Image by [dynam1keNL] via redditBut sir! I can’t believe I missed [dynam1keNL]’s initial flat offering from about a year ago, the mikefive, which came about when he and some friends ordered switches directly from Kailh and Kailh were like, do you want to try these even lower-profile PG1316 laptop switches? It’s called the mikefive because it’s 5 mm thick.

That’s okay, though, because now you’re caught up and I can talk about his latest keyboard, the mikecinq. The inspiration for this one includes the aesthetics of Le Chiffre and the slimness of Le Oeuf. As you’ll see in the gallery, the top is ever-so-slightly slanted downward from the top.

You can see it really well in the second picture — the top row is flush with the case, and the keys gradually get taller toward the thumb clusters. All [dynam1keNL] really had to do was 3D model the new case and screw in the PCB from his daily driver mikefive.

Image by [dynam1keNL] via reddit[dynam1keNL] ultimately found it nice and comfy, especially for the thumbs, but decided to take it one step further and designed a new switch footprint. Why? The PG1316s are surface-mount with contacts below the switch, so you really need a hotplate or oven to mount them.

So in order to deal with this, he made a dedicated mikecinq PCB with big cutouts with castellated holes beneath each switch. Now, the switch contacts are accessible from underneath and can be soldered with an iron.

You may have noticed that the mikefive production files are not available on GitHub — that’s because it was recently licensed and will be available soon. But if you want production files for the mikecinq, let him know in the comments.

Cyberpunk 2077 Here In 2025

Image by [felipeparaizo] via redditWhile this Cyberpunk 2077 keyboard is certainly nice enough to be a centerfold, [felipeparaizo] has a full write-up on GitHub, so here I go talking about it at length instead!

This here is a Sofle RGB v2.1 that, as we’ve concluded, is heavily inspired by Cyberpunk 2077. The case is 3D-printed and then airbrushed, and then stickered up with custom decals that include references to Arasaka and Samurai. The acrylic base lets even more Baja Blast-colored RGB goodness shine through.

The switches are Akko Crystal Blues, which seem like a great choice, and the caps are two combined sets — one matte and one translucent. This is the second version of the project, and you can see how the first one turned out over on GitHub.

via reddit

The Centerfold: An Avalanche of Color

Image by [CaptLynx] via redditSo this right here is an Avalanche keyboard, but at 60%. Go admire the original ones real quick; I’ll wait. They’re just as lovely as this one! I love the jawbreaker-esque layers of the case, and those knobs are exquisite.

Do you rock a sweet set of peripherals on a screamin’ desk pad? Send me a picture along with your handle and all the gory details, and you could be featured here!

Historical Clackers: the Brackelsberg

The Classic Typewriter page calls the Brackelsberg syllabic typewriter “another hallucinogenic creation from the golden age of writing machine design“, and I don’t disagree.
Image via The Classic Typewriter Page
This 1897 machine had types arranged on several type sectors which swung up and down. Each sector carried about 30 types, which I take to mean characters.

The 132-key board was divided into four sectors, and they could be operated simultaneously — as in, you could type four characters at once, entering entire syllables if you so desired. Thus, it was called a syllabic typewriter.

A hammer struck from the rear, connecting the paper and ribbon with the types. It seems slow and cumbersome, doesn’t it? But Brackelsberg insisted that it was quiet, pointed out that the writing was always visible, and argued that the syllabic gimmick would make it fast and convenient to use.

Although never mass-produced, a working prototype was built and is pictured here in a photograph from Friedrich Muller’s book called Schriebmaschinen und Schriften-Vervielfältigung published in 1900.

Finally, a Keyboard That Looks Like a Typewriter and Might Not Suck

I say this because of the disappointment I suffered buying a similar Bluetooth keyboard for ten bucks from a place where everything typically costs half of that or less. The thing just stopped working one day not long after the store warranty had expired. You win some, you lose some, I suppose.
The Yunzii QL75 typewriter keyboard. Image via Yunzii
Anyway, the Yunzii QL75 ought to fare better given that it’s ten times the cost to pre-order; at least I hope it does. And much like the crappy one I have, it comes in pink.

You can choose either Onyx tactile switches or Cocoa Cream V2 linear switches. But if you don’t like those, the switches are hot-swappable and compatible with 3-pin and 5-pins both.

The keycaps are ABS with a matte chrome electroplated finish and laser-engraved legends. Yes there is RGB, but it doesn’t shine through the keycaps, more like between them, it sounds like.

