Il contenuto delle email, i dati di contatto delle comunicazioni e gli eventuali allegati, rientrano nella nozione di corrispondenza e sono quindi tutelati dal diritto alla segretezza. Tale garanzia, riconosciuta anche dalla Costituzione, salvaguarda la dignità della persona e il suo pieno sviluppo nelle relazioni sociali.

Lo ha ribadito il Garante per la protezione dei dati personali, che ha inflitto una sanzione di 40mila euro a una società per violazione della segretezza dell’account email di un amministratore delegato dopo la cessazione del rapporto di lavoro.

Nel reclamo presentato al Garante l’amministratore lamentava che, dopo aver ricevuto una lettera di contestazione disciplinare cui è seguito il licenziamento, l’azienda gli aveva negato l’accesso alla propria casella di posta elettronica aziendale, rimasta attiva.
Esercitando i propri diritti, aveva chiesto alla società di disabilitare l’account di posta elettronica, di inoltrare i messaggi ricevuti nel frattempo al suo indirizzo email personale e di attivare una risposta automatica che informasse eventuali mittenti del nuovo indirizzo email. Richiesta tuttavia rimasta inevasa sebbene formulata correttamente ai sensi del GDPR.

Nel corso dell’istruttoria, il Garante ha accertato che l’azienda non solo continuava a ricevere le email indirizzate al lavoratore, ma addirittura le inoltrava ad un altro account di posta elettronica aziendale.
Una pratica scorretta che si era protratta per circa due mesi, superando il limite di 30 giorni previsto dalle regole interne dell’azienda.

Tale modalità prolungata nel tempo ha determinato l’accesso e la conservazione di email personali, in violazione della normativa privacy.

L’Autorità ha pertanto ordinato alla società di consentire al lavoratore l’accesso al proprio account aziendale di posta elettronica e ne ha disposto la successiva cancellazione, fatta salva la conservazione di quanto necessario per la tutela dei diritti in sede giudiziaria.

Nel definire l’ammontare della sanzione, il Garante ha considerato la tipologia e la durata delle violazioni, il mancato riscontro all’istanza di esercizio dei diritti del lavoratore e l’assenza di precedenti violazioni della normativa privacy da parte della società.

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/laccesso-allemail-del-lavoratore-licenziato-e-violazione-della-privacy/563583/

Garante, si metta fine allo stato di incertezza.
Antefatto: sei giorni fa, il 17.1.2026, si dimetteva Guido Scorza, componente del Collegio del Garante per la protezione dei dati personali.
Situazione attuale:
Il presidente, Stanzione, era tenuto a darne immediata comunicazione ai presidenti di Camere e Senato, per l’elezione del nuovo componente (art. 4.7 reg. 1/2000 GPDP). È stato fatto? Nessun aggiornamento sul sito dell’Autorità, né su quelli del Parlamento.

Le dimissioni hanno effetto quando sono accettate dal Garante (art. 4.6 reg. 1/2000 GPDP), anche qui nessuna notizia di aggiornamento e il profilo di Guido Scorza è regolarmente presente, al momento in cui si scrive, sul sito dell’Authority alla pagina dedicata ai membri del Collegio: https://lnkd.in/dShhSYbQ.

Sono valide le decisioni di un Collegio di tre membri? Assai dubbio: un conto è la mancata presenza di uno dei componenti che regolarmente lo compongono (art. 5.5, reg. cit.), altro è l’inesistenza giuridica del quarto componente, perché il Collegio è diventato di sole tre persone. A norma dell’art. 153.1 cod. privacy, “il Collegio è costituito da quattro componenti“, non da tre.

Né credo si possa prolungare ad infinitum un atto di mera forma come l’accettazione delle dimissioni o non darne notizia sul sito istituzionale. È di mera forma, perché non è neppure collegato con la già detta comunicazione immediata al Parlamento affinché si proceda all’elezione del nuovo componente.

Quanto si può seriamente pensare di prolungare questo stato di incertezza? L’immagine dell’Authority, già irreparabilmente compromessa non solo agli occhi dei cultori della materia ma a quelli dell’opinione pubblica, ha bisogno di ulteriori ferite?

