Negli ultimi anni, la cybersecurity ha iniziato a guardare con crescente preoccupazione non solo alle vulnerabilità interne alle organizzazioni, ma a quelle che si insinuano nei loro fornitori. È il tema della supply chain security, dove il punto debole non è più necessariamente il perimetro dell’azienda, ma quello dei suoi partner. Tuttavia, il recente attacco che ha coinvolto Mooney Servizi (MyCicero), ATM Milano, Busitalia Veneto e TUA Abruzzo ci proietta in uno scenario ancora più complesso: un attacco alla supply chain della supply chain.
Schema dell’attacco alla supplychain e coinvolgimento delle aziende a valle

I fatti degli attacchi recenti

I fatti sono noti, Mooney Servizi – azienda che gestisce piattaforme digitali come myCicero – è stata vittima di un attacco informatico. L’intrusione, secondo quanto dichiarato da Mooney, è avvenuta a livello infrastrutturale: è stato compromesso un archivio cloud gestito da WIIT S.p.A., provider di servizi cloud e data center ad alta affidabilità.

I dati trafugati – secondo quanto riportato – includono informazioni anagrafiche, email, numeri di telefono e dettagli di profilazione legati all’utilizzo dei servizi di mobilità. A non essere stati compromessi, fortunatamente, sono le credenziali di accesso e i dati di pagamento, custoditi su infrastrutture distinte.

Il dettaglio più rilevante non è solo il furto di dati. È la catena delle responsabilità tecniche che si è rivelata lunga e poco trasparente:

• WIIT, il provider cloud, avrebbe subito l’attacco.
• Mooney Servizi, cliente di WIIT, ne è rimasta colpita in quanto ospitava lì i propri sistemi.
• I clienti di Mooney – tra cui ATM Milano, Busitalia Veneto e TUA Abruzzo – si sono trovati a gestire un incidente che non ha avuto origine direttamente nei loro sistemi, ma li ha colpiti in pieno.

E a pagare il prezzo più alto, ancora una volta, sono stati gli utenti finali.

Se nei classici attacchi alla supply chain assistiamo ad una compromissione che da un fornitore arriva al cliente finale, qui accade qualcosa di più subdolo: una vulnerabilità del fornitore del fornitore si traduce in un data breach per più aziende terze, che hanno semplicemente delegato la gestione del servizio a un attore esterno ritenuto affidabile.

La Supply Chain della Supply Chain

ATM, Busitalia e TUA, infatti, non hanno subito direttamente alcuna violazione dei loro sistemi interni. E nemmeno, da quanto emerge, Mooney ha subito un attacco diretto sui propri ambienti di sviluppo. L’intrusione si è verificata su un archivio cloud ospitato presso WIIT.

Questa architettura a cascata, seppur comune nei sistemi SaaS e nel mondo dell’outsourcing, espone a un rischio difficilmente controllabile: quello di diventare “vittime collaterali” di un’architettura altrui, senza reale visibilità su come i dati siano gestiti, protetti, copiati, o eventualmente archiviati in cloud di terze parti.

A fronte delle dichiarazioni puntuali di Mooney Servizi, e della trasparenza di ATM, Busitalia e TUA nel notificare pubblicamente l’accaduto ai propri utenti (con dovizia di dettagli e responsabilità), colpisce la mancata comunicazione del cloud provider: WIIT S.p.A.

Ad oggi, nessun comunicato ufficiale è stato diffuso dal provider cloud. Nessuna conferma, nessuna smentita, nessuna nota tecnica o rassicurazione pubblica. E questo non aiuta neanche ulteriori aziende a fare una lesson learned sull’accaduto e più nello specifico:

• Qual è stata la reale dinamica tecnica dell’attacco?
• I dati sono stati esfiltrati da un sistema di backup, da un bucket S3 mal configurato o da altro?
• Quanti clienti WIIT sono coinvolti oltre a Mooney Servizi?
• È stata attivata una procedura di notifica al Garante Privacy o all’ACN?
• I server sui quali si appoggiava WIIT erano nei suoi datacenter oppure acquistati a loro volta da un altro cloud provider?

