Insights & Ricerca
Analisi, approfondimenti e aggiornamenti sulla sicurezza post-quantum, conformita NIS2 e protezione delle infrastrutture critiche.
19 Milioni di Identità Francesi in Vendita: Quando l'Agenzia che Emette i Tuoi Documenti Perde i Tuoi Dati
Il 15 aprile 2026 France Titres — l'agenzia governativa francese che gestisce passaporti, carte d'identità e patenti, ex ANTS — ha rilevato un'intrusione sul portale ants.gouv.fr. Il giorno seguente sui forum criminali è comparso un annuncio: un attore noto come "breach3d" (alias "ExtaseHunters", "EvilDump") metteva in vendita 18-19 milioni di record con nomi, email, date di nascita, indirizzi postali, luoghi di nascita e identificatori di account. Un terzo della popolazione francese. Il governo ha confermato il 21 aprile, notificando CNIL, ANSSI e Procura di Parigi. Il documento di identità in sé non è stato rubato — ma quello che è stato rubato è esattamente il kit di partenza per un attacco di phishing d'identità su scala nazionale. Per chi in Italia maneggia dossier sensibili, il caso ha tre lezioni operative immediate.
Chat Control 2026: Cosa Cambia Davvero per Avvocati, Giornalisti e Dirigenti Italiani Quando l'Europa Discute la Tua Crittografia
Il 26 marzo 2026 il Parlamento europeo ha respinto Chat Control 1.0 per un voto. Il 3 aprile è scaduta la deroga temporanea che permetteva alle big tech di scansionare volontariamente i messaggi dei propri utenti. Il 4 maggio riprende il trilogo su Chat Control 2.0, con l'obiettivo di un accordo entro luglio. L'Italia è ufficialmente tra i quattro Paesi che si oppongono al testo. Il client-side scanning obbligatorio è uscito dalla proposta del Consiglio. Sembra una buona notizia. Per chi vive di corrispondenza riservata — un avvocato che scrive a un assistito, un giornalista che riceve da una fonte, un dirigente che negozia un'operazione — i dettagli che restano sul tavolo sono però cruciali. Questo articolo è una mappa operativa: cosa è stato sconfitto, cosa è stato trasformato, cosa rimane in pista, e cosa concretamente cambia per la tua giornata di lavoro nei prossimi sei mesi.
Iran, 22 aprile 2026: cosa aspettarsi sul fronte cyber alla scadenza del cessate il fuoco
AEGIDA Geo Briefing sulla vigilia della scadenza del cessate il fuoco USA-Iran. Alle 00:00 del 22 aprile 2026 termina l'accordo biennale di tregua siglato l'8 aprile. L'Electronic Operations Room creata dal MOIS il 28 febbraio 2026 e i collettivi come Handala Hack hanno mantenuto attività di ricognizione durante la tregua. Cosa aspettarsi nelle prime 72 ore post-scadenza, con particolare attenzione al perimetro italiano: energia, marittimo, corrispondenti esteri, fornitori della filiera difesa.
FrostArmada: la Campagna APT28 di DNS Hijacking su Router che ha Colpito 18.000 Dispositivi in 120 Paesi
AEGIDA Threat Briefing sulla campagna FrostArmada condotta da APT28 (GRU unità 26165). Tra maggio 2025 e aprile 2026 il gruppo ha compromesso router MikroTik, TP-Link, Nethesis e Fortinet in 120 paesi, dirottando il DNS via DHCP per intercettare credenziali Microsoft 365 e token OAuth tramite proxy AitM. Il 7 aprile 2026 un'operazione congiunta FBI, DOJ, governo polacco, Microsoft e Lumen ha smantellato l'infrastruttura. Le PMI italiane — dove MikroTik è onnipresente — sono particolarmente esposte.
