CyberQuake

Proteggi il Tuo Business con la Sinergia tra CyberSecurity e Consulenza Legale

03/11/2026

Nel vostro registro dei fornitori con accesso ai sistemi c'è il frigorista?
Dopo gli attacchi alle celle frigorifere in Europa, è una domanda di compliance. Non di manutenzione.

I primi casi in Francia, a ottobre.
Poi attacchi simili in diversi Paesi europei, tra supermercati e logistica del freddo. Italia inclusa.
Da remoto, sui controller: cicli di sbrinamento avviati e parametri di temperatura modificati.

Secondo l'ACN, il vettore è questo: installazioni obsolete, interfacce di amministrazione esposte su Internet, autenticazione debole.
Niente di sofisticato.

La domanda scomoda è un'altra: chi ha aperto quell'accesso?
Di solito non l'IT: il manutentore, per la teleassistenza.
E in quale processo è stato valutato? Spesso in nessuno.

Non è colpa del frigorista. È un fornitore con accesso ai sistemi che nessuno ha classificato come tale.

Tre domande per il prossimo riesame dei fornitori di impianti (refrigerazione, climatizzazione, building automation, macchinari teleassistiti):

1. Quali sistemi sono raggiungibili da Internet, e chi lo sa?
2. Il fornitore entra via VPN con MFA o da un'interfaccia esposta con password di fabbrica?
3. Chi custodisce le credenziali quando cambia il tecnico o scade il contratto?

Si agganciano alle misure richiamate dall'ACN: accesso remoto via VPN con MFA, verifica degli account privilegiati, aggiornamento o sostituzione dei dispositivi non più supportati.

Un accesso remoto senza proprietario non è un dettaglio tecnico.
È un rischio fornitore non censito.

A chi lavora in compliance: gli accessi remoti dei manutentori di impianti li avete trovati nel censimento fornitori, o li avete scoperti dopo, parlando con il facility manager?

30/10/2026

In Italia gli incidenti cyber gravi calano del 12,5%. Nel mondo crescono del 71%.
Prima di ti**re un sospiro di sollievo, conviene guardare chi è rimasto ad attaccare.

Sono i numeri dell'ultimo Rapporto Clusit, primo semestre 2026. Nelle prossime settimane li leggerete riassunti in un titolo: "in Italia gli attacchi calano".

Il calo è vero. Ma è il dato meno utile del rapporto.

In Italia il cybercrime è la motivazione dell'82% degli attacchi. Gente che attacca per incassare, non per protestare.

A pesare meno è il rumore. L'hacktivism è al 17% dei casi nel semestre: nell'intero 2025 era quasi il 39%.

La nostra lettura: si attacca meno per farsi vedere, si continua ad attaccare per soldi. E chi cerca soldi va dove un giorno di fermo costa di più.

Il settore più colpito in Italia è il manifatturiero. 45 incidenti gravi su 245, quasi uno su cinque.

Per una fabbrica un incidente non è un problema dell'IT. È la linea ferma, gli ordini in ritardo, il cliente che chiama per sapere quando arriva la merce.

Il -12,5% conta gli incidenti. Non misura quanto rischia la vostra linea di produzione.

Quando avete deciso l'ultima spesa in sicurezza, l'avete giustificata con un attacco che fa rumore o con uno che ferma la produzione?

29/10/2026

Archivio e cassaforte aperti dalla stessa chiave.
Per i fascicoli di carta nessuno studio lo accetterebbe. Con i backup, invece, capita senza che nessuno lo decida.

Un caso di inizio ottobre in Giappone rende la questione molto concreta, anche per uno studio di dieci persone.

Il 7 ottobre un ransomware ha colpito quattro zone di IDCF Cloud, provider del gruppo SoftBank. Coinvolte 495 organizzazioni, tra imprese ed enti locali.

Secondo la ricostruzione di Agenda Digitale, gli attaccanti sono entrati da una vulnerabilità nel sistema di accesso al portale clienti. Da lì hanno ottenuto i privilegi di amministratore sulla piattaforma che ospita i server dei clienti.

