☕ CYBERBRIEFING — Martedì 25 agosto 2026
Il tuo riassunto quotidiano di cybersecurity da leggere con il caffè.
🔴 IN PRIMO PIANO
Attacco al Gruppo Spaggiari: 6 TB di dati sottratti alle scuole italiane
Il gruppo criminale Xpl0itrs ha rivendicato pubblicamente il 16 agosto un accesso non autorizzato, rilevato già il 30 giugno, al modulo "Modulistica Smart Bergantini" del Gruppo Spaggiari di Parma, tra i principali fornitori di piattaforme digitali per le scuole italiane. Sarebbero stati esfiltrati oltre 6.100 GB di allegati caricati da personale scolastico, famiglie e candidati, con dati personali e, in alcuni casi, certificati sanitari. È uno degli incidenti più estesi dell'anno nel settore dell'istruzione italiana: chi ha usato la piattaforma Bergantini negli ultimi mesi dovrebbe monitorare eventuali comunicazioni sospette e attivare, dove possibile, verifiche aggiuntive sui propri account.
📰 LE NOTIZIE DI OGGI
1. Falla critica in Zimbra sfruttata attivamente: aggiornare subito
Una vulnerabilità nel client di posta Zimbra Collaboration Suite (CVE-2026-73570, punteggio 8.9) permette a un attaccante non autenticato di eseguire comandi da remoto sfruttando il modulo SNMP, se abilitato. CISA l'ha inserita nel catalogo delle vulnerabilità note sfruttate e ha imposto alle agenzie federali USA una scadenza di aggiornamento fissata al 24 agosto. Chi gestisce server Zimbra, anche in Italia, dovrebbe aggiornare immediatamente alla versione 10.1.20 o successiva.
2. GitLab: bug critico permette di cancellare repository pubblici senza credenziali
Una falla di iniezione tramite GraphQL (CVE-2026-19478, CVSS 9.4) consente a chiunque, senza autenticazione, di modificare o eliminare progetti pubblici su GitLab, falsificare i merge e persino bannare i manutentori. È già sotto sfruttamento attivo a pochi giorni dalla divulgazione. Riguarda le versioni Community ed Enterprise precedenti alla 18.11.11, 19.0.8, 19.1.6 e 19.2.4: aggiornamento fortemente raccomandato per chi ospita GitLab in autonomia.
3. Ransomware Gunra: allarme CISA e FBI per le infrastrutture critiche
Le autorità statunitensi hanno pubblicato un avviso congiunto su Gunra, un ransomware-as-a-service multipiattaforma (Windows e Linux) che entra sfruttando VPN esposte e vulnerabilità note nelle appliance Fortinet, per poi esfiltrare dati aziendali con strumenti come Rclone e 7-Zip prima di cifrare i sistemi. È il classico schema della doppia estorsione, sempre più diffuso anche contro aziende europee: patch tempestive sui firewall e backup offline restano le difese più efficaci.
4. Studio contabile USA colpito: rivendicato il furto di 100 GB di documenti finanziari
Il gruppo Dark Project sostiene di aver sottratto circa 100 GB di dati, inclusi documenti finanziari interni, dallo studio contabile americano Jones, Little and Co. La notizia non è ancora stata confermata in modo indipendente, ma conferma un trend: i servizi professionali (studi legali, contabili, di consulenza) sono bersagli sempre più appetibili perché custodiscono dati sensibili di molte aziende clienti contemporaneamente.
5. Nuovo malware "MacSync Stealer" prende di mira i Mac tramite finti comandi terminale
Microsoft ha collegato oltre 30 domini a una campagna che distribuisce MacSync Stealer, un infostealer per macOS diffuso con la tecnica ClickFix: l'utente viene indotto a copiare e incollare comandi nel terminale, che poi scaricano ed eseguono il malware. Una volta attivo, ruba password, cookie del browser, chiavi SSH, credenziali AWS e dati dal Portachiavi. Vale la regola d'oro: nessun sito legittimo chiede mai di "incollare un comando" per risolvere un problema.
6. Torna la truffa SPID: falsi siti chiedono un "canone di verifica"
Il CERT-AgID segnala una nuova ondata di pagine false che imitano SPID e AgID, chiedendo il codice fiscale e il pagamento di un presunto canone annuale, con la minaccia del blocco dei servizi pubblici in caso di mancato pagamento. L'obiettivo è carpire dati personali e bancari sfruttando la pressione psicologica dell'urgenza. La gestione di SPID passa sempre e solo dal proprio gestore ufficiale, mai da link ricevuti via email o SMS.
🛡️ CONSIGLIO DEL GIORNO
Se in azienda usi Zimbra o GitLab self-hosted, controlla oggi stesso le versioni installate: entrambe le falle di questa settimana sono già sotto attacco attivo. E per l'uso personale: nessun ente pubblico o privato chiede mai dati o pagamenti urgenti via link ricevuti per email — verifica sempre digitando l'indirizzo ufficiale a mano.
Cyberbriefing Mattutino è una newsletter indipendente di cybersecurity in italiano.