Alcune Pericolose Vulnerabilità Sul Web: Gitlab, Certificati Digitali e Nebula AI

Oltre alla vulnerabilità pericolosissima di PHP, al 22 ottobre 2026, risultano diversi problemi di sicurezza particolarmente gravi su internet: una falla critica in GitLab, chiavi di certificati digitali compromesse, attacchi automatizzati tramite AI, malware distribuito attraverso pacchetti software e dati bancari esposti (riguardo i dati bancari è avvenuto in India ma viene riportato per completezza).

GITLAB

CVSS la classifica come pericolosità massima 10/10. GitLab dice di aver corretto una vulnerabilità che, in determinate versioni e condizioni, poteva consentire a un utente non autenticato di eseguire codice arbitrario sul server attraverso una configurazione CI/CD contenente un'espressione regolare appositamente costruita. La vulnerabilità è identificata come CVE-2026-97229. GitLab viene usato per conservare codice sorgente, gestire repository e automatizzare compilazioni e distribuzioni. Se un'istanza vulnerabile viene compromessa, un aggressore potrebbe accedere a codice privato, segreti di pipeline e credenziali disponibili sul server, oppure tentare di alterare il processo di rilascio del software.

GIHUB E LITELLM

La versione 1.107.0 del pacchetto open-source LiteLLM (libreria Python e gateway LLM con circa 23 milioni di download settimanali) è stata compromessa tramite un attacco alla supply chain di Github il 21 ottobre 2026. Il malware contiene un credential stealer che si attiva automaticamente ogni volta che viene avviato Python (anche se il programma non importa direttamente LiteLLM) e una backdoor per l'esecuzione remota del codice. Il payload mira a sottrarre chiavi API del provider IA, credenziali cloud (AWS, Azure, Google Cloud), Kubernetes, SSH, GPG, cookie e dati salvati dai browser.

EMUDHRA

Questa vulnerabilità riguarda la compromissione delle chiavi dei certificati digitali. Sono state individuate chiavi private deboli associate a otto certificati intermedi della Certificate Authority eMudhra. Secondo CERT-In, il problema derivava da una generazione crittografica inadeguata: alcune chiavi P-384 erano recuperabili praticamente all'istante dalle rispettive chiavi pubbliche. Questo è un problema diverso da una normale vulnerabilità di un sito web. Le Certificate Authority contribuiscono a stabilire se il certificato HTTPS di un sito sia autentico. Se un aggressore può ricostruire una chiave privata compromessa e il certificato è ancora considerato attendibile dal client, potrebbe tentare di emettere certificati fraudolenti e impersonare domini legittimi. Questo potrebbe agevolare attacchi man-in-the-middle o la distribuzione di software con firme contraffatte. eMudhra ha dichiarato che l'incidente riguarda un insieme specifico di certificati intermedi e non ha comportato una compromissione della propria infrastruttura o una fuga di dati. CERT-In precisa inoltre che i servizi di firma digitale e di eSign non sono interessati da questo specifico incidente.  Questo caso merita particolare attenzione perché un sito web può apparire autentico mentre un attaccante tenta di intercettare o alterare le comunicazioni. Tuttavia, la vulnerabilità non permette automaticamente di rubare i fondi: servono condizioni aggiuntive, come una catena di certificati ancora accettata dal client e la possibilità di intercettare il traffico. 

MALWARE NASCOSTO: NEBULA AI

CloudSEK ha individuato sette pacchetti malevoli pubblicati su npm, camuffati da strumenti per un servizio AI chiamato NebulaAI. I pacchetti erano progettati per installare un trojan Windows capace di consentire accesso remoto al computer infettato. Questa notizia è particolarmente importante per chi sviluppa software, anche se non è un programmatore professionista. npm è il registro di pacchetti utilizzato dall'ecosistema JavaScript e Node.js. Installare una libreria non significa soltanto scaricare codice: alcune dipendenze possono eseguire script durante l'installazione, prima ancora che tu utilizzi la libreria. Nel caso descritto, il codice malevolo installava un eseguibile mascherato da componente legittimo di Windows. Il trojan era progettato per consentire il controllo remoto e attività di sorveglianza, incluse potenzialmente webcam e microfono.

STATE BANK OF INDIA: DATA BREACH

Il 21 ottobre 2026, la State Bank of India ha comunicato di aver rilevato una perdita di dati. Un'analisi preliminare ha individuato 3.897 record di clienti contenenti informazioni personali all'interno di un insieme più ampio di circa 375.000 record segnalati sul Dark Web.  Le informazioni esposte comprendono nomi, numeri di telefono, date di nascita, email, indirizzi, identificativi dei clienti e metadati relativi a prestiti.

ATTACCHI DEGLI AGENTI AI

Secondo un'inchiesta pubblicata il 20 ottobre, un hacker ha impiegato agenti AI per sondare oltre 1.200 siti e comprometterne più di 100 in meno di un mese. Tra i bersagli identificati figurano Deere, SharkNinja e Cummins. Gli agenti AI riducono il costo e il tempo necessari per attaccare molte organizzazioni. Un attacco di questo tipo potrebbe essere rivolto anche a siti di protocolli DeFi, exchange, servizi RPC o infrastrutture di progetti Web3. Un sito compromesso potrebbe essere modificato per indurre gli utenti a firmare transazioni malevole.

Vulnerabilità PHP: Siti Compromessi e Pericolosità (21 Ottobre 2026)

Al 22 ottobre 2026, è in corso una grave emergenza di sicurezza che riguarda due vulnerabilità critiche del linguaggio PHP, utilizzato secondo stime dall'oltre il 70% dei siti web (oltre 1 milione). Le due vulnerabilità, divulgate il 21 ottobre, hanno un punteggio di gravità CVSS 9,2/10 e possono consentire a un attaccante di eseguire codice da remoto su server vulnerabili senza autenticarsi. Il punteggio di 9.2 proviene dal CVSS, il Common Vulnerability Scoring System, che valuta la pericolosità di una vulnerabilità in base a fattori come la facilità con cui può essere sfruttata su Internet e l'entità dei danni che può causare. La scala va da 0 a 10 e qualsiasi valore pari o superiore a 9.0 è considerato estremamente critico. Mercoledì, in seguito alla diffusione anticipata di alcuni dettagli, PHP ha rilasciato le relative correzioni; tuttavia, Cloudflare ha segnalato attacchi già ore prima dell'arrivo della patch. Per precauzione, Francia, Finlandia e Paesi Bassi hanno provveduto a mettere offline i propri siti web governativi. Un aggressore potrebbe modificare pagine, rubare dati custoditi sul server o tentare di ingannare gli utenti con transazioni e collegamenti malevoli. Una falla di questo tipo potrebbe anche consentire a un malintenzionato di eseguire il proprio codice su un server vulnerabile tramite Internet, prendendo il controllo completo del sistema.