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/garante-privacy-perche-in-parlamento-non-si-vota-per-il-successore-di-scorza/562889/

Gen 19, 2026 Stefano Silvestri Attacchi, Gestione dati, Hacking, In evidenza, Intrusione, Leaks, Malware, Minacce, News, Phishing, Privacy, Scenario, Tecnologia 0

---

Nel periodo compreso tra il 10 e il 16 gennaio, il CERT-AGID ha rilevato e analizzato 63 campagne malevole attive in Italia.

Di queste, 46 hanno avuto obiettivi specificamente italiani, mentre 17 campagne di natura generica hanno comunque interessato utenti e organizzazioni nel Paese.

Complessivamente, il CERT-AGID ha messo a disposizione degli enti accreditati 487 indicatori di compromissione (IoC).

I temi della settimana

Sono 18 i temi sfruttati per veicolare campagne di phishing e malware.

Il tema Multe continua a dominare con 12 campagne di phishing italiane, tutte veicolate tramite email e costruite come finte notifiche PagoPA relative a presunte sanzioni stradali non pagate. L’obiettivo, come sempre, è indurre le vittime a inserire dati personali e bancari.

Il tema Banking è stato utilizzato in sette campagne di phishing italiane rivolte ai clienti di BPM, BNL, Hype e SumUp.

Lo stesso tema è stato inoltre sfruttato per quattro campagne malware, tre delle quali italiane, che hanno diffuso DonutLoader, Remcos, Copybara e deVixor.

Il tema Aggiornamenti è comparso in sei campagne, cinque generiche e una italiana. Le campagne generiche hanno diffuso principalmente AsyncRAT, mentre quella italiana ha veicolato phishing ai danni di utenti Subito.it.

Il tema Pagamenti è stato sfruttato in tre campagne di phishing ai danni di Aruba e PayPal, oltre a una campagna malware che ha diffuso AgentTesla.

Tra gli eventi di particolare interesse, il CERT-AGID segnala l’individuazione di ulteriori domini malevoli impiegati nel phishing a tema Sistema Tessera Sanitaria, già rilevato la settimana precedente.

Una delle nuove varianti introduce un passaggio aggiuntivo: dopo aver sottratto i dati anagrafici, la vittima viene indirizzata a una schermata che richiede anche le informazioni della carta di credito.

Come scrivevamo sopra, continuano inoltre le campagne ai danni di PagoPA, diffuse tramite email con riferimenti a falsi avvisi di sanzioni stradali.

Malware della settimana

Nel corso della settimana sono state individuate 11 famiglie di malware attive in Italia.

AgentTesla è stato rilevato in una campagna italiana a tema “Ordine” e in tre campagne generiche a tema “Documenti”, “Pagamenti” e “Delivery”, diffuse tramite email con allegati RAR, XZ e TAR.

AsyncRAT è comparso in quattro campagne generiche, tutte a tema “Aggiornamenti” e veicolate tramite allegato ZIP.

XWorm è stato osservato in tre campagne generiche a tema “Ordine”, “Prezzi” e “Fattura”, distribuite mediante allegati RAR e XLSM.

Remcos è stato individuato in una campagna italiana a tema “Banking” veicolata con allegato 7Z e in una campagna generica “Delivery” con allegato RAR.

Copybara e deVixor sono stati rilevati in due campagne a tema “Banking”, una italiana e una generica, veicolate tramite SMS contenenti link per il download di APK malevoli.

DonutLoader è comparso in una campagna italiana a tema “Banking” diffusa mediante email con allegato 7Z.

AMOS è stato rilevato in una campagna italiana a tema “Documenti” diffusa tramite link a script PS1 malevolo.

Sono state infine osservate campagne generiche che hanno diffuso FormBook, Guloader e ScreenConnect, sfruttando i temi “Ordine”, “Prezzi” e “Aggiornamenti” con allegati RAR, DOCX e MSI.

Phishing della settimana

Sul fronte del phishing, questa settimana i criminali hanno preso di mira 21 brand differenti.

A guidare la classifica delle identità più sfruttate troviamo ancora una volta PagoPA, seguito da Aruba, SumUp e BPM.

Siamo dunque di fronte a un mix di servizi di pagamento, hosting e istituti bancari che conferma la tendenza degli attaccanti a colpire dove girano soldi e credenziali di valore.

