Threat landscape for industrial automation systems in Q3 2025

Statistics across all threats

In Q3 2025, the percentage of ICS computers on which malicious objects were blocked decreased from the previous quarter by 0.4 pp to 20.1%. This is the lowest level for the observed period.

Percentage of ICS computers on which malicious objects were blocked, Q3 2022–Q3 2025

Regionally, the percentage of ICS computers on which malicious objects were blocked ranged from 9.2% in Northern Europe to 27.4% in Africa.

Regions ranked by percentage of ICS computers on which malicious objects were blocked

In Q3 2025, the percentage increased in five regions. The most notable increase occurred in East Asia, triggered by the local spread of malicious scripts in the OT infrastructure of engineering organizations and ICS integrators.

Changes in the percentage of ICS computers on which malicious objects were blocked, Q3 2025

Selected industries

The biometrics sector traditionally led the rankings of the industries and OT infrastructures surveyed in this report in terms of the percentage of ICS computers on which malicious objects were blocked.

Rankings of industries and OT infrastructures by percentage of ICS computers on which malicious objects were blocked

In Q3 2025, the percentage of ICS computers on which malicious objects were blocked increased in four of the seven surveyed industries. The most notable increases were in engineering and ICS integrators, and manufacturing.

Percentage of ICS computers on which malicious objects were blocked in selected industries

Diversity of detected malicious objects

In Q3 2025, Kaspersky protection solutions blocked malware from 11,356 different malware families of various categories on industrial automation systems.

Percentage of ICS computers on which the activity of malicious objects of various categories was blocked

In Q3 2025, there was a decrease in the percentage of ICS computers on which denylisted internet resources and miners of both categories were blocked. These were the only categories that exhibited a decrease.

Main threat sources

Depending on the threat detection and blocking scenario, it is not always possible to reliably identify the source. The circumstantial evidence for a specific source can be the blocked threat’s type (category).

The internet (visiting malicious or compromised internet resources; malicious content distributed via messengers; cloud data storage and processing services and CDNs), email clients (phishing emails), and removable storage devices remain the primary sources of threats to computers in an organization’s technology infrastructure.

In Q3 2025, the percentage of ICS computers on which malicious objects from various sources were blocked decreased.

Percentage of ICS computers on which malicious objects from various sources were blocked

The same computer can be attacked by several categories of malware from the same source during a quarter. That computer is counted when calculating the percentage of attacked computers for each threat category, but is only counted once for the threat source (we count unique attacked computers). In addition, it is not always possible to accurately determine the initial infection attempt. Therefore, the total percentage of ICS computers on which various categories of threats from a certain source were blocked can exceed the percentage of threats from the source itself.

• The main categories of threats from the internet blocked on ICS computers in Q3 2025 were malicious scripts and phishing pages, and denylisted internet resources. The percentage ranged from 4.57% in Northern Europe to 10.31% in Africa.
• The main categories of threats from email clients blocked on ICS computers were malicious scripts and phishing pages, spyware, and malicious documents. Most of the spyware detected in phishing emails was delivered as a password-protected archive or a multi-layered script embedded in an office document. The percentage of ICS computers on which threats from email clients were blocked ranged from 0.78% in Russia to 6.85% in Southern Europe.
• The main categories of threats that were blocked when removable media was connected to ICS computers were worms, viruses, and spyware. The percentage of ICS computers on which threats from this source were blocked ranged from 0.05% in Australia and New Zealand to 1.43% in Africa.
• The main categories of threats that spread through network folders were viruses, AutoCAD malware, worms, and spyware. The percentages of ICS computers where threats from this source were blocked ranged from 0.006% in Northern Europe to 0.20% in East Asia.

Threat categories

Typical attacks blocked within an OT network are multi-step sequences of malicious activities, where each subsequent step of the attackers is aimed at increasing privileges and/or gaining access to other systems by exploiting the security problems of industrial enterprises, including technological infrastructures.

