Mag 27, 2025 Stefano Silvestri Approfondimenti, Gestione dati, In evidenza, Malware, Mercato, Mercato e Statistiche 0

---

Nel corso del “TRU Security Day 2025” di Milano, Acronis ha evidenziato un’opportunità di crescita significativa per il mercato dei Managed Service Providers (MSP) in Italia, sottolineando al contempo l’urgente necessità di adottare soluzioni di sicurezza avanzate e di integrare l’IA per fronteggiare un panorama di minacce in rapida evoluzione.

Durante la tavola rotonda, Denis Cassinerio, Senior Director e GM per il Sud EMEA di Acronis, ha aperto i lavori rimarcando la natura dell’evento: “TRU sta per ‘Threat Research Unit’ e siamo estremamente impegnati a essere la migliore azienda al mondo per quanto riguarda la cyber resilienza”.

“La Threat Research Unit, rappresentata da Sergey, è la spina dorsale delle nostre attività nel campo della cyber sicurezza”, ha poi aggiunto. Il Sergey  cui si riferisce è Sergey Belov, Director of Information Security del TRU Team di Acronis.

La sua missione, dice Cassinerio, è “scoprire cosa stia succedendo nel lato oscuro della luna“. L’incontro ha visto la partecipazione di Katya Ivanova, CSO di Acronis, Oleg Shaikhatarov, CPO.

La rivoluzione dell’AI e le sue implicazioni

La presentazione ha posto l’accento su una “nuova era industriale della tecnologia”, guidata dall’intelligenza artificiale. Entro il 2030, si prevede che gli investimenti nella trasformazione digitale triplicheranno. Si assisterà anche a un aumento di 6,4 volte nell’utilizzo dell’IA e di 5,5 volte nell’impiego di robot.

Cassinerio ha affermato che “qualunque cosa abbiamo digitalizzato finora verrà ridigitalizzata grazie all’intelligenza artificiale“. Ma questa crescita porta con sé nuovi paradigmi. “Oggi gestiamo applicazioni passive ma in futuro avremo sistemi che interagiranno attivamente con noi, portando benefici significativi in settori come la sanità, la manifattura e la sicurezza informatica”, ha affermato Cassinerio.

“Il passaggio alle applicazioni SaaS sta alleggerendo il carico dell’infrastruttura tradizionale”, ha proseguito Cassinerio. “Questa evoluzione comporta però una maggiore complessità, specialmente nella protezione dell’accesso a servizi come M365”.

Il messaggio di Acronis è chiaro: “Abbiamo bisogno di più fornitori di servizi”, ha dichiarato Cassinerio. “La nostra strategia è focalizzata su di loro, per permettere di fornire servizi più cyber-resilienti“. Ha poi aggiunto che gli MSP sono gli “architetti del futuro dei nostri clienti”, in grado di migliorare l’utilizzo dell’AI e dei servizi cyber-resilienti, anche in ottica di conformità normativa come la NIS2.

A livello economico, si prevedono conseguenze significative. Le capacità di calcolo aumenteranno con un +75% di servizi e un +48% di data center nei prossimi cinque anni. Gli endpoint cresceranno addirittura del 119%, mentre il consumo energetico si decuplicherà entro il 2030.

Ciò, secondo Cassinerio , comporterà che “il costo dell’energia aumenterà ancora di più, e avremo una compressione sul mercato”, che si rifletterà sui costi dei servizi.

Sebbene l’economia globale cresca del 21%, il mondo IT si espande a un ritmo ancora più rapido, creando una dicotomia che impedisce una crescita lineare delle risorse.

Il mercato dei servizi gestiti in Europa è in crescita del 12,7%, con un aumento totale di 13 miliardi di dollari, un dato paragonabile a metà della recente manovra economica italiana. Ciò indica un mercato dalle grandi potenzialità, e in espansione.

Il mercato italiano degli MSP in forte ascesa

Il mercato dei servizi gestiti in Europa Occidentale ha raggiunto i 116,8 miliardi di dollari nel 2024, con una crescita del 12,7% annuo. L’Italia si distingue in questo contesto, con un valore di 6,6 miliardi di dollari e una crescita ancora più rapida, pari al 15,2% su base annua.

“Stiamo crescendo più velocemente della media europea“, ha affermato Cassinerio. Questo indica un cambiamento storico, con i partner italiani che offrono sempre più servizi, e dove le tecnologie sono “abilitatrici del servizio complessivo”.

Nonostante la solida crescita, l’Italia rappresenta solo il 6% del mercato MSP europeo, a fronte del 25% del Regno Unito, il che suggerisce un ampio margine di espansione.

Il ricavo potenziale per postazione/dispositivo/mese per gli MSP in Italia è stimato a circa 90 dollari nel 2024, con un aumento previsto del 10-12% nel 2025, raggiungendo circa 99 dollari.

Attualmente, il 78% dei ricavi annuali degli MSP deriva dai servizi gestiti, con i servizi di sicurezza che costituiscono il principale motore di crescita. Da ciò si deduce che la grande maggioranza del fatturato che un Managed Service Provider genera in un anno proviene dalla fornitura di servizi IT continui e proattivi, piuttosto che dalla vendita una tantum di hardware, software o da servizi di “break-fix”.

Il dato evidenzia allora una chiara tendenza del mercato in cui gli MSP si stanno sempre più affermando come partner strategici per le aziende, fornendo un pacchetto di servizi continuativi che garantiscono stabilità, sicurezza e gestione dell’IT, piuttosto che intervenire solo in caso di problemi.

Questo modello basato sui servizi ricorrenti è fondamentale per la loro redditività e crescita sostenibile.

Il peso della sicurezza

In tale contesto, “la sicurezza informatica emerge come la componente predominante dei servizi gestiti”, afferma Cassinerio. “La discussione sui servizi di cybersecurity implica un pieno allineamento con i framework di settore, come la regolamentazione NIS2, che sta modificando l’approccio del mercato”.

