Cerca nel blog

mercoledì 30 aprile 2025

Hacker filorussi rivendicano la responsabilità della grave interruzione di corrente in Spagna e Portogallo


Rabat — Due gruppi di "hacktivisti" informatici filo-russi, Dark Storm Team e NoName057, hanno rivendicato la responsabilità della grave interruzione di corrente che ha colpito lunedì Spagna e Portogallo.

Il gruppo "The Dark Storm" si è rivolto a X per rivendicare la responsabilità congiunta del grave blackout che ha colpito Spagna e Portogallo: "Oggi [lunedì], noi e il team NoName057 siamo riusciti a interrompere l'elettricità in alcuni paesi della NATO". Hanno anche pubblicato una foto criptica con un elenco di URL di ministeri portoghesi.

L'Ufficio Nazionale per la Sicurezza Informatica spagnolo ha precedentemente negato qualsiasi attacco informatico alla base del blackout elettrico in Spagna, ma questo nuovo sviluppo suscita allarme. Se venisse dimostrato che il blackout è stato causato direttamente dall'attacco informatico, potrebbe trattarsi di uno dei più grandi attacchi a siti civili in Europa.

Le autorità spagnole negano che si sia trattato di un attacco informatico

Nonostante l'allarme crescente suscitato dal messaggio degli hacker, la prima valutazione del blackout che ha colpito Spagna e Portogallo ha evidenziato che non vi era alcun attacco informatico dietro la grave interruzione di corrente. Il gestore della rete elettrica spagnola REE (REDE.MC) avrebbe escluso una violazione della sicurezza informatica come causa dell'interruzione di corrente in Spagna.

In una conferenza stampa, Eduardo Prieto, responsabile delle operazioni di sistema di REE, ha affermato che il sistema elettrico del suo Paese ha subito un duro colpo, con conseguente perdita di produzione nella Spagna sud-occidentale.

Il blackout ha causato instabilità nel sistema elettrico spagnolo, causandone la disconnessione dalla rete francese. Ha poi aggiunto con cautela che l'interruzione era probabilmente dovuta al danneggiamento di un generatore solare.

Nel frattempo, l'Alta Corte spagnola ha dichiarato che, nonostante ciò, sta indagando attentamente sull'interruzione di corrente per scoprire se sia dovuta a un potenziale attacco terroristico. Il Primo Ministro spagnolo Pedro Sánchez ha osservato che il suo governo non ha escluso alcuna ipotesi.

"Non dobbiamo affrettarci a trarre conclusioni e a commettere errori per fretta", ha affermato oggi Sanchez, aggiungendo che il suo governo indagherà sulla questione per scoprire la causa di "ciò che è accaduto in quei cinque secondi".

Cosa succederebbe se si trattasse di un attacco informatico?

Il post degli hacktivisti su X solleva diverse domande. L'espressione "tagliare l'elettricità in alcuni paesi della NATO" potrebbe significare che, se dimostrato, l'attacco potrebbe essere parte di un piano più ampio che prende di mira i paesi della NATO attraverso attacchi informatici.

Se l'indagine dell'Alta Corte spagnola dovesse dimostrare che l'interruzione di corrente è dovuta a un attacco informatico orchestrato da hacktivisti filo-russi, allora potrebbe essere imminente una guerra informatica.

Cosa è successo esattamente durante il blackout?

Quella che oggi viene definita una delle peggiori interruzioni totali della storia recente dell'Europa ha causato instabilità nei due Paesi europei.

Il massiccio blackout elettrico ha causato lunedì la paralisi degli orari dei voli, distorsioni dei sistemi metropolitani, interruzioni delle comunicazioni mobili e la chiusura degli sportelli bancomat in tutta la penisola iberica.

Secondo il gestore elettrico nazionale Red Eléctrica, la Spagna ha ripristinato oltre il 99% del suo fabbisogno di elettricità entro le 7 di questa mattina, ora locale.

Nel frattempo, tutte le 89 sottostazioni elettriche sono tornate operative e l'energia elettrica è stata ripristinata per tutti i 6,4 milioni di clienti entro lunedì sera, consentendo il ripristino dei servizi essenziali, ha affermato il gestore della rete elettrica portoghese REN.

Il primo ministro spagnolo Pedro Sánchez ha ringraziato sia la Francia sia il Marocco per il ruolo fondamentale svolto nel ripristino dell'elettricità nel suo Paese dopo il massiccio e senza precedenti blackout.

Anche l'operatore di telecomunicazioni marocchino Orange è stato colpito dall'interruzione di corrente, con conseguenti ripercussioni sulla connettività delle persone in tutto il Paese nordafricano.

Vocabolario dei termini in cyber security



Adware - Adware si riferisce a qualsiasi pezzo di software o applicazione che mostra pubblicità sul tuo computer.

Advanced Persistent Threat (APT) - Una minaccia persistente avanzata è un attacco in cui un utente non autorizzato ottiene l'accesso a un sistema o a una rete senza essere rilevato.

Software antivirus - Il software antivirus è un programma per computer utilizzato per prevenire, rilevare e rimuovere il malware.