VULNERABILITA'

PHP è un linguaggio che gira prevalentemente sui server: gestisce pagine dinamiche, login, database, API e altre funzioni dei siti web. È usato, direttamente o indirettamente, da piattaforme come WordPress, Joomla e Drupal. PHP ha affermato che il rischio è massimo sui server che utilizzano una configurazione Apache comune chiamata mod_php, dove un exploit dimostrato funziona "prima che venga eseguito qualsiasi codice dell'applicazione". In altre parole, le difese del sito web, come le schermate di accesso e i plugin di sicurezza (ad esempio di WordPress), non si attivano nemmeno.

Le due falle sono:

1) CVE-2026-109618: è un errore nella gestione della memoria quando PHP esaurisce il limite può provocare l'esecuzione di codice non autorizzato.

2) CVE-2026-109619: uno stato interno può restare utilizzabile dopo che la memoria associata è stata liberata, consentendo un attacco al processo PHP.

Entrambe possono portare alla Remote Code Execution (RCE): l'attaccante riesce a far eseguire al server comandi o codice sotto il proprio controllo. Il problema interessa diverse modalità di esecuzione di PHP e può verificarsi prima ancora che il codice dell'applicazione venga eseguito, nelle configurazioni vulnerabili descritte dai ricercatori. 

RISCHI

Se un sito utilizza una versione vulnerabile di PHP e viene compromesso, l'attaccante potrebbe ottenere un livello di controllo significativo sul server, a seconda dei permessi e dell'isolamento dell'ambiente.

I rischi principali sono:

- Furto di dati: database utenti, email, password salvate in forma non sicura, token di sessione e altri dati sensibili accessibili sul server.

- Modifica del sito: sostituzione di pagine autentiche con pagine di phishing o schermate di pagamento contraffatte.

- Distribuzione di malware: inserimento di script o download malevoli nelle pagine, se il server compromesso consente queste modifiche.

- Compromissione di account: furto di sessioni e credenziali, con possibili accessi non autorizzati agli account.

- Interruzione dei servizi: cancellazione di dati, manomissione delle applicazioni o blocco del sito.

Inoltre un'integrazione PHP compromessa potrebbe alterare gli indirizzi di pagamento, intercettare dati o falsificare le istruzioni mostrate ai clienti. È un rischio particolarmente pertinente per negozi online e servizi di pagamento.

E SULLA BLOCKCHAIN?

La vulnerabilità PHP riguarda anche il Web3 ma non permette automaticamente di estrarre la seed phrase da MetaMask o di firmare transazioni. Se il wallet è installato localmente e le chiavi restano sul dispositivo, un bug nel server di un sito visitato non equivale a una compromissione delle chiavi.

Il rischio aumenta se un sito compromesso ti induce a inserire la seed phrase, installare software malevolo o firmare una transazione pericolosa. Se il server di un protocollo o della sua interfaccia web viene compromesso, l'aggressore potrebbe tentare di modificare indirizzi dei destinatari, parametri delle transazioni, richieste di approvazione o script caricati dal sito. Potresti quindi ritrovarti davanti a una transazione apparentemente normale che, invece, autorizza uno spender malevolo o trasferisce fondi verso un altro indirizzo. La vulnerabilità PHP non crea da sola questa transazione: il sito compromesso sarebbe il veicolo dell'attacco. Se una piattaforma utilizza PHP in un componente vulnerabile, la compromissione potrebbe esporre dati o sistemi interni. Il rischio sui fondi dipende anche da come sono separati i server web dai sistemi di custodia, dai database e dai sistemi di prelievo. Sostanzialmente il pericolo principale sono attacchi di tipo "DNS hijack", già visti in passato su piattaforme quali Compound, Celer e Curve. Gli utenti, di fatto, non possono adottare contromisure efficaci; la responsabilità di applicare la correzione ricade interamente sui proprietari dei siti web e sulle società di hosting. Il processo potrebbe richiedere diverso tempo, dato che risultano ancora attivi circa 884.000 server che utilizzano PHP 8.1 o versioni precedenti.

Qui puoi trovare altre pericolose vulnerabilità recenti: Alcune Pericolose Vulnerabilità Sul Web: Gitlab, Certificati Digitali e Nebula AI

Il Founder Di Empire Market Condannato a 40 Anni Di Carcere

Qualche giorno fa, "ZeroAngel" (noto anche con lo pseudonimo "Sydney") è stato condannato a 40 anni di carcere dal tribunale di Chicago per aver creato Empire Market. Empire, fu uno dei più grandi mercati neri operanti sulla rete TOR e chiuso diversi anni fa in seguito ad un "exit scam", ha facilitato vendite per un valore superiore a 430 milioni di dollari.

Tra gli articoli venduti su Empire figuravano:

- Droghe.

- Armi.

- Gioielli rubati.

- Carte di credito.

- Credenziali di account compromesse.

- Banconote contraffatte.

- Documenti personali (dati KYC).

- Malware/Ransomware.

ZeroAngel (insieme a Dopenugget, anch'egli arrestato) ha dovuto rispondere di accuse quali facilitazione di vendita di beni illegali, riciclaggio di denaro, associazione a delinquere, crimini informatici e utilizzo di servizi di "mixing" o "tumbling" per occultare le transazioni. In totale ai 2, sono stati sequestrati circa 2.800 BTC, lingotti d'oro, cinque appartamenti e tre automobili. ZeroAngel, prima di creare Empire, era stato tra i venditori più attivi su Alphabay chiuso nel 2017.

