere alla domanda: “Come questo influisce sul business?”

Un buon report di sicurezza non si limita a elencare gli eventi di pericolo rilevati o le vulnerabilità individuate. Deve collegare questi elementi a metriche di rischio, impatto economico potenziale e priorità aziendali. Ad esempio, la segnalazione di un aumento degli attacchi ransomware ha maggiore efficacia se accompagnata da un’analisi del potenziale downtime dei sistemi critici e delle implicazioni legali o regolatorie per l’organizzazione.

Quali sono, dunque, le informazioni fondamentali da sottoporre all’attenzione del Consiglio di amministrazione e qual è l’approccio più efficace per farlo?

Non esiste una risposta univoca, e questo per almeno tre motivi rilevanti:

In primo luogo, ogni CDA è unico, perché riflette non solo il tipo di prodotti e servizi offerti dall’azienda, ma anche — e soprattutto — le caratteristiche delle persone che lo compongono. La struttura stessa del Board può variare sensibilmente da un’organizzazione all’altra, rendendo necessario un adattamento su misura del report da parte dei CISO;

In secondo luogo, in base alla dimensione e alla complessità dell’impresa, alcune aree di responsabilità potrebbero non ricadere direttamente sul Chief Information Security Officer. In molte realtà aziendali, infatti, entrano in gioco altre figure chiave come il Risk Manager, il Data Protection Officer (DPO) o l’Internal Auditor, che condividono o presidiano specifici ambiti della sicurezza.

Infine, il settore di appartenenza influisce sulla rilevanza di determinati temi all’interno del reporting. Alcuni aspetti, come ad esempio la “tutela dei prodotti”, potrebbero essere irrilevanti per aziende di servizi o consulenza, mentre risultano centrali in ambiti industriali o tecnologici.

L’adozione di framework riconosciuti come il NIST Cybersecurity Framework o ISO/IEC 27001 può fornire una base strutturata per la reportistica, facilitando la comunicazione anche con interlocutori non tecnici. L’obiettivo non è semplicemente “informare”, ma influenzare le decisioni strategiche attraverso una narrazione basata sui dati.

In generale, comunque, ad alto livello, le informazioni da condividere sono comunemente individuabili. Ne riportiamo le principali.

Conformità a normative e adozione di framework di sicurezza

È fondamentale che il Chief Information Security Officer informi il CDA sullo stato di conformità dell’azienda alle normative in ambito sicurezza (come il GDPR), evidenziando sia il livello raggiunto sia le aree che richiedono miglioramenti. Devono inoltre essere segnalati eventuali aggiornamenti normativi rilevanti.

Parallelamente, va illustrato quali standard e framework di sicurezza sono stati adottati come ISO 27001, NIST, CIS Controls o il Framework Nazionale e le motivazioni alla base di tali scelte. Il Chief Information Security Officer ha il compito di aggiornare regolarmente il Board sul grado di implementazione, sull’efficacia dei controlli introdotti e sui meccanismi messi in atto per monitorarne l’aderenza e l’impatto sulla postura di sicurezza dell’organizzazione.

Minacce informatiche e trend emergenti

Per consentire al CDA di comprendere meglio il contesto dinamico in cui si muove l’azienda, è fondamentale offrire una visione chiara delle principali minacce informatiche in atto e delle tendenze emergenti nel panorama cyber.

Negli ultimi anni, uno strumento prezioso a disposizione dei CISO in questo ambito è stato la Threat Intelligence. Questo tipo di analisi, diventata ormai un pilastro della difesa informatica, consente di raccogliere informazioni dettagliate da fonti open source o servizi professionali su chi sono gli attori malevoli e quali tecniche utilizzano per portare avanti gli attacchi.

Tuttavia, questi dati, per essere davvero utili al Board, devono essere rielaborati in chiave strategica. Il compito del Chief Information Security Officer è quindi quello di tradurre contenuti altamente tecnici in un linguaggio accessibile, offrendo una sintesi visiva e concisa dello scenario globale delle minacce. Supporti come infografiche o dashboard possono aiutare a rappresentare meglio i rischi potenziali e a spiegare in che modo questo trend potrebbero avere un impatto concreto sull’organizzazione.

Incidenti di sicurezza recenti

Nel presentare al Consiglio di amministrazione gli incidenti di sicurezza rilevanti accaduti nel periodo di riferimento, è fondamentale adottare un approccio equilibrato e costruttivo. Il Chief Information Security Officer deve fornire una panoramica chiara dei principali eventi, spiegando la natura degli incidenti, il loro impatto sull’organizzazione e le misure adottate per contenerli e risolverli.

Oltre alla descrizione tecnica, è essenziale chiarire le cause alla base degli incidenti, anche quando si sono verificati nonostante i controlli esistenti. Questo passaggio consente di dimostrare al Board che l’azienda è in grado di analizzare criticamente le proprie vulnerabilità e che ha già messo in atto azioni correttive per prevenire eventi simili in futuro.

Il tono della comunicazione deve restare focalizzato sul miglioramento continuo, evitando accuse o colpe individuali. L’obiettivo è mostrare un’organizzazione matura, trasparente e orientata all’apprendimento, capace di trasformare ogni incidente in un’opportunità per rafforzare la propria postura di sicurezza. In questo modo, si trasmette al consiglio la certezza che la protezione dei dati e dei sistemi è una priorità costante, affrontata con responsabilità e visione strategica.

Presentazione dei dati di rischio in modo comprensibile

La gestione del rischio è uno degli aspetti centrali della cybersecurity. Tuttavia, il modo in cui i dati dello stesso vengono presentati fa spesso la differenza tra una decisione consapevole e una sottovalutazione del problema. Il CISO deve agire come un “traduttore” tra il linguaggio tecnico degli analisti e quello finanziario o operativo dei dirigenti.

