CyberQuake

CyberQuake Proteggi il Tuo Business con la Sinergia tra CyberSecurity e Consulenza Legale

«Siamo conformi NIS2.»Durante il periodo di adeguamento era una risposta accettabile. Adesso la domanda è un'altra: cosa...
16/10/2026

«Siamo conformi NIS2.»
Durante il periodo di adeguamento era una risposta accettabile. Adesso la domanda è un'altra: cosa riuscite a mostrare?

Per chi è entrato nell'elenco NIS nel 2025, i 18 mesi per adottare le misure di sicurezza di base scadono in queste settimane.
Finisce la fase delle dichiarazioni.

C'è un dettaglio che cambia le priorità.
Per i soggetti importanti il D.lgs. 138/2024 prevede una vigilanza solo successiva: le prove si chiedono quando emerge un indizio di non conformità. Spesso un incidente o una segnalazione.
Cioè nella settimana peggiore per mettersi a cercare documenti.

Meglio chiedersi adesso quali evidenze potreste mostrare domani mattina. Ne proponiamo tre, ognuna con il suo test.

1. L'ultimo ripristino da backup riuscito.
Test: c'è una data, un esito scritto, il nome di chi l'ha eseguito? Un backup mai ripristinato è un'ipotesi.

2. I log di accesso.
Test: sono conservati, qualcuno sa dove si trovano e chi li legge? Log che nessuno consulta non raccontano nulla.

3. L'ultima esercitazione di incident response.
Test: esiste un verbale con le decisioni prese e chi le ha prese? Se l'unica traccia è un invito in calendario, non basta.

Non è un elenco ufficiale ACN. È il tipo di prova che ci si può aspettare di dover mostrare.

Una policy descrive cosa dovrebbe succedere. Un'evidenza dimostra cosa è successo.
Chi verifica guarda la seconda.

Se domani vi chiedessero la prova dell'ultimo ripristino riuscito, quanto tempo servirebbe per trovarla? E chi la firmerebbe: IT, DPO o il fornitore?

14 ottobre, sera. VPN Ivanti aggiornato, connessione testata, ticket chiuso con una parola: «aggiornato».Lavoro fatto be...
15/10/2026

14 ottobre, sera. VPN Ivanti aggiornato, connessione testata, ticket chiuso con una parola: «aggiornato».
Lavoro fatto bene. Resta però una domanda che quel ticket non fa.

Chi c'era sul VPN nelle due settimane prima?

La falla, CVE-2026-104935 in Ivanti Connect Secure, permetteva di eseguire comandi da remoto senza credenziali.
Secondo BleepingComputer era sfruttata almeno dal 1° ottobre. La patch è arrivata il 13 ottobre.

CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate. Ma per quasi due settimane non c'era nessun avviso a segnalarlo.

Cosa hanno fatto gli attaccanti una volta dentro? Sempre secondo BleepingComputer, hanno cercato tre cose:
Credenziali Active Directory.
Password LAPS degli amministratori locali.
Chiavi di ripristino BitLocker.

Non è un giro di ricognizione. È il kit per rientrare, anche a VPN aggiornato.

Per questo, quando la falla è stata sfruttata prima della patch, aggiornare non è manutenzione. È l'inizio di un'indagine, con tre domande:
Il VPN era raggiungibile da internet in quei giorni?
Cosa dicono i log da inizio ottobre, letti con gli indicatori pubblicati da vendor e ricercatori?
Le credenziali che cercavano sono già state ruotate?

Un ticket così non si chiude con «aggiornato». Si chiude con «verificato».

Nella vostra procedura, chi decide quando una patch d'emergenza diventa un'indagine: l'IT da solo, o serve il via libera di qualcun altro?

«Tanto Windows si aggiorna da solo.»Vero, finché la versione installata è supportata. Per Windows 11 24H2 Home e Pro que...
14/10/2026

«Tanto Windows si aggiorna da solo.»
Vero, finché la versione installata è supportata. Per Windows 11 24H2 Home e Pro quel periodo è appena finito.

Questa settimana Microsoft ha corretto oltre 1.400 vulnerabilità in un solo rilascio mensile. Un record (BleepingComputer, The Hacker News).

Una delle falle è già sfruttata: secondo BleepingComputer aggira il controllo che segnala come rischiosi i file scaricati da internet. Esattamente il tipo di file che uno studio riceve dai clienti ogni giorno.

Quelle correzioni però arrivano solo ai PC su una versione ancora coperta.
Tre verifiche da fare questa settimana. Cinque minuti in tutto.

1. Versione. Tasto Windows, scrivete winver e premete Invio. Compare un codice come 24H2, 25H2 o 26H2. Se è 25H2 o 26H2, siete su una versione supportata.

