Nel secondo trimestre 2026 il phishing è stato il principale vettore di accesso iniziale negli incidenti gestiti da Cisco Talos Incident Response, presente in oltre la metà dei casi nei quali è stato possibile ricostruire la fase iniziale dell’attacco. Aumentano anche gli abusi dei meccanismi di autenticazione e l’uso malevolo di software legittimo per la gestione remota dei sistemi. Il quadro emerge dal report trimestrale di Cisco Talos, che segnala un cambiamento rilevante rispetto ai primi tre mesi dell’anno: il phishing era stato rilevato in circa il 35% degli interventi, mentre nel secondo trimestre ha superato il 50%. Parallelamente, le criticità legate all’autenticazione sono state osservate nel 65% degli incidenti, contro il 35% del trimestre precedente.
Il phishing più sofisticato e difficile da intercettare
Le campagne osservate non si limitano più a messaggi contenenti collegamenti palesemente anomali o allegati eseguibili. Gli attaccanti utilizzano documenti PDF con codici QR, ospitano contenuti dannosi su infrastrutture cloud legittime e sfruttano account aziendali compromessi per rendere i messaggi più credibili.
Tra i casi evidenziati vi è una campagna attiva da aprile 2026 contro organizzazioni australiane, attribuita con elevata confidenza da Talos al soggetto denominato UAT-11764. L’operazione utilizza account Microsoft 365 compromessi e invia documenti PDF personalizzati, contenenti codici QR che indirizzano a pagine fraudolente per la sottrazione delle credenziali Microsoft 365. Una volta ottenuto l’accesso alla casella di posta, gli attaccanti possono creare regole di inoltro o archiviazione per nascondere messaggi e avvisi, usare SharePoint per ospitare altri documenti fraudolenti e inviare nuove e-mail di phishing ai contatti interni ed esterni della vittima. L’impiego di piattaforme affidabili quali Microsoft 365 e SharePoint consente di superare più facilmente alcuni controlli tradizionali sulla posta elettronica.
Il rapporto pone particolare attenzione al crescente abuso dell’autenticazione a più fattori. Non è necessariamente la password a essere rubata: spesso l’attaccante punta a intercettare la sessione già autenticata oa indurre la vittima ad approvare una richiesta di accesso.
Tra le tecniche rilevate figurano:
CONTENUTO A PAGAMENTO
Il contenuto integrale di questo articolo è visualizzabile solo dagli abbonati a
Non sei abbonato?
Scopri i piani di abbonamento
Sei già abbonato? Effettua il login nel modulo sottostante
© Riproduzione riservata