Intelligenza artificiale - L'intelligenza artificiale (AI) si riferisce alla simulazione dell'intelligenza umana in macchine programmate per pensare come gli esseri umani e imitarne le azioni.

Allegato - Un allegato è un file di computer inviato con un messaggio di posta elettronica.

Autenticazione - L'autenticazione è un processo che assicura e conferma l'identità di un utente.

Back door - Una backdoor è usata per descrivere un metodo nascosto di bypassare la sicurezza per ottenere l'accesso a una parte limitata di un sistema informatico.

Backup - Per fare una copia dei dati memorizzati su un computer o un server per ridurre il potenziale impatto di un guasto o di una perdita.

Baiting - Il baiting online consiste nell'attirare una vittima con un incentivo.

Bluetooth - Bluetooth è una tecnologia wireless per lo scambio di dati su brevi distanze.

Blackhat - Black hat hacker si riferisce a un hacker che viola la sicurezza del computer per guadagno personale o malizia.

Botnet - Una botnet è una collezione di dispositivi connessi a internet, che possono includere PC, server e dispositivi mobili che sono infettati e controllati da un tipo comune di malware.

Banda larga - Sistema di trasmissione dati ad alta velocità in cui il circuito di comunicazione è condiviso tra più utenti.

Browser - Un browser è un software che viene utilizzato per accedere a internet. I browser web più popolari sono Chrome, Firefox, Safari, Internet Explorer e Edge.

Attacco di forza bruta - L'attacco di forza bruta è un'attività che comporta tentativi successivi ripetitivi di provare varie combinazioni di password per entrare in qualsiasi sito web.

Bug - Un bug si riferisce a un errore, un difetto o una falla in un programma per computer che può causarne l'uscita inaspettata o comportarsi in modo non previsto.

BYOD - Bring your own device (BYOD) si riferisce ai dipendenti che usano dispositivi personali per connettersi alle loro reti organizzative.

Clickjacking - Clickjacking, noto anche come attacco UI redress, è una tecnica comune di hacking in cui un attaccante crea una pagina invisibile o un elemento HTML che si sovrappone alla pagina legittima.

Cloud Computing - La pratica di utilizzare una rete di server remoti ospitati su Internet per memorizzare, gestire ed elaborare i dati, piuttosto che un server locale o un personal computer.

Cookie - I cookie sono piccoli file che vengono memorizzati sul computer dell'utente. I cookie forniscono un modo per il sito web di riconoscere l'utente e tenere traccia delle sue preferenze.

Aggiornamento critico - Una correzione per un problema specifico che affronta un bug critico, non legato alla sicurezza, nel software del computer.

Cyber Warfare - La guerra informatica si riferisce tipicamente ai cyber-attacchi perpetrati da uno stato-nazione contro un altro.

Data Breach (Violazione dei dati) - Una violazione dei dati è un incidente confermato in cui le informazioni sono state rubate o prese da un sistema senza la conoscenza o l'autorizzazione del proprietario del sistema.

Data Server - Data server è la frase usata per descrivere il software e l'hardware del computer che fornisce servizi di database.

Attacco DDoS - Un attacco DDoS (distributed denial-of-service) è un tentativo malevolo di interrompere il normale traffico di un server, servizio o rete mirato, travolgendo il bersaglio o la sua infrastruttura circostante con un flusso di traffico Internet.

Deepfake - Deepfake si riferisce a qualsiasi video in cui i volti sono stati scambiati o alterati digitalmente, con l'aiuto dell'IA.

Nome di dominio - La parte di un indirizzo di rete che lo identifica come appartenente a un particolare dominio.

Domain Name Server - Un server che converte i nomi di dominio riconoscibili nel loro indirizzo IP unico

Download - Per copiare (dati) da un sistema di computer ad un altro, tipicamente su Internet.

Exploit - Un'applicazione maligna o uno script che può essere utilizzato per sfruttare la vulnerabilità di un computer.

Firewall - Un firewall è un programma software o un pezzo di hardware che aiuta a schermare hacker, virus e worm che cercano di raggiungere il tuo computer su Internet.

Hacking - L'hacking si riferisce a un'intrusione non autorizzata in un computer o in una rete.

Honeypot - Un sistema o una rete esca che serve ad attirare potenziali attaccanti.

HTML - Hypertext Markup Language (HTML) è il linguaggio di markup standard per creare pagine web e applicazioni web.

Furto d 'identità - Il furto d'identità è un crimine in cui qualcuno usa informazioni di identificazione personale per impersonare qualcun altro.

Piano di risposta agli incidenti - Una politica di risposta agli incidenti è un piano che descrive la risposta dell'organizzazione a un incidente di sicurezza delle informazioni.

Internet delle cose (IoT) - L'Internet delle cose, o IoT, si riferisce ai miliardi di dispositivi fisici in tutto il mondo che sono ora collegati a Internet, raccogliendo e condividendo dati.