Acronis si posiziona come partner ideale per aiutare le aziende a identificare, rilevare, proteggere e recuperare dalle minacce, in conformità con le migliori pratiche indicate dal framework NIS2. “La legislazione attuale impone la resilienza, e Acronis si trova nella posizione migliore per garantirla, anche tramite servizi di disaster recovery, che stanno registrando un’enorme crescita tra gli MSP”, spiega Cassinerio.

“Ciò che un tempo era un suggerimento, ora è un requisito obbligatorio a causa delle nuove normative. Acronis si impegna a democratizzare la sicurezza, rendendola accessibile laddove è più necessaria. Sebbene l’attenzione rimanga sul mercato SMB, si nota un crescente interesse anche dal mid-market, in particolare dai settori manifatturiero ed energetico, che desiderano beneficiare delle stesse soluzioni offerte ai fornitori di servizi”.

Sfide e soluzioni per la produttività degli MSP

La carenza di talenti IT e la necessità di ottimizzazione dei costi sono sfide pressanti. Katya Ivanova, Chief Sales Officer di Acronis, ha rimarcato che “è molto, molto difficile stare al passo con tutto ciò che sta accadendo nel mercato”.

Acronis risponde a queste esigenze focalizzandosi sulla produttività dei propri partner, con l’obiettivo di aumentare la produttività per ogni service provider di almeno il 50%.

Un KPI fondamentale suggerito da Acronis è il numero di dispositivi o postazioni gestite per tecnico. Mentre la media è di 250 dispositivi per tecnico, lo “standard aureo” si attesta intorno a 350.

Acronis mira a consentire agli MSP di gestire 500 o più dispositivi per tecnico, permettendo loro di essere più redditizi con team più piccoli. Questo si ottiene attraverso la consolidazione delle soluzioni su un’unica piattaforma, Acronis Cyber Protect Cloud, che integra backup, disaster recovery, sicurezza (EDR/XDR/MDR) e gestione.

“Non devono più andare a comprare diversi prodotti per raggiungere questo obiettivo”, ha aggiunto Katya Ivanova.

Il panorama delle minacce: l’Italia nel mirino

A Sergey Belov, direttore del Threat Research Unit (TRU) di Acronis, è spettato invece il compito di presentare dati allarmanti. Soprattutto per quanto riguarda il nostro Paese.

L’Italia si posiziona al quinto posto a livello mondiale per numero di attacchi informatici, con 146 incidenti registrati nella seconda metà del 2024, dietro solo a Stati Uniti, Canada, Regno Unito e Germania. “Dobbiamo proteggere l’Italia meglio che mai”, ha commentato Belov.

I vettori di attacco più comuni includono il phishing (34%), le vulnerabilità non patchate (19%) e lo sfruttamento dell’accesso al Desktop Remoto (15%). Gli attacchi e-mail sono aumentati del 197% nella seconda metà del 2024, con un aumento del 21% degli attacchi per organizzazione.

Belov ha avvertito che il phishing è diventato “molto più complesso” grazie all’uso dell’IA da parte degli attaccanti, e che “l’unico altro modo per sconfiggere l’intelligenza artificiale è usare l’intelligenza artificiale”.

Sono stati poi stati citati casi recenti di ransomware in Italia. Il primo a essere menzionato è stato quello di Cosmed, azienda di dispositivi medici, colpita dal ransomware Akira a febbraio 2025, con l’esfiltrazione di 25 GB di documenti aziendali sensibili. L’attacco è avvenuto tramite vulnerabilità non patchate nei servizi VPN e spear-phishing.

Bio-Clima Service Srl, specializzata in assistenza biomedicale, è stata invece colpita da Everest a novembre 2024, con l’accesso ottenuto tramite “Initial Access Broker” che vendono accessi non autorizzati alle reti.

L’importanza dell’EDR

“Una violazione è inevitabile. Devi essere preparato“, ha avvertito Sergey Belov. In caso di successo degli attaccanti, la ripresa completa può richiedere a un’azienda oltre 100 giorni; il costo medio totale di una violazione dei dati è poi salito a 4,88 milioni di dollari, con un aumento del 10% anno su anno. Di fronte a questo scenario, la sicurezza tradizionale “non è sufficiente”.

La soluzione, secondo Acronis, risiede nell’adozione di Endpoint Detection and Response (EDR). L’EDR è associato a una riduzione del 58% degli incidenti di sicurezza gravi. Le nuove normative, come NIS2 e GDPR, rendono la conformità obbligatoria e richiedono la segnalazione degli incidenti entro 72 ore. “Quello che la legislazione sta chiedendo ora è essere resilienti”, ha chiosato Cassinerio.

Acronis si posiziona come leader in questo settore, avendo ricevuto il riconoscimento di “Champion” nella Canalys Global Cybersecurity Leadership Matrix 2025  e di “Frost Radar Leader” nel Frost Radar: Endpoint Security 2025, grazie al suo approccio “MSP-first” e al portafoglio completo di cybersecurity.

Il principio che stiamo adottando in Acronis è quello dello “zero trust”. Sergey Belov ha affermato che, se si parte dal presupposto che chiunque è un potenziale attaccante, la gestione della sicurezza risulterà più semplice.

La strategia di Acronis è quindi quella di fornire agli MSP gli strumenti e la piattaforma integrata per navigare in questo complesso scenario, trasformando le sfide in opportunità di crescita e redditività.

---

---

---

https://www.securityinfo.it/2025/05/27/acronis-litalia-traina-la-crescita-msp/?utm_source=rss&utm_medium=rss&utm_campaign=acronis-litalia-traina-la-crescita-msp

Mag 23, 2025 Marina Londei Attacchi, In evidenza, News, RSS 0

---

La multinazionale britannica Mark & Spencer (M&S) ha annunciato che, in seguito all’attacco informatico che l’ha colpita a fine aprile, perderà circa 300 milioni di sterline (oltre 357 milioni di euro), ovvero un terzo del profitto annuale.