Come Riconoscere Hardware Wallet Compromessi e Truffe Simili

Ieri 9 ottobre sono stati rubati circa 87M$ da dispositivi Ledger venduti da un rivenditore di terze parti nel Sud-Est asiatico chiamato CryptoBilis. Sembra che questo rivenditore aveva venduto l'azienda e coloro che l'hanno rilevata hanno compromesso i dispositivi. 

Quando si comprano dispositivi Hardware (ma anche si usano Software wallet) è bene tenere a mente questo tipo di truffe:

- Seed pre-generato: Il dispositivo viene consegnato con un seed già generato (il seed deve essere generato dall'utente al primo avvio).

- Componenti aggiuntivi: Un dispositivo apparentemente autentico può contenere componenti non autorizzati, come modifiche ai circuiti o interfacce di comunicazione nascoste. A volte vengono utilizzati schermi OLED dotati di modem LTE ed eSIM per trasmettere dati.

- Dispositivi infetti da malware: I truffatori inviano talvolta dispositivi contraffatti, completi di imballaggi e lettere ingannevoli, contenenti malware. Le vittime vengono indotte a passare al "nuovo" dispositivo, spesso adducendo la necessità di aggiornamenti. Questi dispositivi possono includere spesso un'unità USB progettata per infettare il dispositivo ma anche il computer (quando si connette l'hardware).

- Keylogger e malware: Un "keylogger" registra i tasti premuti sulla tastiera, un "infostealer" legge i dati della clipboard ma anche dai files/documenti e i malware intercettano i dati salvati dal software del wallet. Questi strumenti possono sottrarre la seed phrase.

- Firmware malevolo: Una supply chain compromessa o un aggiornamento non autentico possono alterare il comportamento del wallet.

- Sostituzione di indirizzi e dati della clipboard: Un malware è in grado di alterare l'indirizzo copiato nella clipboard, sostituendolo con quello dell'attaccante. Se la vittima non verifica l'indirizzo completo prima di inviare la transazione, trasferisce i fondi direttamente all'attaccante. Ci sono "poisonous attack" che imitano gli indirizzi usati dalla vittima (con i primi 5 caratteri e quelli finali identici. Visto che è prassi comune controllare solo l'inizio e la fine degli address quando si stanno per inviare i fondi).

- Vulnerabilità dell'RNG (Generatore di numeri casuali): Seed a bassa entropia (qui si può fare poco se si utilizza un generatore automatico quando si genera il seed la prima volta. L'entropia è la casualità delle 24 parole. Bassa entropia possono essere individuati con brute force attack se l'algoritmo di generazione segue una "logica").

- Dispositivi usati: Il venditore inizializza il wallet, conserva il seed e consegna il dispositivo. Sebbene l'imballaggio appaia autentico, il dispositivo è in realtà usato. Per questo non vanno mai acquistati su Amazon o eBay.

- Attacco alla supply chain software: dApp contenenti codice malevolo possono proporre transazioni progettate per svuotare i wallet.

- Blind signing (firma cieca): La vittima approva una transazione apparentemente innocua ma in realtà firma un trasferimento, come un'autorizzazione illimitata ERC-20 o una funzione "Permit", senza che la frase di recupero venga esposta.

- Applicazioni wallet clonate: Un'app o un sito web che imita servizi come Ledger Wallet o Ledger Live visualizza un falso messaggio di errore, una richiesta di sincronizzazione o un avviso di aggiornamento obbligatorio, inducendo l'utente a inserire la propria frase di recupero di 24 parole. 

- Codici QR: etichette, codici QR o manuali manomessi possono reindirizzare gli utenti verso un sito di configurazione falso, un'applicazione clonata o un indirizzo di deposito controllato dal truffatore.

- Finta assistenza tecnica: account sui social media, profili Telegram o siti web di supporto si spacciano per il produttore; promettono di risolvere problemi o recuperare fondi rubati, richiedendo però la frase di recupero, la scansione di un codice QR o l'accesso remoto al computer.

Ovviamente la self custodial, se fatta come si deve, sarà sempre più sicura di holdare asset su exchange. Tuttavia 1 errore può essere fatale.

L'Attacco Alla Banca Fideuram Tramite AI e Voice Cloning

Fideuram, principale gruppo italiano facente parte di Intesa SanPaolo, ha subito un'elaborata truffa sfruttando Ingegneria Social e AI. I criminali hanno manipolato una persona autorizzata a disporre dei pagamenti, costruendo una falsa catena di comunicazioni tra vertici bancari, avvocati e tesoreria. L'elemento AI è stato soprattutto il voice cloning, mentre WhatsApp, email, documenti falsi e impersonificazione hanno completato il social engineering. Per approfondire su vecchie truffe di manipolazione: Le Più Note Storie Di Ingegneria Sociale. Vediamone i dettagli. 

PRIMO CONTATTO SU WHATSAPP

La vittima è Paolo Molesini, all'epoca presidente di Fideuram. Il 23 febbraio arriva il primo contatto. Molesini riceve su WhatsApp un messaggio da un numero diverso da quello che conosceva, ma il mittente afferma di essere Carlo Messina, CEO di Intesa Sanpaolo, controllante di Fideuram.

Il messaggio costruisce subito uno scenario plausibile:

"Intesa deve effettuare una importante acquisizione all'estero;

l'operazione è urgente;

Intesa non può effettuare direttamente l'acquisizione;

una fuga di notizie potrebbe far intervenire la Consob;

per questo l'operazione dovrebbe passare attraverso Fideuram".

Questa parte è particolarmente intelligente dal punto di vista del social engineering: non gli chiedono immediatamente di inviare i fondi, ma gli danno una storia finanziaria apparentemente riservata che spiega perché Fideuram debba essere coinvolta. Inoltre, secondo gli atti citati, Molesini non trovò immediatamente assurda la storia perché pochi mesi prima era effettivamente circolata una vicenda relativa a una possibile acquisizione di Generali poi sfumata a seguito di indiscrezioni.

FALSA CHIAMATA CON AI

Dopo il falso Messina arriva la seconda conferma. Molesini riceve una telefonata da una persona che sostiene di essere Paolo Nastasi, managing partner di A&O Shearman Italia. Ma Nastasi, secondo le ricostruzioni, non aveva nulla a che fare con l'operazione. La voce che Molesini sente, però, sembra proprio quella dell'avvocato che conosce. Qui entra in gioco l'AI: i truffatori avrebbero utilizzato il voice cloning per replicare la voce di Nastasi. Quindi Molesini riceve una chiamata da una voce apparentemente autentica. Questa comunicazione serve a confermare la prima.