I membri del CDA raramente sono esperti in cyber security e, spesso, non hanno il tempo o l’interesse per approfondire dettagli troppo tecnici. Tuttavia, sono pienamente consapevoli del potenziale impatto che un incidente di sicurezza può avere su reputazione, conformità normativa e performance finanziaria.

È chiaro che una comunicazione realmente efficace deve considerare il punto di vista del Consiglio di amministrazione in merito alla questione trattata. Per catturare l’attenzione del Board e risultare davvero incisivi, è fondamentale inquadrare i temi legati alla cybersecurity all’interno del più ampio scenario degli obiettivi strategici dell’azienda.

Lo scopo della traduzione “dalla tecnologia al business” è individuare quei fattori tecnici che potrebbero causare un’interruzione dei servizi e metterli in relazione con gli obiettivi aziendali, in modo da presentarli al Board come rischi strategici rilevanti per il successo dell’organizzazione.

È fondamentale saper quantificare il rischio in termini comprensibili: probabilità, impatto e costi. Utilizzare modelli di risk scoring e heat map può aiutare a rappresentare graficamente la situazione, rendendo evidenti le aree di maggiore esposizione. Tuttavia, la rappresentazione grafica deve essere sempre accompagnata da una spiegazione semplice e diretta, evitando gergo tecnico e acronimi.

La comunicazione delle minacce deve inoltre essere personalizzata in base all’interlocutore. Il CFO, ad esempio, sarà interessato agli aspetti finanziari e assicurativi della sicurezza, mentre il COO potrebbe focalizzarsi sull’impatto operativo. Al contrario, il CEO o il CDA vorranno una sintesi chiara: quali rischi sono accettabili, quali devono essere mitigati e quali richiedono investimenti immediati.

È importante anche spiegare la differenza tra rischio residuo, rischio trasferito (es. tramite assicurazioni) e rischio mitigato, in modo che la direzione esecutiva possa prendere decisioni strategiche ben informate. Il Chief Information Security Officer deve costruire una narrazione che leghi ogni pericolo a uno specifico impatto sull’organizzazione, mostrando come la cyber security sia un fattore abilitante per il business, e non un costo da limitare.

Indipendentemente dal tipo di informazioni trattate nel report del CISO, per renderle più chiare e incisive è essenziale accompagnarle con metriche e dashboard. Questi strumenti permettono di quantificare l’efficacia delle strategie di cybersecurity, evidenziare i miglioramenti ottenuti e dimostrare che le decisioni sono supportate da dati concreti.

Organizzare le metriche in tre categorie:

Key Risk Indicators (KRI) per l’identificazione dei rischi, Key Performance Indicators (KPI) per valutare i risultati raggiunti, e Key Control Indicators (KCI) per verificare l’efficacia dei controlli, aiuta a fornire al Board una visione strutturata e completa dello stato della protezione aziendale.

Inoltre, ogni sezione del report dovrebbe includere una panoramica sui piani futuri e le iniziative strategiche. Questo spazio è fondamentale per evidenziare l’approccio proattivo dell’azienda nella gestione della sicurezza e nel rispondere alle minacce emergenti.

Vanno quindi illustrati i programmi di miglioramento, la formazione del personale, le simulazioni di incidenti e l’adozione di nuove tecnologie, insieme alle risorse economiche, umane e tecniche necessarie per realizzarli. È importante sottolineare come queste iniziative siano allineate agli scopi dell’azienda e contribuiscano concretamente al successo complessivo dell’impresa, rafforzando la fiducia dei clienti, la reputazione del brand e la continuità operativa.

Strategie per allineare le priorità di sicurezza con gli obiettivi aziendali

Una delle principali cause di incomprensioni tra il CISO e il management è la mancata armonizzazione tra le priorità della cyber security e gli obiettivi di business.

Nel presentare i risultati delle valutazioni di rischio al CDA, l’obiettivo principale è comunicare chiaramente i rischi identificati, le misure di mitigazione adottate e la strategia complessiva per la gestione dei rischi informatici.

Quando la cybersecurity viene percepita come un freno all’innovazione o un ostacolo all’agilità operativa, il rischio è che le iniziative di protezione vengano messe in secondo piano o che vengano considerati solo gli aspetti minimi necessari alla compliance.

Per superare questo ostacolo, il CISO deve dimostrare che la sicurezza è un valore strategico che protegge la capacità dell’azienda di crescere, innovare e mantenere la fiducia del mercato. Ciò implica un profondo allineamento tra il piano strategico aziendale e le iniziative di cybersecurity.

È consigliabile presentare una sintesi delle più recenti valutazioni del rischio, chiarendo il metodo utilizzato per individuare le minacce e stimarne la probabilità e l’impatto, magari attraverso l’impiego di scale di classificazione che rendano più chiara la comprensione dei livelli di pericolo.

È utile inoltre descrivere le misure di mitigazione già adottate, valutandone l’efficacia nel contenere i rischi, e supportare il tutto con dati concreti, ad esempio, tassi di successo di specifici controlli per dimostrare il valore reale delle azioni intraprese.

Infine, è importante segnalare i rischi ancora parzialmente irrisolti, illustrando le iniziative in atto o pianificate per affrontarli. Questo può includere l’introduzione di nuovi controlli, l’assegnazione di ulteriori risorse o l’elaborazione di strategie alternative per una gestione più efficace delle minacce residue.

Una strategia efficace è quella di partecipare attivamente ai tavoli decisionali che definiscono le roadmap digitali e tecnologiche, proponendo soluzioni di protezione già in fase di progettazione. In questo modo, la protezione non è più un’aggiunta tardiva e costosa, ma una componente integrata nei processi di trasformazione digitale.

Inoltre, il Chief Information Security Officer deve essere in grado di comunicare il ROI (Return on Investment) della sicurezza. Questo non significa solo quantificare i risparmi derivanti dalla prevenzione di incidenti, ma anche evidenziare come un buon livello di cybersecurity può facilitare l’accesso a nuovi mercati, attrarre clienti sensibili alla protezione dei dati, migliorare la reputazione aziendale o soddisfare requisiti contrattuali sempre più stringenti.