Formati e canali di diffusione

Nel periodo osservato sono state individuate 11 tipologie di file.

Il formato RAR è al primo posto con 6 utilizzi, seguito da ZIP (4). 7Z, EML e APK compaiono con 2 utilizzi ciascuno, mentre PS1, XLSM, TAR, DOCX, XZ e MSI sono stati osservati in un solo caso.

Per quanto riguarda i canali di distribuzione, la posta elettronica rimane dominante con 61 campagne, seguita da 2 campagne veicolate via SMS.

---

---

---

https://www.securityinfo.it/2026/01/19/cert-agid-10-16-gennaio-phishing-pagopa-malware-bancari/?utm_source=rss&utm_medium=rss&utm_campaign=cert-agid-10-16-gennaio-phishing-pagopa-malware-bancari

Riceviamo e diffondiamo il comunicato della Fisac-CGIL – Ufficio del Garante per la protezione dei dati personali in relazione all’indagine giudiziaria in corso sull’Autorità, che vede coinvolti il Presidente Pasquale Stanzione e i membri in carica Ginevra Cerrina Feroni, Agostino Ghiglia e Guido Scorza.

La Fisac-CGIL del Garante della privacy, al termine dell’ennesima giornata di sofferenza e di angoscia dei dipendenti per le sorti dell’Istituzione che hanno contribuito a consolidare, ritiene necessario e ormai non più procrastinabile un gesto di responsabilità del Collegio per restituire serenità e credibilità all’intero settore della protezione dei dati personali e delle Autorità amministrative indipendenti.

Ribadisce pertanto la più volte invocata richiesta di dimissioni del Collegio come unico atto idoneo non solo a consentire all’Ufficio di tornare a svolgere la propria funzione senza ombre e incertezze, ma anche ai singoli componenti coinvolti di salvaguardare con decoro le proprie posizioni individuali, oggi fortemente messe in discussione da una indagine giudiziaria che ha assunto connotati ancora più gravi e allarmanti rispetto a quelli emersi dalle recenti inchieste giornalistiche: a tale riguardo non si può non sottolineare che le contestazioni relative a spese non in linea con la sobrietà richiesta ad una amministrazione pubblica intervengono in un contesto lavorativo nel quale, nonostante gli sforzi dei sindacati e le richieste di tutti i dipendenti, non si riesce a dare soluzione alla più che ventennale questione dei lavoratori precari di servizi esternalizzati, i cui stipendi si aggirano intorno ai mille euro mensili.

Questo Sindacato rivolge un appello a tutte le Istituzioni affinché sia sanata l’anomalia del nostro Paese che non ha dato seguito alle indicazioni europee per la individuazione di disposizioni di legge che consentano di sottoporre l’operato dei Garanti alla valutazione di organi di controllo idonei a ripristinare in ogni momento le condizioni di indipendenza e trasparenza dell’intera Autorità.

Infine questo Sindacato si rivolge all’opinione pubblica per ribadire che i dipendenti dell’Autorità, che ogni giorno affrontano sfide giuridiche e sociali rilevanti curando gli oltre quattromila reclami, le centomila segnalazioni e le diverse decine di migliaia di quesiti che pervengono annualmente dai cittadini, sono e resteranno estranei a logiche che non appartengono al mandato pubblico, continuando a garantire un presidio di tutela dei diritti e delle libertà personali, unico vero patrimonio di credibilità su cui questa Istituzione potrà contare per il proprio futuro.

GARANTE PRIVACY: PIENA FIDUCIA NELLA MAGISTRATURA

Il Collegio del Garante per la protezione dei dati personali esprime piena fiducia nell’operato della magistratura, certo di poter dimostrare la propria estraneità ai fatti contestati.
Il Collegio conferma la volontà di proseguire il proprio lavoro a tutela della privacy e dei diritti fondamentali dei cittadini.

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/garante-privacy-i-dipendenti-richiedono-le-dimissioni-di-tutto-il-collegio/562141/

L’indagine sul Garante Privacy

Indagati il presidente e gli altri membri dell’autorità per peculato e corruzione. Gli altri indagati oltre a Pasquale Stanzione sono Ginevra Cerrina Feroni, Agostino Ghiglia e Guido Scorza. L’indagine nasce dopo servizi Rai di Report relativi alla spese e ad alcune procedure di sanzioni risultate opache.