DOCUMENTI FALSI

Il falso avvocato invia quindi 11 documenti. Tra questi ci sarebbero: un accordo di massima riservatezza, una procura speciale apparentemente sottoscritta da Messina, documenti relativi ai pagamenti, le coordinate bancarie, importi, scadenze e istruzioni operative. Secondo gli atti riportati, gli ordini erano denominati "Payment instruction", su carta intestata dello studio legale e apparentemente sottoscritti da un avvocato della sede di Madrid dello stesso studio.

ALTRA FALSA CONFERMA INTERNA

Questa probabilmente è la parte più sofisticata dell'attacco. Lo stesso giorno, secondo la ricostruzione della Procura, un altro truffatore contatta il responsabile della Tesoreria e dei pagamenti di Fideuram.

Si presenta come l'amministratore delegato di Fideuram. Gli comunica, in sostanza: "Molesini ti contatterà a breve per effettuare alcuni bonifici urgenti e riservati". Quindi il tesoriere riceve prima una falsa conferma dall'apparente AD di Fideuram. Poi viene contattato da Molesini.

PARTONO I BONIFICI

A quel punto Molesini, convinto che l'operazione sia stata richiesta dai vertici di Intesa, istruisce il direttore finanziario/tesoriere di Fideuram. Partono diversi bonifici internazionali. La cifra complessiva è stata ricostruita in circa 95 milioni di euro, indirizzati soprattutto verso Cina e Hong Kong, oltre a trasferimenti verso il Portogallo. Si tratta quindi di una truffa che comprende: Business Email Compromise / CEO fraud + deepfake/voice cloning + social engineering.

TRUFFA CHE ESCE A META'

I sistemi di sicurezza interni di Fideuram generano rapidamente un alert e la banca comprende che qualcosa non torna. A quel punto viene attivata la collaborazione interbancaria internazionale per bloccare i fondi. Il risultato è il recupero di oltre €40 milioni bloccati in Cina e restituiti, altri €13 milioni vengono individuati in Portogallo e sequestrati, una parte dei fondi, invece, riesce a proseguire il proprio percorso. I fondi rimasti fuori dalla possibilità di blocco sono stati trasferiti attraverso la banca portoghese e successivamente convertiti in Bitcoin. Le cifre riportate dalle diverse fonti sono leggermente diverse: inizialmente si è parlato di €36 milioni, mentre una successiva ricostruzione giudiziaria parla di circa €39,5 milioni ancora mancanti.

Come Scaricare Video Da TikTok e Rimuovere La Filigrana (Logo)

Scaricare video da "TikTok" è molto semplice nella maggior parte dei casi: è sufficiente tenere premuto sul video e poi cliccare su "scarica". Poi partirà il download automatico in pochi secondi. Tuttavia ci sono alcuni creator che decidono di disabilitare il tasto del download. Tuttavia è semplice scaricare comunque il video tramite questi passaggi:

1) Scelto il video.

2) Condividi (freccia).

3) Copia link.

4) Poi vai qui: Snaptik.

5) Incolla il link e scarica.

Il video verrà scaricato senza filigrana (marchio di TikTok). Se usi invece la funzione "scarica" avrai il marchio di TikTok sul video. Se hai già il video e vuoi eliminare la filigrana, è sufficiente andare qui: Watermarkremover.

Infine un altro tool molto utile è questo: OnlineVideoCutter. Caricato il video, è possibile settare inizio e fine del video e salvarlo. Ovvero di un video di 2 minuti, potrai ad esempio ottenere un video di 30 secondi tagliando il primo minuto e gli ultimi 30 secondi. Questo tool è utile per qualsiasi video, non solo quelli di TikTok.

Come Un Dominio Mail Può Essere Compromesso (Apparendo Legittimo)

Gli ultimi data breach (furto di dati) che hanno colpito il broker Revolut e l'hardware wallet Trezor mostrano un'evoluzione importante del phishing: non sempre il criminale deve falsificare un dominio, un indirizzo email o un sito. A volte riesce a utilizzare quello vero. Una mail può arrivare direttamente dal dominio ufficiale. Ad esempio, Revolut credeva di aver ricevuto la richiesta di dati sensibili (documenti, carta d'identità, transazioni, etc) da un dominio del Governo. Invece coloro che hanno inviato falsi aggiornamenti utilizzando il dominio del provider di Trezor hanno semplicemente compromesso il servizio di terze parti (è stato violato Brevo, il servizio esterno utilizzato per le newsletter. Gli aggressori hanno quindi potuto inviare email apparentemente provenienti da Trezor a circa 347.000 indirizzi, contenenti un link malevolo che invitava a scaricare un falso aggiornamento inerente mancanza di entropia del seed; sostanzialmente il problema che aveva permesso, realmente, ad alcuni attaccanti di drenare fondi dal wallet Coldcard). Vediamo come questo sia possibile.

COMPROMETTERE UN ACCOUNT PERSONALE DI UN DIPENDENTE

Invece di creare `azienda-falsa.com`, il criminale ruba le credenziali di un dipendente o sfrutta una sessione già autenticata e utilizza direttamente l'account reale. Per la vittima, l'email può quindi arrivare dal vero indirizzo. MFA rubato (autenticazione e più fattori), session hijacking, malware, password compromesse o social engineering possono essere utilizzati per ottenere questo accesso.

ACCOUNT COMPROMESSO DELL'AZIENDA STESSA

Questa è la versione particolarmente pericolosa vista con Revolut. Il criminale non finge semplicemente di essere un'autorità: utilizza l'account reale di un'autorità. La richiesta può quindi superare controlli che si basano eccessivamente sulla provenienza dell'email. È una forma di identity impersonation attraverso un'identità autentica. Dovresti sempre chiederti, se i dati richiesti dalla mail sia lecito richiederli o se X aggiornamento/software è davvero necessario. In questi casi, non farti prendere dal panico e controlla le pagine ufficiali della società che ti ha scritto. Nel caso Revolut, sembra che ad essere stato compromesso (da luglio 2026) sia il dominio del Ministro degli Interni della Prefettura di Reggio Calabria.

