Il Rapporto Clusit 2025 come il Report Dark Mirror Q1-2025 di Dark Lab – il laboratorio di Cyber Threat Intelligence di Red Hot Cyber – che hanno analizzato gli incidenti di sicurezza informatica a livello globale, hanno rivelato che l’Italia rimane uno dei paesi più colpiti dalla criminalità informatica: nel primo trimestre del 2025 l’Italia ha registrato inoltre il numero più alto di vittime ransomware mai osservato. Il report di Dark Lab soprattutto, contributo strategico per rafforzare la consapevolezza e la postura difensiva del nostro Paese, sottolinea l’urgenza di adottare nuovi approcci proattivi nell’ambito della sicurezza informatica, come la promozione di una collaborazione piú stretta tra imprese, istituzioni e settore privato.

Tuttavia “è anche tempo di comprendere che la sicurezza è una partita che non si gioca solo tra firewall e antivirus, ma soprattutto nella nostra mente” sottolinea Fabrizio Saviano, che abbiamo intervistato per addentrarci in una materia come il “Cybercognitivismo” che ci spiega: “La vera, sottile minaccia è che, pur sapendo che il rischio è concreto e in aumento, il nostro cervello ci spinge a sottovalutarlo: quel «tanto a me non succederà» è un bias pericoloso quanto una vulnerabilità zero-day”.

Tuttavia “è anche tempo di comprendere che la sicurezza è una partita che non si gioca solo tra firewall e antivirus, ma soprattutto nella nostra mente” sottolinea Fabrizio Saviano, che abbiamo intervistato per addentrarci in una materia come il “Cybercognitivismo” che ci spiega: “La vera, sottile minaccia è che, pur sapendo che il rischio è concreto e in aumento, il nostro cervello ci spinge a sottovalutarlo: quel «tanto a me non succederà» è un bias pericoloso quanto una vulnerabilità zero-day”.

Fabrizio Saviano, esperto di spicco in questo campo, con una solida carriera che spazia dalla Polizia Postale al ruolo di CISO e una prolifica attività letteraria culminata nel fondamentale “Manuale CISO Security Manager”, ci guida in un’esplorazione affascinante del “Cybercognitivismo”. Questa prospettiva innovativa attraversa la comprensione dei processi mentali per rafforzare la nostra resilienza nel mondo digitale.

Ma l’impegno di Fabrizio Saviano non si ferma al solo ambito professionale. Come presidente dell’Associazione Ri-Creazione incarna un forte spirito sociale, guidato dal motto “Azione, Creazione di nuove opportunità e Ri-Creazione di opportunità per chi le ha perse”. Con un focus sull’inclusione lavorativa di persone fragili a livello cognitivo e sociale, Ri-Creazione porta avanti progetti concreti, supportata da istituzioni, media e dalla convinzione che la diversità sia una risorsa preziosa, specialmente nel complesso mondo della cybersicurezza.

In questa intervista esclusiva con Red Hot Cyber, Fabrizio Saviano ci offre una visione su come rivoluzionare l’approccio alla sicurezza, rendendola più efficace e inclusiva, a partire dalle esigenze dei più vulnerabili, per poi estendersi al beneficio di tutti.

Cybercognitivismo, ‘tutti sanno cosa devono fare, ma molti non lo fanno’: intervista a Fabrizio Saviano

“[..] è anche tempo di comprendere che la sicurezza è una partita che non si gioca solo tra firewall e antivirus, ma soprattutto nella nostra mente” _ Fabrizio Saviano

Fabrizio Saviano è un esperto nel campo della sicurezza informatica, delle tecnologie persuasive e del cognitivismo applicato alla cybersicurezza. La sua recente produzione letteraria include “Cyberpersuasione e Cybercapitalismo. Tecnologie persuasive e capitalismo dell’attenzione”, “Cybercognitivismo. La psicologia della cybersicurezza”, “Manuale OSINT per tutti”. Ma tra tutti spicca il fondamentale “Manuale CISO Security Manager”, che serve sia per la preparazione alla certificazione CISSP, sia per la pratica quotidiana di chi gestisce la sicurezza o vorrebbe farne la propria professione.

La carriera professionale di Fabrizio va dalla Squadra Intrusioni della Polizia Postale al ruolo di CISO, contribuendo all’avvio di BT Security in Italia e alla realizzazione della rete della Regione Molise. Nel contempo è anche Istruttore Autorizzato (ISC)² per la certificazione CISSP e presidente dell’Associazione Ri-Creazione. A scuola, la ricreazione rappresenta il momento di svago: un po’ si impara e un po’ ci si diverte, e da questo spirito nasce il motto “Azione, Creazione di nuove opportunità e Ri-Creazione di opportunità per chi le ha perse”. In concreto, l’attività sociale consiste nel sensibilizzare all’inclusione lavorativa le aziende, le istituzioni, i fragili cognitivi (persone con ADHD, DSA, Sindrome di Down, non udenti, dislessici, etc.) e i fragili sociali (detenuti ed ex detenuti, NEET e ELET, over-50 che hanno perso il lavoro, etc.).

In linea con questa missione, Ri-Creazione ha completato corsi gratuiti di formazione specializzata e alcuni progetti PNRR con le scuole della periferia milanese, offrendo concrete opportunità di reinserimento lavorativo. L’associazione è supportata da alcune associazioni della Polizia di Stato, celebrities, istituzioni e media tra cui Red Hot Cyber, a testimonianza dell’impatto sociale del suo messaggio. In questo contesto, Fabrizio Saviano incarna una figura che unisce l’expertise nel mondo cyber con un profondo impegno sociale, dimostrando come la conoscenza e le competenze possano essere messe al servizio della creazione di opportunità e dell’inclusione per le fasce più vulnerabili della società.

1 – Innanzitutto grazie per esserti reso disponibile a questa intervista a nome di tutto il team di Red Hot Cyber. Passo subito alla prima domanda. Hai affermato che “la sicurezza informatica non è solo tecnologia e firewall ma è capire come funziona la nostra mente nel mondo digitale”: ci puoi spiegare di più a riguardo? E aggiungo: quanto contano i processi cognitivi umani – percezione, apprendimento, ragionamento – per la comprensione dei sistemi digitali?

Esatto, la sicurezza informatica può essere rappresentata con il cosiddetto “Triangolo D’Oro” o “PPT”: Persone, Processi e Tecnologie. Le Persone sono il cuore pulsante del sistema: affideresti all’intelligenza artificiale la vita di un essere umano?

