Infostealer: l’economia dei log rubati e l’accesso alle aziende

Un infostealer è un software malevolo che raccoglie informazioni da un sistema informatico e le trasferisce a un’infrastruttura controllata dall’attaccante. Le informazioni raccolte si chiamano stealer log, o più semplicemente log. L’ACN scrive che nella maggior parte dei casi vengono vendute ad altri attori malevoli.

Questo articolo segue quel passaggio: come si vendono i log, quanto costano e come arrivano dentro un’azienda. La testata ha già raccontato le operazioni contro diverse famiglie di infostealer, tra cui Lumma Stealer e StealC.

Che cosa contiene un log di un infostealer

Un log contiene di solito:

• credenziali di accesso, in particolare a servizi bancari, social network, posta elettronica, VPN e FTP;
• cronologia, cookie, configurazioni ed estensioni del browser;
• carte di credito, conti bancari e portafogli di criptovalute;
• dati di compilazione automatica, come nome, indirizzo e numero di telefono;
• informazioni su hardware e software del dispositivo, antivirus compresi.

Oltre alle credenziali, gli infostealer rubano token delle applicazioni e cookie di sessione. Con questi oggetti l’attaccante entra in un servizio come utente già autenticato. Secondo Europol, nell’IOCTA 2025, i dati su dispositivo e browser servono a imitare l’impronta digitale della vittima.

Usare i log è un metodo efficace e poco costoso per ottenere accessi non autorizzati. Abbassa le barriere d’ingresso, perché dà un vettore di accesso anche a chi non sa compromettere un sistema da solo.

Le cifre sulle dimensioni del fenomeno hanno ambiti diversi. L’ACN riporta una stima per il 2023, ripresa da uno studio di Proton: circa 500 milioni di dispositivi compromessi e oltre 2 miliardi di log. KELA conta nel proprio archivio, per il 2025, circa 3,9 milioni di macchine infettate, da cui ha ricavato 347,5 milioni di credenziali compromesse.

La filiera: chi fa che cosa

Il modello dominante è il malware-as-a-service. Sviluppatori e operatori affittano infostealer già pronti, con assistenza, aggiornamenti, infrastruttura di comando e controllo e strumenti per analizzare i log. L’abbonamento mensile si paga di norma in criptovalute e costa tra 50 e 250 dollari, con casi che superano le migliaia. La cifra viene da uno studio di Flashpoint del 2024, ripreso dall’ACN.

I passaggi della filiera sono tre, secondo Flare. I fornitori vendono l’infostealer su canali Telegram illeciti. Altri attori lo diffondono con finto software craccato o con email di phishing. Poi vendono i log dei dispositivi infetti su mercati specializzati.

I vettori principali di diffusione sono il phishing, il drive-by compromise e il software contraffatto, che comprende versioni gratuite di programmi, videogiochi e strumenti di cracking. Europol cita anche la pubblicità sui motori di ricerca e la manipolazione dei risultati (SEO poisoning) per diffondere finti download. Segnala inoltre la crescita di ClickFix, che induce la vittima a eseguire un comando con finti errori o finti test CAPTCHA.

Dove si vendono i log

I mercati sono di due tipi. Quelli centralizzati offrono un punto unico di accesso, con ricerca per fonte, provider di rete, data di raccolta e infostealer usato, e una valutazione della reputazione dei venditori. Sono più esposti alle forze dell’ordine.

Quelli decentralizzati si basano su piattaforme di messaggistica come Telegram, con canali privati a cui si accede con un abbonamento. L’ACN lo colloca di solito tra 100 e 500 dollari al mese. Questi mercati veicolano log di valore più alto, ma senza meccanismi di reputazione e con più truffe. Europol conferma lo spostamento verso canali con cifratura end-to-end, dove spesso serve l’approvazione di un amministratore.

Verizon descrive nel DBIR 2025 quattro canali: i mercati, i canali premium con chat private, i log in tempo reale e i campioni gratuiti. I campioni sono pubblicati su Telegram ogni giorno o ogni settimana per promuovere le offerte. Verizon scrive che alcuni attori hanno costruito l’intero attacco su questi campioni, per prendere il controllo degli account.

Verizon ha esaminato 33.933 credenziali di siti presenti in log di fonti diverse. Scrive che chi sfrutta quei log per il furto di account può trovare, senza saperlo, credenziali per VPN, repository GitHub o ambienti cloud.

Quanto costa un log e quanto vale un accesso

Flare ha analizzato 19,6 milioni di log nello studio del 25 luglio 2023. Su Russian Market ogni log costava 10 dollari, qualunque fosse il contenuto. Flare rileva che almeno l’1,91% dei log (376.107) contiene credenziali per applicazioni aziendali come Salesforce, AWS, Okta e DocuSign. In 181.785 log (lo 0,92%) c’è l’accesso a una console AWS o Google Cloud. Sono dati del 2023.

Una parte dei log passa agli initial access broker. Questi intermediari comprano grandi volumi di log e cercano credenziali per reti aziendali o servizi finanziari. Ne verificano la validità e spesso installano strumenti di persistenza nei sistemi della vittima. Poi rivendono gli accessi, a prezzi sensibilmente superiori, a partner come gli operatori di ransomware. Secondo l’ACN, gli accessi più remunerativi possono costare migliaia di dollari.

