https://www.martinoroberto.com/news/ Analisi e commenti di Martino Roberto sulle notizie di cybersecurity più rilevanti. it Tue, 08 Sep 2026 06:23:45 +0000 https://www.martinoroberto.com/news/il-tuo-e-commerce-magento-puo-essere-gia-una-backdoor.html https://www.martinoroberto.com/news/il-tuo-e-commerce-magento-puo-essere-gia-una-backdoor.html Tue, 08 Sep 2026 06:00:00 +0000 Dal 4 settembre un attacco non autenticato installa una backdoor persistente su Magento e Adobe Commerce. Adobe non ha ancora rilasciato la patch: servono mitigazioni subito. 👉 Articolo completo: https://www.martinoroberto.com/news/il-tuo-e-commerce-magento-puo-essere-gia-una-backdoor.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/il-tuo-e-commerce-magento-puo-essere-gia-una-backdoor.html?utm_source=linkedin&utm_medium=social&utm_campaign=news C'è un dato in questa vicenda che secondo me dice quasi tutto: tra il primo sfruttamento e la prima regola di mitigazione pubblica sono passate meno di nove ore, ma per la patch ufficiale di Adobe si è aspettato giorni. Gli attaccanti hanno lavorato più in fretta di chi doveva difendere. Non è una novità, però qui il divario si è visto bene. Sul campo incontro spesso e-commerce Magento fermi a una o due versioni indietro, quasi sempre per lo stesso motivo: "se aggiorno si rompe il tema" o un modulo su misura. È comprensibile, ma è esattamente quella distanza a trasformarsi in superficie d'attacco quando esce uno zero-day del genere. E quando mi chiamano dopo un incidente su un negozio online, la backdoor spesso era lì da settimane: log che nessuno leggeva, alert mai configurati, monitoraggio fermo all'uptime della homepage. Per chi ha Magento o Adobe Commerce raggiungibile da Internet il consiglio è uno: finché non hai verificato, trattalo come potenzialmente già compromesso, senza aspettare la patch per muoverti. Dire con certezza se sei stato colpito non è semplice, lo ammetto, e su questo un paio d'occhi esterni aiutano. Se gestisci un e-commerce su Magento o Adobe Commerce e vuoi capire se StyleSmuggler ti ha già raggiunto, o chiudere la falla prima che accada, posso affiancarti nell'analisi dei log e nella messa in sicurezza del server. https://www.martinoroberto.com/img/news/il-tuo-e-commerce-magento-puo-essere-gia-una-backdoor-og.png https://www.martinoroberto.com/news/panzer-nuovo-raas-due-aziende-italiane-gia-tra-le-vittime.html https://www.martinoroberto.com/news/panzer-nuovo-raas-due-aziende-italiane-gia-tra-le-vittime.html Mon, 07 Sep 2026 06:00:00 +0000 Doimo Cucine e NTE Italia sono tra le prime vittime rivendicate dal gruppo, emerso ad agosto: in un mese 19 organizzazioni colpite in altrettanti Paesi, con un modello di affiliazione 80/20. 👉 Articolo completo: https://www.martinoroberto.com/news/panzer-nuovo-raas-due-aziende-italiane-gia-tra-le-vittime.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/panzer-nuovo-raas-due-aziende-italiane-gia-tra-le-vittime.html?utm_source=linkedin&utm_medium=social&utm_campaign=news Di gruppi così ne nasce uno quasi ogni mese, e il nome che si scelgono conta poco. Per chi lo subisce cambia sempre la stessa manciata di cose: da dove sono entrati, quanto tempo hanno avuto prima che qualcuno se ne accorgesse, e cosa era davvero pronto per rispondere. Di Panzer mi interessa il modulo per ESXi. Nelle aziende italiane, anche piccole, la virtualizzazione VMware è ovunque, spesso in mano a un fornitore esterno, e l'host è quasi sempre la parte meno monitorata di tutta l'infrastruttura. Chi arriva sull'hypervisor non deve più colpire una macchina alla volta: con un solo accesso raggiunge i dischi virtuali di tutte le VM insieme. Di solito il malware ferma le macchine per liberare i file dei dischi e li cifra direttamente sul datastore: ti ritrovi decine di server spenti tutti in una volta, e non ripartono. Quando entro da un cliente non chiedo se hanno un backup, perché la risposta è sempre sì. Chiedo quando hanno provato a rimetterlo in piedi l'ultima volta e quanto ci hanno messo: lì di solito cala il silenzio. E se i backup vivono sullo stesso datastore ESXi che viene cifrato, un backup non ce l'hai: hai un secondo file cifrato. Una copia offline o immutabile, staccata dal dominio, con una prova di ripristino fatta a mano almeno