Le persone creano, innovano e, alla fine, orchestrano sia i processi che le tecnologie: per fare questo in modo efficace e nei limiti biologici del cervello, hanno bisogno di strutture organizzative e di strumenti tecnici che li supportino. Ecco dove entrano in gioco i Processi e le Tecnologie. I Processi servono ad assicurare coerenza, armonia e standardizzazione nella risposta agli eventi. Grazie a processi ben definiti, se un membro di un team viene svegliato nel cuore della notte a causa di un’emergenza, seguendo il processo sa esattamente cosa fare. Ma in un’era dominata dai dati, dove miliardi di informazioni vengono generate ogni secondo, come possono le persone gestire il sovraccarico informativo? Siamo nell’era dell’infobulimia e dell’infobesità, e qui entrano in gioco le Tecnologie: sono una specie di estensione del nostro cervello che ci aiuta a digerire, analizzare ed interpretare quantità di dati che altrimenti sarebbero ingestibili.

Al contrario, quando la dimensione tecnologica o quella dei processi prendono il posto della dimensione umana, si rischia di perdere di vista il vero scopo per cui tali dimensioni esistono: fornire valore alle persone, semplificare il loro accesso alle informazioni, fluidificare il loro modo di lavorare e, in ultima istanza, renderle in grado di prendere decisioni informate. E i criminali hanno capito da tempo che conoscere le vulnerabilità delle tecnologie e sapere come sfruttarle è più complicato di convincere una persona a concedere un’autorizzazione, e persino a rivelare una password complessa.

Facciamo un esempio: immagina che questa sera al teatro, un prestigiatore in t-shirt ti chiami sul palcoscenico per aiutarlo ad eseguire il proprio trucco magico. Ti mostra le mani e le braccia nude, svuota le tasche e non sembra nascondere proprio niente… Poi, pronuncia la parola magica, fa apparire dal nulla una monetina dietro il tuo orecchio e tu, insieme a tutto il pubblico, rimanete a bocca aperta. Ma come avrà fatto? E scatta l’applauso! Il trucco c’è ma non si vede: questo mago è un professionista che sa fare bene il proprio lavoro e che ha provato il trucco tantissime volte prima di questa sera. Adesso prova ad immaginare la stessa scena, ma sostituendo il prestigiatore con un truffatore. La conclusione sarà «Ma come ho fatto a farmi fregare così?». Bene, entrambi i professionisti hanno saputo fare il proprio mestiere sfruttando le approssimazioni e le scorciatoie che il nostro cervello usa in continuazione per prendere decisioni ogni millisecondo: in una parola, i “bias”. Anche pensare «Tanto io non ho nulla da rubare, perché dovrebbe accadere proprio a me? Tanto io non ci casco e, se dovesse succedere, comunque farò attenzione, comunque chiederò aiuto all’amico esperto, comunque ci pensa l’Ufficio Informatico, l’antivirus, qualcun altro o qualcos’altro» sono tutti bias che il nostro cervello usa per allontanare da sé l’idea stessa del pericolo, in modo da non doverci pensare e poi magari dover anche agire!

2 – Passiamo un attimo al cognitive computing: i sistemi informatici possono imitare i processi cognitivi umani per risolvere problemi complessi, riconoscere pattern, e supportare alcune decisioni. Cosa significa imparare dall’esperienza e adattarsi? Le deduzioni dell’uomo sono davvero similari alle deduzioni prodotte da un computer?

Questo punto molto è molto interessante, perchè che tocca il cuore del Cybercognitivismo. Sebbene i sistemi di cognitive computing possano imitare i processi cognitivi umani per risolvere problemi complessi, riconoscere pattern e supportare decisioni, le deduzioni dell’uomo non sono del tutto simili a quelle prodotte da un computer. Infatti, il cervello umano ha una capacità limitata rispetto ai computer, ma in ottica evoluzionistica, i bias ci hanno permesso di evitare l’estinzione: a volte queste strategie innate di approssimazione ci fanno cadere vittime di una truffa, altre volte invece la scorciatoia si rivela una buona scelta.

Infatti, differentemente dai computer, di fronte a situazioni pericolose, in cui il tempo per prendere le decisioni è alquanto limitato, è di fondamentale importanza avere un cervello che sia capace di processare i dati velocemente e leggere le situazioni con estrema rapidità. Eventualmente, può anche evitare di prendere decisioni e farci semplicemente scappare di fronte al pericolo.

Non è semplice comparare un cervello ad un microprocessore, ma è un esercizio che può essere utile per rendere l’idea di quanto abbiamo bisogno di usare le approssimazioni. Secondo alcuni studi, la capacità computazionale di un cervello medio potrebbe equivalere ad 1 exaflop al secondo, mentre la capacità di memoria potrebbe aggirarsi attorno ai 2,5 petaByte. Per avere un benchmark di riferimento, il supercomputer più potente al mondo supera la capacità di calcolo di 1 exaflop ed è equipaggiato con oltre 700 petaByte di storage: supera il cervello umano, ma non riesce a sostituirlo. Infatti, il cervello non necessita la precisione del computer, è intuitivo nelle valutazioni ed è rapido nella correlazione di informazioni non strutturate.

Pertanto, conferire alla dimensione tecnologica la pretesa di risolvere i problemi (ad esempio, un antivirus o un’intelligenza artificiale generativa) o dedurre qualcosa al posto nostro è ancora una volta un bias!

3 – I nostri meccanismi mentali ci rendono vulnerabili in ambiente digitale: anche quando sappiamo che possiamo cadere nella truffa i nostri bias e la social engineering usata dai criminali ci spingono comunque sempre a sbagliare. Come la sicurezza informatica può riorganizzarsi tenendo conto dei processi cognitivi umani e in che modo possiamo migliorare la nostra resistenza per prendere decisioni più informate controllando i nostri bias?

È vero. Se guardiamo qualsiasi studio sugli attacchi informatici, il fattore umano è direttamente responsabile di 7 tipologie di attacchi su 10 e indirettamente responsabile delle altre tipologie: possiamo affermare che tutte le attuali tecniche e tecnologie di formazione, per quanto avanzate e innovative, non stanno funzionando. Infatti, i nostri meccanismi mentali ci rendono vulnerabili nell’ambiente digitale e i bias cognitivi possono indurci a commettere errori anche quando siamo consapevoli del rischio. Nel libro “Cybercognitivismo” approfondisco proprio le tecniche di ingegneria sociale, cioè l’uso dell’inganno per manipolare le persone affinché esse divulghino informazioni riservate o personali, in modo consapevole e inconsapevole.

