Hacker filorussi rivendicano la responsabilità della grave interruzione di corrente in Spagna e Portogallo

Rabat — Due gruppi di "hacktivisti" informatici filo-russi, Dark Storm Team e NoName057, hanno rivendicato la responsabilità della grave interruzione di corrente che ha colpito lunedì Spagna e Portogallo.

Il gruppo "The Dark Storm" si è rivolto a X per rivendicare la responsabilità congiunta del grave blackout che ha colpito Spagna e Portogallo: "Oggi [lunedì], noi e il team NoName057 siamo riusciti a interrompere l'elettricità in alcuni paesi della NATO". Hanno anche pubblicato una foto criptica con un elenco di URL di ministeri portoghesi.

L'Ufficio Nazionale per la Sicurezza Informatica spagnolo ha precedentemente negato qualsiasi attacco informatico alla base del blackout elettrico in Spagna, ma questo nuovo sviluppo suscita allarme. Se venisse dimostrato che il blackout è stato causato direttamente dall'attacco informatico, potrebbe trattarsi di uno dei più grandi attacchi a siti civili in Europa.

Le autorità spagnole negano che si sia trattato di un attacco informatico

Nonostante l'allarme crescente suscitato dal messaggio degli hacker, la prima valutazione del blackout che ha colpito Spagna e Portogallo ha evidenziato che non vi era alcun attacco informatico dietro la grave interruzione di corrente. Il gestore della rete elettrica spagnola REE (REDE.MC) avrebbe escluso una violazione della sicurezza informatica come causa dell'interruzione di corrente in Spagna.

In una conferenza stampa, Eduardo Prieto, responsabile delle operazioni di sistema di REE, ha affermato che il sistema elettrico del suo Paese ha subito un duro colpo, con conseguente perdita di produzione nella Spagna sud-occidentale.

Il blackout ha causato instabilità nel sistema elettrico spagnolo, causandone la disconnessione dalla rete francese. Ha poi aggiunto con cautela che l'interruzione era probabilmente dovuta al danneggiamento di un generatore solare.

Nel frattempo, l'Alta Corte spagnola ha dichiarato che, nonostante ciò, sta indagando attentamente sull'interruzione di corrente per scoprire se sia dovuta a un potenziale attacco terroristico. Il Primo Ministro spagnolo Pedro Sánchez ha osservato che il suo governo non ha escluso alcuna ipotesi.

"Non dobbiamo affrettarci a trarre conclusioni e a commettere errori per fretta", ha affermato oggi Sanchez, aggiungendo che il suo governo indagherà sulla questione per scoprire la causa di "ciò che è accaduto in quei cinque secondi".

Cosa succederebbe se si trattasse di un attacco informatico?

Il post degli hacktivisti su X solleva diverse domande. L'espressione "tagliare l'elettricità in alcuni paesi della NATO" potrebbe significare che, se dimostrato, l'attacco potrebbe essere parte di un piano più ampio che prende di mira i paesi della NATO attraverso attacchi informatici.

Se l'indagine dell'Alta Corte spagnola dovesse dimostrare che l'interruzione di corrente è dovuta a un attacco informatico orchestrato da hacktivisti filo-russi, allora potrebbe essere imminente una guerra informatica.

Cosa è successo esattamente durante il blackout?

Quella che oggi viene definita una delle peggiori interruzioni totali della storia recente dell'Europa ha causato instabilità nei due Paesi europei.

Il massiccio blackout elettrico ha causato lunedì la paralisi degli orari dei voli, distorsioni dei sistemi metropolitani, interruzioni delle comunicazioni mobili e la chiusura degli sportelli bancomat in tutta la penisola iberica.

Secondo il gestore elettrico nazionale Red Eléctrica, la Spagna ha ripristinato oltre il 99% del suo fabbisogno di elettricità entro le 7 di questa mattina, ora locale.

Nel frattempo, tutte le 89 sottostazioni elettriche sono tornate operative e l'energia elettrica è stata ripristinata per tutti i 6,4 milioni di clienti entro lunedì sera, consentendo il ripristino dei servizi essenziali, ha affermato il gestore della rete elettrica portoghese REN.

Il primo ministro spagnolo Pedro Sánchez ha ringraziato sia la Francia sia il Marocco per il ruolo fondamentale svolto nel ripristino dell'elettricità nel suo Paese dopo il massiccio e senza precedenti blackout.

Anche l'operatore di telecomunicazioni marocchino Orange è stato colpito dall'interruzione di corrente, con conseguenti ripercussioni sulla connettività delle persone in tutto il Paese nordafricano.

https://www.moroccoworldnews.com/2025/04/195208/pro-russian-hackers-claim-responsibility-for-major-power-outage-across-spain-portugal/

Vocabolario dei termini in cyber security

Adware - Adware si riferisce a qualsiasi pezzo di software o applicazione che mostra pubblicità sul tuo computer.

Advanced Persistent Threat (APT) - Una minaccia persistente avanzata è un attacco in cui un utente non autorizzato ottiene l'accesso a un sistema o a una rete senza essere rilevato.

Software antivirus - Il software antivirus è un programma per computer utilizzato per prevenire, rilevare e rimuovere il malware.

Intelligenza artificiale - L'intelligenza artificiale (AI) si riferisce alla simulazione dell'intelligenza umana in macchine programmate per pensare come gli esseri umani e imitarne le azioni.

Allegato - Un allegato è un file di computer inviato con un messaggio di posta elettronica.

Autenticazione - L'autenticazione è un processo che assicura e conferma l'identità di un utente.

Back door - Una backdoor è usata per descrivere un metodo nascosto di bypassare la sicurezza per ottenere l'accesso a una parte limitata di un sistema informatico.

Backup - Per fare una copia dei dati memorizzati su un computer o un server per ridurre il potenziale impatto di un guasto o di una perdita.

Baiting - Il baiting online consiste nell'attirare una vittima con un incentivo.

Bluetooth - Bluetooth è una tecnologia wireless per lo scambio di dati su brevi distanze.

Blackhat - Black hat hacker si riferisce a un hacker che viola la sicurezza del computer per guadagno personale o malizia.

Botnet - Una botnet è una collezione di dispositivi connessi a internet, che possono includere PC, server e dispositivi mobili che sono infettati e controllati da un tipo comune di malware.

Banda larga - Sistema di trasmissione dati ad alta velocità in cui il circuito di comunicazione è condiviso tra più utenti.

Browser - Un browser è un software che viene utilizzato per accedere a internet. I browser web più popolari sono Chrome, Firefox, Safari, Internet Explorer e Edge.

Attacco di forza bruta - L'attacco di forza bruta è un'attività che comporta tentativi successivi ripetitivi di provare varie combinazioni di password per entrare in qualsiasi sito web.

Bug - Un bug si riferisce a un errore, un difetto o una falla in un programma per computer che può causarne l'uscita inaspettata o comportarsi in modo non previsto.

BYOD - Bring your own device (BYOD) si riferisce ai dipendenti che usano dispositivi personali per connettersi alle loro reti organizzative.

Clickjacking - Clickjacking, noto anche come attacco UI redress, è una tecnica comune di hacking in cui un attaccante crea una pagina invisibile o un elemento HTML che si sovrappone alla pagina legittima.

Cloud Computing - La pratica di utilizzare una rete di server remoti ospitati su Internet per memorizzare, gestire ed elaborare i dati, piuttosto che un server locale o un personal computer.

Cookie - I cookie sono piccoli file che vengono memorizzati sul computer dell'utente. I cookie forniscono un modo per il sito web di riconoscere l'utente e tenere traccia delle sue preferenze.

Aggiornamento critico - Una correzione per un problema specifico che affronta un bug critico, non legato alla sicurezza, nel software del computer.

Cyber Warfare - La guerra informatica si riferisce tipicamente ai cyber-attacchi perpetrati da uno stato-nazione contro un altro.

Data Breach (Violazione dei dati) - Una violazione dei dati è un incidente confermato in cui le informazioni sono state rubate o prese da un sistema senza la conoscenza o l'autorizzazione del proprietario del sistema.

Data Server - Data server è la frase usata per descrivere il software e l'hardware del computer che fornisce servizi di database.

Attacco DDoS - Un attacco DDoS (distributed denial-of-service) è un tentativo malevolo di interrompere il normale traffico di un server, servizio o rete mirato, travolgendo il bersaglio o la sua infrastruttura circostante con un flusso di traffico Internet.