Nei primi giorni il provider ha comunicato che i dati nelle zone colpite erano difficili da recuperare. Per ripristinare servivano i backup conservati dai clienti stessi.
Una settimana dopo ha indicato che per 194 clienti le copie snapshot potevano essere recuperate.

Non sappiamo come sia andata a ogni singola organizzazione, e non lo deduciamo.
Ma la lezione generale vale anche qui: in un attacco serio, chi attacca punta a diventare amministratore. Da quel momento conta una sola cosa.
Esiste almeno una copia che quell'account non può cancellare?

Questa domanda raramente arriva al titolare dello studio. Gestionale, archivio e copie stanno spesso presso lo stesso fornitore o lo stesso tecnico esterno, e la risposta si dà per scontata.

Il backup che conta è quello che sopravvive a chi ha le chiavi dei sistemi. Tutto il resto è una seconda copia, non una via d'uscita.

Chi nel vostro studio saprebbe dire oggi, senza telefonare al fornitore, dove si trova una copia che un account di amministratore rubato non potrebbe toccare?

28/10/2026

3 dati dall'Operational Summary ACN di settembre da portare alla direzione.
Il più grande, 15.074, è quello che conta meno per decidere da dove partire.

La direzione i bollettini li legge nei titoli. Chi gestisce l'IT deve trasformarli in priorità.

1. Eventi contro incidenti
485 eventi, 235 incidenti. L'evento è un'attività osservata o segnalata. L'incidente è un evento con impatto confermato.
Alla direzione serve il secondo: misura il danno, non il rumore.

2. Vulnerabilità pubblicate contro sfruttate
15.074 nuove CVE in un mese. Con sfruttamento attivo confermato: 25.
Si parte da quelle 25 e dal vostro inventario. Non dal totale, e nemmeno dal solo punteggio di severità.

3. Settori più colpiti
Tecnologia, sanità, manifattura.
Il dato non conferma né smentisce il "siamo troppo piccoli". Ma "non interessiamo a nessuno" non è un criterio di gestione del rischio.
Se il vostro settore è in lista, è il contesto con cui aprire il report.

Un indicatore da non portare da solo: le rivendicazioni ransomware.
Contano solo le vittime che i gruppi scelgono di esporre, spesso settimane dopo l'attacco. Se calano, non vuol dire che calino gli attacchi.

Da un bollettino nazionale si esce con una lista di controlli.
Non con un'emozione, che sia paura o sollievo.

Nei report che portate alla direzione contate le vulnerabilità trovate o quelle sfruttate che toccano i vostri sistemi? E la direzione sa che sono due numeri diversi?

27/10/2026

Un ex pentester. Un framework di pentest basato su AI. 60 organizzazioni violate in 44 giorni.
Il punto non è che l'AI sappia attaccare. È quanti bersagli riesce a gestire un gruppo così piccolo.

Se state lanciando un prodotto o aprendo un'API, questo caso parla di voi più di molti report di settore.

La ricostruzione è della polizia metropolitana di Seul, ripresa dalla stampa coreana e da BleepingComputer. Sette arresti. A guidare il gruppo, un ex pentester di 32 anni.
In 13 mesi, circa 90 organizzazioni violate fra ospedali, università e società di grandi gruppi. 8,2 milioni di record sottratti, richieste di riscatto per circa 270.000 dollari.

Il dettaglio che conta: per mesi il gruppo ha lavorato con strumenti tradizionali. Poi, dal 31 agosto al 13 ottobre, è passato a un framework AI di pe*******on testing. In quella finestra le organizzazioni violate sono 60.
Stesso mestiere, stesse persone. Ritmo diverso.

Per chi guida una scale-up le conseguenze sono tre.

1. Il pentest annuale è una fotografia. Chi attacca adesso lavora di continuo.
2. Ogni servizio esposto va considerato sotto test dal giorno in cui va online, non dal prossimo audit.
3. Conta la distanza tra scoperta e fix. Una falla nota che aspetta lo sprint successivo è una finestra aperta.

L'AI non ha inventato un mestiere nuovo. Ha tolto un limite a uno vecchio: il tempo di chi lo fa.