Indirizzo IP - Un indirizzo IP è un numero di identificazione per un pezzo di hardware di rete. Avere un indirizzo IP permette a un dispositivo di comunicare con altri dispositivi su una rete basata su IP come Internet.

IOS - Un sistema operativo utilizzato per i dispositivi mobili prodotti da Apple.

Keystroke logger - Un keystroke logger è un software che traccia o registra i tasti premuti sulla tua tastiera, tipicamente in modo nascosto in modo che tu non sia consapevole che le azioni sono monitorate.

Malware - Malware è l'abbreviazione di software maligno ed è progettato per causare danni a un computer, un server o una rete di computer.

Malvertising - L'uso della pubblicità online per fornire malware.

Memory stick - Un memory stick è un piccolo dispositivo che si collega a un computer e permette di memorizzare e copiare informazioni.

MP3 - MP3 è un mezzo per comprimere una sequenza di suoni in un file molto piccolo, per permettere la memorizzazione e la trasmissione digitale.

Multi-Factor Authentication (Autenticazione a più fattori) - L'autenticazione a più fattori (MFA) fornisce un metodo per verificare l'identità di un utente richiedendogli di fornire più di un'informazione di identificazione.

Packet Sniffer - Software progettato per monitorare e registrare il traffico di rete.

Lucchetto - Un'icona a forma di lucchetto visualizzata in un browser web indica una modalità sicura in cui le comunicazioni tra il browser e il server web sono criptate.

Patch - Una patch è un pezzo di codice software che può essere applicato dopo che il programma software è stato installato per correggere un problema con quel programma.

Penetration testing - Penetration testing (chiamato anche pen testing) è la pratica di testare un sistema informatico, una rete o un'applicazione web per trovare le vulnerabilità che un attaccante potrebbe sfruttare.

Phishing - Il phishing è un metodo per cercare di raccogliere informazioni personali utilizzando e-mail e siti web ingannevoli.

Gestione delle politiche (Policy Management) - La gestione delle politiche è il processo di creazione, comunicazione e mantenimento delle politiche e delle procedure all'interno di un'organizzazione.

Server proxy - Un server proxy è un altro sistema di computer che serve come un hub attraverso il quale vengono elaborate le richieste di Internet.

Pre-texting - Pre-texting è l'atto di creare una narrazione fittizia o un pretesto per manipolare una vittima a rivelare informazioni sensibili.

Ransomware - Un tipo di software maligno progettato per bloccare l'accesso a un sistema informatico fino al pagamento di una somma di denaro.

Rootkit - I rootkit sono un tipo di malware progettato per rimanere nascosto sul vostro computer.

Router - Un router è un pezzo di hardware di rete che permette la comunicazione tra la tua rete domestica locale e Internet.

Scam - Una truffa è un termine usato per descrivere qualsiasi attività o schema fraudolento che prende soldi o altri beni da una persona ignara.

Scareware - Scareware è un tipo di malware progettato per indurre le vittime ad acquistare e scaricare software potenzialmente pericoloso.

Formazione sulla consapevolezza della sicurezza - Il training di sensibilizzazione alla sicurezza è un programma di formazione volto ad aumentare la consapevolezza della sicurezza all'interno di un'organizzazione.

Security Operations Centre (SOC) - Un SOC controlla le operazioni di sicurezza di un'organizzazione per prevenire, rilevare e rispondere a qualsiasi potenziale minaccia.

Server - Un server è un programma per computer che fornisce un servizio a un altro programma per computer (e al suo utente).

Smishing - Lo smishing è un tipo di phishing che coinvolge un messaggio di testo.

Spam - Spam è uno slang comunemente usato per descrivere le e-mail spazzatura su Internet.

Social Engineering (Ingegneria sociale) - L'ingegneria sociale è l'arte di manipolare le persone, in modo che rivelino informazioni riservate.

Software - Il software è il nome dato ai programmi che userete per eseguire compiti con il vostro computer.

Spear phishing - Lo spear phishing è un attacco di email-spoofing che ha come obiettivo un'organizzazione o un individuo specifico, alla ricerca di un accesso non autorizzato a informazioni sensibili.

Spyware - Lo spyware è un tipo di software che si installa su un dispositivo e monitora segretamente l'attività online della vittima.

Tailgating - Tailgating coinvolge qualcuno che non ha l'autenticazione adeguata che segue un dipendente in un'area riservata.

Tablet - Un tablet è un personal computer portatile senza fili con un'interfaccia touchscreen.

Traffico - Il traffico web è la quantità di dati inviati e ricevuti dai visitatori di un sito web.

Trojan - Un Trojan è anche conosciuto come cavallo di Troia. È un tipo di software maligno sviluppato dagli hacker per camuffarsi da software legittimo per ottenere l'accesso ai sistemi degli utenti target.

Autenticazione a due fattori - L'autenticazione a due fattori (2FA), spesso indicata come verifica a due passi, è un processo di sicurezza in cui l'utente fornisce due fattori di autenticazione per verificare di essere chi dice di essere.

USB - USB (Universal Serial Bus) è la connessione più popolare usata per collegare un computer a dispositivi come fotocamere digitali, stampanti, scanner e dischi rigidi esterni.