Thankfully, the QL75 works with QMK and VIA if you want to change things up. This thing has three-way connectivity to the device of your choice, which, if it’s small enough, can sit right above the keyboard where the paper would go.

There’s no telling what the knobs on the sides do, if anything, although there are arrows. On mine, they raise and lower the little kickstands.

Via TweakTown

Got a hot tip that has like, anything to do with keyboards? Help me out by sending in a link or two. Don’t want all the Hackaday scribes to see it? Feel free to email me directly.

hackaday.com/2025/05/19/keebin…

L’Unione Europea ha recentemente pubblicato il Cyber Stress Testing Manual, uno strumento operativo per guidare le autorità nazionali e settoriali nella valutazione della resilienza informatica degli operatori di infrastrutture critiche, in linea con la direttiva NIS2.

Il manuale può essere adottato anche nell’ambito di altre normative, come DORA per il settore finanziario e la direttiva CER per la resilienza delle entità critiche. L’obiettivo è creare un approccio sistematico, condiviso e scalabile per rafforzare la sicurezza informatica in contesti nazionali, regionali ed europei.

I cyber stress test rappresentano un nuovo metodo di valutazione della resilienza delle organizzazioni a fronte di incidenti informatici gravi. A differenza di altri strumenti come audit, penetration test o red teaming, lo stress test informatico è pensato per analizzare sia la preparazione sia la capacità di recupero operativo, con focus su scenari realistici di rischio. Questo approccio è già stato applicato da istituzioni come la BCE e la Commissione europea, che hanno condotto test rispettivamente su banche e infrastrutture energetiche.

Il manuale propone una guida in cinque fasi: definizione degli obiettivi, progettazione degli scenari, esecuzione dei test, analisi dei risultati, e monitoraggio delle lacune riscontrate. Un’applicazione pratica di questo processo è illustrata nel settore sanitario. I test diventano così strumenti utili per instaurare un dialogo tecnico e strategico tra autorità e operatori, e possono essere condotti sia in forma volontaria che regolatoria, a seconda del contesto.

In un contesto politico europeo che punta sempre più sulla preparazione e sulla resilienza, il manuale si inserisce nel quadro normativo rafforzato dallaNIS2, dal Cyber Solidarity Act e dal Digital Operational Resilience Act. Queste politiche incoraggiano l’adozione di stress test su scenari condivisi a livello UE per rafforzare la capacità collettiva di risposta a minacce complesse e sistemiche, sia informatiche che fisiche. Strumenti come il Cyber Risk Landscape Report o il 5G Toolbox forniscono le basi di rischio su cui modellare questi scenari.

Infine, il manuale si rivolge principalmente alle autorità di sicurezza informatica nazionali, ma risulta utile anche per altri enti regolatori o decisori politici. L’obiettivo è fornire un approccio strutturato e replicabile per integrare i cyber stress test nei processi di supervisione della resilienza digitale delle infrastrutture critiche europee. Si tratta, dunque, di un passo concreto verso una difesa più integrata e anticipatoria delle minacce digitali, in un contesto di crescente complessità tecnologica e geopolitica.

L'articolo ENISA rilascia il Cyber Stress Testing Manual: svolta per la resilienza digitale europea proviene da il blog della sicurezza informatica.

Theoretically bicycle rental services are a great thing, as they give anyone the means to travel around comfortably without immediately having to rent a car, hail a taxi or brave whatever the local public transport options may be. That is until said services go out of business and suddenly thousands of increasingly more proprietary and locked-down e-bikes suddenly are at risk of becoming e-waste. So too with a recent acquisition by [Berm Peak] over at YouTube, featuring a ‘Gotcha’ e-bike by Bolt Mobility, which went AWOL back in 2022, leaving behind thousands of these e-bikes.

So how hard could it be to take one of these proprietary e-bikes and turn it into a run-off-the-mill e-bike for daily use? As it turns out, very hard. While getting the (36V) battery released and recharged was easy enough, the challenge came with the rest of the electronics, with a veritable explosion of wiring, the Tongsheng controller module and the ‘Gotcha’ computer module that locks it all down. While one could rip this all out and replace it, that would make the cost-effectiveness of getting one of these go down the drain.

Sadly, reverse-engineering the existing system proved to be too much of a hassle, so a new controller was installed along with a bunch of hacks to make the lights and new controller work. Still, for $75 for the bike, installing new electronics may be worth it, assuming you can find replacement parts and got some spare hours (or weeks) to spend on rebuilding it. The bike in the video costed less than $200 in total with new parts, albeit with the cheapest controller, but maybe jailbreaking the original controller could knock that down.

youtube.com/embed/yJC9s4XhiRE?…

hackaday.com/2025/05/19/the-ni…

Gli espertidi sicurezza hanno riportato di una piattaforma trading cinese Xinbi Guarantee, che opera sulla base di Telegram. Dal 2022 sono transitati almeno 8,4 miliardi di dollari attraverso questo mercato ombra, rendendolo il secondo mercato nero più grande dopo HuiOne Guarantee.