Malicious objects used for initial infection

In Q3 2025, the percentage of ICS computers on which denylisted internet resources were blocked decreased to 4.01%. This is the lowest quarterly figure since the beginning of 2022.

Percentage of ICS computers on which denylisted internet resources were blocked, Q3 2022–Q3 2025

Regionally, the percentage of ICS computers on which denylisted internet resources were blocked ranged from 2.35% in Australia and New Zealand to 4.96% in Africa. Southeast Asia and South Asia were also among the top three regions for this indicator.

The percentage of ICS computers on which malicious documents were blocked has grown for three consecutive quarters, following a decline at the end of 2024. In Q3 2025, it reached 1,98%.

Percentage of ICS computers on which malicious documents were blocked, Q3 2022–Q3 2025

The indicator increased in four regions: South America, East Asia, Southeast Asia, and Australia and New Zealand. South America saw the largest increase as a result of a large-scale phishing campaign in which attackers used new exploits for an old vulnerability (CVE-2017-11882) in Microsoft Office Equation Editor to deliver various spyware to victims’ computers. It is noteworthy that the attackers in this phishing campaign used localized Spanish-language emails disguised as business correspondence.

In Q3 2025, the percentage of ICS computers on which malicious scripts and phishing pages were blocked increased to 6.79%. This category led the rankings of threat categories in terms of the percentage of ICS computers on which they were blocked.

Percentage of ICS computers on which malicious scripts and phishing pages were blocked, Q3 2022–Q3 2025

Regionally, the percentage of ICS computers on which malicious scripts and phishing pages were blocked ranged from 2.57% in Northern Europe to 9.41% in Africa. The top three regions for this indicator were Africa, East Asia, and South America. The indicator increased the most in East Asia (by a dramatic 5.23 pp) as a result of the local spread of malicious spyware scripts loaded into the memory of popular torrent clients including MediaGet.

Next-stage malware

Malicious objects used to initially infect computers deliver next-stage malware — spyware, ransomware, and miners — to victims’ computers. As a rule, the higher the percentage of ICS computers on which the initial infection malware is blocked, the higher the percentage for next-stage malware.
In Q3 2025, the percentage of ICS computers on which spyware and ransomware were blocked increased. The rates were:

• spyware: 4.04% (up 0.20 pp);
• ransomware: 0.17% (up 0.03 pp).

The percentage of ICS computers on which miners of both categories were blocked decreased. The rates were:

• miners in the form of executable files for Windows: 0.57% (down 0.06 pp), it’s the lowest level since Q3 2022;
• web miners: 0.25% (down 0.05 pp). This is the lowest level since Q3 2022.

Self-propagating malware

Self-propagating malware (worms and viruses) is a category unto itself. Worms and virus-infected files were originally used for initial infection, but as botnet functionality evolved, they took on next-stage characteristics.

To spread across ICS networks, viruses and worms rely on removable media and network folders in the form of infected files, such as archives with backups, office documents, pirated games and hacked applications. In rarer and more dangerous cases, web pages with network equipment settings, as well as files stored in internal document management systems, product lifecycle management (PLM) systems, resource management (ERP) systems and other web services are infected.

In Q3 2025, the percentage of ICS computers on which worms and viruses were blocked increased to 1.26% (by 0.04 pp) and 1.40% (by 0.11 pp), respectively.

AutoCAD malware

This category of malware can spread in a variety of ways, so it does not belong to a specific group.

In Q3 2025, the percentage of ICS computers on which AutoCAD malware was blocked slightly increased to 0.30% (by 0.01 pp).

For more information on industrial threats see the full version of the report.

securelist.com/industrial-thre…

Twelve Days of Christmas as Performed By 1980s Speech Chip

In a curious historical twist, the “Twelve days of Christmas” are actually the days of revelry that followed the 25th. The preceding period, Advent, was traditionally a fast, not unlike Lent. When and why a fast became an excuse for chocolate calendars we cannot say, but this historical information is presented to explain that this great hack by [Kevin], making a vintage speech synthesizer chip sing the classic carol will remain relevant at least until January 5th — or perhaps even the 19th, for the Orthodox amongst us.

