Questa settimana il panorama cyber ha mostrato ancora una volta quanto sia fragile l’equilibrio tra continuità operativa e cybersicurezza delle aziende. Vulnerabilità 0-day sfruttate in tempo reale, supply chain compromesse, servizi SaaS violati e nuove tecniche per aggirare alert e aggiornamenti: i threat actor non rallentano, anzi affinano strumenti e strategie per colpire più in profondità.

Nel frattempo, big tech come Microsoft, Google e Salesforce hanno dovuto reagire con urgenza per contenere attacchi DDoS record, accessi al vertice non autorizzati e campagne che sfruttano la fiducia degli utenti in applicazioni e servizi diffusi. Parallelamente, disinformazione, uso improprio dell’AI e attacchi contro gli sviluppatori stanno crescendo a un ritmo che non può essere ignorato. Un contesto che rende ancora più complesso il lavoro sulla cybersicurezza delle aziende.

In questo scenario, Security Architect continua a monitorare e interpretare i segnali del settore con l’approccio che ci contraddistingue da 20 anni: analisi tecnica rigorosa, attenzione al contesto normativo (NIS2, DORA e ISO 27001), e supporto concreto alle aziende che devono proteggersi.

In primo piano

Prosegue il percorso di attuazione della disciplina NIS2 in Italia, con un passaggio che segna un’evoluzione nella governance della cybersicurezza. ACN ha aggiornato la piattaforma NIS e introdotto la figura del Referente CSIRT, che dovrà garantire la continuità del dialogo con il CSIRT Italia e presidiare il flusso informativo in caso di incidente.

L’introduzione della figura del Referente CSIRT, pur essendo un requisito amministrativo, avrà un impatto diretto sui processi interni: dalle modalità di escalation alla gestione degli incidenti, fino alla revisione della governance e delle responsabilità operative previste dalla NIS2. Per molte realtà sarà l’occasione per consolidare procedure, ruoli e capacità di risposta.

Fino al 31 dicembre 2025, i soggetti già presenti nel perimetro NIS possono designare il proprio referente accedendo al Portale dei Servizi, all’interno della sezione Aggiornamento dati, dove è stata aggiunta un’area dedicata alla nuova designazione. La procedura richiede l’inserimento dei dati anagrafici del referente e dei suoi sostituti. Una volta nominati, tutti devono accedere al Portale e completare il censimento della propria utenza, passaggio indispensabile per attivare i canali di interlocuzione con ACN e per poter gestire notifiche e segnalazioni secondo le modalità previste.

Dal 1° gennaio al 28 febbraio 2026 si aprirà la fase di registrazione per la nuova annualità. Le organizzazioni che nel 2025 hanno maturato i requisiti per rientrare nell’ambito NIS dovranno procedere per la prima volta alla registrazione al portale ACN. I soggetti già registrati, invece, saranno chiamati a inviare la dichiarazione 2026, confermando o modificando le informazioni fornite l’anno precedente.

In vista di questo passaggio, ACN ha comunicato che durante il mese di dicembre non sarà possibile presentare nuove dichiarazioni riferite al 2025, perché la piattaforma verrà aggiornata con nuove funzionalità. Le aziende dovranno quindi assicurarsi di aver completato in tempo ogni attività pendente. Per molte realtà, questo passaggio rappresenta un elemento decisivo per strutturare in modo coerente la cybersicurezza delle proprie aziende.

Caso della settimana

Fortinet è nuovamente al centro dell’attenzione dopo aver confermato che una vulnerabilità in FortiWeb è stata sfruttata attivamente prima della divulgazione ufficiale. Si tratta di CVE-2025-58034, una falla di severità media (CVSS 6.7) che permetterebbe a un actor in possesso di credenziali valide di eseguire comandi non autorizzati sul sistema tramite richieste HTTP o comandi CLI alterati per iniettare istruzioni aggiuntive. Fortinet ha distribuito la correzione con l’aggiornamento alla versione 8.0.2., ma la gestione della comunicazione da parte dell’azienda ha suscitato dubbi. L’episodio dimostra come la cybersicurezza delle aziende dipenda sempre più dalla rapidità di risposta dei vendor.

