Il phishing è tornato a essere il principale punto d’ingresso negli attacchi informatici gestiti da Cisco Talos Incident Response nel secondo trimestre del 2026. È comparso in oltre la metà degli interventi nei quali è stato possibile determinare la modalità iniziale di compromissione, contro il 35% registrato nei tre mesi precedenti.
La crescita, tuttavia, racconta soltanto una parte del fenomeno. Le campagne osservate da Talos non si limitano più a sottrarre una password attraverso una falsa pagina di accesso. Gli aggressori puntano sempre più spesso ai token di sessione, ai meccanismi di autorizzazione dei servizi cloud e agli strumenti utilizzati quotidianamente dagli amministratori informatici. In questo modo possono superare l’autenticazione a più fattori, mantenere l’accesso agli account compromessi e confondere le proprie attività con il normale traffico aziendale.
Il risultato è un cambiamento significativo per la sicurezza delle organizzazioni: proteggere la rete non basta più se identità digitali, sessioni cloud e software amministrativi vengono considerati automaticamente affidabili.
L’autenticazione diventa il principale terreno di scontro
L’abuso dei sistemi di autenticazione è stato rilevato nel 65% degli interventi di Talos IR nel trimestre, quasi il doppio rispetto al 35% del periodo precedente. Gli aggressori hanno utilizzato tecniche diverse per aggirare o indebolire l’autenticazione a più fattori, comunemente indicata con la sigla MFA.
Tra queste figurano gli attacchi adversary-in-the-middle, nei quali una pagina controllata dall’attaccante si interpone tra l’utente e il servizio autentico per intercettare credenziali e token di sessione. Una volta acquisito il token, il criminale può in alcuni casi utilizzare una sessione già autorizzata senza dover ripetere la verifica MFA.
Talos ha osservato anche attacchi di MFA fatigue, basati sull’invio ripetuto di richieste di approvazione nella speranza che l’utente ne accetti una per errore o esasperazione, oltre alla registrazione di dispositivi controllati dagli aggressori e all’impiego di vecchi protocolli di autenticazione che possono aggirare le protezioni più moderne.
La tendenza evidenzia un limite delle configurazioni basate esclusivamente su codici SMS o notifiche push. Questi sistemi aggiungono una barriera rispetto alla sola password, ma possono rimanere vulnerabili all’ingegneria sociale o all’intercettazione delle sessioni.
Per questo Talos raccomanda l’adozione di metodi resistenti al phishing, come FIDO2, WebAuthn e le chiavi di sicurezza hardware. Suggerisce inoltre di sottoporre la registrazione di nuovi dispositivi a una verifica del servizio di assistenza, bloccare i protocolli di autenticazione obsoleti e applicare regole di accesso condizionale basate anche sull’affidabilità e sulla conformità del dispositivo.
Il QR code porta il phishing fuori dai controlli tradizionali
Una delle campagne più significative del trimestre ha preso di mira soprattutto organizzazioni australiane. L’operazione, osservata a partire da aprile e ancora attiva alla fine di giugno 2026, utilizzava account Microsoft 365 compromessi per distribuire documenti PDF generati in modo automatico e personalizzati per le singole vittime.
All’interno dei file era presente un codice QR che conduceva a una pagina predisposta per sottrarre le credenziali di Microsoft 365. L’inserimento del collegamento in un’immagine, anziché direttamente nel testo dell’e-mail, può rendere più difficile l’analisi da parte dei sistemi di sicurezza progettati per controllare URL e allegati con metodi tradizionali.
La provenienza dei messaggi aumentava ulteriormente la credibilità dell’esca. Dopo aver ottenuto l’accesso a una casella di posta, gli aggressori sfruttavano infatti gli elenchi dei contatti interni per individuare nuove vittime. Talos ha attribuito la campagna a un attore identificato con il nome UAT-11764.