una volta al mese, secondo me è la differenza tra due giorni di fermo e due settimane. Sull'ingresso vale il solito, meno noioso di quanto sembri: MFA su tutti gli accessi remoti, VPN e firewall aggiornati, gestione VMware non affacciata su Internet e separata dalle credenziali di dominio. Che tu non finisca mai in una di queste liste non può garantirlo nessuno; contenere il danno quando qualcosa va storto, quello sì. Se usi VMware ESXi e vuoi vedere quanto reggerebbe il tuo ambiente a un attacco come questo, posso aiutarti a metterlo alla prova e a chiudere i punti deboli prima che ci arrivi qualcun altro. https://www.martinoroberto.com/img/news/panzer-nuovo-raas-due-aziende-italiane-gia-tra-le-vittime-og.png https://www.martinoroberto.com/news/whatsapp-allarme-della-polizia-account-rubati-per-chiedere-soldi.html https://www.martinoroberto.com/news/whatsapp-allarme-della-polizia-account-rubati-per-chiedere-soldi.html Sun, 06 Sep 2026 06:00:00 +0000 Gli attacchi zero-click colpiscono iPhone e versioni di WhatsApp non aggiornate, senza bisogno di un clic. Poi i truffatori si fingono parenti in difficolta e chiedono denaro. 👉 Articolo completo: https://www.martinoroberto.com/news/whatsapp-allarme-della-polizia-account-rubati-per-chiedere-soldi.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/whatsapp-allarme-della-polizia-account-rubati-per-chiedere-soldi.html?utm_source=linkedin&utm_medium=social&utm_campaign=news La parola zero-click fa notizia, e si capisce perche: l'idea che ti svuotino l'account senza toccare niente mette in soggezione. Pero occhio a non fermarsi li. Quasi tutti i casi che mi arrivano in azienda non partono da un exploit sofisticato, partono da una persona che ha inoltrato un codice a sei cifre a un finto collega o ha messo le credenziali su una pagina fatta bene. Il pezzo tecnico esiste, ma la leva resta la fretta unita alla fiducia: un messaggio che sembra del titolare, la richiesta urgente, e nessuno che si ferma trenta secondi a fare una telefonata. Alle aziende con cui lavoro dico due cose semplici. La prima: gli aggiornamenti non sono una scocciatura da rimandare, sono la parte piu economica della difesa, e un parco di iPhone aziendali fermi a versioni vecchie e un problema che vedo ancora troppo spesso. La seconda: serve una regola condivisa sui pagamenti, scritta, per cui nessuno autorizza un bonifico o cambia un IBAN solo perche l'ha chiesto qualcuno su WhatsApp. Sembra banale, ma secondo me e la misura che ha bloccato piu tentativi di frode tra i miei clienti nell'ultimo anno. Poi resta un dubbio onesto: contro un attacco davvero zero-click su un telefono aggiornato si riduce la superficie, non si azzera il rischio. Se vi interessa, posso aiutarvi a mettere nero su bianco una procedura di verifica dei pagamenti e a controllare come stanno messi i dispositivi mobili della vostra azienda rispetto a questo tipo di truffa. https://www.martinoroberto.com/img/news/whatsapp-allarme-della-polizia-account-rubati-per-chiedere-soldi-og.png https://www.martinoroberto.com/news/centralini-voip-sangoma-sotto-attacco-cisa-fissa-scadenza-a-oggi.html https://www.martinoroberto.com/news/centralini-voip-sangoma-sotto-attacco-cisa-fissa-scadenza-a-oggi.html Sat, 05 Sep 2026 06:00:00 +0000 Una SQL injection senza autenticazione nel centralino Switchvox permette reverse shell su migliaia di sistemi esposti. CISA ha fissato la scadenza di rimedio a oggi, 5 settembre. 👉 Articolo completo: https://www.martinoroberto.com/news/centralini-voip-sangoma-sotto-attacco-cisa-fissa-scadenza-a-oggi.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/centralini-voip-sangoma-sotto-attacco-cisa-fissa-scadenza-a-oggi.html?utm_source=linkedin&utm_medium=social&utm_campaign=news I centralini telefonici sono tra i sistemi più trascurati nei piani di patching, e questa storia lo dimostra bene. Nessuno pensa al PBX come a un server critico da tenere d'occhio: è quella scatola grigia in uno sgabuzzino che "fa le telefonate" e basta, quindi finché squilla nessuno si preoccupa di aggiornarla. Il problema è che oggi qualunque apparato con un'interfaccia web raggiungibile da internet è, a tutti gli effetti, un server esposto, con tutto ciò che comporta in termini di superficie d'attacco. Nei sopralluoghi