Chi è Mikhail Andropov? Allarme Bomba e Ricerche Online

Il giorno 11 novembre 2026, molte scuole italiane sono state fatte evacuare causa allarme bomba inviata da uno pseudonimo chiamato Mikhail Andropov. La mail presenta diversi elementi riconducibili a una possibile operazione di mass mailing intimidatorio, probabilmente costruita per generare allarme e panico. Tuttavia non si può escludere un'eventuale minaccia reale. La presenza di un ordigno in un edificio scolastico e di una bomba sull'auto del Presidente del Consiglio richiede sempre una verifica delle autorità. 

MIKHAIL ANDROPOV

Il nome Mikhail Andropov sembra costruito per evocare un'identità russofona:

- Mikhail è la forma russa di Michele.

- Andropov è un cognome russo realmente esistente, diventato particolarmente noto grazie a Yuri Andropov, ex capo del KGB e leader dell'Unione Sovietica dal 1982 al 1984.

- Vilayat è un termine di origine persiana, utilizzato in diverse lingue per indicare una provincia o una regione amministrativa. In ambito jihadista è stato adottato anche per designare le province territoriali di alcune organizzazioni.

- Misoginistan sembra invece un nome inventato, ottenuto combinando misoginia e il suffisso geografico "stan" (che è utilizzato in molte nazioni dell'Est Europa).

Non sembrerebbe il nome di un'organizzazione terroristica storicamente conosciuta. Il cognome richiama chiaramente Yuri Andropov ("New Challenge to the West", pubblicato nel 1983). Questo potrebbe essere un modo per costruire deliberatamente un'identità con connotazioni sovietiche e russe, oppure per indirizzare i sospetti verso la Russia. Mikhail Andropov non sembra essere un personaggio inventato soltanto per la mail alle scuole dell'11 novembre. La stessa firma era già comparsa in comunicazioni minatorie inviate a emittenti televisive europee, con oggetto "Messaggio all'Occidente". In quelle comunicazioni venivano minacciati attacchi contro aerei, navi da crociera, metropolitane e treni. Il 19 ottobre 2026 c'erano stati precedenti allarmi e minacce relative a voli. 

"We want the whole world to know about us, which is why one of our operatives has planted an explosive device in your building".

Poi altre mail il 2 novembre firmata dal Corpo delle Guardie della Rivoluzione Islamica.

Il 5 novembre minacce a voli diretti a Roma e ad altri aeroporti europei, firmate "Combattenti dello Stato Maschile". Oggi, 11 novembre, nuova ondata contro centinaia di scuole, questa volta firmata Mikhail Andropov. Il 5 novembre era comparso il riferimento ai "Combattenti dello Stato", che richiama il movimento russo Muzhskoye Gosudarstvo (Male State) associato a Vladislav Pozdnyakov.

Tuttavia, il movimento ha negato il coinvolgimento e non esistono prove pubbliche che colleghino direttamente i suoi membri alle minacce. Anche le rivendicazioni di Andropov non dimostrano un'effettiva appartenenza a un'organizzazione. 

INDIRIZZO MAIL

L'indirizzo f0523219@cloud.dyu.edu.tw:

- f0523219 (Matricola).

- cloud (Sottodominio per i servizi cloud).

- dyu (Sigla dell'università).

- .edu.tw (Dominio edu di Taiwan).

cloud.dyu.edu.tw è effettivamente associato alla Da-Yeh University (大葉大學), un'università situata nella contea di Changhua, a Taiwan. Non è una semplice supposizione basata sul dominio, infatti sul sito ufficiale dell'ateneo esistono istruzioni che documentano esplicitamente gli account studenteschi nel formato: matricola_identificativa@cloud.dyu.edu.tw

La stessa università spiega che questi account vengono utilizzati per i servizi cloud e Microsoft 365. 

L'indirizzo ha una struttura compatibile con un account universitario reale. Non significa, però, che chi ha inviato la mail si trovi a Taiwan o che sia uno studente dell'università.

Ci sono diverse possibilità:

1) Un account universitario compromesso.

2) Un account creato o utilizzato abusivamente, eventualmente sfruttando credenziali sottratte.

3) Un mittente falsificato (email spoofing), che fa apparire quell'indirizzo senza averne il controllo.

Nella schermata compare anche un nome in caratteri cinesi, 劉芳君 (Liu Fangjun).

Il nome visualizzato può essere modificato liberamente e non dimostra che il titolare dell'account sia l'autore della minaccia (e sarebbe no sense, firmarsi con nome e cognome).

TRACCE E RICERCHE ONLINE

Potrebbe trattarsi di un singolo autore o di più soggetti che utilizzano una strategia simile in quanto la vicenda ha una dimensione internazionale molto più ampia. Non si tratta soltanto di email alle scuole: la stessa firma è stata associata a minacce contro emittenti televisive, aeroporti e istituzioni scolastiche in diversi Paesi. Email con minacce alle scuole sono arrivate anche in Scozia, Irlanda del Nord e Repubblica d'Irlanda. Lo stesso Mikhail Andropov aveva rivendicato minacce indirizzate a redazioni giornalistiche in Irlanda e Bulgaria. Il 6 novembre le email erano state inviate a:

- RTÉ, emittente pubblica irlandese, che evacuò i propri uffici.

- Nova TV, emittente televisiva bulgara.

- Sky, emittente britannica, che riferì di aver ricevuto una minaccia alla sicurezza.

L'oggetto era Message to the West (Messaggio all'Occidente). Il mittente si presentava come Mikhail Andropov e sosteneva che le minacce agli aerei fossero soltanto l'inizio di una serie di attacchi ai trasporti europei. 