Cybercognitismo. La psicologia della sicurezza, Fabrizio Saviano
La sicurezza informatica deve riorganizzarsi rifocalizzando l’attenzione sulle persone, ovvero su coloro che operativamente programmano le tecnologie, disegnano i processi, creano le leggi e decidono se essere guardie o ladri. Ecco perché è fondamentale un approccio basato sul Cybercognitivismo per controllare i nostri bias, migliorare la nostra resistenza e prendere decisioni più informate. Nell’omonimo libro presento gli studi scientifici a suffragio di questo nuovo paradigma e propongo alcuni esempi:

• Formazione che crei vera consapevolezza: tutti sanno cosa devono fare, ma molti non lo fanno…
• Un approccio di tipo “storytelling” nella formazione, che si è dimostrato più efficace del “fact-telling”. Spoiler: la gamification è sopravvalutata.
• Esperienze pratiche e coinvolgenti, come simulazioni di phishing che attivino un meccanismo di protezione senza causare un trauma reale (il cosiddetto “trauma-non trauma”). Infatti, insegna di più ricevere un ceffone che non una carezza, perché il ceffone scatena in ognuno di noi la paura di riceverne un altro!
• Promuovere la consapevolezza nella valutazione di un messaggio, aiutando a capire le emozioni e le azioni istintive che il messaggio genera.
• Creare programmi di formazione che colleghino la consapevolezza informatica con la vita personale. È più facile che una persona impari a creare password forti per il Wi-Fi di casa (cioè, per la propria rete) che per il Wi-Fi dell’ufficio (cioè, per la rete di qualcun altro): questo collegamento abilita la creazione di buone abitudini di igiene personale di sicurezza!
• Alfabetizzazione digitale per il personale non specializzato, che deve sviluppare caratteristiche difensive come attenzione, prontezza e reattività.
• Incoraggiare un’elaborazione mentale più dettagliata dei problemi, ad esempio chiedendo agli utenti di riagganciare una telefonata inaspettata, eventualmente approfondendo o informandosi. In una parola, una formazione efficace ci insegna ad essere più prudenti e sospettosi.

4 – I nostri bias ci rendono anche manipolabili, nelle nostre decisioni e nei nostri comportamenti, e poco consapevoli delle nostre scelte online. Inoltre ci si preoccupa della sorveglianza dei governi, tuttavia gli schermi stanno diventando i veri padroni delle nostre vite. Tu parli di cyber capitalismo, ovvero il capitalismo dell’attenzione nell’era digitale: come è potuto accadere che la tecnologia, da mezzo di comunicazione e unione stia andando verso la distanza e il distaccamento?

La manipolabilità online di ognuno di noi passa dal ruolo crescente degli schermi nelle nostre vite: la tecnologia può trasformarsi da strumento unificatore a fonte di distanza, e la tecnica di caccia dei predatori consiste proprio nell’isolare la preda dal suo gruppo o dalla sua famiglia, per renderla più vulnerabile. I nostri bias ci rendono manipolabili nelle decisioni e nei comportamenti online, spesso perché abbiamo poca consapevolezza delle nostre scelte: fino ad ora abbiamo parlato di criminali, ma anche tecnologie apparentemente innocue o utili, come i social networks o gli smartwatch, sfruttano i nostri bias per indurci a compiere azioni desiderate da altri. Su questa capacità delle “tecnologie persuasive” di influenzare il nostro comportamento è nata una vera e propria forma di capitalismo: il capitalismo dell’attenzione (la nostra).

La nostra tendenza a perderci in attività online coinvolgenti e senza fine, cioè l’”effetto tana del coniglio“, dimostra la forza attrattiva degli schermi e la tecnologia, da mezzo di comunicazione e unione tra le persone, sta generando distaccamento a causa di diversi fattori:

• Inizialmente promessa come soluzione a molti problemi, la tecnologia è pervasiva sulla dimensione umana, forse perché è più facilmente manipolabile.
• Tendiamo a fossilizzarci sulle nostre preferenze, perché le tecnologie limitano la nostra esposizione a opinioni diverse alle nostre attraverso meccanismi noti come “filter bubbles” e “echo chambers” creati dalle tecnologie online (ad esempio i social network e le pubblicità mirate).
• Le piattaforme adattano il proprio funzionamento in base ai nostri comportamenti, contribuendo a plasmare ulteriormente le nostre dinamiche sociali online, rendendole meno spontanee e spesso progettate accuratamente (il cosiddetto “behaviour design”) per mantenerci connessi agli schermi, in modo da vendere più inserzioni, interazioni e dati comportamentali.

Intere economie digitali (app economy, social network, influencer marketing) sono nate sulla capacità delle tecnologie di influenzarci e monopolizzare la nostra attenzione per venderla agli inserzionisti. Il social network, ad esempio, non è pagato per il risultato della pubblicità, ma per averla mostrata sullo schermo, creando un sistema basato sulla cattura della nostra attenzione. Questa nuova forma di “capitalismo della sorveglianza” si basa su un continuo “esproprio digitale” in cui le aziende ci rendono costantemente “comprensibili” per misurare e sfruttare la nostra libera volontà.

Aziende come le Big Tech e i loro prodotti, insieme agli investimenti di agenzie governative come la statunitense NSA, hanno creato un ambiente favorevole a questa forma di capitalismo.

5 – Un hacker – buono o cattivo – ha una preponderanza del pensiero lento su quello veloce. Cosa ne pensi? Puoi fornirmi le tue osservazioni in materia?

Questa è un’affermazione interessante che merita alcune osservazioni. Cominciamo col dire che i termini “virus” e “hackers” sono un romantico retaggio dei film anni ‘80: ormai gli “smanettoni” si sono evoluti in organizzazioni criminali modernamente strutturate, dotate

di importanti risorse quali fondi di investimento, sponsorship governative e persino consulenti di psicologia che mettono a disposizione la propria expertise per creare truffe più credibili. Queste aziende criminali si sono dotate di reti commerciali, programmi di affiliazione, consulenti esperti in ogni area che erogano servizi avanzati, tra cui persino i call center che guidano i clienti-vittime ad acquistare le criptovalute necessarie per poter pagare il riscatto. Insomma, parliamo di veri e propri providers che forniscono servizi in cloud tramite e-commerce, che rivendono i propri strumenti di attacco anche a quei terzi che, privi delle conoscenze tecniche necessarie a crearne di propri, hanno comunque un proprio elenco di vittime da attaccare.

Fatta questa doverosa premessa, possiamo dire che un hacker, sia esso etico (“buono”) o criminale (“cattivo”), in molte fasi del suo lavoro deve fare affidamento sul pensiero lento. L’analisi di un sistema complesso o della presenza pubblica di una potenziale vittima, la pianificazione di un attacco, lo sviluppo di exploit o la ricerca di vulnerabilità, siano esse tecnologiche o umane, sono tutte fasi che richiedono attenzione ai dettagli, ragionamento logico e una profonda concentrazione.

Queste attività sono tipiche del “pensiero lento”, come descritto da Daniel Kahneman e ripreso dal mio libro “Cybercognitivismo” dal punto di vista dell’hacker. Tuttavia, non credo che si possa parlare di una preponderanza assoluta del pensiero lento: ci sono momenti in cui anche un hacker deve utilizzare il pensiero veloce. Ad esempio, durante la fase di ricognizione iniziale è necessaria la capacità di individuare rapidamente informazioni utili, oppure potrebbe essere necessario adattarsi rapidamente a cambiamenti imprevisti durante l’attacco. Inoltre, la familiarità e l’esperienza giocano un ruolo fondamentale. Un hacker esperto potrebbe aver automatizzato mentalmente alcuni processi che per un principiante richiederebbero un’analisi lenta e dettagliata. In questo senso, il “pensiero veloce” può essere il risultato di anni di “pensiero lento” e apprendimento.