L’approccio DevSecOps deriva dalla combinazione di Development (sviluppo), Security (sicurezza) e Operations (operazioni), con l’intento di creare una cultura e una pratica che metta la sicurezza al centro dell’intero processo di sviluppo e distribuzione del software, o l’adozione di principi Zero Trust, possono diventare esempi concreti di come le priorità di tutela possano rafforzare e non ostacolare l’efficienza operativa e la capacità innovativa.

Gestione delle aspettative del CDA riguardo alla cybersecurity

Il Consiglio di amministrazione gioca un ruolo cruciale nella definizione delle priorità aziendali e nell’allocazione delle risorse. Tuttavia, le aspettative del CDA nei confronti della tutela informatica sono spesso irrealistiche o poco allineate alla realtà operativa.

Il Chief Information Security Officer ha il compito delicato di istruire il CDA, gestendo le aspettative in modo realistico ma rassicurante. È necessario spiegare che il rischio zero non esiste, ma che esistono strategie per ridurlo ad un livello accettabile. Occorre chiarire che ogni decisione in materia di protezione è anche una decisione di business: ogni controllo aggiuntivo può comportare costi, ma anche benefici in termini di resilienza e fiducia.

La gestione delle aspettative richiede trasparenza, ma anche equilibrio. Non bisogna minimizzare le minacce, ma nemmeno creare allarmismo inutile. È utile comunicare con regolarità, utilizzando momenti strutturati (es. board meeting trimestrali) per aggiornare il CDA sulle principali tendenze di rischio, sugli incidenti evitati o gestiti, e sulle priorità per il periodo successivo.

Un’altra strategia efficace è il ricorso a simulazioni di crisi o tabletop exercise, in cui il CDA partecipa attivamente a scenari ipotetici di attacco informatico. Questo tipo di esperienza diretta aiuta i decisori a comprendere le implicazioni reali di una violazione, a prendere familiarità con le dinamiche della risposta agli incidenti e a sostenere più convintamente gli investimenti in sicurezza.

Infine, il CISO dovrebbe costruire relazioni personali con i membri chiave del CDA, identificando alleati interni con cui condividere obiettivi e visione strategica. Questo favorisce un clima di fiducia e collaborazione che rende la cybersecurity un tema condiviso, e non un problema tecnico da delegare.

Conclusione

La comunicazione tra il Chief Information Security Officer e i manager aziendali non può più essere unidirezionale o episodica. Deve essere un processo continuo, bidirezionale e strategico. Solo attraverso una comunicazione efficace è possibile costruire una cultura aziendale resiliente, in cui la cyber security è percepita come parte integrante del successo dell’organizzazione.

Un buon reporting permetterà di fornire una risposta che si basi sull’impegno continuo dei CISO, e quindi dell’azienda, nel monitorare, migliorare e adattare le iniziative di sicurezza per affrontare le minacce emergenti.

Il Chief Information Security Officer moderno non è più (solo) un tecnico, ma un leader capace di parlare il linguaggio del business, di educare e influenzare, di orientare le scelte strategiche verso un equilibrio tra rischio e opportunità. In questo equilibrio, la comunicazione è lo strumento chiave per garantire che la sicurezza sia non solo compresa, ma anche sostenuta e integrata nei processi decisionali dell’intera organizzazione.

https://www.ictsecuritymagazine.com/notizie/ciso-top-management/

Il presente focus esaminerà l’articolo 48 del GDPR che disciplina i casi in cui il trasferimento di dati personali verso un paese terzo non è consentito senza un accordo internazionale tra il paese richiedente e l’Unione Europea o uno Stato membro. Il contenuto è parte di un white paper dedicato ad una serie di approfondimenti sul Registro dei Trattamenti.

Cos’è l’Articolo 48 del GDPR?

L’articolo 48 del GDPR, rubricato “Trasferimento e comunicazione non autorizzata dal diritto dell’Unione”, regola i casi in cui il trasferimento di dati personali verso un paese terzo non è autorizzato senza un accordo internazionale tra il paese richiedente e l’Unione Europea o uno Stato membro. Le sentenze di un’autorità giurisdizionale o le decisioni di un’autorità amministrativa di un paese terzo possono essere riconosciute o assumere carattere esecutivo solo se basate su tali accordi.

La disposizione mira a limitare il potere di efficacia delle sentenze giurisdizionali e delle decisioni amministrative di un paese terzo. Questo rafforza la sovranità digitale dell’Unione Europea, garantendo che il trasferimento o la comunicazione di dati personali avvenga solo nel rispetto del diritto dell’Unione.

Requisiti GDPR per trasferimenti dati internazionali

Per permettere il trasferimento dei dati personali, è richiesta l’esistenza di un accordo internazionale in vigore tra il paese terzo richiedente e l’Unione o uno Stato membro, come un trattato di mutua assistenza giudiziaria. La lista degli accordi sottoscritti conformi all’articolo 48 del GDPR è disponibile sul sito web del Ministero della Giustizia.

Applicazione dell’Articolo 48 del GDPR

L’articolo 48 si applica a ogni tipo di trasferimento di dati personali, inclusa la semplice comunicazione. La norma si estende anche a eventuali provvedimenti giurisdizionali o amministrativi, garantendo che essi non possano prevalere sul diritto dell’Unione senza un accordo internazionale.

Questa disposizione riflette la volontà dell’Unione Europea di affermare la sua sovranità digitale, assicurando che i trasferimenti di dati personali siano sempre conformi al GDPR e agli accordi internazionali stipulati. La sovranità digitale rappresenta un pilastro fondamentale nella protezione dei dati personali degli individui all’interno dell’UE.