The chip in question is an SP0256A-AL2, which you may remember from various speech projects for 8-bit computers back in the day. It can talk, after a fashion, by reproducing 56 “allophones” — the sounds that make up English speech — from ROM. Singing, though? We cannot recall much of that back in the day, but then, a talking computer was impressive enough.

As it turns out this is building on an earlier hack [Kevin] did in which he used an Arduino to make the venerable speech chip MIDI controllable. In that project’s write-up it is revealed that a Si5351 programmable clock module is used to give a variable pitch signal to the speech synthesizer. In this way he’s able to get about an octave an a half, which is good enough when the carol in question only spans one octave.

Of course the pitch signal needs to be varied by something and for that the venerable Arduino once again takes the place of an 8-bit computer. In this case it’s pre-programmed, but can also be set up for MIDI control.Of course nothing says you can’t use true retro hardware or a more-capable RP2040 instead of the Amtel chip.

It’s sad to think how much compute power has been wasted this year on AI-generated novelty carols when a little bit of 1980s silicon and some ingenuity can do nearly as good — or better, depending on your tastes.

makertube.net/videos/embed/diB…

hackaday.com/2025/12/25/twelve…

EDR Nel mirino: i forum underground mettono in vendita NtKiller

All’interno di un forum underground chiuso, frequentato da operatori malware e broker di accesso iniziale, è comparso un annuncio che ha attirato l’attenzione della comunità di cyber threat intelligence. Il post promuove “NtKiller”, una presunta utility “kernel-level” progettata per disattivare in modo silente antivirus, EDR, con riferimenti espliciti a rootkit, persistenza avanzata e bypass UAC zero-day.

Il prezzo dichiarato è di 500 dollari, con contatti diretti via Telegram e una lista di soluzioni di sicurezza “supportate” che include nomi di primo piano: Windows Defender, ESET, Kaspersky, Bitdefender, Malwarebytes e altri.

Una proposta che, se autentica, si colloca nella fascia alta del cybercrime-as-a-service.

Disclaimer: Questo rapporto include screenshot e/o testo tratti da fonti pubblicamente accessibili. Le informazioni fornite hanno esclusivamente finalità di intelligence sulle minacce e di sensibilizzazione sui rischi di cybersecurity. Red Hot Cyber condanna qualsiasi accesso non autorizzato, diffusione impropria o utilizzo illecito di tali dati. Al momento, non è possibile verificare in modo indipendente l’autenticità delle informazioni riportate, poiché l’organizzazione coinvolta non ha ancora rilasciato un comunicato ufficiale sul proprio sito web. Di conseguenza, questo articolo deve essere considerato esclusivamente a scopo informativo e di intelligence.

Cosa sono gli EDR

Gli EDR (Endpoint Detection and Response) sono soluzioni di sicurezza avanzata progettate per andare oltre il tradizionale antivirus. Il loro compito non è solo bloccare file malevoli, ma monitorare costantemente il comportamento del sistema.

In sintesi, un EDR:

• raccoglie telemetria continua dagli endpoint;
• analizza processi, chiamate di sistema, driver e memoria;
• correla eventi sospetti nel tempo;
• consente risposta attiva, come l’isolamento del sistema o la terminazione di processi.

A differenza degli AV classici, molti EDR operano a livello kernel, rendendo più difficile la loro disattivazione da parte di codice malevolo eseguito in user-mode.

Perché gli EDR sono un obiettivo primario

Nel cybercrime moderno, soprattutto nel contesto ransomware e intrusioni mirate, la prima fase dopo l’accesso iniziale è quasi sempre la neutralizzazione delle difese. Un EDR attivo:

• registra le azioni dell’attaccante;
• può generare alert in tempo reale;
• può interrompere la catena di attacco prima della fase finale.

Per questo motivo, la capacità di “accecamento” o disattivazione silente degli EDR è diventata un valore di mercato nei forum underground.

