Mar 21, 2025 Marina Londei Attacchi, Hacking, In evidenza, Malware, News, RSS, Vulnerabilità 0

---

I ricercatori di Security Labs di Elastic hanno analizzato le attività di Medusa, un ransomware che utilizza un driver malevolo custom per disabilitare i sistemi di protezione ed eludere i controlli.

Il driver, chiamato dai ricercatori ABYSSWORKER, consente agli attaccanti di disabilitare i sistemi EDR per il controllo degli endpoint e agire indisturbati.

ABYSSWORKER usa una serie di funzioni che ritornano sempre lo stesso risultato a prescindere dall’input. Ripetute continuamente nel codice, queste funzioni complicano l’analisi degli strumenti di protezione. Il driver custom simula un driver legittimo di CrowdStrike Falcon ed è firmato con certificati rubati o revocati di compagnie cinesi. “Questi certificati sono ampiamente conosciuti e condivisi tra diversi malware e campagne, non sono specifici per questo driver“.

Durante l’inizializzazione il driver crea dei puntatori a diversi moduli del kernel e alle feature di protezione; in seguito, quando viene eseguito, viene chiamata una funzione che aggiunge l’ID del processo alla lista dei processi protetti in esecuzione sul dispositivo.

ABYSSWORKER è ora in grado di gestire le richieste I/O indirizzandole verso l’handler corretto. Stando all’analisi di Elastic, il driver è in grado di attivare o disabilitare il ransomware Medusa, copiare file o cancellare file, caricare API, terminare processi e thread, riavviare la macchina e interrompere i thread di sistema.

Tra le capacità più importanti c’è appunto quella di bloccare la protezione EDR. Di fatto, ABYSSWORKER blocca la registrazione alle callback di creazione e avvio dei processi per l’EDR, così che i tool non abbiano visibilità su di essi.

L’uso di driver per eludere le difese non è una tecnica nuova: come riportato da The Hacker News, la notizia di Medusa e ABYSSWORKER arriva subito dopo la scoperta di un driver malevolo associato a ZoneAlarm di Check Point usato per disabilitare le feature di sicurezza di Windows.

Questi attacchi, identificati sotto la categoria “Bring Your Own Vulnerable Driver” (BYOVD), sfruttando le vulnerabilità dei driver per eludere i sistemi di protezione tradizionale, così da massimizzare gli impatti del malware vero e proprio.

Per proteggersi da questi attacchi è innanzitutto indispensabile mantenere aggiornati i propri sistemi operativi e i driver, sostituendo quelli obsoleti. È inoltre consigliato aumentare il livello di privilegi necessari a eseguire driver, implementare tool per la protezione del kernel e utilizzare la tecnica del behavioral monitoring per tracciare l’interruzione dei processi di sicurezza.

---

---

---

https://www.securityinfo.it/2025/03/21/il-ransomware-medusa-usa-un-driver-malevolo-per-bloccare-le-difese-edr/?utm_source=rss&utm_medium=rss&utm_campaign=il-ransomware-medusa-usa-un-driver-malevolo-per-bloccare-le-difese-edr

Mar 21, 2025 Marina Londei Approfondimenti, In evidenza, RSS, Scenario 0

---

Il processo di penetration testing è ormai una pratica diffusa in molte organizzazioni per verificare periodicamente lo stato dei sistemi e l’efficacia delle difese.

Di solito queste attività vengono eseguite una volta l’anno, due in caso di grandi organizzazioni con infrastrutture complesse; una tempistica che ormai, visto il moderno panorama delle minacce, molti esperti considerano obsoleta. Se si considera inoltre che ogni settimana, se non ogni giorno, vengono rilasciate nuove feature, è impossibile pensare che basti una volta l’anno per individuare nuove vulnerabilità.

In un articolo sul tema per Bleeping Computer, il team di Outpost24 evidenzia la necessità di superare l’approccio puntuale per dedicarsi a un controllo continuo. Un’alternativa da valutare è la Penetration Testing as a service (PTaaS), una modalità in cui la verifica delle funzionalità è un ciclo continuo allineato a quello di sviluppo.

Questo approccio comprende il reporting in tempo reale delle vulnerabilità che consente di rimediare immediatamente ai problemi del software e garantisce una migliore comunicazione tra i team. Il pentesting puntuale e dilazionato nel tempo, al contrario, rende più complessa la collaborazione tra gli sviluppatori e allunga i tempi di intervento.