L’azienda lo ha comunicato nel documento riguardante i risultati dell’anno fiscale 2025. “Nelle ultime settimane abbiamo gestito un attacco informatico altamente sofisticato e mirato che interrotto il servizio per un periodo limitato. Abbiamo affrontato questo incidente con uno spirito incredibile, un lavoro di squadra e un profondo senso di responsabilità, dando la priorità a servire i nostri clienti” ha affermato Stuart Machin, Chief Executive della compagnia.

Attualmente non sono stati rivelati molti dettagli sul cyberattacco. Secondo quanto riportato dalla BBC, l’attacco è cominciato durante il periodo di Pasqua, a fine aprile, e tuttora la compagnia ne sta pagando le conseguenze. L’ultimo comunicato stampa di M&S avvertiva i clienti che gli ordini online sarebbero stati sospesi fino a nuovo ordine; al momento il servizio non è ancora tornato attivo. Machin ha specificato che dovrebbe riprendere a partire da giugno o luglio.

L’azienda, come si legge sull’articolo della BBC, ha confermato che durante l’attacco sono stati sottratte anche alcune informazioni personali dei clienti. Si sospetta che tra i dati sottratti ci siano nomi, indirizzi di residenza, numeri di telefono, indirizzi e-mail e lo storico degli ordini, mentre i dati delle carte di credito e le password degli account sarebbero al sicuro.

La compagnia non ha rivelato alcun dettaglio sull’attacco, ma alcuni informatori della testata inglese hanno rivelato che si è trattato di un attacco ransomware. Le forze dell’ordine britanniche starebbero orientando le indagini su Scattered Spiders, un gruppo di hacker inglesi.

Machin ha specificato che al momento S&M si sta concentrando sul riprendersi dall’incidente ed fiducioso che la compagnia ne uscirà “in forma migliore“. Secondo la compagnia, inoltre, parte del costo del cyberattacco sarà coperto dall’assicurazione, quindi l’impatto sarà minore.

---

---

---

https://www.securityinfo.it/2025/05/23/ms-perde-un-terzo-dei-profitti-a-causa-di-un-attacco-informatico/?utm_source=rss&utm_medium=rss&utm_campaign=ms-perde-un-terzo-dei-profitti-a-causa-di-un-attacco-informatico

Mag 21, 2025 Marina Londei Approfondimenti, In evidenza, Minacce, Minacce, News, RSS 0

---

I ricercatori di Aqua, firma di cybersecurity statunitense, hanno scoperto che i ruoli di default di AWS possono spianare la strada agli attaccanti consentendo compromissioni di account, accessi cross-servizio ed escalation di privilegi. 

I ruoli IAM incriminati vengono creati automaticamente durante il setup del servizio  e permettono l’accesso completo allo storage S3. Il problema è stato individuato in diversi servizi AWS, tra cui SageMaker, Glue e EMR dove la policy AmazonS3FullAccess, insieme ad altre con permessi estesi, viene applicata ai ruoli di default. “Questi ruoli, pensati originariamente per usi ristretti e specifici al servizio, possono essere invece abusati per eseguire azioni di livello amministratori ed eludere l’isolamento tra servizi” si legge sul blog della compagnia.

Il problema di fornire accesso completo ai bucket non è infatti solo un rischio per i dati, ma consente a un utente malintenzionato di accedere ad altri servizi e comprometterli. “Molti servizi AWS si affidano a S3 per memorizzare risorse essenziali come script, file di configurazione e modelli. Ottenere l’accesso completo a S3 consente a un aggressore di manipolare il comportamento interno di servizi come CloudFormation, SageMaker, Glue, EMR, nonché di strumenti come l’AWS CDK, con un’escalation dei privilegi che va ben oltre l’ambito originario del ruolo“.

Considerano che i nomi dei bucket S3 sono altamente prevedibili, e visti i permessi di scrittura e lettura sulle risorse, un attaccante può usare i privilegi del ruolo di default per individuare i bucket usati dagli altri servizi e modificare risorse come i template di CloudFormation, gli script EMR e le risorse di SageMaker. “Se un qualsiasi ruolo di un account ha AmazonS3FullAccess (che sia attraverso una policy aggiunta o tramite permessi inline), ha effettivamente accesso in lettura/scrittura a ogni bucket S3 e, di conseguenza, la possibilità di compromette più servizi AWS“.

I rischi dei ruoli AWS di default

Nel blog i ricercatori di Aqua hanno evidenziato alcuni scenari d’attacco che sfruttano la vulnerabilità dei ruoli di default di AWS. In un caso, il team ha dimostrato che è possibile importare un modello malevolo da HuggingFace su SageMaker per eseguire codice pericoloso per l’intero ambiente, per esempio con una backdoor che sottrae le credenziali. “L’esecuzione di modelli non attendibili è intrinsecamente rischiosa, ma il pericolo è ancora maggiore perché SageMaker opera con ruoli di esecuzione predefiniti con ampie autorizzazioni, come AmazonS3FullAccess”

In un altro caso, i ricercatori hanno effettuato una escalation dei privilegi dal ruolo AWSGlueServiceRole a quello di admin. Modificando i job Glue, gli attaccanti possono estendere il proprio raggio d’azione accedendo a tutti i bucket S3 dell’account e accedere in questo modo ad altri servizi collegati.

Il rischio derivante dai ruoli di default non impatta soltanto i servizi AWS, ma anche molti progetti open-source usati dalle organizzazioni per utilizzare risorse negli ambienti AWS. Quando, per esempio, si utilizzato tool come Terraform, Ray o librerie Python, solitamente durante il processo vengono creati dei ruoli IAM di default per il progetto; anche in questo caso, i ruoli vengono creati con permessi troppo estesi, garantendo accesso completo ai bucket.

In risposta all’analisi di Aqua, AWS ha applicato alcune mitigazioni per arginare i rischi, principalmente riducendo lo scope e i permessi dei ruoli creati di default; inoltre, l’azienda ha inviato delle comunicazioni ai propri utenti per informarli dei cambiamenti e delle buone pratiche da applicare durante la creazione dei ruoli.

