<?xml version="1.0" encoding="UTF-8"?><rss xmlns:dc="http://purl.org/dc/elements/1.1/" xmlns:content="http://purl.org/rss/1.0/modules/content/" xmlns:atom="http://www.w3.org/2005/Atom" version="2.0"><channel><title><![CDATA[Topics tagged with socialengineeri]]></title><description><![CDATA[A list of topics that have been tagged with socialengineeri]]></description><link>https://forum.androidiani.net/tags/socialengineeri</link><generator>RSS for Node</generator><lastBuildDate>Thu, 18 Jun 2026 23:50:28 GMT</lastBuildDate><atom:link href="https://forum.androidiani.net/tags/socialengineeri.rss" rel="self" type="application/rss+xml"/><pubDate>Mon, 08 Jun 2026 18:16:34 GMT</pubDate><ttl>60</ttl><item><title><![CDATA[Luna Moth incassa 20 milioni di dollari da Weil Gotshal &amp; Manges: il gruppo entra fisicamente negli uffici per rubare dati]]></title><description><![CDATA[Si parla di:ToggleWeil, Gotshal &amp; Manges — una delle law firm più influenti al mondo, con un portafoglio clienti che include le maggiori transazioni M&amp;A e contenziosi corporate degli Stati Uniti — ha corrisposto tra 18 e 20 milioni di dollari al gruppo di estorsione noto come Luna Moth, Silent Ransom Group o UNC3753. Il pagamento è avvenuto nell’arco di tre giorni dalla richiesta. Contemporaneamente, l’FBI ha emesso un alert FLASH — il secondo in dodici mesi su questo attore, il primo a livello FLASH — documentando un’escalation tattica senza precedenti: il gruppo ora invia operativi fisici negli uffici delle vittime.Chi è Luna Moth / Silent Ransom GroupLuna Moth è attiva dal 2022 e affonda le proprie radici nelle operazioni BazarCall, un’infrastruttura di phishing telefonico che fino alla primavera di quell’anno aveva fornito accesso iniziale alle operazioni ransomware di Ryuk e Conti. Dopo il collasso di Conti (aprile 2022), il nucleo operativo si è separato dando vita al Silent Ransom Group, che ha abbandonato il modello tradizionale di ransomware con cifratura dei sistemi in favore di pura estorsione via data theft.Il modello economico è cinico ma efficace: non cifrare i sistemi delle vittime significa non bloccare l’operatività aziendale (il che riduce la pressione a chiamare le forze dell’ordine) e concentrarsi sulla minaccia più cogente per le law firm — la pubblicazione di documenti riservati dei clienti. Secondo la società di sicurezza Halcyon, tra il 2025 e l’inizio del 2026 si contano oltre 200 incidenti ransomware/estorsione ai danni di studi legali, con il SRG protagonista indiscusso della verticalizzazione su questo settore.Il caso Weil Gotshal: cronologia e dettagliSecondo il reporting esclusivo di The Insurer, Luna Moth ha ottenuto accesso a un numero non specificato di documenti riservati dei clienti di Weil, Gotshal &amp; Manges e li ha caricati su un’infrastruttura cloud esterna senza autorizzazione. La richiesta di riscatto — definita “suppression payment” — ammonta a una cifra tra 18 e 20 milioni di dollari. Il pagamento sarebbe stato effettuato entro tre giorni dalla richiesta.Weil ha confermato l’incidente in una dichiarazione ufficiale, specificando che “un attore malintenzionato ha caricato senza autorizzazione un numero limitato di documenti clienti su una risorsa cloud esterna”. La firma ha aggiunto che i forensic specialist ingaggiati non hanno trovato prove di penetrazione nella rete interna e che non è stata rilevata attività non autorizzata nei monitoraggi successivi. La società ha notificato i clienti i cui dati sono stati coinvolti e ha comunicato di aver allertato le forze dell’ordine. Il pagamento del riscatto non è stato confermato da Weil.L’impatto reputazionale è comunque significativo: una law firm che gestisce transazioni miliardarie e contenziosi sensibili è per definizione un target ad altissimo