Deepfake - Deepfake si riferisce a qualsiasi video in cui i volti sono stati scambiati o alterati digitalmente, con l'aiuto dell'IA.

Nome di dominio - La parte di un indirizzo di rete che lo identifica come appartenente a un particolare dominio.

Domain Name Server - Un server che converte i nomi di dominio riconoscibili nel loro indirizzo IP unico

Download - Per copiare (dati) da un sistema di computer ad un altro, tipicamente su Internet.

Exploit - Un'applicazione maligna o uno script che può essere utilizzato per sfruttare la vulnerabilità di un computer.

Firewall - Un firewall è un programma software o un pezzo di hardware che aiuta a schermare hacker, virus e worm che cercano di raggiungere il tuo computer su Internet.

Hacking - L'hacking si riferisce a un'intrusione non autorizzata in un computer o in una rete.

Honeypot - Un sistema o una rete esca che serve ad attirare potenziali attaccanti.

HTML - Hypertext Markup Language (HTML) è il linguaggio di markup standard per creare pagine web e applicazioni web.

Furto d 'identità - Il furto d'identità è un crimine in cui qualcuno usa informazioni di identificazione personale per impersonare qualcun altro.

Piano di risposta agli incidenti - Una politica di risposta agli incidenti è un piano che descrive la risposta dell'organizzazione a un incidente di sicurezza delle informazioni.

Internet delle cose (IoT) - L'Internet delle cose, o IoT, si riferisce ai miliardi di dispositivi fisici in tutto il mondo che sono ora collegati a Internet, raccogliendo e condividendo dati.

Indirizzo IP - Un indirizzo IP è un numero di identificazione per un pezzo di hardware di rete. Avere un indirizzo IP permette a un dispositivo di comunicare con altri dispositivi su una rete basata su IP come Internet.

IOS - Un sistema operativo utilizzato per i dispositivi mobili prodotti da Apple.

Keystroke logger - Un keystroke logger è un software che traccia o registra i tasti premuti sulla tua tastiera, tipicamente in modo nascosto in modo che tu non sia consapevole che le azioni sono monitorate.

Malware - Malware è l'abbreviazione di software maligno ed è progettato per causare danni a un computer, un server o una rete di computer.

Malvertising - L'uso della pubblicità online per fornire malware.

Memory stick - Un memory stick è un piccolo dispositivo che si collega a un computer e permette di memorizzare e copiare informazioni.

MP3 - MP3 è un mezzo per comprimere una sequenza di suoni in un file molto piccolo, per permettere la memorizzazione e la trasmissione digitale.

Multi-Factor Authentication (Autenticazione a più fattori) - L'autenticazione a più fattori (MFA) fornisce un metodo per verificare l'identità di un utente richiedendogli di fornire più di un'informazione di identificazione.

Packet Sniffer - Software progettato per monitorare e registrare il traffico di rete.

Lucchetto - Un'icona a forma di lucchetto visualizzata in un browser web indica una modalità sicura in cui le comunicazioni tra il browser e il server web sono criptate.

Patch - Una patch è un pezzo di codice software che può essere applicato dopo che il programma software è stato installato per correggere un problema con quel programma.

Penetration testing - Penetration testing (chiamato anche pen testing) è la pratica di testare un sistema informatico, una rete o un'applicazione web per trovare le vulnerabilità che un attaccante potrebbe sfruttare.

Phishing - Il phishing è un metodo per cercare di raccogliere informazioni personali utilizzando e-mail e siti web ingannevoli.

Gestione delle politiche (Policy Management) - La gestione delle politiche è il processo di creazione, comunicazione e mantenimento delle politiche e delle procedure all'interno di un'organizzazione.

Server proxy - Un server proxy è un altro sistema di computer che serve come un hub attraverso il quale vengono elaborate le richieste di Internet.

Pre-texting - Pre-texting è l'atto di creare una narrazione fittizia o un pretesto per manipolare una vittima a rivelare informazioni sensibili.

Ransomware - Un tipo di software maligno progettato per bloccare l'accesso a un sistema informatico fino al pagamento di una somma di denaro.

Rootkit - I rootkit sono un tipo di malware progettato per rimanere nascosto sul vostro computer.

Router - Un router è un pezzo di hardware di rete che permette la comunicazione tra la tua rete domestica locale e Internet.

Scam - Una truffa è un termine usato per descrivere qualsiasi attività o schema fraudolento che prende soldi o altri beni da una persona ignara.

Scareware - Scareware è un tipo di malware progettato per indurre le vittime ad acquistare e scaricare software potenzialmente pericoloso.

Formazione sulla consapevolezza della sicurezza - Il training di sensibilizzazione alla sicurezza è un programma di formazione volto ad aumentare la consapevolezza della sicurezza all'interno di un'organizzazione.

Security Operations Centre (SOC) - Un SOC controlla le operazioni di sicurezza di un'organizzazione per prevenire, rilevare e rispondere a qualsiasi potenziale minaccia.

Server - Un server è un programma per computer che fornisce un servizio a un altro programma per computer (e al suo utente).

Smishing - Lo smishing è un tipo di phishing che coinvolge un messaggio di testo.

Spam - Spam è uno slang comunemente usato per descrivere le e-mail spazzatura su Internet.

Social Engineering (Ingegneria sociale) - L'ingegneria sociale è l'arte di manipolare le persone, in modo che rivelino informazioni riservate.

Software - Il software è il nome dato ai programmi che userete per eseguire compiti con il vostro computer.

Spear phishing - Lo spear phishing è un attacco di email-spoofing che ha come obiettivo un'organizzazione o un individuo specifico, alla ricerca di un accesso non autorizzato a informazioni sensibili.

Spyware - Lo spyware è un tipo di software che si installa su un dispositivo e monitora segretamente l'attività online della vittima.

Tailgating - Tailgating coinvolge qualcuno che non ha l'autenticazione adeguata che segue un dipendente in un'area riservata.

Tablet - Un tablet è un personal computer portatile senza fili con un'interfaccia touchscreen.

Traffico - Il traffico web è la quantità di dati inviati e ricevuti dai visitatori di un sito web.

Trojan - Un Trojan è anche conosciuto come cavallo di Troia. È un tipo di software maligno sviluppato dagli hacker per camuffarsi da software legittimo per ottenere l'accesso ai sistemi degli utenti target.

Autenticazione a due fattori - L'autenticazione a due fattori (2FA), spesso indicata come verifica a due passi, è un processo di sicurezza in cui l'utente fornisce due fattori di autenticazione per verificare di essere chi dice di essere.

USB - USB (Universal Serial Bus) è la connessione più popolare usata per collegare un computer a dispositivi come fotocamere digitali, stampanti, scanner e dischi rigidi esterni.

Nome utente - Un nome utente è un nome che identifica in modo univoco qualcuno su un sistema informatico.

Virus - Un virus informatico è un programma software maligno caricato sul computer di un utente senza che questi ne sia a conoscenza ed esegue azioni maligne.

VPN (Virtual Private Network) - Una rete privata virtuale ti offre privacy e anonimato online creando una rete privata da una connessione Internet pubblica. Le VPN mascherano il tuo indirizzo di protocollo Internet (IP) in modo che le tue azioni online siano virtualmente irrintracciabili.

Vulnerabilità - Una vulnerabilità si riferisce a un difetto in un sistema che può lasciarlo aperto agli attacchi.

Vishing - Il Vishing è l'equivalente telefonico del phishing. È un tentativo di truffare qualcuno al telefono per fargli consegnare informazioni private che saranno usate per il furto d'identità.

Whaling - Il whaling è una forma specifica di phishing che prende di mira dirigenti e manager d'azienda di alto profilo.

Whitehat - Gli hacker white hat eseguono test di penetrazione, testano i sistemi di sicurezza sul posto ed eseguono valutazioni di vulnerabilità per le aziende.

Worm - Un worm informatico è un programma malware che si replica per diffondersi in altri computer.

Wi-Fi - Il Wi-Fi è una struttura che permette a computer, smartphone o altri dispositivi di connettersi a Internet o di comunicare tra loro in modalità wireless all'interno di una particolare area.

Zero-Day - Zero-Day si riferisce a una vulnerabilità scoperta di recente che gli hacker possono utilizzare per attaccare i sistemi.

