Aumentano gli attacchi informatici contro applicazioni pubbliche. Il report di CISCO

Milano, 4 novembre 2025 – Aumentano gli attacchi informatici che sfruttano applicazioni accessibili al pubblico, come siti web o portali aziendali, per entrare nei sistemi delle organizzazioni, e cresce anche il phishing condotto attraverso account aziendali compromessi. In calo invece gli attacchi ransomware, anche se di questo tipo di minaccia sono state rilevate nuove pericolose varianti.

Questi i dati più significativi emersi dal Report di Cisco Talos – relativo al trimestre luglio, agosto e settembre del 2025.

Per quanto riguarda attacchi informatici che sfruttano applicazioni accessibili al pubblico, si tratta di una modalità utilizzata in oltre sei casi su dieci tra gli interventi gestiti dal team di Incident Response, rispetto al 10% del trimestre precedente. Un aumento vertiginoso, legato in particolare a una serie di attacchi contro server Microsoft SharePoint installati localmente, che hanno sfruttato falle di sicurezza rese note a luglio.

Gli attacchi ransomware hanno rappresentato circa il 20% degli incidenti, in calo rispetto al 50% del trimestre precedente. Nonostante la diminuzione, il ransomware resta però una delle minacce più diffuse e persistenti per le aziende. Per la prima volta, il team di Cisco Talos ha affrontato nuove varianti come Warlock, Babuk e Kraken, oltre a famiglie già note come Qilin e LockBit.

In un caso, gli esperti hanno attribuito con “moderata certezza” un attacco a un gruppo di cybercriminali legato alla Cina, noto come Storm-2603. Un elemento insolito di questo attacco è stato l’uso di Velociraptor, un software open source normalmente usato per analisi forensi digitali, qui sfruttato per mantenere l’accesso ai sistemi violati, un comportamento mai osservato prima in questo tipo di attacchi. Infine, è stato registrato un aumento degli attacchi legati al ransomware Qilin, segno che questo gruppo sta intensificando la propria attività.

Attacchi informatici: cresce l’impatto della catena ToolShell e delle nuove falle di SharePoint

Gli attacchi legati alla cosiddetta catena ToolShell confermano quanto sia importante per le aziende segmentare correttamente la rete e installare subito gli aggiornamenti di sicurezza. Nel corso dell’ultimo trimestre, oltre il 60% degli incidenti analizzati da Cisco Talos ha avuto origine da applicazioni accessibili pubblicamente, come siti web o portali aziendali. In quasi quattro casi su dieci è stata riscontrata l’attività della catena ToolShell, una tecnica che ha contribuito in modo significativo alla crescita di questo tipo di attacchi.

A partire da metà luglio 2025, i criminali informatici hanno iniziato a sfruttare due nuove vulnerabilità nei server Microsoft SharePoint installati localmente (identificate come CVE-2025-53770 e CVE-2025-53771). Queste falle, collegate ad altre già corrette da Microsoft a inizio luglio, permettono ai criminali di eseguire un codice da remoto senza bisogno di accedere con credenziali valide.

Phishing da account compromessi: una minaccia in evoluzione

Come anticipato, gli attacchi di phishing lanciati da account aziendali compromessi continuano a rappresentare una minaccia concreta. I criminali informatici sfruttano email interne già violate per diffondere l’attacco all’interno dell’organizzazione o verso partner esterni.

Gli esperti di Talos hanno osservato che la catena ToolShell è stata sfruttata già prima dell’avviso ufficiale di Microsoft, con la maggior parte degli attacchi concentrata nei dieci giorni successivi. Questa tecnica è stata riscontrata in circa un terzo degli incidenti del trimestre, in aumento rispetto al periodo precedente. In molti casi è stata combinata con il phishing: durante uno degli attacchi monitorati, un account Microsoft 365 compromesso è stato usato per inviare quasi 3.000 email fraudolente.