Secondo un rapporto degli analisti blockchain di Elliptic, Xinbi Guarantee vendeva tecnologia, dati personali e servizi di riciclaggio di denaro. “La stablecoin Tether (USDT) è il principale mezzo di pagamento per Xinbi Guarantee e, ad oggi, il volume delle transazioni ha superato gli 8,4 miliardi di dollari”, scrivono i ricercatori. “Alcune transazioni potrebbero essere collegate a fondi rubati dalla Corea del Nord.”

Xinbi, come HuiOne, ha lavorato principalmente con truffatori del Sud-Est asiatico, tra cui uno che è diventato popolare negli ultimi anni con la truffa romantica (nota anche come “macellazione del maiale”).

In questo schema, i truffatori utilizzano l’ingegneria sociale e contattano persone (“maiali”) sui social media e sulle app di incontri. Con il passare del tempo, i criminali si sono guadagnati la fiducia delle loro vittime fingendo un’amicizia o un interesse romantico e, a volte, fingendosi veri amici della vittima.

Una volta stabilito il “contatto”, a un certo punto i criminali propongono alla vittima di investire in criptovalute, per cui la vittima viene indirizzata a un sito web falso. Sfortunatamente, sarà impossibile recuperare i tuoi fondi e ricevere entrate false da tali “investimenti”.

Secondo gli esperti, Xinbi Guarantee contava circa 233.000 utenti e i venditori erano divisi in categorie legate al riciclaggio di denaro, alle apparecchiature Internet satellitari Starlink, ai falsi documenti d’identità e ai database rubati, utilizzati per trovare potenziali vittime.

Alcuni venditori offrivano anche servizi di stalking e intimidazione a qualsiasi bersaglio scelto in Cina, pubblicizzavano donne come donatrici di ovuli o madri surrogate e si dedicavano persino al traffico di esseri umani, andando ben oltre le solite truffe informatiche.

“I volumi delle transazioni su piattaforme cinesi come Huione e Xinbi Guarantee superano significativamente i volumi delle transazioni sulla prima generazione di piattaforme darknet su Tor”, sottolineano gli esperti.

Inoltre, si sottolinea che Xinbi e HuiOne Guarantee sono stati utilizzati per riciclare le criptovalute rubate dagli hacker nordcoreani dall’exchange di criptovalute indiano WazirX nel luglio dello scorso anno. Pertanto, secondo Elliptic, il 12 novembre 2024, 220.000 dollari in USDT sono stati inviati agli indirizzi wallet controllati da Xinbi.

Un aspetto interessante dell’attività di Xinbi è che è gestita da un “gruppo di società di investimento e gestione patrimoniale” registrato nello stato americano del Colorado a nome di un uomo di nome Mohd Shahrulnizam Bin Abd Manap. Secondo il registro statale delle società, Xinbi è stata costituita nell’agosto 2022 e da allora non ha presentato relazioni periodiche.

Gli esperti scrivono di aver trasmesso tutte le informazioni raccolte agli specialisti di Telegram, dopodiché l’amministrazione di Messenger ha chiuso migliaia di canali associati a Xinbi e HuiOne Guarantee, interrompendo il funzionamento di due piattaforme di trading, il cui fatturato totale supera i 35 miliardi di dollari USA in transazioni USDT.

Poco dopo, HuiOne/Haowang Guarantee ha pubblicato una dichiarazione ufficiale sul proprio sito web, affermando che avrebbe cessato le operazioni perché “tutti gli NFT, i canali e i gruppi sono stati bloccati da Telegram”. Si sottolinea che tutte le attività sul marketplace sono state condotte da venditori terzi che non avevano alcun rapporto con HuiOne Guarantee.

“Offriamo solo servizi di garanzia. Operiamo solo su Telegram, che è bloccato nella Cina continentale da molto tempo. Gli utenti della Cina continentale non possono usare Telegram, quindi i nostri clienti predefiniti sono utenti di altri Paesi”, ha dichiarato l’azienda.