UN RIFERIMENTO CURIOSO: VALENTIN MIKHAYLIN

A fine anni 90 e nei primi anni del 2000, Valentin Mikhaylin (noto spammer) aveva già provocato allarmi in Europa. La vicenda iniziò nel novembre 1999, quando un individuo che si presentava come Mikhaylin Valentin, residente a Kaluga in Russia, cominciò a inviare migliaia di email chiedendo aiuti economici. Valentin ebbe anche problemi con la giustizia per mail contenenti minacce di lancio di missili nucleari inviate a migliaia di indirizzi dell'Europa occidentale. Le email vennero presentate come provenienti da un gruppo di lavoratori insoddisfatti di una base missilistica nucleare russa. Si tratta di un parallelismo storico davvero curioso (osservando lo pseudonimo utilizzato sembra esserci un riferimento al suo vecchio nome). Naturalmente è abbastanza improbabile che si tratti della stessa persona (sono passati più di 20 anni), tuttavia rimane una somiglianza storica curiosa (sia nel modo di agire sia nella derivazione del nome odierno usato da Valentin a fine anni 90).

Alcuni indirizzi utilizzati da Valentin nel corso degli anni:

valya@userline.ru

vmik@students.ru

va.q.michailin@mail.ru

valent.l.michailin@mail.ru

vamik@mailrus.ru

vmik@nxt.ru

Non emerge una sovrapposizione con il dominio taiwanese, tuttavia ci sono alcune cose interessanti: Valentin cambiava grafia del nome, passando da Mikhaylin a Mikhailyn, Mihailin e Michailin. Non sono prove di una connessione con Mikhail Andropov, ma rendono interessante il confronto storico.

Come Funziona La Truffa "Recruiter To Resume Writer": SPESRW

La parola SPESRW (Strategic Professional Executive Standard Resume Writer) si trova spesso in uno schema scam di false offerte di lavoro (conosciute come Recruiter-to-Resume-Writer) che prende di mira figure executive su piattaforme come LinkedIn e via e-mail. Si tratta di un acronimo inventato e l'obiettivo dei truffatori è spingerti a pagare centinaia di euro per la riscrittura del tuo CV per una posizione lavorativa finta che non esiste.

COME FUNZIONA LA TRUFFA

1) Un finto recruiter ti contatta via e-mail o su LinkedIn. Ti propone un ruolo senior, di consulenza o dirigenziale perfettamente in linea con il tuo profilo.

2) Per rendere la cosa credibile, il truffatore non chiede subito denaro. Al contrario, scambia con te diverse e-mail dettagliate, facendoti domande mirate sulla tua esperienza e mostrandosi molto interessato.

3) Quando la trattativa sembra ormai conclusa, il recruiter ti dice che il tuo profilo è eccellente, ma che per superare i filtri aziendali (ATS) o l'approvazione finale del consiglio di amministrazione, il tuo CV deve essere formattato secondo lo standard SPESRW.

4) Il finto recruiter ti indirizza verso uno "scrittore di CV professionista" di sua fiducia con cui collabora strettamente.

5) Ti viene chiesto di pagare una tariffa (solitamente tra i 150 e i 250) tramite bonifico, PayPal o carta di credito per questo servizio di riscrittura. Ti assicurano che la spesa ti verrà "rimborsata dall'azienda" una volta firmato il contratto.

6) Una volta inviato il denaro al finto scrittore di CV, sia quest'ultimo che il recruiter spariscono nel nulla, e l'offerta di lavoro si rivela un fantasma.

COME RICONOSCERLA

- L'uso di acronimi altisonanti ma inesistenti: SPESRW non corrisponde a nessuna certificazione ufficiale o reale nel mondo delle risorse umane.

- Indirizzi e-mail generici: I truffatori spesso usano indirizzi Gmail o domini finti che imitano aziende reali, ma non l'e-mail aziendale autentica.

- Pagamento anticipato obbligatorio: Nessuna agenzia di selezione seria o azienda richiede al candidato di pagare un fornitore esterno per poter procedere con un colloquio.

- Scuse sui canali di comunicazione: Se provi a contattarli direttamente su piattaforme protette come LinkedIn, inventano scuse dicendo che il loro account ha "restrizioni sui messaggi" per costringerti a usare solo l'e-mail privata o canali non tracciabili.

ALCUNI NOMI UTILIZZATI DAI TRUFFATORI

I criminali dietro questa truffa utilizzano un mix di furti di identità reali e nomi inventati:

- Andy Natusch: è il nome di un vero professionista e recruiter basato nel Regno Unito. I truffatori hanno clonato o rubato la sua identità (oppure hanno semplicemente creato un account e-mail fasullo a suo nome) per darsi un tono di credibilità istituzionale e ingannare i candidati. Oltre ad Andy Natusch, sono stati segnalati profili cloni a nome di "Elizabeth" e "Sarah". 

- Russ Haynes: È l'identità fittizia che ti è stata presentata come il "consulente certificato" o il "Resume Writer" a cui dovresti inviare il denaro per adeguare il tuo CV allo standard SPESRW.

Altri resume writer sono "Izzy", "Jessica Hernandez" o profili fittizi legati ad account Fiverr o Stripe usa e getta. Spesso si presentano con altisonanti qualifiche inventate legate a sigle come ATS Evaluation Expert o certificazioni mai sentite nel mercato reale.

Tipi Di Attacchi Front Running In DeFi

Gli attacchi front-running in DeFi sfruttano la natura pubblica della blockchain dove le transazioni sono visibili, anche prima di essere confermate. Se n'era già parlato qui: Come Funzionano I Bot Front-Running Sugli AMM. In ogni caso questo tipo di attacco si verifica quando un attaccante, vedendo una transazione pendente nella mempool (la coda delle transazioni non ancora incluse in un blocco), inserisce una transazione simile ma più vantaggiosa per sé stesso, facendola processare prima di quella originale (aumentando le gas fee). Gli attacchi di front-running sono particolarmente comuni negli AMM, dove i prezzi degli asset cambiano dinamicamente in base alle transazioni eseguite (soprattutto per quelli poco liquidi). Ad esempio su Ethereum, tutte le transazioni in pending vengono inviate nella mempool prima di essere incluse in un blocco dai validatori. Queste transazioni sono pubbliche e chiunque può visualizzarle, inclusi bot o i "front-runners" che monitorano costantemente questa coda. Se un attaccante vede che un utente sta provando a swappare un token, la transazione va nella mempool, dove attende di essere processata. Un bot di front-running monitora la mempool e vede che questa transazione influenzerà il prezzo di un token. Il front-running può essere utilizzato con strategie diversificate.