La compromissione non terminava con il furto delle credenziali. Gli operatori potevano creare regole nella casella di posta per nascondere messaggi rilevanti, usare SharePoint per ospitare documenti dannosi e inviare altre e-mail di phishing sia all’interno sia all’esterno dell’organizzazione. Ogni account violato diventava così una nuova infrastruttura di distribuzione.
Il meccanismo è particolarmente insidioso perché sfrutta servizi autentici e rapporti di fiducia già esistenti. Un messaggio inviato da un collega o da un contatto conosciuto, con un documento ospitato su una piattaforma aziendale, può apparire molto più credibile di un’e-mail proveniente da un dominio sconosciuto.
Secondo la valutazione di Talos, UAT-11764 continuerà con elevata probabilità a utilizzare questa operazione, ampliandola attraverso le rubriche delle caselle compromesse. Tra le contromisure indicate figurano il blocco o la segnalazione delle e-mail contenenti codici QR nei PDF, l’adozione di MFA resistente al phishing e il controllo della creazione anomala di regole nella posta e del caricamento sospetto di file su SharePoint.
ARToken trasforma il phishing in un servizio strutturato
Nel corso di un intervento, Talos ha individuato anche ARToken, una piattaforma di phishing-as-a-service strettamente collegata a EvilTokens. Il modello PhaaS mette strumenti e infrastrutture di phishing a disposizione di affiliati, abbassando la soglia tecnica necessaria per organizzare una campagna.
Secondo l’analisi di Talos, il pannello di ARToken mette a disposizione oltre 80 interfacce di programmazione, o API, dedicate a funzioni quali il phishing tramite codice dispositivo, la gestione della posta, le frodi basate sulla compromissione delle e-mail aziendali, la persistenza attraverso i token e l’esfiltrazione di dati da SharePoint. Gli operatori possono controllare queste attività attraverso una dashboard realizzata con React.
Il phishing tramite codice dispositivo è particolarmente rilevante perché abusa di una funzione legittima del processo OAuth. Invece di convincere l’utente a consegnare direttamente la password, l’attaccante cerca di fargli autorizzare un dispositivo o una sessione controllata dall’esterno. Se l’operazione riesce, può ottenere un accesso valido senza dover violare tecnicamente il sistema MFA.
ARToken comprende inoltre funzioni per amministrare OneDrive e SharePoint, modificare le regole della posta, controllare parole chiave tra account diversi, condividere token tra collaboratori e adattare le pagine di phishing alla posizione geografica della vittima. Talos ha rilevato anche meccanismi di elusione e contenuti cifrati sul lato client, pensati per ostacolare le analisi.
Il valore della piattaforma per gli aggressori non risiede quindi soltanto nella costruzione dell’esca iniziale. ARToken copre diverse fasi successive alla compromissione, trasformando il furto dell’identità in accesso persistente, sorveglianza delle comunicazioni e possibile sottrazione di informazioni dai servizi cloud.
Il ransomware si nasconde nei software di amministrazione
Ransomware e attività preparatorie a un attacco ransomware hanno rappresentato più del 20% degli interventi del trimestre, una quota sostanzialmente in linea con il periodo precedente. Talos ha gestito per la prima volta un incidente legato a Sinobi ed è intervenuta anche su operazioni associate a Nitrogen e Warlock.
L’elemento più significativo è l’impiego di software legittimi di monitoraggio e gestione remota. Questi strumenti, normalmente utilizzati dai reparti informatici per assistere utenti e amministrare computer a distanza, possono fornire agli attaccanti un canale di controllo potente e difficile da distinguere dalle normali attività operative.
Nel caso Sinobi, gli aggressori hanno utilizzato una versione alterata di MeshAgent, il componente open source della piattaforma di gestione remota MeshCentral. Il programma è stato trasformato in una porta d’accesso persistente, eseguita automaticamente come servizio con privilegi di sistema e collegata mediante comunicazioni WebSocket cifrate a un server controllato dagli attaccanti.