Europol distingue le credenziali vendute in blocco, senza verifica, dalle offerte validate dei broker. Queste descrivono l’organizzazione compromessa e a volte vanno all’asta. Per Europol il prezzo dipende da settore, dimensioni, ricavi, area geografica, tipo e livello di accesso, persistenza ed esclusività dell’offerta. CrowdStrike ha rilevato nel 2024 un aumento del 50% su base annua degli annunci di accesso pubblicati dai broker.

L’ACN aggiunge che i log provenienti da Stati economicamente sviluppati, tra cui Stati Uniti, Canada, Regno Unito e Unione europea, si vendono di solito a un prezzo maggiore. Precisa però che la scelta delle vittime è per lo più opportunistica e non mirata.

Lettura della redazione: la distanza tra 10 dollari per un log e migliaia di dollari per un accesso paga la verifica e la persistenza. Nessuna fonte misura questo rapporto, e le due cifre vengono da fonti e anni diversi.

Perché il contagio parte spesso da un dispositivo non gestito

Un dispositivo non gestito è un dispositivo che l’organizzazione non amministra, per esempio il portatile personale di un dipendente o di un collaboratore esterno. Sullo stesso computer convivono credenziali personali e credenziali di lavoro, e un infostealer copia le une e le altre.

I dati di Verizon

Verizon ha analizzato i log degli infostealer per il DBIR 2025. Stima che il 30% dei sistemi compromessi sia un dispositivo con licenza aziendale. Tra i sistemi con possibili credenziali aziendali, stima che il 46% fosse non gestito e ospitasse sia credenziali personali sia credenziali di lavoro.

Verizon attribuisce questi casi, con ogni probabilità, a un programma BYOD (l’uso di dispositivi personali per lavoro) o a dispositivi aziendali usati fuori dalle regole. Ammette che il metodo è approssimativo e di non sapere se quelle organizzazioni avessero una politica BYOD.

Tra le conseguenze di un’infezione ci sono gli accessi non autorizzati ad account di lavoro, in particolare con politiche BYOD o con password riusate per servizi diversi. Flare scrive che i dipendenti salvano con regolarità credenziali aziendali su dispositivi personali. KELA indica che app pirata e falsi aggiornamenti restano efficaci soprattutto contro le piccole e medie imprese e chi usa i propri dispositivi per lavoro.

Il caso Snowflake, 2024

Mandiant ha pubblicato il 10 giugno 2024 l’analisi di una campagna del gruppo UNC5537 contro le istanze Snowflake di diversi clienti. Le credenziali arrivavano soprattutto da infostealer su sistemi che non appartenevano a Snowflake. Mandiant cita VIDAR, RISEPRO, REDLINE, RACOON STEALER, LUMMA e METASTEALER.

Da dove arrivavano le credenziali

In diverse indagini l’infezione era avvenuta su sistemi di collaboratori esterni usati anche per attività personali, tra cui giochi e download di software pirata. Mandiant avverte che il portatile di un solo collaboratore, se infetto, può aprire l’accesso a più organizzazioni, spesso con privilegi di amministrazione.

Perché funzionavano ancora

Mandiant riporta che l’infezione più antica associata a una credenziale usata risale a novembre 2020. Le credenziali non erano state ruotate, in alcuni casi fino a quattro anni. Gli account non avevano l’autenticazione a più fattori e le istanze non avevano elenchi di indirizzi consentiti. Per Mandiant almeno il 79,7% degli account usati aveva già subito un’esposizione delle credenziali. Mandiant e Snowflake hanno avvisato circa 165 organizzazioni potenzialmente esposte, non vittime accertate.

Dal log all’intrusione

Verizon ha confrontato i domini delle vittime pubblicate dai gruppi ransomware nel 2024 con i log degli infostealer e gli annunci sui mercati. Il 54% delle vittime aveva il dominio in almeno un log o annuncio. Verizon scrive che il dato suggerisce un possibile uso di quelle credenziali e un possibile ruolo dei broker, e ne elenca i molti limiti.

KELA valuta che alcuni gruppi ransomware riducano i tempi dell’intrusione comprando accessi pronti dai broker o credenziali già compromesse.

Le credenziali non sono però il primo vettore. Il DBIR 2026 di Verizon si basa su oltre 22.000 violazioni confermate, con dati da ottobre 2024 a novembre 2025. Indica lo sfruttamento delle vulnerabilità al 31% come primo vettore di accesso iniziale. L’abuso di credenziali, in testa in precedenza, scende al 13%, qualunque ne sia l’origine. Mandiant scrive che nel 2023 le credenziali rubate erano il quarto vettore, con il 10% delle intrusioni.

Il quadro italiano

Stimare la diffusione degli infostealer in Italia è complesso, perché le vittime segnalano di rado. Il CSIRT Italia conta le credenziali esfiltrate da soggetti italiani per famiglia. Nel 2025 le famiglie con più credenziali sottratte sono, in ordine decrescente, LummaC2, RedLine, DcRat, StealC e Vidar.