Resta quindi la narrazione dei clienti – Mooney e i suoi clienti – che si trovano a fare comunicazione di crisi per conto di chi ha subito (o forse originato) l’attacco.

Un nuovo paradigma di rischio

Il caso Mooney-MyCicero evidenzia un nuovo paradigma di rischio. In un ecosistema digitale distribuito, le aziende che si affidano a fornitori di servizi SaaS o cloud non delegano solo l’operatività, ma anche il proprio rischio reputazionale, legale e tecnico. E spesso lo fanno senza visibilità sulle misure effettive adottate nei livelli inferiori della catena.

La domanda che sorge spontanea è: quanto controllo effettivo hanno ATM, Busitalia o TUA sulla sicurezza dei dati quando affidano a un fornitore un servizio che, a sua volta, si appoggia su altri fornitori? O ancora: quante aziende italiane oggi stanno gestendo dati critici su infrastrutture su cui non hanno alcuna governance reale?

Questo incidente non è solo un problema di sicurezza informatica: è un problema di modello operativo. Quando la supply chain si estende su più livelli, la fiducia non può più essere cieca. Serve una due diligence tecnica multilivello, contrattualizzata e verificabile. Serve maggiore trasparenza nei processi di delega infrastrutturale, e serve anche una catena di responsabilità più chiara e, soprattutto, pubblica.

Fino a quando casi come questi verranno gestiti con comunicazioni parziali o frammentate – in attesa che il fornitore a monte decida se e quando dire qualcosa – sarà difficile ripristinare davvero la fiducia dell’utente finale. E l’industria digitale continuerà a inseguire gli attaccanti, un livello di supply chain alla volta.

L'articolo Attacco alla Supply Chain della Supply Chain: nuove vulnerabilità sistemiche e approccio alle terze parti proviene da il blog della sicurezza informatica.

Sony VAIO PCG-U101. (Credit: Sony)
Whilst recently perusing the fine wares for sale at VCF East, [Action Retro] ended up adopting a 1995 ProStar laptop. Unlike most laptops of the era, however, this one didn’t just have the typical trackpad and clicky mouse buttons, but also a D-pad and four suspiciously game controller looking buttons. This makes it rather like the 2002 Sony VAIO PCG-U subnotebook, or the 2018 GPD Win 2, except that inexplicably the manufacturer has opted to put these (serial-connected) game controls on the laptop’s palm rest.

Though branded ProStar, this laptop was manufactured by Clevo, who to this day produces generic laptops that are rebranded by everyone & their dog. This particular laptop is your typical (120 MHz) Pentium-based unit, with two additional PCBs for the D-pad and buttons wired into the mainboard.

Unlike the sleek and elegant VAIO PCG-U and successors, this Clevo laptop is a veritable brick, as was typical for the era, which makes the ergonomics of the game controls truly questionable. Although the controls totally work, as demonstrated in the video, you won’t be holding the laptop, meaning that using the D-pad with your thumb is basically impossible unless you perch the laptop on a stand.

We’re not sure what the Clevo designers were thinking when they dreamed up this beauty, but it definitely makes this laptop stand out from the crowd. As would you, if you were using this as a portable gaming system back in the late 90s.

youtube.com/embed/HXor-r8-AN8?…

hackaday.com/2025/04/13/the-pr…

It’s been a while since we’ve dunked on an autonomous taxi foul-up, mainly because it seemed for a while there that most of the companies field testing driverless ride-sharing services had either ceased operation or curtailed them significantly. But that appears not to be the case after a Waymo robotaxi got stuck in a Chick-fil-A drive-through. The incident occurred at the chicken giant’s Santa Monica, California location at about 9:30 at night, when the autonomous Jaguar got stuck after dropping off a passenger in the parking lot. The car apparently tried to use the drive-through lane to execute a multi-point turn but ended up across the entrance, blocking other vehicles seeking their late-evening chicken fix. The drive-through-only restaurant ended up closing for a short time while Waymo figured out how to get the vehicle moving again.