In risposta a ciò, gli esperti di Elliptic hanno pubblicato un nuovo post, in cui hanno sottolineato che tali piattaforme agiscono in realtà come intermediari tra venditori e acquirenti. Tuttavia, l’amministrazione del marketplace controlla l’accesso e utilizza meccanismi di protezione dalle frodi, tra cui depositi e servizi di deposito a garanzia..

Di conseguenza, HuiOne Guarantee ha incoraggiato i suoi venditori e utenti a migrare verso un altro marketplace chiamato Tudou Guarantee, che ha già visto la sua base di utenti aumentare del 30%. Inoltre, secondo gli analisti di Elliptic, “ci sono già segnali che Xinbi stia cercando di riprendere le operazioni” con il nome Xinbi 2.0.

L'articolo Riciclaggio, Romantic Scam e Hacker Nord coreani. Dentro i mercati Telegram di Xinbi Guarantee proviene da il blog della sicurezza informatica.

The seeds of the Internet were first sown in the late 1960s, with computers laced together in continent-spanning networks to aid in national defence. However, it was in the late 1990s that the end-user explosion took place, as everyday people flocked online in droves.

Many astute individuals saw the potential at the time, and rushed to establish their own ISPs to capitalize on the burgeoning market. Amongst them was a famous figure of some repute. David Bowie might have been best known for his cast of rock-and-roll characters and number one singles, but he was also an internet entrepreneur who got in on the ground floor—with BowieNet.

Is There Dialup On Mars?

The BowieNet website was very much of its era. Credit: Bowienet, screenshot
Bowie’s obsession with the Internet started early. He was well ahead of the curve of many of his contemporaries, becoming the first major artist to release a song online. Telling Lies was released as a downloadable track, which sold over 300,000 downloads, all the way back in 1996. A year later, the Earthling concert would be “cybercast” online, in an era when most home internet connections could barely handle streaming audio.

These moves were groundbreaking, at the time, but also exactly what you might expect of a major artist trying to reach fans with their music. However, Bowie’s interests in the Internet lay deeper than mere music distribution. He wanted a richer piece of the action, and his own ISP—BowieNet— was the answer.
The site was regularly updated with new styling and fresh content from Bowie’s musical output. Eventually, it became more website than ISP. Credit: BowieNet, screenshot
Bowie tapped some experts for help, enlisting Robert Goodale and Ron Roy in his nascent effort. The service first launched in the US, on September 1st 1998, starting at a price of $19.95 a month. The UK soon followed at a price of £10.00. Users were granted a somewhat awkward email address of username@davidbowie.com, along with 5MB of personal web hosting. Connectivity was provided in partnership with established network companies, with Concentric Network Corp effectively offering a turnkey ISP service, and UltraStar handling the business and marketing side of things. It was, for a time, also possible to gain a free subscription by signing up for a BowieBanc credit card, a branded front end for a banking services run by USABancShares.com. At its peak, the service reached a total of 100,000 subscribers.

Bonuses included access to a network of chatrooms. The man himself was a user of the service, regularly popping into live chats, both scheduled and casually. He’d often wind up answering a deluge of fan questions on topics like upcoming albums and whether or not he drank tea. The operation was part ISP, part Bowie content farm, with users also able to access audio and video clips from Bowie himself. BowieNet subscribers were able to access exclusive tracks from the Earthling tour live album, LiveAndWell.com, gained early access to tickets, and could explore BowieWorld, a 3D interactive city environment. To some controversy, users of other ISPs had to stump up a $5.95 fee to access content on davidbowie.com, which drew some criticism at the time.

Bowienet relied heavily on the leading Internet technologies of the time. Audio and graphics were provided via RealAudio and Flash, standards that are unbelievably janky compared to those in common use today. A 56K modem was recommended for users wishing to make the most of the content on offer. New features were continually added to the service; Christmas 2004 saw users invited to send “BowieNet E-Cards,” and the same month saw the launch of BowieNet blogs for subscribers, too.

youtube.com/embed/tLf6KZmJyrA?…

Bowie spoke to the BBC in 1999 about his belief in the power of the Internet.

BowieNet didn’t last forever. The full-package experience was, realistically, more than people expected even from one of the world’s biggest musicians. In May 2006, the ISP was quietly shutdown, with the BowieNet web presence slimmed down to a website and fanclub style experience. In 2012, this too came to an end, and DavidBowie.com was retooled to a more typical artist website of the modern era.

Ultimately, BowieNet was an interesting experiment in the burgeoning days of the consumer-focused Internet. The most appealing features of the service were really more about delivering exclusive content and providing a connection between fans and the artist himself. It eventually became clear that Bowie didn’t need to be branding the internet connection itself to provide that.