Ransomware: nonostante il calo, la minacciaresta costante

Diminuiscono invece i ransomware. Nel trimestre appena concluso, gli attacchi ransomware hanno rappresentato circa il 20% degli incidenti gestiti da Cisco Talos, in calo rispetto al 50% del periodo precedente. Per la prima volta però, il teamdi Talos Incident Response ha affrontato nuove varianti come Warlock, Babuk e Kraken, oltre a famiglie già note come Qilin e LockBit.

Velociraptor: uno strumento legittimo usato in un attacco ransomware

Cisco Talos ha gestito un attacco ransomware attribuito con moderata certezza al gruppo di origine cinese Storm-2603. L’attacco ha colpito gravemente l’infrastruttura IT di un’azienda del settore telecomunicazioni, inclusi sistemi operativi critici per la gestione delle operazioni. Durante l’indagine, gli esperti di Talos hanno scoperto che i criminali informatici avevano installato una versione obsoleta di Velociraptor, uno strumento open source normalmente usato per le analisi forensi digitali e la risposta agli incidenti, su cinque server compromessi.

Velociraptor è stato utilizzato per mantenere l’accesso ai sistemi anche dopo l’isolamento di alcuni host – un comportamento mai osservato prima in un attacco ransomware. La versione impiegata presentava una vulnerabilità di sicurezza che consentiva agli attaccanti di controllare da remoto i sistemi infettati. Questo caso conferma una tendenza già evidenziata da Cisco Talos: i cybercriminali usano sempre più spesso strumenti legittimi, sia commerciali che open source, per rendere gli attacchi più efficaci e difficili da individuare.

Cresce l’attività del gruppo ransomware Qilin

Il gruppo Qilin, comparso per la prima volta nel trimestre precedente, ha intensificato le proprie operazioni, come mostra il numero crescente di fughe di dati pubblicate online a partire da febbraio 2025. Gli attacchi di Qilin seguono uno schema ormai consolidato: accesso iniziale con credenziali rubate, uso di un crittografo personalizzato per ogni vittima e impiego dello strumento CyberDuck per rubare e trasferire i dati. L’attività crescente del gruppo indica che Qilin resterà una delle principali minacce ransomware almeno fino alla fine del 2025.

Pubblica Amministrazione nel mirino

Per la prima volta dal 2021, la Pubblica Amministrazione è stata il settore più colpito. Gli enti pubblici sono obiettivi attraenti perché spesso dispongono di budget limitati e usano sistemi di difesa obsoleti. In questo trimestre gli attacchi hanno riguardato principalmente enti locali, che gestiscono anche scuole e strutture sanitarie e che trattano dati sensibili e non possono quindi permettersi lunghi periodi di inattività. Queste caratteristiche li rendono appetibili sia per cybercriminali orientati al profitto, sia per quelli motivati da spionaggio.

Accesso iniziale: app e phishing tra i principali vettori

Nel trimestre preso in considerazione, il modo piùcomune per ottenere l’accesso iniziale ai sistemi aziendali è stato lo sfruttamento di applicazioni su internet, spesso legato all’attività di ToolShell. Altri metodi osservati includono phishing, uso di credenziali valide compromesse e attacchi tramite siti web malevoli.

Le raccomandazioni di Cisco Talos

Nel corso dell’ultimo trimestre quasi un terzo degli incidenti ha coinvolto abusi dell’autenticazione a più fattori (MFA), come la MFA fatigue – richieste ripetute per indurre l’errore – o il bypass dei controlli. Per contrastare questi attacchi, Talos consiglia di attivare sistemi di rilevamento delle anomalie, come accessi da località incompatibili, e di rafforzare i criteri MFA. Un’altra criticità emersa riguarda la registrazione dei log: in molti casi, la mancanza di log completi ha ostacolato le indagini, con problemi frequenti come log eliminati, disabilitati o conservati per periodi troppo brevi. Cisco Talos raccomanda l’utilizzo di soluzioni SIEM (Security Information and Event Management) per centralizzare e proteggere i log, così da preservare le tracce anche in caso di compromissione dei sistemi. Infine, circa il 15% degli attacchi ha sfruttato sistemi non aggiornati, tra cui server SharePoint rimasti vulnerabili settimane dopo il rilascio delle patch. Per ridurre le vulnerabilità e impedire movimenti laterali degli aggressori, è fondamentale applicare tempestivamente gli aggiornamenti.

