Nov 13, 2025 Marina Londei Approfondimenti, Attacchi, Attacchi, In evidenza, Minacce, Minacce, News, Phishing, RSS 0

---

I consumatori continuano a essere colpiti molto duramente dalle truffe informatiche e quelle basate su IA sono le più preoccupanti: a dirlo è il Consumer Cyber Security Survey 2025, report di Bitdefender che ha analizzato le abitudini e le preoccupazioni di oltre 7.000 consumatori in Australia, Francia, Germania, Italia, Spagna, Regno Unito e Stati Uniti.

Nel dettaglio, il 14% degli utenti coinvolti ha affermato di aver subito una truffa lo scorso anno e un altro 4% non ne è sicuro. Gli Stati Uniti contano il maggior numero di vittime di truffe con il 17%, seguiti dal Regno Unito (16%) e dall’Australia (16%). L’Italia ha registrato invece il 12%; infine, la Francia conta il tasso più basso con l’11%. Il report evidenzia che, basandosi su una perdita media di 545 dollari (circa 470 euro), lo scorso anno i consumatori hanno perso oltre 534.000 dollari (circa 460.000 euro), considerando solo gli utenti coinvolti nel sondaggio.

I consumatori sono particolarmente preoccupati dall’uso dell’IA nelle truffe: gli utenti temono soprattutto i deepfake (37%), seguiti dalla perdita di lavoro (30%) e dalla diffusione di disinformazione. L’analisi di Bitdefender evidenzia però una differenza generazionale riguardo i timori legati all’IA: quasi la metà delle persone con più di 55 anni (46%) è preoccupata dalle truffe ottimizzate dall’IA rispetto a solo un terzo dei millenial (34%).

Dal report emerge che i social media sono il canale principale utilizzato dai criminali informatici per le truffe (34%) ai danni dei consumatori, superando le email (28%), le telefonate (25%), gli SMS (24%) e le pubblicità online (21%). Il dato è strettamente legato al numero di account online che gestiscono i consumatori: secondo quanto riportato da Bitdefender, in media gli utenti gestiscono cinque account, con quasi due terzi degli intervistati che ne gestiscono almeno tre. Circa un terzo (32,8%) dispone di 3–5 account, mentre il 32,4% ha 6–9 account.

L’analisi di Bitdefender mette anche in luce delle criticità dal punto di vista della sicurezza che mettono ancora più a rischio i consumatori. È emerso per esempio che il 37% degli intervistati tiene una copia scritta delle proprie password e il 32% utilizza la stessa password per diversi account. A livello di Paesi, gli intervistati italiani (41,6%) sono tra i più propensi a tenere copia scritta delle password.

Parallelamente, solo il 27% utilizza un gestore delle password, il 16% si affida all’inserimento automatico del browser e il 13,6% utilizza la funzione di inserimento automatico della password di Apple.

Un altro aspetto critico è che quasi la metà (48%) degli intervistati accetta tutti i cookie in automatico, mentre solo il 36% li gestisce manualmente; il 16%, invece, li rifiuta tutti. Il 75% ha affermato di non leggere o di leggere solo superficialmente i termini di privacy prima di accettarli. “Tali comportamenti espongono i consumatori a rischi per la privacy e la sicurezza, poiché i cookie possono consentire la profilazione, lo sfruttamento dei dati e persino la violazione delle sessioni” si legge nel report.

Infine, dall’analisi emerge che la sicurezza mobile e dei dispositivi viene spesso trascurata: il 48% dei consumatori intervistati non usa una soluzione di sicurezza di una terza parte sul proprio smartphone, pur eseguendo transazioni sensibili.  La situazione non migliora con altri dispositivi: il 58% non protegge i propri computer e l’82% afferma lo stesso per i propri tablet. Quasi il 10% degli intervistati, inoltre, ha ammesso di utilizzare i dispositivi aziendali per transazioni finanziarie personali.

“I risultati del sondaggio mettono in luce la crescente importanza della sensibilizzazione alla sicurezza informatica a fronte dell’aumento della frequenza e della complessità degli attacchi contro i consumatori nell’era dell’IA” ha affermato Ciprian Istrate, senior vice president of operations, Consumer Solutions Group di Bitdefender. “Bitdefender è stata tra le prime a utilizzare l’IA per contrastare la criminalità informatica, ma oggi i pirati informatici la sfruttano a loro volta per rendere gli attacchi ancora più sofisticati. Password efficaci, gestione consapevole dei cookie e soluzioni di sicurezza affidabili possono contribuire notevolmente a ridurre i rischi. I criminali informatici sono inesorabili, ma la sensibilizzazione e gli strumenti giusti permettono ai consumatori di difendersi“.

