Gancio

2026-05-16 05:54:28

E noi amiamo la vita se troviamo la via per viverla

E noi amiamo la vita se troviamo la via per viverla

Inizia: Lunedì Maggio 25, 2026 @ 6:00 PM GMT+02:00 (Europe/Rome)

Finisce: Lunedì Gennaio 01, 0001 @ 12:00 AM GMT+00:00 (UTC)

Mahmud Darwish

Incontro sulla Palestina tra il dolore e la Poesia

Proiezione del corto "Vibration from Gaza", di Rehab Nazzal (vincitrice del Nazra festival 2023)

Martina Marchiò, vice presidente di Medici Senza Frontiere - Italia e operatrice umanitaria;
Tareq Aljabr, poeta e traduttore di Mahmud Darwish;
dialogano con Marica Tarantino e Mirca Leccese del Coordinamento Torino per Gaza,
con la partecipazione del comitato Un aiuto per la Palestina

Spcnet.it

2026-05-17 10:38:35

Zombie API: il rischio nascosto nelle tue vecchie integrazioni (e come eliminarlo)

Tre anni fa il vostro team ha costruito un’integrazione di pagamento. Funzionava perfettamente. Poi siete passati a una soluzione migliore, avete rilasciato la nuova versione e tutti si sono dedicati al progetto successivo. Nessuno ha aperto un ticket formale per disattivare il vecchio endpoint. Nessuno ci ha nemmeno pensato.

Quell’endpoint probabilmente sta ancora girando adesso. Benvenuti nel problema delle Zombie API.

Cosa sono le Zombie API

Una Zombie API è un’interfaccia applicativa che rimane accessibile ma che l’organizzazione non monitora più, non aggiorna e non supporta ufficialmente. Continua a funzionare in background, risponde alle richieste, restituisce dati — ma nessuno la presidia. Può trattarsi di:

• Un’API versione 1 dimenticata dopo il lancio della v2
• Un endpoint di test mai rimosso dall’ambiente di produzione
• Un’integrazione con un sistema esterno deprecato ma mai formalmente chiusa
• Un servizio interno esposto durante uno sprint e poi lasciato lì

La differenza rispetto alle Shadow API è sottile ma importante: le Shadow API sono endpoint mai documentati ufficialmente (spesso creati da sviluppatori senza seguire i processi aziendali); le Zombie API sono endpoint che erano ufficiali, ma sono sopravvissute alla loro utilità.

Perché le Zombie API sono pericolose

1. Controlli di sicurezza obsoleti

Le Zombie API nascono in un’epoca diversa. Possono ancora utilizzare meccanismi di autenticazione deboli come API key in plaintext, HTTP Basic Auth senza HTTPS, o sessioni senza scadenza. Non hanno mai ricevuto le patch per le vulnerabilità scoperte negli anni successivi alla loro creazione. I framework e le librerie che usano sono datati, spesso con CVE note e non risolte.

# Esempio: vecchio endpoint con autenticazione debole
GET /api/v1/payments?user_id=1234&token=abc123
# Nessuna validazione token server-side, nessun rate limiting,
# nessun log di accesso attivo


2. Assenza di monitoraggio

Gli endpoint zombie non compaiono nei dashboard di osservabilità, non generano alert, non vengono inclusi nei penetration test periodici. Eppure continuano a restituire dati: record di clienti, token di sessione, informazioni di sistema. Le violazioni che li coinvolgono possono passare inosservate per mesi.

3. Superficie di attacco invisibile

Dal punto di vista del team di sicurezza, l’endpoint non esiste. Dal punto di vista di un attaccante, invece, è perfettamente raggiungibile. Gli scanner automatici — e nel 2026 sempre più spesso gli agenti AI autonomi — individuano questi endpoint attraverso pattern comuni: /api/v1/, /api/legacy/, file Swagger dimenticati, entry in file robots.txt.

4. Il vettore degli agenti AI

Una dimensione nuova nel 2026: i sistemi agentic AI che chiamano autonomamente API per completare task possono scoprire e interagire con endpoint zombie che il team di sicurezza umano non ha mai pensato di inventariare. Un agente che esegue fuzzing automatico o che segue link nei file di documentazione può “risvegliare” endpoint che nessuno controllava da anni.