Infine, è importante considerare che le tecniche di ingegneria sociale mirano a sfruttare il “pensiero veloce” della vittima, inducendola a prendere decisioni impulsive senza riflettere attentamente. L’hacker che utilizza queste tecniche deve essere in grado di orchestrare l’attacco in modo da bypassare il “pensiero lento” della vittima e, a tal fine, nel libro “Cybercognitivismo” è stato necessario affrontare anche le tematiche del Cervello Trino, della Programmazione Neuro Linguistica e dello Storytelling usato per truffare, oltre a 50 bias.

6 – A questo punto puoi descrivermi le caratteristiche necessarie di chi lavora nell’ambito della sicurezza informatica?

È giunto il momento di sfatare un mito: non tutti i ruoli legati alla cybersecurity sono tecnici e non è necessario possedere una laurea specialistica, né passare anni davanti al computer per lavorare nell’ambito della sicurezza. Forse proprio a causa di questa convinzione, nel 2022 il Direttore dell’Agenzia di Cybersicurezza Nazionale dichiarò che mancavano 100.000 posti di lavoro. Sicuramente si tratta di ruoli tecnici, ma anche di impiegati amministrativi, ispettori, venditori e tantissime altre figure professionali. Molti di questi ruoli possono essere ricoperti con successo anche da persone con background formativi diversi da quelli strettamente tecnici, purché possiedano le giuste attitudini e siano disposte ad acquisire le competenze specifiche necessarie attraverso corsi, certificazioni ed esperienza sul campo.

Infatti, molti impiegati di un’azienda che produce aerei probabilmente non hanno idea di come sia fatta una cabina di pilotaggio! Ma la passione per una materia e la volontà di apprendere sono i fattori chiave per il successo in qualsiasi settore, specie in un settore così dinamico e in continua crescita come la sicurezza. In generale, tra le caratteristiche necessarie a lavorare nell’ambito della sicurezza, includo:

• Curiosità guidata da un obiettivo.
• Conoscenza dei sistemi operativi, delle reti, delle applicazioni web, nonché dei concetti di base della programmazione e dell’architettura di sicurezza cyber e fisica. Questo significa banalmente avere familiarità almeno con i concetti fondanti. Ecco perché la curiosità è il primo punto di questa lista!
• Capacità di analisi e problem solving, ovvero identificare pattern, ragionare criticamente sui casi pratici che si presentano giornalmente.
• Attenzione ai dettagli, soprattutto in attività di analisi, monitoraggio e individuazione di minacce. Gli hacker sono attenti ai dettagli e devi esserlo anche tu.
• Capacità di concentrazione prolungata. È qui che i profili neurodivergenti danno il meglio di sé e l’inclusione si riempie di significato.
• Mentalità investigativa. Chi lavora nella sicurezza informatica deve essere curioso, ma anche proattivo nel fare domande e non accontentarsi di risposte evasive.
• Capacità di comunicare concetti tecnici a persone non tecniche e viceversa: è un esercizio che può cominciare a casa e in famiglia.
• Aggiornamento continuo guidato dalla curiosità.

Ancora una volta il Cybercognitivismo ci viene incontro: sfruttando i bias a nostro vantaggio, è possibile selezionare la persona giusta per il lavoro giusto, per poi formarla alla cybersicurezza nell’arco di tre mesi anziché nell’arco di anni.

7- La tua associazione no-profit Ri-Creazione pone una particolare attenzione al gender gap e a categorie fragili, come over 50 e persone autistiche. Riguardo a quest’ultima categoria, molte persone nello spettro autistico mostrano caratteristiche che le rendono particolarmente predisposte a lavorare nella sicurezza informatica per skills come attenzione ai dettagli, abilità visuo-spaziali e capacità di concentrazione prolungata. Abbiamo avuto una lunga conversazione a riguardo: quali sono i superpoteri dell’autismo in attività di analisi, monitoraggio e individuazione di minacce? Puoi fornirmi anche uno scenario dell’ambiente lavorativo ideale?

Ri-Creazione riconosce il valore unico che le persone – in particolare quelle che ricadono nello spettro autistico – possono apportare al campo della sicurezza informatica. Le loro caratteristiche spesso includono:

• Attenzione ai dettagli, specie nell’individuare piccole incongruenze e anomalie.
• Una predisposizione per la comprensione di pattern visivi e la visualizzazione di dati complessi.
• Capacità di concentrazione prolungata.
• Una tendenza ad un approccio sistematico e razionale alla risoluzione dei problemi.
• Minore suscettibilità all’ingegneria sociale “tradizionale”, proprio grazie alla loro divergenza.

L’ambiente lavorativo ideale per le persone autistiche nella sicurezza informatica dovrebbe essere strutturato e prevedibile, nel senso che i compiti devono essere chiaramente definiti e inseriti in routine stabili. È necessaria una comunicazione chiara e diretta, priva di qualsiasi ambiguità e corredata da istruzioni precise, meglio se specializzate su aree specifiche in cui le loro abilità sono particolarmente utili. Ma anche l’aspetto emotivo deve essere abilitante: l’ambiente deve riconoscere e valorizzare le loro peculiarità, fornendo il supporto necessario per affrontare eventuali difficoltà sociali o sensoriali, ma anche riconoscendo e premiando il loro contributo unico e la loro expertise tecnica.

Se un ambiente di questo tipo permette alle persone autistiche di esprimere al meglio il proprio potenziale, ne beneficiano anche le persone neurotipiche, nonché tutti i colleghi che sono neurodivergenti senza rendersene conto o senza una diagnosi formale.

8 – Mi piace la parola superpotere che usi relazionato ai concetti di diversità come risorsa e forza e alle capacità uniche di ogni individuo. E’ proprio questo che secondo Ri-Creazione crea opportunità? Inoltre gli over 50 nel nostro paese sono difficili da ricollocare, nonostante il valore che l’esperienza porta. Che cosa significa davvero l’esperienza nell’ambito lavorativo e in quello della sicurezza informatica?

Spesso, quando parlo di opportunità per gli over 50, mi rifaccio a un aforisma di Jack Ma, il visionario fondatore cinese di Alibaba, colosso dell’e-commerce che ha rivoluzionato il commercio online a livello mondiale: «Prima dei 20 anni sii un bravo studente. Prima dei 30 anni acquisisci un po’ di esperienza. Tra i 30 e i 40 anni, lavora per te stesso se vuoi davvero essere un imprenditore. Tra i 40 e i 50 anni, concentrati sulle cose in cui sei bravo. Tra i 50 e i 60 anni, dedica il tuo tempo a far crescere i giovani. Quando hai più di 60 anni, goditi il tuo tempo.»