---

---

---

https://www.securityinfo.it/2025/11/13/crescono-le-truffe-ai-danni-dei-consumatori-preoccupano-quelle-basate-su-ia-il-report-di-bitdefender/?utm_source=rss&utm_medium=rss&utm_campaign=crescono-le-truffe-ai-danni-dei-consumatori-preoccupano-quelle-basate-su-ia-il-report-di-bitdefender

Nov 12, 2025 Marina Londei Attacchi, In evidenza, Malware, News, RSS 0

---

I ricercatori di zImperium zLabs hanno individuato Fantasy Hub, un RAT per Android venduto su canali Telegram russi come Malware-as-a-Service.

Il RAT viene usato principalmente per colpire istituti finanziari (tra i quali Alfa, PSB, Tbank e Sber) implementando pagine di phishing per rubare le credenziali bancarie degli utenti. È possibile sia creare pagine custom che usare quelle pre-impostate presenti nel pacchetto iniziale. Colui (o coloro) che hanno messo in vendita il malware mettono a disposizione dei propri clienti anche delle istruzioni su come creare applicazioni e pagine fake.

Fantasy Hub viene infatti generalmente distribuito tramite finte pagine Google Play Store, complete di recensioni. Il malware viene camuffato da aggiornamento di Google Play o da altra applicazione legittima.

Il malware presenta numerose capacità di cyberspionaggio, a partire dall’accesso completo agli SMS e all’intercettazione degli stessi. Il RAT consente anche di manipolare le notifiche push per renderle invisibili agli utenti e rispondere direttamente ai messaggi, attivare la videocamera e il microfono per la registrazione e lo streaming di video e audio, scattare foto e accedere alla galleria e ai contatti.

Gli acquirenti di Fantasy Hub gestiscono il funzionamento del RAT tramite un pannello dedicato; qui accedono alle informazioni sullo stato dei dispositivi infetti, sul modello e sull’ID utente, sul numero di telefono e sulla scadenza dell’abbonamento al malware. Gli attaccanti hanno a disposizione una guida con tutti i comandi disponibili che possono far eseguire al RAT, per esempio per accedere ai messaggi, attivare la fotocamera e così via.

“La rapida diffusione delle operazioni Malware-as-a-Service (Maas) come Fantasy Hub dimostrano che gli attaccanti possono facilmente trasformare componenti Android legittime in armi per ottenere la totale compromissione dei dispositivi” affermano i ricercatori.

La minaccia di Fantasy Hub è significativa per due motivi: in primo luogo, è un prodotto che viene venduto con tanto di documentazione che lo rende accessibile anche agli attaccanti meno esperti; inoltre, poiché colpisce i flussi bancari e sfrutta l’handler degli SMS, è altamente pericoloso per i dipendenti che utilizzano applicazioni di home banking e che gestiscono informazioni sensibili.

“Con la continua evoluzione dell’offerta MaaS, le organizzazioni devono trattare ogni dispositivo mobile come un potenziale entry point” concludono i ricercatori.

---

---

---

https://www.securityinfo.it/2025/11/12/fantasy-hub-scoperto-un-nuovo-rat-android-che-prende-il-controllo-totale-del-dispositivo/?utm_source=rss&utm_medium=rss&utm_campaign=fantasy-hub-scoperto-un-nuovo-rat-android-che-prende-il-controllo-totale-del-dispositivo

Nov 11, 2025 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

---

I ricercatori di Koi Security hanno segnalato il ritorno di GlassWorm, il primo worm che colpisce le estensioni di VS Code sul marketplace OpenVSX.

Il worm era stato individuato per la prima volta quasi tre settimane fa dalla compagnia in centinaia di pacchetti software open-source. Una volta installato sui sistemi, il malware si autoreplica in altri progetti modificando i file di configurazione delle estensioni. Il worm è particolarmente difficile da contrastare perché utilizza tecniche di offuscamento avanzate, infettando il codice senza essere individuato.

Per propagarsi nella supply chain, GlassWorm individua e raccoglie le credenziali NPM, Git e GitHub, usandole poi per compromettere altri pacchetti ed estensioni. Tra le capacità più significative del worm ci sono il deploy di server proxy SOCKS sulle macchine infettate e l’installazione di server VCN per l’accesso remoto ai dispositivi.