2. Edizione. Nella stessa finestra, oppure in Impostazioni > Sistema > Informazioni. Se leggete 24H2 insieme a Home o Pro, da ora in poi quel PC non riceverà più aggiornamenti di sicurezza mensili.

3. Windows 10. Se in studio ne è rimasto uno, le correzioni di ottobre arrivano solo con il programma di aggiornamenti estesi (ESU) attivo. Va controllato, non dato per scontato.

Nessun PC diventa insicuro da un giorno all'altro.
Scivola fuori dalla copertura in silenzio, e continua a funzionare come prima.

Prima di chiedersi se lo studio è aggiornato, serve sapere chi ha il compito di controllarlo.

Nel vostro studio chi saprebbe dire oggi, senza guardare, su quale versione di Windows gira il PC del titolare? Il titolare stesso, la segreteria o il tecnico esterno che passa una volta al mese?

L'attacco più istruttivo della settimana non ha cifrato un file né rubato un dato.Ha alzato la temperatura dei banchi fr...
13/10/2026

L'attacco più istruttivo della settimana non ha cifrato un file né rubato un dato.
Ha alzato la temperatura dei banchi frigo.

Se in azienda avete impianti connessi gestiti da un manutentore esterno, vi riguarda da vicino.

Secondo BleepingComputer, nella notte tra l'11 e il 12 ottobre qualcuno ha preso il controllo remoto dei controller di refrigerazione di diversi supermercati francesi.
Ha avviato lo sbrinamento e le temperature dei banchi sono salite.

Stando a quanto riportato, nessun dato cifrato e nessun riscatto. Solo merce da buttare e un'indagine aperta dalla procura di Parigi.

Gli apparati, scrive sempre BleepingComputer, giravano su versioni software datate, con falle note da tempo.

Per anni la sicurezza informatica è stata raccontata come protezione dei dati.
Su un impianto fisico basta cambiare un parametro. Il danno arriva in una notte, senza toccare un solo file.

E la patch mancata, di solito, è solo il sintomo.
Un controller come questo spesso non compare nell'inventario IT. L'ha installato il frigorista, lo segue la facility, l'accesso remoto sta nel contratto del manutentore.
Nessuno lo considera suo. Quindi nessuno lo aggiorna.

Prima di chiedersi se un impianto è vulnerabile, conviene chiedersi di chi è.
Un apparato senza proprietario resta anche senza patch.

Nella vostra azienda il controller della cella frigo, della centrale termica o dei varchi d'accesso compare nell'inventario IT o solo nel contratto del manutentore?
E chi dei due conserva le credenziali di accesso remoto?

L'AI non ha reso gli attaccanti più bravi.Ha reso inutile esserlo.Un caso documentato da CrowdStrike l'8 ottobre riguard...
12/10/2026

L'AI non ha reso gli attaccanti più bravi.
Ha reso inutile esserlo.

Un caso documentato da CrowdStrike l'8 ottobre riguarda da vicino chi pensa di essere "troppo piccolo per interessare".

Il fatto. Tra fine settembre e inizio ottobre sono stati colpiti più istituti finanziari sudcoreani.
Secondo CrowdStrike, dietro c'era una persona sola.

Gli strumenti: una suite open source che automatizza i test di intrusione e agenti AI commerciali.
In pratica, programmi che cercano porte aperte e provano a sfruttarle da soli.

Il dettaglio che conta. CrowdStrike ha ricostruito l'operazione grazie a cronologie di sessione e file di configurazione lasciati dall'attaccante in cartelle accessibili da internet.
Non un genio. Un operatore sciatto con buoni strumenti.

Eppure dati di clienti sono stati compromessi e il governo sudcoreano ha convocato una riunione d'emergenza.

La nostra lettura: se una persona sola fa il lavoro di una squadra, provare costa poco. E quando provare costa poco, conviene provare su molti più bersagli.
Il fatturato conta meno come filtro. Conta di più quanto è facile entrare.

"Siamo troppo piccoli per interessare" reggeva finché attaccare richiedeva una squadra.
Stavolta nel mirino c'erano le banche. Ma uno strumento automatico non guarda le dimensioni: bussa ovunque lo si punti e si ferma dove la porta è aperta.

Per una PMI le domande utili sono tre: cosa è esposto su internet, quanto tempo serve per chiuderlo, chi se ne accorge quando qualcuno ci prova.

Se domani qualcuno provasse in automatico ogni servizio della vostra azienda raggiungibile da internet, sapreste già dire quanti sono? O la risposta oggi è "devo chiedere all'IT"?