“AWS ha confermato che AWS CDK (Cloud Development Kit), AWS Glue, Amazon EMR (Elastic MapReduce) e Amazon SageMaker funzionano come previsto. Il problema è stato risolto modificando i criteri dei ruoli di servizio predefiniti, in particolare il criterio AmazonS3FullAccess. Amazon Lightsail ha aggiornato la documentazione per indicare agli utenti di creare bucket con un criterio di tipo scoped-down. AWS CDK ha assicurato che le risorse CDK vengano caricate solo nei bucket dell’account dell’utente“.

---

---

---

https://www.securityinfo.it/2025/05/21/i-ruoli-di-default-di-aws-consentono-compromissioni-e-movimento-laterale/?utm_source=rss&utm_medium=rss&utm_campaign=i-ruoli-di-default-di-aws-consentono-compromissioni-e-movimento-laterale

Mag 19, 2025 Marina Londei Approfondimenti, Competizioni, Hacking, In evidenza, News, RSS 0

---

Dopo tre giorni di intenso hacking si è conclusa Pwn2Own, la competizione della Zero Day Initiative che in questa edizione si è tenuta a Berlino durante la conferenza OffensiveCon. Anche in questa occasione sono state tante le vulnerabilità sfruttate e i premi vinti, ma con un’importante novità: per la prima volta è stata inclusa la categoria “Intelligenza artificiale“. 

L’evento ha premiato team e singoli hacker per un totale di oltre un milione di dollari. A portarsi a casa il titolo di “Master of Pwn” è stato il team STAR Labs SG dell’omonima compagnia di servizi di cybersecurity con base a Singapore.

Giorno 1: il primo vincitore della categoria IA

La prima giornata della competizione ha visto la vittoria STAR Labs SG sugli altri partecipanti. Con un totale di 8 punti ha distaccato notevolmente gli altri hacker, portandosi a casa 90.000 dollari di premio.

Il principale successo del team è arrivato sfruttando una vulnerabilità user-after-free che gli ha permesso di effettuare un escape da Docker Desktop ed eseguire codice sul sistema operativo sottostante.

Durante la prima giornata è stato anche proclamato il primo vincitore della nuova categoria “intelligenza artificiale”: Sina Kheirkhah di Summoning Team è riuscito a individuare e sfruttare una vulnerabilità di Chroma, un database vettoriale open-source per applicazioni che usano LLM.

Windows 11 è stato protagonista di due exploit: Marcin Wiązowski è riuscito a sfruttare una vulnerabilità di Out-of-Bound Write per elevare i privilegi utente a SYSTEM, mentre Chen Le Qi di STAR Labs SG ha sfruttato un bug user-after-free e un integer overflow sempre per elevare i privilegi a livello SYSTEM.

Il Team Prison Break ha invece utilizzato un bug di integer overflow per effettuare l’escape da Oracle VirtualBox ed eseguire codice sul sistema operativo, ottenendo 4 punti.

Giorno 2 del Pwn2Own: il totale dei premi sale vertiginosamente

Il secondo giorno del Pwn2Own ha visto innalzarsi la vincita totale a ben 695.000 dollari. La giornata è stata particolarmente proficua per gli hacker, a cominciare da Dinh Ho Anh Khoa di Viettel Cyber Security che ha combinato un bug di authentication bypass e una deserializzazione non sicura per effettuare un exploit su Microsoft SharePoint. Un successo che gli ha fatto guadagnare 10 punti.

Il team STAR Labs SG ha brillato un’altra volta per aver usato una vulnerabilità di integer overflow per sfruttare VMware ESXi per la prima volta nella storia della competizione. Il risultato ha fatto guadagnare 15 punti al team. La squadra ha inoltre sfruttato un bug di user-after-free per elevare i privilegi utente su Enterprise Linux.

Per quanto riguarda la categoria “intelligenza artificiale”, il vincitore della giornata è stato il team di Wiz Research che ha sfruttato un bug di user-after-free per eseguire un exploit su Redis. 

Altri risultati degni di nota sono quelli di Edouard Bochin e Tao Yan di Palo Alto Networks che hanno usato un bug di Out-of-Bounds Write per effettuare un exploit su Firefox, di Ho Xuan Ninh e Tri Dang di Qrious Secure che hanno eseguito una catena di quattro bug contro Triton di NVIDIA e di di Viettel Cyber Security che ha usato una Out-of-Bounds Write per un escape Guest-to-Host su VirtualBox di Oracle.

La terza giornata supera il milione di dollari

Visto il risultato del penultimo giorno, non è stato difficile chiudere il Pwn2Own superando il milione di dollari in premi elargiti. La classifica finale ha visto in vetta il team STAR Labs SG, seguito da Viettel Cyber Security, REverse Tactics, Synacktiv e Wiz Research.

Manfred Paul, incoronato Master of Pwn nella precedente edizione, ha utilizzato un bug di integer overflow per eseguire un exploit su Firefox, mentre due membri del team di Wiz Research hanno usato un bug di External Initialization of Trusted Variables per compromettere Container Toolkit di NVIDIA.

Per quanto riguarda il team di STAR Labs, gli hacker hanno usato una race condition TOCTOU (Time-of-check to time-of-use) per effettuare l’escaping da una VM Windows e un bug di Improper Validation of Array Index per l’elevazione dei privilegi.

Corentin BAYET di Reverse Tactics ha usato due bug per un exploit su ESXi, ma uno di essi era già stato individuato da un altro ricercatore, quindi è riuscito a guadagnarsi il premio e i punti solo per uno di essi.

Ottimo risultato anche per il team di Synacktiv che grazie a un bug di buffer overflow heap-bases è riuscito a eseguire un exploit di VMware Workstation e ha guadagnato 8 punti. L’ultimo vincitore della giornata è stato Miloš Ivanović che ha usato un bug di race condition per elevare i privilegi utente a SYSTEM su Windows 11.

In totale, l’evento ha portato alla scoperta di 28 vulnerabilità 0-day, delle quali 7 fanno parte della categoria relativa all’intelligenza artificiale.