È un vero peccato che nel nostro paese gli over 50 incontrino spesso difficoltà nella ricollocazione, nonostante il grande valore che la loro esperienza può portare. Nell’ambito lavorativo in generale, e in quello della sicurezza informatica in particolare, l’esperienza significa:

• Conoscenza pratica, in particolare la comprensione e la dimestichezza con le dinamiche e i processi aziendali.
• Capacità di problem solving dettata dall’esperienza nell’affrontare situazioni complesse con maggiore efficacia, attingendo ad un repertorio di soluzioni già testate, a casa come in ufficio. Inoltre, già trovarsi in una situazione precaria dopo i 50 anni è un problema sfidante!
• Consapevolezza dei rischi di chi ha già vissuto diverse sfide e incidenti, nella vita personale come in quella professionale.
• Mentorship e guida per i colleghi più giovani, trasmettendo il loro know-how e contribuendo alla crescita del team. Banalmente, è lo scopo sotteso dietro i miei libri e lo scopo sociale di Ri-Creazione: condividere la conoscenza ed esperienza.
• L’esperienza può contribuire a una visione più ampia e strategica della sicurezza, andando oltre gli aspetti puramente tecnici.
• Aver superato sfide lavorative in passato porta una maggiore resilienza e capacità di affrontare momenti difficili.

Nonostante il valore innegabile dell’esperienza, spesso le aziende si concentrano troppo sulle competenze tecniche più recenti, sottovalutando la saggezza e la prospettiva che i professionisti over 50 possono offrire. Nel settore della sicurezza, tra un anno la tecnologia di oggi potrebbe essere vecchia: mi sono già espresso a proposito della curiosità.

9 – La relazione tra vulnerabilità umane e vulnerabilità software/hardware è strettamente interconnessa e rappresenta un aspetto cruciale nella sicurezza informatica. Su questo voglio fare una provocazione: Norbert Wiener, matematico e statistico statunitense, considerato il fondatore della cibernetica, la scienza che studia i processi di controllo e comunicazione negli esseri viventi e nelle macchine ha affermato: “la questione non è più quella della macchine che funzionano come organismi o di organismi che funzionano come macchine. Piuttosto, la macchina e l’organismo devono essere considerati come due stadi o stati funzionalmente equivalenti di organizzazione cibernetica”. Cosa ne pensi, puoi darmi una tua visione?

Norbert Wiener illumina un aspetto fondamentale della sicurezza informatica, ovvero l’interconnessione tra vulnerabilità umane e vulnerabilità software/hardware: entrambe persone e macchine sono soggette a “errori” o “malfunzionamenti”, che nel contesto della sicurezza si traducono in vulnerabilità. Abbiamo detto che i criminali possono sfruttare le vulnerabilità delle tecnologie e, ancora meglio, le vulnerabilità delle persone: gli hacker semplicemente scelgono la strada più comoda… In quest’ottica, tutte le vulnerabilità rappresentano un aspetto fondamentale della sicurezza informatica, sia dal lato di chi attacca, sia dal lato di chi si difende.

Le vulnerabilità software/hardware sono il risultato di errori di progettazione, implementazione o configurazione nelle macchine, mentre le vulnerabilità umane derivano dai limiti cognitivi, dai bias, dalle emozioni e dalla suscettibilità alla manipolazione degli esseri umani. Se è possibile mitigare le vulnerabilità tecnologiche, lo stesso si può fare con le vulnerabilità umane?

Alla provocazione di Wiener, rilancio con una contro-provocazione: se in ambito tecnologico si parla spesso di Ingegneria Informatica, Ingegneria del Software, Ingegneria Elettronica, forse è arrivato il momento di rendere materia di studio anche l’Ingegneria Sociale.

In conclusione, vorrei condividere l’iniziativa sociale che ha preso forma grazie a tutti coloro che hanno partecipato ai corsi e alle iniziative di Ri-Creazione, alle loro famiglie e ai tanti fragili che sono in attesa di una risposta concreta alla propria situazione.

Ri-Creazione sta sviluppando un nuovo modello di protezione digitale che va oltre la semplice formazione. Stiamo creando un ecosistema di supporto che integra competenze tecniche e sensibilità sociale, con tecnologie ergonomiche che sono state pensate specificamente per abilitare ai lavori cyber chi si trova in situazioni di vulnerabilità.

La nostra visione è quella di un “scudo digitale comunitario” che protegga le infrastrutture e le persone, con particolare attenzione a chi ha meno risorse o competenze per formarsi alla cybersicurezza e per difendersi autonomamente. Non si tratta semplicemente di offrire servizi, ma di costruire una rete di protezione sociale attraverso una tecnologia al servizio dell’inclusione: la forza di questo modello risiede proprio nel suo DNA no-profit che mette al centro la persona prima della tecnologia.

È un progetto che nasce dalla Scienza, dall’Esperienza e dal Cybercognitivismo. Per chi condivide questa visione e desidera contribuire a un futuro digitale più sicuro e inclusivo, vi invito a visitare il sito di Ri-Creazione per scoprire come sostenere concretamente questa iniziativa sociale. Insieme possiamo fare la differenza per chi oggi è più esposto ai rischi del mondo digitale.

L'articolo Cybercognitivismo, intervista a Fabrizio Saviano: da inclusione digitale a vantaggio universale proviene da il blog della sicurezza informatica.

Un threat actor rivendica l’accesso non autorizzato ai sistemi di Murex Software. In vendita 280.000 profili sanitari italiani completi di dati personali, prescrizioni e certificati medici.

La vicenda ha inizio il 7 marzo, quando un threat actor dallo pseudonimo euet2849, pubblica un primo post sostenendo di aver esfiltrato circa 300.000 profili sanitari di cittadini italiani, specificando che si tratta esclusivamente di soggetti residenti nel Nord Italia (ndr: proseguendo nella lettura, capiremo forse il motivo di questa precisa geolocalizzazione…).
Nel messaggio iniziale non viene fornita alcuna informazione sulla provenienza tecnica dei dati, ma solo un listino prezzi che varia da 1 a 35 euro per singolo dossier con diverse “opzioni” di acquisto.

• Opzione A
  
  • Nome completo, Codice fiscale, Data di nascita, Indirizzo di residenza

  
  

• Opzione B
  
  • Tutti i dati dell’Opzione A con in aggiunta: Indirizzo email, Numero di telefono, Storico prescrizioni mediche dal 2021/2022

  
  

• Opzione C
  
  • Tutti i dati dell’Opzione B con in aggiunta: Prescrizioni mediche recenti in PDF, Certificati medici (permessi di lavoro) in PDF

  
  

Il post viene aggiornato il 12 Aprile da parte dell’autore che lo “arricchisce” con nuove informazioni circa i backend da cui sarebbero stati esfiltrati i dati e gli exploit utilizzati.