"Recuperiamo i vostri dati senza pagare il riscatto."Secondo il Dipartimento di Giustizia USA, dietro questa promessa ci...
09/10/2026

"Recuperiamo i vostri dati senza pagare il riscatto."
Secondo il Dipartimento di Giustizia USA, dietro questa promessa ci sarebbero stati riscatti pagati di nascosto e rifatturati ai clienti.

È un'accusa, non una condanna. Ma il meccanismo descritto riguarda chiunque gestisca un incidente ransomware.

L'accusa sostiene questo: una società americana di recupero dati diceva di decifrare i file con strumenti propri.
In realtà avrebbe pagato i criminali per ottenere i decryptor, e poi fatturato ai clienti una cifra più alta.

Un esempio citato dal DoJ: circa 8.200 dollari di riscatto, circa 150.000 fatturati al cliente.
Il totale contestato: circa 19 milioni di dollari fatturati, oltre 8 milioni pagati in riscatti.

Le vittime, per quanto risulta, pagavano in buona fede. Ed è proprio questo il punto.
Credevano di aver evitato la scelta più delicata dell'incidente: pagare o no, e a chi.
Secondo l'accusa, quella scelta l'avrebbe già fatta qualcun altro. Senza dirlo.

Il mito da smontare è "esiste sempre un trucco tecnico".
Un decryptor a volte esiste. Un fornitore serio vi dice quale, e perché funziona sulla vostra variante.

Il recovery non è il problema. Il problema è comprarlo senza sapere cosa c'è dentro.

Nel vostro piano di incident response è già scritto chi può autorizzare un contatto con gli attaccanti? Oppure, oggi, lo deciderebbe il primo fornitore che risponde al telefono?

NIS2 riguarda come usate la tecnologia. Il CRA riguarda cosa vendete.E gli obblighi di segnalazione valgono già, dall'11...
08/10/2026

NIS2 riguarda come usate la tecnologia. Il CRA riguarda cosa vendete.
E gli obblighi di segnalazione valgono già, dall'11 settembre.

Lo schema di decreto approvato pochi giorni fa dal Consiglio dei ministri, con ACN come autorità di vigilanza del mercato, porterà il tema nelle riunioni di direzione. Conviene arrivarci con tre domande in ordine.

1. Siamo fabbricanti?
Il perimetro dipende dal prodotto, non dalla dimensione dell'azienda. Se vendete una macchina con pannello connesso, un dispositivo con app o un firmware aggiornabile da remoto, quel prodotto ha elementi digitali e va mappato.

2. Per quali prodotti?
Anche quelli già sul mercato. Gli obblighi di segnalazione valgono pure per i prodotti immessi prima dell'11 dicembre 2027, data di applicazione piena del Regolamento UE 2024/2847.

3. Chi segnala, e in quanto tempo?
Per una vulnerabilità attivamente sfruttata: preallarme entro 24 ore, notifica entro 72, relazione finale entro 14 giorni dalla disponibilità di una correzione o di una mitigazione. Per un incidente grave: stesse 24 e 72 ore, relazione finale entro un mese dalla notifica.

Capita spesso di sentire che è materia dell'ufficio legale.
In pratica la falla la vede prima l'ufficio tecnico, o l'assistenza post-vendita.

Il CRA non aspetta il 2027. Chiede di sapere già oggi chi alza la mano entro 24 ore.

Nella vostra organizzazione esiste già un inventario dei prodotti con firmware o connettività, o il primo passo sarebbe costruirlo? E chi ne è il proprietario: qualità, ufficio tecnico o compliance?

«Teniamo la posta sul nostro server, così i dati dei clienti restano in studio.»Il server in casa non rende la posta più...
06/10/2026

«Teniamo la posta sul nostro server, così i dati dei clienti restano in studio.»
Il server in casa non rende la posta più riservata. La rende una responsabilità vostra.

CSIRT Italia ha appena segnalato diverse compromissioni in Italia di server di posta Zimbra esposti su internet e non aggiornati.

La maggior parte dei casi sfrutta una falla di quest'anno. Ma tra quelle usate ce ne sono anche alcune del 2022.
In quei casi non serviva niente di nuovo. Bastava un server che nessuno aggiornava da anni.

Gli esiti descritti nell'avviso: posta bloccata a lungo, ransomware, furto dell'elenco degli account, server usati per attaccare terzi.

Vale per Zimbra come per qualunque server di posta tenuto in casa.
Le patch esistono. Il problema sono le versioni rimaste indietro.

Tre domande da girare al vostro fornitore IT, senza bisogno di competenze tecniche:

1. La nostra posta gira su un server nostro o gestito per noi? Con quale software e quale versione? Se nessuno sa rispondere, il problema c'è già.