---

---

---

https://www.securityinfo.it/2025/05/19/pwn2own-a-berlino-per-la-prima-volta-la-categoria-ia-i-risultati-delle-giornate/?utm_source=rss&utm_medium=rss&utm_campaign=pwn2own-a-berlino-per-la-prima-volta-la-categoria-ia-i-risultati-delle-giornate

Una nuova minaccia si abbatte sugli Stati Uniti: secondo quanto riportato da Reuters, alcuni esperti del settore hanno lanciato l’allarme riguardo la presenza di dispositivi di comunicazione non autorizzati negli inverter solari cinesi. Questi inverter sono ampiamente usati nell’infrastruttura dell’energia solare statunitense e, oltre che nei pannelli solari e nelle turbine eoliche, sono presenti anche […]

L’articolo Trovati dispositivi non autorizzati negli inverter solari cinesi proviene da Securityinfo.it.

https://www.securityinfo.it/2025/05/16/trovati-dispositivi-non-autorizzati-negli-inverter-solari-cinesi/?utm_source=rss&utm_medium=rss&utm_campaign=trovati-dispositivi-non-autorizzati-negli-inverter-solari-cinesi

Mag 15, 2025 Marina Londei Approfondimenti, Attacchi, Attacchi, Campagne malware, In evidenza, News, RSS 0

---

Il numero di attacchi DDoS e delle attività dei gruppi hacktivisti in Europa sta raggiungendo nuove, preoccupanti vette: è quanto emerge dal nuovo Intelligence Insights Europe, report mensile di Group-IB sulle minacce alle organizzazioni europee.

L’analisi relativa al mese di marzo evidenzia un aumento dell’88% di attacchi DDoS e da parte degli hacktivisti in tutta Europa, in particolare in Spagna, Francia e Ucraina.

La Spagna, il Paese più colpito, è stato preso di mira dal gruppo Mr Hamza che ha colpito il sito web dell’Ufficio del Primo Ministro, oltre che da diversi gruppi hacktivisti che hanno preso parte alla campagna OpSpain, tra i quali anche il gruppo russo NoName057. La campagna DDoS ha colpito numerose istituzioni provinciali e cittadine come la Diputació de València, l’Ayuntamiento de Mérida e la Diputación de Cáceres. Tra le organizzazioni più colpite c’è invece Indra, presa di mira dal gruppo TwoNet.

Se gli attacchi DDoS sono incrementati, al contrario le attività ransomware sono diminuite, anche se solo di un 4%. I gruppi più attivi sono stati SafePaf, Cl0p, Qlin, BabukV2 e Lynx, mentre i settori più colpiti risultano essere il manifatturiero, l’IT, il governativo e militare, l’edilizia e infine l’istruzione.

In calo anche le vendite di informazioni per l’accesso iniziale sul dark web (-20%). Francia e Italia sono i Paesi con il maggior numero di credenziali vendute, seguiti da Spagna, Regno Unito e Germania.

Il report di Group-IB evidenzia che gli utenti francesi, italiani e spagnoli sono quelli che contano più account compromessi in Europa. In totale, solo a marzo sono stati segnalati 115.726 account compromessi.

La principale fonte di informazioni rubate è stato il malware Lumma Stealer. Sono soprattutto gli account di Trello, GitLab e Google Admin a subire i furti di credenziali, mentre i dati di accesso più venduti sono quelli di servizi quali Slack, Salesforce e Freshdesk.

Infine, il report pone attenzione a ClickFix, una campagna di phishing che prende di mira il settore turistico. I cybercriminali che fanno uso di questa tecnica inviano una e-mail alle strutture ricettive chiedendo con urgenza un intervento su recensioni negative o richieste di verifica dell’account. L’utente, cliccando sul link indicato, viene rimandato a una finta pagina di Booking dove deve risolvere un CAPTCHA, il quale, una volta risolto, richiede alla vittima di aprire una shell di Windows ed eseguirvi un comando che scarica ed esegue codice malevolo.

Secondo il report di Group-IB, il malware più diffuso da questa campagna è stato Lumma Stealer. ClickFix è stato adottato da numerosi gruppi cybercriminali che hanno adeguato l’approccio alle proprie esigenze.

---

---

---

https://www.securityinfo.it/2025/05/15/europa-sotto-attacco-aumentano-le-attivita-ddos-e-dei-gruppi-hacktivisti/?utm_source=rss&utm_medium=rss&utm_campaign=europa-sotto-attacco-aumentano-le-attivita-ddos-e-dei-gruppi-hacktivisti

Mag 14, 2025 Marina Londei Approfondimenti, Attacchi, Attacchi, Campagne malware, In evidenza, News, RSS 0

---

Sono sempre di più gli attacchi automatizzati che colpiscono le organizzazioni: i cybercriminali stanno usando l’intelligenza artificiale per velocizzare le campagne e renderle più distruttive.

È quanto emerge dal Global Threat Landscape Report 2025 dei FortiGuard Labs di Fortinet, secondo il quale gli attaccanti, grazie ai sistemi di automazione, stanno riuscendo a operare a una velocità e a una scala senza precedenti.

In particolare gli attaccanti stanno usando lo scanning automatizzato per individuare più velocemente le vulnerabilità. Stando al report, le attività di scansione automatizzata sono aumentate del 16,7% su base annua in tutto il mondo, con miliardi di scansioni ogni mese (36.000 scansioni al secondo).

Oltre che per eseguire attacchi automatizzati, l’intelligenza artificiale viene usata anche per rendere più realistiche le campagne di phishing e aggirare i controlli di sicurezza tradizionali. Tra gli strumenti più usati ci sono FraudGPT, Blackmailer V3 e ElevenLabs.

Le attività dei cybercriminali si sono intensificate anche grazie all’ampia disponibilità sul dark web di kit di exploit preconfezionati, con credenziali aziendali, accessi RDP, pannelli di amministrazione e web shell. I FortiGuard Labs hanno inoltre registrato un incremento del 500% dall’anno precedente del numero di log derivanti da sistemi compromessi da infostealer.