To be fair, drive-through lanes are challenging even for experienced drivers. Lanes are often narrow, curve radii are sometimes tighter than a large vehicle can negotiate smoothly, and the task-switching involved with transitioning from driver to customer can lead to mistakes. Drive-throughs almost seem engineered to make tempers flare, especially at restaurants where hangry drivers are likely to act out at the slightest delay. This is probably doubly so when drivers are stuck behind a driverless car, completely eliminating even the minimal decency that would likely be extended to a human driver who got themselves in a pickle. If people are willing to honk at and curse out the proverbial little old lady from Pasadena, they’re very unlikely to cooperate with a robotaxi and give it the room it needs to maneuver out of a tight spot. Perhaps that argues for a change in programming that accounts for real-world driving experiences as well as the letter of the law.

The big news from space this week was the private Fram2 mission, which took an all-civilian crew on the world’s first crewed polar flight. The four-person crew took off from Florida in a SpaceX Crew Dragon and rather than heading east towards Africa, took off due north and entered a retrograde orbit at 90° inclination, beating the previous record of 65° inclination by Valentina Tereshkova aboard Vostok 6 back in 1963. The Fram2 team managed a couple of other firsts, from the first medical X-rays taken in space to the first amateur radio contacts made from the Dragon.

It’s been a while, but Bill “The Engineer Guy” Hammack is back with a new video extolling the wonders of plastic soda bottles. If you think that’s a subject too mundane to hold your interest, then you’ve never seen Bill at work. The amount of engineering that goes into creating a container that can stand up to its pressurized content while being able to be handled both by automation machines at the bottling plant and by thirsty consumers is a lesson in design brilliance. Bill explains the whole blow-molding process, amazingly using what looks like an actual Coca-Cola production mold. We would have thought such IP would be fiercely protected, but such is Bill’s clout, we guess. The video is also a little trip down memory lane for some of us, as Bill shows off both the two-piece 2-liter bottles that used to grace store shelves and the ponderous glass versions that predated those. Also interesting is the look at the differences between hot-fill bottles and soda bottles, which we never appreciated before.

youtube.com/embed/kU_gH36GG58?…

And finally, if you’ve ever been confused by which logical fallacy is clouding your thinking, why not turn to the most famous fictional logician of all time to clarify things? “Star Trek Logical Reasoning” is a YouTube series by CHDanhauser that uses clips from the Star Trek animated series to illustrate nearly 70 logical fallacies. Each video is quite short, with most featuring Commander Spock eavesdropping on the conversations of his less-logical shipmates and pointing out the flaws in their logic. Luckily, the 23rd century seems to have no equivalent of human(oid) resources, because Spock’s logical interventions are somewhat toxic by today’s standards, but that’s a small price to pay for getting your logical ducks in a row.

youtube.com/embed/videoseries?…

hackaday.com/2025/04/13/hackad…

There are no shortage of CNC machines in the DIY space these days, but sometimes you just need to do things your own way. That’s what [Chris Borges] decided when he put together this rock-solid, concrete-filled CNC milling machine.

The concrete body of this machine is housed inside a 3D printed shell, which makes for an attractive skin as well as a handy mold. Within the concrete is a steel skeleton, with the ‘rebar’ being made of threaded rods and a length of square tubing to hold the main column. You can see the concrete being poured in around the rebar in the image, or watch it happen in the build video embedded below.

In goes the concrete, up goes the rigidity.All three axes slide on linear rails, and are attached to lead screws driven by the omnipresent NEMA 17 steppers. The air-cooled spindle, apparently the weak-point of the design, is attached to a pivoting counterweight, but make no mistake: it is on rails. All-in-all, it looks like a very rigid, and very capable design — [Chris] shows it cutting through aluminum quite nicely.