La Guardia di Finanza cerca prove di quelle che il magistrato definisce condotte disinvolte e comportamenti offensivi del decoro, al punto da diventare vere e proprie ipotesi di reato. Gli inquirenti contestano viaggi, soggiorni in alberghi cinque stelle, cene di rappresentanza e lavanderia, persino fitness e cura della persona.

Le gravi accuse di peculato e corruzione

Tra le accuse contestate ai pubblici ufficiali, quella di aver utilizzato l’auto di scorta per ragioni estranee alle finalità di servizio, ma anche quella più grave di corruzione nell’esercizio delle proprie funzioni, per non aver erogato alcuna sanzione, se non meramente formale, alla società Ita Aiways, nella quale, peraltro, hanno evidenziato nel decreto gli investigatori, il responsabile della protezione dati era l’avvocato Aterno (non indagato) ma membro dello studio E-Lex fondato da Guido Scorza e del quale è tuttora partner la moglie.

“A fronte del riscontro di irregolarità formali e procedurali nel monitoraggio delle comunicazioni e nella tenuta della documentazione relativa al trattamento dei dati, nonché mettendo comunque a disposizione i poteri e la loro funzione in favore della società di volo – scrive nel decreto la procura di Roma – ricevevano come utilità tessere “Volare” classe executive, per il valore di 6000 euro cadauna. In particolare, poi, si cita l’episodio contestato ad Agostino Ghiglia che avrebbe utilizzato l’auto di servizio per «recarsi presso la sede di un partito politico per finalità estranee al mandato“.

Nel paragrafo dedicato “all’utilizzo improprio dell’autovettura di servizio” si afferma che “Ghiglia avrebbe utilizzato l’autovettura di servizio per recarsi presso la sede di un partito politico per finalità estranee al mandato“. E ancora: “dagli accertamenti svolti dalla polizia giudiziaria delegata è stato constatato che il 30 dicembre del 2024 sono stati pubblicati i dati del censimento permanente delle auto di servizio delle pubbliche amministrazioni per l’anno 2024. Per quanto di specifica competenza, il Garante, così come indicato analiticamente dalla nota della Gdf, risulta avere nella propria disponibilità un’autovettura con autista con uso esclusivo“.
Auto che dovrebbe necessariamente utilizzata per “inderogabili ragioni di servizio” e non per gli spostamenti tra abitazione e luogo di lavoro. I “servizi di osservazione della Gdf hanno invece dimostrato che l’autovettura viene sovente utilizzata da tutti i membri del Collegio e anche per finalità estranee alle esigenze di servizio ovvero, oltre che per gli spostamenti casa lavoro anche per ulteriori spostamenti di carattere strettamente personale“.

Contestato un “significativo aumento” dei costi di rappresentanza e gestione

Inoltre è contestato un “significativo aumento” nei costi di rappresentanza e gestione. “I costi, a fronte di una spesa marginale nel 2021 (poco superiore a 20 mila euro), avrebbero registrato un incremento significativo a partire dal 2022 – si legge nell’atto di 16 pagine – raggiungendo nel 2024 circa 400 mila euro annui, a fronte dell’innalzamento del tetto di spesa autorizzato dal Collegio nel 2020 da 3.500 euro a 5.000 euro“.
In base all’esame dei “bilanci consuntivi acquisiti sul sito istituzionale del Gpdp” si è rilevato “nel periodo 2021 – 2024, un incremento significativo delle voci riconducibili alle spese per organi e incarichi istituzionali dell’Autorità e alle spese di rappresentanza. Nello specifico, la voce relativa agli organi e incarichi istituzionali registra una crescita progressiva, che nel solo anno 2024 avrebbe raggiunto, passando da circa 851 mila euro nel 2021, l’importo complessivo di 1.247.000 euro, in larga parte riconducibile a rimborsi per viaggi, soggiorni in alberghi di categoria ‘cinque stelle’, cene di rappresentanza, servizi di lavanderia, fino a ricomprendere altresì fitness e cura della persona“.