Come identificare le Zombie API nel vostro ambiente

Inventario tramite discovery automatica

Il primo passo è vedere ciò che non si riesce a vedere. Strumenti come OWASP ZAP, Burp Suite, o soluzioni enterprise come Noname Security, Salt Security e Traceable AI possono scansionare il traffico di rete per identificare endpoint che ricevono richieste ma non compaiono nella documentazione ufficiale.

# Con curl e grep: cerca pattern di API versionate nei log
grep -E "/api/v[0-9]+/" /var/log/nginx/access.log |   awk '{print $7}' | sort | uniq -c | sort -rn | head -50


Analisi del codice sorgente

Una scansione statica del codice può estrarre tutti i route definiti nell’applicazione e confrontarli con quelli registrati nel gateway API. La differenza è la lista candidata di zombie (o shadow).

# Esempio con grep per trovare route Express.js
grep -rE "app\.(get|post|put|delete|patch)\s*\(" ./src   | grep -oP "(?

Analisi del traffico reale

Anche se un endpoint non viene più mantenuto, potrebbe ancora ricevere traffico — da client legacy, da integrazioni di partner non aggiornate, o da attaccanti che lo scandagliano. Analizzare i log di accesso degli ultimi 90-180 giorni rivela endpoint “morti” che in realtà rispondono ancora.

Come mitigare il rischio

Governance del ciclo di vita delle API

La soluzione strutturale è implementare un API lifecycle management formale, con quattro fasi chiare:

1. Active: l’API è in produzione, monitorata e manutenuta
2. Deprecated: l’API funziona ancora ma è stata annunciata la dismissione. I client ricevono header Deprecation e Sunset in ogni risposta
3. Sunset: la data di dismissione è imminente, le richieste restituiscono warning espliciti
4. Retired: l’endpoint è stato disattivato, risponde con 410 Gone

# Header HTTP di deprecazione (RFC 8594)
HTTP/1.1 200 OK
Deprecation: Sat, 31 Dec 2025 23:59:59 GMT
Sunset: Sat, 30 Jun 2026 23:59:59 GMT
Link: <https://api.example.com/v2/payments>; rel="successor-version"


Applicate il principio del minimo privilegio anche alle API

Le API che non sono più in uso attivo non dovrebbero avere accesso ai sistemi di produzione. Prima di decommissionare formalmente, rimuovete le credenziali, revocate i token di accesso e isolate l’endpoint dalla rete interna.

Automatizzate il testing di sicurezza su tutto l’inventario

Il penetration test periodico deve includere anche gli endpoint “vecchi”. Configurate scanner DAST (Dynamic Application Security Testing) per coprire l’intero inventario API, non solo gli endpoint documentati nella versione corrente.

# Esempio con OWASP ZAP via CLI
docker run -t owasp/zap2docker-stable zap-api-scan.py   -t https://api.example.com/api/v1/openapi.yaml   -f openapi   -r zap-report.html


Risk scoring degli endpoint

Non tutti gli endpoint zombie hanno lo stesso livello di rischio. Prioritizzate in base a:

• Metodo di autenticazione (nessuna > API key > OAuth 2.0)
• Sensibilità dei dati esposti (PII, dati finanziari, credenziali)
• Esposizione a traffico esterno vs. solo interno
• Presenza di vulnerabilità note nel framework usato
• Volume e origine del traffico recente

Un piano d’azione in tre settimane

Per team che vogliono affrontare il problema in modo pragmatico:

Settimana 1 — Discovery: Eseguite una scansione completa del traffico degli ultimi 90 giorni. Estraete tutti gli endpoint dal codice sorgente. Confrontate con il registro ufficiale dell’API gateway.

Settimana 2 — Triage: Per ogni endpoint non documentato, determinate se è un’API shadow (mai documentata) o zombie (precedentemente documentata). Applicate il risk scoring. Identificate i proprietari originali tramite git blame o cronologia dei ticket.