Il PTaaS consente inoltre di ritestare i fix senza attendere il ciclo di controlli successivo e dà accesso a un livello di expertise differenziato su controlli continui. Seguire una modalità di penetration testing continuo significa anche poter automatizzare molte delle attività da eseguire, oltre che tracciare il progresso in modo più preciso e puntuale, così da seguire l’effettivo miglioramento della sicurezza.

Optare per un approccio di pentesting continuo richiede in primis una maggior integrazione tra i team: per questo è necessario abbattere i silos aziendali e favorire la comunicazione tra i diversi comparti. È inoltre necessario individuare le aree più critiche del processo di testing già presente e assicurarsi che la nuova modalità di verifica si concentri sul risolvere le problematiche identificate.

Infine, è importante scegliere la migliore piattaforma per le proprie esigenze, con tutti gli strumenti di cui si ha bisogno, e affidarsi a un vendor robusto che possa seguire il processo e offrire alto livello di supporto.

---

---

---

https://www.securityinfo.it/2025/03/21/penetration-testing-una-volta-ogni-tanto-non-basta-piu-serve-un-approccio-continuativo/?utm_source=rss&utm_medium=rss&utm_campaign=penetration-testing-una-volta-ogni-tanto-non-basta-piu-serve-un-approccio-continuativo

Mar 19, 2025 Marina Londei Attacchi, In evidenza, Intrusione, News, RSS 0

---

MirrorFace, gruppo APT cinese allineato al governo, ha colpito un ente diplomatico europeo coinvolto nell’Expo 2025. Il gruppo, noto per attività di cyberspionaggio contro istituzioni giapponesi, ha esteso il proprio raggio d’azione per colpire altre realtà coinvolte nella prossima edizione dell’esposizione attesa a Osaka.

In un’analisi sul proprio blog, il team di WeLiveSecurity di ESET ha sottolineato che si tratta del primo attacco del gruppo contro un’entità europea. L’attacco, parte della campagna Operation AkaiRyū attiva già nel 2024, ha fatto uso della backdoor ANEL e di AsyncRAT.

L’attacco di MirrorFace

Come negli attacchi precedenti, anche in questo caso le attività sono cominciate con delle email di spearphishing contenenti allegati malevoli per l’esecuzione di malware.

Il gruppo ha però aggiornato le proprie tattiche e il proprio arsenale di tool, come dimostra l’uso di ANEL, una backdoor usata in precedenza esclusivamente dalla gang APT10. Per questo motivo, i ricercatori di ESET ritengono che MirrorFace possa essere un sottogruppo di APT10.

La backdoor è in grado di comunicare col server C2 tramite HTTP e cifrare i dati inviati per nascondere il contenuto in caso di individuazione. ANEL supporta inoltre comandi base per modificare file, eseguire payload e catturare screenshot.

Durante gli attacchi il gruppo ha fatto uso anche di una variante altamente personalizzata di AsyncRAT, un trojan ad accesso remoto già utilizzato nelle campagne del 2024. Questa variante si appoggia a un complesso meccanismo di sandboxing che consente di eseguire il RAT in un ambiente protetto.

La versione di AsyncRAT di MirrorFace può essere compilata con specifiche caratteristiche per colpire una particolare vittima e può scaricare ed eseguire un client Tor per la comunicazione col server C2.

Il gruppo ha inoltre usato tool quali PuTTY, HiddenFace (un’altra backdoor), Hidden Start e Rubeus per eseguire una serie di azioni post-compromissione e cercare di mantenere la persistenza sulle macchine colpite. Il gruppo ha eseguito i tool in maniera selettiva in base al tipo e al ruolo dell’utente che utilizzava la macchina compromessa.

L’impatto

Secondo l’analisi di WeLiveSecurity, il gruppo ha aspettato cinque giorni prima di cominciare l’attività di esfiltrazione dei dati. Al sesto giorno, la gang è riuscita a esportare dati sensibili da Chrome quali informazioni di contatto, dati per l’autoriempimento dei form e le informazioni delle carte di credito memorizzate sul browser.

Nonostante abbia colpito un’entità europea, il gruppo continua ad agire contro il governo giapponese: “Durante questo attacco, il gruppo ha sfruttato l’imminente World Expo 2025 come esca. Ciò dimostra che, anche considerando questo nuovo obiettivo geografico più ampio, MirrorFace rimane focalizzato sul Giappone e sugli eventi ad esso correlati” hanno spiegato i ricercatori di WeLiveSecurity.