L'articolo Aumentano gli attacchi informatici contro applicazioni pubbliche. Il report di CISCO proviene da Red Hot Cyber.

Il calcio è vulnerabile allo sfruttamento criminale. Europol è pronta a sostenere la UEFA, anche sulla base della Convenzione di Macolin

Qualche giorno orsono #Europol e #UEFA (organo di governo del calcio europeo) hanno rinnovato ed esteso il loro Memorandum of Understanding, incentrato sulla prevenzione e la lotta alla criminalità tutelando al tempo stesso l'integrità del calcio europeo.

Il memorandum è stato firmato nella sede della UEFA a Nyon dal direttore esecutivo di Europol, Catherine De Bolle, e dal presidente della UEFA, Aleksander Čeferin. Europol e UEFA si sono impegnate a cooperare in attività e progetti congiunti. La partnership migliorerà le indagini, la condivisione delle informazioni e il supporto di esperti per le 55 federazioni affiliate alla UEFA.

L’accordo si basa sulla già esistente cooperazione tra le istituzioni, soprattutto nella lotta contro le partite truccate, ampliandone al tempo stesso la portata ad altre minacce legate alla criminalità organizzata. La cooperazione si concentra sullo scambio di informazioni e sulla condivisione di conoscenze nei settori dei principali eventi calcistici, della corruzione sportiva, delle partite truccate e del riciclaggio di denaro, del razzismo, della xenofobia e dell'estremismo violento, nonché delle attività illegali legate allo streaming o alla trasmissione illegali di contenuti audiovisivi. La cooperazione si estende all'individuazione di transazioni e attività sospette nei settori dei trasferimenti di giocatori di calcio, degli investimenti nelle squadre di calcio, dello scambio di attività finanziarie legate al calcio e delle scommesse sportive.

Anche l'assegnazione e l'organizzazione di competizioni sportive possono essere oggetto di abuso da parte dei criminali per riciclare proventi illeciti o per scopi di corruzione e rientrano quindi anche tra i possibili ambiti di cooperazione.

La “manipolazione” delle competizioni. Una definizione giuridica

Secondo la definizione giuridica, la manipolazione della competizione o la combine è "un'azione, un'omissione o un'inganno intenzionale volti a alterare impropriamente il risultato o lo svolgimento di una competizione sportiva al fine di eliminare in tutto o in parte la natura imprevedibile della competizione stessa, al fine di ottenere un indebito vantaggio per sé o per altri" (Convenzione del Consiglio d'Europa sulla manipolazione delle competizioni sportive, 2014, leggi sotto).

La manipolazione della competizione, nota anche come combine, si verifica quando il risultato di un torneo o di una competizione viene deciso in anticipo, in parte o completamente, e la partita viene giocata per garantire l'esito predeterminato. Ciò è contrario alle regole del gioco e spesso alla legge. Il motivo più comune per cui si ricorre alla combine è ottenere un compenso dagli scommettitori, ma le squadre possono anche intenzionalmente ottenere prestazioni scadenti per ottenere un vantaggio futuro, come, sulla carta, un avversario meno promettente in uno spareggio. Parimenti, la manipolazione della competizione si verifica quando un partecipante a una competizione sportiva (ad esempio un atleta, un allenatore, un giudice o un arbitro, ecc.) consapevolmente non ottiene risultati soddisfacenti o prende deliberatamente decisioni sbagliate che influenzano il risultato o l'andamento di una competizione, al fine di ottenere un beneficio indebito (solitamente un vantaggio sportivo o finanziario).

La Convenzione di Macolin

La Convenzione del Consiglio d'Europa sulla manipolazione delle competizioni sportive, comunemente nota come Convenzione di Macolin, è l'unico trattato internazionale giuridicamente vincolante specificamente concepito per prevenire, individuare e sanzionare la manipolazione delle competizioni sportive.