Come vengono aggirati gli EDR (livello concettuale)

I post come quello su NtKiller fanno riferimento a tecniche note a livello teorico, già osservate in campagne APT e ransomware avanzate. Non si tratta di exploit “magici”, ma di abusi profondi dell’architettura del sistema operativo.

Tra le macro-categorie di bypass comunemente discusse nei circuiti underground:

1. Abuso del livello kernel
   Portare codice malevolo allo stesso livello di privilegio dell’EDR riduce drasticamente la capacità di difesa. A questo livello, i controlli diventano una “lotta tra pari”.
2. Manipolazione dei driver
   L’uso (o abuso) di driver vulnerabili firmati è una tecnica storicamente osservata per ottenere operazioni privilegiate senza exploit diretti del kernel.
3. Disattivazione indiretta
   Invece di “uccidere” l’EDR, alcuni malware puntano a:
   
   • degradarne la visibilità;
   • interferire con la telemetria;
   • bloccare componenti di logging o comunicazione.

   
   

4. Persistenza invisibile
   Rootkit e meccanismi di avvio precoce permettono al malware di caricarsi prima delle soluzioni di sicurezza.
5. Bypass dei controlli di elevazione
   I riferimenti a UAC bypass indicano tecniche per ottenere privilegi elevati senza allertare l’utente, spesso sfruttando fiducia implicita in componenti di sistema.

Marketing underground e realtà operativa

Va sottolineato che non tutti gli annunci nei forum underground corrispondono a strumenti realmente efficaci. Molti sono:

• rebranding di tool già noti;
• proof-of-concept venduti come “weapon-grade”;
• vere e proprie truffe interne al mondo criminale.

Post come questo confermano che:

• gli EDR restano centrali nella difesa;
• il kernel è diventato un campo di battaglia;
• la sicurezza endpoint deve essere affiancata da monitoraggio comportamentale, hardening del driver model e threat hunting proattivo.

Per i difensori, osservare questi forum non significa “imparare ad attaccare”, ma capire come ragiona l’avversario, quali promesse vengono vendute e quali capacità sono considerate “di valore” nel sottobosco cybercriminale.

L'articolo EDR Nel mirino: i forum underground mettono in vendita NtKiller proviene da Red Hot Cyber.

Building a High-Performance Shifter for Sim Racing

These days, sim racing is more realistic than ever. There are better screens, better headsets, and better steering wheels with better force-feedback, all of which help make you feel like you’re driving the real thing. If you’re looking for a stick shifter to complete such a setup, [DAZ Projects] might have just what you’re looking for.

To create a robust shifter with great feel, the build relies on 3D printed parts as well as lots of quality metal hardware. At the heart of the build is a linear rail for the front-to-back movement, with a printed slider on top with a carefully-profiled indexer to ensure the stick properly ca-chunks into the right gear. A ball joint locates the shift lever itself, while allowing for smooth movement left-to-right. Centering is via simple extension springs. The H-pattern shift is enforced with machined steel rods. Detecting the position of the stick is handled via microswitches, with an Arduino Leonardo reading the switches and reporting itself as a USB device that should work with any modern sim.

It’s funny to think that such a mechanism would once have been a very serious machining job. These days, you can just squirt all this stuff out on a printer in a few hours. For the parts that can’t be extruded, [DAZ Projects] has provided a parts list on Google Docs.

We’ve featured some great racing sim builds over the years, from button pads to pedal boxes.

youtube.com/embed/_zBWefLVVEc?…

hackaday.com/2025/12/25/buildi…

Arriva BitLocker con accelerazione hardware: Microsoft migliora la sicurezza e le prestazioni

Negli anni Microsoft ha cercato di mantenere l’impatto di BitLocker sulle prestazioni entro limiti contenuti, storicamente inferiori alla doppia cifra percentuale. L’obiettivo è sempre stato garantire la protezione dei dati senza penalizzare in modo significativo l’esperienza d’uso, un equilibrio che oggi risulta più complesso a causa dell’evoluzione dell’hardware.