COMPROMETTERE FORNITORE ESTERNO

È quello che è successo nel caso Trezor. Una grande azienda può essere ben protetta, ma utilizzare decine di servizi esterni: newsletter, CRM, help desk, cloud, analytics, advertising, software di gestione, fornitori IT. Il criminale non attacca necessariamente l'azienda principale: attacca un anello più debole della catena. Una volta ottenuto l'accesso al fornitore, può sfruttare la sua relazione con l'azienda per inviare comunicazioni apparentemente autentiche. Questo è un classico supply-chain attack.

COMPROMETTERE UN DOMINIO

Un'altra possibilità è ottenere il controllo del dominio, del DNS o dei sistemi che gestiscono posta e servizi web. Anche in questo scenario il dominio è realmente quello dell'organizzazione: non c'è bisogno di inventare `trez0r.io` o `revolut-security.com`. Il criminale opera direttamente sotto l'infrastruttura legittima. È anche per questo che la sicurezza del DNS e dell'account del registrar è fondamentale.

SPOOFING DELL'INDIRIZZO MAIL

Questa è la tecnica più conosciuta: il criminale cerca di far apparire un'email come proveniente da un dominio legittimo. Probabilmente avrai anche ricevuto mail da te stesso, facendoti credere che qualcuno operasse direttamente dal tuo computer (di solito sono tentativi di estorsione mediante ricatti con video e quant'altro). SPF, DKIM e DMARC sono stati sviluppati proprio per rendere questo tipo di falsificazione molto più difficile. In questo caso, un'email può sembrare provenire da un dominio senza che l'attaccante abbia realmente accesso al dominio. Per questo un indirizzo "perfetto" non costituisce da solo una prova di autenticità.

INGEGNERIA SOCIALE

Anche quando l'infrastruttura tecnica è compromessa, quasi sempre entra in gioco l'elemento umano. Il criminale può convincere un dipendente a:

-cliccare un link;

-fornire credenziali;

-approvare un login MFA;

-modificare un account;

-effettuare una richiesta;

-ignorare una procedura di verifica.

Il punto debole non è necessariamente il software: può essere la fiducia del dipendente.

PHISHING MEDIANTE SERVIZI AFFIDABILI COMPROMESSI

Un link malevolo non deve necessariamente partire da un dominio sconosciuto. Può essere inserito in:

newsletter legittime compromesse, account social verificati, piattaforme pubblicitarie, servizi di redirect, documenti condivisi, repository, sistemi di supporto e piattaforme SaaS compromesse. Il falso aggiornamento è particolarmente efficace perché sfrutta una regola generalmente corretta: "Aggiorna sempre il software". Il problema nasce quando l'utente riceve l'aggiornamento attraverso un canale compromesso.

TYPOSQUATTING (DOMINI QUASI IDENTICI)

Insieme allo spoofing, è la tecnica più "vecchia": trezor.io diventa trezorr.io oppure trez0r.io o un dominio completamente diverso che contiene il nome dell'azienda. Pensa in un nome sostituire la "o" con lo "0" oppure la "I" con la "l". È ancora estremamente efficace, soprattutto quando viene combinata con Google Ads, SEO poisoning, social media o email phishing.

ATTACCHI COMBINATI MAIL + ACCOUNT SOCIAL

Immagina compromettere contemporaneamente un indirizzo mail dal quale si invia un aggiornamento (malware) e allo stesso tempo compromettere l'account social verificato dell'azienda o il sito web. Oppure nella mail rimandare ad una pagina social clonata di quell'azienda con tanto di followers, commenti e badge di verifica. Un account ufficiale può essere compromesso oppure un attaccante può sfruttare account verificati, pubblicità o profili apparentemente ufficiali per distribuire link malevoli.

Con l'AI il problema è ancora maggiore: testo, immagini, voce e persino video possono essere imitati con grande precisione.

PERICOLOSITA' DI QUESTI ATTACCHI

Si tratta di attacchi molto pericolosi perchè oltre a richiedere informazioni personali su una persona o un'azienda potrebbero essere usati per installare malware, ransomware, keylogger (che salvano tutto ciò che viene digitato sulla tastiera), etc

Cos'è Il Time Warp Attack Su Bitcoin?

Il Time-Warp Attack (Timestamp Manipulation Attack) è un attacco teorico al network Bitcoin che sfrutta il modo in cui il protocollo regola la difficulty del mining. Si chiama "Time-Warp" perché l’attacco "piega" il tempo visto dalla rete, facendole credere di vivere in un tempo diverso dal reale (un "warping" del tempo). Questo attacco può essere eseguito da un gruppo di miners che manipola intenzionalmente i timestamp dei blocchi per rallentare artificialmente l’aumento della difficoltà o addirittura farla diminuire. L’obiettivo dell’attacco è ridurre la difficulty, così da poter minare blocchi più velocemente e guadagnare di più rispetto ai miners onesti. Va tenuto conto che ogni 2016 blocchi (circa 2 settimane) Bitcoin ricalcola la difficoltà in base al tempo reale trascorso.

Secondo le regole del network:

2016 blocchi richiedano esattamente 2016 per 10 minuti = 20.160 minuti (cioè circa 14 giorni).

- Se i blocchi sono stati trovati troppo rapidamente: la difficoltà aumenta.

- Se invece sono stati trovati troppo lentamente: la difficoltà diminuisce.

Il timestamp di un nuovo blocco deve essere maggiore/uguale della media degli ultimi 11 blocchi (regola MTP – Median Time Past) e minore/uguale dell' orario futuro di max 2 ore quindi la manipolazione non può essere veloce ma graduale. A causa di questa regola infatti, che fissa il timestamp minimo al valore mediano degli ultimi 11 blocchi, la manipolazione del tempo può avanzare solo molto lentamente quindi si possono "rubare" pochi secondi per blocco (su 2016 blocchi si traduce in settimane di manipolazione).