Still, we can dream of other artists getting involved in the utilities game, just for fun. Gagaphone would have been a slam dunk back in 2009. One suspects DojaGas perhaps wouldn’t have the same instant market penetration without some kind of hit single about clean burning fuels. Speculate freely in the comments.

hackaday.com/2025/05/19/rememb…

La ricerca dei bug frutta e anche molto!

Si è concluso il Pwn2Own Berlin 2025 con risultati tecnologici impressionanti, portando il montepremi complessivo a oltre un milione di dollari. I ricercatori di sicurezza hanno dimostrato sofisticate tecniche di sfruttamento contro obiettivi di alto profilo, tra cui Windows 11, VMware ESXi e Mozilla Firefox, rivelando vulnerabilità zero-day critiche che i fornitori devono ora affrontare.

La competizione di hacking, durata tre giorni, ha messo in luce 28 vulnerabilità zero-day uniche, con i ricercatori che hanno vinto premi per un totale di 1.078.750 dollari. Il terzo giorno si sono verificati diversi exploit zero-day significativi contro le principali piattaforme. L’ex vincitore del Master of Pwn Manfred Paul ha sfruttato con successo Mozilla Firefox sfruttando una vulnerabilità di tipo integer overflow nel motore di rendering, guadagnando 50.000 dollari e 5 punti Master of Pwn.

Questo exploit che riguarda solo il rendering ha dimostrato come aggressori sofisticati possano compromettere i sistemi sfruttando le vulnerabilità del browser. La sicurezza di Windows 11 è stata violata due volte nel corso della giornata. Miloš Ivanović ha dimostrato una vulnerabilità alle condizioni di gara per aumentare i privilegi al livello SYSTEM nel tentativo finale della competizione, guadagnando 15.000 dollari.

In precedenza, un membro del team di ricerca DEVCORE aveva dimostrato con successo l’escalation dei privilegi su Windows 11, sebbene uno dei due bug utilizzati fosse già noto a Microsoft. Anche i prodotti di virtualizzazione VMware si sono dimostrati vulnerabili. Corentin BAYET di Reverse_Tactics ha sfruttato VMware ESXi sfruttando una vulnerabilità di tipo integer overflow e un bug di variabile non inizializzata precedentemente segnalato, guadagnando 112.500 dollari nonostante la collisione parziale.

Inoltre, Thomas Bouzerar ed Etienne Helluy-Lafont di Synacktiv hanno sfruttato con successo VMware Workstation tramite un buffer overflow basato su heap, guadagnando 80.000 dollari e 8 punti Master of Pwn. STAR Labs SG si è aggiudicato il titolo di vincitore assoluto, aggiudicandosi il prestigioso titolo Master of Pwn con 320.000 dollari di guadagni e 35 punti. Il loro team ha dimostrato eccezionali capacità tecniche in diverse categorie.
Immagini del Pwn2own 2025 (Fonte zerodayinitiative.com)
In una dimostrazione particolarmente impressionante, i membri del team Dung e Nguyen hanno sfruttato una condizione di competizione TOCTOU (time-of-check-to-time-of-use) per uscire da una macchina virtuale, combinandola con una convalida impropria della vulnerabilità dell’indice dell’array per aumentare i privilegi in Windows. Questa complessa catena di attacchi ha fruttato loro 70.000 dollari e 9 punti Master of Pwn.

Secondo il rapporto, l’evento di Berlino del 2025 ha segnato un traguardo significativo, con 1.078.750 dollari assegnati in tre giorni, di cui 383.750 dollari solo nell’ultimo giorno. Questo montepremi da record sottolinea la crescente importanza e il valore economico della ricerca sulla sicurezza.

Dei 28 zero-day unici e divulgati durante l’evento, sette provenivano dalla categoria AI, a dimostrazione dell’espansione della superficie di attacco dovuta alla crescente diffusione dei sistemi di intelligenza artificiale. Il formato competitivo continua a rappresentare un meccanismo efficace per identificare vulnerabilità critiche prima che soggetti malintenzionati possano sfruttarle.
Immagini del Pwn2own 2025 (Fonte zerodayinitiative.com)
L’evento, ospitato da OffensiveCon, ha riunito ricercatori e fornitori di sicurezza d’élite in un quadro di collaborazione che apporta vantaggi all’intero ecosistema tecnologico. I fornitori hanno già iniziato ad affrontare le vulnerabilità scoperte, dimostrando l’impatto pratico dell’evento sul miglioramento della sicurezza digitale per gli utenti di tutto il mondo.