Le credenziali risultano essere la valuta di scambio più preziosa per il cybercrimine: nel 2024 sono stati diffusi nel dark web oltre 100 miliardi di record compromessi, un aumento del 42% in un anno. Sono soprattutto le “combo list” le più comuni, composte da username, password e indirizzi email rubati. La diffusione di queste informazioni ha permesso l’esecuzione su larga scala di attacchi automatizzati di credential stuffing.

Guardando ai settori colpiti, quelli critici continuano a essere il bersaglio di attacchi su misura. Il manifatturiero risulta essere il settore più colpito con il 17% degli attacchi, seguito dai servizi alle imprese (11%), l’edilizia (9%) e il retail (9%). A livello di ambienti, il cloud rimane l’obiettivo privilegiato dagli attaccanti, insieme ai dispositivi IoT.

“Il playbook della sicurezza tradizionale non è più sufficiente. Le organizzazioni devono adottare una strategia di difesa proattiva, guidata dall’intelligence, basata sull’IA, sul modello zero trust e sulla gestione continua dell’esposizione alle minacce per restare al passo con l’evoluzione rapida del panorama degli attacchi” ha affermato Derek Manky, Chief Security Strategist e Global VP Threat Intelligence, Fortinet FortiGuard Labs.

I ricercatori di Fortinet consigliano alle organizzazioni di passare dai sistemi di rilevamento tradizionali a una gestione continua dell’esposizione alle minacce. L’approccio si basa sull’emulazione dei comportamenti degli attaccanti, sulla prioritizzazione delle remediation in base al rischio e sull’automazione di rilevamento e risposta.

È necessario inoltre implementare strumenti di Attack Surface Management per rilevare tempestivamente asset esposti, credenziali compromesse e vulnerabilità sfruttabili. Infine, è consigliato monitorare il dark web per individuare nuovi servizi ransomware e tracciare in particolare le attività dei gruppi hacktivisti per anticipare minacce come DDoS e defacement di siti web.

---

---

---

https://www.securityinfo.it/2025/05/14/impennata-degli-attacchi-automatizzati-i-cybercriminali-sfruttano-lia/?utm_source=rss&utm_medium=rss&utm_campaign=impennata-degli-attacchi-automatizzati-i-cybercriminali-sfruttano-lia

Mag 13, 2025 Marina Londei In evidenza, Malware, Minacce, News, RSS 0

---

Il ransomware è l’incubo di ogni organizzazione moderna: gli impatti di questi attacchi possono essere devastanti e i cybercriminali stanno evolvendo le proprie tecniche per renderli ancora più distruttivi. Ora la nuova frontiera di queste minacce potrebbe essere un ransomware che infetta le CPU. 

Christiaan Beek, ricercatore di sicurezza di Rapid7, è riuscito a realizzare una PoC per un ransomware che viene eseguito nel processore. A The Register Beek ha spiegato che l’idea è nata da un bug nei chip Zen di AMD che consente agli attaccanti di iniettare microcodice nei processori, modificando il comportamento della CPU.

“Il ransomware a livello CPU, l’alterazione del microcodice, e se sei nella CPU o nel firmware puoi eludere qualsiasi maledetta tecnologia che abbiamo” ha affermato il ricercatore. Sebbene il rischio sia (ancora) molto basso, sapere che non è più teoretico dovrebbe far suonare un campanello d’allarme.

Proprio per ridurre il rischio che questa minaccia dilaghi, Beek non ha pubblicato la PoC. Ha però sottolineato che i cybercriminali si stanno già muovendo verso ransomware che colpiscono i firmware. Anche se per adesso non sono stati individuati malware funzionanti di questo tipo, non significa che tra qualche anno o prima non cominceranno a emergere, visto che Beek ci è appena riuscito.

Vista la velocità con cui si evolvono le minacce, è essenziale sfruttare questo vantaggio per anticipare le mosse degli attaccanti e prepararsi alle possibili evoluzioni future.

Secondo Beek, è necessario lavorare per prima cosa sulle basi della cybersecurity, ancora carenti. “Il modo in cui gli attaccanti compromettono i sistemi non è così complicato. Quello a cui assisto durante molti breach ransomware: vulnerabilità ad alto rischio, password deboli o mancanza di autenticazione a due fattori, o implementata in modo errato. È frustrante. Spendiamo un sacco di tempo e soldi sull’innovazione, ma allo stesso tempo la nostra postura di sicurezza non migliora“.

---

---

---

https://www.securityinfo.it/2025/05/13/ransomware-che-infettano-la-cpu-una-nuova-potenziale-minaccia/?utm_source=rss&utm_medium=rss&utm_campaign=ransomware-che-infettano-la-cpu-una-nuova-potenziale-minaccia

Mag 12, 2025 Marina Londei Approfondimenti, Gestione dati, In evidenza, Minacce, Minacce, News, RSS 0

---

Stando all’ultimo report sulle minacce al settore sanitario di Netskope Threat Labs, i lavoratori del settore caricano regolarmente dati sensibili su siti web e piattaforme cloud non approvati.

Sono in particolare le applicazioni di intelligenza artificiale quelle coinvolte in queste violazioni, prime fra tutte ChatGPT e Gemini. Secondo l’analisi di Netskope, l’81% delle violazioni delle policy sui dati nelle organizzazioni sanitarie nell’ultimo anno ha riguardato dati sanitari regolamentati, ovvero protetti da normative locali, nazionali e internazionali, contenenti informazioni mediche e cliniche sensibili.

Password, chiavi di accesso, codice sorgente e proprietà intellettuale rappresentano invece il restante 19% delle violazioni. La maggior parte di esse è stata provocata dalla condivisione dei dati su account personali di OneDrive o Google Drive. 

Violazioni di dati sensibili nel settore sanitario: il pericolo dell’IA

I tool di intelligenza artificiale sono diventati molto diffusi anche nel settore sanitario: secondo il report di Netskope, l’88% delle organizzazioni integra applicazioni di IA in cloud. La quasi totalità delle realtà che sfruttano questi strumenti usa i dati degli utenti per l’addestramento.