36 Pacchetti npm Malevoli Travestiti da Plugin Strapi: Ricostruzione Red Team dell'Attacco Supply Chain a Guardarian
Trentasei pacchetti npm pubblicati in tredici ore da quattro account fake. Otto varianti di malware in evoluzione rapida. Un solo bersaglio: la piattaforma crypto Guardarian. Questa non è un'analisi di minaccia tradizionale. È la ricostruzione dell'operazione dal punto di vista dell'attaccante, fase per fase, dal banco di lavoro di chi progetta attacchi supply chain. Con indicazioni difensive a ogni svolta.
Bitcoin Depot, il Furto da 3,665 Milioni: Come un Solo Set di Credenziali Ha Svuotato i Settlement Account del Più Grande ATM Bitcoin USA
Il 23 marzo 2026 il team di sicurezza di Bitcoin Depot — operatore quotato al NASDAQ con più di 8.500 ATM Bitcoin negli Stati Uniti — rileva attività sospette nei propri sistemi IT corporate. L'analisi forense ricostruisce quello che già era accaduto: il 20 marzo, tre giorni prima, un attaccante in possesso di credenziali valide per i digital asset settlement account aveva iniziato a trasferire bitcoin fuori dai wallet aziendali. Il bottino finale è di 50,903 BTC, equivalenti a circa 3,665 milioni di dollari al momento dei trasferimenti, ripuliti attraverso exchange come KuCoin prima che la risposta interna potesse bloccarli. La società dichiara che i wallet dei clienti e gli ATM non sono stati toccati: il perimetro colpito è quello della tesoreria operativa. È un caso scuola di hot wallet architecture con single point of failure credenziale — e un promemoria brutale che la "separazione" fra infrastruttura utente e tesoreria aziendale non compensa una detection gap di 72 ore.
La Conferenza, il Token Fantasma, la Firma Cieca: Ricostruzione Forense del Furto da 285 Milioni a Drift Protocol
Il 1° aprile 2026 alle 16:05:18 UTC, sulla blockchain Solana, una transazione pre-firmata settimane prima viene eseguita. Un secondo dopo, alle 16:05:19 UTC, una seconda transazione trasferisce i privilegi amministrativi del protocollo DeFi Drift a un wallet controllato da attaccanti nordcoreani. Nelle due ore e ventisei minuti successivi, 18 tipi di token per un controvalore di 285 milioni di dollari escono dai vault di Drift. La finestra di esecuzione è di 12 minuti. La preparazione è durata sei mesi. Questa è la ricostruzione minuto per minuto di come un gruppo riconducibile a UNC4736 — cluster DPRK già attribuito all'attacco Radiant Capital del 2024 — ha trasformato una conferenza crypto, un token fantasma e una feature poco conosciuta di Solana in quello che a oggi è il più grande hack DeFi del 2026.
Rockstar, GTA e 78,6 Milioni di Record: Quando "Pay or Leak" Arriva alle 23:59 e il Vendor Dice di No
L'11 aprile 2026 ShinyHunters ha pubblicato un ultimatum sul proprio sito di leak: "Rockstar Games, le vostre istanze Snowflake sono state compromesse grazie a Anodot.com. Paga o ti pubblichiamo tutto entro il 14 aprile". Il 14 aprile è passato. Rockstar non ha pagato. ShinyHunters ha pubblicato 78,6 milioni di record di analytics interni di GTA Online e Red Dead Online. Ma il dettaglio che dovrebbe interessarvi più di GTA è un altro: gli attaccanti non hanno bucato Snowflake, non hanno bucato Anodot in senso classico. Hanno estratto token di autenticazione che fungevano da credenziali fiduciarie tra i due servizi, e con quei token hanno passeggiato dentro Snowflake come utenti legittimi. Senza exploit. Senza zero-day. Solo identità SaaS-to-SaaS gestite male.