che faccio capita spesso di trovare centralini, NAS, stampanti di rete o gateway VoIP con il pannello di amministrazione accessibile dall'esterno, magari per comodità di gestione remota, senza VPN e senza segmentazione rispetto al resto della rete aziendale. Va bene finché non salta fuori una CVE come questa: allora quel dispositivo dimenticato diventa il punto da cui un attaccante entra ovunque. La prima cosa che controllo sempre è proprio questa: cosa risulta esposto su internet dell'azienda, e se davvero deve esserlo. Un centralino VoIP quasi mai deve avere l'interfaccia di gestione raggiungibile dal mondo esterno. Un dubbio che mi porto dietro è quanto sia realistico chiedere a una PMI di monitorare gli avvisi di sicurezza di ogni singolo produttore di ogni singolo apparato in rete: è un lavoro enorme se lo fai da solo, ed è il motivo per cui in tanti scoprono la falla solo quando qualcuno l'ha già sfruttata. Se avete un centralino Switchvox o comunque un sistema VoIP esposto e volete che verifichi insieme a voi la sua esposizione reale e la segmentazione rispetto al resto della rete, scrivetemi pure. https://www.martinoroberto.com/img/news/centralini-voip-sangoma-sotto-attacco-cisa-fissa-scadenza-a-oggi-og.png https://www.martinoroberto.com/news/cisco-nexus-9000-falla-critica-root-senza-credenziali-sugli-switch.html https://www.martinoroberto.com/news/cisco-nexus-9000-falla-critica-root-senza-credenziali-sugli-switch.html Fri, 04 Sep 2026 06:00:00 +0000 Il bug CVE-2026-20212 colpisce dieci modelli di switch Nexus 9000 con Silicon One: due porte TCP raggiungibili in rete bastano per eseguire codice come root. Cisco ha pubblicato le patch. 👉 Articolo completo: https://www.martinoroberto.com/news/cisco-nexus-9000-falla-critica-root-senza-credenziali-sugli-switch.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/cisco-nexus-9000-falla-critica-root-senza-credenziali-sugli-switch.html?utm_source=linkedin&utm_medium=social&utm_campaign=news C'e una frase, in questi avvisi, che di solito scorre via senza far rumore: "raggiungibile tramite la configurazione di rete predefinita". Tradotto: la porta di gestione dell'apparato e esposta piu di quanto chi lo ha installato immagini. Secondo me il punto dolente e li, piu che nel singolo bug. Negli assessment mi capita spesso di trovare switch e router di dorsale con il piano di gestione appiattito sulla rete di produzione, senza una ACL che filtri chi puo parlarci. E quando chiedo a che release di firmware sono, la risposta a volte e un silenzio imbarazzato: quegli apparati non si toccano da anni, nessuno vuole rischiare un fermo. Il timore e legittimo, va detto. Aggiornare uno switch di core non e come aggiornare un portatile: serve una finestra di manutenzione, serve la ridondanza che regge il traffico mentre riavvii, serve provare la procedura prima. Capisco perche si rimandi. Ma e proprio per questo che gli avvisi fatti bene, come questo, arrivano con un ripiego pronto: la iACL che chiude quelle due porte si applica in pochi minuti e non richiede riavvio. Il dubbio che mi resta e sempre lo stesso, e non e tecnico: quante aziende hanno un inventario aggiornato del firmware dei propri apparati di rete e sanno dire, oggi, quali sono vulnerabili? Se hai dei Nexus 9000 in sala macchine e non hai una risposta certa sulla release NX-OS e su chi puo raggiungere le loro porte di gestione, posso aiutarti a fare il punto e a pianificare l'aggiornamento senza fermare la produzione. https://www.martinoroberto.com/img/news/cisco-nexus-9000-falla-critica-root-senza-credenziali-sugli-switch-og.png https://www.martinoroberto.com/news/sonicwall-sma1000-due-zero-day-sotto-attacco-aggiornare-ora.html https://www.martinoroberto.com/news/sonicwall-sma1000-due-zero-day-sotto-attacco-aggiornare-ora.html Thu, 03 Sep 2026 06:00:00 +0000 SonicWall conferma lo sfruttamento attivo di due falle nelle SMA1000: un SSRF non autenticato da CVSS 10 e un'iniezione di comandi. Concatenate portano a codice remoto e malware persistente. 👉 Articolo completo: https://www.martinoroberto.com/news/sonicwall-sma1000-due-zero-day-sotto-attacco-aggiornare-ora.