L'articolo 28 zero-day in 3 giorni e oltre un milione di dollari in premi: ecco cosa è successo al Pwn2Own 2025 proviene da il blog della sicurezza informatica.

WELCOME BACK TO DIGITAL POLITICS. I'm Mark Scott. This weekend was another belter when it came to elections (we'll get to that in a minute.) But, more importantly, Austria won this year's Eurovision song contest with this entry — still not as good as this Italian winner from 2021, imo.

— Digital sovereignty is now the name of the game. That's going to lead to increased silos between how countries approach crucial tech policy issues.

— Romanians backed a pro-EU candidate to become the country's next president. That hasn't stopped many from crying foul play.

— The cost of using the most advanced AI models has fallen 280-fold over the last 18 months as companies race to woo users worldwide.

Let's get started:

digitalpolitics.co/newsletter0…

When we hear the words “pitot tube,” we tend to think more of airplanes than of air ducts, but [Franci Kopač]’s guide to pitot tubes for makers shows that they can be a remarkably versatile tool for measuring air speed, even in domestic settings.

A pitot tube is a tube which faces into an air flow, with one hole at the front of the tube, and one on the side. It’s then possible to determine the air speed by measuring the pressure difference between the side opening and the end facing into the wind. At speeds, temperatures, and altitudes that a hacker’s likely to encounter (i.e. not on an airplane), the pressure difference is pretty small, and it’s only since the advent of MEMS pressure sensors that pitot tubes became practical for amateurs.

[Franci]’s design is based on a Sensiron SDP differential pressure sensor, a 3D-printed pitot tube structure, some tubing, and the microcontroller of your choice. It’s important to position the tube well, so that it doesn’t experience airflow disturbances from other structures and faces straight into the air flow. Besides good positioning, the airspeed calculation requires you to know the air temperature and absolute pressure.

[Franci] also describes a more exotic averaging pitot tube, a fairly simple variation which measures air speed in cavities more accurately. He notes that this provides a more inexpensive way of measuring air flow in ducts than air conditioning flow sensors, while being more resilient than propeller-based solutions – he himself used pitot tubes to balance air flow in his home’s ventilation. All of the necessary CAD files and Arduino code are available on his GitHub repository.

If you’re looking for a more conventional duct flow meter, we’ve covered one before. We’ve even seen a teardown of a pitot tube sensor system from a military drone.

hackaday.com/2025/05/19/using-…

Nel mondo della cybersecurity esiste una verità scomoda quanto inevitabile: per difendere davvero qualcosa, bisogna sapere come violarlo. L’autenticazione multi-fattore è una delle colonne portanti della sicurezza informatica moderna. Dovrebbe essere una barriera invalicabile per i criminali informatici. Ma cosa succede se quella barriera, invece di essere abbattuta con la forza bruta, viene semplicemente aggirata con astuzia?

È quello che il team cyber di Eurosystem, composto da Kevin Chierchia (Red Team – Malware Analyst), Fabio Lena (Red Team – Phishing & Awareness Specialist) e Leonardo Taverna (Cyber Security Intern), ha voluto scoprire. L’occasione è arrivata durante un’attività di Adversary Emulation per un cliente, dove l’obiettivo era valutare la resilienza reale delle difese aziendali contro scenari verosimili.

E così, è nata una domanda: “È possibile simulare un attacco phishing che riesca a superare anche l’autenticazione a più fattori?”.

Un’impresa che potrebbe sembrare contraddittoria: perché investire tempo e risorse per aggirare una delle più importanti misure di sicurezza esistenti? La risposta è semplice quanto inquietante: perché i criminali informatici lo stanno già facendo. E lo fanno bene.

È bene ricordare che simulazioni come questa devono sempre essere svolte in ambienti autorizzati e controllati, nel rispetto della legge e degli obiettivi condivisi con il cliente.

L’idea: MITM tra utente e portale, sfruttando un proxy

l principio alla base è tanto semplice quanto pericoloso: creare un proxy MITM (Man-In-The-Middle) che si frapponga tra la vittima e il vero portale di autenticazione. In questo modo, tutto ciò che l’utente inserisce – incluse le credenziali e i token MFA – viene intercettato in tempo reale e riutilizzato dall’attaccante per “loggarsi” prima che scada.