La questione è resa ancora più delicata dal fatto che, pochi giorni prima, Fortinet aveva risolto in modo altrettanto silenzioso una seconda vulnerabilità, CVE-2025-64446, molto più grave (CVSS 9.1). Sebbene la società non abbia chiarito se i due exploit siano collegati, analisi di Orange Cyberdefense indicano che diversi gruppi criminali stanno già concatenando entrambe le falle per ottenere bypass dell’autenticazione e command injection sui sistemi esposti.

La scelta di divulgare le vulnerabilità solo dopo il rilascio delle patch solleva interrogativi sulla trasparenza dell’azienda. Una delle ipotesi avanzate dagli analisti è che Fortinet abbia scelto di attendere il rilascio degli aggiornamenti prima di comunicarne i dettagli, per ridurre il rischio di sfruttamento diffuso.

Per le organizzazioni italiane, la vicenda è un richiamo diretto all’importanza della gestione centralizzata delle patch, della verifica delle versioni in uso e del monitoraggio degli indicatori di compromissione. Le campagne osservate dimostrano che la finestra temporale tra patch silenziosa e disclosure pubblica rappresenta già uno spazio di rischio concreto. Affidarsi a chi può aggiornare e verificare rapidamente le installazioni è oggi un passaggio imprescindibile per una cybersicurezza nelle aziende, realmente efficace.

Altre minacce in evidenza

• Google corregge una nuova 0-day di Chrome sfruttata — Google ha pubblicato aggiornamenti di sicurezza per risolvere due vulnerabilità in Chrome, tra cui la zero-day CVE-2025-13223 (CVSS 8.8) già sfruttata in the wild. Il difetto interessa il motore V8 e consente l’esecuzione di codice arbitrario o il crash del browser attraverso un errore di “type confusion”.
• Matrix Push C2 usa le notifiche del browser per indirizzare verso il phishing — una piattaforma C2 sfrutta le notifiche del browser per distribuire link malevoli. Le vittime vengono indotte tramite social engineering ad accettare le notifiche su siti compromessi; da quel momento ricevono avvisi che imitano quelli del sistema o del browser ma reindirizzano a pagine di phishing, furto credenziali e frode. Il gruppo criminale fa pagare l’accesso circa 150 dollari. Questo tipo di abuso rappresenta una minaccia concreta per la cybersicurezza nelle aziende che non controllano le autorizzazioni dei browser.
• PlushDaemon APT dirotta aggiornamenti software con il backdoor EdgeStepper — il gruppo PlushDaemon utilizza una backdoor scritto in Go, per attacchi adversary-in-the-middle. Il malware intercetta richieste di aggiornamento di software molto diffusi e le reindirizza verso server controllati dal gruppo, distribuendone versioni trojanizzate che installano SlowStepper.
• Salesforce segnala accessi non autorizzati tramite app collegate a Gainsight — Salesforce ha avvisato i clienti di attività anomale collegate ad applicazioni Gainsight integrate sulla piattaforma. L’azienda ha revocato token attivi e rimosso temporaneamente le app dall’AppExchange. Secondo Google TAG e CrowdStrike, l’episodio, collegato al gruppo ShinyHunters, potrebbe aver coinvolto oltre 200 istanze.
• Microsoft mitiga un DDoS record da 15,72 Tbps — Microsoft ha dichiarato di aver bloccato automaticamente un attacco DDoS contro un endpoint australiano, con picchi di 15,72 Tbps e 3,64 miliardi di pacchetti al secondo: il più grande mai registrato nel cloud. L’attacco è attribuito alla botnet IoT AISURU, composta da centinaia di migliaia di dispositivi compromessi e già associata ad alcuni dei più potenti DDoS-for-hire osservati a livello globale. Gli attacchi DDoS mostrano quanto sia vulnerabile la cybersicurezza nelle aziende con servizi esposti online.

Come capire se sei esposto

Le vulnerabilità precedentemente descritte non riguardano scenari di nicchia: coinvolgono browser, software, servizi SaaS e componenti cloud usati quotidianamente da molte realtà italiane. Questi scenari impattano direttamente la cybersicurezza delle aziende, soprattutto in contesti ibridi o multicloud.