Anche se l’IA porta molti benefici al settore sanitario, la condivisione di dati sensibili aumenta il rischio di violazioni. Se si considera che il 44% degli incidenti registrati coinvolge dati regolamentati, è facile comprendere l’impatto dei comportamenti errati degli operatori. Il report di Netskope evidenzia a tal proposito che più di due utenti di genAI su tre nel settore sanitario inviano dati sensibili ai propri account personali durante l’orario di lavoro, ostacolando la visibilità dei team di sicurezza.

“Le applicazioni di intelligenza artificiale generativa offrono soluzioni innovative, ma introducono anche nuovi vettori per potenziali violazioni dei dati, soprattutto in ambienti ad alta pressione e criticità come quello sanitario, dove il personale e i professionisti devono spesso operare con rapidità e agilità. Le organizzazioni sanitarie devono bilanciare i benefici della genAI con l’adozione di misure di sicurezza e protezione dei dati per mitigare tali rischi” ha commentato Gianpietro Cutolo, Cloud Threat Researcher presso Netskope Threat Labs.

Mitigare il rischio di violazione

Per ridurre il rischio di violazioni, soprattutto quelle legate alla condivisione di dati sensibili su strumenti di IA, le organizzazioni del settore sanitario dovrebbero innanzitutto implementare politiche di DLP (Data Loss Prevention – Prevenzione della perdita di dati) per monitorare l’accesso alle applicazioni di GenAI e definire il tipo di dati che può essere condiviso con esse. Oggi la percentuale di realtà sanitarie che hanno adottato politiche DLP è salita al 54% dal 31% dell’anno scorso.

È essenziale inoltre implementare applicazioni di IA generativa approvate dall’organizzazione, in modo che i team di sicurezza abbiano un maggior controllo su di esse e si riduca il rischio di “shadow AI”.  Infine, occorre affidarsi a strumenti di formazione in tempo reale per gli utenti che siano in grado anche di avvisarli quando stanno compiendo azioni rischiose.

“Nel settore sanitario, la rapida adozione delle applicazioni di intelligenza artificiale generativa e l’uso crescente delle piattaforme cloud hanno reso ancora più urgente la protezione dei dati sanitari regolamentati. Man mano che la genAI viene integrata nei flussi di lavoro clinici e operativi, le organizzazioni stanno accelerando l’implementazione di controlli come le politiche DLP e il blocco delle applicazioni per ridurre i rischi. Le organizzazioni sanitarie stanno facendo progressi, ma sarà fondamentale mantenere l’attenzione su soluzioni sicure e approvate a livello aziendale, per garantire che i dati restino protetti in questo scenario in continua evoluzione” ha concluso Cutolo.

---

---

---

https://www.securityinfo.it/2025/05/12/settore-sanitario-gli-operatori-caricano-dati-sensibili-in-cloud-e-nelle-app-di-ia/?utm_source=rss&utm_medium=rss&utm_campaign=settore-sanitario-gli-operatori-caricano-dati-sensibili-in-cloud-e-nelle-app-di-ia

Mag 12, 2025 Stefano Silvestri Attacchi, Hacking, In evidenza, Intrusione, Malware, Minacce, News, Phishing, RSS, Scenario, Tecnologia, Vulnerabilità 0

---

Il CERT-AGID ha registrato un’attività particolarmente vivace nello scenario italiano durante l’ultima settimana, con un totale di 77 campagne malevole monitorate e analizzate.

Di queste, 34 erano rivolte a obiettivi italiani, mentre le restanti 43, sebbene più generiche, hanno comunque avuto un impatto sul nostro territorio.

Come di consueto, il CERT ha condiviso con gli enti accreditati un set aggiornato di indicatori di compromissione (IoC), ben 981 in tutto, utili per il rilevamento e la mitigazione delle minacce.

I temi della settimana

In totale sono stati 18 i temi sfruttati questa settimana dai cybercriminali per mettere in atto campagne malevole nel nostro Paese.

Tra i temi più ricorrenti, immancabilmente troviamo il Banking, particolarmente presente nelle campagne mirate all’Italia.

In questo caso, è stato usato per diffondere malware come SuperCardX (veicolato sia via PEC che via SMS), Copybara, distribuito attraverso SMS e email, e Remcos, propagato esclusivamente via posta elettronica.

Lo stesso tema è stato anche sfruttato per cinque campagne di phishing via PEC, indirizzate agli utenti di Findomestic, BPER e Intesa Sanpaolo. A livello generico, è stato individuato un singolo caso in cui è stato utilizzato per distribuire XWorm via email.

Molto utilizzato anche il tema Ordine, che ha fatto da copertura a undici campagne generiche diffuse via email. In questo caso, i malware associati sono stati diversi: FormBook, Remcos, MassLogger, AgentTesla, AsyncRat e VIPKeylogger.

Anche il tema delle Multe è tornato in auge, questa volta in sette campagne italiane mirate di phishing via email, tutte indirizzate agli utenti di PagoPA. I messaggi fraudolenti fingevano di notificare sanzioni amministrative, cercando di indurre la vittima a cliccare su link dannosi.

Infine, il tema Undelivered, legato alla mancata consegna di messaggi o spedizioni, è stato impiegato in quattro campagne di phishing generiche, veicolate via email, con l’obiettivo di carpire le credenziali di accesso a servizi webmail e pannelli cPanel.

Tutti gli altri temi riscontrati nel corso della settimana sono stati impiegati in campagne più isolate ma comunque rilevanti, sia per la diffusione di malware che per il phishing mirato.

Tra gli eventi di maggiore rilievo segnalati questa settimana dal CERT-AGID figura una campagna di phishing particolarmente insidiosa rivolta agli utenti SPID.

I criminali hanno utilizzato in modo fraudolento il nome e il logo dell’Agenzia per l’Italia Digitale (AgID), appoggiandosi a un dominio ingannevole (agidgov[.]com) che nulla ha a che fare con l’ente ufficiale.

L’obiettivo della truffa è sottrarre credenziali SPID, copie dei documenti di identità e persino video di riconoscimento realizzati seguendo istruzioni fornite dal sito contraffatto. Un attacco che dimostra quanto sofisticati e mirati stiano diventando i tentativi di frode digitale, soprattutto quando puntano a sistemi chiave per l’identità digitale come lo SPID.