Stretto di Hormuz, Aprile 2026: 1.100 Navi nella Nebbia Elettronica — Quando il Blocco Cinetico Incontra la Guerra al PNT
Mentre il 13 aprile 2026 il Central Command USA ha avviato il blocco marittimo dei porti iraniani e i transiti commerciali attraverso lo Stretto di Hormuz sono crollati da 130-150 a una cifra sola al giorno, un secondo fronte meno visibile ma altrettanto decisivo si è aperto nello spettro elettromagnetico: il Joint Maritime Information Center ha registrato oltre 600 eventi di disturbo GNSS nelle ultime 24 ore, con più di 1.100 navi colpite da GPS jamming e spoofing AIS nel Golfo Persico, nel Golfo di Oman e nello stretto stesso. Non è un effetto collaterale: è warfare al sistema di Posizionamento, Navigazione e Timing che regge tutta la navigazione commerciale globale.
Adobe, 13 Milioni di Ticket Esfiltrati: Il Breach di "Mr. Raccoon" e la Lezione che Nessuno Vuole Imparare sulla Supply Chain del Supporto
Un attore che si firma "Mr. Raccoon" rivendica la sottrazione di 13 milioni di ticket di supporto Adobe, 15.000 record di dipendenti, tutta la documentazione HackerOne del programma bug bounty, e documenti interni. Adobe non ha ancora confermato ufficialmente. Ma la vera notizia non è la quantità dei dati: è il vettore. L'attaccante non ha bucato Adobe — ha bucato un dipendente di un BPO indiano che gestisce il supporto clienti per conto di Adobe, usando infostealer + phishing laterale verso il manager, e poi ha sfruttato un errore di configurazione clamoroso: un singolo account agente poteva esportare 13 milioni di ticket in una sola richiesta. Nessun allarme. Nessun limite. Nessuna approvazione.
Dopo Khamenei: L'Escalation Cyber Iraniana nel Golfo e le Onde d'Urto su Europa e Italia
Dopo l'uccisione del Leader Supremo Ali Khamenei il 28 febbraio 2026 e il tregua fragile seguito ai contrattacchi iraniani, le operazioni cyber legate a Teheran sono esplose nel Golfo: gli Emirati Arabi Uniti denunciano 600.000 attacchi, il triplo rispetto all'anno precedente, con un salto qualitativo da disruption a intrusioni complesse su banche, aviazione civile e sistemi di law enforcement. Nonostante la tregua, i gruppi allineati all'Iran hanno giurato di proseguire, e la loro traiettoria punta anche su alleati NATO e infrastrutture europee. Cosa significa per l'Italia.
CVE-2026-35616: FortiClient EMS Sotto Sfruttamento Attivo — Il Bypass Pre-Auth che Trasforma la Gestione Endpoint in un Vettore di Intrusione
Fortinet ha rilasciato una patch out-of-band per CVE-2026-35616, una vulnerabilità di bypass API pre-autenticazione con CVSS 9.1 in FortiClient EMS, la piattaforma centrale di gestione endpoint di Fortinet. Gli attaccanti non autenticati possono eseguire codice o comandi arbitrari con richieste predisposte. I primi tentativi di sfruttamento sono stati registrati il 31 marzo 2026, prima ancora della disclosure pubblica. Quando a essere compromesso è il piano di controllo degli endpoint, la posa del perimetro cessa di avere senso.
Smart Slider 3 Pro Compromesso: Sei Ore di Aggiornamento Maligno Che Hanno Trasformato Migliaia di Siti WordPress in Backdoor Persistenti
Il 7 aprile 2026 i server di aggiornamento di Nextend sono stati compromessi e per circa sei ore hanno distribuito una versione maligna del popolare plugin Smart Slider 3 Pro. Ogni sito WordPress o Joomla che ha aggiornato in quella finestra ha ricevuto un Remote Access Toolkit completo: backdoor non autenticate, account admin nascosti, must-use plugin camuffati da componenti di cache, esfiltrazione automatica delle credenziali. Una lezione brutale sul rischio supply chain dei plugin WordPress per le PMI italiane.
