Nel secondo trimestre 2026 il phishing è stato il principale vettore di accesso iniziale negli incidenti gestiti da Cisco Talos Incident Response, presente in oltre la metà dei casi nei quali è stato possibile ricostruire la fase iniziale dell’attacco. Aumentano anche gli abusi dei meccanismi di autenticazione e l’uso malevolo di software legittimo per la gestione remota dei sistemi. Il quadro emerge dal report trimestrale di Cisco Talos, che segnala un cambiamento rilevante rispetto ai primi tre mesi dell’anno: il phishing era stato rilevato in circa il 35% degli interventi, mentre nel secondo trimestre ha superato il 50%. Parallelamente, le criticità legate all’autenticazione sono state osservate nel 65% degli incidenti, contro il 35% del trimestre precedente.

Il phishing più sofisticato e difficile da intercettare

Le campagne osservate non si limitano più a messaggi contenenti collegamenti palesemente anomali o allegati eseguibili. Gli attaccanti utilizzano documenti PDF con codici QR, ospitano contenuti dannosi su infrastrutture cloud legittime e sfruttano account aziendali compromessi per rendere i messaggi più credibili.

Tra i casi evidenziati vi è una campagna attiva da aprile 2026 contro organizzazioni australiane, attribuita con elevata confidenza da Talos al soggetto denominato UAT-11764. L’operazione utilizza account Microsoft 365 compromessi e invia documenti PDF personalizzati, contenenti codici QR che indirizzano a pagine fraudolente per la sottrazione delle credenziali Microsoft 365. Una volta ottenuto l’accesso alla casella di posta, gli attaccanti possono creare regole di inoltro o archiviazione per nascondere messaggi e avvisi, usare SharePoint per ospitare altri documenti fraudolenti e inviare nuove e-mail di phishing ai contatti interni ed esterni della vittima. L’impiego di piattaforme affidabili quali Microsoft 365 e SharePoint consente di superare più facilmente alcuni controlli tradizionali sulla posta elettronica.

Il rapporto pone particolare attenzione al crescente abuso dell’autenticazione a più fattori. Non è necessariamente la password a essere rubata: spesso l’attaccante punta a intercettare la sessione già autenticata oa indurre la vittima ad approvare una richiesta di accesso.

Tra le tecniche rilevate figurano:

 

  • Proxy “nel mezzo”, in grado di frapporsi tra utente e servizio e sottrarre cookie o token di sessione.
  • Sottrazione dei token, che permette di riutilizzare una sessione autenticata.
  • Attacchi di “stanchezza da MFA”, basato sull’invio ripetuto di richieste di conferma fino a ottenere l’approvazione dell’utente.
  • Registrazione di dispositivi controllati dall’attaccante come strumenti validi per l’autenticazione.
  • Utilizzo di protocolli di autenticazione obsoleti o di flussi alternativi che non applicano correttamente l’MFA.

Talos segnala inoltre ARToken, una piattaforma di phishing venduta o utilizzata come servizio, collegata alla piattaforma EvilTokens. Il pannello metterebbe a disposizione degli operatori oltre 80 interfacce applicative per campagne di phishing tramite codici dispositivo, persistenza attraverso token di aggiornamento primari, accesso alla posta elettronica, frodi via e-mail aziendale e sottrazione di dati da SharePoint.

La piattaforma sfrutta anche il flusso di autorizzazione dei dispositivi previsti da OAuth. In questo modo, l’attaccante può cercare di ottenere l’autorizzazione dell’utente senza dover necessariamente sottrarre la password, aggirando così alcune implementazioni dell’autenticazione a più fattori. Tra le funzioni osservate vi sarebbero gestione automatizzata dei token, creazione di regole sulla posta, accesso a OneDrive e SharePoint, monitoraggio per parole chiave e condivisione di token tra affiliazioni.

Ransomware stabile, ma con nuovi strumenti

Gli episodi di ransomware e quelli preliminari alla cifratura dei sistemi hanno rappresentato oltre il 20% degli interventi di Talos, una quota sostanzialmente stabile rispetto al trimestre precedente. Tra le varianti rilevate figurano Sinobi, Nitrogen e Warlock.

L’elemento più significativo non è solo il ransomware in sé, ma l’uso di software legittimo di assistenza e gestione remota come strumenti di intrusione, persistenza e controllo dei sistemi compromessi. Questi programmi possono confondersi con il normale traffico amministrativo e risultano quindi meno esposti ai controlli basati esclusivamente sulle firme dei malware.

Nel primo caso analizzato da Talos relativo a Sinobi, gli attaccanti hanno usato una versione alterata di MeshAgent, componente open source della piattaforma di gestione remota MeshCentral. Il programma è stato installato come servizio ad avvio automatico con privilegi di sistema e utilizzatore per comunicare, attraverso connessioni WebSocket cifrate, con un server controllato dagli aggressori.

Dopo aver stabilito il controllo remoto, il gruppo si è mosso lateralmente nella rete tramite Remote Desktop Protocol e Windows Remote Management. Avrebbe poi utilizzato le credenziali deboli di un account di servizio, recuperate dall’archivio delle credenziali di dominio, per distribuire il ransomware attraverso uno script di accesso inserito in una Group Policy. I sistemi colpiti sono stati cifrati con estensione “.SINOBI”; sono emersi anche indizi di preparazione all’esfiltrazione dei dati mediante rclone.exe.

In un altro intervento, gli operatori associati a Warlock, indicati anche come Storm-2603, hanno distribuito Zoho Assist Unattended Agent, software che consente il controllo remoto di un dispositivo anche senza una sessione utente attiva. Nel caso osservato la fase non ha cifratura del prodotto, ma la tecnica mostra come un normale software di supporto remoto possa diventare un canale persistente, discreto e ad alto impatto per l’attaccante.