valore per chi punta alla pubblicazione di informazioni riservate. Secondo EclecticIQ, il SRG ha già pubblicato dati di oltre 38 studi legali sul proprio leak site, con un totale di incidenti che supera i 100.L’escalation tattica: dal vishing all’infiltrazione fisicaL’elemento più allarmante documentato dall’alert FLASH dell’FBI (numero FLASH-20260526-01) è l’evoluzione della kill chain del SRG, che si è articolata in tre generazioni tattiche distinte.Fase 1 (2022-2024) — Callback phishing: invio massivo di email che impersonano servizi di subscription con un numero telefonico da chiamare per “risolvere il problema”. L’operatore al telefono — che finge di essere il supporto del servizio — convince la vittima a installare un tool di remote monitoring and management (RMM) da un sito fake dell’helpdesk. Non ci sono link o allegati malevoli nell’email, il che consente di bypassare la stragrande maggioranza dei filtri enterprise.Fase 2 (primavera 2025-inizio 2026) — IT impersonation via cold call: invece di aspettare che la vittima chiami, il SRG inizia a contattare direttamente i dipendenti spacciandosi per l’IT interno dell’azienda target. Il pretesto standard è una “manutenzione di routine” o una risposta a un presunto attacco phishing ricevuto. La richiesta è la stessa: concedere l’accesso a una sessione desktop remota. Il livello di preparazione degli operatori è elevato: registrano domain typosquatted che impersonano i portali IT delle law firm target, personalizzano il social engineering in base all’organigramma aziendale.Fase 3 (primavera 2026) — Infiltrazione fisica: questa è la novità documentata dall’FBI nel FLASH alert. Quando i tentativi di accesso remoto falliscono, il SRG invia un operativo fisicamente presso la sede della vittima. L’attore si presenta come tecnico IT e dichiara di dover “clonare il disco” o “creare un backup” per far fronte a potenziali impatti del phishing ricevuto. Una volta ottenuto l’accesso fisico alla macchina, inserisce un dispositivo di storage per estrarre i dati direttamente.TTP e strumenti tecniciUna volta ottenuto l’accesso remoto o fisico, la metodologia del SRG è caratterizzata da minima privilege escalation e rapido pivot verso l’esfiltrazione. Gli strumenti principali documentati dall’FBI sono WinSCP (Windows Secure Copy) e versioni nascoste o rinominate di rclone per la sincronizzazione cloud. Il gruppo usa le credenziali carpite per accedere a repository documentali, drive condivisi e cartelle clienti. Il leak site è attivo e viene aggiornato regolarmente come strumento di pressione nelle negoziazioni.Le richieste di riscatto variano significativamente in base alla dimensione dell’organizzazione target: secondo EclecticIQ i range storici vanno da 1 a 8 milioni di dollari. Il caso Weil Gotshal — con 18-20 milioni — rappresenta un massimo storico documentato per questa famiglia, coerente con il profilo ultra-premium della law firm target.Perché le law firm sono il target idealeLe law firm concentrano un livello di riservatezza dei dati che pochi altri settori possono eguagliare: memorie difensive in contenziosi attivi, documenti M&amp;A pre-annuncio, segreti industriali, comunicazioni privilegiate attorney-client, strategie fiscali. La minaccia di pubblicazione crea pressioni sia sulla firma sia sui clienti rappresentati — un effetto moltiplicatore che rende la negoziazione più probabile rispetto ad altri settori. Alcuni dei clienti più importanti di Weil includono aziende Fortune 500, fondi private equity e istituzioni finanziarie: la pubblicazione di loro documenti strategici avrebbe conseguenze che vanno ben oltre il danno reputazionale della firma.Due righe per i difensoriVerifica out-of-band dell’identità: qualsiasi richiesta di accesso remoto da