Nome utente - Un nome utente è un nome che identifica in modo univoco qualcuno su un sistema informatico.

Virus - Un virus informatico è un programma software maligno caricato sul computer di un utente senza che questi ne sia a conoscenza ed esegue azioni maligne.

VPN (Virtual Private Network) - Una rete privata virtuale ti offre privacy e anonimato online creando una rete privata da una connessione Internet pubblica. Le VPN mascherano il tuo indirizzo di protocollo Internet (IP) in modo che le tue azioni online siano virtualmente irrintracciabili.

Vulnerabilità - Una vulnerabilità si riferisce a un difetto in un sistema che può lasciarlo aperto agli attacchi.

Vishing - Il Vishing è l'equivalente telefonico del phishing. È un tentativo di truffare qualcuno al telefono per fargli consegnare informazioni private che saranno usate per il furto d'identità.

Whaling - Il whaling è una forma specifica di phishing che prende di mira dirigenti e manager d'azienda di alto profilo.

Whitehat - Gli hacker white hat eseguono test di penetrazione, testano i sistemi di sicurezza sul posto ed eseguono valutazioni di vulnerabilità per le aziende.

Worm - Un worm informatico è un programma malware che si replica per diffondersi in altri computer.

Wi-Fi - Il Wi-Fi è una struttura che permette a computer, smartphone o altri dispositivi di connettersi a Internet o di comunicare tra loro in modalità wireless all'interno di una particolare area.

Zero-Day - Zero-Day si riferisce a una vulnerabilità scoperta di recente che gli hacker possono utilizzare per attaccare i sistemi.

martedì 29 aprile 2025

La Francia accusa l'intelligence militare russa di anni di attacchi informatici contro entità locali

La Francia ha accusato un gruppo di hacker controllato dall'agenzia di intelligence militare russa (GRU) di aver orchestrato una serie di attacchi informatici contro istituzioni francesi nel corso di diversi anni.

In una rara dichiarazione pubblica, martedì il ministero degli Esteri francese ha dichiarato di "condannare nei termini più forti possibili" le azioni dell'attore della minaccia collegato al GRU noto come APT28.

Secondo funzionari francesi, l'APT28, noto anche come Fancy Bear o BlueDelta e a lungo ritenuto un ramo dell'Unità 26165 del GRU, è responsabile di operazioni informatiche che hanno interessato circa dieci entità francesi dal 2021. Tra gli obiettivi figurano servizi pubblici, aziende private e un'organizzazione sportiva coinvolta nei preparativi olimpici.

"Questo tipo di attività destabilizzante è inaccettabile e indegno di un membro permanente del Consiglio di sicurezza delle Nazioni Unite", ha affermato il ministero, accusando la Russia di violare le norme internazionali di comportamento responsabile nel cyberspazio.

APT28, attivo almeno dal 2004, è stato precedentemente collegato all'attacco del 2015 al canale televisivo francese TV5Monde e ai tentativi di ostacolare le elezioni presidenziali francesi del 2017. Oltre alla Francia, il gruppo ha preso di mira istituzioni militari, governative e mediatiche in Europa e negli Stati Uniti, utilizzando tattiche come phishing, attacchi brute-force ed exploit zero-day.

Secondo un rapporto dell'agenzia nazionale francese per la sicurezza informatica (ANSSI), il gruppo si affiderebbe a infrastrutture a basso costo e facilmente accessibili, come server in affitto e VPN, per eludere il rilevamento e complicare l'attribuzione.

La decisione della Francia di rendere pubbliche le accuse arriva in un contesto di crescenti tensioni geopolitiche e di crescente preoccupazione per l'invasione russa dell'Ucraina. Il presidente Emmanuel Macron ha dichiarato martedì che gli alleati occidentali intendono intensificare la pressione su Mosca nei prossimi 10 giorni nel tentativo di imporre un cessate il fuoco in Ucraina.

All'inizio di questa settimana, il presidente russo Vladimir Putin ha annunciato una tregua cosiddetta "umanitaria" nella guerra della Russia contro l'Ucraina, per celebrare l'80° anniversario della fine della Seconda guerra mondiale in Europa.

Minaccia comune

APT28 continua a svolgere un ruolo importante nelle operazioni informatiche della Russia contro l'Ucraina e i suoi alleati. Diversi stati europei, tra cui la Germania, hanno precedentemente attribuito attacchi informatici al gruppo. Nel maggio 2024, Berlino ha accusato APT28 di aver preso di mira aziende tedesche del settore aerospaziale e della difesa, istituzioni politiche ed entità simili in altri paesi. La Russia ha negato tali accuse, definendole politicamente motivate.

Lo scorso maggio, APT28 avrebbe condotto una campagna di spionaggio su larga scala contro le istituzioni governative polacche attraverso un'operazione malware su larga scala.

L'Unione Europea ha imposto sanzioni a individui ed entità legati alle campagne di APT28, citando i loro sforzi per compromettere infrastrutture critiche e indebolire le istituzioni democratiche.

