Sommario
Negli ultimi giorni, il panorama della sicurezza informatica è stato scosso da una serie di eventi critici che hanno evidenziato la fragilità delle infrastrutture digitali. Un attacco brute force senza precedenti ha preso di mira dispositivi VPN utilizzando quasi 2,8 milioni di indirizzi IP, mentre Cloudflare è stato protagonista di un’interruzione globale causata da un errore umano nella gestione della sicurezza. Parallelamente, la CISA (Cybersecurity and Infrastructure Security Agency) ha rilasciato nuovi avvisi su vulnerabilità sfruttate attivamente e falle critiche in sistemi di controllo industriale. Questi episodi dimostrano quanto sia elevato il rischio per le aziende e le infrastrutture digitali di fronte a minacce in continua evoluzione.
Attacco brute force su dispositivi VPN: 2,8 milioni di IP coinvolti
Gli analisti di Shadowserver Foundation hanno rilevato un’ondata di attacchi brute force che sta colpendo dispositivi di sicurezza di rete, tra cui firewall, VPN e gateway di produttori come Palo Alto Networks, Ivanti e SonicWall. L’attacco, che dura da settimane, ha visto un aumento significativo dell’intensità, con 2,8 milioni di IP utilizzati quotidianamente per tentare di forzare le credenziali di accesso.
Gli attori malevoli sfruttano router e dispositivi IoT compromessi per lanciare l’attacco, con un volume particolarmente elevato di IP provenienti da Brasile, Turchia, Russia e Argentina. Le indagini indicano che la maggior parte degli IP coinvolti appartiene a botnet o a servizi di proxy residenziali, che permettono di mascherare l’origine degli attacchi. L’obiettivo sembra essere l’accesso non autorizzato alle reti aziendali, con il rischio di compromissioni su larga scala e attacchi successivi come il ransomware.
Per mitigare la minaccia, gli esperti raccomandano di abilitare l’autenticazione multi-fattore (MFA), utilizzare password forti, limitare gli accessi da IP sospetti e aggiornare regolarmente il firmware dei dispositivi VPN. Senza queste misure, le aziende rimangono esposte a una delle campagne di brute force più estese mai registrate.
Blackout di Cloudflare: un errore nella gestione degli URL di phishing causa il caos
Un episodio altrettanto significativo ha riguardato Cloudflare, leader nella protezione della rete internet, che ha subito un’interruzione di servizio globale di quasi un’ora a causa di un errore umano nella gestione delle minacce.
L’incidente si è verificato quando un dipendente ha risposto a una segnalazione di phishing su Cloudflare R2, la piattaforma di storage simile ad Amazon S3. Invece di bloccare l’URL specifico associato alla minaccia, il dipendente ha involontariamente disabilitato l’intero servizio R2 Gateway, provocando un malfunzionamento a catena su diversi servizi critici, tra cui Cloudflare Stream, Image Hosting, Cache Reserve e Vectorize.
L’azienda ha riconosciuto la gravità dell’errore e ha implementato misure immediate per prevenire futuri incidenti, tra cui:
- Limitazioni nelle autorizzazioni di amministrazione, per evitare disattivazioni accidentali.
- Processi di approvazione più rigorosi per azioni ad alto rischio.
- Miglioramenti nel sistema di revisione degli abusi, per garantire che interventi errati non abbiano conseguenze su larga scala.
Questo incidente evidenzia la criticità di una gestione attenta delle minacce informatiche e sottolinea l’importanza di processi di mitigazione robusti per evitare blackout imprevisti che potrebbero avere ripercussioni su aziende e servizi digitali.
CISA segnala nuove vulnerabilità sfruttate attivamente
Oltre agli attacchi in corso, la CISA (Cybersecurity and Infrastructure Security Agency) ha aggiornato il proprio catalogo delle vulnerabilità sfruttate attivamente, aggiungendo una nuova falla critica. Le vulnerabilità in questa lista sono particolarmente pericolose, poiché vengono utilizzate attivamente dagli attori malevoli per attacchi reali.
In parallelo, la CISA ha rilasciato un bollettino di sicurezza per la vulnerabilità CVE-2025-0994, che colpisce il software Cityworks Server AMS di Trimble. La falla permette l’esecuzione di codice remoto (RCE) su server Microsoft IIS, esponendo le infrastrutture vulnerabili a compromissioni potenzialmente devastanti. Trimble ha rilasciato aggiornamenti di sicurezza per correggere il problema e ha invitato tutte le aziende che utilizzano Cityworks ad applicare immediatamente le patch.
CVE-2025-0994 – Trimble Cityworks Deserialization Vulnerability
In un ulteriore avviso, l’agenzia ha pubblicato sei nuovi advisory per i sistemi di controllo industriale (ICS), evidenziando il crescente rischio di attacchi informatici rivolti alle infrastrutture critiche. Questi attacchi, spesso orchestrati da gruppi APT (Advanced Persistent Threat), puntano a interrompere le operazioni di settori vitali come energia, trasporti e manifattura, con conseguenze potenzialmente catastrofiche.
- ICSA-25-037-01 Schneider Electric EcoStruxure Power Monitoring Expert (PME)
- ICSA-25-037-02 Schneider Electric EcoStruxure
- ICSA-25-037-03 ABB Drive Composer
- ICSA-25-037-04 Trimble Cityworks
- ICSMA-25-037-01 MicroDicom DICOM Viewer
- ICSMA-25-037-02 Orthanc Server
Un panorama di minacce sempre più complesso
La combinazione di un attacco brute force su scala globale, un blackout di Cloudflare causato da un errore interno e nuove vulnerabilità critiche rilevate dalla CISA dimostra quanto sia fragile il panorama della sicurezza informatica. Le aziende e le istituzioni devono affrontare minacce che spaziano dall’errore umano a sofisticate campagne di attacco su larga scala, rendendo indispensabile una strategia di difesa multilivello.
Per prevenire e mitigare queste minacce, gli esperti consigliano di:
- Implementare controlli di accesso rigorosi per dispositivi VPN e infrastrutture critiche.
- Monitorare costantemente il traffico di rete per individuare tentativi di brute force e attacchi anomali.
- Applicare tempestivamente le patch di sicurezza rilasciate dai vendor.
- Adottare procedure di revisione e controllo per la gestione delle minacce, evitando errori operativi come quello di Cloudflare.
L’evoluzione delle minacce informatiche non mostra segni di rallentamento, e la sicurezza delle reti globali dipenderà sempre più dalla capacità di adottare strategie di protezione proattive e adattive. Senza un rafforzamento delle difese, il rischio di attacchi su vasta scala continuerà ad aumentare, con conseguenze sempre più imprevedibili per aziende e utenti finali.