Il punto debole per lanciare l'attacco sta proprio nei timestamp dei blocchi. Se i miners riescono a manipolare i timestamp (nei blocchi che producono): mettono ogni nuovo blocco con un timestamp leggermente più grande del precedente (molto meno del tempo reale). Questo serve ad ingannare il network che crede che i 2016 blocchi abbiano richiesto molto meno tempo di quello reale che è effettivamente trascorso. A causa di ciò, Bitcoin "crede" che i blocchi siano stati trovati troppo lentamente quindi abbassa la difficulty. Con una difficulty più bassa, gli attaccanti minano molti più blocchi a minor costo.

Il Time-Warp Attack richiede cooperazione fra un grande gruppo di miner altrimenti è impossibile da attuare almeno su Bitcoin (ma può avvenire su altri Proof Of Work più piccoli con meno hashrate). Per riuscirci su Bitcoin, servirebbe più del 51% di hash power, cioè lo stesso requisito di un double spend attack ad esempio. I miners non sarebbero neanche incentivati: danneggiare Bitcoin distruggerebbe i loro stessi guadagni (magari facendo scendere il prezzo). In generale comunque questo attacco non permette:

- Riorganizzazioni della chain.

- Doppie spese.

- Blocchi malevoli con regole non valide.

Dunque serve solo a ridurre artificialmente la difficulty, rendendo più facile minare. Anche se è quasi impossibile applicarlo su Bitcoin, può essere sfruttato su alcune altcoin minori con meno potenza di mining.

Le Più Note Storie Di Ingegneria Sociale

L'ingegneria sociale sono tecniche di manipolazione psicologica usate per ingannare persone o organizzazioni, inducendole a rivelare informazioni riservate o a compiere azioni fraudolente. Il reparto truffe è molto ampio, tuttavia ci sono nomi storici (e non) che hanno fatto parlare di sè per le tecniche utilizzate.

FRANK ABBAGNALE (ANNI 60)

Frank Abagnale, la cui storia è stata raccontata nel film "Catch Me If You Can", è famoso per le sue truffe spacciandosi per altre persone. In giovane età, Abagnale impersonò un pilota della Pan Am, un medico e un avvocato, riuscendo a truffare banche e persone per un totale stimato di oltre 2,5 milioni di dollari. Usava tecniche di ingegneria sociale per entrare in ruoli di fiducia, guadagnando accesso a conti bancari e fondi. In seguito Abagnale è diventato un consulente per l'FBI per aiutare a prevenire simili frodi.

KEVIN MITNICK (ANNI 90)

Kevin Mitnick fu forse il più famoso e colui che diffuse queste tecniche. Kevin era noto per le sue abilità nel convincere le persone a fornire informazioni riservate. Utilizzava telefonate, sotterfugi e altre tecniche di ingegneria sociale per ottenere accessi non autorizzati ai sistemi di grandi aziende come Motorola, Nokia e Digital Equipment Corporation. Mitnick non rubava denaro, ma cercava informazioni. È stato arrestato nel 1995 e, dopo la sua liberazione, è diventato un consulente per la sicurezza informatica.

JORDAN BELFORT (ANNI 90)

Jordan Belfort, noto anche come il "Lupo di Wall Street," è stato protagonista di una massiccia frode finanziaria. Con la sua azienda, Stratton Oakmont, usava tecniche di manipolazione psicologica per persuadere gli investitori a comprare azioni scadenti e poi rivenderle a prezzi gonfiati, un sistema noto come "pump and dump". Il sistema, che coinvolgeva centinaia di milioni di dollari, sfruttava la psicologia delle vittime sempre alla ricerca di facili guadagni. Belfort è stato arrestato e condannato nel 1999, ma è diventato una figura popolare anche grazie al film "The Wolf Of Wall Street".

TRUFFA DEL PRINCIPE NIGERIANO (SCAM 419)

Conosciuta anche come la scam419, dal codice penale nigeriano che la vieta, è una delle più longeve. In questo schema, le vittime ricevono una email da qualcuno che si spaccia per un funzionario o un membro della famiglia reale, il quale promette di condividere una grande somma di denaro in cambio di un piccolo anticipo. Nonostante sia uno schema noto, riesce ancora a ingannare le persone, sfruttando avidità e compassione.

ALBERT GONZALEZ (2005-2007)

Albert Gonzalez è stato un esperto di hacking e ingegneria sociale che ha coordinato uno dei più grandi furti di dati negli Stati Uniti. Attraverso tecniche di phishing mediante trojan/backdoor e ingegneria sociale, ha ottenuto accesso ai sistemi di grandi aziende, tra cui TJX Companies e Heartland Payment Systems, rubando informazioni su milioni di carte di credito. Il suo schema è considerato uno dei più dannosi, con un impatto di oltre 200 milioni di dollari di danni stimati.

CASEY ANTHONY (2008)

Sebbene non sia un caso tipico di ingegneria sociale legato a frodi finanziarie, Casey Anthony manipolò l'opinione pubblica attraverso la narrazione e l'inganno. Durante il processo per l'omicidio della figlia, Casey Anthony ha ripetutamente mentito alla polizia e ai media, manipolando informazioni per deviare le indagini. 

MATT HONAN (2012)

Matt Honan, un noto giornalista tecnologico, è stato vittima di un attacco devastante che ha compromesso i suoi account Apple, Amazon, Gmail e Twitter. Gli hacker hanno utilizzato informazioni pubblicamente disponibili e una serie di chiamate di assistenza clienti per convincere i rappresentanti di Apple e Amazon a resettare le sue password. Una volta ottenuto l’accesso, hanno cancellato tutti i suoi dati. 

ANNA SOROKIN (2013-2017)

Anna Sorokin, conosciuta come Anna Delvey, ha ingannato la città di New York fingendosi un'ereditiera tedesca con accesso a una grande fortuna. Ha convinto banche, hotel e amici a finanziarla per soggiorni di lusso, cene e viaggi, basando le sue richieste su storie convincenti e su una rete di connessioni sociali manipolate con cura. È stata arrestata nel 2017 e condannata per vari capi di frode. 

EVALDAS RIMASAUSKAS (2013-2015)

Evaldas Rimasauskas si rese protagonista di una delle frodi aziendali più eclatanti. Ha messo in atto una truffa di phishing mirata impersonando un'azienda taiwanese, la Quanta Computer, un fornitore di grandi aziende come Google e Facebook. Utilizzando email, fatture e documenti falsi, ha convinto Google e Facebook a trasferire circa 100 milioni di dollari su conti da lui controllati. È stato arrestato nel 2017 e successivamente estradato negli Stati Uniti, dove è stato condannato.