Due classifiche misurano cose diverse. L’Osservatorio Cyber di CRIF, pubblicato il 21 settembre 2026, classifica per Paese gli indirizzi email presenti negli archivi ULP (URL, login e password) delle raccolte di infostealer. Colloca l’Italia al terzo posto nel mondo, dopo Stati Uniti e Francia, per account rubati. CRIF indica anche 2,5 miliardi di dati univoci in circolazione sul dark web.

Yarix, società di Var Group, indica nel comunicato del 16 luglio 2025 sul proprio Y-Report 2025 60.000 dispositivi infetti in Italia nel 2024, il 57,9% in più del 2023. Colloca il Paese al quinto posto in Europa. Il dato è dell’azienda.

Tra gli indirizzi email esposti sul dark web, in generale e non solo da infostealer, CRIF conta il 92,1% di indirizzi personali e il 7,9% di account business.

Il caso del CSIRT Italia, 2024

Un ente di ricerca ha subito nel 2024 un attacco ransomware, gestito dal CSIRT Italia e descritto nel report dell’ACN. L’accesso iniziale è avvenuto con l’account VPN di un dipendente, privo di privilegi elevati. L’attaccante ha preso il controllo del dominio sfruttando una configurazione debole e ha distribuito il ransomware con una Group Policy.

La password del dipendente era robusta. Non c’erano tracce di phishing e la postazione aziendale non mostrava compromissioni. Alcune settimane dopo l’incidente, il monitoraggio di fonti aperte e commerciali ha mostrato le credenziali VPN in un pacchetto di dati raccolto da un noto infostealer, prima venduto e poi diffuso gratuitamente.

Il portatile personale del dipendente, usato solo di tanto in tanto per l’accesso da remoto, era stato infettato circa sei mesi prima dell’accesso iniziale. Il CSIRT Italia ipotizza che l’attore del ransomware fosse diverso da quello dell’infostealer e che abbia acquisito il pacchetto da un mercato criminale o con uno scambio privato.

Che cosa fare su dispositivi e credenziali

Mandiant e Verizon indicano questi controlli:

• autenticazione a più fattori per le applicazioni esposte e per l’accesso remoto alla rete;
• elenchi di indirizzi consentiti sulle istanze e rotazione delle credenziali;
• inventario degli account, disattivazione di quelli inattivi, processo per concedere e revocare gli accessi (controlli CIS);
• politica di accesso condizionale che stabilisca come fidarsi dei dispositivi, perché cookie e chiavi di sessione compaiono nei log;
• politica BYOD scelta e imposta dall’organizzazione: senza, l’organizzazione può ritrovarsi con una politica decisa da altri e con risultati sgraditi.

Per i soggetti importanti della NIS, l’Allegato 1 alla determinazione ACN 379907/2025 comprende due misure pertinenti. La misura PR.AA-01 riguarda la gestione di identità e credenziali, con verifica periodica e revoca. La misura PR.AA-03 riguarda l’autenticazione commisurata al rischio, con autenticazione a più fattori. La catena completa dell’account takeover è trattata in un altro articolo della testata.

Infostealer: i limiti dei dati

Le cifre su diffusione e prezzi vanno lette con cautela. In Italia il quadro dipende dalle sole famiglie monitorate dal CSIRT Italia, perché le vittime segnalano di rado. Il 46% di Verizon è una stima su un sottoinsieme di log. I prezzi risalgono in parte al 2023, e l’ACN scrive che variano con natura, provenienza e data delle informazioni. KELA precisa che le credenziali compromesse possono non funzionare e che i suoi numeri misurano l’esposizione, non gli accessi riusciti.

Domande frequenti

Che cos'è un infostealer e che cosa ruba da un dispositivo?

È un malware che copia da un dispositivo credenziali, cookie, dati del browser e altre informazioni e le invia all'attaccante. L'ACN chiama log i dati raccolti, che nella maggior parte dei casi vengono venduti ad altri attori.

Quanto costa un log rubato su un mercato criminale?

Nel 2023 Flare ha rilevato su Russian Market un prezzo di 10 dollari per ogni log. L'ACN indica abbonamenti tra 100 e 500 dollari al mese per i canali Telegram e prezzi più alti per gli accessi verificati.

Perché un dispositivo personale può esporre un'azienda?

Verizon stima che il 46% dei sistemi infettati con possibili credenziali aziendali fosse non gestito e ospitasse credenziali personali e di lavoro. Mandiant ha visto lo stesso schema nei portatili dei collaboratori del caso Snowflake.

Le credenziali rubate da un infostealer restano valide nel tempo?

Possono restare valide. Nella campagna contro Snowflake, secondo Mandiant, credenziali rubate già dal 2020 funzionavano ancora e non erano state ruotate, in alcuni casi fino a quattro anni.

Un infostealer porta sempre a un attacco ransomware?

No. Verizon ha trovato il dominio del 54% delle vittime di ransomware pubblicate nel 2024 in almeno un log o annuncio, ma lo presenta come un indizio con molti limiti, non come prova del nesso.