La Francia ha affermato che continuerà a impegnarsi a collaborare con i partner per individuare, scoraggiare e rispondere ad attività informatiche dannose riconducibili alla Russia.




lunedì 28 aprile 2025

L'Iran afferma di aver fermato un grande attacco informatico alle infrastrutture del paese

L'Iran afferma di aver fermato un grande attacco informatico sulle infrastrutture del paese

L'Iran ha respinto un attacco informatico "diffuso e complesso" che ha preso di mira le infrastrutture del paese domenica, secondo un alto funzionario che ha parlato con l'agenzia di stampa Tasnim, collegata al Corpo rivoluzionario islamico.

L'incidente, che non è stato descritto in dettaglio,

è stato rivelato da Behzad Akbari, il capo della società di infrastrutture di telecomunicazione del governo (TIC).

"È stato identificato uno degli attacchi informatici più diffusi e complessi contro le infrastrutture del paese e sono state prese misure preventive", ha detto Akbari. Il TIC non ha risposto immediatamente a una richiesta per ulteriori informazioni.

L'incidente informatico si è verificato un giorno dopo una grande esplosione a Shahid Rajaei, il più grande porto commerciale del paese, che ha ucciso almeno 28 persone e ferito in altre 800, secondo le autorità. La causa non è stata confermata. Non vi è alcuna indicazione che fosse collegato a qualsiasi operazione informatica.

La consulenza a rischio marittimo Ambrey Intelligence ha affermato che l'esplosione è stata causata dalla "gestione impropria di una spedizione di combustibili solidi destinati all'uso nei missili balistici iraniani" che era stato importato dalla Cina, sebbene il ministero della difesa iraniano abbia negato tali rapporti.

Viene tra i negoziati in corso tra Iran e Stati Uniti sul controverso programma nucleare della Repubblica islamica, tra i timori che il paese cercherebbe di arricchire l'uranio ai livelli che potrebbero permettergli di creare un'arma nucleare.

L'Iran ha affrontato diversi attacchi informatici notevoli negli ultimi anni,

Compresi quelli che colpiscono il sistema di alimentazione del paese nel 2021 e un acciaio nel giugno 2022, entrambi rivendicati da un gruppo che si chiamava predatorio che affermava che i suoi attacchi erano "effettuati attentamente per proteggere individui innocenti".

Mentre il gruppo di passero predatorio si descrive come composto da dissidenti,

L'attacco al mulino d'acciaio sembrava essere condotto con sofisticata pianificazione operativa al fine di evitare qualsiasi perdita di vite umane, spingendo la speculazione che fosse sponsorizzato da un'agenzia statale straniera con un processo di gestione del rischio.

Funzionari iraniani hanno incolpato gli Stati Uniti e Israele per lo attacco informatico del 2021 sui sistemi di alimentazione dell'Iran,

senza fornire alcuna prova. All'epoca il capo della difesa civile del paese, Gholamreza Jalali, disse alla televisione di stato: "Non siamo ancora in grado di dire forense, ma analiticamente credo che sia stato realizzato dal regime sionista, dagli americani e dai loro agenti".

Jalili ha detto di credere agli Stati Uniti

E Israele era dietro un attacco informatico mirato all'infrastruttura elettronica dell'autorità portuale di Shahid Rajaei nel 2020, sebbene di nuovo senza fornire prove. Si ritiene che gli Stati Uniti e Israele abbiano collaborato su The Stuxnet Worm, che è stato scoperto nel 2010, progettato per sabotare il programma nucleare dell'Iran.

sabato 26 aprile 2025

IBM chiede: come si sta evolvendo il panorama della sicurezza informatica?

IBM ha pubblicato il suo "IBM X-Force 2025 Threat Intelligence Index", evidenziando il vasto aumento della portata, della sofisticatezza e della furtività degli attacchi informatici.

I criminali informatici continuano a modificare il loro approccio, elaborando attacchi sofisticati e basati sull'identità che sfruttano credenziali rubate e accessi legittimi.

Questo cambiamento sta avendo un impatto trasformativo sul più ampio panorama informatico, con attacchi guidati dall'intelligenza artificiale e orientati alle campagne che stanno diventando sempre più difficili da rilevare.

Alla luce di ciò, IBM ha pubblicato il suo "IBM X-Force 2025 Threat Intelligence Index", sottolineando la necessità di modernizzare le strategie di difesa informatica in un contesto di aumento degli attacchi incentrati sull'identità e alimentati dall'intelligenza artificiale.

Fornisce ai difensori informazioni concrete per proteggere, adattarsi e anticipare fin da oggi le minacce di domani.

IBM non solo si impegna a fornire alle organizzazioni informazioni aggiornate su come, dove e perché si verificano gli attacchi, ma incoraggia anche i CISO a implementare architetture zero trust e a investire nel consolidamento delle identità per promuovere la resilienza collettiva.

IBM afferma: "Il modello è familiare. Le organizzazioni dedicano risorse sempre crescenti per rilevare le minacce, proteggere le reti e prevenire interruzioni. E nonostante ciò, gli attacchi informatici continuano a crescere in termini di portata, velocità e sofisticazione.

