| Ottobre 2026 | Edizione #10Il CSIRT di Regione Campania promuove mensilmente la condivisione di una newsletter contenente gli ultimi aggiornamenti in ambito cybersecurity e data protection, con l’obiettivo di rafforzare la consapevolezza e le competenze nella protezione dei dati e nella gestione della sicurezza informatica. |
|
|
|
| 
| | Cyber Resilience Act: la compliance passa dalle regole ai controlli | Recentemente l’ordinamento italiano ha definito il proprio modello di applicazione del Cyber Resilience Act, affidando all’ACN le attività di vigilanza e controllo. Il decreto approvato chiarisce controlli e responsabilità, delineando il quadro attraverso cui saranno applicate le disposizioni del CRA. L’aggiornamento conferma inoltre che gli obblighi di notifica delle vulnerabilità sfruttate e degli incidenti gravi sono già operativi, rafforzando la necessità per produttori, fornitori e organizzazioni di strutturare processi di gestione delle vulnerabilità, monitoraggio e incident reporting coerenti con i nuovi requisiti europei. | Per approfondire |
|
|
|
|
| | Anonimo non significa invisibile: la sanzione del Garante a IQVIA | La recente sanzione inflitta dal Garante Privacy a IQVIA rappresenta uno dei più rilevanti richiami sul tema dell’anonimizzazione dei dati sanitari. Secondo l’Autorità, un dataset non può essere considerato anonimo se esistono ancora modalità ragionevolmente utilizzabili per ricondurre le informazioni a una persona fisica, ribadendo così che anonimizzazione e pseudonimizzazione non sono concetti equivalenti. Il caso rafforza quindi l’importanza dell’accountability, delle valutazioni di impatto e dell’adozione del principio di privacy by design nei progetti che prevedono l’utilizzo di grandi quantità di dati personali. | Per approfondire |
|
|
|
|
| | Cybertech Europe: la resilienza è la nuova priorità | L’edizione 2026 di Cybertech Europe conferma come la cybersicurezza stia evolvendo da disciplina tecnologica a tema strategico di governance e resilienza operativa. Tra i principali argomenti affrontati emergono l’AI, le la sicurezza delle infrastrutture critiche, i modelli Zero Trust e la gestione delle identità digitali. Il confronto tra istituzioni, industria e comunità cyber evidenzia una crescente attenzione verso la capacità delle organizzazioni di mantenere la continuità operativa durante incidenti significativi, rafforzando il concetto di resilienza come elemento fondamentale per la protezione della supply chain e delle infrastrutture strategiche. | Per approfondire |
|
|
|
|
📨 Anatomia di un attacco ransomware-as-a-service 📨 Le moderne campagne ransomware non sono più necessariamente condotte da singoli gruppi altamente specializzati. Sempre più spesso si basano su modelli Ransomware-as-a-Service (RaaS), nei quali gli sviluppatori forniscono malware e infrastrutture, mentre affiliati esterni eseguono gli attacchi e condividono i profitti ottenuti dai riscatti. Tra i protagonisti del 2026 emerge The Gentlemen, una delle operazioni RaaS più attive dell'anno. Ciò che rende particolarmente interessante questo caso non è l'impiego di tecniche rivoluzionarie, ma la capacità di attrarre operatori esperti e di scalare rapidamente attraverso un modello criminale estremamente efficace. Un approccio che dimostra come anche vulnerabilità e configurazioni errate già note possano continuare a favorire compromissioni su larga scala.
🤖 1. Gli affiliati vengono reclutati
Gli operatori del programma RaaS mettono a disposizione ransomware, infrastrutture e servizi, attirando affiliati attraverso una ripartizione dei profitti particolarmente vantaggiosa.
➡️ Gli attaccanti non devono sviluppare il malware: possono concentrarsi esclusivamente sulle attività di compromissione.
🌐 2. Vengono individuati sistemi esposti
Le attività di ricognizione si concentrano spesso su VPN, gateway di accesso remoto, firewall e servizi pubblicati su Internet non adeguatamente aggiornati o configurati.
➡️ I dispositivi esposti rappresentano spesso il punto di accesso iniziale all'infrastruttura aziendale.
👁️ 3. L'accesso iniziale viene ottenuto
Una vulnerabilità nota, una configurazione errata o credenziali compromesse consentono agli attaccanti di entrare nell'ambiente bersaglio.
➡️ In molti casi l'intrusione avviene sfruttando debolezze già conosciute e non corrette tempestivamente.
🔎 4. L'ambiente viene esplorato
Dopo l'accesso iniziale, gli attaccanti verificano credenziali, sistemi disponibili e privilegi ottenuti per individuare i percorsi più efficaci verso gli asset critici.
➡️ L'obiettivo è comprendere rapidamente struttura e punti di maggiore impatto dell'organizzazione.
⚠️ 5. Si avvia il movimento laterale
Utilizzando account privilegiati e strumenti già presenti nell'ambiente, gli attaccanti si spostano verso altri host e sistemi.
➡️ La compromissione si estende progressivamente ben oltre il punto di ingresso iniziale.