La Francia accusa l'intelligence militare russa di anni di attacchi informatici contro entità locali

La Francia ha accusato un gruppo di hacker controllato dall'agenzia di intelligence militare russa (GRU) di aver orchestrato una serie di attacchi informatici contro istituzioni francesi nel corso di diversi anni.

In una rara dichiarazione pubblica, martedì il ministero degli Esteri francese ha dichiarato di "condannare nei termini più forti possibili" le azioni dell'attore della minaccia collegato al GRU noto come APT28.

Secondo funzionari francesi, l'APT28, noto anche come Fancy Bear o BlueDelta e a lungo ritenuto un ramo dell'Unità 26165 del GRU, è responsabile di operazioni informatiche che hanno interessato circa dieci entità francesi dal 2021. Tra gli obiettivi figurano servizi pubblici, aziende private e un'organizzazione sportiva coinvolta nei preparativi olimpici.

"Questo tipo di attività destabilizzante è inaccettabile e indegno di un membro permanente del Consiglio di sicurezza delle Nazioni Unite", ha affermato il ministero, accusando la Russia di violare le norme internazionali di comportamento responsabile nel cyberspazio.

APT28, attivo almeno dal 2004, è stato precedentemente collegato all'attacco del 2015 al canale televisivo francese TV5Monde e ai tentativi di ostacolare le elezioni presidenziali francesi del 2017. Oltre alla Francia, il gruppo ha preso di mira istituzioni militari, governative e mediatiche in Europa e negli Stati Uniti, utilizzando tattiche come phishing, attacchi brute-force ed exploit zero-day.

Secondo un rapporto dell'agenzia nazionale francese per la sicurezza informatica (ANSSI), il gruppo si affiderebbe a infrastrutture a basso costo e facilmente accessibili, come server in affitto e VPN, per eludere il rilevamento e complicare l'attribuzione.

La decisione della Francia di rendere pubbliche le accuse arriva in un contesto di crescenti tensioni geopolitiche e di crescente preoccupazione per l'invasione russa dell'Ucraina. Il presidente Emmanuel Macron ha dichiarato martedì che gli alleati occidentali intendono intensificare la pressione su Mosca nei prossimi 10 giorni nel tentativo di imporre un cessate il fuoco in Ucraina.

All'inizio di questa settimana, il presidente russo Vladimir Putin ha annunciato una tregua cosiddetta "umanitaria" nella guerra della Russia contro l'Ucraina, per celebrare l'80° anniversario della fine della Seconda guerra mondiale in Europa.

Minaccia comune

APT28 continua a svolgere un ruolo importante nelle operazioni informatiche della Russia contro l'Ucraina e i suoi alleati. Diversi stati europei, tra cui la Germania, hanno precedentemente attribuito attacchi informatici al gruppo. Nel maggio 2024, Berlino ha accusato APT28 di aver preso di mira aziende tedesche del settore aerospaziale e della difesa, istituzioni politiche ed entità simili in altri paesi. La Russia ha negato tali accuse, definendole politicamente motivate.

Lo scorso maggio, APT28 avrebbe condotto una campagna di spionaggio su larga scala contro le istituzioni governative polacche attraverso un'operazione malware su larga scala.

L'Unione Europea ha imposto sanzioni a individui ed entità legati alle campagne di APT28, citando i loro sforzi per compromettere infrastrutture critiche e indebolire le istituzioni democratiche.

La Francia ha affermato che continuerà a impegnarsi a collaborare con i partner per individuare, scoraggiare e rispondere ad attività informatiche dannose riconducibili alla Russia.

https://therecord.media/france-blames-russian-military-intelligence-for-hacks-against-local-orgs

L'Iran afferma di aver fermato un grande attacco informatico alle infrastrutture del paese

L'Iran afferma di aver fermato un grande attacco informatico sulle infrastrutture del paese

L'Iran ha respinto un attacco informatico "diffuso e complesso" che ha preso di mira le infrastrutture del paese domenica, secondo un alto funzionario che ha parlato con l'agenzia di stampa Tasnim, collegata al Corpo rivoluzionario islamico.

L'incidente, che non è stato descritto in dettaglio,

è stato rivelato da Behzad Akbari, il capo della società di infrastrutture di telecomunicazione del governo (TIC).

"È stato identificato uno degli attacchi informatici più diffusi e complessi contro le infrastrutture del paese e sono state prese misure preventive", ha detto Akbari. Il TIC non ha risposto immediatamente a una richiesta per ulteriori informazioni.

L'incidente informatico si è verificato un giorno dopo una grande esplosione a Shahid Rajaei, il più grande porto commerciale del paese, che ha ucciso almeno 28 persone e ferito in altre 800, secondo le autorità. La causa non è stata confermata. Non vi è alcuna indicazione che fosse collegato a qualsiasi operazione informatica.

La consulenza a rischio marittimo Ambrey Intelligence ha affermato che l'esplosione è stata causata dalla "gestione impropria di una spedizione di combustibili solidi destinati all'uso nei missili balistici iraniani" che era stato importato dalla Cina, sebbene il ministero della difesa iraniano abbia negato tali rapporti.

Viene tra i negoziati in corso tra Iran e Stati Uniti sul controverso programma nucleare della Repubblica islamica, tra i timori che il paese cercherebbe di arricchire l'uranio ai livelli che potrebbero permettergli di creare un'arma nucleare.

L'Iran ha affrontato diversi attacchi informatici notevoli negli ultimi anni,

Compresi quelli che colpiscono il sistema di alimentazione del paese nel 2021 e un acciaio nel giugno 2022, entrambi rivendicati da un gruppo che si chiamava predatorio che affermava che i suoi attacchi erano "effettuati attentamente per proteggere individui innocenti".

Mentre il gruppo di passero predatorio si descrive come composto da dissidenti,

L'attacco al mulino d'acciaio sembrava essere condotto con sofisticata pianificazione operativa al fine di evitare qualsiasi perdita di vite umane, spingendo la speculazione che fosse sponsorizzato da un'agenzia statale straniera con un processo di gestione del rischio.

Funzionari iraniani hanno incolpato gli Stati Uniti e Israele per lo attacco informatico del 2021 sui sistemi di alimentazione dell'Iran,

senza fornire alcuna prova. All'epoca il capo della difesa civile del paese, Gholamreza Jalali, disse alla televisione di stato: "Non siamo ancora in grado di dire forense, ma analiticamente credo che sia stato realizzato dal regime sionista, dagli americani e dai loro agenti".

Jalili ha detto di credere agli Stati Uniti

E Israele era dietro un attacco informatico mirato all'infrastruttura elettronica dell'autorità portuale di Shahid Rajaei nel 2020, sebbene di nuovo senza fornire prove. Si ritiene che gli Stati Uniti e Israele abbiano collaborato su The Stuxnet Worm, che è stato scoperto nel 2010, progettato per sabotare il programma nucleare dell'Iran.

https://therecord.media/iran-cyberattack-national-infrastructure

IBM chiede: come si sta evolvendo il panorama della sicurezza informatica?

IBM ha pubblicato il suo "IBM X-Force 2025 Threat Intelligence Index", evidenziando il vasto aumento della portata, della sofisticatezza e della furtività degli attacchi informatici.

I criminali informatici continuano a modificare il loro approccio, elaborando attacchi sofisticati e basati sull'identità che sfruttano credenziali rubate e accessi legittimi.

Questo cambiamento sta avendo un impatto trasformativo sul più ampio panorama informatico, con attacchi guidati dall'intelligenza artificiale e orientati alle campagne che stanno diventando sempre più difficili da rilevare.

Alla luce di ciò, IBM ha pubblicato il suo "IBM X-Force 2025 Threat Intelligence Index", sottolineando la necessità di modernizzare le strategie di difesa informatica in un contesto di aumento degli attacchi incentrati sull'identità e alimentati dall'intelligenza artificiale.

Fornisce ai difensori informazioni concrete per proteggere, adattarsi e anticipare fin da oggi le minacce di domani.

IBM non solo si impegna a fornire alle organizzazioni informazioni aggiornate su come, dove e perché si verificano gli attacchi, ma incoraggia anche i CISO a implementare architetture zero trust e a investire nel consolidamento delle identità per promuovere la resilienza collettiva.