Nel decreto vengono citate anche le missioni all’estero. In particolare, si legge, quella del G7 di Tokyo (2023), “il cui costo ufficialmente comunicato sarebbe stato di 34 mila euro, ma che, secondo fonti interne e documentazione informale, avrebbe superato gli 80 mila euro, di cui 40 mila destinati ai soli voli. Analoga situazione si sarebbe verificata in occasione delle missioni in Georgia (Batumi) e in Canada. Rileva – aggiungono i pm – che alcuni componenti del Collegio abbiano viaggiato in business class, pur in assenza dei presupposti previsti dalla pertinente regolamentazione, ben consapevoli di tale aspetto“.

Il post di Ranucci di Report

Sull’inchiesta è intervenuto con un post su Facebook anche il giornalista e conduttore Rai del programma “Report” Sigfrido Ranucci.

“In seguito ai servizi di Report – si legge nel post social – la procura ha aperto un’indagine. Al centro delle inchieste ci sarebbero le spese di rappresentanza del Collegio. Le spese per la carne comprata dal presidente Stanzione addebitate al Garante e la mancata sanzione di circa 40 milioni di euro nei confronti di Meta per il primo modello di smart glasses commercializzato dalla società di Mark Zuckerberg: i Ray-Ban Stories“.

Le richieste di dimissioni del collegio del Garante

Le dimissioni di tutto il collegio vengono chieste dagli esponenti M5S in commissione di Vigilanza Rai: Dario Carotenuto, Dolores Bevilacqua, Anna Laura Orrico e Gaetano Amato.

“In una situazione del genere – precisano i pentastellati – restare aggrappati alle poltrone è un atto di grave irresponsabilità. Così si espone l’istituzione al pubblico ludibrio e si nega la minima tutela del suo prestigio. Per questo ribadiamo una richiesta di semplice igiene istituzionale: l’intero Collegio si dimetta. Subito. Per rispetto dell’Autorità, dei cittadini e della funzione che essa dovrebbe svolgere“.

“Un’Authority deve essere indipendente, terza, al di sopra delle parti. Qui emergono elementi che indicano una gestione non trasparente. Il Garante non puo’ essere percepito come sotto l’influenza dell’esecutivo ne’ come una sua succursale. In questo quadro, la permanenza dell’attuale presidente e’ incompatibile con la funzione di garanzia che l’Autorita’ deve svolgere. Per ristabilire terzieta’, autorevolezza e fiducia, le dimissioni dell’intero collegio sono un atto necessario“, sottolinea in una nota Angelo Bonelli, deputato di AVS e co-portavoce di Europa Verde.

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/garante-privacy-perquisizioni-della-gdf-nella-sede/561935/

Google’s take on AI privacy

Perhaps sensing that feeding more data into Gemini would give many people the creeps, Google’s announcement explains at great length how the company has approached privacy in Personal Intelligence. Google isn’t getting any new information about you—your photos, email, and search behaviors are already stored on Google’s servers, so “you don’t have to send sensitive data elsewhere to start personalizing your experience.”

Having the chatbot regurgitate your photos and emails might still be a little unsettling, but Google claims it has built guardrails that keep Gemini from musing on sensitive topics. For example, the chatbot won’t use any health information it finds. However, you can still ask for it to look at that information explicitly.

Google also stresses that your personal data is “not directly used to train the model.” So the images or search habits it references in outputs are not used for training, but the prompts and resulting outputs may be used. Woodward notes that all personal data is filtered from training data. Put another way, the system isn’t trained to learn your license plate number, but it is trained to be able to locate an image containing your license plate.

This feature will be in beta for awhile as it rolls out, and it may take several weeks to reach all paid Gemini accounts. It will work across all Gemini endpoints, including the web, Android, and iOS.

Google also says it plans to expand access to Personal Intelligence in Gemini down the road. Unless Google flip-flops on the default settings, you can leave this feature disabled. That ensures Gemini won’t get additional access to your data, but of course, all that data is still sitting on Google’s servers. This probably won’t be the last time Google tries to entice you to plug your photos into an AI tool.

https://arstechnica.com/google/2026/01/gemini-can-now-scan-your-photos-email-and-more-to-provide-better-answers/

On Confer, remote attestation allows anyone to reproduce the bit-by-bit outputs that confirm that the publicly available proxy and image software—and only that software—is running on the server. To further verify Confer is running as promised, each release is digitally signed and published in a transparency log.