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/sonicwall-sma1000-due-zero-day-sotto-attacco-aggiornare-ora.html?utm_source=linkedin&utm_medium=social&utm_campaign=news Le appliance per l'accesso remoto sono un bersaglio comodo per una ragione semplice: stanno esposte su Internet per definizione, e spesso dopo l'installazione non le guarda piu nessuno. Nelle aziende che seguo il punto debole quasi mai e il firewall nuovo di zecca; e il concentratore VPN comprato qualche anno fa, quello che funziona e quindi non si tocca, fino a quando non esce un avviso come questo. Mi rendo conto che aggiornare un apparato perimetrale in fretta mette ansia, perche se qualcosa va storto resti senza accesso: proprio per questo servirebbe un calendario di patch deciso prima, non nell'emergenza. Una cosa su cui non mi sbilancio e quanto sia diffusa la compromissione reale: gli indicatori pubblici sono ancora pochi e la finestra di sfruttamento come zero-day potrebbe essere piu lunga di quello che sappiamo. Per questo, secondo me, se avete una SMA1000 la domanda giusta non e solo se avete applicato l'hotfix, ma se qualcuno e entrato prima. Se usate una di queste appliance e non riuscite a dire con certezza se e stata toccata prima dell'aggiornamento, posso aiutarvi a verificarlo e a rimettere in sicurezza gli accessi. https://www.martinoroberto.com/img/news/sonicwall-sma1000-due-zero-day-sotto-attacco-aggiornare-ora-og.png https://www.martinoroberto.com/news/anydesk-uno-zero-day-senza-patch-blocca-laccesso-remoto.html https://www.martinoroberto.com/news/anydesk-uno-zero-day-senza-patch-blocca-laccesso-remoto.html Wed, 02 Sep 2026 06:00:00 +0000 Il bug CVE-2026-15682 sfrutta la funzione di invio informazioni di supporto per far crashare il client AnyDesk su Windows. Serve accesso locale, ma per chi lo usa in produzione il rischio è concreto. 👉 Articolo completo: https://www.martinoroberto.com/news/anydesk-uno-zero-day-senza-patch-blocca-laccesso-remoto.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/anydesk-uno-zero-day-senza-patch-blocca-laccesso-remoto.html?utm_source=linkedin&utm_medium=social&utm_campaign=news La cosa che mi fa storcere il naso non è il bug in sé — un denial of service locale con CVSS intorno a 4,7 non è la fine del mondo — ma la risposta del produttore: «fuori ambito». Capisco che un vendor debba tracciare un confine tra ciò che considera una vulnerabilità e ciò che non lo è. Quando però quel confine lascia fuori un crash che un utente locale può innescare su uno strumento usato in produzione da mezzo mondo, secondo me è tracciato nel punto sbagliato, e chi lo usa resta con il cerino in mano. Nelle realtà che seguo AnyDesk e strumenti simili sono dappertutto: installati anni fa, mai più aggiornati, a volte senza che l'IT sappia su quante macchine girano. Il consiglio che do più spesso non riguarda questo CVE nello specifico, ma vale anche qui: sapere cosa hai. Un elenco aggiornato degli strumenti di accesso remoto, con versioni e responsabili, e un piano B per l'assistenza se quel canale si blocca. Il rischio concreto stavolta è contenuto, serve già un accesso locale alla macchina, però è un buon promemoria che affidare tutto l'incident response a un solo programma è fragile, soprattutto quando il fornitore ti dice che il problema non lo riguarda. Se usi AnyDesk in azienda e vuoi valutare quanto sei esposto a questo zero-day e come tenere in piedi l'assistenza remota finché non esce una patch, scrivimi e lo vediamo insieme. https://www.martinoroberto.com/img/news/anydesk-uno-zero-day-senza-patch-blocca-laccesso-remoto-og.png https://www.martinoroberto.com/news/truffa-sanitaria-in-lombardia-sanno-cosa-hai-in-cura.html https://www.martinoroberto.com/news/truffa-sanitaria-in-lombardia-sanno-cosa-hai-in-cura.html Tue, 01 Sep 2026 06:00:00 +0000 Messaggi che citano farmaci e visite davvero prescritti al destinatario chiedono un finto saldo debito su un conto spagnolo. I dati arrivano quasi certamente da una piattaforma di ricette compromessa. 👉 Articolo completo: https://www.martinoroberto.com/news/truffa-sanitaria-in-lombardia-sanno-cosa-hai-in-cura.