FRONT RUNNING SU UN AMM

L’attaccante effettua una transazione su quello stesso AMM (ad esempio Uniswap) che ne altera il prezzo dell'asset prima che l'utente originale possa eseguire la sua operazione. Immagina un utente che vuole comprare 10.000 token di una memecoin su Uniswap per un prezzo di 0,05 ETH per token.

L'attaccante vede questa transazione nella mempool e invia un ordine di acquisto anticipato della stessa memecoin, ma pagando una commissione del gas più alta rispetto alla transazione originale.

Il validatore prioritizza la transazione dell'attaccante perché paga una commissione maggiore.

L'attaccante riesce a comprare la memecoin a 0,05 ETH per token, facendo salire il prezzo (ad esempio a 0,06 ETH per token) a causa dell'acquisto. Ora, quando la transazione originale dell'utente viene processata, deve comprare i token a un prezzo più alto (0,06 ETH per token invece di 0,05 ETH) e ne riceverà meno. Dopo che la transazione dell'utente ha avuto effetto e ha ulteriormente aumentato il prezzo, l'attaccante vende immediatamente i token acquistati al prezzo più alto (ad esempio, a 0,07 ETH per token). In questo modo, l'attaccante ha acquistato i token a un prezzo più basso e li ha rivenduti a un prezzo più alto grazie alla transazione dell'utente originale.

FRONT RUNNING SU PIATTAFORME DI PRESTITI

In questo tipo di attacco, l’attaccante sfrutta transazioni che potrebbero liquidare posizioni di utenti in protocolli DeFi come Aave, MakerDAO e simili. Le liquidazioni sono processi automatici in cui posizioni di prestito vengono chiuse se il collaterale scende sotto una certa soglia, permettendo a chi liquida di ottenere un guadagno (fee di liquidazione e/o collaterale a sconto).

Immagina un utente che ha un prestito aperto su Compound che rischia di essere liquidato. Se il prezzo del collaterale scende sotto una soglia, un altro utente può liquidare la posizione e guadagnare una commissione. L'attaccante vede una transazione nella mempool che cerca di liquidare la posizione.

L'attaccante invia la sua transazione di liquidazione con una commissione del gas più alta, facendola eseguire per prima. Esso otterrà la liquidazione che sarebbe dovuta andare all'utente originale.

In questo caso, l'attaccante ha sfruttato la lentezza dell'inclusione della transazione originale per ottenere il guadagno della liquidazione.

FRONT RUNNING ED ARBITRAGGIO

Per arbitraggio si intende guadagnare su inefficienze di mercato trovando differenze di prezzo tra vari mercati (comprare X e rivendere subito dopo altrove ad un prezzo più elevato). L'attaccante può anticipare un arbitraggista quando nota che sta per essere eseguita una transazione che bilancia i prezzi tra due exchange. L'utente che sta facendo arbitraggio nota che su Uniswap un token viene venduto a 100 USDT mentre su Sushiswap lo stesso token vale 105 USDT. L'arbitraggista invia una transazione per comprare il token a 100 USDT su Uniswap e rivenderlo a 105 USDT su Sushiswap.

L'attaccante vede la transazione in pending nella mempool e invia una transazione con una commissione del gas più alta per eseguire l'arbitraggio prima dell'utente originale. L'attaccante compra il token su Uniswap a 100 USDT e lo rivende su Sushiswap a 105 USDT, realizzando il guadagno dell'arbitraggio. Quando la transazione dell'arbitraggista originale viene processata, il prezzo si è già equilibrato e non c'è più differenza di prezzo.

FRON RUNNING E SANDWICH ATTACK

Si tratta di una variante molto comune del front-running nei dex. In questo tipo di attacco, l'attaccante "incastra" una transazione dell'utente tra due sue transazioni: una prima dell'utente e una successiva. Il nome deriva dal fatto che la transazione dell'utente è "messa nel mezzo".

Un utente invia una transazione per acquistare 100 token su Sushiswap. L'attaccante vede questa transazione nella mempool ed invia una transazione di acquisto dello stesso token, pagando una commissione del gas più alta per farla eseguire prima di quella dell'utente.

L'acquisto dell'attaccante fa aumentare il prezzo del token. Quando la transazione dell'utente viene eseguita, l'utente acquista i token a un prezzo più alto. Subito dopo, l'attaccante esegue una seconda transazione di vendita dello stesso token, vendendo al prezzo più alto (gonfiato dalla transazione dell'utente), realizzando un guadagno fulmineo. In un sandwich attack, l'attaccante compra a un prezzo più basso prima dell'utente e vende a un prezzo più alto dopo l'utente, sfruttando la transazione dell'utente per ottenere un guadagno.

DIFESE

Aumentare le fee ha un effetto relativo perchè un bot, conoscendole, potrebbe aumentarle a sua volta. Anche se con fee più elevate c'è meno tempo per l'attaccante per accorgersi della transazione in pending ed eseguire l'attacco. Un'altra soluzione è nascondere i dettagli delle transazioni fino a quando non vengono eseguite, come i meta-transaction relayers o soluzioni di privacy come zk-Rollups. Un'altra possibilità è il Commit-Reveal scheme:  prima, gli utenti inviano un commitment (che nasconde i dettagli della transazione). Poi, in una fase successiva, si svela il contenuto del commitment (fase di reveal). Questo rende difficile per un attaccante conoscere i dettagli della transazione in tempo per eseguire un front-running. Alcuni protocolli DeFi impongono anche limiti alle commissioni del gas per impedire agli attaccanti di manipolare l'ordine delle transazioni. Infine grazie alle MEV Auctions (Miner Extractable Value), invece di permettere agli attaccanti di sfruttare MEV (il valore estraibile dai miner), i protocolli possono vendere il diritto di ordinare le transazioni ai miner tramite aste. Fee aggiiuntive ed eventuali guadagni vengono catturate dal protocollo stesso, anziché dagli attaccanti.