Deroghe GDPR per trasferimenti dati: Articolo 49 e condizioni specifiche

L’articolo 49 del GDPR consente il trasferimento di dati personali verso un paese terzo o un’organizzazione internazionale anche in assenza di una decisione di adeguatezza o di garanzie adeguate, purché si verifichino specifiche condizioni:

1. Consenso Esplicito dell’Interessato: L’interessato deve esplicitamente acconsentire al trasferimento, informato dei possibili rischi.
2. Esecuzione di un Contratto: Il trasferimento deve essere necessario per l’esecuzione di un contratto tra l’interessato e il titolare del trattamento.
3. Interesse Pubblico: Il trasferimento deve essere necessario per importanti motivi di interesse pubblico.
4. Accertamento o Difesa di un Diritto: Necessario per accertare, esercitare o difendere un diritto in sede giudiziaria.
5. Interessi Vitali: Necessario per tutelare gli interessi vitali dell’interessato o di altre persone.
6. Consultazione di Registri Pubblici: Effettuato a partire da un registro pubblico accessibile tanto al pubblico quanto a chi dimostri un legittimo interesse.

Rilevanza delle deroghe GDPR: eccezioni per trasferimenti dati

Le deroghe rappresentano eccezioni al principio generale secondo cui i dati personali possono essere trasferiti verso paesi terzi solo in presenza di adeguate garanzie. Queste deroghe devono essere interpretate in maniera restrittiva per evitare che diventino la regola, assicurando che il livello di protezione dei dati personali garantito dal GDPR non venga pregiudicato.

Gli articoli 48 e 49 del GDPR offrono un quadro chiaro per il trasferimento internazionale di dati personali, stabilendo condizioni rigorose per garantire la protezione dei dati degli individui nell’Unione Europea. Queste disposizioni sono fondamentali per mantenere la sovranità digitale dell’UE e proteggere i diritti degli interessati.

L’articolo 48 del GDPR costituisce un pilastro fondamentale nella regolamentazione del trasferimento internazionale dei dati personali, stabilendo che tali trasferimenti verso paesi terzi necessitano di un accordo internazionale specifico tra il paese richiedente e l’UE o uno Stato membro. Questa disposizione, insieme alle deroghe previste dall’articolo 49, crea un quadro normativo completo che rafforza la sovranità digitale dell’Unione Europea. Mentre l’articolo 48 richiede accordi formali per il riconoscimento di sentenze giurisdizionali o decisioni amministrative di paesi terzi, l’articolo 49 prevede specifiche deroghe che permettono il trasferimento dei dati in determinate circostanze, come il consenso esplicito dell’interessato o la necessità di tutelare interessi vitali.

Il prossimo articolo della serie approfondirà il tema legato ai termini di cancellazione dei dati in conformità con il GDPR. Per un’analisi più approfondita di queste tematiche, vi invitiamo a scaricare il nostro white paper “La compilazione del Registro dei trattamenti nel nuovo quadro normativo del Reg. UE 679/2016“.

https://www.ictsecuritymagazine.com/articoli/articolo-48/

Apr 23, 2025 Marina Londei Gestione dati, In evidenza, News, RSS 0

---

A sei anni dal primo annuncio, Google ha deciso di fare un (grosso) passo indietro sulla sua Privacy Sandbox e di tornare all’uso dei cookie di terze parti.

In un post sul proprio blog la compagnia ha spiegato che il cambio di direzione è dovuto alle “visioni contrastanti su cambiamenti che possono impattare la disponibilità dei cookie di terze parti“, facendo riferimento a sviluppatori, enti regolatori e i soggetti dell’industria pubblicitaria che si sono fortemente opposti al progetto fin dall’inizio.

“L’adozione di tecnologie che migliorano la privacy ha subito un’accelerazione, sono emerse nuove opportunità per salvaguardare e proteggere le esperienze di navigazione delle persone con l’intelligenza artificiale e il panorama normativo mondiale si è notevolmente evoluto. Tenendo conto di tutti questi fattori, abbiamo deciso di mantenere il nostro attuale approccio per offrire agli utenti la possibilità di scegliere i cookie di terze parti in Chrome e non introdurremo un nuovo prompt standalone per i cookie di terze parti” ha affermato Anthony Chavez, VP, Privacy Sandbox di Google.

Con Privacy Sandbox l’obiettivo di Google era spostare la profilazione utente dai cookie di terze parti al browser per ridurre il numero di informazioni condivise con compagnie terze. Gli utenti vengono comunque tracciati, ma i loro dati sono anonimizzati e riguardano solo le categorie di interesse e aree tematiche specificate dal singolo utente, non il dettaglio della navigazione.

Attivando questa funzionalità gli utenti possono scegliere quali interessi condividere con le compagnie terze e quali no, in modo da ricevere gli annunci più rilevanti.

Molti grandi nomi del mondo tech avevano avanzato le loro preoccupazioni e i loro dubbi per questa scelta, chi sostenendo che non fosse un aiuto effettivo per la privacy, chi sollevando il problema della generazione degli argomenti e della classificazione dei siti web; inoltre, la scelta di Google rischiava di accentrare ancora di più il controllo del web sul colosso di Mountain View.

Insomma, quella che secondo Google sarebbe dovuta essere la rivoluzione della privacy sul web, è stata relegata a una mera opzione: gli utenti possono infatti scegliere se usare o meno Privacy Sandbox dalle impostazioni di sicurezza di Chrome.

Google ha specificato che continuerà a migliorare la protezione dal tracking per la modalità incognito di Chrome e che prevede di lanciare IP Protection nel terzo trimestre del 2025. La feature promette di ridurre il rischio di tracciamento nascosto e bloccare la condivisione dell’IP dell’utente con terze parti.

---

---

---

https://www.securityinfo.it/2025/04/23/stop-alla-privacy-sandbox-di-google/?utm_source=rss&utm_medium=rss&utm_campaign=stop-alla-privacy-sandbox-di-google

Medical Express Ambulance Inc. (MedEx) recently experienced a data breach that may have allowed unauthorized access to patient health information and employee personal information. At this time, MedEx has not received any reports of related misuse of health information since the date of the Incident.