IBM afferma: "Il modello è familiare. Le organizzazioni dedicano risorse sempre crescenti per rilevare le minacce, proteggere le reti e prevenire interruzioni. E nonostante ciò, gli attacchi informatici continuano a crescere in termini di portata, velocità e sofisticazione.

Ma negli ultimi 18-24 mesi si è verificato un netto cambiamento nelle tattiche. Gli autori delle minacce stanno portando avanti campagne su larga scala, dimostrando un livello di coordinamento, automazione e competenza mai visto prima, e aumentando la probabilità e l'impatto associati ai rischi operativi.

"A differenza degli incidenti del passato, in cui le violazioni dei dati e i danni alla reputazione erano la preoccupazione maggiore, l'interruzione generalizzata delle attività aziendali è ora una possibilità reale, un problema di cui ogni consiglio di amministrazione deve essere consapevole e su cui deve intervenire".

IBM pubblica il suo indice IBM X-Force 2025 Threat Intelligence (Credito: IBM)

L’importanza delle intrusioni basate sull’identità

Il rapporto di IBM indica le istruzioni basate sull'identità come una delle minacce alla sicurezza informatica più importanti e in rapida crescita .

Gli attacchi basati sull'identità rappresentano il 30% delle intrusioni totali segnalate. Queste intrusioni hanno utilizzato credenziali di account valide, rendendolo uno dei due principali metodi di accesso iniziale, insieme allo sfruttamento delle applicazioni accessibili al pubblico.

Questo aumento degli attacchi basati sull'identità è dovuto in gran parte all'aumento delle e-mail di phishing che veicolano malware infostealer, in crescita dell'84% su base annua.

Gli infostealer sottraggono credenziali e poi le vendono o le utilizzano direttamente in attacchi successivi.

Punti chiave del rapporto IBM: Gli attori della minaccia stanno aggiungendo l'intelligenza artificiale alle loro cassette degli attrezzi

La regione Asia-Pacifico ha registrato un aumento del 13% degli attacchi

Per quattro anni consecutivi, il settore manifatturiero è stato il primo obiettivo di ricerca

Gli attacchi basati sull'identità costituiscono il 30% delle intrusioni totali

Il ransomware rappresenta il 28% dei casi di malware

Il 25% degli attacchi sfrutta le applicazioni pubbliche

Gli attacchi si basano anche su campagne di phishing delle credenziali, incoraggiando gli utenti a falsificare i portali di accesso per ottenere le credenziali di accesso.

Gli autori delle minacce sfruttano i punti deboli causati dall'espansione delle organizzazioni su infrastrutture cloud e ibride e creano lacune nella gestione delle identità, per ottenere accessi non autorizzati senza attivare avvisi di sicurezza.

Il rapporto IBM evidenzia che l'identità è diventata il nuovo campo di battaglia. Gli attacchi sfruttano sempre più il comportamento umano, le lacune nell'autenticazione e la cattiva gestione degli accessi.

Le organizzazioni devono pertanto modernizzare le proprie strategie di identità e proteggere le credenziali su larga scala per gestire l'uso di credenziali rubate dai criminali informatici.

Evoluzione e resilienza del ransomware

IBM sottolinea il ruolo mutevole del ransomware nell'attuale panorama delle minacce informatiche. Sebbene il volume complessivo degli incidenti che coinvolgono il ransomware sia in calo, le tattiche, la resilienza e l'impatto degli autori del ransomware stanno diventando più persistenti e complessi.

Poco più di un quarto (28%) di tutti gli incidenti malware ha coinvolto ransomware, rendendolo la categoria più numerosa tra i tipi di malware.

Tuttavia, IBM sottolinea che il volume degli incidenti ransomware è diminuito per il terzo anno consecutivo. Ciò è dovuto agli interventi delle forze dell'ordine, al rafforzamento delle capacità difensive e alla riluttanza delle organizzazioni a pagare i riscatti.

Il ransomware continua a prosperare nei forum underground, con un'attività correlata sul dark web in aumento del 25% su base annua. Famiglie di ransomware di alto profilo come Lockbit3, Clop e RansomHub sono state le più attive in base alle menzioni sul dark web.

Il ransomware più diffuso in termini di volume di eventi nel dark web (Credito: IBM)

Gli autori delle minacce stanno adottando tattiche multi-estorsive, tra cui la vergogna pubblica, il furto di dati e le minacce di rilascio. Tutte queste strategie mirano a spingere le vittime a pagare.

I gruppi ransomware hanno adottato strategie multipiattaforma per colpire di default gli ambienti Linux, Windows ed ESXi.

L'ecosistema del ransomware rispecchia i modelli SaaS commerciali, con un'infrastruttura basata sul concetto di crimine come servizio che consente anche ad aggressori poco qualificati di lanciare sofisticate campagne ransomware.

Sebbene il ritmo della crescita del ransomware abbia rallentato, la sua resilienza e le sue strategie adattive fanno sì che rimanga una delle minacce più pericolose.

IBM consiglia diverse contromisure proattive, tra cui protocolli di backup e ripristino efficaci, EDR e rilevamento delle minacce avanzati e monitoraggio intelligente delle attività sul dark web.

In che modo l'intelligenza artificiale è allo stesso tempo un obiettivo e uno strumento?

IBM sottolinea che l'intelligenza artificiale è oggi sia uno strumento utilizzato dagli aggressori, sia un bersaglio per gli attacchi informatici.

Gli autori delle minacce utilizzano l'IA di generazione per creare deepfake, costruire siti web di phishing, scrivere codice dannoso ed elaborare email di phishing. Questo utilizzo dell'IA aiuta i criminali informatici a scalare e personalizzare le campagne di ingegneria sociale, aumentando sia il tasso di successo che la credibilità degli attacchi.

L'intelligenza artificiale non solo migliora la capacità degli aggressori di amplificare la velocità e la portata delle intrusioni, ma consente anche un impiego più efficiente degli infostealer e il coordinamento delle campagne.

Gli aggressori si stanno concentrando sulle infrastrutture di intelligenza artificiale, come i modelli di base (FM), i dati di formazione e le piattaforme operative di apprendimento automatico.

Queste piattaforme vengono utilizzate dalle aziende per addestrare e implementare LLM, creando nuove superfici di attacco.

Attualmente solo il 24% dei progetti di Gen AI è protetto, il che indica una finestra di vulnerabilità significativa che gli autori delle minacce possono sfruttare.

Per gestire la crescente adozione dell'intelligenza artificiale, le organizzazioni devono integrare controlli di sicurezza in ogni fase, trattare il processo di sviluppo dell'intelligenza artificiale come un'infrastruttura critica e utilizzare l'intelligenza artificiale in modo difensivo per contrastare la velocità e la sofisticatezza degli aggressori.

Cosa devono fare ora i CISO?

IBM fornisce una serie di raccomandazioni urgenti per i Chief Information Security Officer (CISO), focalizzandosi sul miglioramento della visibilità, della resilienza e delle strategie di difesa proattive, in un contesto in cui il panorama delle minacce informatiche diventa sempre più sofisticato.

I CISO dovrebbero passare dalla gestione reattiva del rischio a misure basate sulla comunità, come la condivisione di informazioni sulle minacce in tempo reale e il rafforzamento della collaborazione nella supply chain.

IBM esorta i dirigenti ad ampliare l'uso dell'autenticazione a più fattori (MFA) per tutti gli utenti, a consolidare i sistemi di identità in un sistema di identità unificato e a modernizzare la strategia di identità per renderla adattabile, scalabile e costantemente sottoposta a verifica.

Monitorando i forum del dark web alla ricerca di credenziali trapelate, sviluppando un piano di risposta alle crisi informatiche e formando regolarmente i dipendenti sull'igiene delle credenziali e sui rischi di phishing, IBM ritiene che i CISO possano contribuire a creare un ecosistema informatico più resiliente e forte.

https://cybermagazine.com/cyber-security/ibm-asks-how-is-the-cybersecurity-landscape-evolving

Gli aggressori si attengono a punti di intrusione efficaci, credenziali valide ed exploit

Secondo IBM X-Force, gli infostealer hanno alimentato la resistenza degli attacchi basati sull'identità, aumentando in media dell'84% su base settimanale lo scorso anno.