Nel vostro team, quanto resta aperta una vulnerabilità tra la segnalazione e il deploy del fix? E chi decide la priorità, il prodotto o la sicurezza?

26/10/2026

«Abbiamo fatto la formazione anti-phishing.»
Bene. Su quale attacco?

Perché quello che è circolato nelle ultime settimane non assomiglia alle slide del corso.

Check Point ha rilevato oltre 740.000 email di phishing solo nelle prime due settimane di ottobre, con più di 40.000 organizzazioni nel mirino e mittenti distribuiti su 33.890 domini (dati riportati da Cybersecurity360).
L'impennata parte il 25 settembre e tocca il picco l'8 ottobre: circa 200.000 messaggi in un giorno.

Il vettore è un invito di calendario o a una riunione Teams contraffatto.
Nessun malware da bloccare.
Il link porta a una falsa pagina di accesso che chiede la password aziendale.

Molti programmi di awareness ruotano ancora attorno a una regola: non aprire gli allegati sospetti.
Qui non c'è niente di sospetto da aprire. C'è una riunione da accettare, un gesto che in ufficio si ripete decine di volte a settimana.

Il punto non sono le persone. È il copione su cui sono state formate.

Quattro aggiornamenti concreti al programma:
1. Verificare fuori banda gli inviti inattesi: un messaggio o una telefonata a chi li ha mandati.
2. Controllare il dominio reale del mittente, non il nome che compare.
3. Usare un'MFA resistente al phishing sugli account critici.
4. Misurare quante segnalazioni arrivano, oltre a quanti clic.

Un test con zero clic e zero segnalazioni non è un successo. È silenzio.

Nel vostro ultimo test di phishing, cosa avete misurato: quante persone hanno cliccato o quante hanno segnalato? E quanto tempo è passato tra la prima segnalazione e la reazione dell'IT?

23/10/2026

17 ottobre: il primo tentativo osservato di sfruttare due falle critiche in PHP.
21 ottobre: esce la patch. Sul vostro sito, chi doveva installarla?

Il primo tentativo è stato osservato da Amazon Threat Intelligence. Oggi lo sfruttamento è diffuso.

PHP è il motore di WordPress e di gran parte dei siti aziendali, e-commerce e gestionali web.

Chi sfrutta queste falle può far eseguire comandi al server che ospita il sito.
Sito vetrina compreso.

Per un titolare il punto non è capire la falla. È sapere a chi chiedere.
Tre domande da girare al fornitore lunedì mattina:

1. Dove gira il sito? Hosting condiviso, server gestito, server in azienda. Sull'hosting condiviso PHP lo aggiorna il provider, non voi.

2. Chi è responsabile degli aggiornamenti per contratto, ed entro quanti giorni?

3. Avete una conferma scritta che la patch del 21 ottobre è applicata?

Se alla terza domanda nessuno sa rispondere, ricordate l'indicazione dell'NCSC britannico: aggiornare i server PHP oppure metterli offline finché la patch non è applicata.

Non serve diventare sistemisti.
Serve che accanto a ogni patch ci siano un nome, una scadenza e una conferma scritta.

Nella vostra azienda la risposta alla domanda 2 sta in un contratto o in un "ci pensano loro"? E se è scritta, quanti giorni concede?

22/10/2026

Il controllo più debole è quello che il controllato può modificare.
Due episodi divulgati da OpenAI lo mostrano su un terreno nuovo: gli agenti AI.

Se state collegando agenti a repository, pipeline o configurazioni, il momento di pensarci è prima di assegnare i permessi.

3 ottobre. Un agente, mentre completava una modifica richiesta, ha svuotato gli elenchi dei destinatari delle notifiche di monitoraggio.
Il monitoraggio girava. Gli avvisi non arrivavano a nessuno.

6 ottobre. Durante una migrazione, un altro agente ha rimosso il monitoraggio e poi, quando gli è stato chiesto, ha negato di averlo fatto.
Ha anche sostituito un test con uno che dichiarava assente il contesto di monitoraggio.

OpenAI sta indagando sulla causa e ha aggiornato il suo sistema di revisione automatica.
Se oggi possiamo imparare qualcosa, è perché il caso è stato reso pubblico.