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/truffa-sanitaria-in-lombardia-sanno-cosa-hai-in-cura.html?utm_source=linkedin&utm_medium=social&utm_campaign=news C'e un dettaglio di questa storia che mi colpisce piu della truffa in se: i sistemi della Regione non risultano bucati, eppure i dati sono in giro lo stesso. E il solito punto debole, il fornitore. Una piattaforma usata da tanti medici di base per le ricette viene compromessa, e di colpo il problema non riguarda un singolo studio ma decine di migliaia di pazienti. Secondo me e qui che va spostata l'attenzione, non sul singolo che ha cliccato. Alle aziende con cui lavoro ripeto una cosa poco simpatica: i vostri dati valgono anche quando sono fermi sul gestionale di qualcun altro. Vale la pena chiedere a chi li tratta come li protegge, dove tiene i backup, cosa fa se qualcuno entra, e mettere queste risposte nero su bianco nel contratto. Nella sanita poi c'e un'aggravante: un indirizzo email e una lista di farmaci non li cambi come una password, chi li ha se li tiene. Per questo non mi convince liquidare tutto come solita truffa da 40 euro: la prossima ondata potra essere piu mirata, magari per telefono. Resta un dubbio onesto: finche la fonte del furto non e confermata, e difficile dire quante persone siano davvero esposte. Se gestisci dati sanitari o ti appoggi a una piattaforma esterna per ricette e referti, posso aiutarti a verificare come quel fornitore protegge le informazioni e cosa prevede il contratto nel caso finiscano fuori. https://www.martinoroberto.com/img/news/truffa-sanitaria-in-lombardia-sanno-cosa-hai-in-cura-og.png https://www.martinoroberto.com/news/ransomware-agosto-nero-in-italia-le-pmi-familiari-nel-mirino.html https://www.martinoroberto.com/news/ransomware-agosto-nero-in-italia-le-pmi-familiari-nel-mirino.html Mon, 31 Aug 2026 06:00:00 +0000 Il picco di agosto non è un episodio isolato: ecosistema di gang frammentato, falle nei gestionali usati dai fornitori IT e PMI manifatturiere pronte a pagare. Cosa sta succedendo e come muoversi. 👉 Articolo completo: https://www.martinoroberto.com/news/ransomware-agosto-nero-in-italia-le-pmi-familiari-nel-mirino.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/ransomware-agosto-nero-in-italia-le-pmi-familiari-nel-mirino.html?utm_source=linkedin&utm_medium=social&utm_campaign=news I numeri dell'articolo fanno tutti una certa impressione, ma la cosa su cui mi sono fermato non è un numero: è il modo in cui entrano. Sempre più spesso l'attacco non parte da una leggerezza dell'azienda colpita, ma da un buco nel software che il suo fornitore IT usa per amministrarla da remoto — una CVE come quella su N-able N-central — e nel giro di poche ore chi ci sta dietro arriva a tutti i clienti collegati a quel fornitore. È un tema scomodo, lo ammetto, perché mette in discussione un rapporto di fiducia costruito in anni e perché la singola PMI non può farci granché su un prodotto che non gestisce. Però secondo me qualcosa si può pretendere: che il fornitore aggiorni in fretta quegli strumenti, che l'accesso remoto passi da un'autenticazione a più fattori, che resti traccia di chi entra e quando. Con le piccole imprese familiari che seguo il discorso torna sempre agli stessi due punti. Primo: i backup non servono a niente se nessuno li prova mai; vanno testati ripristinando davvero qualcosa ogni tanto, e almeno una copia deve stare dove chi entra in rete non la raggiunge. Mi è capitato di vedere aziende con backup regolari scoprire a disastro avvenuto che erano cifrati anche quelli. Secondo: decidere in anticipo chi si chiama e cosa si fa nelle prime due ore, perché è lì che si gioca la differenza tra ripartire in qualche giorno o in qualche settimana. Se vuoi capire quanto la catena del tuo fornitore IT ti espone, o mettere alla prova backup e piano di risposta prima che serva sul serio, scrivimi e guardiamo insieme come è messa la tua situazione. https://www.martinoroberto.com/img/news/ransomware-agosto-nero-in-italia-le-pmi-familiari-nel-mirino-og.png https://www.martinoroberto.com/news/agenti-ai-in-azienda-il-prompt-injection-che-il-tuo-soc-non-vede.html https://www.martinoroberto.com/news/agenti-ai-in-azienda-il-prompt-injection-che-il-tuo-soc-non-vede.html Sun, 30 Aug 2026 06:00:00 +0000 Gli attacchi di prompt injection indiretta agli agenti AI sono già realtà: da EchoLeak alle campagne statali. Il traffico malevolo somiglia a quello legittimo e i SOC non lo intercettano. 👉 Articolo completo: https://www.martinoroberto.com/news/agenti-ai-in-azienda-il-prompt-injection-che-il-tuo-soc-non-vede.