On March 18, 2024, MedEx experienced a network disruption that impacted the functionality and access of certain systems. Upon discovery of this incident, MedEx immediately disconnected all access to the network and promptly engaged a specialized third-party cybersecurity firm and IT personnel to assist with securing the environment, as well as, to conduct a comprehensive forensic investigation to determine the nature and scope of the incident. The forensic investigation determined that personal information may have been acquired by the threat actor.

Based on these findings, MedEx decided to proceed with an analysis of the compromised data for any potential sensitive personal information (PII) or protected health information (PHI). MedEx engaged a third-party vendor to review the data that was compromised. The data mining process took some time given the complexities of the types and volume of the data analyzed, requiring multiple phases of automated and manual review. On March 3, 2025, MedEx engaged a third-party notice vendor to assist with the mailings, call center, and provide identity theft protection services for those whose sensitive information was impacted. Thereafter, MedEx worked to verify the patient information and addresses for mailing. On March 19, 2025, MedEx finalized the list of individuals to notify.

The information affected varied for each impacted individual. Based on the investigation, the following information related to potentially impacted individuals may have been subject to unauthorized access: Name; date of birth; demographic information, Social Security number, driver’s license number; state identification number; medical information; financial information; health insurance information; username and password; and for some, passport information. Please note that the information above varies for each potentially impacted individual.

https://www.securitymagazine.com/articles/101561-medical-express-ambulance-inc-announces-data-breach

In Q1 2025, deepfake-driven fraud led to $200 million in financial losses. A report from Resemble AI analyzes the economic consequences of deepfake attacks as well as their escalation and growth, examining deepfake incidents between January 2025 and April 2025.

According to the findings, the deepfake threat landscape is evolving, with images, videos, and audio files reaching high levels of sophistication and expanding to reach new targets. Additionally, the ease of access to deepfake technology will require preparedness from policymakers, organizations, and individuals, as it is predicted that the volume and impact of deepfakes will grow throughout the remainder of 2025. 

Deepfake targets are shifting, although public figures remain the predominant target. Public figure impersonations account for 47% of deepfakes, with politicians being the most impersonated (33%) followed by TV/film actors (26%). The use of deepfakes to impersonate public figures has led to at least $350 million losses.

However, the report reveals a growing trend in deepfakes targeting everyday people, with an emphasis on women, children, and educational institutions. Deepfake use has expanded to involve reputational damage, targeted harassment and blackmail. 

As sophisticated detection-avoidance tactics are being leveraged to bypass conventional security measures, the report emphasizes the importance of multi-faceted responses to meet the evolving threat of deepfakes. 

https://www.securitymagazine.com/articles/101559-deepfake-enabled-fraud-caused-more-than-200-million-in-losses

Straordinario successo per la Cyber Crime Conference 2025: l’ormai consolidato appuntamento primaverile ha rafforzato il suo ruolo di hub strategico dove la community italiana e internazionale della sicurezza informatica si incontrano per condividere conoscenze e strategie. L’evento si è distinto tanto per l’affluenza di partecipanti quanto per l’eccezionale calibro degli esperti intervenuti. La presenza di relatori provenienti da diverse nazioni ha arricchito il confronto con prospettive e approcci variegati, offrendo una visione realmente transnazionale delle problematiche discusse.

L’evento

Anche quest’anno la formula B2B dell’evento ha consentito un proficuo dialogo tra istituzioni, aziende e ricercatori impegnati nello studio e nel contrasto attivo della criminalità informatica globale.

Le 20 relazioni tematiche e le 4 Tavole Rotonde in agenda hanno saputo animare uno stimolante dibattito tra i vari professionisti del settore, offrendo nuove prospettive sulle insidie del cybercrime e sulle migliori strategie per contrastarle.

Tra i punti salienti emersi durante i lavori spiccano la crescente sofisticazione delle minacce – profondamente trasformate dalla diffusione delle tecnologie AI – e la necessità di rafforzare i meccanismi di cooperazione sovranazionale volti a individuare e perseguire i responsabili dei reati cyber, adottando un approccio di intelligence per vincere vecchie e nuove sfide poste dal crimine informatico.

Le Tavole Rotonde della 13a Cyber Crime Conference

Il primo panel in programma – intitolato “Il Modello Italiano di Contrasto al Cybercrime: dalla Prevenzione all’Azione Giudiziaria” e moderato dalla prof.ssa Donatella Curtotti – ha esaminato l’attuale panorama normativo e le migliori pratiche già in campo.

Nel corso del dibattito Gianluca Galasso (Direttore del Servizio Operazioni dell’ACN) ha ricordato come il quadro nazionale ed europeo si sia progressivamente strutturato per consentire azioni coordinate di prevenzione e contrasto al crimine informatico, mentre Ivano Gabrielli ha ribadito che le trasformazioni occorse negli ultimi anni richiedono nuovi e più rapidi meccanismi di risposta. Luigi Birritteri ha richiamato l’esigenza di contemperare le iniziative di contrasto alla criminalità con la tutela dei diritti umani; in merito Pasquale Stanzione ha citato le tecnologie di riconoscimento biometrico, ancora soggette a bias ed errori tali da vanificare il sacrificio della privacy individuale che deriverebbe dal loro utilizzo massivo.

Le riflessioni circa l’esigenza di contemperare diritti e sicurezza sono proseguite nella seconda Tavola, dal titolo “Sovranità digitale: come bilanciare l’autonomia nazionale e la collaborazione internazionale”.