Il 21 ottobre, pochi giorni dopo la segnalazione, OpenVSX  aveva comunicato che la problematica era stata risolta; il 6 novembre, però, il team di Koi Security ha individuato una nuova ondata di infezioni del worm. Nel dettaglio, il malware è stato individuato in ai-driven-dev.ai-driven-dev, adhamu.history-in-sublime-merge e yasuyuky.transient-emacs. L’impatto stimato è di circa 10.000 infezioni aggiuntive.

I ricercatori di Koi Security sono riusciti a individuare un endpoint esposto sul server degli attaccanti ed esfiltrare dati dalla loro architettura. Dalle informazioni reperite è emerso che le vittime del worm sono diffuse in tutto il mondo; tra queste ci sono sia sviluppatori indipendenti che organizzazioni, compresa un’entità governativa del Medio Oriente.

“Non si tratta di vittime ipotetiche. Si tratta di organizzazioni reali e persone reali le cui credenziali sono state raccolte, i cui computer potrebbero essere utilizzati come infrastruttura proxy criminale e le cui reti interne potrebbero essere già state compromesse” avvertono i ricercatori.

Dai dati trovati nei server il team di Koi Security ha scoperto che gli attaccanti parlano il russo e che usano RedExt, un’estensione browser open-source per il framework C2. I ricercatori sono riusciti inoltre a entrare in possesso degli user ID di diverse piattaforme di messaggistica e di scambio di criptovalute degli attaccanti.

“GlassWorm è un esempio del perché la visibilità e la governance dell’intera catena di fornitura del software non sono più opzionali” sottolineano i ricercatori. “Quando il malware può essere letteralmente invisibile, quando i worm possono auto-propagarsi attraverso credenziali rubate, quando l’infrastruttura di attacco non può essere smantellata, gli strumenti di sicurezza tradizionali non sono sufficienti“.

---

---

---

https://www.securityinfo.it/2025/11/11/torna-glassworm-il-primo-worm-che-colpisce-le-estensioni-di-vs-code/?utm_source=rss&utm_medium=rss&utm_campaign=torna-glassworm-il-primo-worm-che-colpisce-le-estensioni-di-vs-code

Nov 10, 2025 Marina Londei Attacchi, Hacking, In evidenza, Leaks, News, RSS 0

---

Knownsec, compagnia di cybersicurezza legata al governo cinese, ha subito un enorme data breach che ha esposto oltre 12.000 documenti riservati. Come riporta il blog cinese Mrxn, i documenti contengono informazioni su armi informatiche di proprietà del governo cinese, codice sorgente di strumenti a uso interno ed elenchi di obiettivi globali.

“Questo incidente non solo ha esposto le vulnerabilità nei servizi di sicurezza informatica di Knownsec, ma, cosa ancora più importante, ha rivelato ai ricercatori di sicurezza globali l’ecosistema di armi informatiche supportato dal governo cinese e le sue attività di sorveglianza mirata in diversi paesi in tutto il mondo” si legge sul blog.

Inizialmente le informazioni sono state pubblicate su GitHub; anche se la piattaforma ha provveduto a eliminarle, i file erano già stati ampiamente condivisi. 

Gli esperti di sicurezza informatica spiegano che in uno dei file pubblicati figuravano informazioni su 80 obiettivi esteri, tra i quali Giappone, Vietnam, India, Indonesia, Nigeria e Regno Unito. Tra questi, 95 GB sono dati sull’immigrazione in India,  3 TB sono registri delle chiamate rubati a LG U Plus, operatore di telecomunicazioni sudcoreano e 459GB sono piani di infrastrutture stradali di Taiwan.

Il breach ha esposto anche numerosi dettagli sui vari strumenti e tecniche di hacking utilizzati da Knownsec: l’azienda possiede una sofisticata libreria di Trojan di Accesso Remoto  in grado di compromettere diverse piattaforme dei principali sistemi operativi. Di particolare rilievo è il suo codice di attacco Android, usato per estrarre enormi quantità di cronologia dei messaggi dalle applicazioni di chat cinesi e da Telegram. Inoltre, dalle informazioni reperite la compagnia di sicurezza avrebbe sviluppato anche un power bank malevolo in grado di esfiltrare dati dai dispositivi collegati.

Il governo cinese ha negato l’incidente: Mao Ning, portavoce del Ministero degli Esteri, ha dichiarato in una conferenza stampa che il governo non è a conoscenza di alcun data breach ai danni di Knownsec. La compagnia stessa non ha ancora commentato l’accaduto.

