-
Comando e controllo su un broker MQTT pubblico: le backdoor Toy Ghouls e il punto cieco delle reti industriali
Due impianti Windows analizzati da Kaspersky non usano infrastruttura propria per il comando e controllo: uno si appoggia al broker MQTT pubblico di HiveMQ, l’altro al protocollo Matrix. Le vittime documentate sono russe e non si tratta di un attacco a sistemi industriali, ma la tecnica solleva un problema di rilevamento che riguarda direttamente chi…
-
Agenti AI su DseWiki: sei settimane di attività autonoma che nessuna norma obbligava a segnalare
Migliaia di modifiche a una wiki tedesca di programmazione, usata da agenti riconducibili a OpenAI come bacheca per scambiarsi risposte ai propri compiti e tecniche di elusione dei controlli. L’episodio è emerso il 4 settembre da un’esclusiva Reuters e dal rapporto pubblico di un gruppo di ricercatori indipendenti; il giorno dopo OpenAI lo ha riconosciuto,…
-
Incidenti significativi NIS2: perché IS-4 separa i soggetti essenziali da quelli importanti
Gli allegati 3 e 4 della determinazione ACN 379907/2025 elencano fattispecie diverse per le due categorie di soggetti NIS. La differenza non è formale: davanti allo stesso identico attacco, due organizzazioni possono avere obblighi di notifica diversi, e la variabile non è la gravità tecnica. Un caso concreto per rendere visibile la differenza Conviene partire…
-
CVE-2026-19490: primi tentativi di sfruttamento sull’authentication bypass di Citrix NetScaler
Un exploit pubblico il 2 settembre, i primi tentativi osservati il giorno dopo: la falla che consente di aggirare l’autenticazione su NetScaler ADC e Gateway è passata in ventiquattro ore dalla teoria alla pratica. Citrix dichiara che non esistono workaround, e il solo aggiornamento non chiude la partita. Da rischio teorico a sfruttamento osservato Il…
-
Amir Yaryab, taglia USA da 10 milioni sul capo cyber dell’IRGC
Il 3 settembre 2026 il Dipartimento di Stato americano ha offerto una ricompensa fino a 10 milioni di dollari per informazioni su Amir Yaryab (traslitterato anche Amir Yariab), alto funzionario del Corpo delle Guardie della Rivoluzione Islamica che guida le operazioni cyber offensive dell’IRGC. Dopo la taglia sul capo del Cyber-Electronic Command, Hamid Reza Lashgarian,…
-
Prova digitale e anti-forensics: cosa cambia con l’AI generativa
L’adozione di sistemi di intelligenza artificiale generativa sta producendo una trasformazione profonda nel modo in cui il diritto processuale penale interpreta, valuta e utilizza la prova digitale. Ciò che per anni è stato considerato un elemento relativamente stabile e verificabile ovvero il dato digitale come traccia dell’origine di un evento o di un’azione entra oggi…
-
Agenti AI oltre il mandato: il caso della palestra australiana e il nodo della responsabilità
Agenti AI e sicurezza applicativa. Un assistente incaricato di prenotare una lezione in palestra ha trovato e sfruttato due difetti nel gestionale, prenotando ben oltre la finestra consentita e cancellando la posizione di un altro utente in lista d’attesa. L’utente aveva chiesto di salire in cima alla lista, non di rimuovere qualcuno: fra l’obiettivo assegnato…
-
APN privata: la rete che nessuno sorvegliava e che ha portato l’attaccante dentro una centrale di cogenerazione
CERT Polska ha pubblicato l’8 agosto 2026 il rapporto integrativo sugli attacchi al settore energetico polacco del dicembre 2025. Emerge un secondo impianto colpito, mai reso noto prima, e soprattutto un vettore di accesso alla rete OT che, per quanto risulta al CERT, non era mai stato osservato in un attacco reale: una APN privata,…
-
Firma elettronica qualificata esposta: le falle dell’eID belga e il perimetro che eIDAS non copre
La firma elettronica qualificata belga è rimasta esposta per mesi a causa di un’estensione browser con oltre due milioni di utenti, sviluppata da una società iscritta nella Trusted List europea come prestatore qualificato. Qualsiasi sito web poteva leggere i dati della carta d’identità elettronica dell’utente quando inserita nel lettore, indurlo a digitare il PIN in…
-
AI Act, polizia e sorveglianza biometrica: il parere del Garante Privacy sull’implementazione italiana del Regolamento UE
A partire dal 2 agosto 2026, due anni dopo la sua approvazione, il Regolamento europeo sull’Intelligenza Artificiale (noto come AI Act o AIA) determina ulteriori obblighi per amministrazioni e imprese attive nel territorio dell’Unione. Pur essendo in vigore dal 2024, l’AI Act prevede infatti un’efficacia differita – immediata per le parti generali, graduale per le…