Alcune Pericolose Vulnerabilità Sul Web: Gitlab, Certificati Digitali e Nebula AI

Oltre alla vulnerabilità pericolosissima di PHP, al 22 ottobre 2026, risultano diversi problemi di sicurezza particolarmente gravi su internet: una falla critica in GitLab, chiavi di certificati digitali compromesse, attacchi automatizzati tramite AI, malware distribuito attraverso pacchetti software e dati bancari esposti (riguardo i dati bancari è avvenuto in India ma viene riportato per completezza).

GITLAB

CVSS la classifica come pericolosità massima 10/10. GitLab dice di aver corretto una vulnerabilità che, in determinate versioni e condizioni, poteva consentire a un utente non autenticato di eseguire codice arbitrario sul server attraverso una configurazione CI/CD contenente un'espressione regolare appositamente costruita. La vulnerabilità è identificata come CVE-2026-97229. GitLab viene usato per conservare codice sorgente, gestire repository e automatizzare compilazioni e distribuzioni. Se un'istanza vulnerabile viene compromessa, un aggressore potrebbe accedere a codice privato, segreti di pipeline e credenziali disponibili sul server, oppure tentare di alterare il processo di rilascio del software.

GIHUB E LITELLM

La versione 1.107.0 del pacchetto open-source LiteLLM (libreria Python e gateway LLM con circa 23 milioni di download settimanali) è stata compromessa tramite un attacco alla supply chain di Github il 21 ottobre 2026. Il malware contiene un credential stealer che si attiva automaticamente ogni volta che viene avviato Python (anche se il programma non importa direttamente LiteLLM) e una backdoor per l'esecuzione remota del codice. Il payload mira a sottrarre chiavi API del provider IA, credenziali cloud (AWS, Azure, Google Cloud), Kubernetes, SSH, GPG, cookie e dati salvati dai browser.

EMUDHRA

Questa vulnerabilità riguarda la compromissione delle chiavi dei certificati digitali. Sono state individuate chiavi private deboli associate a otto certificati intermedi della Certificate Authority eMudhra. Secondo CERT-In, il problema derivava da una generazione crittografica inadeguata: alcune chiavi P-384 erano recuperabili praticamente all'istante dalle rispettive chiavi pubbliche. Questo è un problema diverso da una normale vulnerabilità di un sito web. Le Certificate Authority contribuiscono a stabilire se il certificato HTTPS di un sito sia autentico. Se un aggressore può ricostruire una chiave privata compromessa e il certificato è ancora considerato attendibile dal client, potrebbe tentare di emettere certificati fraudolenti e impersonare domini legittimi. Questo potrebbe agevolare attacchi man-in-the-middle o la distribuzione di software con firme contraffatte. eMudhra ha dichiarato che l'incidente riguarda un insieme specifico di certificati intermedi e non ha comportato una compromissione della propria infrastruttura o una fuga di dati. CERT-In precisa inoltre che i servizi di firma digitale e di eSign non sono interessati da questo specifico incidente.  Questo caso merita particolare attenzione perché un sito web può apparire autentico mentre un attaccante tenta di intercettare o alterare le comunicazioni. Tuttavia, la vulnerabilità non permette automaticamente di rubare i fondi: servono condizioni aggiuntive, come una catena di certificati ancora accettata dal client e la possibilità di intercettare il traffico. 

MALWARE NASCOSTO: NEBULA AI

CloudSEK ha individuato sette pacchetti malevoli pubblicati su npm, camuffati da strumenti per un servizio AI chiamato NebulaAI. I pacchetti erano progettati per installare un trojan Windows capace di consentire accesso remoto al computer infettato. Questa notizia è particolarmente importante per chi sviluppa software, anche se non è un programmatore professionista. npm è il registro di pacchetti utilizzato dall'ecosistema JavaScript e Node.js. Installare una libreria non significa soltanto scaricare codice: alcune dipendenze possono eseguire script durante l'installazione, prima ancora che tu utilizzi la libreria. Nel caso descritto, il codice malevolo installava un eseguibile mascherato da componente legittimo di Windows. Il trojan era progettato per consentire il controllo remoto e attività di sorveglianza, incluse potenzialmente webcam e microfono.

STATE BANK OF INDIA: DATA BREACH

Il 21 ottobre 2026, la State Bank of India ha comunicato di aver rilevato una perdita di dati. Un'analisi preliminare ha individuato 3.897 record di clienti contenenti informazioni personali all'interno di un insieme più ampio di circa 375.000 record segnalati sul Dark Web.  Le informazioni esposte comprendono nomi, numeri di telefono, date di nascita, email, indirizzi, identificativi dei clienti e metadati relativi a prestiti.

ATTACCHI DEGLI AGENTI AI

Secondo un'inchiesta pubblicata il 20 ottobre, un hacker ha impiegato agenti AI per sondare oltre 1.200 siti e comprometterne più di 100 in meno di un mese. Tra i bersagli identificati figurano Deere, SharkNinja e Cummins. Gli agenti AI riducono il costo e il tempo necessari per attaccare molte organizzazioni. Un attacco di questo tipo potrebbe essere rivolto anche a siti di protocolli DeFi, exchange, servizi RPC o infrastrutture di progetti Web3. Un sito compromesso potrebbe essere modificato per indurre gli utenti a firmare transazioni malevole.