È stata stipulata a Macolin/Magglingen, in Svizzera, il 18 settembre 2014 ed è entrata in vigore il 1° settembre 2019, a seguito della ratifica da parte di cinque Stati, tre dei quali membri del Consiglio d'Europa.

La Convenzione mira a proteggere l'integrità dello sport e l'etica sportiva promuovendo il coordinamento nazionale e la cooperazione internazionale contro la manipolazione, sia essa legata ad attività criminali, scommesse sportive o altri motivi.

La Convenzione di Macolin stabilisce un quadro giuridico completo che impone agli Stati firmatari di attuare misure per combattere la manipolazione, tra cui l'identificazione dei rischi, la definizione di leggi e procedure necessarie e la promozione della cooperazione tra autorità pubbliche, organizzazioni sportive e operatori di scommesse.

Prevede la criminalizzazione della manipolazione da parte di persone fisiche e giuridiche, garantendo che le sanzioni disciplinari degli organismi sportivi non escludano la responsabilità penale, civile o amministrativa. Il trattato impone inoltre agli Stati di istituire piattaforme nazionali che fungano da centri di informazione per il monitoraggio e l'analisi di attività di scommesse sospette e di comunicare le coordinate di tali piattaforme e delle autorità responsabili al Consiglio d'Europa.

La convenzione definisce la manipolazione della competizione come un'intesa, un atto o un'omissione intenzionale volta a alterare impropriamente il risultato o lo svolgimento di una competizione per ottenere un indebito vantaggio, eliminando così la natura imprevedibile dello sport.

Fornisce una tipologia per diverse forme di manipolazione, tra cui l'interferenza diretta in un evento sportivo (Tipo 1), la modifica dell'identità o dei dati personali di un atleta (Tipo 2) e le modifiche non conformi relative all'attrezzatura, alle superfici di gioco o alla fisiologia dell'atleta (Tipo 3).

Questo quadro normativo mira a promuovere una comunicazione più chiara e a fornire una base statistica uniforme per l'identificazione dei rischi e delle minacce emergenti.

A novembre 2025, la Convenzione di Macolin è stata ratificata da Belgio, Francia, Grecia, Islanda, Italia, Lituania, Norvegia, Portogallo, Repubblica di Moldavia, San Marino, Serbia, Spagna, Svezia, Svizzera e Ucraina. È stata firmata anche da altri 41 Stati europei, oltre che da Australia e Marocco. Il nostro Paese ha aderito alla Convenzione, sottoscrivendola il 7 aprile 2016 ed approvandola in via definitiva al termine del percorso parlamentare l'11 aprile 2019; il 16 maggio 2019 è stata pubblicata in Gazzetta Ufficiale.

Il Comitato di monitoraggio della Convenzione, responsabile del monitoraggio dell'attuazione, comprende rappresentanti degli Stati firmatari e di altri organismi competenti e può effettuare visite per valutarne il rispetto.

La Convenzione è aperta alla ratifica sia degli Stati membri del Consiglio d'Europa che di Stati non membri, a dimostrazione della sua portata globale.

Epic contro Google: accordo storico per gli sviluppatori di app

Proprio quando sembrava che il caso Epic contro Google fosse a un passo dalla vittoria finale per lo sviluppatore – a seguito del potenziale rigetto del ricorso di Google da parte della Corte Suprema – le parti hanno inaspettatamente annunciato un accordo martedì sera.

Se il giudice James Donato approvasse le modifiche proposte, la vittoria di Epic potrebbe trasformarsi in un successo globale a lungo termine.

Il giudice Donato aveva precedentemente accolto le principali richieste di Epic. Aveva emesso un’ingiunzione permanente che imponeva a Google di ospitare app store concorrenti sul proprio Google Play Store e di fornire loro l’accesso al suo catalogo completo di app.

A Google era stato inoltre impedito di richiedere agli sviluppatori di utilizzare Google Play Billing dopo che una giuria aveva ritenuto illegittimo il collegamento dell’app store al sistema di pagamento dell’azienda.

Tuttavia, queste modifiche sono state in vigore solo negli Stati Uniti, sono state limitate a tre anni e non hanno influito sull’entità delle commissioni dell’app store.