CVE-2026-39987: Marimo Sfruttato in 9 Ore e 41 Minuti — Quando la Disclosure Pubblica Diventa lo Starter di una Corsa Globale all'Exploit
Una vulnerabilità pre-autenticazione di esecuzione di codice remoto (RCE) in Marimo, il notebook Python per data science, è stata sfruttata nei sistemi reali esattamente 9 ore e 41 minuti dopo la sua divulgazione pubblica. CVE-2026-39987 (CVSS 9.3) ha consentito a chiunque di ottenere una shell PTY completa via un endpoint WebSocket sprovvisto di autenticazione. Il caso segna un nuovo record nella velocità di weaponizzazione e pone una domanda urgente: quanto tempo abbiamo, in pratica, dopo una disclosure?
Operation PRISMEX: APT28 Colpisce Ucraina e Alleati NATO con Steganografia, Zero-Day e Sabotaggi Logistici
Il gruppo russo APT28 (Forest Blizzard/Fancy Bear) ha lanciato una campagna di spionaggio e pre-sabotaggio contro Ucraina, Polonia, Romania, Slovacchia e Repubblica Ceca. Sfruttando lo zero-day CVE-2026-21509 e il nuovo malware PRISMEX — con steganografia, COM hijacking e C2 via cloud — il Cremlino mappa logistica militare, corridoi di trasporto e reti meteorologiche per preparare attacchi distruttivi contro il supporto occidentale a Kiev.
Caso Equalize: Anatomia del più Grande Furto di Banche Dati nella Storia d'Italia — 800.000 Vittime, 52.811 Accessi Abusivi all'SDI, e Cosa Avrebbe Cambiato la NIS2
Il 9 aprile 2026 la Procura di Milano ha chiuso il secondo filone dell'inchiesta Equalize, con 81 nuovi indagati tra cui Leonardo Maria Del Vecchio. Per oltre cinque anni una società di business intelligence milanese ha saccheggiato SDI, Serpico, ANPR e i database della Banca d'Italia, profilando 800.000 italiani — politici, imprenditori, atleti, persino il Presidente del Consiglio. Tutto orchestrato da una stanza dietro il Duomo di Milano. Analisi tecnica completa: come sono entrati, cosa hanno rubato, e perché la NIS2 — se applicata correttamente — avrebbe potuto fermarli.
Iran Dentro i PLC Americani: L'IRGC Ha Già Causato Danni Reali a Impianti Idrici ed Energetici USA
L'advisory congiunto CISA AA26-097A del 7 aprile 2026, firmato da FBI, NSA, EPA, DOE e Cyber Command, conferma che hacker affiliati all'Iran hanno compromesso controller logici programmabili Rockwell Automation in infrastrutture critiche americane — acqua, energia, servizi governativi. Non è più teoria: ci sono stati danni operativi reali e perdite finanziarie. Il NERC monitora attivamente la rete elettrica. Analisi dell'operazione, delle TTPs e delle implicazioni per l'Europa.
Report GTIG 2026: 90 Zero-Day Sfruttati nel 2025 — L'Enterprise È il Nuovo Campo di Battaglia
Il Google Threat Intelligence Group rivela che nel 2025 sono stati sfruttati 90 zero-day in-the-wild — e per la prima volta nella storia, quasi la metà (48%) ha colpito tecnologie enterprise: firewall, VPN, router e software di sicurezza. I vendor di sorveglianza commerciale superano i gruppi statali nel numero di zero-day utilizzati. La Cina raddoppia i propri zero-day. Analisi approfondita del report, delle implicazioni e delle strategie di difesa.
Caso Stryker: Come l'Iran Ha Trasformato Microsoft Intune in un'Arma e Cancellato 200.000 Dispositivi in 79 Paesi
L'11 marzo 2026, il gruppo iraniano Handala (MOIS/Void Manticore) ha colpito Stryker Corporation — colosso medtech da $25 miliardi, Fortune 300, 56.000 dipendenti — con l'attacco wiper più devastante mai condotto contro un'azienda americana. L'arma? Microsoft Intune, la piattaforma di gestione dispositivi dell'azienda stessa, trasformata in uno strumento di distruzione di massa. 200.000 dispositivi cancellati in 3 ore. 79 Paesi coinvolti. Interventi chirurgici ritardati. Titolo in borsa -9%. FBI sequestra i siti di leak. Anatomia completa dell'attacco che ha riscritto le regole della cybersecurity enterprise.