---

---

---

https://www.securityinfo.it/2025/11/10/knownsec-colpita-da-un-catastrofico-breach-esposti-oltre-12-000-documenti-sensibili/?utm_source=rss&utm_medium=rss&utm_campaign=knownsec-colpita-da-un-catastrofico-breach-esposti-oltre-12-000-documenti-sensibili

Nov 10, 2025 Stefano Silvestri Attacchi, Hacking, In evidenza, Intrusione, Leaks, Malware, Minacce, News, Phishing, Scenario, Tecnologia, Vulnerabilità 0

---

Nel periodo compreso tra il 1° e il 7 novembre, il CERT-AGID ha analizzato 91 campagne malevole che hanno interessato il territorio nazionale.

Di queste, 54 hanno avuto obiettivi specificamente italiani, mentre 37 di carattere generico hanno comunque coinvolto utenti e organizzazioni nel Paese.

Complessivamente, il team ha messo a disposizione degli enti accreditati 853 indicatori di compromissione (IoC) relativi alle minacce individuate.

I temi della settimana

Sono 24 i temi sfruttati dai criminali informatici per veicolare campagne di phishing e malware. Tra i più ricorrenti figurano i riferimenti a Banking, Multe, Pagamenti, Documenti e Ordini, che continuano a rappresentare i vettori preferiti per colpire utenti e aziende italiane.

Il tema Banking è stato quello più utilizzato, con 14 campagne, di cui 10 italiane, diffuse tramite email e SMS. Le operazioni di phishing, sei in totale, hanno imitato comunicazioni di Mooney, ING, Inbank e Interactive Brokers, con l’obiettivo di sottrarre credenziali e dati bancari.

Le otto campagne malware associate hanno invece diffuso FormBook, Copybara, Remcos, XWorm e Herodotus, quest’ultimo distribuito via SMS contenenti link per il download di file APK malevoli.

Il tema Multe ha interessato nove campagne di phishing, tutte italiane e veicolate esclusivamente via email. Le comunicazioni, che simulano avvisi di PagoPA, fingono sanzioni o mancati pagamenti e mirano a indurre le vittime a fornire dati personali e informazioni finanziarie.

Il tema Pagamenti, osservato in sette campagne malware sia italiane che generiche, è stato sfruttato per diffondere Remcos, FormBook, SnakeKeylogger, AgentTesla, DarkCloud e XWorm. Tutte le operazioni sono state condotte tramite email con allegati dannosi.

Anche il tema Documenti, impiegato in sette campagne (tre italiane), ha continuato a essere sfruttato per la diffusione di malware come Remcos, Guloader, AgentTesla, FormBook e Modiloader, mentre i due casi di phishing hanno preso di mira i brand Microsoft e Interactive Brokers.

Infine, il tema Ordine, rilevato in sei campagne malware, ha veicolato AgentTesla, Remcos, FormBook e PureLogs, mentre una singola campagna di phishing ha preso di mira gli utenti di cPanel.

Tra gli eventi di particolare interesse, il CERT-AGID ha individuato una campagna di phishing che abusa del nome e del logo della Banca d’Italia, presentandosi come piattaforma per l’aggiornamento dei dati personali “in conformità alle nuove disposizioni antiriciclaggio”.

La pagina fraudolenta propone un elenco di istituti bancari reali, invitando l’utente a selezionare il proprio per sottrarre le credenziali di accesso.

Un’altra campagna rilevante ha coinvolto l’Agenzia delle Entrate, con email che simulano un servizio di “Dichiarazione Fiscale Criptovalute”. Le pagine malevole mirano al furto di wallet crypto e alla raccolta di dati sensibili, tra cui nome, codice fiscale, email e numero di telefono.

Contestualmente, è stata osservata una seconda campagna che sfrutta sempre il nome dell’Agenzia delle Entrate, con la promessa di un rimborso di 1.495,39 euro.

Anche in questo caso la pagina consente di scegliere tra undici istituti di credito reali, inducendo le vittime a inserire le proprie credenziali bancarie.

Malware della settimana

Nel periodo analizzato sono state individuate 12 famiglie di malware.

Tra le più diffuse figura Remcos, protagonista di otto campagne: quattro italiane a tema “Documenti”, “Delivery”, “Banking” e “Ordine”, e quattro generiche a tema “Pagamenti”, “Fattura” e “Delivery”, diffuse tramite email con allegati ZIP, Z, RAR, XZ, IMG, DOCX o tramite siti con finti Captcha.

Segue AgentTesla, rilevato in tre campagne italiane (“Ordine” e “Pagamenti”) e quattro generiche (“Fattura”, “Ordine”, “Documenti”), diffuse tramite allegati ZIP, TAR, RAR e IMG.