Vulnerabilità PHP: Siti Compromessi e Pericolosità (21 Ottobre 2026)

Al 22 ottobre 2026, è in corso una grave emergenza di sicurezza che riguarda due vulnerabilità critiche del linguaggio PHP, utilizzato secondo stime dall'oltre il 70% dei siti web (oltre 1 milione). Le due vulnerabilità, divulgate il 21 ottobre, hanno un punteggio di gravità CVSS 9,2/10 e possono consentire a un attaccante di eseguire codice da remoto su server vulnerabili senza autenticarsi. Il punteggio di 9.2 proviene dal CVSS, il Common Vulnerability Scoring System, che valuta la pericolosità di una vulnerabilità in base a fattori come la facilità con cui può essere sfruttata su Internet e l'entità dei danni che può causare. La scala va da 0 a 10 e qualsiasi valore pari o superiore a 9.0 è considerato estremamente critico. Mercoledì, in seguito alla diffusione anticipata di alcuni dettagli, PHP ha rilasciato le relative correzioni; tuttavia, Cloudflare ha segnalato attacchi già ore prima dell'arrivo della patch. Per precauzione, Francia, Finlandia e Paesi Bassi hanno provveduto a mettere offline i propri siti web governativi. Un aggressore potrebbe modificare pagine, rubare dati custoditi sul server o tentare di ingannare gli utenti con transazioni e collegamenti malevoli. Una falla di questo tipo potrebbe anche consentire a un malintenzionato di eseguire il proprio codice su un server vulnerabile tramite Internet, prendendo il controllo completo del sistema.

VULNERABILITA'

PHP è un linguaggio che gira prevalentemente sui server: gestisce pagine dinamiche, login, database, API e altre funzioni dei siti web. È usato, direttamente o indirettamente, da piattaforme come WordPress, Joomla e Drupal. PHP ha affermato che il rischio è massimo sui server che utilizzano una configurazione Apache comune chiamata mod_php, dove un exploit dimostrato funziona "prima che venga eseguito qualsiasi codice dell'applicazione". In altre parole, le difese del sito web, come le schermate di accesso e i plugin di sicurezza (ad esempio di WordPress), non si attivano nemmeno.

Le due falle sono:

1) CVE-2026-109618: è un errore nella gestione della memoria quando PHP esaurisce il limite può provocare l'esecuzione di codice non autorizzato.

2) CVE-2026-109619: uno stato interno può restare utilizzabile dopo che la memoria associata è stata liberata, consentendo un attacco al processo PHP.

Entrambe possono portare alla Remote Code Execution (RCE): l'attaccante riesce a far eseguire al server comandi o codice sotto il proprio controllo. Il problema interessa diverse modalità di esecuzione di PHP e può verificarsi prima ancora che il codice dell'applicazione venga eseguito, nelle configurazioni vulnerabili descritte dai ricercatori. 

RISCHI

Se un sito utilizza una versione vulnerabile di PHP e viene compromesso, l'attaccante potrebbe ottenere un livello di controllo significativo sul server, a seconda dei permessi e dell'isolamento dell'ambiente.

I rischi principali sono:

- Furto di dati: database utenti, email, password salvate in forma non sicura, token di sessione e altri dati sensibili accessibili sul server.

- Modifica del sito: sostituzione di pagine autentiche con pagine di phishing o schermate di pagamento contraffatte.

- Distribuzione di malware: inserimento di script o download malevoli nelle pagine, se il server compromesso consente queste modifiche.

- Compromissione di account: furto di sessioni e credenziali, con possibili accessi non autorizzati agli account.

- Interruzione dei servizi: cancellazione di dati, manomissione delle applicazioni o blocco del sito.

Inoltre un'integrazione PHP compromessa potrebbe alterare gli indirizzi di pagamento, intercettare dati o falsificare le istruzioni mostrate ai clienti. È un rischio particolarmente pertinente per negozi online e servizi di pagamento.

E SULLA BLOCKCHAIN?

La vulnerabilità PHP riguarda anche il Web3 ma non permette automaticamente di estrarre la seed phrase da MetaMask o di firmare transazioni. Se il wallet è installato localmente e le chiavi restano sul dispositivo, un bug nel server di un sito visitato non equivale a una compromissione delle chiavi.

Il rischio aumenta se un sito compromesso ti induce a inserire la seed phrase, installare software malevolo o firmare una transazione pericolosa. Se il server di un protocollo o della sua interfaccia web viene compromesso, l'aggressore potrebbe tentare di modificare indirizzi dei destinatari, parametri delle transazioni, richieste di approvazione o script caricati dal sito. Potresti quindi ritrovarti davanti a una transazione apparentemente normale che, invece, autorizza uno spender malevolo o trasferisce fondi verso un altro indirizzo. La vulnerabilità PHP non crea da sola questa transazione: il sito compromesso sarebbe il veicolo dell'attacco. Se una piattaforma utilizza PHP in un componente vulnerabile, la compromissione potrebbe esporre dati o sistemi interni. Il rischio sui fondi dipende anche da come sono separati i server web dai sistemi di custodia, dai database e dai sistemi di prelievo. Sostanzialmente il pericolo principale sono attacchi di tipo "DNS hijack", già visti in passato su piattaforme quali Compound, Celer e Curve. Gli utenti, di fatto, non possono adottare contromisure efficaci; la responsabilità di applicare la correzione ricade interamente sui proprietari dei siti web e sulle società di hosting. Il processo potrebbe richiedere diverso tempo, dato che risultano ancora attivi circa 884.000 server che utilizzano PHP 8.1 o versioni precedenti.

Qui puoi trovare altre pericolose vulnerabilità recenti: Alcune Pericolose Vulnerabilità Sul Web: Gitlab, Certificati Digitali e Nebula AI

Il Founder Di Empire Market Condannato a 40 Anni Di Carcere

Qualche giorno fa, "ZeroAngel" (noto anche con lo pseudonimo "Sydney") è stato condannato a 40 anni di carcere dal tribunale di Chicago per aver creato Empire Market. Empire, fu uno dei più grandi mercati neri operanti sulla rete TOR e chiuso diversi anni fa in seguito ad un "exit scam", ha facilitato vendite per un valore superiore a 430 milioni di dollari.