TRUFFA ALLA BANCA COFIDIS (2014)

In Francia, un gruppo di criminali ha truffato la Cofidis, una banca che offre prestiti, per circa 7 milioni di euro. Hanno utilizzato falsi account e impersonificazioni per ottenere prestiti senza garanzie reali. Attraverso ingegneria sociale, i truffatori hanno convinto gli operatori della banca a concedere finanziamenti basati su documenti e identità false. La truffa è durata diversi anni prima che venisse scoperta.

ASHLEY MADISON BREACH (2015)

Ashley Madison, un sito di incontri per persone sposate, è stato vittima di un'enorme violazione dei dati. Il gruppo di hacker noto come "The Impact Team" ha utilizzato tecniche di ingegneria sociale per ottenere accesso ai sistemi interni dell'azienda. Hanno minacciato di rilasciare informazioni personali degli utenti a meno che il sito non fosse chiuso. L'azienda non ha accettato così i dati di milioni di utenti sono stati pubblicati online, causando problemi personali.

TRUFFA CEO (2015 - oggi)

La CEO Fraud, o "Business Email Compromise" (BEC), è un tipo di truffa in cui un criminale si spaccia per il CEO o un alto dirigente di un'azienda e chiede al reparto finanziario di trasferire fondi urgenti. In un caso famoso, Crelan, una banca belga, ha perso oltre 70 milioni di euro quando un truffatore, fingendosi il CEO, ha convinto i dipendenti ad approvare il trasferimento. 

CELLEBRITE (2017)

Cellebrite, un'azienda israeliana di sicurezza informatica, ha subito un attacco quando i suoi stessi strumenti di hacking sono stati rubati e pubblicati online. Gli hacker hanno utilizzato tecniche di ingegneria sociale per compromettere alcuni dipendenti, ottenendo accesso ai software e agli strumenti riservati della società. In questo caso, è stato sfruttato l’accesso interno per compromettere la sicurezza aziendale.

RAYMOND ABBAS AKA HUSHPUPPI (2020)

Raymond Abbas, alias Hushpuppi, un influencer sui social media, è stato arrestato a Dubai per aver truffato organizzazioni e individui per milioni di dollari. Utilizzava schemi complessi di ingegneria sociale, tra cui phishing e compromissione della posta elettronica aziendale, per convincere le vittime a trasferire fondi su conti bancari controllati da lui. Era specializzato nel "Business Email Compromise" (BEC), che consiste nell'ingannare dipendenti di aziende convincendoli a inviare denaro a conti fraudolenti.

Migliori Perps Exchange Per Tradare No KYC (Con Airdrop)

In questo articolo, ho scritto di come sfruttare il funding rate sui perps exchange. Puoi utilizzare sia exchange centralizzati (Bybit, OKX, Crypto.com, Kraken, etc) che decentralizzati no KYC. Importante è che supportino i perps (trading di derivati). Qui vedremo però che è molto più profittevole utilizzare quelli in DeFi perchè consentono di farmare punti che poi verranno convertiti in token (soldi gratis) che è possibile vendere per BTC, euro, dollaro o in qualsiasi cosa si voglia. 

Qual è il vantaggio di utilizzare gli exchange in DeFi piuttosto che i centralizzati?

1) No KYC (colleghi il wallet e puoi tradare, senza bisogno di riconoscimento).

2) Ottieni punti (dove supportato) che ti permetteranno di essere eleggibile per l'airdrop dell'exchange (per fare quello che normalmente faresti su Bybit o Crypto.com).

IL CONCETTO DIETRO UN AIRDROP

Perchè qualcuno dovrebbe regalare soldi se utilizzi X o Y piattaforma? Semplicemente perchè tramite queste campagne di incentivi ("punti" in cambio del loro token) attraggono utenti quindi volumi e fees. Questo discorso vale per qualsiasi piattaforma in DeFi che non ha un token di governance. Sostanzialmente un utente utilizza un'exchange in DeFi (che non ha un suo token di governance) e ottiene punti in base al volume e all'open interest (durata delle trade aperte). Ad esempio dopo 6 mesi o 1 anno (dipende dal protocollo) avviene il TGE (Token Generation Event) e i punti vengono convertiti in token che puoi vendere per euro, dollari o Bitcoin. Airdrop dipendono da quanto si è costanti ed "early". Di solito utilizzare un'exchange nelle prime fasi è molto vantaggioso perchè si fanno punti più facilmente (come detto, dipendono dai propri volumi rapportati al totale. Evita comunque di fare apri/chiudi in poco tempo perchè potrebbe essere considerato "Wash Trading"). Tramite l'airdrop di Hyperliquid, gli utenti hanno guadagno da decine di migliaia di dollari sino a oltre 100 milioni di dollari in 10 mesi) pagati in token $HYPE. Per fare cosa? Semplicemente tradare, quello che fai su Binance o Bybit.

COME USARE GLI EXCHANGE IN DEFI (NO KYC) E DEPOSITARE LIQUIDITA'

1) Se hai già fondi su Metamask (EVM chains: Ethereum, BNB Chain, Base, Arbitrum, Optimism, Robinhood, etc) o Phantom (Solana) ti basta trasferire liquidità mediante un bridge ad esempio Relay Link. Se hai ETH su Arbitrum e ti servono 100 USDC su Base, usa il bridge e trasferisci quella somma da Arbitrum a Base. Ricorda che sulle chains EVM avrai bisogno sempre di ETH per pagare le gas fees, a parte su BNB Chain (si usa BNB). Invece su Solana avrai bisogno di SOL. Una volta che hai liquidità su quella chain, ti basta connettere il wallet sull'exchange di tua scelta (Hyperliquid, Ondo, Arcus, etc) e caricare USDC (impiega meno di 1 minuto il trasferimento).

