Nuove offensive in Italia, le ultime dal panorama APT, operazioni cyber internazionali

Italia: attacchi di phishing e rivendicazioni ransomware

Questa settimana sono state individuate in Italia diverse operazioni di phishing. Un’e-mail che sfrutta nome e logo del Ministero della Salute, fingendo la possibilità di ricevere un rimborso di €278,26 a seguito di un presunto doppio pagamento di un ticket sanitario, indirizza su un portale che esfiltra informazioni personali e dati delle carte di pagamento. E-mail a tema Klarna indirizzano verso pagine fraudolente che esfiltrano le credenziali di accesso, compreso l’OTP. Due domini malevoli mirati agli utenti Free Flow della tratta A35 Autostrada Pedemontana Lombarda esfiltrano targa e coordinate della carta di pagamento. Un’e-mail che finge una pratica di rimborso proveniente dall’INPS indirizza a un dominio malevolo sul quale una procedura fraudolenta in più fasi esfiltra dati anagrafici e delle carte di pagamento. L’ultimo passaggio porta la vittima inconsapevole a concedere agli attaccanti l’autenticazione forte in app, necessaria per autorizzare operazioni bancarie. Infine, e-mail che fingono di provenire dal Registro delle Imprese indirizzano le potenziali vittime verso un portale fraudolento, sul quale si richiede di completare una verifica dei dati anagrafici. Le informazioni inserite – denominazione dell’azienda, relativo codice fiscale o partita IVA e informazioni bancarie, tra cui istituto di appoggio e IBAN – vengono sottratte e presumibilmente utilizzate per ulteriori frodi. Diverse sono state anche le rivendicazioni ransomware ai danni di target italiani. Qilin Team ha rivendicato sul proprio sito dei leak la compromissione di Tecnici Associati S.T.P., Euroflora S.r.l., Studio Boldrin S.r.l., Aurore Development S.p.A. e S.E.M.P. S.r.l.; The Gentlemen di Ariel Energia; SAFEPAY di La Ge Gè Pesca S.r.l.; e, infine, Dire Wolf di Studio Legale ESE. A queste rivendicazioni si aggiungono quelle del 21 agosto 2026 di TITAN ai danni di Alto Calore Servizi S.p.A., CONDOR S.p.A., CTP S.r.l. – Company Trafil Production, Elbor S.p.A., POEMA S.r.l., Tedesco & Partners STP S.r.l. e Termotecnica Industriale S.r.l., oltre a quella di xpl0itrs ai danni di Gruppo Spaggiari Parma S.p.A.

APT: attività state-sponsored e operazioni di cyberspionaggio

Nel luglio 2026 un attacco informatico attribuito ad avversari legati al regime iraniano ha colpito un generatore energetico di piccola scala situato nel Regno Unito. L’impianto è rimasto non operativo per quattro giorni, ma l’incidente non ha avuto alcun impatto sulla rete elettrica nazionale e non ha causato interruzioni di fornitura agli utenti. L’attribuzione ad avversari collegati all’Iran non è stata né confermata né smentita dalle autorità britanniche. L’evento sarebbe avvenuto nello stesso periodo di una serie di attacchi che ha colpito infrastrutture idriche in dodici Stati degli Stati Uniti, attribuiti a CyberAv3ngers, gruppo del Comando Cyber-Elettronico del Corpo delle Guardie Rivoluzionarie Islamiche (IRGC-CEC). Tuttavia, al momento non risulta alcun collegamento diretto di CyberAv3ngers all’attacco sul generatore britannico. Restando in ambito iraniano, il 24 agosto 2026 il Dipartimento del Tesoro degli Stati Uniti ha avviato, su indicazione del presidente Donald Trump, Operation Economic Outcast, una campagna economica coordinata contro la Repubblica Islamica dell’Iran e i soggetti che ne supportano le attività. L’iniziativa punta a interrompere le risorse finanziarie utilizzate dal governo iraniano e dal Corpo delle Guardie della Rivoluzione Islamica (IRGC), colpendo le reti impiegate per il commercio di petrolio, l’elusione delle sanzioni e il finanziamento delle attività del regime. Una componente dell’operazione riguarda le attività cyber attribuite al Ministero dell’Intelligence e della Sicurezza iraniano (MOIS). L’azione relativa al MOIS è stata coordinata con l’FBI e si affianca all’atto d’accusa integrativo, a 14 capi, reso pubblico il 18 agosto 2026 contro 17 membri del Mabna Institute, una società con sede a Teheran che dal 2013 avrebbe stipulato contratti con enti governativi e privati iraniani per condurre campagne cyber per loro conto. Sempre riguardante l’Iran, attività di threat hunting e arricchimento di indicatori hanno permesso di identificare ulteriori sample malevoli e infrastruttura operativa associati al gruppo Tortoiseshell, affiliato al Corpo delle Guardie della Rivoluzione Islamica (IRGC). L’analisi ha individuato due sample, uno dei quali presenta analogie con la backdoor TWOSTROKE, entrambi denominati wtsapi32.dll e configurati per esportare le funzioni legittime dell’omonima DLL di Windows, oltre a nodi infrastrutturali associati all’attività del gruppo. Spostandoci in ambito filo-ucraino, il gruppo di spionaggio GamaCopy (Core Werewolf) ha condotto una campagna contro organizzazioni russe, in particolare imprese dell’OPK e organi di potere statale, volta al rilascio di un malware nominato CoreRAT. In relazione ad attività di cyberspionaggio, secondo quanto emerge da una presentazione interna dell’unità di cyber defense dell’UE, alti funzionari dell’Unione europea sono stati presi di mira attraverso campagne di spear phishing sponsorizzate da governi stranieri e finalizzate all’account takeover tramite servizi di messaggistica. La presentazione, illustrata ai rappresentanti dei governi nazionali nel luglio 2026, conferma quindi il targeting diretto di personale di alto livello delle istituzioni europee attraverso applicazioni di messaggistica. Il documento, che non conterrebbe riferimenti espliciti a un Paese specifico, si inserisce in un contesto ampio di pubblicazioni governative ufficiali. Infine, un’indagine del Citizen Lab dell’Università di Toronto ha documentato due distinte campagne di sorveglianza delle telecomunicazioni denominate STA1 e STA2, associabili a piattaforme commerciali a supporto di attività d’intelligence governative, che hanno sfruttato l’ecosistema globale di interconnessione mobile per condurre attività di localizzazione occulta. Le operazioni hanno combinato tecniche basate sui protocolli di signaling SS7, utilizzato nelle reti 3G, e Diameter, impiegato nel 4G e nella maggior parte delle implementazioni 5G, con la manipolazione delle identità degli operatori e dei percorsi di routing. Nel caso di STA2 è stato inoltre osservato un tentativo di sfruttamento diretto della SIM tramite SMS.