Durante la fase di ricerca, il team si è imbattuto nel documento “Top Phishing Techniques” di Hadess.io, che ha rappresentato una fonte di ispirazione concreta. Da lì, il passo verso la sperimentazione pratica è stato breve

Evilginx 3 e GoPhish: due volti dello stesso attacco, cocktail perfetto (e velenoso)

Il cuore del progetto è Evilginx 3, una piattaforma open source pensata per simulare attacchi man-in-the-middle (MitM) altamente sofisticati. A differenza dei classici attacchi di phishing, che mirano a sottrarre username e password, Evilginx è in grado di catturare anche i token di sessione emessi dopo l’autenticazione, rendendo di fatto inutile la protezione MFA in molte sue forme.

Evilginx agisce come un trasparent proxy: clona fedelmente le pagine di login dei principali provider (Microsoft 365, Google, Okta…) e inoltra tutto il traffico tra la vittima e il sito reale. L’utente inserisce le proprie credenziali, supera l’MFA, e nemmeno se ne accorge, perché la risposta arriva dal vero server. Ma nel frattempo, il token di sessione è stato intercettato e può essere utilizzato per accedere direttamente all’account compromesso.

Evilginx agisce come un transparent proxy: clona fedelmente le pagine di login dei principali provider (Microsoft 365, Google, Okta…) e inoltra tutto il traffico tra la vittima e il sito reale. L’utente inserisce le proprie credenziali, supera l’MFA, e nemmeno se ne accorge, perché la risposta arriva dal vero server. Ma nel frattempo, il token di sessione è stato intercettato e può essere utilizzato per accedere direttamente all’account compromesso.

Il team ha integrato Evilginx con GoPhish, potente framework di social engineering, per orchestrare campagne su larga scala, automatizzate, e personalizzate in base ai profili delle vittime. Il risultato? Una piattaforma ibrida, modulare e perfettamente aderente alle reali minacce che oggi si muovono nel dark web.

L’impatto reale: se anche l’MFA può cadere

Il risultato ha dimostrato quanto sia possibile – e realistico – orchestrare un attacco in grado di eludere anche una delle misure difensive più propagandate degli ultimi anni. Ma attenzione: non è un fallimento dell’MFA, né un invito a dismetterla. Quello che emerge da questo tipo di simulazioni non è solo una vulnerabilità tecnica, ma un problema sistemico. La fiducia cieca nelle tecnologie di autenticazione multifattore rischia di diventare il nuovo anello debole della catena. Non perché l’MFA non funzioni – al contrario, è una barriera indispensabile – ma perché non è infallibile. E soprattutto, non è sufficiente da sola.

youtube.com/embed/Py9X6uYK1RM?…
Video che riproduce l’intero attacco che è stato svolto
Le aziende spesso implementano l’MFA come “sigillo finale” della sicurezza, rilassandosi dietro alla sua presunta inviolabilità. Ma un attacco come quello veicolato tramite Evilginx dimostra che basta un clic sbagliato per far crollare l’intero castello. E quel clic, inutile dirlo, continua a essere umano.

La formazione: l’unico vero firewall umano

Siamo chiari: l’MFA è e resta una tecnologia fondamentale. Rinunciarvi sarebbe una follia.

Ma senza una cultura della sicurezza diffusa, senza un personale formato, consapevole, aggiornato e capace di riconoscere anche i segnali più sottili di un attacco, qualsiasi sistema è destinato a cedere.

Non c’è tecnologia che possa resistere all’ingenuità, alla fretta, alla distrazione. È per questo che ogni test che conduciamo serve non solo a collaudare le difese digitali, ma anche – e soprattutto – a risvegliare l’attenzione delle persone, mostrando loro che l’inganno può essere perfetto. Che la trappola può sembrare reale. Che la minaccia è dentro la posta elettronica, tutti i giorni.

Come ci si difende? Tecnologie sì, ma senza le persone non basta

Dopo aver dimostrato che anche l’MFA può essere aggirato, viene naturale chiedersi: come possiamo proteggerci davvero? La risposta non sta solo nella tecnologia, ma in un approccio multilivello che combina strumenti avanzati e formazione costante.

Le aziende dovrebbero iniziare a valutare l’adozione di soluzioni MFA resistenti al phishing, come FIDO2 o WebAuthn, che impediscono la riutilizzabilità dei token anche in caso di attacco MITM. Ma non basta. Serve monitoraggio delle sessioni, segmentazione della rete, controlli comportamentali e una solida politica di incident response.

E poi ci sono le persone. Perché puoi anche blindare ogni porta, ma se chi lavora in azienda non riconosce un finto portale o approva una notifica push MFA mentre è distratto, sei punto e a capo. Le campagne di phishing simulato, i momenti di formazione mirata e il coinvolgimento diretto sono ancora oggi tra le armi più potenti nella difesa aziendale.

