Un virus che sfrutta un antivirus, un oggetto connesso che apre la porta della rete aziendale, un componente web di terze parti che funge da relais di esfiltrazione: le minacce recenti non mirano più a un perimetro isolato. Attraversano la catena di fiducia da un capo all’altro. Comprendere i meccanismi dietro questi attacchi consente di leggere meglio le notizie sulla cybersicurezza e di anticipare le patch da applicare con priorità.
Zero-day sugli strumenti di difesa: quando l’antivirus diventa la vulnerabilità
Un zero-day indica una vulnerabilità sfruttata prima che una patch sia disponibile. Il termine deriva dal fatto che l’editore ha zero giorni di preavviso per proteggere i propri utenti.
Nel 2026, Microsoft Defender è stato oggetto di uno zero-day chiamato BlueHammer, che consentiva un’elevazione dei privilegi locale. Gruppi di ransomware lo hanno sfruttato prima della pubblicazione della patch. Il paradosso è diretto: lo strumento destinato a proteggere il posto di lavoro diventa il vettore d’attacco.
Questo tipo di scenario complica la gerarchizzazione delle patch per le aziende. Tradizionalmente, i team di sicurezza danno priorità alle vulnerabilità sui servizi esposti a Internet. Quando la vulnerabilità colpisce un componente di sicurezza già distribuito su ogni posto, la superficie d’attacco è l’intero parco. È possibile scoprire le notizie su Viruslab per seguire questi avvisi zero-day man mano che vengono pubblicati.
Catalogo KEV e direttiva BOD 26-04: il quadro di rimedio si inasprisce
La CISA (agenzia americana per la cybersicurezza) mantiene un catalogo chiamato KEV (Known Exploited Vulnerabilities). Questo catalogo elenca le vulnerabilità di cui è confermato lo sfruttamento attivo. Ogni voce è accompagnata da un termine di rimedio obbligatorio per le agenzie federali.
La direttiva BOD 26-04, pubblicata nel 2026, ha rafforzato questo obbligo mirato specificamente agli asset esposti su Internet. Il cambiamento è operativo: si passa da raccomandazioni generali a un vincolo misurabile, con un calendario di correzione imposto.
Per le aziende europee, questo catalogo funge da riferimento indiretto. L’ANSSI in Francia raccomanda di monitorare il KEV e di integrarlo nei processi di gestione delle vulnerabilità, anche senza un obbligo legale diretto. Il rapporto di attività di Cybermalveillance.gouv.fr ha inoltre evidenziato un aumento significativo delle richieste di assistenza, confermando che gli attacchi informatici si intensificano sul territorio.
Perché il KEV cambia la priorità delle patch
Senzo un catalogo di riferimento, un team di sicurezza classifica le vulnerabilità in base al punteggio CVSS (gravità tecnica). Il problema: un punteggio elevato non significa necessariamente sfruttamento attivo. Il KEV inverte la logica. Una vulnerabilità moderata ma attivamente sfruttata ha la precedenza su una vulnerabilità critica teorica.
Questo approccio costringe a incrociare due flussi di informazioni: il bollettino dell’editore (Microsoft, Cisco, ecc.) e l’elenco KEV aggiornato dalla CISA. Le PMI che non hanno un team dedicato possono fare affidamento su strumenti di gestione delle vulnerabilità che integrano direttamente questo catalogo.
Oggetti IoT e componenti web: i punti ciechi della catena di fiducia
Gli attacchi recenti non si limitano più ai server o ai posti di lavoro. Due categorie di asset rimangono regolarmente sotto-corretti: gli oggetti connessi (IoT) e i componenti web di terze parti (librerie JavaScript, gestori di pacchetti npm/yarn).
Un oggetto IoT, che si tratti di una telecamera di sorveglianza, di un sensore industriale o di una stampante di rete, funziona spesso con un firmware raramente aggiornato. Il suo sistema operativo è minimo, i suoi meccanismi di autenticazione a volte inesistenti. Un dispositivo IoT non segmentato sulla rete offre accesso laterale all’intera infrastruttura.
Dal lato web, vulnerabilità critiche in npm e yarn hanno facilitato attacchi tramite iniezione di dipendenze. Il principio: un attaccante pubblica un pacchetto malevolo il cui nome assomiglia a una libreria legittima. Lo sviluppatore lo installa per errore, e il codice malevolo viene eseguito nell’ambiente di produzione.
Gerarchizzare le patch su tre perimetri simultanei
La difficoltà per le aziende è trattare questi tre fronti (infrastruttura, web, IoT) con risorse limitate. Una griglia di priorità realistica si basa su tre criteri incrociati:
- L’esposizione di rete dell’asset: un servizio accessibile da Internet viene corretto prima di un dispositivo interno isolato
- La presenza nel catalogo KEV o in un equivalente europeo: uno sfruttamento attivo confermato attiva una patch entro pochi giorni, non settimane
- La capacità di segmentazione: se un oggetto IoT non può essere aggiornato rapidamente, isolarlo su un VLAN dedicato riduce il rischio di propagazione laterale
Questo approccio basato sul rischio operativo sostituisce il metodo basato su punteggio tecnico puro. Richiede un inventario aggiornato degli asset, che rimane il punto debole di molte collettività e PMI.
Ransomware ed esfiltrazione di dati: le tecniche d’attacco convergono
I gruppi di ransomware combinano ora crittografia ed esfiltrazione. Lo schema classico (crittografare i file, chiedere un riscatto) è accompagnato da una minaccia di pubblicazione dei dati rubati. Questa doppia estorsione aumenta la pressione sulle vittime, in particolare le collettività che gestiscono dati personali dei loro amministrati.
L’uso dell’intelligenza artificiale da parte degli attaccanti accelera l’adattamento dei malware. Casi documentati mostrano che strumenti di IA generativa vengono utilizzati per modificare automaticamente il codice di un software malevolo per eludere le firme di rilevamento. Il malware muta più velocemente di quanto le basi di firme si aggiornino.
Questo fenomeno colpisce anche le API esposte. Un caso recente ha mostrato che un’API di un fornitore di IA poteva essere dirottata per esfiltrare dati. Il servizio legittimo funge quindi da canale di uscita, rendendo la rilevazione da parte dei firewall tradizionali molto difficile poiché il traffico assomiglia a un uso normale.
Proteggere i dati oltre il perimetro di rete
La protezione perimetrale da sola non è più sufficiente. Le aziende che trattano dati sensibili devono monitorare i flussi in uscita tanto quanto quelli in entrata. La crittografia dei dati a riposo e in transito, combinata con una rilevazione comportamentale degli accessi anomali, costituisce una base più adatta alle minacce attuali.
- Monitorare le richieste API insolite in volume o destinazione
- Applicare il principio del minimo privilegio su ogni account di servizio
- Testare regolarmente il ripristino dei backup per convalidarne l’integrità di fronte a uno scenario di ransomware
Il panorama delle minacce nel 2026 si caratterizza per questa convergenza: un medesimo gruppo sfrutta uno zero-day su uno strumento di difesa, si sposta verso un oggetto IoT mal segmentato e poi esfiltra tramite un’API legittima. La risposta passa attraverso un inventario esaustivo degli asset, una priorità basata sull’effettivo sfruttamento e una segmentazione di rete che limita la propagazione anche quando la prima barriera cede.