La diffusione delle unità NVMe ha infatti innalzato in modo significativo le velocità di input/output. Questi dispositivi offrono prestazioni molto superiori rispetto alle generazioni precedenti, ma richiedono anche una maggiore capacità di elaborazione quando i dati vengono cifrati e decifrati in tempo reale. In questo scenario, le operazioni crittografiche di BitLocker possono incidere maggiormente sull’utilizzo della CPU.
Un diagramma che confronta un BitLocker software con un BitLocker accelerato tramite hardware. (Fonte Microsoft)
L’effetto diventa più evidente nei carichi di lavoro ad alta intensità di I/O. Attività come il gaming, l’editing video professionale o la compilazione di grandi progetti software possono risentire di un aumento della latenza o di un consumo più elevato delle risorse di sistema quando la crittografia è gestita interamente via software.

La crescente aspettativa degli utenti in termini di prestazioni ha reso necessario ripensare l’approccio alla sicurezza. La protezione dei dati resta centrale, ma deve essere accompagnata da soluzioni capaci di sfruttare le nuove architetture hardware senza trasformarsi in un collo di bottiglia.

In questo contesto, Microsoft ha annunciato il mese scorso, durante Microsoft Ignite, l’introduzione di BitLocker con accelerazione hardware. La nuova implementazione è progettata per combinare livelli di sicurezza elevati con prestazioni più efficienti, riducendo il carico computazionale sulla CPU.

A partire dall’aggiornamento di settembre 2025 per Windows 11 24H2 e con il rilascio di Windows 11 25H2, BitLocker potrà sfruttare nuove funzionalità offerte da System on Chip e CPU di prossima generazione, oltre al supporto già esistente per la tecnologia UFS Inline Crypto Engine. L’obiettivo è migliorare la gestione della crittografia sulle unità NVMe attuali e future.

Tra le principali novità rientra l’offload delle operazioni crittografiche verso motori dedicati, che consente di liberare risorse della CPU e migliorare anche l’efficienza energetica. Le chiavi di crittografia vengono inoltre protette tramite hardware, affiancando il ruolo del Trusted Platform Module e riducendo l’esposizione a vulnerabilità legate a CPU e memoria.

Nei dispositivi compatibili dotati di unità NVMe e SoC in grado di supportare l’offload crittografico, BitLocker con accelerazione hardware sarà attivo di default con algoritmo XTS-AES-256. Il supporto iniziale arriverà sui sistemi Intel vPro con processori Intel Core Ultra Series 3, nome in codice Panther Lake, con un’estensione prevista anche ad altre piattaforme hardware.

L'articolo Arriva BitLocker con accelerazione hardware: Microsoft migliora la sicurezza e le prestazioni proviene da Red Hot Cyber.

Accessi amministrativi a rischio: Fortinet avverte su una falla nota

Fortinet ha segnalato un recente utilizzo improprio della vulnerabilità FG-IR-19-283, identificata anche come CVE-2020-12812, una falla resa pubblica nel luglio 2020. Il problema emerge esclusivamente in presenza di configurazioni specifiche e riguarda il processo di autenticazione LDAP sui dispositivi FortiGate.

Secondo l’analisi tecnica diffusa dall’azienda, la vulnerabilità è legata a una differenza di comportamento nella gestione dei nomi utente. FortiGate, per impostazione predefinita, distingue tra lettere maiuscole e minuscole, mentre i sistemi LDAP trattano gli username come non sensibili al case.

Questa discrepanza può consentire, in determinati scenari, a utenti LDAP con autenticazione a due fattori attiva di aggirare il secondo fattore e autenticarsi direttamente tramite LDAP, bypassando così le restrizioni previste sugli account locali.

Affinché il problema si manifesti, è necessario che gli utenti siano configurati localmente su FortiGate con 2FA attiva e che gli stessi account appartengano anche a gruppi definiti sul server LDAP. Inoltre, almeno uno di questi gruppi deve essere utilizzato all’interno di una policy di autenticazione, ad esempio per accessi VPN o amministrativi.