Con la moderazione del prof. Mauro Santaniello, l’incontro ha riunito Federico Casolari, che ha ricordato come la sovranità digitale rientri nel più vasto ambito dell’autonomia strategica dell’UE; Ginevra Cerrina Feroni, nel cui intervento è stato evocato il concetto di “costituzionalismo digitale” per valutare la rispondenza tra strumenti tecnologici e diritti individuali; Stefania Ducci, che ha evidenziato come l’ACN abbia già in campo iniziative per lo sviluppo di competenze e tecnologie a livello europeo.

Hanno inoltre partecipato Giusella Finocchiaro, la quale ha ribadito come la sovranità digitale sia oggi un tema centrale nell’agenda europea; Giorgio Martellino, il quale ha concordato con la necessità di rafforzare il partenariato pubblico-privato per favorire lo sviluppo di tecnologie comunitarie all’avanguardia; e infine Antonio Teti, che ha messo in guardia dal rischio di una “deriva tecnocratica” delle società contemporanee.

Nella giornata del 17 aprile la terza Tavola Rotonda (in lingua inglese), moderata da Matteo Lucchetti e intitolata “Global Justice in Action: Success Stories in the Transnational Fight Against Cybercrime”, ha poi esaminato sfide e conquiste del contrasto giudiziario al crimine informatico globale.

Giorgi Jokhadze ha introdotto la discussione sintetizzando le principali azioni intraprese dal Consiglio d’Europa per supportare le autorità inquirenti nazionali; Stanislav Samoilov ha esposto una delle principali operazioni che hanno recentemente impegnato le forze dell’ordine ucraine, conclusa con l’individuazione di un membro del Conti Ransomware Group; Fernando José Aguiar de Oliveira ha ricordato che la Convenzione di Budapest è uno strumento fondamentale per consentire l’accesso alle prove digitali; Jan Kerkhofs ha ribadito l’importanza dell’accesso ai dati nelle investigazioni sui delitti informatici.

A concludere le due giornate di lavori è stato poi un incontro tutto al femminile moderato da Monica Senor, dove diverse esperte di alto profilo hanno approfondito il tema “Governance dei Dati nell’era digitale: analisi delle dinamiche tra Big Tech, Privacy e Sicurezza Nazionale”.

La discussione ha coinvolto Valentina Cuocci, che ha sottolineato la necessità di porre dei limiti all’uso delle tecnologie per salvaguardare la dignità umana; Alessandra Guidi, che ha ricordato come un ostacolo a tale obiettivo sia la persistente “insofferenza” delle piattaforme all’ingerenza normativa; Angela Procaccino, nel cui intervento è stato approfondito il principio di proporzionalità nell’uso delle tecnologie a fini investigativi; Laura Liguori, che ha approfondito gli aspetti di responsabilità previsti nella Direttiva NIS2; ed Elena Bassoli, che ha sviluppato un’interessante disamina in tema di sovranità algoritmica e frammentazione regolamentare.

Le Relazioni Tecniche alla Cyber Crime Conference 2025

Anche i singoli interventi in programma hanno fornito interessanti spunti di riflessione, esaminando tutti gli aspetti più rilevanti nella gestione delle minacce informatiche: dalla Convenzione ONU sul cybercrime alla crittografia quantistica e al Software Supply Chain Risk Management, senza dimenticare gli aspetti di Digital Forensics e le nuove frontiere di rischio rappresentate da Deepfake o altri media sintetici prodotti dall’AI.

Nelle prossime settimane i partecipanti avranno accesso ai materiali degli interventi, nonché alle foto e ai video delle due giornate.

Grazie alle associazioni Cyber 4.0 e Società Italiana d’Intelligence (SOCINT), alle relatrici, ai relatori, alle aziende sponsor e al numeroso pubblico che ha animato queste due giornate: il prossimo appuntamento è per il 19 e 20 novembre 2025, quando si svolgerà la 23a Edizione del Forum ICT Security.

https://www.ictsecuritymagazine.com/notizie/cyber-crime-conference-2025-2/

Apr 22, 2025 Marina Londei Attacchi, In evidenza, Malware, Minacce, News, RSS 0

---

I ricercatori di Cleafy, compagnia di sicurezza specializzata in dispositivi mobile, hanno individuato SuperCard X, un nuovo malware Android che consente di eseguire attacchi di NFC relay per sottrarre i dati delle carte di credito.

“Questa campagna usa una nuova tecnica di NFC-relay consentendo agli attaccanti di autorizzare pagamenti Point-of-Sale e prelievi presso ATM fraudolenti intercettando e ritrasmettendo le comunicazioni NFC da dispositivi compromessi” spiega il team Cleafy Threat Intelligence.

SuperCard X è in realtà una piattaforma di Malware-as-a-Service usata appunto per sottrarre i fondi degli utenti colpiti. Il team di Cleafy ha analizzato in dettaglio una campagna avvenuta in Italia, eseguita da un affiliato del gruppo non ancora identificato.

SuperCard X

Inizialmente gli attaccanti sfruttano l’ingegneria sociale inviando SMS o messaggi WhatsApp in cui si avvisano gli utenti di pagamenti, addebiti o bonifici da verificare. I messaggi chiedono alla vittima di chiamare il numero di telefono indicato per controllare la movimentazione; durante la chiamata, gli attaccanti chiedono agli utenti di comunicare il PIN della loro carta, eventualmente aiutandoli a recuperarlo sull’applicazione bancaria. Una volta ottenuta la fiducia della vittima, gli viene richiesto anche di rimuovere i limiti di spesa sulle carte in suo possesso e, infine, di installare un’applicazione per il controllo dei movimenti bancari.

Gli attaccanti inviano un link per scaricare l’applicazione all’utente, la quale contiene il payload di SuperCard X. Installata l’applicazione, il finto operatore chiede alla vittima di prendere la propria carta di credito o di debito e di portarla in prossimità di un dispositivo infettato in precedenza e controllato dagli attaccanti (un POS o uno sportello automatico) per inizializzare la comunicazione NFC e ottenere i dettagli della carta usata.