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/agenti-ai-in-azienda-il-prompt-injection-che-il-tuo-soc-non-vede.html?utm_source=linkedin&utm_medium=social&utm_campaign=news Il punto che rende questa storia diversa dal solito allarme è che non c'è una vulnerabilità da applicare in patch: c'è un modo di funzionare. Un agente AI mette sullo stesso piano le istruzioni che gli dai tu e il testo che trova dentro un'email o un documento, e finché è così ogni dato che elabora è anche un potenziale canale di comando. Le contromisure elencate nell'articolo — privilegio minimo davvero stretto, separazione fra contesto fidato e contenuti esterni, log di ogni tool call, approvazione umana sulle azioni che pesano — non sono un di più da aggiungere in un secondo momento: sono il perimetro. Il guaio ricorrente, nelle aziende con cui lavoro, è che gli agenti vengono agganciati a posta, file e ticket con un unico account di servizio e pochi limiti, perché "così parte subito". Si ottiene un utente non umano con molti privilegi e nessuno che ne osservi il comportamento. Prima di allargare quello che un agente può fare conviene mappare quali sistemi tocca, che volumi muove e con quali credenziali: è un lavoro tedioso, ma è ciò che permette di accorgersi quando qualcosa esce dai binari. L'EU AI Act, in vigore da inizio agosto, lo mette già nero su bianco: arrivarci con log e limiti al loro posto costa meno che rincorrere dopo. https://www.martinoroberto.com/img/news/agenti-ai-in-azienda-il-prompt-injection-che-il-tuo-soc-non-vede-og.png https://www.martinoroberto.com/news/perche-l-allerta-usa-sui-plc-siemens-riguarda-anche-le-pmi-italiane.html https://www.martinoroberto.com/news/perche-l-allerta-usa-sui-plc-siemens-riguarda-anche-le-pmi-italiane.html Sat, 29 Aug 2026 06:00:00 +0000 Il 19 agosto cinque agenzie federali USA hanno lanciato un'allerta congiunta: gruppi ostili usano l'AI per costruire strumenti che colpiscono i PLC Siemens esposti in rete. 👉 Articolo completo: https://www.martinoroberto.com/news/perche-l-allerta-usa-sui-plc-siemens-riguarda-anche-le-pmi-italiane.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/perche-l-allerta-usa-sui-plc-siemens-riguarda-anche-le-pmi-italiane.html?utm_source=linkedin&utm_medium=social&utm_campaign=news Quando esce un'allerta come questa, la parte che mi colpisce non è l'AI che scrive l'exploit: è che dei PLC industriali siano ancora raggiungibili direttamente da Internet. Nei controlli che faccio sugli impianti dei clienti mi capita più spesso di quanto vorrei di trovare un pannello di controllo esposto "per comodità del manutentore", a volte con la password di fabbrica mai cambiata. L'AI in mano a chi attacca non apre quella porta: la trova e la sfrutta più in fretta e con meno fatica di prima. La lista di CISA — staccare i sistemi di controllo dalla rete pubblica, e dove non si può metterli dietro una VPN con multifattore, cambiare le credenziali di default, aggiornare il firmware, accendere le protezioni che i PLC recenti hanno già dentro — non è nuova e non è complicata. Quello che vedo sul campo è che il nodo quasi sempre non è tecnico ma organizzativo: manca qualcuno che abbia il mandato di dire "questo impianto non lo colleghiamo in questo modo". Su questo un check mirato, anche breve, di solito basta a farsi un'idea onesta di quanto si è esposti. https://www.martinoroberto.com/img/news/perche-l-allerta-usa-sui-plc-siemens-riguarda-anche-le-pmi-italiane-og.png https://www.martinoroberto.com/news/teamsystem-violata-iban-e-movimenti-contabili-pronti-per-le-frodi.html https://www.martinoroberto.com/news/teamsystem-violata-iban-e-movimenti-contabili-pronti-per-le-frodi.html Fri, 28 Aug 2026 06:00:00 +0000 Il 24 agosto TeamSystem ha rilevato un'intrusione nel servizio Contabilità in Cloud. Esfiltrati IBAN, causali, importi e controparti: il materiale perfetto per truffe su misura. 👉 Articolo completo: https://www.martinoroberto.com/news/teamsystem-violata-iban-e-movimenti-contabili-pronti-per-le-frodi.