Nel caso in cui un utente acceda utilizzando uno username che corrisponde esattamente a quello locale, il sistema richiede correttamente il token di autenticazione a due fattori. Tuttavia, utilizzando una variante del nome con differenze nelle maiuscole o minuscole, FortiGate non associa l’accesso all’account locale.

In questa situazione, il firewall procede a valutare altre policy configurate e può individuare un gruppo LDAP secondario valido. Se le credenziali risultano corrette, l’accesso viene consentito anche in assenza del secondo fattore, ignorando le impostazioni di sicurezza dell’utente locale.

Fortinet avverte che questo comportamento può portare all’accesso non protetto di utenti VPN o amministratori e raccomanda, in tali casi, di considerare l’ambiente compromesso e procedere alla reimpostazione completa delle credenziali, incluse quelle utilizzate per il binding LDAP o Active Directory.

Per mitigare il rischio, l’azienda ha introdotto correzioni a partire dalle versioni FortiOS 6.0.10, 6.2.4 e 6.4.1. Nelle versioni più recenti è inoltre possibile disabilitare la sensibilità al case dei nomi utente, impedendo il passaggio automatico ad altre configurazioni LDAP e riducendo il rischio di bypass dell’autenticazione.

L'articolo Accessi amministrativi a rischio: Fortinet avverte su una falla nota proviene da Red Hot Cyber.

Allarme globale: Cisco rivela che l’86% della rete gira su tecnologia obsoleta

Cisco lancia nel mare dell’informazione specialistica la sua bottiglia contenente un messaggio di alert, in attesa che sia raccolta da specialisti e utenti. Il 48% dei dispositivi di rete mondiali è datato e obsoleto. Gli attaccanti state-sponsored (sponsorizzati da stati nazionali) lo sanno e sono già dentro le nostre infrastrutture. Spoiler: “funziona ancora” non è più una strategia

Milano, 15 dicembre 2025. In un recente ed esclusivo webinar organizzato da Cisco e riservato agli addetti ai lavori, al quale Red Hot Cyber ha avuto modo di partecipare, Anthony Grieco, l’uomo che stringe tra le sue mani le redini della cybersicurezza di Cisco, ha affrontato subito il tema centrale: l’infrastruttura di rete come sistema complesso.
Anthony Grieco: Chief Security & Trust Officer Cisco
In collegamento dal North Carolina, lo Chief Security and Trust Officer ha presentato una visione olistica dove componenti fisiche (hardware) e logiche (software/configurazioni) sono strettamente interconnesse per garantire la sicurezza globale. Illustrando uno studio che ha interessato oltre un milione di dispositivi che ha prodotto risultati allarmanti: quasi la metà dell’hardware mondiale sta lavorando ben oltre il suo ciclo di vita previsto (lifecycle).

Considerato il numero crescente e l’aumento esponenziale degli attacchi sempre più sofisticati, diventa imperativo avere reti più sicure, resilienti e moderne.

Il debito tecnico che tutti fingono di non vedere

“Questa è una minaccia silenziosa che molte aziende non stanno affrontando“, ha dichiarato Grieco. E non si tratta solo di un problema IT. È una vulnerabilità sistemica che mette a rischio intere economie nazionali. I numeri parlano chiaro: il 42% dei dispositivi esaminati opera su software che ha raggiunto e superato il fine vita (EOL – End of Life).

Niente più patch (aggiornamenti di sicurezza), niente più supporto. Un altro 31% usa software talmente vecchio da aver superato anche la fine del supporto (EOS – End of Support), il che significa che i produttori non correggeranno vulnerabilità critiche nemmeno se le trovano. E c’è ancora un 13% che non riceve patch da oltre tre anni.

A conti fatti: circa il 50% dei dispositivi nelle reti globali funziona su software abbandonato dai produttori. Stiamo parlando di sistemi progettati 15 o 20 anni fa, in un’era tecnologica completamente diversa.