FormBook è stato utilizzato in due campagne italiane e quattro generiche, con allegati 7Z, RAR, Z e PDF, mentre DarkCloud è comparso in quattro campagne generiche a tema “Prezzi”, “Contratti”, “Fattura” e “Pagamenti”. Altre quattro campagne hanno diffuso XWorm, con file RAR, ZIP, Z e ZST.

Due campagne italiane di Copybara e due di Herodotus a tema “Banking” sono state invece veicolate via SMS, con link che conducevano al download di APK malevoli.

Completano il quadro le campagne Guloader, Modiloader, PureLogs, PhantomStealer e SnakeKeylogger, diffuse per lo più via email con allegati compressi.

Phishing della settimana

Sono 26 i brand coinvolti nelle campagne di phishing tra il 1° e il 7 novembre.

Le più frequenti hanno sfruttato i nomi di PagoPA, Agenzia delle Entrate e iCloud, insieme alle consuete campagne di webmail non brandizzate, che continuano a rappresentare una porzione significativa delle minacce rilevate nel panorama italiano.

Formati e canali di diffusione

L’analisi dei vettori di attacco conferma la netta predominanza degli archivi compressi come strumento di diffusione dei contenuti malevoli.

Nel periodo considerato sono state individuate 16 tipologie di file, con ZIP al primo posto (9 utilizzi), seguito da RAR (5). Con 4 utilizzi figurano TAR, APK e Z, mentre 7Z è stato osservato in 3 campagne.

I formati IMG e DOCX compaiono due volte, mentre XML, GZ, WIM, XZ, PDF, BZ2, LZH e ZST sono stati impiegati in un solo caso ciascuno.

La posta elettronica resta il principale canale di distribuzione, utilizzato in 87 campagne su 91, mentre quattro operazioni sono state condotte tramite SMS.

---

---

---

https://www.securityinfo.it/2025/11/10/cert-agid-1-7-novembre-phishing-su-banca-ditalia-e-agenzia-delle-entrate/?utm_source=rss&utm_medium=rss&utm_campaign=cert-agid-1-7-novembre-phishing-su-banca-ditalia-e-agenzia-delle-entrate

Nov 07, 2025 Marina Londei Approfondimenti, Attacchi, Attacchi, Campagne malware, In evidenza, News, RSS 0

---

Nell’ultimo APT Activity Report relativo al periodo aprile-settembre 2025, ESET ha evidenziato un significativo aumento degli attacchi russi contro Ucraina ed Europa, con una campagna di spearphishing che ha usato il nome della compagnia per colpire le vittime.

I gruppi APT allineati alla Russia hanno preso di mira in particolare le entità governative in operazioni di cyberspionaggio, sia in Ucraina che in diversi Stati Membri dell’UE che hanno legami strategici e operativi con essa.

ESET ha riportato che il gruppo RomCom ha sfruttato una vulnerabilità zero-day in WinRAR per distribuire DLL malevole e installare diverse backdoor, prendendo di mira bersagli nei settori settori finanziario, manifatturiero, della difesa e della logistica. Molto attivi anche i gruppi Gamaredon e Sandworm che hanno invece usato lo spearphishing come metodo principale di compromissione.

La compagnia ha segnalato inoltre che il gruppo FrostyNeighbor, allineato alla Bielorussia, ha sfruttato una vulnerabilità XSS in Roundcube per inviare email di spearphishing che imitavano comunicazioni di imprese polacche. La struttura dei messaggi suggerisce un impiego significativo dell’IA nella campagna.

Oltre agli attacchi russi, anche le campagne a opera di attaccanti cinesi sono state tra le più impattanti, soprattutto contro l’America Latina. ESET ha osservato un uso crescente della tecnica adversary-in-the-middle sia per l’accesso iniziale che per il movimento laterale. Tra i gruppi più attivi in sud America emerge FamousSparrow, il quale ha preso di mira numerose entità governative della regione.

“I gruppi allineati alla Cina restano molto attivi, con campagne che ESET ha recentemente osservato in Asia, Europa, America Latina e Stati Uniti. Questa estensione globale dimostra come gli attori APT allineati a Pechino continuino a essere mobilitati per supportare una vasta gamma di priorità geopolitiche del Paese” ha affermato Jean-Ian Boutin, Director of Threat Research di ESET.

Anche in Asia la situazione è piuttosto accesa, con diversi gruppi APT che hanno continuato a colpire entità governative e realtà dei settori tecnologico, ingegneristico e manifatturiero. I gruppi allineati alla Corea del Nord sono rimasti attivi contro la Corea del Sud, concentrandosi in particolare sulle criptovalute per finanziare le attività del regime.