Given that [Chris] has apparently never used a true mill before, this design came out remarkably well. Between the Bill of Materials and 45 page step-by-step assembly instructions, he’s also done a fantastic job documenting the build for anyone who wants to put one together for themselves.

This isn’t the first concrete-filled project we’ve highlighted from [Chris], you may remember seeing his lathe on these pages. It certainly isn’t the first CNC mill we’ve covered, either.

youtube.com/embed/L8t82OQXefM?…

hackaday.com/2025/04/13/3d-pri…

Spade is an open-source hardware description language (HDL) developed at Linköping University, Sweden.

Other HDLs you might have heard of include Verilog and VHDL. Hardware engineers use HDLs to define hardware which can be rendered in silicon. Hardware defined in HDLs might look like software, but actually it’s not software, it’s hardware description. This hardware can be realized myriad ways including in an FPGA or with an ASIC.

You have probably heard that your CPU processes instructions in a pipeline. Spade has first-class support for such pipelines. This means that design activities such as re-timing and re-pipelining are much easier than in other HDLs where the designer has to implement these by hand. (Note: backward justification is NP-hard, we’re not sure how Spade supports this, if it does at all. If you know please enlighten us in the comments!)

Spade implements a type system for strong and static typing inspired by the Rust programming language and can do type inference. It supports pattern matching such as you might see in a typical functional programming language. It boasts having user-friendly and helpful error messages and tooling.

Spade is a work in progress so please expect missing features and breaking changes. The documentation is in The Spade Book. If you’re interested you can follow development on GitLab or Discord.

So now that you know about the Spade language, are you planning to take it for a spin? You will find plenty of Verilog/VHDL designs at Hackaday which you could re-implement using Spade, such as an easy one like Breathing LED Done With Raw Logic Synthesized From A Verilog Design (see benchmarks) or a much more challenging one like Game Boy Recreated In Verilog. If you give Spade a go we’d love to see what you come up with!

youtube.com/embed/N6GiefZDhss?…

hackaday.com/2025/04/13/the-sp…

Sick of raiding old TVs and CRT monitors for flyback transformers to feed your high-voltage addiction? Never fear; if you’re careful, a 3D-printed flyback might be just the thing you’re looking for.

To be fair, it’s pretty easy to come by new flyback transformers, so building your own isn’t strictly necessary. But [SciTubeHD] was in the market for a particularly large flyback, in a good-natured effort to displace [Jay Bowles] from his lofty perch atop the flyback heap. And it’s also true that this project isn’t entirely 3D-printed, as the split core of the transformer was sourced commercially. The secondary coil, though, was where most of the effort went, with a secondary form made from multiple snap-together discs epoxied together for good measure. The secondary has about a kilometer of 30-gauge magnet wire while the primary holds just ten turns of 8-gauge wire covered with silicone high-voltage insulation.

To decrease the likelihood of arcing, the transformer was placed in a plastic container filled with enough mineral oil liquid dielectric to cover the secondary. After degassing in a vacuum chamber for a day, [SciTubeHD] hooked the primary to a couple of different but equally formidable-looking full-bridge inverters for testing. The coil was capable of some pretty spicy arcs — [SciTubeHD] measured 20 amps draw at 35 volts AC input, so this thing isn’t to be trifled with. STL files for the core parts are coming up soon; we trust schematics for the power supply will be available, too.

youtube.com/embed/SxuzbLQi_nA?…

hackaday.com/2025/04/13/satisf…

dalla pagina di Roberto Vallepiano
(grazie a Tano D'Amico)