IBM X-Force ha osservato una ripartizione identica dei principali metodi utilizzati dai criminali informatici per intrusione nelle reti per due anni consecutivi, come dichiarato dall'azienda nel suo Threat Intelligence Index annuale. I principali vettori di accesso iniziale, le credenziali di account valide e lo sfruttamento di applicazioni pubbliche hanno rappresentato ciascuno il 30% dei casi di risposta agli incidenti di IBM X-Force lo scorso anno.

Concentrandosi sugli attacchi basati sull'identità, i criminali informatici si mimetizzano in attività apparentemente comuni sulle reti delle vittime, eludendo il rilevamento. "Stanno effettuando l'accesso, invece di hackerare", ha dichiarato a CyberScoop Michelle Alvarez, responsabile del team di threat intelligence di IBM X-Force.

Secondo i ricercatori, infostealer, software dannosi ed email di phishing che rubano le credenziali di accesso stanno alimentando la resistenza degli attacchi basati sull'identità. IBM X-Force ha anche descritto il phishing delle credenziali, ovvero i siti dannosi che imitano una pagina di accesso legittima, come un "vettore di infezione ombra per la compromissione di account validi".

I ricercatori di minacce informatiche hanno osservato un aumento medio settimanale dell'84% degli infostealer inviati tramite email di phishing lo scorso anno, rispetto al 2023. Il volume settimanale di infostealer distribuiti via email nel 2025 è ancora maggiore, con un aumento del 180% rispetto ai livelli di attività del 2023.

Le credenziali sono state inoltre l'obiettivo principale in tutti i casi di risposta agli incidenti di IBM X-Force nel 2024, con la raccolta di credenziali avvenuta nel 28% degli incidenti.

I criminali informatici riutilizzano credenziali di account valide contro altre organizzazioni o le vendono sul dark web. "Abbiamo individuato 800 milioni di potenziali coppie di credenziali disponibili sul dark web", ha affermato Alvarez.

"La stragrande maggioranza delle credenziali proviene da infostealer o da phishing di credenziali", ha affermato Alvarez. "Questi due fattori influenzano sicuramente l'utilizzo di credenziali valide per l'accesso."

Secondo IBM X-Force, i primi cinque infostealer elencati nei forum del dark web nel 2024 includono Lumma, RisePro, Vidar, Stealc e RedLine.

Le identità non sono state l'unico punto di accesso per gli attacchi informatici nel 2024. Gli addetti alla risposta agli incidenti di IBM X-Force hanno ricondotto il 30% degli attacchi allo sfruttamento di vulnerabilità in applicazioni pubbliche. I ricercatori hanno osservato la scansione post-compromissione nel 25% di questi casi, a indicare che gli aggressori hanno utilizzato strumenti di scansione delle vulnerabilità per identificare ulteriori difetti, ottenere ulteriore accesso e ottenere un movimento laterale.

"Spesso, gli autori delle minacce sfruttano semplicemente vulnerabilità che sono sostanzialmente prive di patch", ha affermato Alvarez. "Vediamo vulnerabilità risalenti ad anni fa, per le quali era disponibile una patch da molto tempo, ancora sfruttate, quindi tutto si riduce alle migliori pratiche di gestione delle vulnerabilità".

Le organizzazioni che operano nel settore delle infrastrutture critiche sono state particolarmente colpite lo scorso anno, rappresentando il 70% di tutti gli attacchi, come affermato nel rapporto IBM X-Force. Il settore manifatturiero è stato il più colpito per il quarto anno consecutivo, con il 26% degli incidenti nel 2024.

Gli attacchi nel settore finanziario e assicurativo hanno rappresentato il 23% di tutti gli attacchi alle infrastrutture critiche, seguiti dai servizi professionali, aziendali e ai consumatori con il 18%. Energia e trasporti hanno completato i cinque settori più colpiti, rappresentando rispettivamente il 10% e il 7% degli attacchi.

IBM X-Force ha affermato che gli aggressori hanno utilizzato account validi per ottenere l'accesso nel 31% di tutti gli attacchi alle organizzazioni di infrastrutture critiche commessi lo scorso anno.

https://cyberscoop.com/ibm-x-force-threat-intelligence-index-2025/

L'intelligenza artificiale velocizza il lavoro di analisi degli esseri umani, affermano due funzionari federali della sicurezza informatica

Il Tenente Colonnello dell'Aeronautica Militare Frank Jamerson parla durante l'evento AITalks di AIScoop, sotto gli occhi di Manny Medrano del Dipartimento di Stato. L'evento si è tenuto il 24 aprile 2025 a Washington, DC (Foto di Sergey Kolupaev/EPNAC)

Giovedì due funzionari federali addetti alla sicurezza informatica hanno dichiarato che stanno utilizzando, o stanno valutando di utilizzare, l'intelligenza artificiale per svolgere compiti che velocizzano il lavoro degli analisti umani.

L'intelligenza artificiale è un importante contributore attuale e futuro per una varietà di lavori amministrativi legati alla sicurezza, come l'accreditamento e la conformità, e per il Dipartimento dell'aeronautica militare, che intraprende sforzi di modernizzazione, ha affermato il tenente colonnello Frank Jamerson, vicedirettore del dipartimento per le operazioni informatiche, il comando e il controllo, le comunicazioni e la gestione delle battaglie.

"L'analista della conformità non deve necessariamente leggere ogni documento", ha affermato Jamerson giovedì alla conferenza AITalks, presentata da AIScoop. "Può esaminare l'output dello strumento che dice: 'Sì, sono conformi perché hanno fatto questa cosa' e cliccare sui formati elenco puntato – a tutti piace farlo – e inserirlo in un elenco puntato. Questa è una delle novità più interessanti che stiamo valutando".

Presso l'Ufficio per la Sicurezza Diplomatica del Dipartimento di Stato, "stiamo elaborando molti dati", ha affermato Manny Medrano, direttore del monitoraggio e delle operazioni informatiche dell'ufficio. L'intelligenza artificiale consente agli analisti di analizzarli più velocemente e, a sua volta, "dà loro il tempo di concentrarsi sui compiti più complessi", ha aggiunto.

Annuncio

In senso più ampio, l'IA è considerata un'arma a doppio taglio nella sicurezza informatica, in grado di supportare sia le operazioni difensive che quelle offensive. Il Cyber ​​Command ha recentemente sottolineato come l'IA generativa stia accelerando l'analisi del traffico di rete per individuare attività dannose.

"Chiunque lavori nella sicurezza informatica, se si lavora manualmente, spesso dirà: 'Ehi, ci vorranno ore, giorni, settimane per analizzare un traffico specifico, specifiche righe di codice'", ha affermato Morgan Adamski, Direttore Esecutivo di Cybercom. "Ora siamo riusciti a sfruttare l'intelligenza artificiale per riuscirci in pochi minuti e ore".

https://cyberscoop.com/ai-speeds-up-analysis-work-for-humans-two-federal-cyber-officials-say/

SAP risolve una vulnerabilità critica dopo averne scoperto lo sfruttamento

La società di software tedesca SAP ha finalmente rivelato e corretto una vulnerabilità altamente critica nel server di sviluppo NetWeaver Visual Composer, dopo averne riscontrato lo sfruttamento in natura.

NetWeaver Visual Composer è lo strumento di modellazione basato sul Web di SAP che consente agli esperti di processi aziendali e agli sviluppatori di creare componenti di applicazioni aziendali senza dover scrivere codice manuale.

La vulnerabilità, identificata come CVE-2025-31324, è una vulnerabilità di caricamento di file non autenticati nel componente Metadata Uploader di SAP NetWeaver Visual Composer Framework versione 7.50.

Se sfruttata, la vulnerabilità consente a un aggressore non autenticato di caricare file binari eseguibili potenzialmente dannosi, in grado di danneggiare gravemente il sistema host.

"Ciò potrebbe influire in modo significativo sulla riservatezza, l'integrità e la disponibilità del sistema preso di mira", si legge nella pagina CVE.org relativa a CVE-2025-31324.

Alla vulnerabilità è stato assegnato il punteggio di gravità più alto da SAP: 10.0 (CVSS v3.1).

Il fornitore di software tedesco ha inoltre rilasciato una correzione, pubblicata in un aggiornamento di sicurezza di emergenza accessibile solo ai clienti SAP .

Si invitano i clienti ad applicare le nuove versioni il prima possibile.

Prova di sfruttamento

La vulnerabilità è stata rilevata da ReliaQuest nell'aprile 2025 durante l'indagine su diversi incidenti dei clienti che interessavano la piattaforma di integrazione tecnologica SAP NetWeaver, che comportavano caricamenti di file non autorizzati e l'esecuzione di file dannosi.