La società, sempre secondo il post, sarebbe stata contattata per segnalare le vulnerabilità, ma non avrebbe fornito risposta.

Secondo quanto riportato nel post i backend violati sono due:

• https://pazienteconsapevole.murex.it
• https://medicallive.murex.it

tutti e due presentano gravi vulnerabilità nei controlli delle variabili POST e GET, che hanno permesso l’accesso a dati sensibili sia dei pazienti che dei medici.

Il perchè dei dati sanitari di pazienti del Nord Italia

Analizzando i software indicati, il portale pazienteconsapevole è un software utilizzato in 112 farmacie tra le provincie di Milano, Brescia, Como e Monza Brianza; ecco spiegato il motivo per cui i dati in vendita sono riferibili ai pazienti del Nord Italia, come riportato da euet2849 nel suo post.

Prove tecniche dell’attacco

Nel thread vengono allegati link a materiale dimostrativo che documenterebbe l’accesso non autorizzato ai sistemi di Murex Software e la conseguente esfiltrazione dei dati. Gli screenshot pubblicati mostrano in modo inequivocabile l’accesso sia al portale riservato ai medici curanti, sia a quello dedicato ai pazienti.
Va inoltre sottolineato che i dati risultano recenti e aggiornati, confermando con buona certezza che l’attacco è avvenuto intorno alla metà di marzo 2025.

Considerazioni finali

Il data breach rappresenta un grave episodio di esposizione di dati sanitari in Italia, che coinvolge sia il canale medico che quello paziente. La criticità delle vulnerabilità tecniche — legate alla mancata validazione dei parametri sulle chiamate POST e GET — è una problematica ben nota nel mondo dello sviluppo web, ma ancora oggi troppo spesso trascurata.

La presenza di PDF contenenti prescrizioni e certificati suggerisce un livello di compromissione profondo, e una possibile persistenza prolungata del threat actor all’interno dei sistemi bersaglio.

Nessuna dichiarazione ufficiale

Ad oggi, Murex Software non ha rilasciato alcuna comunicazione ufficiale sull’eventuale compromissione dei propri sistemi, pertanto queste informazioni sono da intendere come “intelligence” sulle minacce.

Come nostra consuetudine, lasciamo sempre spazio ad una dichiarazione da parte dell’azienda qualora voglia darci degli aggiornamenti sulla vicenda. Saremo lieti di pubblicare tali informazioni con uno specifico articolo dando risalto alla questione.

RHC monitorerà l’evoluzione della vicenda in modo da pubblicare ulteriori news sul blog, qualora ci fossero novità sostanziali. Qualora ci siano persone informate sui fatti che volessero fornire informazioni in modo anonimo possono utilizzare la mail crittografata del whistleblower.

L'articolo Murex Software sotto attacco: esfiltrati dati sanitari da due backend italiani proviene da il blog della sicurezza informatica.

A Los Angeles la polizia ha iniziato a usare Le auto senza conducente come fonte di prove video. Un caso recente è un chiaro esempio di come le telecamere dei veicoli autonomi stiano diventando uno strumento di sorveglianza.

Il dipartimento di Polizia di Los Angeles ha pubblicato delle riprese video di Waymo, un’auto a guida autonoma di proprietà dell’omonima azienda, che hanno immortalato il momento in cui colpisce il pedone. C’era una persona al volante dell’auto che ha colpito il veicolo e l’incidente è stato classificato come omissione di soccorso.

Nel filmato pubblicato sul canale YouTube del dipartimento della polizia, mostra il momento dell’incidente e la dicitura “Waymo Confidential Commercial Information”. In questo modo è stato mostrato al pubblico l’aspetto esatto della registrazione video, pervenuta alla polizia in seguito a una richiesta ufficiale da parte di un’azienda fornitrice di servizi di robotaxi.

La situazione evidenzia il crescente interesse delle forze dell’ordine nell’utilizzare riprese video di veicoli autonomi come prova. Precedenti simili sono stati registrati a San Francisco e nella contea di Maricopa, in Arizona, dove la polizia ha emesso mandati di cattura per accedere alle registrazioni dei veicoli Waymo. Sono state inoltre inoltrate richieste di dati video ad altre aziende, tra cui Tesla, Cruise e gli utenti delle telecamere di sorveglianza Ring, ampiamente utilizzate negli Stati Uniti.

Waymo sta espandendo attivamente la sua presenza a Los Angeles. Secondo i residenti locali, le auto dell’azienda sono diventate un elemento familiare del paesaggio urbano. Di recente è stato annunciato che l’area operativa del robotaxi sarà ampliata e che presto inizieranno i test sulle autostrade cittadine. Tutto questo significa una sola cosa: sempre più telecamere si muovono lungo le strade, registrando in tempo reale ciò che accade.

In passato, la polizia di Los Angeles ha fatto ricorso ad altri dispositivi mobili per le riprese video, tra cui un robot autonomo per la consegna di cibo. Il caso Waymo dimostra che la polizia continua a esplorare nuovi modi per ottenere prove visive, andando oltre le telecamere di sorveglianza installate su edifici o persone private.

L’azienda stessa sottolinea di non trasferire dati video di propria iniziativa. Un portavoce di Waymo ha affermato che le informazioni saranno accessibili solo tramite richiesta formale, come un mandato, una citazione in giudizio o un altro documento giuridicamente vincolante. Ciascuna richiesta di questo tipo viene sottoposta a revisione legale e, se la formulazione è troppo ampia, l’azienda può limitare la quantità di informazioni fornite o rifiutarsi di fornirle del tutto.

Waymo afferma anche sul suo sito web: informa , che organizza eventi formativi per il personale dei servizi di emergenza. Stiamo parlando di oltre 18.000 soccorritori di 75 agenzie che hanno seguito una formazione su come interagire con veicoli autonomi durante incidenti o altri eventi.

La richiesta di commenti da parte dei giornalisti è rimasta senza risposta da parte della polizia di Los Angeles. Tuttavia, il fatto stesso che il video sia stato pubblicato suggerisce che le auto senza conducente si stanno gradualmente trasformando in testimoni involontari dei crimini urbani e in parte del meccanismo per investigarli.

L'articolo Le auto a Guida Autonoma diventano gli occhi della polizia: il caso shock di Los Angeles proviene da il blog della sicurezza informatica.

Gli specialisti di Curator (ex Qrator Labs) hanno preparato un rapporto per il primo trimestre di quest’anno. Il numero totale di attacchi è aumentato del 110% rispetto al primo trimestre del 2024 e gli esperti hanno anche scoperto una gigantesca botnet DDoS composta da 1,33 milioni di dispositivi.