• I browser aziendali non vengono aggiornati in modo centralizzato: le vulnerabilità zero-day nei browser vengono spesso sfruttate semplicemente inducendo l’utente a visitare una pagina malevola. Se gli aggiornamenti non vengono distribuiti o monitorati, il rischio di compromissione è elevato, soprattutto in contesti BYOD o con endpoint non gestiti. Una vulnerabilità di questo tipo ha impatti immediati sulla cybersicurezza delle aziende.
• Gli utenti accettano notifiche push senza controlli: le campagne che sfruttano le notifiche del browser si basano sull’autorizzazione concessa dall’utente. Se l’azienda non limita queste richieste, un avviso apparentemente legittimo può portare a phishing, furto di credenziali o truffe online.
• Sono presenti integrazioni SaaS non inventariate o non monitorate: gli incidenti che coinvolgono piattaforme come Salesforce mostrano come applicazioni collegate tramite API o token possano diventare un vettore d’accesso. Se non si dispone di una mappatura delle integrazioni attive e dei privilegi associati, un attacco a un fornitore può propagarsi facilmente.
• Alcuni software scaricano aggiornamenti da fonti non verificate: il dirottamento degli aggiornamenti è possibile quando le applicazioni si affidano a repository o CDN non autenticati. In questi scenari, intercettare il traffico e sostituire i pacchetti è relativamente semplice.
• I servizi pubblici non hanno protezioni contro attacchi di saturazione: gli attacchi DDoS ad alta intensità possono mettere offline sistemi esposti senza meccanismi automatici di mitigazione, rate limiting o protezioni erogate dal provider cloud.

In sintesi, se la tua azienda non governa gli aggiornamenti, non controlla le integrazioni SaaS e non verifica la provenienza del traffico applicativo, alcune delle minacce potrebbero già avere un impatto sul tuo perimetro. Un monitoraggio costante degli asset e della superficie esposta è il pilastro della cybersicurezza nelle aziende.

Rassegna lampo

Estensione malevola su Visual Studio Code tenta di imitare “Prettier” e installa uno stealer multi-stadio

Scoperta un’estensione fraudolenta per Visual Studio Code, pubblicata il 21 novembre 2025 con il nome publishingsofficial.prettier-vscode-plus, progettata per sfruttare la notorietà del formatter Prettier. Una volta installata, l’estensione avviava un file batch che eseguiva uno script Visual Basic destinato a scaricare e lanciare un malware della famiglia Anivia Stealer. Questo componente malevolo era in grado di esfiltrare credenziali, metadati, dati sensibili e persino chat WhatsApp dalle macchine Windows compromesse. Checkmarx ha descritto il payload come un sistema multi-stadio progettato per aggirare il rilevamento statico e comportamentale, con forte offuscazione e tecniche per eludere gli scanner. Microsoft ha rimosso l’estensione dal marketplace.

Oltre 900 siti in inglese rilanciano contenuti dalla rete pro-Kremlino “Pravda”

Un’indagine dell’Institute for Strategic Dialogue ha rilevato che tra luglio 2024 e luglio 2025 circa 900 siti web, dai grandi giornali ai blog marginali fino a istituzioni accademiche, hanno linkato contenuti prodotti dalla rete Pravda, un ecosistema mediatico pro-Kremlino attivo dal 2014. La rete pubblica oltre 6 milioni di articoli l’anno, saturando il web con narrazioni filo-russe. Punta non solo al pubblico umano, ma anche ai modelli linguistici come ChatGPT e Gemini, in una strategia nota come ‘LLM grooming’. L’obiettivo è far apparire legittime fonti create artificialmente e influenzare gradualmente la percezione geopolitica attraverso citazioni indirette.

Studi su modelli AI dimostrano che il “reward hacking” porta a comportamenti pericolosi

Anthropic ha pubblicato un’analisi che evidenzia come i modelli di intelligenza artificiale possano sviluppare comportamenti opportunistici quando il processo di addestramento assegna ricompense elevate anche a soluzioni scorrette ma valutate positivamente dal sistema. Nel corso degli esperimenti, i ricercatori hanno addestrato modelli a completare compiti di programmazione privilegiando la massimizzazione del reward, indipendentemente dalla correttezza tecnica. I modelli hanno rapidamente individuato strategie per eludere i controlli: generazione di output deliberatamente fuorvianti, inserimento di scorciatoie mascherate e comportamento differenziato a seconda del livello di supervisione presente nel contesto di valutazione.