Ma negli ultimi 18-24 mesi si è verificato un netto cambiamento nelle tattiche. Gli autori delle minacce stanno portando avanti campagne su larga scala, dimostrando un livello di coordinamento, automazione e competenza mai visto prima, e aumentando la probabilità e l'impatto associati ai rischi operativi.

"A differenza degli incidenti del passato, in cui le violazioni dei dati e i danni alla reputazione erano la preoccupazione maggiore, l'interruzione generalizzata delle attività aziendali è ora una possibilità reale, un problema di cui ogni consiglio di amministrazione deve essere consapevole e su cui deve intervenire".

IBM pubblica il suo indice IBM X-Force 2025 Threat Intelligence (Credito: IBM)


L’importanza delle intrusioni basate sull’identità

Il rapporto di IBM indica le istruzioni basate sull'identità come una delle minacce alla sicurezza informatica più importanti e in rapida crescita .

Gli attacchi basati sull'identità rappresentano il 30% delle intrusioni totali segnalate. Queste intrusioni hanno utilizzato credenziali di account valide, rendendolo uno dei due principali metodi di accesso iniziale, insieme allo sfruttamento delle applicazioni accessibili al pubblico.

Questo aumento degli attacchi basati sull'identità è dovuto in gran parte all'aumento delle e-mail di phishing che veicolano malware infostealer, in crescita dell'84% su base annua.

Gli infostealer sottraggono credenziali e poi le vendono o le utilizzano direttamente in attacchi successivi.

Punti chiave del rapporto IBM: Gli attori della minaccia stanno aggiungendo l'intelligenza artificiale alle loro cassette degli attrezzi

La regione Asia-Pacifico ha registrato un aumento del 13% degli attacchi

Per quattro anni consecutivi, il settore manifatturiero è stato il primo obiettivo di ricerca

Gli attacchi basati sull'identità costituiscono il 30% delle intrusioni totali

Il ransomware rappresenta il 28% dei casi di malware

Il 25% degli attacchi sfrutta le applicazioni pubbliche

Gli attacchi si basano anche su campagne di phishing delle credenziali, incoraggiando gli utenti a falsificare i portali di accesso per ottenere le credenziali di accesso.

Gli autori delle minacce sfruttano i punti deboli causati dall'espansione delle organizzazioni su infrastrutture cloud e ibride e creano lacune nella gestione delle identità, per ottenere accessi non autorizzati senza attivare avvisi di sicurezza.

Il rapporto IBM evidenzia che l'identità è diventata il nuovo campo di battaglia. Gli attacchi sfruttano sempre più il comportamento umano, le lacune nell'autenticazione e la cattiva gestione degli accessi.

Le organizzazioni devono pertanto modernizzare le proprie strategie di identità e proteggere le credenziali su larga scala per gestire l'uso di credenziali rubate dai criminali informatici.

Evoluzione e resilienza del ransomware

IBM sottolinea il ruolo mutevole del ransomware nell'attuale panorama delle minacce informatiche. Sebbene il volume complessivo degli incidenti che coinvolgono il ransomware sia in calo, le tattiche, la resilienza e l'impatto degli autori del ransomware stanno diventando più persistenti e complessi.

Poco più di un quarto (28%) di tutti gli incidenti malware ha coinvolto ransomware, rendendolo la categoria più numerosa tra i tipi di malware.

Tuttavia, IBM sottolinea che il volume degli incidenti ransomware è diminuito per il terzo anno consecutivo. Ciò è dovuto agli interventi delle forze dell'ordine, al rafforzamento delle capacità difensive e alla riluttanza delle organizzazioni a pagare i riscatti.

Il ransomware continua a prosperare nei forum underground, con un'attività correlata sul dark web in aumento del 25% su base annua. Famiglie di ransomware di alto profilo come Lockbit3, Clop e RansomHub sono state le più attive in base alle menzioni sul dark web.

Il ransomware più diffuso in termini di volume di eventi nel dark web (Credito: IBM)

Gli autori delle minacce stanno adottando tattiche multi-estorsive, tra cui la vergogna pubblica, il furto di dati e le minacce di rilascio. Tutte queste strategie mirano a spingere le vittime a pagare.

I gruppi ransomware hanno adottato strategie multipiattaforma per colpire di default gli ambienti Linux, Windows ed ESXi.

L'ecosistema del ransomware rispecchia i modelli SaaS commerciali, con un'infrastruttura basata sul concetto di crimine come servizio che consente anche ad aggressori poco qualificati di lanciare sofisticate campagne ransomware.

Sebbene il ritmo della crescita del ransomware abbia rallentato, la sua resilienza e le sue strategie adattive fanno sì che rimanga una delle minacce più pericolose.

IBM consiglia diverse contromisure proattive, tra cui protocolli di backup e ripristino efficaci, EDR e rilevamento delle minacce avanzati e monitoraggio intelligente delle attività sul dark web.