In un articolo del 22 aprile in cui venivano condivisi i risultati della propria indagine, ReliaQuest ha affermato di aver inizialmente scoperto che gli aggressori avevano caricato "webshell JSP" in directory accessibili al pubblico, una mossa che ricorda una vulnerabilità di inclusione di file remoti (RFI).

Diversi sistemi interessati eseguivano già l'ultimo service pack SAP e avevano applicato le patch rese disponibili nell'aggiornamento mensile regolare di SAP, rilasciato l'8 aprile. Ciò indicava che i proprietari dei sistemi interessati erano stati presi di mira da un exploit zero-day.

Tuttavia, SAP ha successivamente confermato che si tratta di una vulnerabilità di caricamento file senza restrizioni, che consente agli aggressori di caricare file dannosi direttamente sul sistema senza autorizzazione", si legge nel rapporto di ReliaQuest.

ReliaQuest ha aggiunto che lo sfruttamento è probabilmente legato a una vulnerabilità precedentemente divulgata come CVE-2017-9844 o a un problema di inclusione di file remoti (RFI) non segnalato. Inoltre, gli aggressori hanno utilizzato strumenti come Brute Ratel e Heaven's Gate per l'esecuzione e l'elusione.

Dopo essere stata contattata da ReliaQuest, SAP, che è essa stessa una CVE Numbering Authority (CNA), ha segnalato pubblicamente la vulnerabilità il 24 aprile e ha rilasciato una correzione.

Secondo ReliaQuest, le soluzioni SAP rappresentano probabilmente un obiettivo allettante per gli autori delle minacce per due motivi principali.

"In primo luogo, sono spesso utilizzati da enti governativi, il che significa che una compromissione efficace delle vulnerabilità SAP faciliterebbe probabilmente l'accesso alle reti e alle informazioni governative. In secondo luogo, poiché le soluzioni SAP sono spesso implementate on-premise, le misure di sicurezza per questi sistemi sono lasciate agli utenti; aggiornamenti e patch non applicati tempestivamente esporrebbero probabilmente questi sistemi a un rischio maggiore di compromissione", hanno scritto i ricercatori di ReliaQuest.

https://www.infosecurity-magazine.com/news/sap-fixes-critical-vulnerability/

Gli hacker nordcoreani diffondono malware attraverso false società di criptovalute e esche per colloqui di lavoro

Gli attori delle minacce legate alla Corea del Nord dietro l'intervista contagiosa hanno creato società di copertura come un modo per distribuire malware durante il falso processo di assunzione.

"In questa nuova campagna, il gruppo di attori delle minacce sta utilizzando tre società di facciata nel settore della consulenza sulle criptovalute: BlockNovas LLC (blocknovas[.] com), Angeloper Agency (angeloper[.]com) e SoftGlide LLC (softglide[.]co) – per diffondere malware tramite 'esche per colloqui di lavoro'", ha affermato Silent Push in un'analisi approfondita.

L'attività, ha affermato la società di sicurezza informatica, viene utilizzata per distribuire tre diverse famiglie di malware note, BeaverTail, InvisibleFerret e OtterCookie.

Contagious Interview è una delle numerose campagne di ingegneria sociale a tema lavorativo orchestrate dalla Corea del Nord per invogliare gli obiettivi a scaricare malware multipiattaforma con il pretesto di assegnare un compito di codifica o risolvere un problema con il browser quando si accende la telecamera durante una valutazione video.

L'attività è monitorata dalla più ampia comunità di sicurezza informatica con i moniker CL-STA-0240, DeceptiveDevelopment, DEV#POPPER, Famous Chollima, UNC5342 e Void Dokkaebi.

L'uso di società di facciata per la propagazione del malware, integrato dalla creazione di account fraudolenti su Facebook, LinkedIn, Pinterest, X, Medium, GitHub e GitLab, segna una nuova escalation per gli attori delle minacce, che sono stati osservati utilizzare varie bacheche di lavoro per attirare le vittime.

"La società di facciata BlockNovas ha 14 persone che presumibilmente lavorano per loro, tuttavia molte delle personalità dei dipendenti [...] sembrano essere falsi", ha detto Silent Push. "Quando si visualizza la pagina 'Chi siamo' di blocknovas[.]com tramite la Wayback Machine, il gruppo ha affermato di operare da "12+ anni", ovvero 11 anni in più rispetto a quanto è stata registrata l'attività".

Gli attacchi portano al dispiegamento di un ladro e caricatore JavaScript chiamato BeaverTail, che viene poi utilizzato per rilasciare una backdoor Python denominata InvisibleFerret in grado di stabilire la persistenza su host Windows, Linux e macOS. È stato anche scoperto che alcune catene di infezione servono un altro malware con nome in codice OtterCookie tramite lo stesso payload JavaScript utilizzato per avviare BeaverTail.

BlockNovas è stato osservato utilizzare valutazioni video per distribuire FROSTYFERRET e GolangGhost utilizzando esche correlate a ClickFix, una tattica che è stata dettagliata all'inizio di questo mese da Sekoia, che sta monitorando l'attività sotto il nome di ClickFake Interview.

BeaverTail è configurato per contattare un server esterno ("lianxinxiao[.]com") per il comando e controllo (C2) per servire InvisibleFerret come carico utile di follow-up. Viene fornito con varie funzionalità per raccogliere informazioni di sistema, avviare una shell inversa, scaricare moduli aggiuntivi per rubare dati e file del browser e avviare l'installazione del software di accesso remoto AnyDesk.

Un'ulteriore analisi dell'infrastruttura dannosa ha rivelato la presenza di una "Dashboard di stato" ospitata su uno dei sottodomini di BlockNovas per mantenere la visibilità in quattro dei loro domini: lianxinxiao[.]com, angeloperonline[.]online e softglide[.]co.

Un sottodominio separato, mail.blocknovas[.]com, è stato anche scoperto che ospita un sistema di gestione del cracking delle password distribuito open source chiamato Hashtopolis. Le false campagne di reclutamento hanno portato almeno uno sviluppatore a compromettere il proprio portafoglio MetaMask nel settembre 2024.

Non è tutto. Gli attori delle minacce sembrano anche ospitare uno strumento chiamato Kryptoneer sul dominio attisscmo[.]com che offre la possibilità di connettersi a portafogli di criptovaluta come Suiet Wallet, Ethos Wallet e Sui Wallet.

"È possibile che gli attori delle minacce nordcoreane abbiano compiuto ulteriori sforzi per prendere di mira la blockchain Sui, o che questo dominio possa essere utilizzato all'interno dei processi di candidatura come esempio del 'progetto crittografico' su cui si sta lavorando", ha affermato Silent Push.

BlockNovas, secondo un rapporto indipendente pubblicato da Trend Micro, nel dicembre 2024 ha anche pubblicizzato una posizione aperta per un ingegnere informatico senior su LinkedIn, rivolgendosi in particolare ai professionisti IT ucraini.

A partire dal 23 aprile 2025, il dominio BlockNovas è stato sequestrato dal Federal Bureau of Investigation (FBI) degli Stati Uniti nell'ambito di un'azione delle forze dell'ordine contro gli attori informatici nordcoreani per averlo utilizzato per "ingannare le persone con falsi annunci di lavoro e distribuire malware".

Oltre all'utilizzo di servizi come Astrill VPN e proxy residenziali per offuscare la propria infrastruttura e le proprie attività, un aspetto degno di nota dell'attività dannosa è l'uso di strumenti basati sull'intelligenza artificiale (AI) come Remaker per creare immagini del profilo.

La società di sicurezza informatica, nella sua analisi della campagna Contagious Interview, ha affermato di aver identificato cinque intervalli di IP russi che sono stati utilizzati per eseguire l'operazione. Questi indirizzi IP sono oscurati da un livello VPN, un livello proxy o un livello RDP.

"Gli intervalli di indirizzi IP russi, che sono nascosti da una grande rete di anonimizzazione che utilizza servizi VPN commerciali, server proxy e numerosi server VPS con RDP, sono assegnati a due società a Khasan e Khabarovsk", hanno detto i ricercatori di sicurezza Feike Hacquebord e Stephen Hilt.