L’intervento dei ricercatori ha permesso all’entità colpita di eliminare la presenza del gruppo sulle proprie macchine, ma ci sono ancora diversi punti oscuri riguardo le attività del gruppo che preoccupano gli esperti e aumentano la probabilità che MirrorFace torni presto all’attacco.

---

---

---

https://www.securityinfo.it/2025/03/19/mirrorface-ha-colpito-un-ente-diplomatico-europeo/?utm_source=rss&utm_medium=rss&utm_campaign=mirrorface-ha-colpito-un-ente-diplomatico-europeo

Mar 18, 2025 Marina Londei Attacchi, Hacking, In evidenza, Minacce, News, RSS, Vulnerabilità 0

---

Un grave bug che colpisce Apache Tomcat è sfruttato attivamente dai cybercriminali per sferrare attacchi. Ci sono volute appena 30 ore dalla diffusione della notizia prima che gli attaccanti cominciassero a colpire.

La vulnerabilità, tracciata come CVE-2025-24813, consente a un utente malintenzionato di accedere a file di sicurezza e modificarli, oltre che eseguire codice da remoto.

A lanciare l’allarme è stata Wallarm, una compagnia di sicurezza statunitense che ha individuato subito gli attacchi, cominciati dopo la pubblicazione di una PoC su GitHub da parte dell’utente iSee857.

Stando a quando spiegato dall’azienda, l’attacco sfrutta il meccanismo di default per la persistenza della sessione del server per accedere a file sensibili e iniettare contenuto aggiuntivo. Nella prima fase, l’attaccante invia una richiesta PUT per caricare un file di sessione malevolo sul server. Il payload, una volta inviata la richiesta, si occupa di creare un file nella cartella del session storage di Tomcat. “Poiché Tomcat salva automaticamente i dati di sessione nei file, il payload malevolo viene salvato sul disco, in attesa di essere deserializzato“.

La deserializzazione viene eseguita tramite una richiesta GET dell’attaccante contenente il JSESSIONID della sessione malevola. Il server, riconoscendo l’ID di sessione, recupera il file, lo deserializza e provoca l’esecuzione del codice malevolo, concedendo completo accesso alla macchina all’attaccante.

“Questo attacco è semplicissimo da eseguire e non richiede alcuna autenticazione” spiegano i ricercatori di Wallarm. “L’unico requisito è che Tomcat utilizzi un session storage basato su file, cosa comune in molte implementazioni. Peggio ancora, la codifica base64 permette all’exploit di aggirare la maggior parte dei filtri di sicurezza tradizionali, rendendo difficile il rilevamento“.

L’attacco è particolarmente efficace anche perché le richieste inviate non contengono di per sé codice malevolo; inoltre, lo step effettivamente dannoso viene eseguito in un secondo momento, durante la deserializzazione.

Wallarm sottolinea però che il problema maggiore sta nel fatto che Tomcat non gestisce correttamente le richieste PUT, permettendo sostanzialmente di creare file ovunque. “Gli attaccanti cominceranno presto a modificare le loro tattiche, caricando file JSP malevoli, modificando le configurazioni e impiantando backdoor fuori dal session storage. Questa è solo la prima ondata“.

Il bug colpisce le versioni di Apache Tomcat dalla 11.0.0-M1 alla 11.0.2, dalla 10.1.0-M1 alla 10.1.34 e dalla 9.0.0-M1 alla 9.0.98. Il fix è stato pubblicato nella versione 11.0.3 del server. È fondamentale aggiornare il prima possibile la propria versione di Tomcat per proteggersi da questo attacco.

---

---

---

https://www.securityinfo.it/2025/03/18/tomcat-sotto-attacco-grave-bug-sfruttato-dopo-30-ore-dalla-pubblicazione/?utm_source=rss&utm_medium=rss&utm_campaign=tomcat-sotto-attacco-grave-bug-sfruttato-dopo-30-ore-dalla-pubblicazione

Mar 17, 2025 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

---

ClickFix è tornato alla carica: dopo essere apparsa per la prima volta l’anno scorso, nell’ultimo periodo le attività legate alla campagna di phishing sono aumentate notevolmente, mietendo vittime nel settore turistico.

Stano a quanto riportato da Microsoft in un post sul suo blog, la campagna prende di mira i dipendenti di strutture ricettive in Nord America, Oceania, Sud e Sud-Est asiatico e in tutta Europa che lavorano con Booking.com inviando finte email da parte della compagnia.

