☕ CYBERBRIEFING — Venerdì 2 ottobre 2026
Il tuo riassunto quotidiano di cybersecurity da leggere con il caffè.
IN PRIMO PIANO
Un'operazione internazionale coordinata da polizia tedesca, spagnola, britannica, rumena e FBI ha smantellato il gruppo ransomware KillSec, arrestando tre persone — tra cui un sedicenne di Alicante ritenuto l'amministratore principale. Sequestrati il sito di leak, cinque server (con oltre 110 terabyte di dati rubati) e diversi wallet di criptovalute. KillSec, nato nel 2021 come gruppo hacktivista e convertito al ransomware nel 2023, avrebbe colpito circa 1.000 organizzazioni nel mondo, con oltre 280 vittime confermate solo in Spagna. Un buon promemoria di quanto, alla fine, anche i criminali informatici lascino tracce.
Fonte: The Hacker News
LE NOTIZIE DI OGGI
1. Falla critica in Cisco Catalyst SD-WAN Manager, già sfruttata attivamente
CISA ha inserito nel proprio catalogo delle vulnerabilità sfruttate (KEV) la falla CVE-2026-76504 (CVSS 9.8) in Cisco Catalyst SD-WAN Manager: un difetto nella codifica degli URL nelle richieste HTTP permette a un attaccante non autenticato di bypassare il login e ottenere accesso da amministratore. Cisco conferma exploit attivi da settembre; le agenzie federali USA devono applicare la patch entro il 3 ottobre. Chi usa questo prodotto deve aggiornare subito e controllare i log per richieste sospette verso "/j_security_check".
Fonte: The Hacker News
2. Scoperta una backdoor WordPress che si "autorigenera"
Ricercatori hanno individuato un malware per WordPress (soprannominato "SC") che si nasconde contemporaneamente in otto punti diversi del sito — file, database e persino memoria condivisa del server. Cancellarne una copia non serve: al primo caricamento di pagina il backdoor si ricostruisce da solo. Una volta attivo, permette di creare account admin nascosti, eseguire codice PHP arbitrario e iniettare script malevoli contro i visitatori del sito.
Fonte: The Hacker News
3. Remus, l'infostealer che punta ai cookie di sessione del browser
Una campagna attiva da sei mesi diffonde "Remus", un infostealer offerto come servizio (Malware-as-a-Service) imparentato con la famiglia Lumma Stealer. A differenza dei classici ladri di password, Remus punta soprattutto a cookie e token di autenticazione dei browser, che permettono di "entrare" negli account senza bisogno della password. Usa infrastrutture di comando e controllo basate su blockchain, difficili da far chiudere.
Fonte: UNDERCODE NEWS
4. Truffa del "finto bollo auto": SMS a nome ACI per rubare la carta di credito
L'Automobile Club d'Italia segnala una campagna di phishing via SMS che finge una multa per bollo auto non pagato, con tanto di link a un sito clone del portale ACI (domini come "acitalia.info" o "acitalia.click"). Alle vittime viene chiesto di pagare una cifra volutamente bassa (15,87 euro) inserendo però tutti i dati della carta, CVV incluso. ACI ricorda che non richiede mai pagamenti via link SMS: la verifica va fatta solo sul sito ufficiale aci.it, con SPID, CIE o PagoPA.
Fonte: Italia Report USA
5. Ransomware: nuove vittime rivendicate nei settori energia e sanità
Due gruppi ransomware distinti hanno rivendicato nuovi attacchi: Incransom contro un'associazione elettrica statunitense e il "Booba Project" contro un centro medico di gastroenterologia a New York. Al momento non ci sono conferme indipendenti di furto dati o sistemi cifrati, ma energia e sanità restano tra i settori più presi di mira per la criticità dei loro servizi. Buona prassi per le aziende: monitorare i log di autenticazione, ruotare le credenziali esposte e mantenere backup offline.
Fonte: UNDERCODE NEWS
CONSIGLIO DEL GIORNO
Se ricevi un SMS o una email che ti chiede di pagare una somma (anche piccola) per una multa, un bollo o una fattura, non cliccare mai il link: enti come ACI, Agenzia delle Entrate o Poste Italiane non chiedono pagamenti o dati della carta tramite messaggi. Digita sempre a mano l'indirizzo ufficiale del sito, o usa l'app dell'ente.
Cyberbriefing Mattutino è una newsletter indipendente di cybersecurity in italiano.