Tra gli articoli venduti su Empire figuravano:

- Droghe.

- Armi.

- Gioielli rubati.

- Carte di credito.

- Credenziali di account compromesse.

- Banconote contraffatte.

- Documenti personali (dati KYC).

- Malware/Ransomware.

ZeroAngel (insieme a Dopenugget, anch'egli arrestato) ha dovuto rispondere di accuse quali facilitazione di vendita di beni illegali, riciclaggio di denaro, associazione a delinquere, crimini informatici e utilizzo di servizi di "mixing" o "tumbling" per occultare le transazioni. In totale ai 2, sono stati sequestrati circa 2.800 BTC, lingotti d'oro, cinque appartamenti e tre automobili. ZeroAngel, prima di creare Empire, era stato tra i venditori più attivi su Alphabay chiuso nel 2017.

Come Riconoscere Hardware Wallet Compromessi e Truffe Simili

Ieri 9 ottobre sono stati rubati circa 87M$ da dispositivi Ledger venduti da un rivenditore di terze parti nel Sud-Est asiatico chiamato CryptoBilis. Sembra che questo rivenditore aveva venduto l'azienda e coloro che l'hanno rilevata hanno compromesso i dispositivi. 

Quando si comprano dispositivi Hardware (ma anche si usano Software wallet) è bene tenere a mente questo tipo di truffe:

- Seed pre-generato: Il dispositivo viene consegnato con un seed già generato (il seed deve essere generato dall'utente al primo avvio).

- Componenti aggiuntivi: Un dispositivo apparentemente autentico può contenere componenti non autorizzati, come modifiche ai circuiti o interfacce di comunicazione nascoste. A volte vengono utilizzati schermi OLED dotati di modem LTE ed eSIM per trasmettere dati.

- Dispositivi infetti da malware: I truffatori inviano talvolta dispositivi contraffatti, completi di imballaggi e lettere ingannevoli, contenenti malware. Le vittime vengono indotte a passare al "nuovo" dispositivo, spesso adducendo la necessità di aggiornamenti. Questi dispositivi possono includere spesso un'unità USB progettata per infettare il dispositivo ma anche il computer (quando si connette l'hardware).

- Keylogger e malware: Un "keylogger" registra i tasti premuti sulla tastiera, un "infostealer" legge i dati della clipboard ma anche dai files/documenti e i malware intercettano i dati salvati dal software del wallet. Questi strumenti possono sottrarre la seed phrase.

- Firmware malevolo: Una supply chain compromessa o un aggiornamento non autentico possono alterare il comportamento del wallet.

- Sostituzione di indirizzi e dati della clipboard: Un malware è in grado di alterare l'indirizzo copiato nella clipboard, sostituendolo con quello dell'attaccante. Se la vittima non verifica l'indirizzo completo prima di inviare la transazione, trasferisce i fondi direttamente all'attaccante. Ci sono "poisonous attack" che imitano gli indirizzi usati dalla vittima (con i primi 5 caratteri e quelli finali identici. Visto che è prassi comune controllare solo l'inizio e la fine degli address quando si stanno per inviare i fondi).

- Vulnerabilità dell'RNG (Generatore di numeri casuali): Seed a bassa entropia (qui si può fare poco se si utilizza un generatore automatico quando si genera il seed la prima volta. L'entropia è la casualità delle 24 parole. Bassa entropia possono essere individuati con brute force attack se l'algoritmo di generazione segue una "logica").

- Dispositivi usati: Il venditore inizializza il wallet, conserva il seed e consegna il dispositivo. Sebbene l'imballaggio appaia autentico, il dispositivo è in realtà usato. Per questo non vanno mai acquistati su Amazon o eBay.

- Attacco alla supply chain software: dApp contenenti codice malevolo possono proporre transazioni progettate per svuotare i wallet.

- Blind signing (firma cieca): La vittima approva una transazione apparentemente innocua ma in realtà firma un trasferimento, come un'autorizzazione illimitata ERC-20 o una funzione "Permit", senza che la frase di recupero venga esposta.

- Applicazioni wallet clonate: Un'app o un sito web che imita servizi come Ledger Wallet o Ledger Live visualizza un falso messaggio di errore, una richiesta di sincronizzazione o un avviso di aggiornamento obbligatorio, inducendo l'utente a inserire la propria frase di recupero di 24 parole. 

- Codici QR: etichette, codici QR o manuali manomessi possono reindirizzare gli utenti verso un sito di configurazione falso, un'applicazione clonata o un indirizzo di deposito controllato dal truffatore.

- Finta assistenza tecnica: account sui social media, profili Telegram o siti web di supporto si spacciano per il produttore; promettono di risolvere problemi o recuperare fondi rubati, richiedendo però la frase di recupero, la scansione di un codice QR o l'accesso remoto al computer.

Ovviamente la self custodial, se fatta come si deve, sarà sempre più sicura di holdare asset su exchange. Tuttavia 1 errore può essere fatale.

L'Attacco Alla Banca Fideuram Tramite AI e Voice Cloning

Fideuram, principale gruppo italiano facente parte di Intesa SanPaolo, ha subito un'elaborata truffa sfruttando Ingegneria Social e AI. I criminali hanno manipolato una persona autorizzata a disporre dei pagamenti, costruendo una falsa catena di comunicazioni tra vertici bancari, avvocati e tesoreria. L'elemento AI è stato soprattutto il voice cloning, mentre WhatsApp, email, documenti falsi e impersonificazione hanno completato il social engineering. Per approfondire su vecchie truffe di manipolazione: Le Più Note Storie Di Ingegneria Sociale. Vediamone i dettagli. 

PRIMO CONTATTO SU WHATSAPP

La vittima è Paolo Molesini, all'epoca presidente di Fideuram. Il 23 febbraio arriva il primo contatto. Molesini riceve su WhatsApp un messaggio da un numero diverso da quello che conosceva, ma il mittente afferma di essere Carlo Messina, CEO di Intesa Sanpaolo, controllante di Fideuram.