È come affidare tutto il traffico di una città a un ponte arrugginito, senza manutenzione, sperando semplicemente che regga. Un debito tecnico che si accumula perché i budget vengono spostati dalla modernizzazione alla semplice manutenzione.

Salt Typhoon: quando la teoria diventa cronaca

Chris, responsabile delle politiche pubbliche di Cisco, prendendo la parola ha rilanciato: “La questione non è astratta“. Introducendo un argomento che supera la red line della sicurezza: gli attacchi Salt Typhoon (gruppo hacker legato alla Cina) contro i provider delle telecomunicazioni. Attori sponsorizzati dallo Stato cinese hanno compromesso reti critiche sfruttando apparecchiature Cisco a termine del loro ciclo di vita. “I pirati informatici sono perfettamente consapevoli di questo problema“, ha sottolineato Chris. “Stanno attivamente scansionando le reti alla ricerca di questi punti deboli, dove l’hardware EOL rappresenta il bersaglio più facile.“

All’appello non poteva mancare l’AI. Grieco ha lanciato il monito: “Gli avversari stanno usando l’intelligenza artificiale per accelerare la loro capacità di sfruttare le vulnerabilità infrastrutturali in tempi molto più brevi. Questo crea un’urgenza che non possiamo più ignorare.”

Tradotto: prima dell’AI, trovare una falla nei sistemi richiedeva settimane di lavoro manuale. Ora viene fatto in ore. O minuti.

Il paradosso: la filosofia del “se funziona, non lo tocco”

Uno dei nervi scoperti che affligge ogni CIO (Direttore dei Sistemi Informativi) e CISO (Responsabile della Sicurezza), dalle PA (Comuni, ASL, università) alle PMI e banche: l’hardware Cisco può funzionare tecnicamente per decenni senza aggiornamenti. Come convincere le organizzazioni a investire quando non vedono un problema visibile, anche se l’hardware è obsoleto? La risposta di Grieco è stata chirurgica: “I rischi più pericolosi sono quelli che non vedi fino a quando non è troppo tardi. Abbiamo documentato casi di attaccanti annidati dentro le reti per mesi o anni, sfruttando apparecchiature legacy (obsolete), prima che qualcuno si accorgesse della loro presenza.”

Il costo medio di una data breach (violazione dei dati) oggi? Milioni di dollari. Senza contare danni reputazionali, sanzioni regolamentarie e perdita di fiducia dei clienti.

Programmare e modernizzare un’infrastruttura costa, ma il costo è infinitamente minore di un incidente di sicurezza. Grieco chiude il punto con un’analogia folgorante per chi gestisce le operazioni: “Nessuno si sognerebbe di gestire un data center senza aria condizionata o backup elettrico. Allo stesso modo, oggi non si può gestire una rete su hardware che non è più supportato.”

Resilient Infrastructure: l’approccio secure-by-design 2.0

Cisco propone una strategia per affrontare questa crisi che si articola su tre pilastri:

1. Sensibilizzazione industriale

Non è un problema solo di Cisco. È una questione che richiede un approccio coordinato dell’intero settore tecnologico. Perché, quando un’organizzazione cade, l’ecosistema interconnesso trema.

2. Innalzamento degli standard

Cisco crede in un approccio aggressivo: rimozione proattiva di funzionalità legacy che oggi non possono più essere considerate sicure. L’implementazione seguirà un percorso graduale:

• Prima fase: avvisi di sicurezza incisivi con raccomandazioni per interrompere l’uso di funzionalità insicure
• Seconda fase: funzionalità disabilitate di default o che richiedono passaggi aggiuntivi per essere attivate
• Fase finale: opzioni insicure completamente eliminate, senza possibilità di riattivazione

3. Coinvolgimento proattivo

Quando Cisco identifica pratiche non sicure nelle reti dei clienti, interviene direttamente. Non aspetta che il cliente chiami.