Salt Typhoon in Europa: La Cina È Già Dentro le Reti Telecom del Continente
La Norvegia conferma: Salt Typhoon ha compromesso dispositivi di rete di organizzazioni norvegesi. L'FBI conta oltre 200 aziende violate in 80+ Paesi. Le telecomunicazioni europee — dalle intercettazioni legali ai dati di milioni di cittadini — sono nel mirino del Ministero della Sicurezza di Stato cinese. Analisi della campagna, delle implicazioni per l'Europa e delle contromisure.
Storm-1175: Il Gruppo Cinese Che Distribuisce Medusa Ransomware Sfruttando Zero-Day in Meno di 24 Ore
Microsoft rivela che Storm-1175, attore cinese finanziariamente motivato, sta sfruttando zero-day in SmarterMail e GoAnywhere MFT per distribuire Medusa ransomware con velocità senza precedenti — in alcuni casi dalla compromissione iniziale al ransomware in meno di 24 ore. Oltre 300 organizzazioni colpite nei settori sanitario, educativo e finanziario. Analisi delle TTPs, delle vulnerabilità sfruttate e delle contromisure.
Medusa: Il Ransomware che Sfrutta Zero-Day e Colpisce in 24 Ore — Dall'Ospedale agli Uffizi
Microsoft rivela che il gruppo Medusa sfrutta vulnerabilità zero-day giorni prima della divulgazione pubblica, completando l'intera catena di attacco — dall'accesso iniziale al deployment del ransomware — in sole 24 ore. Tra le vittime recenti: ospedali, università e istituzioni culturali. L'analisi del gruppo che ha colpito anche le Gallerie degli Uffizi.
Due Zero-Day in Una Settimana: BlueHammer Espone Ogni PC Windows, Fortinet CVE-2026-35616 Colpisce i Governi
Un ricercatore frustrato pubblica su GitHub l'exploit BlueHammer: una falla Windows senza patch che consente l'escalation a SYSTEM. Contemporaneamente, CVE-2026-35616 (9.1/10) in FortiClient EMS viene sfruttata attivamente contro enti governativi mondiali. CISA ordina la patch entro giovedì. Due zero-day, zero patch, massima urgenza.
Iran: Missili sulle Città, Password Spraying sui Municipi — Come Teheran Sincronizza Guerra Cinetica e Cyber
Check Point rivela una campagna iraniana in tre ondate che ha colpito oltre 300 organizzazioni israeliane e 25 negli Emirati Arabi. Il dato più inquietante: le città colpite dal password spraying corrispondono a quelle bersaglio dei missili iraniani. L’Iran non separa più la guerra cinetica da quella cyber — le sincronizza. Analisi della campagna, delle TTPs e delle implicazioni per l’Europa.
Operation TrueChaos: Come la Cina Ha Trasformato un Software di Videoconferenza in un'Arma di Spionaggio di Massa
Hacker cinesi hanno sfruttato una vulnerabilità zero-day nel sistema di aggiornamento di TrueConf — piattaforma usata da 100.000 organizzazioni tra governi, militari e infrastrutture critiche — per distribuire malware attraverso il canale fidato degli update. Un singolo server compromesso ha infettato decine di enti governativi contemporaneamente. CISA ha ordinato la patch entro 14 giorni.
BrowserGate: LinkedIn Scansiona di Nascosto 6.236 Estensioni del Tuo Browser e Mappa la Tua Azienda
Un'indagine indipendente rivela che LinkedIn utilizza JavaScript nascosto per scansionare le estensioni Chrome di ogni visitatore, raccogliere dati hardware del dispositivo, e mappare quali aziende usano quali prodotti concorrenti. Il tutto senza consenso esplicito. L'ennesima dimostrazione che la sorveglianza corporate è il modello di business del web.