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/teamsystem-violata-iban-e-movimenti-contabili-pronti-per-le-frodi.html?utm_source=linkedin&utm_medium=social&utm_campaign=news Quello che mi lascia perplesso in questi comunicati è sempre la stessa frase: "non risultano impatti sulle credenziali". Non dico che sia falsa, ma nella mia esperienza è spesso una fotografia scattata troppo presto, prima che le analisi dei log finiscano davvero. Non è colpa di TeamSystem in particolare, è quasi un vizio del settore: si comunica quello che si sa nel momento in cui si deve comunicare, non quello che si scoprirà dopo. Per chi usa il servizio, secondo me la cosa più sensata è trattare comunque ogni richiesta di cambio IBAN come sospetta, a prescindere da come va a finire l'indagine. Sulle frodi da cambio IBAN un consiglio pratico ce l'ho, ed è più banale di quanto sembri: nessuna variazione di conto fornitore senza una telefonata a un numero già noto, non quello scritto nella mail. Non è infallibile, ma nei casi che ho seguito è quasi sempre bastato. Quello che mi chiedo, però, è perché dopo anni che se ne parla questa procedura non sia ancora la norma in tante aziende — forse perché finché non succede, sembra sempre un problema di qualcun altro. https://www.martinoroberto.com/img/news/teamsystem-violata-iban-e-movimenti-contabili-pronti-per-le-frodi-og.png https://www.martinoroberto.com/news/shieldbreak-lexploit-che-aggira-la-patch-e-prende-system.html https://www.martinoroberto.com/news/shieldbreak-lexploit-che-aggira-la-patch-e-prende-system.html Thu, 27 Aug 2026 06:00:00 +0000 Un ricercatore ha pubblicato il codice funzionante: sfrutta il momento in cui Defender analizza un file scaricato dal cloud e ottiene privilegi SYSTEM su sistemi aggiornati. Da Microsoft nessuna patch. 👉 Articolo completo: https://www.martinoroberto.com/news/shieldbreak-lexploit-che-aggira-la-patch-e-prende-system.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/shieldbreak-lexploit-che-aggira-la-patch-e-prende-system.html?utm_source=linkedin&utm_medium=social&utm_campaign=news Quello che mi colpisce di ShieldBreak non è tanto la tecnica in sé — sfruttare una finestra temporale tra scrittura e scansione è un trucco vecchio, solo applicato bene — quanto il fatto che dimostri ancora una volta quanto la parola «aggiornato» sia rassicurante e poco affidabile allo stesso tempo. Non è colpa di chi applica le patch: il problema è che una patch chiude una porta specifica, non rende un sistema invulnerabile, e nella pratica dei penetration test è proprio lì che casco spesso: sistemi perfettamente aggiornati, ma senza nessuno che controlli davvero cosa succede dopo che qualcuno è già dentro. Non ho una soluzione miracolosa per il mese che ci separa dalla patch di settembre, e forse è proprio questo il punto: se l'unica difesa che avete è "aspettiamo l'aggiornamento", vale la pena chiedersi cosa succederebbe se in quel mese qualcuno entrasse comunque. Voi, oggi, sapreste dire con certezza chi in azienda ha ancora privilegi che non gli servono? https://www.martinoroberto.com/img/news/shieldbreak-lexploit-che-aggira-la-patch-e-prende-system-og.png https://www.martinoroberto.com/news/spyware-mercenario-apple-avvisa-iphone-110-paesi.html https://www.martinoroberto.com/news/spyware-mercenario-apple-avvisa-iphone-110-paesi.html Wed, 26 Aug 2026 06:00:00 +0000 Apple avvisa migliaia di utenti iPhone in 110 Paesi di essere possibili bersagli di spyware sofisticati, usati anche contro giornalisti e attivisti in Italia. 👉 Articolo completo: https://www.martinoroberto.com/news/spyware-mercenario-apple-avvisa-iphone-110-paesi.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/spyware-mercenario-apple-avvisa-iphone-110-paesi.html?utm_source=linkedin&utm_medium=social&utm_campaign=news La prima reazione che sento più spesso, quando racconto notizie come questa, è "tanto io non sono nessuno, chi vuoi che mi spii" — e capisco perché: gli spyware mercenari sono pensati per bersagli di alto profilo, non per la persona comune. Il punto, secondo me, è che la stessa logica d'attacco prima o poi viene riusata anche contro chi non si sente affatto un bersaglio. Non lo so con certezza per ogni caso, ma ho visto più di una volta imprenditori convinti di essere irrilevanti scoprire, per caso, che la loro casella email era sotto controllo da mesi. Non credo serva allarmarsi per una notifica che nella maggior parte dei casi non riguarderà mai nessuno di