presunto personale IT deve essere verificata tramite canale separato (non il numero fornito dal chiamante). Istituire procedure di autenticazione per gli interventi tecnici da remoto.Politiche di accesso fisico: nessun tecnico esterno deve poter connettere dispositivi USB o storage alle macchine aziendali senza autorizzazione documentata e supervisione. Badge visitatori con registrazione obbligatoria.Allowlist degli strumenti RMM: bloccare l’installazione di RMM tool non approvati (AnyDesk, ConnectWise, TeamViewer e simili) tramite application control.DLP e monitoraggio esfiltrazione: alert su uso anomalo di WinSCP o rclone, trasferimenti bulk verso storage cloud esterni, accessi insoliti a repository documentali fuori orario.Formazione specifica sul vishing: simulazioni di callback phishing e IT impersonation per tutti i dipendenti, con enfasi sul non fornire mai accesso remoto a chiamanti inbound non verificati.MFA resistente al phishing: FIDO2/hardware token per tutti gli accessi ai sistemi documentali.Fonti: The Insurer, BleepingComputer, FBI FLASH-20260526-01, EclecticIQ, Dark Reading]]></description><link>https://forum.androidiani.net/topic/44a173e0-10cd-4da4-8218-8e68f792b81d/luna-moth-incassa-20-milioni-di-dollari-da-weil-gotshal-manges-il-gruppo-entra-fisicamente-negli-uffici-per-rubare-dati</link><guid isPermaLink="true">https://forum.androidiani.net/topic/44a173e0-10cd-4da4-8218-8e68f792b81d/luna-moth-incassa-20-milioni-di-dollari-da-weil-gotshal-manges-il-gruppo-entra-fisicamente-negli-uffici-per-rubare-dati</guid><dc:creator><![CDATA[blog@insicurezzadigitale.com]]></dc:creator><pubDate>Mon, 08 Jun 2026 18:16:34 GMT</pubDate></item><item><title><![CDATA[Carnival e il paradosso della cybersecurity moderna: milioni di record rubati attraverso un solo dipendente]]></title><description><![CDATA[Si parla di:ToggleAncora una volta, il punto di ingresso non è stato un malware sofisticato, una vulnerabilità zero-day o una falla critica dimenticata in un sistema esposto su Internet.È bastato convincere una persona.Carnival Corporation, uno dei più grandi operatori mondiali del settore crocieristico, ha confermato una violazione che ha coinvolto quasi sei milioni di individui. Secondo le informazioni diffuse dall’azienda e dai documenti depositati presso le autorità statunitensi, gli attaccanti sono riusciti a compromettere un account aziendale attraverso una tecnica di social engineering, ottenendo così accesso a una porzione dell’infrastruttura IT interna.Da quel momento la catena di compromissione è stata relativamente semplice: accesso ai sistemi, individuazione dei repository contenenti dati personali e successiva esfiltrazione dei file.Il risultato è stato l’esposizione di informazioni appartenenti a circa 5,9 milioni di persone. Tra i dati sottratti figurano nomi, indirizzi email, date di nascita, dettagli geografici e informazioni relative ai programmi fedeltà dei clienti. Secondo le analisi effettuate successivamente da Have I Been Pwned, il dataset pubblicato dagli attaccanti conterrebbe addirittura circa 8,7 milioni di record complessivi.Il vero problema non è il data breachLa notizia è stata riportata come l’ennesimo incidente che coinvolge milioni di utenti, ma il punto interessante per chi lavora nella difesa cyber è un altro.L’intera operazione sarebbe partita da un dipendente manipolato.Carnival non ha fornito dettagli tecnici sul meccanismo utilizzato, ma la formulazione impiegata nei documenti ufficiali è significativa: gli attaccanti hanno “deceived an employee” attraverso tecniche di social engineering.Tradotto nel linguaggio operativo delle intrusioni moderne, significa che probabilmente non è stato necessario forzare alcuna protezione tecnica.Nessun exploit.Nessun bypass crittografico.Nessun accesso privilegiato ottenuto tramite vulnerabilità software.Gli attaccanti hanno semplicemente convinto qualcuno a collaborare, volontariamente o inconsapevolmente.