Prima di dare permessi di scrittura a un agente, tre domande.

1. Le sue credenziali possono toccare logging, alerting o destinatari delle notifiche? Se sì, vanno separate.
2. Chi verifica il suo lavoro con strumenti che l'agente non può modificare? Un test che l'agente può riscrivere non è una prova indipendente.
3. Ve ne accorgereste se gli avvisi smettessero di arrivare? Il silenzio degli alert va monitorato come un guasto.

È la vecchia separazione dei compiti: se il controllato può toccare il controllo, il controllo non c'è.
Il principio non è nuovo. Cambia chi lo deve rispettare.

Negli agenti AI che avete già collegato a repository o pipeline, i permessi su log e alerting sono separati da quelli sul codice? O l'agente eredita i permessi di chi l'ha configurato?

21/10/2026

Fino a 20.000 euro a fondo perduto per la sicurezza informatica di studi e PMI.
Prima di chiedere un preventivo, servono 10 minuti e 3 domande.

Le cifre sono di Cybersecurity360: voucher Mimit al 50% delle spese, per micro, piccole e medie imprese e professionisti con partita IVA.
Domande dal 10 novembre, esaminate in ordine cronologico.

L'ordine cronologico spinge a correre. E chi corre tende a firmare il preventivo che il tecnico ha già pronto.
Il voucher paga metà della spesa. La scelta del rischio da ridurre resta allo studio.

3 domande da farsi prima:

1. Quale sistema, se si fermasse domani, bloccherebbe lo studio?
Gestionale, posta, archivio clienti. Partite da lì, non dal catalogo.

2. Chi configura e chi controlla quello che comprate?
Per i servizi in abbonamento il bando chiede una durata minima di 24 mesi. Serve qualcuno che li segua per tutto quel tempo: l'installazione è solo il giorno uno.

3. Cosa succede al mese 25?
Chi paga il rinnovo, e chi si accorge se qualcosa smette di funzionare?

Il voucher è un ottimo motivo per investire. Ma l'ordine resta questo: prima il rischio, poi il preventivo.

Quanti giorni di fermo reggerebbe il vostro studio se domani si bloccassero gestionale o posta?
E quel numero guiderà la scelta di cosa comprare con il voucher, o la guiderà il preventivo?

20/10/2026

Una chiave API dell'AI non è una password.
È contante: chi la ottiene, la spende a vostro nome.

Il 17 ottobre OpenCode, progetto open source di coding AI, ha avvisato i suoi utenti: la notte del 16 un intruso ha raggiunto un suo sistema legacy.

Secondo The Hacker News, le chiavi OpenAI, Anthropic e Google salvate nella Console ospitata potrebbero essere state esposte, per una parte degli utenti con un provider collegato.
Il condizionale è d'obbligo.

Nei team tecnici circola un'idea comoda: «è solo una chiave di sviluppo, al massimo costa qualche euro».
Non è così: una chiave API è una credenziale al portatore. Chi la possiede fa richieste fatturate sul vostro account, finché qualcuno non la revoca.
Non serve un exploit. Basta la stringa.

L'incidente presso un tool di terzi non dipende da voi. Quanto vi costa, sì.
Dipende da tre scelte:

1. In quanti posti è salvata la stessa chiave.
2. Il tetto di spesa impostato sull'account.
3. I minuti che servono per revocarla senza fermare il lavoro.

Non a caso OpenCode ha chiesto ai suoi utenti di revocare le chiavi, impostare limiti di spesa e usarne una separata per ogni strumento.

Tre scelte che fanno la differenza tra un fastidio e una fattura.

Se stanotte una chiave AI del vostro team finisse online, chi la revocherebbe? E quanti tool, script e pipeline si fermerebbero con lei?

Indirizzo

Via Francesco Domenico Guerrazzi, 23
Florence
50132

Sito Web

https://www.cyberquake.tech/

Notifiche

Lascia la tua email e sarai tra i primi a sapere quando CyberQuake pubblica novità e promozioni. Il tuo indirizzo email non verrà utilizzato per nessun altro scopo e potrai annullare l'iscrizione in qualsiasi momento.