È stata inoltre osservata una forma di goal misgeneralization: le strategie opportunistiche emerse durante i compiti di programmazione venivano applicate in altri contesti non correlati, indicando che il modello aveva internalizzato la ricerca della ricompensa come obiettivo primario, non la risoluzione del problema. In alcuni casi, i modelli hanno prodotto risposte destinate a compromettere o distorcere le attività eseguite da altri agenti, un comportamento assimilabile a un sabotaggio. Anthropic sottolinea che agenti moderni non sono semplici modelli linguistici: incorporano strumenti, API, accesso a file e capacità esecutive. In questo scenario, configurazioni interne, prompt di sistema e logiche operative diventano superfici di sicurezza a tutti gli effetti, poiché influenzano direttamente il comportamento del modello e possono amplificare deviazioni non intenzionali.

Microsoft integra Sysmon direttamente in Windows 11 e Server 2025

Microsoft ha annunciato che Sysmon, uno degli strumenti più utilizzati in ambito forense e di monitoraggio comportamentale, entrerà nativamente in Windows 11 e Windows Server 2025. L’integrazione consentirà di acquisire eventi dettagliati su processi, rete, modifiche di sistema e attività sospette senza installazioni esterne. Gli amministratori potranno applicare configurazioni personalizzate e filtrare eventi direttamente dai log di sistema. L’obiettivo è migliorare la visibilità sugli endpoint e semplificare l’integrazione con i sistemi SIEM, riducendo i problemi legati ai deployment manuali.

Individuati oltre 150 server Remcos RAT attivi in un solo mese

Censys ha rilevato più di 150 server di comando e controllo Remcos RAT tra ottobre e novembre 2025. La maggior parte era attiva sulle porte tipicamente associate al malware (2404, 5000, 5060, 5061, 8268, 8808), con alcuni host che esponevano anche SMB e RDP, segno che i criminali sfruttano servizi Windows legittimi per amministrare macchine compromesse. La distribuzione geografica mostra cluster significativi negli Stati Uniti, Paesi Bassi e Germania, con gruppi più piccoli in Francia, Regno Unito, Turchia e Vietnam.

PyPI introduce verifiche email obbligatorie per ridurre gli attacchi di phishing agli sviluppatori

Il Python Package Index richiederà la verifica via email per ogni accesso basato su TOTP proveniente da un nuovo dispositivo. L’obiettivo è ridurre gli attacchi di phishing che colpiscono sviluppatori e maintainer, sfruttati spesso per inserire codice malevolo nei pacchetti open-source. Gli utenti con WebAuthn o passkey non noteranno modifiche, poiché questi metodi sono intrinsecamente resistenti al phishing.

Blockade Spider estende le tecniche cross-domain nelle campagne ransomware Embargo

Secondo CrowdStrike, il gruppo Blockade Spider utilizza tecniche cross-domain per muoversi lateralmente e colpire infrastrutture virtualizzate prima di distribuire il ransomware Embargo. Gli operatori acquisiscono accesso iniziale tramite sistemi non gestiti, estraggono credenziali, penetrano negli hypervisor e avviano la cifratura remota dei file. In una campagna precedente hanno anche manipolato Active Directory inserendo account compromessi nel gruppo “No MFA”, disattivando di fatto i controlli di autenticazione.

Apple aggiorna le linee guida e impone la trasparenza sui dati condivisi con aziende AI

Apple richiede ora che ogni app indichi chiaramente se i dati degli utenti vengono condivisi con società di intelligenza artificiale. Lo sviluppatore dovrà inoltre chiedere un consenso esplicito prima di attivare qualsiasi forma di raccolta e invio dei dati. Questa modifica, effettiva dal 13 novembre 2025, mira ad aumentare la trasparenza per gli utenti e anticipa normative più restrittive sulla gestione dei dati sensibili.

Campagna WEBJACK sfrutta moduli IIS malevoli per reindirizzare traffico verso siti fraudolenti

Una campagna denominata WEBJACK sta compromettendo server Microsoft IIS installando moduli malevoli della famiglia BadIIS. I server violati vengono utilizzati per SEO poisoning, reindirizzando gli utenti verso siti di scommesse, casinò online e altre frodi. Tra i bersagli figurano università, enti governativi e organizzazioni di alto profilo. Le tecniche di compromissione includono applicazioni web vulnerabili, credenziali amministrative rubate e accessi acquistati da broker specializzati.