Settimana 3 — Remediation: Gli endpoint ad alto rischio vanno disabilitati immediatamente. Per quelli con traffico ancora attivo, notificate i client e stabilite una data di sunset. Implementate il processo di governance per prevenire il problema in futuro.

Conclusione

Le Zombie API non sono un problema teorico. Sono un debito tecnico e di sicurezza reale, spesso invisibile, che cresce silenziosamente ad ogni rilascio. Con l’aumento dei sistemi agentic AI che interagiscono autonomamente con le API, il rischio di “risvegliare” questi endpoint aumenta ulteriormente.

La buona notizia è che il problema è risolvibile con processi ben definiti: discovery sistematico, governance del ciclo di vita, e testing automatizzato su tutto l’inventario — non solo sulla versione corrente dell’API.

Non aspettate che sia un attaccante a scoprire cosa avete dimenticato.

---

Fonte originale: The “Zombie API” Attack: Why Your Old Integrations Are Your Biggest Security Risk (DZone) — approfondito con riferimenti da Salt Security, GetAstra e Checkmarx.

API Security Best Practices: How to Catch Shadow and Zombie APIs Before Attackers Do

Catch shadow and zombie APIs before attackers do. Learn API security best practices with SAST, DAST, and API discovery for full protection.

^{Avi Hein (Checkmarx)}

404 Media

2026-05-12 13:00:38

ICE Agents Have List of 20 Million People on Their iPhones Thanks to Palantir

Immigration and Customs Enforcement’s (ICE) use of Palantir systems now means agency officials effectively have a list of 20 million people readily accessible on their iPhones, increasing the speed at which ICE can find houses to raid and people to arrest, according to comments made by a senior ICE official last week during a border security conference.

While ICE and the Department of Homeland Security (DHS) generally won’t answer questions from journalists about how the agency is using Palantir’s technology, senior officials were much more talkative during the Border Security Expo which took place in Phoenix, Arizona, last week. 404 Media spoke to four people who attended the conference. Here companies looking to sell their technology to ICE or other agencies gathered for two days of speeches, Q&As, and product pitches.

💡
Do you work for Palantir or ICE? Did you used to? I would love to hear from you. Using a non-work device, you can message me securely on Signal at joseph.404 or send me an email at joseph@404media.co.

The officials’ comments may need to be taken with a pinch of salt, but still reflect ICE’s position that Palantir is allowing the agency to identify people to arrest and locations to raid faster. Although the Trump administration has attempted to step back from its mass deportation rhetoric and city wide raids, especially in the wake of killing multiple people, ICE continues to violently and wrongfully detain people. Data from April showed that 70.8 percent, or 42,722, of people held in ICE detention have no criminal conviction.

The four people who attended the Border Security Expo saw Matthew Elliston, assistant director of Law Enforcement Systems & Analysis at ICE, and other DHS officials speak.

At one point, Elliston made the comment about ICE agents having 20 million targets, or potential people to detain, on their iPhones. This list can lead ICE agents to an individual and a house; they can then see if another target might be next door. This target may be a lower priority, but ICE can now use that information to arrest more people.
playlist.megaphone.fm?p=TBIEA2…
At another point, Elliston said that Palantir’s technology has increased ICE’s rate of successfully locating a target from around 27 percent to just under 80 percent.

Two of the attendees were Kenny Morris, a campaigns strategist within the American Friends Service Committee (AFSC) Action Center for Corporate Accountability, and Dov Baum, director of AFSC’s Action Center for Corporate Accountability. 404 Media is not naming the other two attendees to protect them from professional repercussions.

Investigative work that used to take hours now takes 10 to 15 minutes, Elliston said. Elliston added Palantir gives the agency access to between 30 and 40 datasets.

Palantir generally doesn’t generate its own datasets; instead, its tools are broadly used to bring usually disparate datasets together and let them be queried as one.

In January, 404 Media revealed Palantir was working on a tool for ICE called ELITE, or Enhanced Leads Identification & Targeting for Enforcement. This tool populates a map with potential deportation targets, brings up a dossier on each person including their personal information, and provides a “confidence score” on that person’s current address. Those addresses came from various sources including the Department of Health and Human Service (HHS) and Thomson Reuters’ CLEAR product, according to an ELITE user guide 404 Media obtained.