🔄 6. Le difese vengono indebolite
Prima della fase finale, vengono spesso disattivati controlli di sicurezza e strumenti di protezione che potrebbero ostacolare l'operazione.
➡️ Ridurre la capacità di rilevazione aumenta le probabilità di successo della cifratura.
💸 7. Il ransomware viene distribuito
Il malware viene propagato su numerosi sistemi contemporaneamente sfruttando meccanismi centralizzati di amministrazione e gestione.
➡️ In pochi minuti l'impatto può estendersi a un'intera infrastruttura domain-joined.
📤 8. Scatta l'estorsione
Una volta completata la cifratura, gli attaccanti richiedono il pagamento del riscatto per fornire strumenti o chiavi necessarie al recupero dei dati.
➡️ L'organizzazione si trova a gestire contemporaneamente crisi operativa, ripristino e risposta all'incidente.
Ed è qui che scatta la risposta:
➡️ aggiornamento costante di VPN, firewall e sistemi esposti a Internet
➡️ adozione dell'autenticazione multifattore e controllo degli account privilegiati
➡️ monitoraggio del movimento laterale e delle attività anomale interne
➡️ verifica periodica dei backup e delle procedure di ripristino
➡️ segmentazione della rete per limitare la propagazione dell'attacco
La particolarità di The Gentlemen non risiede nell'utilizzo di tecniche particolarmente innovative, ma nella capacità di trasformare il ransomware in un modello di business altamente scalabile. Attraverso il paradigma Ransomware-as-a-Service, operatori differenti possono condividere strumenti, infrastrutture e competenze, aumentando il numero e la velocità degli attacchi. Per questo motivo la difesa non può limitarsi alla protezione del perimetro esterno: l'aggiornamento delle infrastrutture esposte, il controllo degli accessi privilegiati, la segmentazione della rete e la verifica periodica dei backup rappresentano elementi fondamentali per ridurre l'impatto di una compromissione e garantire la continuità operativa.
|
|
| 
| | PHP e Java: nuove vulnerabilità critiche richiedono aggiornamenti urgenti | Sono state pubblicate importanti vulnerabilità di sicurezza che interessano due tecnologie ampiamente utilizzate in ambito web e applicativo: PHP e Java. In particolare, le vulnerabilità PHP CVE-2026-109618 e CVE-2026-109619, entrambe con CVSS 9.2, possono consentire l’esecuzione di codice da remoto senza autenticazione in determinate configurazioni; il 23 ottobre è stata inoltre resa nota CVE-2026-115560, anch’essa potenzialmente sfruttabile per esecuzione di codice da remoto, ma in condizioni più circoscritte. Sul fronte Java, Oracle ha pubblicato specifici aggiornamenti di sicurezza per CVE-2026-91403, vulnerabilità critica con CVSS 9.1 che interessa Java SE e GraalVM. Le segnalazioni confermano ancora una volta l’importanza di mantenere aggiornati runtime e componenti software, prestando particolare attenzione ai servizi esposti verso Internet. | Per approfondire ⯈ |
|
|
| ChatGPT sotto attacco: i Custom diventano una nuova arma di social engineering | I ricercatori di Huntress hanno recentemente identificato una nuova minaccia che sfrutta i Custom GPT di ChatGPT come punto di partenza per campagne malware e furto di informazioni. La vittima viene convinta a completare una falsa verifica di sicurezza che la induce ad eseguire comandi sul proprio dispositivo, fino all’installazione di un trojan ad accesso remoto (RAT). Il caso dimostra come gli attaccanti stiano iniziando a sfruttare la fiducia riposta nelle piattaforme di intelligenza artificiale e nei servizi legittimi per costruire nuove campagne di social engineering particolarmente credibili. | Per approfondire ⯈ |
|
| | 
|
| 
| | Active Directory sotto scacco: quando il ransomware sfrutta le Group Policy | Recentemente i ricercatori di Kaspersky hanno analizzato una nuova famiglia ransomware che sfrutta Active Directory e le Group Policy per propagare l'attacco all'interno delle reti aziendali. Gli attaccanti sono riusciti a distribuire richieste di riscatto, modificare configurazioni di sistema e disabilitare controlli di sicurezza senza installare malware sugli endpoint, sfruttando esclusivamente strumenti amministrativi legittimi. L'episodio conferma come il controllo dell’infrastruttura di gestione possa trasformarsi in un potente vettore di compromissione e rafforza l’importanza di monitorare Active Directory, privilegi amministrativi e modifiche alle policy di dominio. | Per approfondire ⯈ |
|
|
|
|
| | Newsletter a cura del CSIRT | Il CSIRT di Regione Campania rappresenta un polo di competenza locale centralizzato, dedicato sia alla protezione delle informazioni e dei sistemi, sia alla gestione degli incidenti di sicurezza informatica che possono avere un impatto sui sistemi regionali. L'obiettivo principale è quello di rafforzare la capacità di prevenzione e gestione dei rischi cibernetici, assicurando al contempo la confidenzialità e la continuità dei servizi regionali offerti ai cittadini. Per saperne di più, consulta il sito del CSIRT Campania. |
|
|
|
|
|