Native support for Confer is available in the most recent versions of macOS, iOS, and Android. On Windows, users must install a third-party authenticator. Linux support also doesn’t exist, although this extension bridges that gap.

There are other private LLMs, but none from the big players

Another publicly available LLM offering E2EE is Lumo, provided by Proton, a European company that’s behind the popular encrypted email service. It adopts the same encryption engine used by Proton Mail, Drive, and Calendar. The internals of the engine are considerably more complicated than Confer because they rely on a series of both symmetric and asymmetric keys. The end result for the user is largely the same, however.

Once a user authenticates to their account, Proton says, all conversations, data, and metadata is encrypted with a symmetrical key that only the user has. Users can opt to store the encrypted data on Proton servers for device syncing or have it wiped immediately after the conversation is finished.

A third LLM provider promising privacy is Venice. It stores all data locally, meaning on the user device. No data is stored on the remote server.

Most of the big LLM platforms offer a means for users to exempt their conversations and data for marketing and training purposes. But as noted earlier, these promises often come with major carve-outs. Besides selected review by humans, personal data may still be used to enforce terms of service or for other internal purposes, even when users have opted out of default storage.

Given today’s legal landscape—which allows most data stored online to be obtained with a subpoena—and the regular occurrence of blockbuster data breaches by hackers, there can be no reasonable expectation that personal data remains private.

It would be great if big providers offered end-to-end encryption protections, but there’s currently no indication they plan to do so. Until then, a handful of smaller alternatives will keep user data out of the ever-growing data lake.

https://arstechnica.com/security/2026/01/signal-creator-moxie-marlinspike-wants-to-do-for-ai-what-he-did-for-messaging/

Gen 12, 2026 Stefano Silvestri Attacchi, Hacking, In evidenza, Intrusione, Leaks, Malware, Minacce, News, Phishing, Privacy, Tecnologia, Vulnerabilità 0

---

Nel periodo compreso tra il 3 e il 9 gennaio, il CERT-AGID ha rilevato e analizzato 73 campagne malevole attive in Italia.

Di queste, 55 hanno avuto obiettivi specificamente italiani, mentre 18 campagne di natura generica hanno comunque interessato utenti e organizzazioni nel Paese.

Complessivamente, il CERT-AGID ha messo a disposizione degli enti accreditati 634 indicatori di compromissione (IoC).

I temi della settimana

Sono 20 i temi sfruttati per veicolare campagne di phishing e malware, con una netta prevalenza di operazioni legate a multe, banking, rinnovi di servizi e documentazione.

Il tema Multe domina la settimana con 17 campagne di phishing, tutte italiane e tutte veicolate tramite email.

Le comunicazioni, costruite come finte notifiche PagoPA relative a presunte sanzioni stradali non pagate, mirano a indurre le vittime a cliccare su link malevoli e a inserire dati personali e bancari.

Il tema Banking è stato utilizzato in tre campagne di phishing italiane rivolte ai clienti di Nexi, BNL e Inbank. Lo stesso ambito è stato inoltre sfruttato per cinque campagne malware, di cui due italiane, che hanno diffuso Copybara, QuasarRAT, RelayNFC e BTMob.

In questi casi la distribuzione è avvenuta sia tramite email con allegati malevoli sia, per le varianti mobile, tramite SMS contenenti link a file APK.

Il tema Rinnovo è comparso in otto campagne di phishing, quasi tutte italiane e tutte veicolate via email.

A eccezione di una campagna che ha abusato del nome del Ministero della Salute, le altre hanno simulato comunicazioni di servizi online e fornitori di hosting e gestore di domini come Aruba, Hostingsolution, Wix, Ergonet e Serverplan, facendo leva su presunte scadenze imminenti.

Il tema Documenti è stato sfruttato in sei campagne, due delle quali italiane, finalizzate alla diffusione di Purecrypter, PureLogs, Remcos e WarzoneRat tramite email con allegati compressi.