Il forte aumento degli attacchi segue un aumento del 50% degli attacchi DDoS nel 2024, confermando la tendenza all’aumento degli incidenti, hanno affermato i ricercatori. Allo stesso tempo, la società esclude dalle sue statistiche gli incidenti con un’intensità inferiore a 1 Gbps dall’inizio dell’anno scorso.

La maggior parte degli attacchi DDoS ai livelli di trasporto e di rete (L3-L4) erano diretti ai settori IT e telecomunicazioni (26,8%), fintech (22,3%) ed e-commerce. (21,5%). In totale, questi tre segmenti hanno rappresentato il 70% di tutti gli attacchi L3-L4 nel primo trimestre.

In termini di intensità, i valori di picco degli attacchi L3–L4 sono stati di soli 232 Gbps e 65 Mpps, significativamente inferiori ai record dell’anno scorso di 1140 Gbps e 179 Mpps. Tuttavia, secondo l’azienda, non ha senso parlare di una diminuzione dell’intensità degli attacchi: i valori mediani del bitrate e della velocità di trasmissione dei pacchetti superano notevolmente i livelli dell’anno scorso.

Anche per quanto riguarda la durata degli attacchi, il primo trimestre del 2025 si preannuncia piuttosto modesto. Ad esempio, l’incidente DDoS più lungo del trimestre è durato solo circa 9,6 ore. Si è trattato di un’ondata di UDP su un’organizzazione del microsegmento Petrolio e Gas.

La durata media degli attacchi è scesa da 71,7 minuti dell’anno scorso a 11,5 minuti nel primo trimestre del 2025. E il valore mediano è sceso da 150 a 90 secondi.

Inoltre, i ricercatori hanno segnalato la scoperta di un’enorme botnet DDoS composta da 1,33 milioni di dispositivi. A titolo di paragone, si tratta di una cifra quasi sei volte superiore a quella della più grande botnet DDoS del 2024 (227.000 dispositivi) e quasi 10 volte superiore a quella della più grande botnet del 2023 (136.000 dispositivi).

L’attacco della botnet DDoS scoperta era diretto a un’organizzazione del micro-segmento “Bookmakers online” ed è durato circa 2,5 ore.

Si dice che la botnet sia composta principalmente da dispositivi ubicati in Brasile (51,1%), Argentina (6,1%), Russia (4,6%), Iraq (3,2%) e Messico (2,4%).

Si nota che la composizione di questa botnet assomiglia alla botnet più grande scoperta l’anno scorso, il che rientra nella tendenza di cui hanno parlato i ricercatori nel rapporto finale per il 2024: la creazione di botnet DDoS di grandissime dimensioni da dispositivi nei paesi in via di sviluppo sta guadagnando slancio.

Gli analisti attribuiscono questo fenomeno alla lentezza nella sostituzione dei dispositivi più vecchi che non ricevono più aggiornamenti, abbinata ai continui miglioramenti nella qualità della connessione. Per ragioni economiche, questi effetti sono particolarmente pronunciati nei paesi in via di sviluppo. Di conseguenza, un numero enorme di dispositivi vulnerabili connessi a Internet ad alta velocità crea le condizioni ideali per la formazione di grandi botnet, utilizzate per potenti attacchi DDoS.

L'articolo Boom di attacchi DDoS: scoperta una mega botnet da 1,33 milioni di dispositivi proviene da il blog della sicurezza informatica.

Brave ha introdotto un nuovo strumento chiamato Cookiecrumbler, che mira a contrastare le notifiche intrusive sul consenso ai cookie. La sua particolarità era l’uso di modelli linguistici di grandi dimensioni (LLM) per la ricerca automatica di tali banner e l’organizzazione del processo del loro blocco attraverso una comunità aperta.

Il browser Brave bloccherà di default i banner di consenso ai cookie su tutti i siti web a partire dal 2022. Tuttavia, col tempo è diventato chiaro che il blocco di massa può portare a gravi interruzioni nel funzionamento dei siti, dall’interruzione del processo di ordinazione a problemi di visualizzazione delle pagine. Brave sottolinea che la rimozione impropria dei banner a volte provoca la visualizzazione di pagine vuote e l’interruzione dello scorrimento, rovinando l’esperienza dell’utente.

Cookiecrumbler risolve questo problema in modo più efficace. Lo strumento funziona in questo modo: analizza i siti web più popolari tramite server proxy in diverse regioni, scarica le loro pagine utilizzando Puppeteer e identifica i potenziali banner di consenso. Questi elementi vengono poi trasmessi a un modello linguistico per la classificazione e la generazione di proposte per bloccarli. I risultati dell’analisi vengono pubblicati su GitHub come problemi aperti, che vengono poi esaminati manualmente dalla community per ridurre al minimo il rischio di compromettere la funzionalità dei siti.

Questo approccio consente a Cookiecrumbler di identificare e bloccare automaticamente e regionalmente i banner senza aumentare significativamente il numero di falsi positivi. È importante sottolineare che l’intero processo è completamente separato dai dati degli utenti: lo strumento viene eseguito esclusivamente sui server Brave e non influisce sulle sessioni degli utenti reali. Per l’analisi vengono utilizzati elenchi pubblici di siti come Tranco, ai quali si accede tramite un proxy.

È proprio questa volontà di preservare la privacy la ragione per cui Cookiecrumbler non è ancora integrato direttamente nel browser Brave. L’azienda afferma che lo strumento verrà integrato nel prodotto solo dopo essere stato completamente testato per garantirne il rispetto degli standard interni di sicurezza e privacy.

Poiché Cookiecrumbler è open source su GitHub, può essere utilizzato non solo dagli sviluppatori di Brave, ma da chiunque, dai creatori di altri strumenti di protezione della privacy agli amministratori di siti e ai revisori della sicurezza. Ciò apre la possibilità di una personalizzazione più precisa dei filtri di blocco e di migliorare l’esperienza utente senza compromettere la funzionalità dei siti web.

L'articolo Brave sfida i cookie banner con l’IA: ecco come funziona Cookiecrumbler proviene da il blog della sicurezza informatica.

Ancora non sono chiari i motivi che hanno causato un grave Blackout in Spagna e Portogallo nelle ultime ore.

Vaste aree sono rimaste senza energia elettrica, scatenando un’ondata di speculazioni sulle possibili cause dell’interruzione. Secondo quanto riportato dalla BBC, la REN (Redes Energéticas Nacionais) ha riportato di un raro fenomeno atmosferico in Spagna, dovuto a variazioni estreme di temperatura, ha causato interruzioni della fornitura di energia elettrica in tutta la penisola iberica.

Georg Zachmann, ricercatore senior presso Bruegel, un think tank di Bruxelles, ha affermato che il sistema ha subito “disconnessioni a cascata delle centrali elettriche” – tra cui una in Francia – quando la frequenza della rete è scesa al di sotto dello standard europeo di 50 Hz.

Nella nota non è stato specificato di che tipo di evento si tratti. Al momento, le autorità spagnole non hanno ancora fornito una risposta ufficiale in merito a questa spiegazione, lasciando spazio a molte ipotesi.