Cybercrime: data breach, DDoS e operazioni di Polizia

La software house italiana TeamSystem S.p.A., specializzata nello sviluppo di soluzioni digitali e gestionali per imprese e professionisti, ha informato i clienti del proprio software Contabilità in Cloud di una violazione delle informazioni personali (dati anagrafici, dati di contatto, IBAN e contenuti delle movimentazioni contabili, tra cui causali, importi e controparti). Secondo quanto comunicato dall’azienda, a partire dal pomeriggio del 24 agosto 2026 è stato rilevato un “sofisticato incidente di sicurezza informatica”. Sarebbero escluse le credenziali di accesso al servizio. Il 22 agosto 2026 ReliaQuest, società di sicurezza informatica, è stata oggetto di un attacco di social engineering successivamente rivendicato dal gruppo ShinyHunters. L’avversario ha registrato un dominio quasi identico a quello della società e ha preparato una falsa pagina Single Sign-On (SSO) nascosta dietro una rete di distribuzione di contenuti. Ha poi telefonato a diversi dipendenti, spacciandosi ogni volta per un membro del team di sicurezza citato per nome, per indirizzarli verso quella pagina. La Telco francese SFR ha confermato di aver subito un incidente di sicurezza che ha portato all’accesso non autorizzato ai dati personali dei clienti, ma non a password e coordinate bancarie. L’incidente è stato rilevato il 2 luglio e ha interessato uno strumento di gestione e analisi delle connessioni in fibra. La rivendicazione è stata pubblicata su un forum underground a metà luglio da ZeroBytes, il quale sostiene di aver estratto oltre 2 milioni di record prima di essere stato scoperto. Boston Scientific, azienda statunitense specializzata nello sviluppo e nella produzione di dispositivi medici, ha comunicato di aver identificato il 25 agosto 2026 un incidente di cybersecurity che ha interessato alcuni sistemi IT, causando un’interruzione della rete con ripercussioni sulle operazioni aziendali a livello globale e incidendo in particolare sulla capacità di elaborare e spedire gli ordini dei clienti. Origine, portata e conseguenze operative e finanziarie complessive dell’incidente sono ancora in fase di valutazione.  Il 31 luglio 2026 Micro-Comm, società statunitense con sede in Kansas che produce sistemi di controllo per impianti idrici e di trattamento delle acque reflue, ha rilevato una compromissione dei propri sistemi. L’attacco è stato rivendicato da un gruppo ransomware chiamato Barracuda, che sostiene di aver sottratto 850.000 file. L’incidente si è verificato nello stesso periodo di una serie di attacchi contro sistemi utilizzati nel settore idrico statunitense; Micro-Comm ha tuttavia dichiarato che la propria compromissione non era correlata a tali attività. Il 24 agosto 2026 il Digitaliseringsdirektoratet (Digdir), agenzia norvegese responsabile di diversi servizi digitali pubblici, è stata colpita da un attacco DDoS diretto contro l’infrastruttura a supporto dei servizi gestiti dall’agenzia e dal proprio partner operativo Vivicta. Risulterebbe una rivendicazione firmata dal gruppo pro-Russia Server Killers che, in un post Telegram, sostiene di aver dichiarato guerra cibernetica alla Norvegia dopo che il Paese ha rinnovato la cooperazione in materia di sicurezza con l’Ucraina. Tra novembre 2025 e giugno 2026 Interpol ha coordinato Operation Jackal IV, un’operazione condotta dalle Forze dell’Ordine di 22 Paesi distribuiti su sei continenti (fra cui anche l’Italia) contro gruppi di criminalità organizzata dell’Africa occidentale. Fra le reti criminali prese di mira compare anche Black Axe.

Weekly Threats Report è l’aggiornamento settimanale di Telsy con le principali novità sugli attacchi cyber e sui threat actor a livello globale, realizzato dal nostro team di Threat Intelligence & Response.

Il team è composto da analisti e ricercatori di sicurezza con competenze tecniche e investigative e un’esperienza riconosciuta in ambito internazionale.

Attraverso il monitoraggio costante di minacce cibernetiche ed eventi geopolitici, produce e fornisce alle organizzazioni informazioni utili per anticipare gli attacchi e comprenderne la portata, potendo contare su un partner affidabile in caso di incidente informatico.

Scopri di più sulla nostra soluzione di Cyber Threat Intelligence