Palantir has worked with DHS, and specifically Homeland Security Investigations (HSI), for years. This work was previously focused on the Investigative Case Management (ICM) system, which HSI used. In the second Trump administration, Palantir became a “more mature partner to ICE,” the company said in a leaked Palantir wiki obtained by 404 Media.

Palantir’s closer work with ICE has triggered some protests around the country, including one in April outside Palantir’s offices in New York City.

Palantir did not respond to a request for comment for this article. The company previously wrote a blog post after 404 Media first revealed the existence of ELITE, writing, “The ELITE tool is used for prioritized enforcement to surface the likely addresses of specific individuals, such as those with final orders of removal or with high severity criminal charges.”

A DHS spokesperson told 404 Media in an email: “U.S. Immigration and Customs Enforcement is committed to achieving the nation’s mandate to clear the backlog of illegal aliens who pose a threat to the security of our communities. Like other law enforcement agencies, ICE employs various forms of technology while respecting civil liberties and privacy interests.”

Elliston also discussed Mobile Fortify, ICE and CBP’s facial recognition app. Elliston claimed the app has been used 200,000 times with a 0 percent mismatch rate. 404 Media reported in January that Mobile Fortify misidentified a woman, twice.

At one point, Elliston said that the agency has a lot of money and he’s open for business. If you want to show me something, send me a LinkedIn message, he said. After the session, one attendee said they watched as a huge line of people waited for their chance to speak to Elliston.

Leaked: Palantir’s Plan to Help ICE Deport People

Internal Palantir Slack chats and message boards obtained by 404 Media show the contracting giant is helping find the location of people flagged for deportation, that Palantir is now a “more mature partner to ICE,” and how Palantir is addressing empl…

^{Joseph Cox (404 Media)}

macfranc

2026-05-15 06:59:15

ATTENZIONE - Durante la giornata di oggi e di domani potrebbe verificarsi una temporanea interruzione di servizio del forum federato citiverse.it

Informiamo tutti gli utenti iscritti a Citiverse.it e a tutti gli altri utenti che utilizzano le categorie di Citiverse.it come "gruppi federati" dalle loro istanze Mastodon, Friendica, Pixelfed o Lemmy, che

durante la giornata di oggi e di domani potrebbe verificarsi una temporanea interruzione di servizio sul dominio citiverse.it

a causa del cambio di gestore del dominio.

Ci scusiamo per il disguido e ricordiamo che il problema non riguarderà le altre nostre tre istanze:

• poliverso.org: la nostra istanza Friendica
• feddit.it: la nostra istanza Lemmy, che con le sue comunità è da anni un punto di riferimento anche per gli utenti Mastodon
• poliversity.it: la nostra istanza Mastodon potenziata che consente di scrivere anche con testo formattato e senza lmitazione di caratteri

Quando il problema si sarà risolto, provvederemo a comunicarlo tempestivamente

@fediverso

macfranc

2026-05-15 06:59:15

ATTENZIONE - Durante la giornata di oggi e di domani potrebbe verificarsi una temporanea interruzione di servizio del forum federato citiverse.it

Informiamo tutti gli utenti iscritti a Citiverse.it e a tutti gli altri utenti che utilizzano le categorie di Citiverse.it come "gruppi federati" dalle loro istanze Mastodon, Friendica, Pixelfed o Lemmy, che

durante la giornata di oggi e di domani potrebbe verificarsi una temporanea interruzione di servizio sul dominio citiverse.it

a causa del cambio di gestore del dominio.

Ci scusiamo per il disguido e ricordiamo che il problema non riguarderà le altre nostre tre istanze:

• poliverso.org: la nostra istanza Friendica
• feddit.it: la nostra istanza Lemmy, che con le sue comunità è da anni un punto di riferimento anche per gli utenti Mastodon
• poliversity.it: la nostra istanza Mastodon potenziata che consente di scrivere anche con testo formattato e senza lmitazione di caratteri

Quando il problema si sarà risolto, provvederemo a comunicarlo tempestivamente

@fediverso