Grieco ha chiuso con fermezza un dubbio sollevato durante il Q&A (dibattito): “Non ci sarà mai una licenza per la sicurezza fondamentale dei nostri prodotti. Punto. Il secure-by-design non è qualcosa per cui si paga extra: è integrato nei prodotti che costruiamo.”

Protezione in tempo reale: patch senza downtime

Elemento chiave dell’iniziativa Resilient Infrastructure: funzionalità di protezione in tempo reale contro vulnerabilità appena scoperte. L’obiettivo è permettere alle squadre di sicurezza di mitigare immediatamente i rischi senza dover pianificare patch d’emergenza o manutenzioni che causano tempi di inattività. “Vogliamo dare ai chi deve difendersi la capacità di rispondere alle minacce direttamente all’interno della rete“, ha spiegato Grieco.

Risposte più rapide, meno problemi operativi, servizi critici online anche mentre il panorama delle minacce continua a evolversi. Semplice. In teoria.

Quantum computing: la tempesta perfetta in arrivo

Altro argomento discusso durante il webinar è stato il quantum computing (calcolo quantistico). “La crittografia deve essere aggiornata, i meccanismi di sicurezza devono essere potenziati“, ha confermato Grieco. “Questo è assolutamente parte dell’iniziativa per infrastrutture resilienti.” Ma c’è un dettaglio: il calcolo quantistico è destinato a rivoluzionare gli algoritmi di crittografia attuali. La rete deve evolversi ora per supportare la crittografia post-quantistica (PQC – Post-Quantum Cryptography).

“Non si tratta di un interruttore da attivare nel prossimo decennio”, ha avvertito Grieco. “Man mano che l’IA diventerà la norma e il calcolo quantistico si avvicinerà all’adozione mainstream, chi non agisce ora lo farà a proprie spese.” Il settore deve muoversi all’unisono. Perché, quando arriverà la tempesta quantistica, sarà troppo tardi per cercare l’ombrello.

I policymaker devono svegliarsi

Altro punto discusso da Chris: l’importanza del coinvolgimento istituzionale. “I decisori politici devono iniziare a essere consapevoli dei rischi e trattare questa minaccia come una questione di protezione delle infrastrutture critiche: sistema sanitario, telecomunicazioni, bancario. Servono requisiti chiari sulla gestione degli asset, sulla pianificazione del ciclo di vita, su baseline di sicurezza minime.” Il messaggio è diretto: questa non è una responsabilità da delegare ai dipartimenti IT. Richiede commitment a livello C-suite (top management) e framework regolamentari che incentivino la modernizzazione e sanzionino la negligenza.

Non è più accettabile il “non è il mio problema”. Perché lo è di tutti.

Il monito finale (che dovrebbe tenerci svegli la notte)

“Questa è una responsabilità collettiva“, ha concluso Grieco. “Quando un’organizzazione ha hardware EOL nella propria rete, non mette a rischio solo sé stessa, ma l’intero ecosistema interconnesso. Non ci sono soluzioni magiche. Questo richiederà sforzo, energia e focus. Ma dobbiamo agire ora. Il problema dell’infrastruttura legacy non è nuovo. Grieco stesso ha iniziato a sollevare l’allarme già nel 2017. Otto anni dopo, la situazione è solo peggiorata.

La differenza oggi? L’AI ha accelerato drammaticamente i tempi di sfruttamento delle vulnerabilità. Da entrambi i lati della barricata. Per le organizzazioni che ancora operano su hardware obsoleto, il messaggio di Cisco è inequivocabile: il tempo per agire non è “prima o poi”. È adesso. Perché la prossima Salt Typhoon potrebbe già essere in corso. Invisibile. Dentro una rete che “funziona perfettamente”.

• Fonte: Webinar Cisco “Resilient Infrastructure”
• (dicembre 2025) – partecipazione diretta Red Hot Cyber con Carlo Denza
• Fonte: Cisco Security Report 2025 – analisi su 1M+ dispositivi

L'articolo Allarme globale: Cisco rivela che l’86% della rete gira su tecnologia obsoleta proviene da Red Hot Cyber.