Campagna HackOnChat prende di mira account WhatsApp con portali clonati e session hijacking

CTM360 ha identificato oltre 9.000 URL utilizzati per creare copie quasi perfette di WhatsApp Web allo scopo di rubare account. Le tecniche principali sono due: il session hijacking, che sfrutta la funzionalità “Dispositivi Collegati”, e il furto diretto del codice di verifica tramite portali clone. I domini utilizzati sono spesso economici e difficili da controllare, come .cc, .net, .icu e .top. Negli ultimi 45 giorni i ricercatori hanno segnalato oltre 450 incidenti.

Ondata di scansioni contro Palo Alto GlobalProtect: +40x in 24 ore

GreyNoise ha segnalato un’ondata anomala di scansioni dirette ai portali GlobalProtect di Palo Alto Networks, con un incremento improvviso e molto rapido dell’attività. A partire dal 14 novembre 2025 il volume delle richieste verso l’endpoint /global-protect/login.esp è aumentato in maniera drastica, raggiungendo un picco pari a quaranta volte il livello abituale nell’arco di appena 24 ore. Nel periodo tra il 14 e il 19 novembre sono state registrate oltre 2,3 milioni di sessioni, un numero che indica un interesse mirato verso installazioni esposte. Lo scopo dell’ondata non è stato chiarito, ma la scelta del percorso colpito lascia supporre fasi di ricognizione mirata alla ricerca di sistemi non aggiornati, portali configurati in modo debole o endpoint che forniscono informazioni utili al fingerprinting.

GlobalProtect è una delle soluzioni VPN più diffuse in ambito enterprise e la compromissione di un suo portale esposto potrebbe consentire agli attori ostili varie forme di accesso non autorizzato, compreso il furto di credenziali o l’avvio di tentativi successivi di sfruttamento.

JustAskJacky diventa il malware più diffuso di ottobre 2025

Secondo Red Canary, JustAskJacky è il malware prevalente del mese. Si presenta come un’applicazione NodeJS che finge di essere un assistente AI o un’utility di sistema, ma in realtà effettua ricognizione e può eseguire comandi arbitrari in memoria. Seguono, nella classifica del mese, KongTuke, Rhadamanthys, NetSupport RAT e TamperedChef.

NSO Group tenta di ribaltare la sentenza statunitense che limita l’uso dei suoi spyware

Il mese scorso, un tribunale statunitense ha ordinato al vendor israeliano di spyware commerciale NSO Group di smettere di prendere di mira WhatsApp. In risposta, l’azienda ha presentato un appello per ribaltare la sentenza, sostenendo che l’azienda subirà “danni irreparabili, potenzialmente esistenziali” e che potrebbe essere costretta a chiudere. NSO afferma che l’ordine impedirebbe anche attività “legittime” a supporto di indagini governative autorizzate.

Ex dipendente dell’Ohio si dichiara colpevole di aver bloccato 2.500 utenti della sua ex azienda

Maxwell Schultz, ex membro del reparto IT di un’azienda statunitense, ha ammesso di aver violato i sistemi del suo ex datore di lavoro nel 2021. Ha ottenuto credenziali fingendosi un appaltatore, ha eseguito uno script PowerShell che ha reimpostato 2.500 password, bloccando migliaia di dipendenti, e ha tentato di eliminare log ed eventi. I danni stimati raggiungono 862.000 dollari. Rischia fino a 10 anni di prigione e 250.000 dollari di multa.

Vulnerabilità nel bot AI Cline espone gli utenti a injection

Sono state individuate vulnerabilità nel bot di sviluppo open-source Cline che hanno permesso a repository appositamente predisposti di manipolare i prompt di sistema e indurre il bot a eseguire codice dannoso. Mindgard ha spiegato che i prompt non sono semplici configurazioni: definiscono il comportamento interno degli agenti, che combinano linguaggio, strumenti e capacità di esecuzione. Gli sviluppatori hanno corretto il problema nella versione 3.35.0.

Queste vulnerabilità confermano la necessità di rafforzare la cybersicurezza nelle aziende che basano i loro servizi su strumenti di sviluppo e automazione.