Il messaggio costruisce subito uno scenario plausibile:

"Intesa deve effettuare una importante acquisizione all'estero;

l'operazione è urgente;

Intesa non può effettuare direttamente l'acquisizione;

una fuga di notizie potrebbe far intervenire la Consob;

per questo l'operazione dovrebbe passare attraverso Fideuram".

Questa parte è particolarmente intelligente dal punto di vista del social engineering: non gli chiedono immediatamente di inviare i fondi, ma gli danno una storia finanziaria apparentemente riservata che spiega perché Fideuram debba essere coinvolta. Inoltre, secondo gli atti citati, Molesini non trovò immediatamente assurda la storia perché pochi mesi prima era effettivamente circolata una vicenda relativa a una possibile acquisizione di Generali poi sfumata a seguito di indiscrezioni.

FALSA CHIAMATA CON AI

Dopo il falso Messina arriva la seconda conferma. Molesini riceve una telefonata da una persona che sostiene di essere Paolo Nastasi, managing partner di A&O Shearman Italia. Ma Nastasi, secondo le ricostruzioni, non aveva nulla a che fare con l'operazione. La voce che Molesini sente, però, sembra proprio quella dell'avvocato che conosce. Qui entra in gioco l'AI: i truffatori avrebbero utilizzato il voice cloning per replicare la voce di Nastasi. Quindi Molesini riceve una chiamata da una voce apparentemente autentica. Questa comunicazione serve a confermare la prima.

DOCUMENTI FALSI

Il falso avvocato invia quindi 11 documenti. Tra questi ci sarebbero: un accordo di massima riservatezza, una procura speciale apparentemente sottoscritta da Messina, documenti relativi ai pagamenti, le coordinate bancarie, importi, scadenze e istruzioni operative. Secondo gli atti riportati, gli ordini erano denominati "Payment instruction", su carta intestata dello studio legale e apparentemente sottoscritti da un avvocato della sede di Madrid dello stesso studio.

ALTRA FALSA CONFERMA INTERNA

Questa probabilmente è la parte più sofisticata dell'attacco. Lo stesso giorno, secondo la ricostruzione della Procura, un altro truffatore contatta il responsabile della Tesoreria e dei pagamenti di Fideuram.

Si presenta come l'amministratore delegato di Fideuram. Gli comunica, in sostanza: "Molesini ti contatterà a breve per effettuare alcuni bonifici urgenti e riservati". Quindi il tesoriere riceve prima una falsa conferma dall'apparente AD di Fideuram. Poi viene contattato da Molesini.

PARTONO I BONIFICI

A quel punto Molesini, convinto che l'operazione sia stata richiesta dai vertici di Intesa, istruisce il direttore finanziario/tesoriere di Fideuram. Partono diversi bonifici internazionali. La cifra complessiva è stata ricostruita in circa 95 milioni di euro, indirizzati soprattutto verso Cina e Hong Kong, oltre a trasferimenti verso il Portogallo. Si tratta quindi di una truffa che comprende: Business Email Compromise / CEO fraud + deepfake/voice cloning + social engineering.

TRUFFA CHE ESCE A META'

I sistemi di sicurezza interni di Fideuram generano rapidamente un alert e la banca comprende che qualcosa non torna. A quel punto viene attivata la collaborazione interbancaria internazionale per bloccare i fondi. Il risultato è il recupero di oltre €40 milioni bloccati in Cina e restituiti, altri €13 milioni vengono individuati in Portogallo e sequestrati, una parte dei fondi, invece, riesce a proseguire il proprio percorso. I fondi rimasti fuori dalla possibilità di blocco sono stati trasferiti attraverso la banca portoghese e successivamente convertiti in Bitcoin. Le cifre riportate dalle diverse fonti sono leggermente diverse: inizialmente si è parlato di €36 milioni, mentre una successiva ricostruzione giudiziaria parla di circa €39,5 milioni ancora mancanti.

Come Scaricare Video Da TikTok e Rimuovere La Filigrana (Logo)

Scaricare video da "TikTok" è molto semplice nella maggior parte dei casi: è sufficiente tenere premuto sul video e poi cliccare su "scarica". Poi partirà il download automatico in pochi secondi. Tuttavia ci sono alcuni creator che decidono di disabilitare il tasto del download. Tuttavia è semplice scaricare comunque il video tramite questi passaggi:

1) Scelto il video.

2) Condividi (freccia).

3) Copia link.

4) Poi vai qui: Snaptik.

5) Incolla il link e scarica.

Il video verrà scaricato senza filigrana (marchio di TikTok). Se usi invece la funzione "scarica" avrai il marchio di TikTok sul video. Se hai già il video e vuoi eliminare la filigrana, è sufficiente andare qui: Watermarkremover.

Infine un altro tool molto utile è questo: OnlineVideoCutter. Caricato il video, è possibile settare inizio e fine del video e salvarlo. Ovvero di un video di 2 minuti, potrai ad esempio ottenere un video di 30 secondi tagliando il primo minuto e gli ultimi 30 secondi. Questo tool è utile per qualsiasi video, non solo quelli di TikTok.

Come Un Dominio Mail Può Essere Compromesso (Apparendo Legittimo)

Gli ultimi data breach (furto di dati) che hanno colpito il broker Revolut e l'hardware wallet Trezor mostrano un'evoluzione importante del phishing: non sempre il criminale deve falsificare un dominio, un indirizzo email o un sito. A volte riesce a utilizzare quello vero. Una mail può arrivare direttamente dal dominio ufficiale. Ad esempio, Revolut credeva di aver ricevuto la richiesta di dati sensibili (documenti, carta d'identità, transazioni, etc) da un dominio del Governo. Invece coloro che hanno inviato falsi aggiornamenti utilizzando il dominio del provider di Trezor hanno semplicemente compromesso il servizio di terze parti (è stato violato Brevo, il servizio esterno utilizzato per le newsletter. Gli aggressori hanno quindi potuto inviare email apparentemente provenienti da Trezor a circa 347.000 indirizzi, contenenti un link malevolo che invitava a scaricare un falso aggiornamento inerente mancanza di entropia del seed; sostanzialmente il problema che aveva permesso, realmente, ad alcuni attaccanti di drenare fondi dal wallet Coldcard). Vediamo come questo sia possibile.