Sanità, PA e manifattura nel mirino

Nel secondo trimestre consecutivo, il settore sanitario è il risultato più colpito, con il 17% degli interventi di risposta agli incidenti. Seguono pubblica amministrazione e manifattura, entrambe al 14%.

Si tratta di comparti accomunati da una bassa tolleranza all’interruzione operativa. Nel sanitario, gli attacchi hanno interessato in particolare strutture a supporto di attività cliniche e diagnostiche, dove l’indisponibilità dei sistemi può influenzare direttamente sull’erogazione delle cure. Nella pubblica amministrazione, gli episodi hanno riguardato prevalentemente enti locali, mentre nella manifattura i bersagli si collocano in filiere industriali nelle quali un fermo può propagare conseguenze a valle, anche verso comparti tecnologici ed energetici.

Le debolezze più ricorrenti

Cisco Talos individua quattro aree prioritarie sulle quali le organizzazioni dovrebbero concentrare gli interventi di sicurezza. La più rilevante riguarda l’abuso dei sistemi di autenticazione, riscontrato nel 65% degli incidenti analizzati, in deciso aumento rispetto al 35% del trimestre precedente. Gli attaccanti riescono infatti ad aggirare o neutralizzare l’autenticazione a più fattori attraverso l’intercettazione delle sessioni, il furto dei token, l’invio ripetuto di richieste di approvazione all’utente e la registrazione di dispositivi controllati dall’aggressore. La raccomandazione è adottare sistemi di autenticazione resistenti al phishing, come FIDO2/WebAuthn e chiavi di sicurezza fisiche, limitando progressivamente il ricorso a codici SMS e semplici notifiche push.

La seconda criticità è rappresentata dalla qualità e dalla conservazione dei registri di sistema, insufficiente nel 42% degli interventi, contro il 18% del trimestre precedente. In diversi casi, i registri dei controller di dominio venivano mantenuti solo per poche ore; altri eventi risultavano sovrascritti prima di poter essere acquisiti, mentre la telemetria dei servizi cloud non risaliva fino alla data effettiva dell’accesso iniziale. Talos ha rilevato anche l’assenza di dati di rete utili a ricostruire accessi esterni e possibili sottrazioni di dati. Queste lacune possono impedire di identificare con certezza l’origine dell’intrusione e di definire l’effettiva estensione dell’incidente. Per questo, il report raccomanda la centralizzazione dei log in un sistema dedicato e una conservazione di almeno 90 giorni, con invio dei dati fuori dai singoli dispositivi, così da ridurre il rischio di cancellazione o manomissione da parte degli aggressori.

La terza area riguarda i sistemi esposti a Internet, vulnerabili o non aggiornati, presenti nel 31% degli interventi, un dato vicino al 25% registrato nel trimestre precedente. Gli attaccanti hanno sfruttato vulnerabilità note in applicazioni e apparati perimetrali, comprese appliance VPN e SD-WAN, oltre a servizi esposti a tentativi di iniezione SQL e attacchi di negazione del servizio. Le imprese dovrebbero quindi mantenere un inventario aggiornato degli asset accessibili dall’esterno, applicare con rapidità gli aggiornamenti di sicurezza, dismettere o isolare i sistemi giunti a fine supporto e restringere l’accesso alle interfacce di amministrazione e ai servizi remoti.

Un’ulteriore debolezza, rilevata in quasi il 15% dei casi, è l’assenza di limiti efficaci all’invio di messaggi di posta elettronica in uscita. Una casella compromessa può così trasformarsi rapidamente in uno strumento di propagazione dell’attacco. In un caso citato da Talos, dopo il furto delle credenziali attraverso un messaggio di phishing, gli attaccanti hanno utilizzato l’account della vittima per inviare oltre 6.600 e-mail fraudolente e di spam. L’introduzione di soglie, controlli e meccanismi di allarme per invii anomali o massivi è dunque una misura relativamente semplice, ma in grado di interrompere o limitare in modo significativo la diffusione dell’attacco.

Dalla firma al comportamento

Il report invita a superare un approccio difensivo fondato soltanto sul riconoscimento di file dannosi o di indicatori già noti. Gli attaccanti usano sempre più spesso strumenti legittimi, credenziali valide, applicazioni cloud e protocolli ordinari: elementi che non appaiono necessariamente sospetti se considerati singolarmente.

Diventa quindi essenziale intercettare i comportamenti anomali. Tra questi rientrano la creazione inattesa di regole nella casella di posta per nascondere messaggi o avvisi, accessi inconsueti a SharePoint e OneDrive, la registrazione di nuovi dispositivi per l’autenticazione, l’installazione o l’esecuzione di strumenti di gestione remota non autorizzati e l’impiego improvviso di credenziali amministrative per muoversi lateralmente nella rete.

La sequenza rilevata più di frequente segue uno schema consolidato: il phishing consente l’accesso iniziale; l’attaccante utilizza account autentici per mantenere la presenza nei sistemi e accrescere i privilegi; nasconde poi le proprie attività mediante regole di posta o cancellazione delle tracce; si propaga all’interno dell’organizzazione attraverso messaggi mirati, protocollo RDP o SSH; comunica con l’esterno mediante servizi cloud e protocolli web legittimi; infine sottrae dati e, nei casi più gravi, cifra i sistemi a fini estorsivi.

Per le imprese, la priorità è pertanto proteggere l’identità digitale, controllare in modo rigoroso gli strumenti amministrativi e assicurare una visibilità centralizzata sugli eventi di sicurezza. Difendere il solo perimetro non è più sufficiente: gli aggressori sfruttano con crescente efficacia account, applicazioni e servizi che fanno parte della normale operatività aziendale.

© Riproduzione riservata