---

---

---

https://www.securityinfo.it/2025/11/07/in-aumento-gli-attacchi-russi-e-lo-spionaggio-contro-ucraina-ed-europa-il-report-di-eset/?utm_source=rss&utm_medium=rss&utm_campaign=in-aumento-gli-attacchi-russi-e-lo-spionaggio-contro-ucraina-ed-europa-il-report-di-eset

Nov 06, 2025 Marina Londei In evidenza, News, Prodotto, RSS, Tecnologia 0

---

Ci sono importanti novità nel settore degli appalti cyber: secondo le linee guida dell’ACN (Agenzia per la Cybersicurezza Nazionale), le imprese che acquisteranno tecnologie di cybersicurezza da Paesi NATO o terzi otterranno delle premialità nei bandi di gara con la pubblica amministrazione. Nel dettaglio, si tratta di otto punti in più.

“La lettera e) del soprarichiamato comma 2 stabilisce, inoltre, che siano previsti criteri di premialità per le proposte o per le offerte che contemplino l’uso “di tecnologie di cybersicurezza italiane o di Paesi appartenenti all’Unione europea o di Paesi aderenti alla NATO o di Paesi che sono parte di accordi di collaborazione con l’Unione europea o con la NATO in materia di cybersicurezza, protezione delle infrastrutture classificate, ricerca e innovazione”” si legge nel documento ufficiale.

Ciò che ha sta facendo discutere è che tra questi Paesi terzi figura anche Israele, insieme ad Australia, Corea del Sud, Giappone, Nuova Zelanda e Svizzera.

Come riporta EuroNews, già l’anno scorso l’Italia, sotto pressione degli Stati Uniti, si era mossa per favorire la collaborazione con aziende facenti parte dei Paesi NATO e dell’Unione Europea; una scelta che aveva escluso Israele, da sempre un Paese leader nel settore della cybersecurity.

Il rapporto tra Italia e Israele in questo senso è piuttosto controverso: la testata ricorda infatti che a inizio anno Meta aveva segnalato ad alcuni utenti WhatsApp (giornalisti e attivisti) che i loro dati erano stati compromessi da Graphite, lo spyware dell’israeliana Paragon Solutions usato da diversi governi, compreso quello degli Stati Uniti e italiano.

La collaborazione con Paragon Solutions era stata interrotta dalle agenzie governative italiane che usavano Graphite, ma quando l’UE ha chiesto l’esclusione di Israele da Horizon Europe, programma a sostegno della ricerca scientifica, l’Italia è stata tra i Paesi che si sono opposti a questa scelta. 

Con l’aumento degli attacchi cyber contro le realtà italiane, soprattutto nel settore della pubblica amministrazione, gli occhi dell’opinione pubblica sono puntati sulle aziende e sull’esito degli appalti pubblici.

---

---

---

https://www.securityinfo.it/2025/11/06/appalti-nel-settore-cyber-premi-a-chi-sceglie-le-soluzioni-di-paesi-nato-e-terzi-tra-questi-anche-israele/?utm_source=rss&utm_medium=rss&utm_campaign=appalti-nel-settore-cyber-premi-a-chi-sceglie-le-soluzioni-di-paesi-nato-e-terzi-tra-questi-anche-israele

Nov 05, 2025 Marina Londei Approfondimenti, In evidenza, Minacce, Minacce, News, RSS, Vulnerabilità, Vulnerabilità 0

---

I ricercatori di Tenable Research hanno scoperto nuove vulnerabilità in ChatGPT che consentono a un attaccante di esfiltrare dati e informazioni personali dalle chat degli utenti. I bug permetterebbero agli attaccanti di provocare leak di dati senza che le vittime se ne accorgano, tramite prompt injection indiretta.

In tutto, i ricercatori hanno trovato sette tra vulnerabilità e tecniche di attacco che sfruttano le debolezze di ChatGPT:

• una vulnerabilità di prompt injection indiretta tramite Browsing Context: gli attaccanti iniettano comandi malevoli in sezioni di blog e articoli, così che quando l’utente richiede un riassunto o una ricerca su queste fonti, quelli vengono eseguiti;
• una vulnerabilità di prompt injection indiretta zero-day in Search Context: gli attaccanti inseriscono un prompt malevolo nascosto in un sito web che viene servito solo all’agente di ricerca dell’LLM e non all’utente. Il comando malevolo viene eseguito non appena il sito viene indicizzato dalla ricerca del chatbot;
• una 1-click prompt injection: in questo caso il prompt malevolo viene inserito in un link creato ad hoc del tipo “chatgpt[.]com/?q={Prompt}”, in modo che il chatbot elabori il contenuto del parametro “q” come una normale richiesta utente;
• un Safety Mechanism Bypass, ovvero un tecnica che elude la validazione di sicurezza url_safe che il chatbot usa per capire se un URL è sicuro. Il bug sfrutta il fatto che domini noti come bing.com sono in una whitelist e superano sempre il controllo di sicurezza. I risultati di ricerca di Bing sono serviti tramite link di tracciamento reindirizzanti statici (bing.com/ck/a…). L’attaccante indicizza i siti web di prova su Bing per ottenere questi link di tracciamento statici, considerati “sicuri” dall’LLM, permettendo così al contenuto finale del sito di essere renderizzato, mascherando gli URL malevoli;
• una Conversation Injection Technique, ovvero una tecnica che usa una prompt injection di primo livello inserendo i prompt malevoli nei siti web combinata a una conversation injection che prevede la generazione di un output manipolato. I comandi malevoli non sono quindi solo nei siti web, ma anche nell’output; questo diventa parte della conversazione con l’utente e del contesto e viene usato per rispondere a richieste future;
• una tecnica per nascondere il contenuto malevolo che sfrutta un bug del modo in cui ChatGPT renderinzza il markdown: renderizzando i blocchi di codice (con “`), tutte le parole della prima riga (tranne la prima parola) non vengono mostrate nella risposta;
• infine, una tecnica di memory injection, variazione della conversation injection che mira a rendere l’attacco persistente: l’attaccante usa SearchGPT per iniettare un comando nel contesto, ma il prompt è progettato per manipolare la memoria del chatbot, causando leak a prescindere dalla sessione e dalla chat.

“L’iniezione di prompt è un problema noto legato al funzionamento dei modelli di linguaggio grande (LLM) e, purtroppo, probabilmente non verrà risolto in modo sistematico nel prossimo futuro. I fornitori di IA dovrebbero assicurarsi che tutti i loro meccanismi di sicurezza (come url_safe) funzionino correttamente per limitare i potenziali danni causati dall’iniezione di prompt” hanno affermato i ricercatori di Tenable Research.

Il team della compagnia ha pubblicato una serie di PoC effettuate su ChatGPT 4o, ma la maggior parte delle vulnerabilità è presente anche in ChatGPT 5. I ricercatori riportano che OpenAI ha rilasciato dei fix per la prompt injection tramite parametro nell’URL, per la vulnerabilità che consente la manipolazione della memoria del chatbot e per il bypass di url_safe.

---

---

---

https://www.securityinfo.it/2025/11/05/scoperte-nuove-vulnerabilita-di-chatgpt-che-portano-a-leak-di-dati/?utm_source=rss&utm_medium=rss&utm_campaign=scoperte-nuove-vulnerabilita-di-chatgpt-che-portano-a-leak-di-dati

Nov 04, 2025 Marina Londei Approfondimenti, Attacchi, Attacchi, In evidenza, Minacce, Minacce, News, RSS 0

---

Stando all’ultimo report sulle minacce di Cisco Talos relativo al trimestre luglio, agosto e settembre 2025, sono aumentati gli attacchi contro le applicazioni accessibili al pubblico e il phishing condotto sfruttando account aziendali compromessi, ma sono calati gli attacchi ransomware. 

Tra gli interventi gestiti dal team, infatti, circa sei casi su dieci hanno riguardato attacchi che sfruttano applicazioni quali siti web o portali aziendali per entrare nei sistemi delle organizzazioni, un aumento significativo rispetto al 10% del trimestre precedente. Secondo il report, l’aumento è legato soprattutto a una serie di attacchi contro server Microsoft SharePoint installati localmente, sfruttando le vulnerabilità CVE-2025-53770 e CVE-2025-53771.

In quattro casi su dieci è stato inoltre individuato l’uso della catena ToolShell, una tecnica che ha contribuito in modo significativo alla crescita di questo tipo di attacchi.

Oltre a questi, un altro metodo molto comune utilizzato dagli attaccanti per accedere ai sistemi aziendali è stato il phishing: i cyberattaccanti hanno eseguito attacchi da account aziendali, sfruttando profili già violati per diffondere l’attacco all’interno dell’organizzazione o verso partner esterni.

Al contrario, gli attacchi ransomware hanno rappresentato circa il 20% degli incidenti, un calo importante rispetto al 50% del trimestre precedente. Nonostante la diminuzione, i ransomware rimangono una delle minacce più diffuse e difficili da gestire per le aziende. Il team di Cisco Talos ha dovuto gestire vecchie e nuove varianti, tra le quali Qilin, LockBit, Warlock, Babuk e Kraken.