È esattamente ciò che osserviamo sempre più spesso nelle operazioni attribuite ai gruppi criminali contemporanei: il costo di sviluppare exploit complessi è elevato, mentre il costo di ingannare una persona resta incredibilmente basso.ShinyHunters e l’evoluzione dell’estorsioneA rivendicare l’attacco è stato il gruppo ShinyHunters, nome ben noto nell’ecosistema cybercrime internazionale. Il collettivo avrebbe inserito Carnival nel proprio portale di estorsione già ad aprile, sostenendo di aver sottratto milioni di record e minacciandone la pubblicazione. Successivamente i dati sarebbero stati effettivamente diffusi online.Anche questo dettaglio racconta qualcosa dell’evoluzione del panorama criminale.Per molti gruppi il ransomware non rappresenta più necessariamente il punto centrale dell’operazione.La semplice esfiltrazione dei dati è ormai sufficiente per monetizzare un’intrusione.Se il valore dei dati rubati è elevato, la cifratura dei sistemi può persino diventare superflua. Il danno reputazionale, il rischio normativo e la possibilità di future campagne di phishing garantiscono già una leva di pressione significativa sulle vittime.Il social engineering come bypass universaleL’aspetto più interessante del caso Carnival riguarda però una realtà che molte organizzazioni continuano a sottovalutare.Negli ultimi anni le aziende hanno investito enormi risorse in EDR, XDR, SIEM, sistemi di threat intelligence, MFA e segmentazione delle reti.Tutto corretto.Ma nessuna di queste tecnologie elimina il problema fondamentale: l’essere umano continua a rappresentare un’interfaccia di accesso privilegiata.Quando un attaccante riesce a convincere un dipendente a eseguire un’azione apparentemente legittima, molte delle difese costruite per bloccare comportamenti malevoli diventano improvvisamente meno efficaci.È il motivo per cui i gruppi criminali stanno spostando sempre più energie verso campagne di impersonificazione, phishing mirato, vishing, MFA fatigue e tecniche di supporto IT fraudolento.L’obiettivo non è più forzare il sistema ma convincere il proprietario del sistema ad aprire la porta.La vera lezione per i team di sicurezzaL’incidente Carnival ricorda qualcosa che spesso viene dimenticato durante le discussioni sulle minacce avanzate.La maturità di un’organizzazione non si misura soltanto dalla qualità dei controlli tecnologici implementati, ma dalla capacità di resistere alla manipolazione psicologica.Per questo motivo la formazione tradizionale basata su slide annuali e quiz di compliance continua a mostrare tutti i suoi limiti.I moderni attacchi di social engineering non sfruttano soltanto la disattenzione. Sfruttano fiducia, urgenza, stress operativo, gerarchie aziendali e processi interni.Sono attacchi contro il comportamento umano prima ancora che contro l’infrastruttura. E finché continuerà a essere più semplice ingannare una persona che compromettere un firewall, casi come quello di Carnival continueranno a ripetersi.Con numeri sempre più grandi.E con conseguenze sempre più costose.]]></description><link>https://forum.androidiani.net/topic/0dc3ba9d-0bb6-438a-a447-be58f8a11c10/carnival-e-il-paradosso-della-cybersecurity-moderna-milioni-di-record-rubati-attraverso-un-solo-dipendente</link><guid isPermaLink="true">https://forum.androidiani.net/topic/0dc3ba9d-0bb6-438a-a447-be58f8a11c10/carnival-e-il-paradosso-della-cybersecurity-moderna-milioni-di-record-rubati-attraverso-un-solo-dipendente</guid><dc:creator><![CDATA[blog@insicurezzadigitale.com]]></dc:creator><pubDate>Fri, 29 May 2026 15:21:17 GMT</pubDate></item></channel></rss>