Il contenuto delle email varia da recensioni negative degli ospiti a richieste da potenziali clienti, ma anche richieste di verifica dell’account o attivazione di promozioni.

Nel corpo dell’email è presente un link che rimanda a una finta pagina di Booking. Navigando sull’URL, l’utente deve risolvere un CAPTCHA per confermare di non essere un robot, un modo per fargli credere che la procedura sia effettivamente legittima.

La risoluzione del CAPTCHA richiede alla vittima di aprire una shell di Windows e copiarvi ed eseguire un comando che la pagina web aggiunge automaticamente alla clipboard. Il comando, mshta.exe, scarica ed esegue codice malevolo che distribuisce diversi tipi di malware, tra i quali XWorm, Lumma Stealer, VenomRAT, AsyncRAT, Danabot e NetSupport RAT.

La campagna mira a sottrarre informazioni sensibili, credenziali d’accesso e a registrare i tasti premuti dall’utente. I dati esfiltrati vengono inviati a un server C2 controllato dall’attaccante e usati potenzialmente in altre campagne.

Secondo l’analisi di Microsoft, la campagna è da attribuire a Storm-1865, un gruppo di cybercriminali attivo da anni e responsabile di diverse campagne di phishing. L’attività del gruppo è cominciata almeno a inizio 2023 e ha preso di mira anche agenzie di viaggio, piattaforme di e-commerce e servizi email come Gmail e iCloud Mail.

Per proteggersi da ClickFix è fondamentale riuscire a individuare i possibili segnali di phishing, quindi controllare attentamente l’indirizzo del mittente e individuare eventuali errori di battitura nel testo. Il senso di urgenza è già un indicatore sospetto, ma in caso di dubbio è consigliabile contattare direttamente il servizio per verificare la validità della comunicazione. 

---

---

---

https://www.securityinfo.it/2025/03/17/clickfix-torna-la-campagna-di-phishing-che-colpisce-il-settore-turistico/?utm_source=rss&utm_medium=rss&utm_campaign=clickfix-torna-la-campagna-di-phishing-che-colpisce-il-settore-turistico

Mar 14, 2025 Marina Londei Attacchi, In evidenza, Malware, News, RSS 0

---

I ricercatori di Lookout hanno individuato KoSpy, uno spyware Android attributo al gruppo nord-coreano APT37, noto anche come ScarCruft, attivo dal 2012.

KoSpy sfrutta finte applicazioni di utility come File Manager, Software Update Utility o tale “Kakao Security” per infettare i dispositivi Android coreani e di utenti di lingua anglosassone. Le prime due app presentano una tipica interfaccia per la gestione di file e dispositivo, mentre Kakao Security si limita a mostrare una finta finestra di sistema.

Una volta installata l’applicazione, lo spyware viene avviato. KoSpy recupera una configurazione cifrata da Firebase Firestore contenente uno switch “on/off” per permette agli attaccanti di controllare l’attività dello spyware e l’indirizzo del server C2.

Questo meccanismo permette ai cybercriminali di abilitare o disabilitare KoSpy e modificare l’indirizzo del server di comunicazione nel caso venga individuato o bloccato. I ricercatori di Lookout hanno individuato cinque diversi progetti Firebase e altrettanti server C2 usati dagli attaccanti.

KoSpy è in grado di scaricare e installare plugin per espandere le proprie capacità di spionaggio. Tra le principali feature dello spyware ci sono la raccolta di SMS e del registro di chiamate, l’accesso a file e cartelle sullo storage locale, la registrazione di audio, la cattura di screenshot, l’uso della fotocamera e la registrazione dei tasti premuti.

Le applicazioni compromesse, presenti sul Play Store, sono state rimosse immediatamente dopo la segnalazione di Lookout. Stando a uno snapshot della pagina di download di File Manager, l’applicazione è rimasta online a lungo ed è stata scaricata da almeno una decina di utenti.

Secondo l’analisi di Lookout, l’infrastruttura dello spyware KoSpy coinciderebbe con quella usata da APT43, un altro gruppo nord-coreano. “I cyberattaccanti nord-coreani sono conosciuti per avere infrastrutture, obiettivi e TTP analoghi, il che rende difficile l’attribuzione [degli attacchi] a uno specifico gruppo“.