REN (Rede Eletrica Nacional) ha affermato che era “impossibile” prevedere quando la corrente elettrica potesse essere ripristinata e che il ripristino avrebbe potuto richiedere fino a una settimana. In precedenza, il responsabile del gestore della rete elettrica spagnola, Red Electrica, aveva affermato che il ripristino avrebbe potuto richiedere dalle sei alle dieci ore.

Red Electrica ha affermato che in alcune zone dell’ovest, del sud e del nord la corrente elettrica è già stata ripristinata.

Parallelamente agli eventi, su uno dei canali Telegram del collettivo NoName057(16) – noto gruppo di hacktivisti filorussi – è apparso il seguente messaggio: “Anticipiamo i russofobi europei: la colpa di tutto è degli hacker russi di NoName057(16)”. Una frase che ha subito attirato l’attenzione, pur senza prove concrete a supporto. Parallelamente anche un’altra cyber gang nota dome DarkStorm, ha riportato sul canale twitter “Oggi, noi e il team noname057 siamo riusciti a tagliare l’elettricità in alcuni paesi della NATO”.

Come spesso accade in questi casi, resta da verificare se vi sia un effettivo collegamento tra questa rivendicazione e gli eventi reali. Non è raro, infatti, che gruppi hacktivisti cerchino di attribuirsi episodi di grande impatto ancora in fase di analisi per guadagnare visibilità mediatica.

I risultati preliminari dell’Agenzia dell’Unione Europea per la Cybersecurity (ENISA) si discostano dall’ipotesi di un attacco informatico. Un portavoce ha dichiarato: “Per il momento, l’indagine sembra indicare un problema tecnico/di cablaggio”. L’ENISA ha affermato che sta “monitorando attentamente” la situazione e rimane “in contatto con le autorità competenti a livello nazionale e dell’UE” riporta il telegraph.

Secondo i dati raccolti, i blackout si sono verificati in un contesto già particolarmente teso a livello europeo, dove la sicurezza delle infrastrutture critiche è una priorità crescente in seguito all’intensificarsi delle minacce ibride e cyber.

Seguiranno aggiornamenti.

L'articolo Non sono ancora chiari i motivi del grande blackout in Spagna e Portogallo proviene da il blog della sicurezza informatica.

Le nuove versioni di Android hanno aumentato significativamente la sicurezza del sistema, impedendo la modifica delle partizioni di sistema anche con diritti di superutente. Ciò ha portato a un risultato inaspettato: il malware preinstallato nel firmware del dispositivo è diventato quasi impossibile da rimuovere. I criminali informatici hanno sfruttato questa situazione inserendo i trojan direttamente nelle applicazioni di sistema.

Secondo un rapporto di Kaspersky Lab, ecco come si è evoluto il programma Triada, precedentemente noto per il loader Dwphon. Nel marzo 2025, gli esperti hanno scoperto una nuova versione di Triada incorporata nel firmware di smartphone contraffatti venduti tramite piattaforme online. Il Trojan ha infettato il processo Zygote, il processo padre di tutte le applicazioni Android, garantendo la completa compromissione del sistema.

Il Trojan Triada utilizza ora un’architettura complessa a più stadi. I suoi componenti vengono iniettati in ogni processo tramite una libreria di sistema binder.so modificata, incorporata nel file boot-framework.oat. Questa libreria si collega al processo Zygote ed esegue tre moduli: un modulo helper, la backdoor principale mms-core.jar e un modulo focalizzato sul furto di criptovaluta o sull’installazione di malware aggiuntivo.

Il modulo helper registra un intercettore di chiamata di metodo nei processi dell’applicazione, facilitando il successivo caricamento di funzioni dannose. La backdoor principale consente di scaricare nuovi moduli dannosi dai server di controllo in base alle caratteristiche del dispositivo e alle applicazioni installate.

Particolare attenzione viene rivolta agli attacchi alle applicazioni di criptovaluta. I moduli dannosi sostituiscono gli indirizzi dei portafogli crittografici nei campi di testo e nei codici QR, intercettano il contenuto degli appunti e possono anche installare APK dannosi senza l’intervento dell’utente.

Triada attacca attivamente le applicazioni più diffuse: Telegram, WhatsApp, Instagram, browser, Skype, LINE, TikTok e altre. Ogni applicazione ha i suoi moduli maligni unici che estraggono token di sessione, cookie, dati utente e sono persino in grado di intercettare ed eliminare i messaggi.

I moduli per Telegram, ad esempio, estraggono i token degli utenti ed eliminano i messaggi in base a schemi specifici. I moduli di WhatsApp possono inviare messaggi per conto della vittima ed eliminare i dati inviati. Su Instagram vengono rubati i file con i cookie delle sessioni attive e nei browser i link aperti vengono sostituiti con risorse pubblicitarie o di phishing.

Triada può anche trasformare uno smartphone infetto in un server proxy per reindirizzare il traffico degli aggressori o in un mezzo per inviare segretamente messaggi SMS per abbonarsi a servizi a pagamento. In alcuni casi, il modulo modifica la politica di invio degli SMS premium per aggirare le restrizioni del sistema.

Particolare attenzione va prestata al modulo Clipper, integrato nell’applicazione Google Play, che controlla la clipboard ogni due secondi alla ricerca di indirizzi di criptovaluta per sostituirli con quelli controllati dall’aggressore.

Un’analisi dei server C2 di Triada ha rivelato che gli aggressori sono riusciti a rubare oltre 264.000 dollari in criptovaluta negli ultimi mesi utilizzando lo spoofing degli indirizzi e il furto di credenziali. Secondo i dati di telemetria, sono oltre 4.500 i dispositivi infetti e la maggior parte delle infezioni è stata registrata nel Regno Unito, nei Paesi Bassi, in Germania, in Brasile e in altri Paesi.

Triada dimostra un elevato livello di formazione per sviluppatori; il codice del modulo contiene commenti in cinese. Sono state notate anche somiglianze con l’infrastruttura di un altro progetto dannoso, Vo1d, il che indica una possibile connessione tra i gruppi. La distribuzione di dispositivi infetti è associata alla fornitura di smartphone contraffatti, riconoscibili dalle impronte digitali del firmware falso. È possibile che i produttori dei dispositivi non fossero a conoscenza della minaccia.

Per ridurre al minimo le conseguenze dell’infezione, si consiglia di aggiornare il dispositivo con un firmware ufficiale, evitare di utilizzare programmi di messaggistica istantanea e portafogli elettronici finché il dispositivo non sarà pulito e installare una soluzione antivirus affidabile per prevenire attacchi simili in futuro.

L'articolo Nuovo allarme Android: il Trojan Triada è difficile da rimuover in quanto è preinstallato nel firmware proviene da il blog della sicurezza informatica.