facebook.com/share/p/1AZRzkFwZ…

Mancavano pochi minuti alla mezzanotte quando la prima manganellata si abbatté sulla spalla sinistra di Mark Covell, il giornalista inglese che stava dormendo alla Scuola Diaz assieme ad altri 92 mediattivisti di diverse parti del mondo.
Covell urlò in italiano che era un giornalista, ma in pochi secondi si trovò circondato dagli agenti dei reparti antisommossa che lo tempestarono di colpi dei Tonfa, i manganelli "spaccaossa" inaugurati proprio in occasione del G8 di Genova.
Riuscì a restare in piedi solo per pochi secondi, poi una bastonata sulle ginocchia gli spappolò una rotula e lo fece crollare sul selciato.
Mentre giaceva faccia a terra nel buio, contuso e spaventato, un'orda di 346 Poliziotti stava dando il via a quella che venne presto ribattezzata la "Macelleria Messicana".
Proprio in quel momento un agente gli saltò addosso e gli diede un calcio al petto con tanta violenza da incurvargli tutta la parte sinistra della gabbia toracica, rompendogli una mezza dozzina di costole. Le schegge gli lacerarono la pleura del polmone sinistro.
Mentre i battaglioni punitivi della Polizia iniziavano il massacro della Diaz, alcuni agenti cominciarono a colpire Covell con gli anfibi, passandoselo da uno all'altro, come se fosse un pallone da calcio.
Mentre avveniva ciò Mark Covell, che è alto 1,73 e pesa 50 chili, sentiva gli agenti ridere.
Una nuova scarica di calci gli ruppe la mano sinistra con cui tentava di proteggersi e gli danneggiò in maniera irreversibile la spina dorsale.
Rimase qualche minuto inebetito a terra in una pozza di sangue. Poi due poliziotti tornarono indietro e si fermarono accanto al giornalista inglese ormai semi-incosciente, uno lo colpì alla testa con il manganello e il secondo lo prese a calci sulla bocca, frantumandogli i denti. Mark Covell svenne.
Rimase sospeso tra la vita e la morte, in coma, per 15 lunghissime ore.
Arrivò in sala operatoria in condizioni disperate: trauma cranico con emorragia venosa, mano sinistra e 8 costole fratturate, perforazione del polmone, trauma emitorace, spalla e omero, oltre alla perdita di 16 denti.
Mark Covell è un sopravvissuto. Uno dei tanti sopravvissuti alla mattanza genovese nei giorni del G8, a quella che perfino Amnesty International denunciò come "La più grave violazione dei diritti umani in Europa dopo la 2° Guerra Mondiale".

E anche se la Corte di Strasburgo ha condannato l'Italia per tortura e trattamenti disumani e degradanti, nessuno o quasi ha pagato.
La verità è stata insabbiata e i responsabili della Premiata Macelleria Messicana sono stati tutti coperti trasversalmente dai governi di Destra e di Centrosinistra e addirittura promossi.

Ma noi siamo ancora qui. Oggi come ieri.
Fianco a fianco con Mark Covell e tutti gli altri.
Per sputargli in faccia la verità e ricordargli che la memoria è un ingranaggio collettivo.

With all the attention on LLMs (Large Language Models) and image generators lately, it’s nice to see some of the more niche and unusual applications of machine learning. GARF (Generalizeable 3D reAssembly for Real-world Fractures) is one such project.

GARF may play fast and loose with acronym formation, but it certainly knows how to be picky when it counts. Its whole job is to look at the pieces of a broken object and accurately figure out how to fit the pieces back together, even if there are some missing bits or the edges aren’t clean.
Re-assembling an object from imperfect fragments is a nontrivial undertaking.
Efficiently and accurately figuring out how to re-assemble different pieces into a whole is not a trivial task. One may think it can in theory be brute-forced, but the complexity of such a job rapidly becomes immense. That’s where machine learning methods come in, as researchers created a system that can do exactly that. It addresses the challenge of generalizing from a synthetic data set (in which computer-generated objects are broken and analyzed for training) and successfully applying it to the kinds of highly complex breakage patterns that are seen in real-world objects like bones, recovered archaeological artifacts, and more.

The system is essentially a highly adept 3D puzzle solver, but an entirely different beast from something like this jigsaw puzzle solving pick-and-place robot. Instead of working on flat pieces with clean, predictable edges it handles 3D scanned fragments with complex break patterns even if the edges are imperfect, or there are missing pieces.