In alcuni casi sono stati inoltre abusati strumenti legittimi di controllo remoto, utilizzati come veicolo per l’esecuzione di codice malevolo sui sistemi compromessi.

Tra gli eventi di particolare interesse, il CERT-AGID segnala innanzitutto l’individuazione di una nuova vulnerabilità critica in n8n, soprannominata Ni8mare.

La falla, sfruttabile da remoto e senza autenticazione, consente la lettura di file locali, l’accesso a chiavi e configurazioni sensibili e può arrivare fino alla generazione di credenziali amministrative e alla possibile esecuzione di comandi. È stato raccomandato l’aggiornamento immediato a n8n 1.121.0 o versioni successive.

Sul fronte del phishing, è stata rilevata una campagna mirata contro studenti e personale dell’Università di Brescia, che indirizza le vittime verso una pagina fraudolenta replica del portale di login dell’Ateneo per sottrarre credenziali istituzionali.

Un’ulteriore campagna ha abusato dei loghi e dei nomi del Sistema Tessera Sanitaria e del Ministero della Salute, segnalando una presunta scadenza imminente della tessera e invitando le vittime a inserire dati personali su una falsa pagina di rinnovo.

Il CERT-AGID ha inoltre individuato un falso portale che sfrutta i loghi del Ministero dell’Interno, progettato per sottrarre informazioni utili a furti d’identità o frodi ai danni di cittadini stranieri.

Con il pretesto di verificare lo stato del permesso di soggiorno, la pagina richiede dati identificativi e dettagli relativi alla pratica, richiamando procedure reali per apparire più credibile.

Torna infine il phishing a tema “Dichiarazione Fiscale Criptovalute”, che abusa del nome e del logo dell’Agenzia delle Entrate. Oltre alla raccolta di dati personali, l’obiettivo principale è l’accesso ai wallet di criptovalute delle vittime.

A questo si aggiunge una nuova campagna di smishing ai danni di utenti INPS, veicolata tramite SMS che invitano ad “aggiornare” i propri dati per non perdere presunti benefici, con link accessibili solo da dispositivi mobili.

Malware della settimana

Nel corso della settimana sono state individuate 16 famiglie di malware attive in Italia.

FormBook è stato rilevato in una campagna italiana a tema “Ordine”, diffusa tramite email con allegato TAR, e in una campagna generica a tema “Contratti” veicolata con allegato ZIP.

PhantomStealer è comparso in una campagna italiana a tema “Ordine”, distribuita con allegato XZ, e in una campagna generica “Contratti” che ha sfruttato archivi RAR.

Copybara è stato utilizzato in due campagne italiane a tema “Banking”, veicolate tramite SMS contenenti link per il download di APK malevoli.

BTMob e RelayNFC sono stati osservati in due campagne generiche sempre a tema “Banking”, mirate all’infezione di dispositivi Android attraverso file APK.

Una campagna italiana ha abusato del software legittimo Remote.It, veicolato tramite un link a un finto captcha (ClickFix), per ottenere il controllo remoto dei dispositivi compromessi.

Action1 è stato rilevato in una campagna generica a tema “Documenti”, diffusa con allegato MSI, mentre AgentTesla è comparso in una campagna italiana a tema “Ordine” veicolata tramite email con allegato 7Z.

Purecrypter è stato individuato in una campagna italiana a tema “Documenti”, diffusa con allegato RAR.

Infine, sono state osservate diverse campagne generiche che hanno diffuso AsyncRAT, Guloader, LummaStealer, PureLogs, QuasarRAT, Remcos e WarzoneRat, sfruttando i temi “Documenti”, “Aggiornamenti”, “Prezzi” e “Banking” e utilizzando email con allegati ZIP, RAR, 7Z e TAR.

Phishing della settimana

Sono 25 i brand coinvolti nelle campagne di phishing osservate.

Per quantità spiccano le operazioni che sfruttano i nomi di PagoPA, PayPal e iCloud, insieme alle consuete campagne di webmail non brandizzate orientate al furto di credenziali.

Formati e canali di diffusione

Gli archivi compressi come sempre si confermano lo strumento principale per la diffusione dei contenuti malevoli.

Nel periodo osservato sono state individuate 9 tipologie di file, con APK al primo posto (4 utilizzi), seguiti da ZIP, RAR e 7Z (3).