Ora Google ha accettato di andare oltre. L’azienda ridurrà la sua commissione standard al 20% o al 9%, a seconda che l’acquisto fornisca un vantaggio significativo nel gameplay (superiore a un vantaggio de minimis).

Google creerà anche un nuovo programma nella prossima versione di Android, grazie al quale gli app store alternativi potranno registrarsi e diventare membri a pieno titolo dell’ecosistema, consentendo agli utenti di installare facilmente le proprie app.

La principale differenza rispetto alla sentenza originale è la sua portata globale. Il programma per i negozi registrati e le commissioni ridotte saranno in vigore in tutto il mondo fino a giugno 2032, ovvero per sei anni e mezzo.

“Se il tribunale approva questa proposta, la nostra controversia sarà risolta“, ha scritto martedì sera il presidente di Android, Samir Samat. Anche il CEO di Epic, Tim Sweeney, ha confermato che Google ha fatto un’offerta eccellente che “riporta Android alla sua visione originale di piattaforma aperta, con supporto globale per gli store di terze parti, commissioni ridotte e la possibilità di offrire pagamenti alternativi“.

I dettagli delle commissioni sono piuttosto complessi e sono in parte adattati alle esigenze di sviluppatori di giochi come Epic. Google può addebitare il 20% se un acquisto offre più di un vantaggio minimo in-game, o il 9% in caso contrario. Alle app e agli abbonamenti tramite Google Play verrà addebitata una commissione del 9%, ma potrebbe essere aggiunto un ulteriore 5% per l’utilizzo della fatturazione di Play.

A titolo di riferimento, Google attualmente addebita il 15% per gli abbonamenti e il 15% del primo milione di dollari di fatturato annuo per gli sviluppatori, e poi il 30%.

Utilizzando un sistema di pagamento alternativo, gli sviluppatori non pagheranno alcuna commissione di elaborazione dei pagamenti, sebbene Google si riservi il diritto di addebitare una commissione di servizio. L’azienda può persino ricevere una percentuale se un utente reindirizza al sito web dello sviluppatore e paga l’acquisto entro 24 ore.

L’accordo affronta uno dei principali argomenti di Epic contro i principali app store: il problema delle “schermate inquietanti” e delle difficoltà di installazione di app store di terze parti. A partire dalla prossima versione di Android e fino al 30 giugno 2032, Google modificherà il sistema operativo per consentire agli utenti di installare app store registrati dal proprio sito web con un solo clic, utilizzando un linguaggio neutro, e lo store riceverà automaticamente l’autorizzazione a installare app.

Molte delle altre vittorie di Epic restano valide. Google deve smettere di condividere denaro o privilegi con produttori di telefoni, operatori e sviluppatori di app in cambio di esclusività o preinstallazione su Google Play. Gli sviluppatori possono anche rivelare i prezzi ai propri clienti al di fuori del Play Store.

Google ed Epic discuteranno questa proposta con un giudice giovedì 6 novembre. Se l’accordo verrà approvato e le commissioni saranno effettivamente significativamente più basse, ciò potrebbe creare un effetto a catena in tutto il settore e costringere Apple, Sony, Microsoft, Nintendo e Valve a riconsiderare le proprie politiche.

L'articolo Epic contro Google: accordo storico per gli sviluppatori di app proviene da Red Hot Cyber.

Nella mente dell’hacker

I dilettanti hackerano i computer, i professionisti hackerano le persone. Questa efficace e famosa sintesi di cosa significhi l’hacking, Bruce Schneier la argomenta con un raffinato ragionamento nel suo ultimo libro: La mente dell’hacker. Trovare la falla per migliorare il sistemapubblicato nel 2024 in italiano da Luiss University Press.

Il titolo dice già molto. Intanto l’hacker non è più il mostro della peggiore pubblicistica degli ultimi anni, ma una figura che va letta in chiaroscuro rispetto all’evoluzione dei sistemi umani.