Il gruppo Qilin, in particolare, ha intensificato le proprie attività durante il trimestre preso in esame e, secondo il team di Cisco Talos, è probabile che la gang resterà una delle principali minacce fino alla fine dell’anno.

Guardando ai settori nel mirino degli attaccanti, per la prima volta dal 2021 la Pubblica Amministrazione è quello più colpito, in particolare gli enti locali che gestiscono anche scuole e strutture sanitarie. Questi obiettivi sono particolarmente interessanti per i cybercriminali perché si affidano a sistemi di difesa obsoleti a causa del budget limitato.

Visto che nell’ultimo trimestre quasi un terzo degli incidenti ha coinvolto abusi dell’autenticazione a più fattori (MFA), come la MFA fatigue, Cisco Talos consiglia di attivare sistemi di rilevamento delle anomalie e rafforzare i criteri MFA.

È inoltre fondamentale gestire correttamente i log per facilitare le indagini, scegliendo soluzioni SIEM (Security Information and Event Management) per centralizzare e proteggere i log. Infine, rimane sempre valida l’indicazione di applicare tempestivamente gli aggiornamenti software per ridurre il rischio di sfruttamento di vulnerabilità.

---

---

---

https://www.securityinfo.it/2025/11/04/in-aumento-gli-attacchi-alle-applicazioni-pubbliche-calano-i-ransomware-il-report-di-cisco-talos/?utm_source=rss&utm_medium=rss&utm_campaign=in-aumento-gli-attacchi-alle-applicazioni-pubbliche-calano-i-ransomware-il-report-di-cisco-talos

Nov 03, 2025 Marina Londei Approfondimenti, In evidenza, Minacce, Minacce, News, RSS 0

---

Il nuovo report di Kaspersky, “Real talk on cybersecurity: cosa preoccupa, cosa manca e cosa è davvero utile?“, ha fatto emergere un dato piuttosto preoccupante: secondo il 25% dei responsabili IT intervistati, i propri leader aziendali non comprendono il valore strategico della cybersecurity. 

Questo limite crea un’importante discrepanza tra le priorità dei dirigenti e le procedure di sicurezza in uso; ciò non solo aumenta l’esposizione alle minacce, ma complica anche il raggiungimento degli obiettivi.

A causa di questa “distanza” dei leader aziendali dalla questione, il 17% degli intervistati segnala una carenza di specialisti qualificati, di conseguenza le PMI si affidano o a team IT generici (22%) o a specialisti di cybersecurity (25%). Solo il 42% delle aziende italiane può fare affidamento su un team interno dedicato alla sicurezza informatica, mentre il 12% sceglie partner esterni.

I responsabili della cybersecurity risultano inoltre oberati di lavoro e in difficoltà nel gestire i rischi: il 30% dei decision maker della sicurezza IT ritiene che monitorare le potenziali minacce sia un lavoro a tempo pieno; il 33% dichiara di essere sommerso dagli avvisi; infine,  il 10% afferma di dover dedicare più tempo alla risoluzione dei problemi dei software di sicurezza che all’effettiva difesa dalle minacce. Il 12% aggiunge che le soluzioni di sicurezza rallentano i flussi di lavoro o la produzione.

“Quello che emerge non è una carenza di strumenti, ma una mancanza di coerenza. I segnali arrivano più velocemente delle decisioni, quindi i processi di controllo e i flussi di lavoro si scontrano tra loro e non è più chiaro a chi spetti la responsabilità proprio nel momento in cui sarebbero necessari passaggi chiari dal rilevamento all’azione. In molte PMI, la sicurezza quotidiana è affidata a team IT generalisti o a singoli specialisti; solo il 42% delle aziende dispone di un team dedicato alla cybersecurity e questa fragilità è evidente in ogni fase e in ogni processo di escalation” ha affermato Cesare D’Angelo, General Manager Italy, Mediterranean & France di Kaspersky. “La conseguenza è un’esposizione silenziosa: il triage rallenta, il contesto si perde e i problemi che sembrano tattici si accumulano fino a diventare rischi strategici. I decision-maker devono agire subito e fornire ai team di sicurezza strumenti, soluzioni personali adeguati. Soprattutto, devono comprendere la rilevanza della cybersecurity per il business e colmare il divario strutturale tra le priorità del board e la protezione sul campo“.

---

---

---

https://www.securityinfo.it/2025/11/03/il-25-dei-leader-aziendali-italiani-non-comprende-limportanza-della-cybersecurity/?utm_source=rss&utm_medium=rss&utm_campaign=il-25-dei-leader-aziendali-italiani-non-comprende-limportanza-della-cybersecurity