---

---

---

https://www.securityinfo.it/2025/03/14/scoperto-kospy-un-nuovo-spyware-android-nord-coreano/?utm_source=rss&utm_medium=rss&utm_campaign=scoperto-kospy-un-nuovo-spyware-android-nord-coreano

Mar 13, 2025 Marina Londei Approfondimenti, Attacchi, Attacchi, Campagne malware, In evidenza, Malware, Minacce, Minacce, News, Ransomware, RSS 0

---

Il bilancio delle vittime del ransomware Medusa è tutt’altro che rassicurante: stando a un recente advisory pubblicato dalla CISA, il malware avrebbe colpito oltre 300 infrastrutture critiche statunitensi sin dall’inizio della sua attività nel 2021.

Inizialmente il ransomware era una variante “chiusa” e gestita da un unico gruppo; negli anni si è poi evoluto in un modello as-a-service dove gli sviluppatori originari si occupano di gestire il pagamento dei riscatti. Sia gli ideatori del ransomware Medusa che gli affiliati seguono un modello a doppia estorsione.

La CISA ha rivelato che il gruppo dietro il ransomware recluta Initial Access Broker su forum e marketplace per ottenere l’accesso iniziale alle reti delle potenziali vittime. Agli affiliati viene chiesto di non collaborare con altri gruppi, dietro il pagamento di una somma che va dai 100 dollari a un milione di dollari.

Gli affiliati di Medusa si servono per lo più di campagne di phishing per sottrarre le credenziali degli account delle vittime, ma ricorrono anche allo sfruttamento di vulnerabilità software note. Dopo l’accesso iniziale, gli attaccanti usano tool legittimi come Advanced IP Scanner e SoftPerfect Network Scanner per la scansione e l’enumerazione di utenti, sistemi e reti.

Per eludere i controlli di sicurezza, gli attaccanti usano tool come Certutil e tecniche che fanno uso di PowerShell per nascondere le proprie tracce. A seguire, per la fase di spostamento laterali, i cybercriminali usano numerosi tool di accesso remoto come AnyDesk, Atera, ConnectWise, eHorus, N-able, PDQ Deploy, PDQ Inventory, SimpleHelp e Splashtop in combinazione con Remote Desktop Protocol e PsExec.

Infine gli affiliati installano Rclone sulle macchine compromesse per facilitare l’esfiltrazione di dati e ricorrono a PsExec, PDQ Deploy o BigFix per la cifratura dei file.

Gli attaccanti chiedono di essere contattati per il pagamento del riscatto entro 48 ore dall’attacco, tramite una chat basata su browser Tor o Tox, un servizio di messaggistica con cifratura end-to-end. Nel caso la vittima non risponda alla richiesta, i cybercriminali provvedono a contattarla direttamente via telefono o email.

“Le indagini dell’FBI hanno rilevato che, dopo aver pagato il riscatto, una vittima è stata contattata da un altro attaccante di Medusa che ha affermato che il negoziatore aveva rubato l’importo del riscatto già pagato e ha chiesto di effettuare nuovamente metà del pagamento per fornire il “vero decryptor”, indicando potenzialmente uno schema di tripla estorsione” spiega la CISA.

L’attività di Medusa è tutt’altro che in calo: secondo quanto riportato dal Threat Hunter Team di Symantec, tra gennaio e febbraio gli attacchi del gruppo sono aumentati del doppio rispetto allo stesso periodo del 2024, e l’andamento continua a essere crescente.

---

---

---

https://www.securityinfo.it/2025/03/13/il-ransomware-medusa-ha-colpito-oltre-300-infrastrutture-critiche/?utm_source=rss&utm_medium=rss&utm_campaign=il-ransomware-medusa-ha-colpito-oltre-300-infrastrutture-critiche

Mar 12, 2025 Marina Londei Attacchi, In evidenza, News, RSS, Vulnerabilità 0

---

Apple ha rilasciato ieri un importante aggiornamento di sicurezza per risolvere un bug 0-day presente nel componente WebKit del browser Safari. 

Il bug, tracciato come CVE-2025-24201, è un problema di scrittura out-of-bound che consente a un attaccante di sfruttare un contenuto web creato ad hoc per uscire dalla sandbox del browser.

Secondo quanto riportato dalla compagnia, la vulnerabilità sarebbe stata già sfruttata in attacchi “estremamente sofisticati” contro dispositivi iOS con versioni precedenti alla 17.2. “Questo è un fix supplementare per un attacco che è stato bloccato in iOS 17.2” ha aggiunto Apple. La patch introduce dei controlli aggiuntivi per bloccare l’esecuzione di azioni non autorizzate.