COMPROMETTERE UN ACCOUNT PERSONALE DI UN DIPENDENTE

Invece di creare `azienda-falsa.com`, il criminale ruba le credenziali di un dipendente o sfrutta una sessione già autenticata e utilizza direttamente l'account reale. Per la vittima, l'email può quindi arrivare dal vero indirizzo. MFA rubato (autenticazione e più fattori), session hijacking, malware, password compromesse o social engineering possono essere utilizzati per ottenere questo accesso.

ACCOUNT COMPROMESSO DELL'AZIENDA STESSA

Questa è la versione particolarmente pericolosa vista con Revolut. Il criminale non finge semplicemente di essere un'autorità: utilizza l'account reale di un'autorità. La richiesta può quindi superare controlli che si basano eccessivamente sulla provenienza dell'email. È una forma di identity impersonation attraverso un'identità autentica. Dovresti sempre chiederti, se i dati richiesti dalla mail sia lecito richiederli o se X aggiornamento/software è davvero necessario. In questi casi, non farti prendere dal panico e controlla le pagine ufficiali della società che ti ha scritto. Nel caso Revolut, sembra che ad essere stato compromesso (da luglio 2026) sia il dominio del Ministro degli Interni della Prefettura di Reggio Calabria.

COMPROMETTERE FORNITORE ESTERNO

È quello che è successo nel caso Trezor. Una grande azienda può essere ben protetta, ma utilizzare decine di servizi esterni: newsletter, CRM, help desk, cloud, analytics, advertising, software di gestione, fornitori IT. Il criminale non attacca necessariamente l'azienda principale: attacca un anello più debole della catena. Una volta ottenuto l'accesso al fornitore, può sfruttare la sua relazione con l'azienda per inviare comunicazioni apparentemente autentiche. Questo è un classico supply-chain attack.

COMPROMETTERE UN DOMINIO

Un'altra possibilità è ottenere il controllo del dominio, del DNS o dei sistemi che gestiscono posta e servizi web. Anche in questo scenario il dominio è realmente quello dell'organizzazione: non c'è bisogno di inventare `trez0r.io` o `revolut-security.com`. Il criminale opera direttamente sotto l'infrastruttura legittima. È anche per questo che la sicurezza del DNS e dell'account del registrar è fondamentale.

SPOOFING DELL'INDIRIZZO MAIL

Questa è la tecnica più conosciuta: il criminale cerca di far apparire un'email come proveniente da un dominio legittimo. Probabilmente avrai anche ricevuto mail da te stesso, facendoti credere che qualcuno operasse direttamente dal tuo computer (di solito sono tentativi di estorsione mediante ricatti con video e quant'altro). SPF, DKIM e DMARC sono stati sviluppati proprio per rendere questo tipo di falsificazione molto più difficile. In questo caso, un'email può sembrare provenire da un dominio senza che l'attaccante abbia realmente accesso al dominio. Per questo un indirizzo "perfetto" non costituisce da solo una prova di autenticità.

INGEGNERIA SOCIALE

Anche quando l'infrastruttura tecnica è compromessa, quasi sempre entra in gioco l'elemento umano. Il criminale può convincere un dipendente a:

-cliccare un link;

-fornire credenziali;

-approvare un login MFA;

-modificare un account;

-effettuare una richiesta;

-ignorare una procedura di verifica.

Il punto debole non è necessariamente il software: può essere la fiducia del dipendente.

PHISHING MEDIANTE SERVIZI AFFIDABILI COMPROMESSI

Un link malevolo non deve necessariamente partire da un dominio sconosciuto. Può essere inserito in:

newsletter legittime compromesse, account social verificati, piattaforme pubblicitarie, servizi di redirect, documenti condivisi, repository, sistemi di supporto e piattaforme SaaS compromesse. Il falso aggiornamento è particolarmente efficace perché sfrutta una regola generalmente corretta: "Aggiorna sempre il software". Il problema nasce quando l'utente riceve l'aggiornamento attraverso un canale compromesso.

TYPOSQUATTING (DOMINI QUASI IDENTICI)

Insieme allo spoofing, è la tecnica più "vecchia": trezor.io diventa trezorr.io oppure trez0r.io o un dominio completamente diverso che contiene il nome dell'azienda. Pensa in un nome sostituire la "o" con lo "0" oppure la "I" con la "l". È ancora estremamente efficace, soprattutto quando viene combinata con Google Ads, SEO poisoning, social media o email phishing.

ATTACCHI COMBINATI MAIL + ACCOUNT SOCIAL

Immagina compromettere contemporaneamente un indirizzo mail dal quale si invia un aggiornamento (malware) e allo stesso tempo compromettere l'account social verificato dell'azienda o il sito web. Oppure nella mail rimandare ad una pagina social clonata di quell'azienda con tanto di followers, commenti e badge di verifica. Un account ufficiale può essere compromesso oppure un attaccante può sfruttare account verificati, pubblicità o profili apparentemente ufficiali per distribuire link malevoli.

Con l'AI il problema è ancora maggiore: testo, immagini, voce e persino video possono essere imitati con grande precisione.

PERICOLOSITA' DI QUESTI ATTACCHI

Si tratta di attacchi molto pericolosi perchè oltre a richiedere informazioni personali su una persona o un'azienda potrebbero essere usati per installare malware, ransomware, keylogger (che salvano tutto ciò che viene digitato sulla tastiera), etc