A questo punto, ottenute le informazioni necessarie, gli attaccanti sono in grado di eseguire transazioni non autorizzate tramite i device compromessi, come il prelievo di denaro o pagamenti tramite POS in maniera contactless.

L’impatto del malware

Secondo i ricercatori di Cleafy, SuperCard X ha alle spalle attaccanti cinesi in quanto presenta molte similarità con NGate, un altro malware cinese individuato nel 2024. Il team di threat intelligence di Cleafy ha evidenziato inoltre che la tecnica NFC usata in questa campagna sta cominciando a essere usata anche in altre famiglie di malware, come Copybara e Droidbot.

I ricercatori sottolineano che l’impatto di SuperCard X è notevole in quanto, al contrario di altri malware simili, non colpisce i clienti di una specifica banca, ma è agnostico rispetto all’istituzione finanziaria coinvolta in ogni attacco. “Questa nuova campagna introduce un rischio finanziario significativo che va oltre gli obiettivi convenzionali degli istituti bancari e colpisce direttamente i fornitori di pagamenti e gli emittenti di carte di credito“.

Un altro aspetto significativo del malware è che è difficile da individuare: limitandosi a raccogliere dati NFC e a trasmetterli a un server C2, l’analisi comportamentale non è molto efficace. “Questo approccio multicanale pone sfide aggiuntive agli sforzi di monitoraggio ed evidenzia il crescente bisogno di affidarsi a capacità di rilevamento in tempo reale“.

---

---

---

https://www.securityinfo.it/2025/04/22/supercard-x-il-nuovo-malware-android-che-sottrae-i-dati-delle-carte-di-pagamento/?utm_source=rss&utm_medium=rss&utm_campaign=supercard-x-il-nuovo-malware-android-che-sottrae-i-dati-delle-carte-di-pagamento

https://www.securitymagazine.com/blogs/14-security-blog/post/101558-amidst-tariff-uncertainty-physical-security-cant-take-a-backseat

The Erlang/Open Telecom Platform (OTP) SSH implementation has a critical security vulnerability. This vulnerability, tracked as CVE-2025-32433, could allow a malicious actor to execute arbitrary code with no authentication in certain conditions, and is considered a remote code execution (RCE) vulnerability. 

Thomas Richards, Infrastructure Security Practice Director at Black Duck, explains, “Remote code execution (RCE) vulnerabilities require immediate attention from corporate security teams. Not only should every system that uses this software be patched, forensics should also be conducted on the systems to determine if they were compromised to further manage software risk.” Richards elaborates on the risk, stating, “The issue stems from improper handling of SSH protocol messages that essentially permit an attacker to send connection protocol messages prior to authentication. Successful exploitation of the inadequacies could result in arbitrary code execution in the context of the SSH daemon. Further intensifying the risk, if the daemon process is running as root, it enables the attacker to have full control of the device, in turn, paving the way for unauthorized access to and manipulation of sensitive data or denial-of-service (DoS).” 

The vulnerability has been given a maximum CVSS score of 10.0. 

Mr. Mayuresh Dani, Security Research Manager, at Qualys Threat Research Unit, states, “CVE-2025-32433 in Erlang/OTP’s SSH implementation is extremely critical, warranting a CVSSv3 score of 10.0. Due to improper handling of pre-authentication SSH protocol messages, a remote threat actor can bypass security checks to execute code on a system. If the SSH daemon runs with root privileges — which is common in many deployments — the threat actor will gain complete control over the exploited host. This can allow the threat actor to perform actions such as installing a ransomware or siphon off sensitive data.

“Erlang is frequently found installed on high-availability systems due to its robust and concurrent processing support. A majority of Cisco and Ericsson devices run Erlang. Any service using Erlang/OTP’s SSH library for remote access such as those used in OT/IoT devices, edge computing devices are susceptible to exploitation. Upgrading to the fixed Erlang/OTP or vendor supported versions will remediate the vulnerability. Should organizations need more time to install upgrades, they should restrict SSH port access to authorized users alone.” 

https://www.securitymagazine.com/articles/101552-devices-exposed-to-remote-hacking-via-erlang-otp-ssh-vulnerability

Apr 21, 2025 Stefano Silvestri Attacchi, Hacking, In evidenza, Intrusione, Malware, Minacce, News, Phishing, Privacy, Scenario, Tecnologia 0

---

Nel corso dell’ultima settimana, il CERT-AGID ha rilevato 57 campagne malevole nel panorama italiano, con 26 operazioni mirate espressamente contro il nostro Paese e altre 31 di portata più generica ma che hanno comunque coinvolto utenti e infrastrutture italiane.

A supporto delle attività di prevenzione e difesa, sono stati messi a disposizione degli enti accreditati ben 767 indicatori di compromissione.

I temi della settimana

Sono stati ben 17 i temi sfruttati questa settimana dai cybercriminali per confezionare le campagne malevole indirizzate al territorio italiano.

Tra i più ricorrenti, si distingue il tema “Ordine”, utilizzato in campagne generiche per diffondere malware come Darkcloud, SnakeKeylogger, Formbook e AgentTesla.

Anche “Fattura” è tornato al centro dell’attenzione, comparendo in tre campagne italiane e due di respiro più ampio, tra cui una mirata agli utenti di Aruba. In questo contesto sono stati veicolati AgentTesla, XWorm, LokiBot e SnakeKeylogger.

Il tema “Banking” ha accompagnato tre campagne rivolte all’Italia e due generiche, in forma di phishing e smishing, servendo anche come canale per la diffusione di MassLogger, BingoMod e SpyNote.

Particolarmente attivo anche il tema “Pagamenti”, sfruttato in quattro campagne italiane e due generiche, utilizzato per veicolare FormBook e Grandoreiro tramite email e per colpire via phishing utenti di servizi come Zimbra, BRT e PagoPA.