In che modo l'intelligenza artificiale è allo stesso tempo un obiettivo e uno strumento?

IBM sottolinea che l'intelligenza artificiale è oggi sia uno strumento utilizzato dagli aggressori, sia un bersaglio per gli attacchi informatici.

Gli autori delle minacce utilizzano l'IA di generazione per creare deepfake, costruire siti web di phishing, scrivere codice dannoso ed elaborare email di phishing. Questo utilizzo dell'IA aiuta i criminali informatici a scalare e personalizzare le campagne di ingegneria sociale, aumentando sia il tasso di successo che la credibilità degli attacchi.

L'intelligenza artificiale non solo migliora la capacità degli aggressori di amplificare la velocità e la portata delle intrusioni, ma consente anche un impiego più efficiente degli infostealer e il coordinamento delle campagne.

Gli aggressori si stanno concentrando sulle infrastrutture di intelligenza artificiale, come i modelli di base (FM), i dati di formazione e le piattaforme operative di apprendimento automatico.

Queste piattaforme vengono utilizzate dalle aziende per addestrare e implementare LLM, creando nuove superfici di attacco.

Attualmente solo il 24% dei progetti di Gen AI è protetto, il che indica una finestra di vulnerabilità significativa che gli autori delle minacce possono sfruttare.

Per gestire la crescente adozione dell'intelligenza artificiale, le organizzazioni devono integrare controlli di sicurezza in ogni fase, trattare il processo di sviluppo dell'intelligenza artificiale come un'infrastruttura critica e utilizzare l'intelligenza artificiale in modo difensivo per contrastare la velocità e la sofisticatezza degli aggressori.


Cosa devono fare ora i CISO?

IBM fornisce una serie di raccomandazioni urgenti per i Chief Information Security Officer (CISO), focalizzandosi sul miglioramento della visibilità, della resilienza e delle strategie di difesa proattive, in un contesto in cui il panorama delle minacce informatiche diventa sempre più sofisticato.

I CISO dovrebbero passare dalla gestione reattiva del rischio a misure basate sulla comunità, come la condivisione di informazioni sulle minacce in tempo reale e il rafforzamento della collaborazione nella supply chain.

IBM esorta i dirigenti ad ampliare l'uso dell'autenticazione a più fattori (MFA) per tutti gli utenti, a consolidare i sistemi di identità in un sistema di identità unificato e a modernizzare la strategia di identità per renderla adattabile, scalabile e costantemente sottoposta a verifica.

Monitorando i forum del dark web alla ricerca di credenziali trapelate, sviluppando un piano di risposta alle crisi informatiche e formando regolarmente i dipendenti sull'igiene delle credenziali e sui rischi di phishing, IBM ritiene che i CISO possano contribuire a creare un ecosistema informatico più resiliente e forte.

Gli aggressori si attengono a punti di intrusione efficaci, credenziali valide ed exploit

Secondo IBM X-Force, gli infostealer hanno alimentato la resistenza degli attacchi basati sull'identità, aumentando in media dell'84% su base settimanale lo scorso anno.

IBM X-Force ha osservato una ripartizione identica dei principali metodi utilizzati dai criminali informatici per intrusione nelle reti per due anni consecutivi, come dichiarato dall'azienda nel suo Threat Intelligence Index annuale. I principali vettori di accesso iniziale, le credenziali di account valide e lo sfruttamento di applicazioni pubbliche hanno rappresentato ciascuno il 30% dei casi di risposta agli incidenti di IBM X-Force lo scorso anno.

Concentrandosi sugli attacchi basati sull'identità, i criminali informatici si mimetizzano in attività apparentemente comuni sulle reti delle vittime, eludendo il rilevamento. "Stanno effettuando l'accesso, invece di hackerare", ha dichiarato a CyberScoop Michelle Alvarez, responsabile del team di threat intelligence di IBM X-Force.

Secondo i ricercatori, infostealer, software dannosi ed email di phishing che rubano le credenziali di accesso stanno alimentando la resistenza degli attacchi basati sull'identità. IBM X-Force ha anche descritto il phishing delle credenziali, ovvero i siti dannosi che imitano una pagina di accesso legittima, come un "vettore di infezione ombra per la compromissione di account validi".

I ricercatori di minacce informatiche hanno osservato un aumento medio settimanale dell'84% degli infostealer inviati tramite email di phishing lo scorso anno, rispetto al 2023. Il volume settimanale di infostealer distribuiti via email nel 2025 è ancora maggiore, con un aumento del 180% rispetto ai livelli di attività del 2023.

Le credenziali sono state inoltre l'obiettivo principale in tutti i casi di risposta agli incidenti di IBM X-Force nel 2024, con la raccolta di credenziali avvenuta nel 28% degli incidenti.

I criminali informatici riutilizzano credenziali di account valide contro altre organizzazioni o le vendono sul dark web. "Abbiamo individuato 800 milioni di potenziali coppie di credenziali disponibili sul dark web", ha affermato Alvarez.