Questo accesso è rimasto inosservato per circa tre giorni prima della distribuzione del ransomware. Gli operatori si sono poi mossi nella rete attraverso RDP e WinRM, utilizzando un account di servizio protetto da una password debole, recuperata dall’archivio delle credenziali del dominio.
La fase finale ha sfruttato un oggetto Criteri di gruppo, o GPO, con uno script di accesso dannoso per distribuire il ransomware nell’intero dominio aziendale. I sistemi sono stati cifrati con l’estensione .SINOBI; Talos ha inoltre osservato attività preparatorie all’esfiltrazione dei dati attraverso rclone.exe.
L’uso dei criteri di gruppo dimostra come strumenti pensati per amministrare centralmente un’organizzazione possano accelerare anche un’operazione criminale. Una funzione in grado di distribuire rapidamente configurazioni e programmi a migliaia di computer può produrre lo stesso effetto quando viene controllata da un aggressore.
Warlock e il controllo remoto senza un utente collegato
In un altro intervento, gli operatori del ransomware Warlock, conosciuti anche come Storm-2603, hanno installato Zoho Assist Unattended Agent. Il programma consente di controllare a distanza un dispositivo anche quando nessun utente ha effettuato l’accesso.
Talos non aveva precedentemente associato questo strumento alle attività di Warlock. Nell’incidente esaminato non si è arrivati alla cifratura dei sistemi, ma il comportamento risultava coerente con quello di un attacco ransomware Warlock riuscito osservato nel maggio 2026.
La presenza di Zoho Assist non è di per sé una prova di compromissione: si tratta di un prodotto legittimo che può essere regolarmente utilizzato dalle aziende. La questione è stabilire chi lo abbia installato, con quali autorizzazioni, su quali dispositivi e verso quali destinazioni stabilisca le connessioni.
Proprio questa ambiguità riduce l’efficacia delle difese fondate esclusivamente su firme o elenchi di programmi dannosi. Un sistema di sicurezza che considera attendibile qualsiasi software amministrativo conosciuto potrebbe non rilevare un utilizzo anomalo. Diventano quindi importanti l’analisi del comportamento, il controllo delle installazioni come servizi, la limitazione delle applicazioni autorizzate e la ricerca di istanze non approvate degli strumenti di accesso remoto.
Sanità e servizi essenziali restano tra i bersagli principali
Per il secondo trimestre consecutivo, il settore sanitario è risultato il più colpito, con il 17% degli interventi. Pubblica amministrazione e manifattura hanno rappresentato ciascuna il 14%.
Talos individua un tratto comune: la scarsa tolleranza alle interruzioni. Gran parte delle organizzazioni sanitarie coinvolte supportava direttamente attività cliniche o diagnostiche, dove l’indisponibilità dei sistemi può avere conseguenze sia operative sia sull’assistenza ai pazienti.
Nel settore pubblico, quasi tutti gli interventi hanno riguardato amministrazioni locali responsabili di servizi essenziali. Le aziende manifatturiere prese di mira occupavano invece posizioni importanti nelle catene di fornitura industriali, con il rischio che un fermo si propagasse verso comparti tecnologici ed energetici.
Questa concentrazione non dimostra da sola le motivazioni di ogni attacco, ma indica il valore strategico della continuità operativa. Un’organizzazione che non può permettersi lunghi periodi di inattività può trovarsi sotto una pressione maggiore durante un incidente ransomware.
I punti deboli che amplificano una compromissione
Dopo l’abuso dell’autenticazione, la seconda carenza più frequente è stata l’insufficienza dei sistemi di registrazione e controllo, osservata nel 42% degli interventi, rispetto al 18% del trimestre precedente.
Talos ha trovato registri dei controller di dominio conservati soltanto per poche ore, dati degli endpoint sovrascritti prima di poter essere acquisiti, assenza dei flussi di rete necessari a ricostruire autenticazioni esterne ed esfiltrazioni e telemetria cloud non abbastanza estesa da risalire al vero momento dell’accesso iniziale. In alcuni casi i dati erano presenti soltanto sui dispositivi e sono stati eliminati dagli aggressori.