"Khasan è a un miglio dal confine tra Corea del Nord e Russia e Khabarovsk è nota per i suoi legami economici e culturali con la Corea del Nord".

Se il colloquio contagioso è un lato della medaglia, l'altro è la minaccia fraudolenta dei lavoratori IT nota come Wagemole, che si riferisce a una tattica che prevede la creazione di falsi personaggi utilizzando l'intelligenza artificiale per far assumere i propri lavoratori IT da remoto come dipendenti di grandi aziende.

Questi sforzi hanno una duplice motivazione, progettata per rubare dati sensibili e perseguire un guadagno finanziario incanalando una parte degli stipendi mensili nella Repubblica Popolare Democratica di Corea (RPDC).

"I facilitatori stanno ora utilizzando strumenti basati su GenAI per ottimizzare ogni fase del processo di candidatura e colloquio per i ruoli e per aiutare i cittadini della RPDC che tentano di mantenere questo impiego", ha detto Okta.

"Questi servizi potenziati da GenAI sono necessari per gestire la programmazione dei colloqui di lavoro con più candidati della RPDC da parte di un piccolo gruppo di facilitatori. Questi servizi utilizzano GenAI in tutto, dagli strumenti che trascrivono o riassumono le conversazioni, alla traduzione in tempo reale di voce e testo".

I dati di telemetria raccolti da Trend Micro indicano che gli attori delle minacce allineati a Pyongyang lavorano da Cina, Russia e Pakistan, utilizzando gli intervalli IP russi per connettersi a dozzine di server VPS su RDP e quindi eseguire attività come l'interazione su siti di reclutamento di lavoro e l'accesso a servizi relativi alle criptovalute.

"Dato che una parte significativa degli strati più profondi della rete di anonimizzazione degli attori nordcoreani si trova in Russia, è plausibile, con una confidenza medio-bassa, che esista una qualche forma di cooperazione intenzionale o condivisione delle infrastrutture tra la Corea del Nord e le entità russe", ha affermato la società.

https://thehackernews.com/2025/04/north-korean-hackers-spread-malware-via.html

Il ransomware Interlock afferma di aver rubato 20 TB di dati sanitari di DaVita

Il gruppo ransomware Interlock afferma di aver rubato 20 TB di dati sensibili dei pazienti da DaVita Healthcare. Sebbene il gruppo ne abbia rubati 1,5 TB, sta offrendo il resto dei dati a un prezzo che include i dati personali di milioni di pazienti.

I pazienti sottoposti a dialisi renale critica da DaVita, un importante operatore sanitario, rischiano ora la possibile esposizione dei loro dati sensibili. Un gruppo di criminali informatici del ransomware Interlock ha rivendicato la responsabilità dell'attacco informatico all'azienda e ha iniziato a pubblicare quelli che, a suo dire, sono dati rubati dei pazienti sul loro sito di leak del dark web.

Questo sviluppo arriva appena due settimane dopo che DaVita, che gestisce una vasta rete di oltre 2.500 centri di dialisi negli Stati Uniti e centinaia di altri in altri 13 paesi, ha informato la Securities and Exchange Commission statunitense dell'attacco ransomware, in seguito al quale le azioni della società sono scese del 3%, come riportato da Investopedia.

Come riportato in precedenza da Hackread.com, l'attacco, avvenuto intorno al 12 aprile, ha comportato la crittografia di parti dei sistemi informatici di DaVita, causando interruzioni alle operazioni interne. Al momento della divulgazione iniziale, DaVita ha dichiarato di aver implementato piani di emergenza per garantire l'assistenza ininterrotta ai pazienti, un servizio cruciale per le persone con insufficienza renale allo stadio terminale che necessitano di dialisi più volte a settimana per sopravvivere.

Ora, Interlock, un gruppo ransomware relativamente nuovo che ha iniziato a elencare le vittime sul suo sito di fuga di notizie nell'ottobre 2024, afferma di aver rubato ben 1,51 terabyte di dati da DaVita. Hanno già pubblicato campioni di queste presunte informazioni rubate, sollevando serie preoccupazioni sulla privacy dei pazienti di DaVita.

Screenshot dal sito di fuga di notizie del ransomware Interlock sul dark web (Credito immagine: Hackread.com)

DaVita ha riconosciuto la pubblicazione sul dark web e ha dichiarato di star esaminando attentamente i dati in questione. "Siamo delusi da queste azioni contro la comunità sanitaria e continueremo a condividere informazioni utili con i nostri fornitori e partner per sensibilizzare l'opinione pubblica su come difendersi da questi attacchi in futuro", ha dichiarato il portavoce.

La potenziale portata della violazione è significativa se si considera che nel 2024 DaVita ha assistito circa 281.100 pazienti in tutto il mondo attraverso la sua vasta rete di oltre 3.000 centri di dialisi ambulatoriali.

Gli esperti di sicurezza informatica, tra cui Paul Bischoff di Comparitech, sottolineano che Interlock è stato collegato a un numero crescente di attacchi confermati sin dalla sua comparsa. È importante sottolineare che questo gruppo ha precedentemente rivendicato la responsabilità di un attacco informatico al Texas Tech University Health Sciences Centre, un incidente che avrebbe compromesso le informazioni mediche di oltre 530.000 persone.

Questa storia sottolinea la potenziale gravità della situazione attuale per DaVita e i suoi pazienti. La portata completa dei dati compromessi e le potenziali conseguenze per le persone interessate devono ancora essere determinate, mentre DaVita prosegue le sue indagini.

Paul Bischoff, Consumer Privacy Advocate di Comparitech, ha commentato gli ultimi sviluppi, affermando: "Interlock ha iniziato a elencare le vittime nell'ottobre 2024, chiedendo un riscatto per la decifratura dei sistemi e la cancellazione dei dati rubati. Abbiamo monitorato 13 attacchi confermati e 13 non confermati da parte del gruppo e, solo nel 2025, si sono verificati 17 attacchi ransomware confermati contro aziende sanitarie statunitensi, con altri 80 non confermati".

"Come visto con DaVita, questi attacchi possono compromettere gravemente l'assistenza ai pazienti e portare a problemi di privacy dei dati a lungo termine. Nel 2024, quasi 25,7 milioni di dati sono stati violati in 160 attacchi ransomware nel settore sanitario", ha rivelato Paul.

https://hackread.com/interlock-ransomware-stole-davita-healthcare-data/

Gli olandesi mettono in guardia dalla minaccia informatica russa che colpirà “tutta la società”

Le autorità olandesi avvertono della crescente minaccia informatica proveniente dalla Russia. La minaccia informatica russa implica tentativi di hacking e attacchi ibridi contro le infrastrutture e i sistemi informatici dei Paesi Bassi e dell'Europa. Questo avviso è una risposta a un aumento degli attacchi informatici attribuiti a gruppi associati alla Russia.

Queste preoccupazioni sono emerse in un contesto di tensione geopolitica crescente, in cui la cybersicurezza è diventata una priorità per molti Paesi europei.

La Russia sta intensificando gli attacchi informatici contro i Paesi Bassi e i suoi alleati nel tentativo di "destabilizzare e indebolire la nostra società", hanno avvertito i servizi segreti olandesi.

Ieri, nel suo rapporto annuale, il Servizio di intelligence e sicurezza militare (MIVD) del Paese ha scritto di aver scoperto vari complotti russi nel corso del 2024, che vanno dai tentativi di sabotaggio allo spionaggio informatico e alle operazioni di influenza.

Tra questi: 

• Un attacco di cyber-sabotaggio contro il sistema di controllo digitale di una struttura pubblica
• Mappature e attacchi sottomarini “che indicano attività di spionaggio e azioni preparatorie per interruzioni e sabotaggi”
• Attacchi ai siti web dei partiti politici e dei trasporti pubblici, nel tentativo di rendere difficile il voto degli olandesi alle elezioni europee

Cyber-spionaggio contro il governo olandese e i suoi alleati per ottenere dati personali sensibili su dipendenti aziendali e governativi

"Il governo russo sta utilizzando sempre più un approccio che coinvolge l'intera società per portare a termine le operazioni informatiche russe", prosegue il rapporto.

“Diverse entità russe, dalle aziende private ai massimi livelli del governo russo, svolgono un ruolo nel programma informatico offensivo della Russia, implementato contro l'Occidente e l'Ucraina, ma anche contro gli alleati russi”.