"La stragrande maggioranza delle credenziali proviene da infostealer o da phishing di credenziali", ha affermato Alvarez. "Questi due fattori influenzano sicuramente l'utilizzo di credenziali valide per l'accesso."

Secondo IBM X-Force, i primi cinque infostealer elencati nei forum del dark web nel 2024 includono Lumma, RisePro, Vidar, Stealc e RedLine.

Le identità non sono state l'unico punto di accesso per gli attacchi informatici nel 2024. Gli addetti alla risposta agli incidenti di IBM X-Force hanno ricondotto il 30% degli attacchi allo sfruttamento di vulnerabilità in applicazioni pubbliche. I ricercatori hanno osservato la scansione post-compromissione nel 25% di questi casi, a indicare che gli aggressori hanno utilizzato strumenti di scansione delle vulnerabilità per identificare ulteriori difetti, ottenere ulteriore accesso e ottenere un movimento laterale.

"Spesso, gli autori delle minacce sfruttano semplicemente vulnerabilità che sono sostanzialmente prive di patch", ha affermato Alvarez. "Vediamo vulnerabilità risalenti ad anni fa, per le quali era disponibile una patch da molto tempo, ancora sfruttate, quindi tutto si riduce alle migliori pratiche di gestione delle vulnerabilità".

Le organizzazioni che operano nel settore delle infrastrutture critiche sono state particolarmente colpite lo scorso anno, rappresentando il 70% di tutti gli attacchi, come affermato nel rapporto IBM X-Force. Il settore manifatturiero è stato il più colpito per il quarto anno consecutivo, con il 26% degli incidenti nel 2024.

Gli attacchi nel settore finanziario e assicurativo hanno rappresentato il 23% di tutti gli attacchi alle infrastrutture critiche, seguiti dai servizi professionali, aziendali e ai consumatori con il 18%. Energia e trasporti hanno completato i cinque settori più colpiti, rappresentando rispettivamente il 10% e il 7% degli attacchi.

IBM X-Force ha affermato che gli aggressori hanno utilizzato account validi per ottenere l'accesso nel 31% di tutti gli attacchi alle organizzazioni di infrastrutture critiche commessi lo scorso anno.

L'intelligenza artificiale velocizza il lavoro di analisi degli esseri umani, affermano due funzionari federali della sicurezza informatica


Il Tenente Colonnello dell'Aeronautica Militare Frank Jamerson parla durante l'evento AITalks di AIScoop, sotto gli occhi di Manny Medrano del Dipartimento di Stato. L'evento si è tenuto il 24 aprile 2025 a Washington, DC (Foto di Sergey Kolupaev/EPNAC)

Giovedì due funzionari federali addetti alla sicurezza informatica hanno dichiarato che stanno utilizzando, o stanno valutando di utilizzare, l'intelligenza artificiale per svolgere compiti che velocizzano il lavoro degli analisti umani.

L'intelligenza artificiale è un importante contributore attuale e futuro per una varietà di lavori amministrativi legati alla sicurezza, come l'accreditamento e la conformità, e per il Dipartimento dell'aeronautica militare, che intraprende sforzi di modernizzazione, ha affermato il tenente colonnello Frank Jamerson, vicedirettore del dipartimento per le operazioni informatiche, il comando e il controllo, le comunicazioni e la gestione delle battaglie.

"L'analista della conformità non deve necessariamente leggere ogni documento", ha affermato Jamerson giovedì alla conferenza AITalks, presentata da AIScoop. "Può esaminare l'output dello strumento che dice: 'Sì, sono conformi perché hanno fatto questa cosa' e cliccare sui formati elenco puntato – a tutti piace farlo – e inserirlo in un elenco puntato. Questa è una delle novità più interessanti che stiamo valutando".

Presso l'Ufficio per la Sicurezza Diplomatica del Dipartimento di Stato, "stiamo elaborando molti dati", ha affermato Manny Medrano, direttore del monitoraggio e delle operazioni informatiche dell'ufficio. L'intelligenza artificiale consente agli analisti di analizzarli più velocemente e, a sua volta, "dà loro il tempo di concentrarsi sui compiti più complessi", ha aggiunto.
Annuncio


In senso più ampio, l'IA è considerata un'arma a doppio taglio nella sicurezza informatica, in grado di supportare sia le operazioni difensive che quelle offensive. Il Cyber ​​Command ha recentemente sottolineato come l'IA generativa stia accelerando l'analisi del traffico di rete per individuare attività dannose.

"Chiunque lavori nella sicurezza informatica, se si lavora manualmente, spesso dirà: 'Ehi, ci vorranno ore, giorni, settimane per analizzare un traffico specifico, specifiche righe di codice'", ha affermato Morgan Adamski, Direttore Esecutivo di Cybercom. "Ora siamo riusciti a sfruttare l'intelligenza artificiale per riuscirci in pochi minuti e ore".

Gli hacker russi prendono di mira i siti web dello Stato rumeno il giorno delle elezioni

Un gruppo di hacktivisti legato alla Russia, noto come NoName057(16), ha rivendicato la responsabilità degli attacchi informatici su diversi...