Nella settimana tra il 5 e l'11 settembre 2026 il CERT-AGID ha analizzato 170 campagne malevole, 136 delle quali rivolte esplicitamente a bersagli italiani, mettendo a disposizione degli enti accreditati 1.391 indicatori di compromissione. Venti temi diversi in sette giorni. La settimana precedente il conto era di 137 campagne, 110 italiane, 18 temi.
Guardando l'elenco dei temi, però, non si trova niente che somigli a un attacco particolarmente sofisticato. Rimborsi, multe, rinnovi di dominio e di hosting, fatture, ordini, preventivi. Il solo tema "rimborso" vale 65 campagne italiane, in crescita rispetto alle 41 della settimana precedente.
È "materiale noioso". Ed è precisamente il motivo per cui continua a funzionare.
La plausibilità batte la sofisticazione
Per entrare in un'azienda italiana non serve sempre uno zero-day. Serve che l'email arrivi in un momento in cui sembra ragionevole che arrivi.
I temi che nelle ultime due settimane hanno veicolato malware verso bersagli italiani sono fattura, ordine, preventivo, pagamenti, documenti: le parole con cui un'azienda lavora tutto il giorno.
Nella settimana del 5-11 settembre il CERT-AGID ha rilevato una campagna italiana a tema "Fattura" che distribuiva NeptuneRat tramite allegati ZIP, mentre Remcos girava su "Fattura", "Documenti" e "Pagamenti" con archivi ZIP, RAR e XLS.
E c'è il caso che mostra dove va a finire tutto questo. Sempre nella settimana del 5-11 settembre il CERT-AGID ha individuato una campagna che imitava il Registro delle Imprese: il sito fraudolento raccoglieva ragione sociale, codice fiscale e IBAN delle aziende italiane e dei loro responsabili. Vale la pena fermarsi su quell'elenco di campi, perché non è furto di identità generico, è materia prima per una frode sui pagamenti. Chi dispone di quei tre dati ha già metà del lavoro fatto per confezionare una richiesta credibile di aggiornamento delle coordinate bancarie da mandare a un cliente o a un fornitore.
Perché una soluzione globale non la vede arrivare
Le piattaforme di sicurezza più diffuse nelle aziende italiane sono, giustamente, soluzioni globali. E una soluzione globale trae la propria forza dai numeri: osserva il traffico di mezzo mondo e riconosce un fenomeno non appena questo raggiunge una massa sufficiente. È un vantaggio enorme su tutto ciò che è massivo, dalle famiglie di malware note alle infrastrutture riutilizzate su decine di Paesi insieme.
Su un caso nazionale specifico, però, quei numeri sono inevitabilmente più piccoli. Meno campioni, concentrati su un solo mercato, significano che l'aggiornamento della copertura arriva più tardi. Non perché manchi qualcosa al motore, ma perché la soglia che fa scattare una firma globale si raggiunge più lentamente quando i casi osservati sono pochi.
Un dettaglio annotato dal CERT-AGID sulle campagne a tema Agenzia delle Entrate rende l'idea: i domini fraudolenti vengono registrati con cadenza giornaliera. Un'infrastruttura che si rinnova ogni ventiquattro ore, distribuita su volumi nazionali e costruita attorno a un'esca che ha senso solo entro i confini italiani, lascia pochi campioni dietro a ciascun indicatore. Quando il quadro è abbastanza consolidato da diventare una firma, spesso la campagna è già passata alla successiva.
La conseguenza pratica non è che quelle piattaforme servano a poco: è che danno il meglio quando qualcuno le contestualizza. Serve un presidio locale che intercetti le campagne nuove sul territorio, le analizzi e ne ricavi logiche di rilevamento specifiche, coprendo la finestra temporale che il livello globale, da solo, fatica a chiudere. E per farlo servono due cose insieme: la tecnologia per scrivere e applicare regole proprie, e il rapporto con i vendor che lo renda possibile.
Dalla campagna osservata alla regola in produzione
È lo spazio in cui lavoriamo. I nostri team di Cyber Threat Intelligence e Threat Research osservano il perimetro italiano e scompongono le campagne che ci passano davanti: tema dell'esca, infrastruttura di appoggio, catena di consegna, artefatto che arriva sull'endpoint.
Da quell'analisi ricaviamo indicatori di compromissione, che validiamo e facciamo confluire nella nostra tecnologia di Threat Intelligence e Detection Engineering. Da lì prendono due strade.
La prima è preventiva. Gli IoC alimentano i sistemi di blocco perimetrali, firewall e apparati di rete, aumentando il numero di connessioni fermate prima che qualcosa arrivi sull'endpoint.
La seconda è di rilevamento. I BIoC diventano regole comportamentali da applicare sulla telemetria degli endpoint, per intercettare la catena di compromissione nei casi in cui il blocco preventivo non sia scattato. È qui che entra Halo, la nostra piattaforma di Detection Engineering: lavora sulla telemetria completa degli endpoint e permette di scrivere e applicare regole nostre invece di dipendere unicamente dalle logiche native del vendor.
Una copertura globale e una locale
Il risultato non è raddoppiare gli allarmi da analizzare. È avere, sugli stessi endpoint, una copertura globale e una copertura locale.
La prima è quella nativa del vendor EDR, che resta essenziale. La seconda è quella che scriviamo noi sulle campagne italiane osservate quotidianamente. Non sono ridondanti, perché intervengono in momenti diversi: si coprono a vicenda proprio dove ciascuna è più lenta.
Lo stesso schema vale un livello prima, sulle difese preventive. Firewall e apparati di rete lavorano con le liste di reputazione del vendor, costruite sul traffico mondiale; gli indicatori che ricaviamo dalle campagne italiane si sommano a quelle liste invece di sostituirle. Anche qui convivono due logiche: una copertura ampia che ferma il fenomeno globale e una copertura stretta, aggiornata su ciò che sta circolando in Italia in questi giorni.
Cosa cambia, in concreto
Sui tempi. Quando compare una nuova campagna a tema italiano, il ciclo tra "osservata" e "regola in produzione" si misura in ore. Non serve attendere che il fenomeno diventi abbastanza grande da meritare una signature globale.
Sul rumore. Più regole non significa più allarmi. La correlazione aggrega eventi multipli in un unico alert rilevante e il team SecOps valida ogni segnalazione prima di portarla al cliente.
Sul contesto. Una regola scritta sul comportamento di una campagna reale, osservata su aziende simili alla tua, invecchia meglio di un indicatore statico.
La domanda giusta
La formazione serve, ma non scala all'infinito. Prima o poi qualcuno apre un allegato che sembrava una fattura, e lo fa in buona fede, perché quella mattina la fattura sembrava plausibile.
La domanda operativa, quindi, non è se accadrà. È quanto tempo passa tra il clic e il primo alert, e se quell'alert arriverà da qualcuno che sta guardando il mondo o da qualcuno che sta guardando anche l'Italia.