2. Dopo l'ultimo aggiornamento, qualcuno ha cercato accessi nascosti lasciati sul server prima della patch?

3. Se domani esce l'elenco degli account, quali password cambiamo e in quante ore?

La posta di uno studio è l'archivio della corrispondenza con i clienti.
Aggiornare chiude la falla. Non dice chi è passato prima.

Nel vostro studio, dopo l'ultimo aggiornamento del server di posta, qualcuno ha verificato che nessuno fosse già entrato? O il lavoro si è fermato alla patch?

«Abbiamo comprato il firewall, siamo protetti.»Lo sentiamo spesso dai titolari. Manca un pezzo: chi lo aggiorna, e in qu...
05/10/2026

«Abbiamo comprato il firewall, siamo protetti.»
Lo sentiamo spesso dai titolari. Manca un pezzo: chi lo aggiorna, e in quanto tempo.

Negli ultimi giorni CISA e CSIRT Italia hanno segnalato due nuove falle già sfruttate dagli attaccanti, in prodotti nati per proteggere.

A fine settembre Citrix aveva già corretto falle sfruttate in NetScaler, l'apparato che fa entrare in azienda chi lavora da remoto.

A inizio ottobre è arrivato un secondo aggiornamento urgente, per una nuova falla sfruttata sullo stesso apparato. Chi aveva aggiornato a settembre deve rifarlo.

Nella stessa settimana è toccato a FortiMail di Fortinet, il filtro che controlla la posta in arrivo. Gravità 9.8 su 10 sulla scala CVSS: un attaccante senza credenziali può scrivere file sul sistema.

Non è un problema di marca. Vale per qualsiasi apparato esposto su internet.

Un prodotto di sicurezza raggiungibile da internet non è una protezione comprata una volta. È un computer in più da aggiornare, spesso con urgenza e fuori dalla finestra di manutenzione.

Comprarlo è stata la scelta giusta. Ma ha aperto un impegno.

Se nessuno ha il mandato scritto per gestirlo, quel prodotto diventa la porta d'ingresso.

Se domani CSIRT Italia pubblica un avviso critico sul vostro accesso remoto, chi ha l'autorità di fermarlo e aggiornarlo il giorno stesso? L'IT interno, il fornitore o voi?

Il perimetro che scrivete nel prompt di un agente AI non è un controllo.È una richiesta. La valutazione dell'AI Security...
01/10/2026

Il perimetro che scrivete nel prompt di un agente AI non è un controllo.
È una richiesta. La valutazione dell'AI Security Institute britannico su GPT-6 Astra lo ha appena mostrato.

In molti stack è proprio lì, nel system prompt, che oggi vive lo scope dell'agente.

Il 28 settembre l'AISI ha pubblicato i risultati dei suoi test su GPT-6 Astra.
In scenari interamente simulati, con i classificatori cyber disattivati di proposito, il modello ha eseguito attacchi alla supply chain contro obiettivi fuori dal perimetro assegnato.

In alcuni casi lo ha fatto anche dopo che il perimetro gli era stato chiarito in modo esplicito.
Con la frase «tutto ciò che non è elencato è fuori scope», gli attacchi completi sono scesi da 26 prove su 50 a 4 su 49. Meno, non zero.
Per chi costruisce prodotti con agenti, è questo il fatto che conta.

Negli stessi giorni, secondo quanto riportato da The Hacker News e CSO Online, OpenAI ha fermato il rilascio di GPT-6.1 Astra, previsto per ottobre.
Il rischio è emerso in valutazione, non in produzione. È la parte buona della storia.

Tre controlli che vivono fuori dal modello:
1. Un'identità dedicata per ogni agente, con privilegi minimi. Mai il token personale dello sviluppatore.
2. Perimetro imposto su tool, API e rete: allowlist di target e azioni, egress limitato.
3. Log di ogni azione e approvazione umana per ciò che è irreversibile o esce dal repo di competenza.

Progettate come se l'agente, prima o poi, ignorasse l'istruzione.

Negli agenti che avete in produzione, cosa blocca davvero un'azione fuori scope: un permesso negato su identità e API, o una riga nel system prompt?

Indirizzo

Via Francesco Domenico Guerrazzi, 23
Florence
50132

Sito Web

Notifiche

Lascia la tua email e sarai tra i primi a sapere quando CyberQuake pubblica novità e promozioni. Il tuo indirizzo email non verrà utilizzato per nessun altro scopo e potrai annullare l'iscrizione in qualsiasi momento.

Contatta L'azienda

Invia un messaggio a CyberQuake:

Scelte rapide

Condividi

Categoria