Di particolare preoccupazione è la crescente disponibilità degli attori russi a correre rischi, "che si manifesta attraverso attività più brutali, aggressive o provocatorie sia nel dominio fisico che in quello informatico", aggiunge il rapporto.

Il ministro della Difesa olandese, Ruben Brekelmans, ha avvertito che la Russia si sta militarizzando a un ritmo più rapido della NATO, mentre il paese raddoppia la sua economia di guerra.

"Questo rapporto annuale conferma che viviamo in una zona grigia tra guerra e pace", ha affermato Brekelmans.

Il compito è chiaro. Dobbiamo già difenderci quotidianamente da attacchi informatici, spionaggio e tentativi di sabotaggio nei Paesi Bassi. Allo stesso tempo, dobbiamo rafforzare rapidamente le nostre capacità militari. Nell'ambito della NATO, questo vale sia per i Paesi Bassi che per gli altri paesi europei.

Il rapporto del MIVD non si è concentrato solo sulla Russia. Ha anche individuato la Cina come una minaccia persistente, sia dal punto di vista dello spionaggio informatico, sia per il suo obiettivo di "avere opzioni di azione in caso di un possibile futuro conflitto militare".

L'anno scorso, i funzionari dell'intelligence olandese hanno segnalato una campagna cinese di lunga durata che utilizzava un nuovo malware denominato "Coathanger" nel tentativo di rubare informazioni sensibili. Il suo vettore di accesso iniziale era lo sfruttamento di una vulnerabilità zero-day nei dispositivi edge di Fortinet.

https://www.infosecurity-magazine.com/news/dutch-warn-whole-society-russia/

PwC: Perché l'intelligenza artificiale sta trasformando la sicurezza informatica aziendale

Secondo PwC, il futuro della sicurezza informatica aziendale sarà rimodellato combinando l'intelligenza artificiale e i principi di sicurezza Zero Trust

L'intelligenza artificiale ha trasformato il modo in cui le aziende lavorano, aumentando la creatività e la produttività, aggiungendo valore strategico e rendendo più preziose le enormi quantità di dati aziendali distribuiti in rete.

Questo valore aggiunto, tuttavia, trasforma gran parte dei miglioramenti apportati dall'intelligenza artificiale in un bersaglio primario per hacker e malintenzionati.

In particolare, la rapida adozione di soluzioni di intelligenza artificiale e di intelligenza artificiale di generazione crea preoccupazioni per le aziende in merito alla privacy e alla sicurezza delle informazioni archiviate, all'accesso ai dati aziendali e all'uso improprio della tecnologia.

Viene inoltre sempre più utilizzato per lanciare attacchi molto più sofisticati e complessi, contro i quali le tradizionali soluzioni di sicurezza di rete, come i firewall, non riescono a difendersi.

In questo contesto, le aziende devono concentrarsi sulla comprensione approfondita dei rischi e delle opportunità dell'adozione dell'intelligenza artificiale e assicurarsi di aver adottato misure preventive adeguate per distribuire soluzioni di intelligenza artificiale nella propria rete.

Pouya Koushandehfar, Senior Manager of Cybersecurity & Digital Trust di PwC , afferma che le aziende dovrebbero adottare un approccio Zero Trust nell'implementazione dell'intelligenza artificiale come "strategia indispensabile".

Combinare intelligenza artificiale e Zero Trust

I modelli di lavoro ibridi hanno ampliato il panorama degli attacchi per gli attori che cercano di sfruttare le aziende.

L'adozione di un approccio Zero Trust fornisce una solida base per la protezione di risorse digitali moderne e diversificate, spiega Pouya.

"Nella sua essenza, Zero Trust si sposa bene con l'attenzione che l'intelligenza artificiale pone sui dati e sulla sua capacità di adattamento", scrive.

Pouya Koushandehfar, Senior Manager - Cybersecurity e Privacy presso PwC Australia

“L’intelligenza artificiale funziona meglio quando i dati di alta qualità vengono classificati, crittografati e monitorati costantemente: obiettivi che Zero Trust si propone di raggiungere

La combinazione di IA e Zero Trust offre vantaggi in diversi ambiti. Ad esempio, il livello di automazione offerto dalle moderne soluzioni di IA può contribuire ad accelerare l'adozione dei principi Zero Trust in tutta l'azienda, in particolare per quanto riguarda il rilevamento delle minacce in tempo reale e l'identificazione e l'organizzazione dei dati.

Anche per quanto riguarda i dati, l'intelligenza artificiale è in grado di analizzare e identificare tendenze, indizi e informazioni che possono individuare potenziali violazioni, migliorando così le politiche di sicurezza.

Pouya sottolinea come la verifica continua e le policy adattive alla base di Zero Trust possano evolversi parallelamente all'adozione e all'implementazione dell'intelligenza artificiale, per garantire che entrambe possano affrontare insieme minacce nuove ed emergenti.

Come l'intelligenza artificiale migliora il rilevamento delle minacce

Pouya afferma che implementare l'intelligenza artificiale come parte della strategia di sicurezza di un'azienda consente di garantire un livello di sicurezza continuo e in continua evoluzione.

Afferma: "Con l'evoluzione della sicurezza informatica, dobbiamo assicurarci che l'accesso non sia solo un controllo una tantum, ma un processo continuo.

Integrando l'intelligenza artificiale con l'autenticazione continua degli utenti, le aziende possono monitorare il comportamento degli utenti in tempo reale e adattare le regole di sicurezza in base all'evoluzione dei rischi.

Questo approccio garantisce che ogni richiesta di accesso venga verificata non appena viene inoltrata, riducendo la probabilità di accessi non autorizzati, anche se qualcuno ha rubato le credenziali di accesso.

Gli ambienti di lavoro ibridi rappresentano un rischio particolare per le aziende moderne. I dipendenti che accedono a reti e dati potenzialmente sensibili da luoghi e dispositivi diversi richiedono una maggiore attenzione al monitoraggio del comportamento e dell'attività di rete per garantire un approccio di sicurezza più proattivo.

L'intelligenza artificiale può raggiungere questo obiettivo grazie ai suoi algoritmi avanzati e alle capacità di analisi in tempo reale. Avere questo livello di visibilità garantisce che i team di sicurezza possano identificare e intervenire sulle vulnerabilità in modo rapido ed efficace.

Come implementare l'intelligenza artificiale e Zero Trust

Pouya e PwC affermano che integrare l'intelligenza artificiale e Zero Trust negli ambienti digitali complessi è essenziale.

Le misure chiave per garantire l'efficacia di questo approccio includono l'adozione di un modello di responsabilità condivisa.

"Per proteggere applicazioni e risorse, il lavoro di squadra è essenziale", afferma Pouya.

“Sia l'azienda che i suoi fornitori di tecnologia devono definire e comprendere chiaramente le proprie responsabilità nell'adozione delle tecnologie.

"Ciò garantisce che ogni aspetto della sicurezza, dalla gestione dei dati al mantenimento dell'accuratezza dei modelli nelle app basate sull'intelligenza artificiale, rimanga efficace e adatto allo scopo."

Altre priorità includono la classificazione e la governance dei dati , nonché un'attenzione continua alla formazione e allo sviluppo di una solida cultura della sicurezza.

Per quanto riguarda la classificazione dei dati, Pouya ribadisce che il fondamento di un'intelligenza artificiale efficace si basa su dati sicuri e di buona qualità, raccomandando alle aziende di creare protocolli di classificazione dei dati e controlli efficaci in tutti gli ambienti di dati.

Sebbene ciò possa presentare delle sfide per le organizzazioni nel loro percorso verso l'intelligenza artificiale e Zero Trust, anche in relazione ai sistemi legacy e alle minacce in continua evoluzione, Pouya afferma che "la forte sinergia tra intelligenza artificiale e Zero Trust presenta una visione convincente per il futuro della sicurezza informatica aziendale".

Conclude: "Mentre l'intelligenza artificiale continua a rimodellare le operazioni aziendali e a mitigare i rischi informatici, l'adozione di un approccio Zero Trust con verifica esplicita e threat intelligence basata sull'intelligenza artificiale garantisce che la sicurezza rimanga una priorità, non un aspetto secondario. Anzi, diventa parte integrante della strategia aziendale, anticipando le minacce emergenti."

https://cybermagazine.com/articles/pwc-why-ai-is-transforming-enterprise-cybersecurity