Con due utilizzi compare il formato TAR, mentre HTML, XZ, MSI e JS sono stati osservati in un solo caso ciascuno.

Per quanto riguarda i canali di distribuzione, la posta elettronica rimane dominante con 66 campagne, seguita da sette campagne veicolate via SMS.

---

---

---

https://www.securityinfo.it/2026/01/12/cert-agid-3-9-gennaio-phishing-e-malware-aprono-il-2026/?utm_source=rss&utm_medium=rss&utm_campaign=cert-agid-3-9-gennaio-phishing-e-malware-aprono-il-2026

“The real freaks come out on Craigslist,” says Koester. “There’s a purity to it.” Even still, the site is a little tamer than it used to be: Craigslist shut down its “casual encounters” ads and took its personals section offline in 2018, after Congress passed legislation that would’ve put the company on the hook for listings from potential sex traffickers. The “missed connections” section, however, remains active.

The site is what Jessa Lingel, an associate professor of communication at the University of Pennsylvania, has called the “ungentrified” Internet. If that’s the case, then online gentrification has only accelerated in recent years, thanks in part to the proliferation of AI. Even Wikipedia and Reddit, visually basic sites created in the early aughts and with an emphasis similar to Craigslist’s on fostering communities, have both incorporated their own versions of AI tools.

Some might argue that Craigslist, by contrast, is outdated; an article published in this magazine more than 15 years ago called it “underdeveloped” and “unpredictable.” But to the site’s most devoted adherents, that’s precisely its appeal.

“ I think Craigslist is having a revival,” says Kat Toledo, an actor and comedian who regularly uses the site to hire cohosts for her LA-based stand-up show, Besitos. “When something is structured so simply and really does serve the community, and it doesn’t ask for much? That’s what survives.”

Toledo started using Craigslist in the 2000s and never stopped. Over the years, she has turned to the site to find romance, housing, and even her current job as an assistant to a forensic psychologist. She’s worked there full-time for nearly two years, defying Craigslist’s reputation as a supplier of potentially sketchy one-off gigs. The stigma of the website, sometimes synonymous with scammers and, in more than one instance, murderers, can be hard to shake. “If I’m not doing a good job,” Toledo says she jokes to her employer, “just remember you found me on Craigslist.”

https://arstechnica.com/culture/2026/01/ungentrified-craigslist-may-be-the-last-real-place-on-the-internet/

Il Garante per la protezione dei dati personali ha adottato un provvedimento di avvertimento nei confronti degli utilizzatori di servizi basati sull’intelligenza artificiale, come Grok, ChatGPT e Clothoff – quest’ultima piattaforma già destinataria di un provvedimento di blocco nell’ottobre scorso – e altri servizi analoghi disponibili online, che consentono di generare e condividere contenuti a partire da immagini o voci reali, arrivando anche a “spogliare” persone senza il loro consenso.

L’Autorità ricorda che l’utilizzo di tali strumenti e la diffusione dei contenuti così generati, tramite social media o altri servizi digitali e applicazioni di messaggistica, possono determinare, oltre a possibili fattispecie di reato, in assenza del consenso degli interessati, gravi violazioni dei diritti e delle libertà fondamentali delle persone coinvolte, con tutte le conseguenze, anche sanzionatorie, previste dalla normativa europea in materia di protezione dei dati personali.

Con lo stesso provvedimento, il Garante ha inoltre richiamato i fornitori di tali servizi alla necessità di progettare, sviluppare e rendere disponibili applicazioni e piattaforme in modo tale da garantire che gli utenti possano utilizzarle nel rispetto della disciplina privacy.

Dall’istruttoria avviata d’ufficio è infatti emerso che questi servizi, in molti casi, rendono estremamente agevole l’uso illecito di immagini e voci di terze persone, in assenza di qualsiasi titolo giuridico.

L’Autorità, che per quanto riguarda i servizi resi disponibili da X è già al lavoro con l’omologa Autorità irlandese, competente in quanto stabilimento principale della società in Europa, si riserva di adottare ulteriori iniziative.

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/deepfake-mettono-a-rischio-diritti-e-liberta-il-garante-privacy-su-grok-chatgpt-e-clothoff/561231/