2) Se hai fondi su exchange, preleva ETH (o SOL) da Bybit, OKX, Kucoin, Kraken, Crypto.com o Binance (se li hai ancora lì) verso Metamask (indirizzo che inizia per 0x) o Phantom (se userai un'exchange su Solana). Una volta che hai trasferito i fondi sul tuo wallet non custodial, lascia qualche dollaro di ETH (o SOL) e converti la somma che vuoi usare per il trading in USDC su Relay Link. Poi puoi spostarti da una chain all'altra (in base all'exchange scelto). Come detto, su ogni chain dove ti trasferisci, avrai bisogno sempre di almeno 1$ di ETH per eseguire le operazioni (swap/bridge). In seguito, come sopra, collegati sull'exchange con il tuo wallet e trova il tasto "deposit". Appena arrivati potrai iniziare a tradare sul tuo Perps exchange preferito.

Nell'ultimo paragrafo farò la lista degli exchange da utilizzare per ottenere l' airdrop!

PERPS EXCHANGE: LONG E SHORT

Un Perps exchange permette semplicemente di tradare derivati: stai comprando (o vendendo) un prezzo. Può essere Bitcoin, l'oro, S&P500, Tesla, Nvidia, etc Guadagni con un "long" (se il prezzo di quell'asset sale) o con uno "short" (se il prezzo scende). Una trade da 100 dollari produce 200 dollari di volume (tra apertura e chiusura). 

LEVA

Per aumentare i tuoi volumi, puoi utilizzare anche la leva. Ad esempio una leva 5x vuol dire che con 100$ di capitale apri una posizione da 500$. Invece in leva 15x, con 100 dollari di capitale apri una posizione da 1500$. Ovviamente, se hai 100$ (margine), non puoi perdere più di questo anche con una posizione da 1000$. Nel momento in cui la tua trade da 1000$ è in perdita del 10% (quindi di circa 95$) ti viene chiusa (liquidazione). Perchè? Se hai 100$, non puoi perdere più di 100$, anche se la tua posizione è di 1000, 10000, 50000$. La leva amplifica i guadagni ma anche le perdite. Ad esempio nella foto di sotto puoi vedere l'asset (BTC-USD), il grafico, long/short (long se ipotizzi che salirà, short se credi che scenderà), la leva (a sinistra BTC-USD indica che puoi usare 40x come leva massima, invece a destra puoi scegliere: in questo caso a titolo di esempio c'è una leva 34x). 59.69 USDC è il margine (la somma massima che posso perdere). Chiaramente per fare volumi posso usare una leva 20x che mi apre una posizione da oltre 1100$.

TIPI DI MERCATO

Sostanzialmente posso aprire 2 tipo di ordini base:

1) Mercato (apro una trade su BTC che mi compra al miglior prezzo disponibile in quel momento. Di solito è leggermente più costoso, causa spread).

2) Limite (setto il prezzo. Ad esempio se BTC sta a 75k, setto un ordine limite "long" a 74.9k. Se il prezzo raggiunge questa soglia e se l'orderbook è abbastanza liquido, mi viene eseguito a quel prezzo).

STOP LOSS E TAKE PROFIT

Quando apro una posizione, posso settare il profitto (take profit) e la massima perdita (stop loss). Entrambi sia in % che in dollari. Ipotizziamo che ho aperto un long a 75k, posso settare un take profit a 75.1k (se il prezzo raggiunge quella soglia, l'ordine mi viene chiuso automaticamente in guadagno) oppure uno stop loss a 74.9k (se il prezzo scende a quel livello, l'ordine mi viene chiuso in perdita).

Di solito posso settare TP e SL sia prima di eseguire la trade che dopo averla eseguita. Non cambia molto. Nel riquadro sotto, su tutti gli exchange si legge TP/SL e setto semplicemente la mia perdita massima in dollari (o %) che sono disposto a subire e il mio eventuale guadagno. Se non setto TP e SL, la trade può portare enormi guadagni ma anche enormi perdite con liquidazione del margine (se il mercato di quell'asset si muove in posizione opposta rispetto a quanto scelto). Va ricordato che se si è "short" (si guadagna quando il mercato scende), il TP è più giù rispetto al prezzo di apertura, invece lo SL è più sopra (vado in perdita se il mercato sale). In ogni caso, anche se setto ordini di vendita automatici, posso sempre chiudere la trade quando lo desidero (mi viene chiusa a mercato in quel preciso momento). Di solito c'è una "X" oppure "Close Position" nel riquadro sotto dove sta il recap della mia trade (asset, valore, market price, guadagno-PNL, prezzo di liquidazione del margine, funding, SL, TP, X o Close position).

STRATEGIA DELTA NEUTRAL

E' possibile anche eliminare la volatilità del mercato per farmare solo punti utilizzando 2 exchange. Sostanzialmente faccio questo:

1) Exchange1: apro long BTC 75k.

2) Exchange2: apro short BTC 75k.

Cosa succede? Non sono esposto al prezzo di BTC perchè sono coperto in entrambe le direzioni di mercato. Se BTC sale guadagno con il "long" (e perdo con la posizione "short"). Se BTC scende guadagno con lo "short" (e perdo con la posizione "long"). 

Se non perdo nè guadagno a cosa serve?

1) Faccio volume quindi guadagno punti a costo zero su entrambi gli exchange (a parte le fees di apertura delle trades).

2) Ottengo il funding rate (il tasso di interesse che viene distribuito a long/short ogni ora o ogni 8 ore a seconda dell'exchange. Come detto, esso serve per allineare il prezzo del derivato al prezzo spot dello stesso asset).

QUALI EXCHANGE UTILIZZARE PER OTTENERE L'AIRDROP?

Ricorda che non basta fare 3 o 4 trade. Serve costanza nelle settimane/mesi. Solo quello porterà a buoni/grandi risultati lato airdrop. Di seguito, migliori perps exchange da farmare (agosto 2026 in poi).

EVM (Metamask):

- Hyperliquid (supporta depositi anche di Bitcoin nativo e trading con BTC come margine, usando la modalità "Portfolio Margin", attivabile da Portfolio/Account Type).

- Arcus (Whitelist).

- Ondo Perps.

- Lighter (Robinhood Chain).

- Extended Exchange.

- Hibachi.

- Standx.

- Nado.

- Truenorth (usa la liquidità del tuo account Hyperliquid, presenti anche AI Agents come support per le trades).

Solana (Phantom):

- Phoenix Trade.

- Pacifica.

- 01 Exchange.