Sempre in settimana, il CERT ha intercettato una nuova ondata di campagne malevole che sfruttano MintsLoader, un loader basato su PowerShell, per distribuire Stealc, un malware classificato come information stealer e attivo in modalità Malware-as-a-Service (MaaS) dal gennaio 2023.

L’infezione inizia con email provenienti da caselle PEC compromesse, contenenti link che portano a file JavaScript offuscati. Grazie alla collaborazione con i gestori dei servizi PEC, sono già state avviate azioni di contrasto.

Proseguono inoltre le campagne di phishing che abusano del marchio PagoPA. In questi casi, le vittime ricevono email ingannevoli che simulano richieste di pagamento per presunte multe stradali.

Oltre a tentare di sottrarre dati personali, l’obiettivo è ottenere i dettagli delle carte di credito degli utenti.

Malware della settimana

Nel corso della settimana sono state osservate 13 diverse famiglie di malware attive sul territorio italiano, a conferma di un panorama minaccioso ampio e variegato, in cui i criminali informatici sfruttano una molteplicità di vettori e formati per aggirare le difese degli utenti e delle organizzazioni.

Tra i malware più attivi figura Remcos, protagonista di una campagna italiana a tema “Banking”, veicolata tramite email contenenti allegati compressi in formato GZ.

Lo stesso malware è stato individuato anche in nove campagne generiche, distribuite con pretesti legati a prenotazioni, ordini, preventivi, listini prezzi e consegne. In questi casi, gli allegati malevoli assumevano diverse estensioni, tra cui LZH, DOC, DOCX, RAR e ARJ.

Anche FormBook si è distinto per la sua persistenza, con quattro campagne generiche associate a temi commerciali come ordini, pagamenti e prezzi. La distribuzione è avvenuta attraverso email con allegati compressi nei formati 7Z, LHA e RAR.

Stessa dinamica anche per AgentTesla, rilevato in tre campagne generiche a tema preventivo, ordine e prezzi. In questo caso, i file allegati erano immagini disco nei formati ISO e IMG.

È tornato a colpire anche MassLogger, osservato in tre campagne generiche distribuite via email. I messaggi simulavano aggiornamenti, richieste di pagamento e ordini, allegando file GZ e RAR.

Tre campagne distinte sono state inoltre attribuite a VipKeylogger, malware diffuso via email con messaggi che fingevano ordini commerciali e che contenevano file ISO, ZIP e Z.

Di rilievo anche Copybara, protagonista di due campagne italiane focalizzate sul tema “Banking”, distribuite tramite SMS. Lo stesso vettore è stato sfruttato anche per veicolare SuperCardX, malware coinvolto in due campagne italiane veicolate sia via SMS che via PEC.

Altre minacce rilevate includono AsyncRat, attivo in due campagne generiche relative a ordini e prenotazioni, diffuse tramite email con allegati compressi in formato Z; Grandoreiro, presente in una campagna a tema documenti con allegati ZIP; e Lumma, coinvolto in un’unica campagna generica, sempre a tema documenti e distribuita via email.

Phishing della settimana

Nel corso della settimana, sono stati 18 i brand presi di mira nelle campagne di phishing rilevate dal CERT-AGID.

Tra i più sfruttati spicca PagoPA, che continua a essere uno dei bersagli preferiti, probabilmente a causa della diffusione capillare del sistema e della confusione che può generare in merito a notifiche e richieste di pagamento.

Altamente rappresentate anche le campagne a tema Aruba, spesso utilizzate per colpire professionisti e aziende che fanno affidamento sui suoi servizi di posta elettronica certificata (PEC) e hosting.

I messaggi ingannevoli cercano di convincere l’utente a cliccare su link malevoli, mascherati da avvisi di rinnovo o segnalazioni di problemi tecnici.

Infine, prosegue la tendenza legata alle campagne di phishing generico su Webmail, che mirano a rubare le credenziali di accesso agli account di posta elettronica, indipendentemente dal provider.

Formati e canali di diffusione

La varietà di tecniche e strumenti utilizzati dai gruppi cybercriminali trova riscontro anche nei formati dei file impiegati per diffondere malware.

Nell’ultima settimana, il CERT-AGID ha rilevato ben 15 tipologie diverse di file malevoli, segno della creatività e dell’adattabilità degli attori minacciosi.

Come spesso accade, i formati compressi si confermano i più gettonati. I file RAR sono stati utilizzati in 7 campagne, consolidando la loro posizione come vettore preferito. Quasi a sorpresa, seguono i file APK, tipici delle installazioni Android, coinvolti in 5 campagne, probabilmente indirizzate a dispositivi mobili.

Tra gli altri formati più ricorrenti si segnalano i file ISO e DOC, entrambi presenti in 4 campagne. I file ZIP sono comparsi in 3 episodi, mentre Z e GZ sono stati rilevati in 2 campagne ciascuno.

Chiudono l’elenco i formati meno utilizzati, comparsi in un singolo caso: EXE, LZH, 7Z, PDF, ARJ, LHA, JS e IMG.

Anche i canali di diffusione delle minacce confermano tendenze già osservate. L’email ordinaria resta il vettore privilegiato, con 62 campagne veicolate tramite posta elettronica tradizionale. Ma non manca l’uso della PEC, coinvolta in 8 episodi.

Infine, sono stati segnalati 7 casi di diffusione tramite SMS, modalità sempre più diffusa grazie alla sua capacità di colpire direttamente gli utenti mobile con messaggi brevi ma incisivi, spesso presentati come notifiche urgenti o comunicazioni bancarie.

---

---

---

https://www.securityinfo.it/2025/05/12/cert-agid-4-9-maggio-utenti-spid-sotto-attacco-campagne-mintsloader/?utm_source=rss&utm_medium=rss&utm_campaign=cert-agid-4-9-maggio-utenti-spid-sotto-attacco-campagne-mintsloader