Senza una cronologia affidabile, un’organizzazione può non essere in grado di stabilire come sia iniziato l’incidente, quanto a lungo sia durato e quali informazioni siano state sottratte. Talos raccomanda una piattaforma centralizzata di raccolta dei log, con almeno 90 giorni di conservazione, alimentata da server, postazioni di lavoro, apparati di rete, servizi di identità cloud e strumenti di sicurezza.
La terza debolezza più comune è stata la presenza di sistemi esposti a Internet, vulnerabili o privi degli aggiornamenti necessari, rilevata nel 31% degli interventi. Tra gli obiettivi figuravano ToolShell, una precedente vulnerabilità di deserializzazione di Telerik UI e falle in apparati SD-WAN e VPN perimetrali. Sono stati osservati anche tentativi di SQL injection e attività di negazione del servizio contro applicazioni accessibili dall’esterno.
Le misure indicate comprendono l’individuazione e la dismissione dei prodotti arrivati a fine vita, l’isolamento temporaneo dei sistemi che non possono essere aggiornati, la protezione delle interfacce amministrative tramite VPN o sorgenti autorizzate e l’impiego di firewall applicativi per intercettare schemi di attacco conosciuti.
Un singolo account può generare migliaia di messaggi dannosi
Un problema meno frequente, ma capace di amplificare rapidamente l’impatto di un incidente, riguarda l’assenza di limiti per l’invio della posta. Soglie illimitate sono state rilevate in quasi il 15% degli interventi.
In uno dei casi analizzati, dopo aver sottratto le credenziali di un utente e compromesso la sua casella, gli aggressori hanno inviato più di 6.600 messaggi di phishing e spam. Un limite al volume della posta in uscita avrebbe potuto interrompere o almeno rallentare la propagazione.
La misura non impedisce il primo furto delle credenziali, ma contiene le conseguenze. È un esempio di difesa a più livelli: quando un controllo fallisce, quello successivo riduce la libertà d’azione dell’attaccante.
Dalle firme al controllo continuo delle identità
Le tecniche classificate nel quadro MITRE ATT&CK confermano la centralità degli account validi e delle funzioni native dei servizi aziendali. Le regole per nascondere le e-mail sono state il metodo di persistenza più osservato, mentre il phishing interno è risultato particolarmente rilevante per gli spostamenti laterali tra utenti e sistemi.
Gli aggressori hanno inoltre usato credenziali amministrative legittime per collegarsi tramite RDP e SSH, protocolli web standard per le comunicazioni di comando e controllo e servizi esterni autentici per trasferire dati.
Questa evoluzione potrebbe spostare parte degli investimenti di sicurezza verso la protezione delle identità, l’analisi comportamentale, la gestione degli accessi condizionali e la raccolta centralizzata degli eventi. Il tradizionale controllo del malware resta necessario, ma diventa insufficiente quando l’operatore utilizza un account regolare, un’applicazione approvata o una piattaforma cloud ampiamente diffusa.
Per aziende e fornitori di sicurezza, la difficoltà consiste nel bloccare l’abuso senza ostacolare il lavoro legittimo. Regole troppo permissive aumentano l’esposizione; controlli eccessivamente rigidi possono rallentare amministratori, assistenza tecnica e utenti. Saranno quindi determinanti la qualità delle configurazioni, la conoscenza dell’ambiente e la capacità di riconoscere deviazioni rispetto ai comportamenti abituali.
I dati di Talos derivano dagli interventi gestiti direttamente nel trimestre e non rappresentano necessariamente l’intero panorama mondiale degli attacchi. Offrono però un’indicazione chiara: il confine tra attività lecita e attività ostile è sempre meno visibile. La prossima fase della difesa informatica dipenderà non soltanto dalla capacità di riconoscere un file dannoso, ma anche da quella di comprendere quando un’identità, un token o uno strumento perfettamente legittimo viene utilizzato nel contesto sbagliato.