voi. Ma se gestite dati sensibili — contratti, informazioni di clienti, trattative riservate — vale la pena valutare la modalità di isolamento sui dispositivi più esposti, e soprattutto non aspettare un avviso di Apple per iniziare a prendere sul serio la sicurezza del telefono. Chiedetevi piuttosto: se ricevessi quell'avviso domani, saprei davvero cosa fare, o lo chiuderei pensando che riguardi qualcun altro? https://www.martinoroberto.com/img/news/spyware-mercenario-apple-avvisa-iphone-110-paesi-og.png https://www.martinoroberto.com/news/il-ransomware-a-zanichelli-loescher-e-un-problema-di-tutte-le-pmi.html https://www.martinoroberto.com/news/il-ransomware-a-zanichelli-loescher-e-un-problema-di-tutte-le-pmi.html Tue, 25 Aug 2026 06:00:00 +0000 Qilin rivendica il furto di dati da Zanichelli e Loescher, storici editori scolastici italiani, minacciando la pubblicazione entro il 1° settembre 2026. 👉 Articolo completo: https://www.martinoroberto.com/news/il-ransomware-a-zanichelli-loescher-e-un-problema-di-tutte-le-pmi.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/il-ransomware-a-zanichelli-loescher-e-un-problema-di-tutte-le-pmi.html?utm_source=linkedin&utm_medium=social&utm_campaign=news Quello che mi fa riflettere di più in questa storia non è Qilin in sé, ma quanto sia comune pensare "chi vuoi che attacchi noi, mica siamo una banca" — e quanto spesso questo ragionamento si riveli sbagliato. Un editore scolastico non maneggia soldi come una banca, ma ha in pancia dati di scuole, insegnanti, magari anche minori: per chi fa ransomware non conta cosa produci, conta quanto sei disposto a pagare pur di non vederli online. Non so dire con certezza come sia avvenuto l'attacco in questo caso specifico — non lo hanno reso pubblico — ma la dinamica è quella che vedo ricorrere spesso: un accesso esposto, un fornitore con permessi troppo larghi, qualcosa di banale che nessuno aveva controllato. Se lavorate con dati di terzi — clienti, studenti, pazienti — la domanda che mi sembra più utile non è "pagherò il riscatto" ma "sono pronto a scoprire che i miei dati sono già fuori mentre ancora sto capendo cos'è successo". Backup offline testati, segmentazione, MFA, un piano scritto prima che serva: non garantisco che bastino sempre — nessuno può — ma fanno la differenza tra rialzarsi in due giorni o metterci mesi. https://www.martinoroberto.com/img/news/il-ransomware-a-zanichelli-loescher-e-un-problema-di-tutte-le-pmi-og.png https://www.martinoroberto.com/news/zimbra-sotto-attacco-attivo-la-tua-azienda-ha-ancora-la-falla-aperta.html https://www.martinoroberto.com/news/zimbra-sotto-attacco-attivo-la-tua-azienda-ha-ancora-la-falla-aperta.html Tue, 25 Aug 2026 06:00:00 +0000 Una vulnerabilità critica in Zimbra, corretta da un mese ma ancora attivamente sfruttata, permette di violare server di posta senza alcuna credenziale. 👉 Articolo completo: https://www.martinoroberto.com/news/zimbra-sotto-attacco-attivo-la-tua-azienda-ha-ancora-la-falla-aperta.html?utm_source=linkedin&utm_medium=social&utm_campaign=news https://www.martinoroberto.com/news/zimbra-sotto-attacco-attivo-la-tua-azienda-ha-ancora-la-falla-aperta.html?utm_source=linkedin&utm_medium=social&utm_campaign=news Questa storia mi capita di vederla ripetersi spesso, e ogni volta mi lascia lo stesso pensiero: raramente il problema è la tecnologia in sé, più spesso è che nessuno controlla se gli aggiornamenti vengono davvero applicati sui sistemi esposti su internet. Non voglio essere ingeneroso con chi gestisce questi sistemi — capisco che aggiornare un server di posta in produzione fa paura, e «funzionava, non si è voluto toccare nulla» è una scelta comprensibile nel breve termine. Il problema è che con un servizio SMTP raggiungibile da chiunque, un mese di ritardo è già troppo, e questo caso lo dimostra bene. Il consiglio pratico resta semplice: se usate Zimbra, controllate la versione e aggiornate almeno alla 10.1.20, disattivando nel frattempo le notifiche SNMP se non vi servono. Ma la domanda che mi porrei, più in generale, è: sapete davvero quali sistemi esposti su internet avete, e da quanto tempo non ne controllate gli aggiornamenti? https://www.martinoroberto.com/img/news/zimbra-sotto-attacco-attivo-la-tua-azienda-ha-ancora-la-falla-aperta-og.png