In altre parole: la tecnologia è una barriera, ma la consapevolezza è l’antidoto. Chi si ferma all’MFA ha solo fatto il primo passo.

Conclusione: tra lupi e pecore, noi restiamo pastori armati

Abbiamo scelto di camminare sul filo sottile che separa l’attacco dalla difesa, convinti che solo esplorando il buio possiamo illuminare la strada. Evilginx 3 è solo uno degli strumenti che usiamo per questo viaggio nel lato oscuro della rete. Ma è anche una sveglia, una sirena, un urlo: la sicurezza non è mai definitiva. È un processo, una mentalità, una responsabilità condivisa.

Chi pensa che basti implementare l’MFA per dormire sonni tranquilli, si illude.

La sicurezza non è una scatola chiusa con un lucchetto, ma un equilibrio dinamico che si basa su tecnologia, processo e soprattutto persone formate e consapevoli.

E allora continuiamo a testare, a simulare, a violare. Non per distruggere, ma per proteggere meglio. Perché se non lo facciamo noi, lo faranno altri. E loro non verranno con buone intenzioni.

L'articolo Quando l’MFA non basta! Abbiamo Violato il Login Multi-Fattore Per Capire Come Difenderci Meglio proviene da il blog della sicurezza informatica.

If you’ve ever squinted at a DE10-Nano wondering where the fun part begins, you’re not alone. This review of the Mr. MultiSystem 2 by [Lee] lifts the veil on a surprisingly noob-friendly FPGA console that finally gets the MiSTer experience out of the tinker cave and into the living room. Developed by Heber, the same UK wizards behind the original MultiSystem, this follow-up console dares to blend flexibility with simplicity. No stack required.

It comes in two varieties, to be precise: with, or without analog ports. The analog edition features a 10-layer PCB with both HDMI and native RGB out, Meanwell PSU support, internal USB headers, and even space for an OLED or NFC reader. The latter can be used to “load” physical cards cartridge-style, which is just ridiculously charming. Even the 3D-printed enclosure is open-source and customisable – drill it, print it, or just colour it neon green. And for once, you don’t need to be a soldering wizard to use the thing. The FPGA is integrated in the mainboard. No RAM modules, no USB hub spaghetti. Just add some ROMs (legally, of course), and you’re off.

Despite its plug-and-play aspirations, there are some quirks – for example, the usual display inconsistencies and that eternal jungle of controller mappings. But hey, if that’s the price for versatility, it’s one you’d gladly pay. And if you ever get stuck, the MiSTer crowd will eat your question and spit out 12 solutions. It remains 100% compatible with the MiSTer software, but allows some additional future features, should developers wish to support them.

Want to learn more? This could be your entrance to the MiSTer scene without having to first earn a master’s in embedded systems. Will this become an alternative to the Taki Udon announced Playstation inspired all-in-one FPGA console, which does require a DE-10 (or compatible)? Check the video here and let us know in the comments.

youtube.com/embed/UVx08a-dZRY?…

hackaday.com/2025/05/19/mister…

I giornalisti non devono essere un bersaglio, lasciateci entrare a Gaza.
Di fronte alla drammatica situazione nella Striscia, l’opinione pubblica mondiale continua a non poter avere notizie raccolte in modo autonomo e indipendente.
Oltre 200 colleghi sono stati uccisi in Palestina dall’inizio del conflitto, molti di più che in ogni altra guerra dell’ultimo secolo.
Agli inviati internazionali viene impedito di accedere per fare il loro lavoro in modo autonomo e sicuro.
L’assemblea delle giornaliste e dei giornalisti del Tg3, all’unanimità, lancia un appello alle autorità israeliane affinché torni possibile adempiere al diritto dovere di raccontare con obiettività quanto accade, in particolare alla popolazione civile.
L’opinione pubblica deve poter vigilare sul rispetto del diritto internazionale e dei principi di umanità.
Vogliamo proseguire nel racconto delle sofferenze di chi è innocente, a partire dai bambini, come abbiamo sempre fatto con il massimo dell’impegno e della professionalità fin dal terribile attacco terroristico di Hamas del 7 ottobre.
La redazione del Tg3 osserva peraltro con preoccupazione la difficoltà crescente di testimonianza un po’ ovunque nel mondo, con i giornalisti divenuti target anche in Ucraina e altri contesti e con il rilascio dei visti giornalistici sempre più complicato in molti paesi, ostacolo spesso insormontabile e che limita il nostro lavoro.

L’Assemblea del Tg3

dicorinto.it/associazionismo/a…