Il fix è disponibile nelle versioni iOS 18.3.2 e iPadOS 18.3.2 per iPhone XS e successivi, iPad Pro da 12 pollici, iPad Pro da 12.9 pollici di terza generazione e successive, iPad Air di terza generazione e successive, iPad di settima generazione e successiva e iPad mini di quinta generazione e successiva.

La patch è inoltre disponibile in Safari 18.3.1 per macOS Ventura e Sonoma, in macOS Sequoia 15.3.2, in visionOS 2.3.2 per Vision Pro e in tvOS 18.3.1 per le Apple TV 4K di terza generazione.

Giusto un mese fa Apple aveva rilasciato un fix per un altro bug 0-day, anche in quel caso giù sfruttato. La vulnerabilità (CVE-2025-24200) permette a un attaccante di disabilitare USB Restricted Mode e scaricare le informazioni dell’utente.

La modalità disabilita le connessioni dati via cavo dopo 60 minuti di inattività del dispositivo, ma alcuni cybercriminali sono riusciti a bypassare il meccanismo di sicurezza e sferrare attacchi mirati. Il fix è stato rilasciato nella versione  18.3.1 di iOS e iPadOs.

La compagnia non ha condiviso dettagli sugli attacchi individuati, né per l’ultimo bug né per il precedente. Apple invita gli utenti ad aggiornare il prima possibile i propri dispositivi per proteggersi dalla minaccia.

---

---

---

https://www.securityinfo.it/2025/03/12/apple-risolve-un-bug-0-day-di-webkit-gia-sfruttato/?utm_source=rss&utm_medium=rss&utm_campaign=apple-risolve-un-bug-0-day-di-webkit-gia-sfruttato

Mar 12, 2025 Stefano Silvestri Approfondimenti, Attacchi, Hacking, In evidenza, Leaks, Malware, Minacce, Software, Tecnologia, Vulnerabilità 0

---

Kaspersky lancia un segnale d’allarme: registrare account personali su piattaforme di intrattenimento utilizzando l’email aziendale può trasformarsi in una trappola per la sicurezza informatica.

Con ripercussioni sia sulla privacy dei dipendenti che sulla protezione dei dati aziendali.

Il report Kaspersky Digital Footprint Intelligence

Durante il MWC di Barcellona, il report Kaspersky Digital Footprint Intelligence ha rivelato che il 7% degli account compromessi su piattaforme quali Netflix, Roblox e Discord è associato a indirizzi email professionali.

La ricerca, condotta su un campione di 50 aziende del settore bancario, evidenzia come l’utilizzo improprio delle email aziendali per fini personali esponga a rischi non indifferenti.

Qualora si cambi lavoro, l’accesso a servizi e account personali potrebbe venire interrotto, mentre la ripetizione di password deboli aumenta la vulnerabilità non solo dei dati personali ma anche di quelli aziendali.

Sergey Shcherbel, esperto di Kaspersky, ha sottolineato come abitudini di registrazione scorrette possano facilitare la diffusione delle credenziali sul dark web, con conseguenze potenzialmente disastrose in termini di sicurezza.

La peculiarità del sistema bancario

Curiosamente, la ricerca mette in luce una particolare attenzione da parte del settore bancario.

Stando a Kaspersky, i suoi dipendenti risultano più propensi a utilizzare l’indirizzo email di lavoro per accedere a servizi di streaming, marketplace, social network, e persino piattaforme di gioco o siti di contenuti per adulti.

Il report invita dunque le aziende ad adottare strategie preventive, quali l’implementazione di politiche stringenti per le password, l’attivazione di programmi di sensibilizzazione sulla sicurezza e il monitoraggio proattivo del dark web.

Tra le misure consigliate figurano, come sempre, il cambio immediato delle password in caso di compromissione, la scansione approfondita dei dispositivi per individuare eventuali malware e la definizione di protocolli di sicurezza per evitare la fuga di credenziali.

Il problema della gestione delle identità digitali nelle aziende

Il report evidenzia dunque una criticità spesso sottovalutata: la gestione delle identità digitali dei dipendenti delle aziende.

È un tema particolarmente importante se si pensa che molte imprese investono in soluzioni avanzate di cybersecurity, trascurando però le minacce più insidiose, ossia quelle che derivano dall’errore umano e dalle cattive pratiche nella gestione degli account.