Non è mancato il tema “Documenti”, presente in tre campagne generiche e due italiane, sfruttato per diffondere malware come Lumma e Remcos e per attacchi di phishing ai danni del Notariato e di DocuSign.

Il tema “Booking” è stato usato in due campagne italiane e due generiche, associato a pagine truffaldine con finti Captcha per distribuire malware.

“Delivery”, invece, è comparso in una campagna generica e tre italiane, legato alla diffusione di Remcos via email, smishing contro Poste Italiane e BRT e alla circolazione di AgentTesla.

Infine, il tema “Contratti” è stato utilizzato in tre campagne generiche per veicolare Snakekeylogger e Guloader attraverso email. Gli altri temi riscontrati sono stati impiegati in campagne più frammentate, ma sempre con finalità malevole legate a malware e phishing di varia natura.

Tra gli eventi più significativi della settimana, si segnala una nuova campagna di phishing che prende di mira gli utenti di pagoPA.

L’inganno avviene attraverso email che richiamano presunte fatture da 75 euro, con l’obiettivo di indurre le vittime a fornire dati personali e informazioni sensibili come i dettagli della carta di credito.

Un’altra campagna di phishing ha invece sfruttato il nome del Ministero della Salute, riprendendo un modello già osservato all’inizio dell’anno ma con un nuovo dominio truffaldino, “ministerosalute[.]io”.

Anche in questo caso, le email false promettono un rimborso e richiedono informazioni personali, tra cui nome, indirizzo e dati della carta di credito, cercando di carpire la fiducia delle potenziali vittime con un linguaggio istituzionale e rassicurante.

Malware della settimana

Nel corso della settimana sono state individuate 14 famiglie di malware attive sul territorio italiano, distribuite attraverso campagne mirate o più generiche che hanno comunque interessato utenti e sistemi del nostro Paese.

Tra le minacce più rilevanti figura AgentgTesla, rilevato in tre campagne italiane legate ai temi “Booking”, “Aggiornamenti” e “Delivery”, oltre che in tre campagne generiche a tema “Ordine” e “Fattura”, tutte veicolate via email con allegati nei formati ZIP, RAR, Z e IMG.

AsyncRat è stato protagonista di tre campagne “Booking” – una italiana e due generiche – diffuse attraverso link a pagine con finti Captcha, oltre a una campagna “Prezzi” distribuita via email con allegati RAR.

Anche SnakeKeylogger è tornato in scena con una campagna italiana a tema “Fattura” e tre campagne generiche legate ai temi “Contratti” e “Ordine”, in cui il malware è stato veicolato con allegati RAR, ARJ e LZH.

FormBook è comparso in tre campagne generiche, associate ai temi “Ordine” e “Pagamenti”, e diffuse tramite email con allegati compressi ZIP, RAR e 7Z.

Anche Remcos ha fatto registrare attività: una campagna italiana con tema “Documenti” e due campagne generiche legate a “Fattura” e “Delivery”, tutte accompagnate da allegati ZIP e RAR.

Non è mancato DarkCloud, con due campagne generiche a tema “Ordine” veicolate tramite allegati TAR e LZH, e neppure Lumma, riscontrato in due campagne generiche “Documenti” che utilizzavano allegati ZIP e IMG.

XWorm è emerso in una campagna italiana a tema “Fattura” e in una generica “Prezzi”, con file allegati nei formati ZIP e 7Z.

Particolare attenzione meritano anche le campagne che hanno coinvolto i malware BingoMod e SpyNote, veicolati tramite file APK in una campagna italiana e una generica legate al tema “Banking”, con link malevoli inviati via SMS.

A completare il quadro, una campagna italiana legata a MassLogger e diverse operazioni generiche che hanno visto protagonisti Grandoreiro, Guloader e Lokibot, distribuiti attraverso un’ampia varietà di temi e formati.

Phishing della settimana

Nel corso della settimana sono stati ben 15 i brand coinvolti nelle campagne di phishing monitorate dal CERT-AGID.

A dominare la scena in termini di volume troviamo le campagne a tema INPS, cPanel, Intesa Sanpaolo e Aruba, che si confermano bersagli frequenti per chi cerca di sfruttare la riconoscibilità dei marchi a fini truffaldini.

Particolarmente diffuse anche le campagne di phishing rivolte alle webmail, spesso non brandizzate, che puntano in modo subdolo a sottrarre agli utenti credenziali di accesso e altri dati personali sensibili, facendo leva sulla distrazione o sulla fiducia in apparenti comunicazioni ufficiali.

Formati e canali di diffusione

Nel monitoraggio settimanale, il CERT-AGID ha rilevato l’impiego di diverse tipologie di file malevoli, a conferma della varietà di strumenti utilizzati dai cybercriminali per eludere le difese di utenti e sistemi.

Anche questa settimana hanno prevalso i formati compressi, con i file ZIP che si sono distinti come i più utilizzati: sono infatti comparsi in otto campagne distinte, confermandosi efficaci nella diffusione del malware. A pari merito troviamo i file RAR, anch’essi impiegati otto volte.

Seguono i file IMG, utilizzati in tre campagne, mentre HTML, APK, Z e LZH sono stati impiegati in due occasioni ciascuno.

Più sporadico, ma comunque significativo, l’uso di altri formati come DOC, ARJ, 7Z e TAR, rilevati una sola volta.

Per quanto riguarda i canali di diffusione, l’email si conferma il vettore preferito dagli attaccanti. Dei 57 episodi analizzati nel periodo, ben 53 sono stati condotti tramite messaggi di posta elettronica.

Completano il quadro 7 campagne diffuse via SMS e 3 condotte attraverso PEC.

---

---

---

https://www.securityinfo.it/2025/04/21/cert-agid-12-18-aprile-campagne-phishing-pagopa-ministero-salute/?utm_source=rss&utm_medium=rss&utm_campaign=cert-agid-12-18-aprile-campagne-phishing-pagopa-ministero-salute