Attacco ransomware alle Gallerie degli Uffizi: il patrimonio culturale italiano nel mirino del cybercrime
Nella notte tra l'1 e il 2 febbraio 2026 il gruppo ransomware Medusa ha colpito i sistemi amministrativi delle Gallerie degli Uffizi di Firenze. Analisi dell'incidente, implicazioni per le istituzioni culturali italiane e raccomandazioni operative.
Settimana Nera: Commissione UE Hackerata, Romania Sotto Assedio, gli Hacker Russi Tornano sui Vecchi Bersagli
In soli sette giorni l'Europa ha subito tre eventi cyber di portata strategica: la compromissione del cloud della Commissione Europea con esposizione di dati di 30 enti UE, 10.000 attacchi giornalieri contro la Romania, e l'allarme di CERT-UA sul ritorno degli hacker russi nelle reti già violate. Analisi di una settimana che ridefinisce il livello di minaccia per il continente.
Sandworm e la Rete Elettrica Europea: Anatomia di una Campagna Ibrida che l'Italia non Può Ignorare
L'intelligence olandese, il Munich Security Report e le nuove sanzioni UE convergono su un quadro allarmante: la Russia sta conducendo operazioni cyber-cinetiche coordinate contro le infrastrutture energetiche europee. Analisi del gruppo APT44/Sandworm, delle sue TTPs evolute e delle implicazioni per il settore energetico italiano.
Operation Epic Fury: la Guerra Cyber per Procura dell'Iran e il Rischio per l'Europa
Come il conflitto militare USA-Israele-Iran ha scatenato la più vasta offensiva cyber per procura della storia recente — e perché le infrastrutture europee sono nel mirino di una rete pre-posizionata da anni. Analisi delle TTPs, catene di attacco e implicazioni strategiche.
Tempesta perfetta: zero-day e supply chain sotto attacco — Threat Report Aprile 2026
Aprile 2026 si apre con una convergenza di minacce critiche: lo zero-day Cisco FMC CVE-2026-20131 (CVSS 10.0), attacchi supply chain su npm e PyPI e intrusioni AI-accelerate con breakout time di 29 minuti. Analisi completa e raccomandazioni operative.
NIS2: scadenze, obblighi e sanzioni per le aziende italiane
La direttiva NIS2, recepita con il D.Lgs. 138/2024, introduce obblighi stringenti per i soggetti essenziali e importanti. Ecco cosa sapere per non farsi trovare impreparati.
Store-Now-Decrypt-Later: perché le tue comunicazioni di oggi sono già a rischio
I computer quantistici non sono ancora operativi, ma la minaccia è già reale. Ecco come funziona l'attacco "store-now-decrypt-later" e come proteggersi con la crittografia post-quantum.
Attacchi alla supply chain: il vettore preferito dai gruppi APT nel 2025-2026
Da SolarWinds a XZ Utils: perché gli attacchi alla supply chain sono diventati la minaccia numero uno per le infrastrutture critiche e come difendersi.
Anatomia dell'attacco SolarWinds SUNBURST: la supply chain come arma strategica
Analisi tecnica approfondita dell'attacco SUNBURST che nel 2020 ha compromesso 18.000 organizzazioni attraverso un aggiornamento software legittimo. Timeline, meccanismi di evasione, impatto e lezioni per la sicurezza post-quantum.
Colonial Pipeline: anatomia del più grande attacco ransomware a un'infrastruttura critica USA
Analisi approfondita dell'attacco ransomware DarkSide a Colonial Pipeline (maggio 2021): dalla password VPN compromessa al blocco di 8.850 km di oleodotto. Lezioni apprese e come un approccio zero-trust avrebbe prevenuto il disastro.