GARF is exactly the kind of software framework that is worth keeping in the back of one’s mind just in case it comes in handy some day. The GitHub repository contains the code (although at this moment the custom dataset is not yet uploaded) but there is also a demo available for the curious.

hackaday.com/2025/04/13/softwa…

Cosa c’è nel “decreto Sicurezza” appena entrato in vigore.

Voglio vedere se con un eventuale prossimo governo guidato da chi oggi sta all'opposizione queste norme saranno abolite oppure ormai ci sono e ce le terremo per sempre.

ilpost.it/2025/04/13/decreto-l…

Il gruppo informatico Smishing Triad, attivo in Cina, ha lanciato una campagna su larga scala che ha raggiunto utenti in più di 121 Paesi. Le operazioni si basano sul furto di dati bancari tramite SMS phishing, ma le attività dei criminali non si limitano al settore finanziario. Anche la logistica, il commercio al dettaglio e i servizi postali sono stati colpiti.

Secondo i dati analisi delle infrastrutture, condotto dai ricercatori di Silent Push, ha registrato più di un milione di visite alle pagine utilizzate dal gruppo in soli 20 giorni. Ciò indica volumi che superano notevolmente i 100 mila SMS di phishing al giorno precedentemente segnalati.

Una nuova pietra miliare nell’evoluzione di Smishing Triad è stata l’introduzione del set di strumenti Lighthouse. Non solo semplifica l’avvio di pagine di phishing con un clic, ma supporta anche la sincronizzazione in tempo reale, garantendo il furto immediato dei dati. Il complesso consente di intercettare i codici OTP e PIN e di superare la verifica 3DS, il che lo rende particolarmente pericoloso.

Decine di istituti bancari sono presi di mira, soprattutto in Australia e nella regione Asia-Pacifico. Tra queste figurano la Commonwealth Bank, la National Australia Bank e piattaforme globali come PayPal, Mastercard e HSBC. Ciò indica uno spostamento dell’attenzione dagli attacchi di massa verso obiettivi più “redditizi”.

L’infrastruttura del gruppo è impressionante per dimensioni: sono coinvolti oltre 8.800 indirizzi IP univoci e più di 200 sistemi autonomi. La maggior parte dei siti di phishing sono ospitati dai giganti tecnologici cinesi Tencent e Alibaba, il che evidenzia i loro stretti legami con lo spazio internet cinese.

I metodi utilizzati includono non solo l’invio di SMS di massa, ma anche l’invio di messaggi tramite account Apple iCloud compromessi e numeri di telefono locali. Ciò rende più difficile il tracciamento e riduce anche i sospetti sulle vittime.

Da marzo 2025, Smishing Triad è diventata più attiva e ha introdotto un nuovo kit di phishing che, a quanto pare, è supportato da “oltre 300 operatori in tutto il mondo”. Ciò indica un coordinamento su larga scala e la presenza di una rete globale al servizio delle organizzazioni criminali.

Silent Push continua a monitorare e collaborare con le organizzazioni internazionali per contrastare gli aggressori. Tuttavia, l’elevata frequenza di rotazione dei domini (decine di migliaia di nuovi domini alla settimana) rende difficile il blocco.

Gli esperti sottolineano che operazioni così avanzate e su larga scala richiedono non solo misure tecniche, ma anche lo sviluppo dell’alfabetizzazione digitale tra gli utenti. Senza un coordinamento internazionale e un monitoraggio continuo delle violazioni, la situazione potrebbe peggiorare.

Gli attacchi della Smishing Triad ai settori bancari di tutto il mondo confermano che la criminalità informatica sta diventando sempre più sofisticata e diffusa. È possibile proteggersi solo attraverso una combinazione di tecnologia, consapevolezza e cooperazione globale.

L'articolo Smishing Triad: il gruppo criminale che ha colpito 121 Paesi con attacchi SMS su larga scala proviene da il blog della sicurezza informatica.