L’uso delle email aziendali per registrarsi a servizi di intrattenimento non è solo una leggerezza individuale, è un problema strutturale che espande la superficie d’attacco e offre nuove opportunità ai cybercriminali.

La compromissione di un indirizzo aziendale associato a servizi esterni può facilitare attacchi di credential stuffing, permettendo agli hacker di testare combinazioni di username e password su account più critici, tra cui appunto quelli aziendali.

Inoltre, il riutilizzo di password prevedibili o la mancata attivazione di misure di sicurezza come l’MFA aumentano il rischio di accessi non autorizzati.

Cambio di prospettiva

Per i team di sicurezza IT, questa problematica impone un cambio di paradigma.

La protezione delle credenziali aziendali non può limitarsi all’implementazione di password complesse o di autenticazione a due fattori. La consapevolezza dei dipendenti è tanto importante quanto le tecnologie che li proteggono.

Le aziende devono dunque  investire anche in programmi di formazione strutturati, affinché la sicurezza diventi una cultura diffusa e non solo un insieme di regole da seguire.

La prima linea di difesa contro gli attacchi informatici non è solo il firewall o l’antivirus ma il comportamento consapevole di chi utilizza gli strumenti digitali ogni giorno.

---

---

---

https://www.securityinfo.it/2025/03/12/kaspersky-email-aziendali-account-personali-dark-web/?utm_source=rss&utm_medium=rss&utm_campaign=kaspersky-email-aziendali-account-personali-dark-web

Mar 10, 2025 Marina Londei In evidenza, News, RSS 0

---

Dopo aver aderito lo scorso anno all’iniziativa Cybersecurity Skills Academy della Commissione Europea, Fortinet ha annunciato l’estensione del suo Academic Partner Program a 37 nuove istituzioni educative europee. L’obiettivo è di ridurre il divario di competenze in materia di cybersecurity.

Tra le istituzioni coinvolte ci sono 7 realtà italiane, tra le quali figurano l’Università Campus Bio-Medico di Roma e l’Università degli Studi di Bari Aldo Moro. La compagnia ha già formato più di 950 studenti attraverso il suo programma Network Security Expert (NSE) Certification.

“Perché ho scelto di collaborare con Fortinet? Perché voglio fornire ai miei studenti la possibilità di sporcarsi le mani usando le migliori tecnologie esistenti sul mercanto nel campo della cybersecurity. L’obiettivo è far sì che inizino a diventare dei veri professionisti della cybersecurity in grado di coniugare le metodologie teoriche con la padronanza dei migliori strumenti off-the-shelf. Ma, soprattutto, per essere parte di una community di esperti all’interno della quale l’esperienza di uno diviene rapidamente la base per l’adozione di efficaci strategie di difesa da parte di tanti” ha dichiarato Roberto Setola, Direttore del Master in Cybersecurity Management dell’Università Campus Bio-Medico di Roma.

Attraverso il Fortinet Training Institute, l’azienda si propone di offrire gratuitamente il proprio programma di formazione sulla cybersecurity a 75.000 persone nell’Unione Europea entro i prossimi tre anni. L’iniziativa si rivolge a studenti di svuole e università per colmare il divario tra apprendimento e carriera, mettendo a disposizione corsi di formazione e certificazione NSE di Fortinet. Oltre 950 studenti hanno già aderito al programma.

Il panorama attuale delle minacce in continua evoluzione richiede un approccio più severo alla cybersecurity: Fortinet riporta che lo scorso anno quasi il 90% dei dirigenti aziendali ha dichiarato che la propria azienda ha subito una o più violazioni. Oltre alla carenza di personale e di soluzioni adeguate di protezione, anche la mancanza di competenze professionali rappresenta un rischio significativo per le imprese.

Per sopperire a questa carenza, la compagnia si impegna a formare 1 milioni di persone a livello globale entro il 2026. L’estensione dell’Academic Partner Program è un ulteriore passo verso una migliore protezione di aziende e istituzioni.

---

---

---

https://www.securityinfo.it/2025/03/10/fortinet-estende-il-suo-academic-partner-program-per-colmare-il-divario-di-conoscenze-di-cybersecurity/?utm_source=rss&utm_medium=rss&utm_campaign=fortinet-estende-il-suo-academic-partner-program-per-colmare-il-divario-di-conoscenze-di-cybersecurity