In aggiunta, l’hacking, l’esplorazione delle possibilità all’interno di un sistema dato, termine in origine legato al mondo dell’informatica, secondo Schneier è diventato una pratica onnipresente nei sistemi economici, finanziari e sociali. Approccio metodico alla ricerca delle vulnerabilità strutturali che definiscono il nostro mondo, l’hacking dimostra come ogni sistema, dalle leggi fiscali alle intelligenze artificiali, può essere manipolato e sfruttato. Dall’hacking del sistema fiscale per pagare meno tasse, vedi Google & Co. fino al jackpotting, al ransomware e agli attacchi cibernetici tra gli Stati. Per l’autore ogni hack può essere letto come strumento chiave nella gestione del potere e del denaro nei suoi molteplici aspetti.

Un hack è infatti «un’attività consentita da un sistema, che sovverte però gli scopi o gli intenti del sistema stesso». E cos’altro è un sistema se non «un processo complesso, determinato da una serie di regole o norme, pensato per produrre un o più esisti desiderati»? Quindi l’hacking è esattamente questo: individuare la vulnerabilità di un sistema e trovare l’exploit per sfruttarla. In definitiva vale per ogni sistema, quelli informatici, quelli sociotecnici, quelli cognitivi. Lo scopo dell’hacking è di ottenere un vantaggio. Ma le contromisure sono sempre possibili. E questo vale anche per la democrazia, che può difendersi dagli usi imprevisti della libertà che consente, e vale anche per l’Intelligenza Artificiale: hackerandola capiamo meglio come possa essere messa al servizio delle persone e non della guerra e del profitto. Poiché libertà e democrazia riposano oggi su sistemi informatici, gli hacker possono ancora fregiarsi del titolo di «eroi della rivoluzione informatica» come li chiamava Stephen Levy già nel 1996.

dicorinto.it/articoli/recensio…

Ho sognato una rete intergalattica

Internet non è il Web, e il Web non è Internet. Internet non nasce come strumento militare, e i militari non hanno mai controllato l’intera Internet. Mettetevelo in testa.

Oggi, a 56 anni dalla nascita di Internet ce lo ricorda un libro, a firma di chi la Rete l’ha pensata e progettata, e cioè J.C.R. Licklider, un secchione, psicologo, esperto di psicoacustica, che in questo modo ha influenzato per sempre comunicazione e società. Il libro si chiama «Ho sognato una rete intergalattica. Scritti su Internet prima di Internet» e, con la prefazione del professore Luigi Laura, ed è stato pubblicato nel luglio del 2025 dalla Luiss University Press di Roma.

Licklider progettò Internet, l’Intergalactic computer network,come lo chiamava lui, nella forma che poi assunse, quando dirigeva l’IPTO, l’ufficio competente dell’Advanced Research Project Agency, ARPA, e il suo avvio viene fatto coincidere con il primo scambio di saluti attraverso quella che era chiamata inizialmente Arpanet, cioè la rete dell’Arpa.

Era il 29 ottobre 1969.

Il Web venne trent’anni dopo. Fu progettato nel 1989, chiamato World Wide Web nel 1990 e solo nel 1991 comparve il primo sito Web. Tutto merito di uno scienziato inglese di stanza al CERN di Ginevra, sir Tim Berners Lee, affascinato del modo in cui gli italiani si scambiavano informazioni piene di dettagli e racconti basati su continue digressioni e collegamenti.

Arpanet nel 1969 collegava 4 nodi e si chiamerà Internet solo dopo due eventi: il fork tra Arpanet e Milnet, e la creazione del protocollo TCP/IP.
Fu proprio uno dei due scienzati che ne scrissero il protocollo principale a dargli il nome Internet, con la maiuscola. Si chiamava Robert “Bob” Khan, che ci lavorò per dieci anni insieme a Vinton Cerf. Il protocollo TCP/IP (in realtà una famiglia di protocolli), era pensato per consentire a “computer diversi appartenenti a reti eterogenee”, di comunicare fra di loro. E attualizzava proprio l’idea di quel geniaccio di Robbnett Licklider: consentire alle persone di collaborare a distanza.

Il resto è una storia bella da conoscere.

dicorinto.it/articoli/recensio…