Installare un’app da Google Play viene spesso percepito come una scelta sicura. E in molti casi lo è. Ma una ricerca di Bitdefender mette in evidenza un punto debole del programma Early Access, lo spazio del marketplace Android dedicato alle app ancora in sviluppo: finché un’app resta in questa fase, gli utenti non possono pubblicare recensioni o assegnare stelle.

L’Early Access nasce con uno scopo legittimo. Consente agli sviluppatori di far provare software non ancora completo, raccogliere pareri e correggere difetti prima del lancio ufficiale. È utile soprattutto alle piccole realtà, che rischierebbero giudizi negativi per funzioni mancanti o problemi temporanei. Ma la stessa regola che protegge gli sviluppatori onesti può creare un vantaggio per chi vuole ingannare.

Le recensioni sono infatti uno dei segnali più immediati che usiamo per decidere se fidarci. Se un gioco mostra migliaia di download ma nessun commento, nessuna valutazione e nessuna esperienza condivisa, diventa più difficile capire se mantiene davvero ciò che promette. È un po’ come acquistare un prodotto online senza poter leggere l’opinione di chi lo ha già provato.

App killer

Secondo l’analisi di Bitdefender, nell’area Early Access sono presenti migliaia di applicazioni potenzialmente deceptive: falsi giochi da casinò, app che promettono premi o guadagni, utility come lettori PDF e scanner QR, software per tracciare telefoni e giochi che richiamano marchi noti senza un collegamento evidente con i titolari originali. Non tutte le app in accesso anticipato sono truffe, ma l’assenza di feedback pubblici rende più facile per quelle sospette restare meno esposte al giudizio della comunità.

Un modello ricorrente riguarda le app che promettono denaro, buoni regalo, ricariche PayPal, criptovalute, giri gratis o vincite a giochi di casinò. La pubblicità, diffusa soprattutto sui social, può mostrare persone che ricevono subito premi o guadagni. L’utente installa l’app, accumula rapidamente crediti virtuali e arriva vicino alla soglia necessaria per ritirare il premio. A quel punto, però, l’avanzamento rallenta o si blocca, mentre la persona continua a visualizzare inserzioni. Il guadagno reale finisce così allo sviluppatore, grazie alla pubblicità mostrata.

Il problema dei deepfake

Bitdefender segnala anche annunci che usano deepfake di personaggi famosi per rendere più persuasive le promesse di vincite facili. Un video generato o modificato con l’intelligenza artificiale può far sembrare che un atleta, un attore o un volto noto stia consigliando un gioco. Ma il volto riconoscibile non è una garanzia: può essere solo un’esca costruita per spingere al download.

Tra gli esempi citati nella ricerca figurano titoli che hanno sfruttato temporaneamente il nome di Grand Theft Auto V, per poi cambiare denominazione dopo essere comparsi nei risultati di ricerca. Alcuni giochi presenterebbero immagini non rappresentative dell’esperienza reale e un funzionamento orientato soprattutto alla visualizzazione di annunci. In un caso, un’app ha superato il milione di download pur restando priva di valutazioni pubbliche perché classificata come Early Access.

Il problema non riguarda soltanto il denaro perso o la pubblicità invasiva. App poco trasparenti possono chiedere permessi eccessivi, raccogliere dati, spingere verso siti esterni o costruire una falsa fiducia sfruttando il marchio Google Play. Per questo conviene controllare chi pubblica l’app, quanti download ha, quali permessi richiede e se esiste un sito ufficiale dello sviluppatore. Un’app che promette guadagni rapidi o funzionalità “miracolose” merita sempre un controllo in più.

Bitdefender afferma di aver segnalato le proprie osservazioni a Google, che avrebbe confermato di essere al lavoro sul caso. La lezione per gli utenti resta semplice: la provenienza da uno store ufficiale riduce molti rischi, ma non sostituisce del tutto il giudizio critico

La cybersecurity non è più soltanto una faccenda per tecnici e amministratori di sistema. Con la direttiva europea NIS2, recepita in Italia dal decreto legislativo 138/2024, la gestione del rischio informatico entra direttamente nella sala del consiglio di amministrazione. Per CEO e dirigenti significa assumere un ruolo più attivo: capire quali servizi sono davvero critici, decidere come proteggerli e verificare che le misure adottate funzionino.

Scelte strategiche

Il cambiamento arriva in un momento in cui gli attacchi sono sempre più frequenti e costosi. Secondo il Rapporto Clusit 2026, nel 2025 sono stati registrati nel mondo 5.265 incidenti cyber gravi, il 49% in più rispetto all’anno precedente. L’Italia ha totalizzato 507 casi, pari al 9,6% del campione globale, con una crescita del 42%.

Di fronte a numeri simili, affidare la sicurezza esclusivamente al reparto IT non è più sufficiente. Il team tecnico può installare sistemi di protezione, controllare i log e intervenire durante un incidente, ma non può decidere da solo quali attività siano indispensabili per l’azienda o quali investimenti siano prioritari. Queste sono scelte strategiche, come quelle relative a finanza, continuità operativa e reputazione.

La NIS2 si applica ai soggetti classificati come essenziali o importanti, individuati in base al settore e alle dimensioni dell’organizzazione. La normativa estende gli obblighi a più comparti e considera l’intera infrastruttura digitale dell’ente o dell’impresa. Non guarda quindi soltanto al singolo computer, ma all’insieme di reti, cloud, software, fornitori e servizi da cui dipende l’operatività. Un esempio può aiutare. Per un ospedale, il sistema da proteggere non è soltanto il server che conserva i dati, ma il servizio complessivo che permette di gestire cartelle cliniche e prenotazioni. Per una fabbrica, il rischio riguarda anche gli impianti connessi che coordinano la produzione. Se uno di questi servizi si ferma, l’impatto può estendersi a clienti, dipendenti, fornitori e cittadini.

Conoscere i rischi

La direttiva chiede agli organi di amministrazione di conoscere i principali rischi cyber, approvare le politiche di sicurezza, controllarne l’attuazione e ricevere una formazione adeguata. Il CEO deve quindi diventare un punto di collegamento tra il linguaggio tecnico del CISO – il responsabile della sicurezza informatica – e le decisioni aziendali. Non deve saper configurare un firewall, ma deve comprendere che cosa accadrebbe se quel controllo venisse meno.

La cybersecurity diventa così anche un tema di fiducia. Dopo un attacco, clienti e partner non valutano soltanto quanti dati siano stati sottratti, ma anche la rapidità con cui l’organizzazione reagisce, comunica l’accaduto e ripristina i servizi. La capacità di gestire una crisi digitale entra quindi nella reputazione dell’impresa. Il decreto prevede poteri di vigilanza e sanzioni amministrative. Per i soggetti essenziali, le multe possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per quelli importanti il limite è di 7 milioni di euro o dell’1,4% del fatturato globale. L’ACN può effettuare controlli, chiedere documentazione e accertare eventuali violazioni.

Questo non significa che ogni attacco comporti automaticamente una responsabilità personale o penale degli amministratori. Tuttavia, una gestione gravemente negligente e non documentata può diventare rilevante se si verificano le condizioni previste dalle norme già esistenti. L’obiettivo della NIS2 è soprattutto spingere le organizzazioni a prepararsi prima dell’incidente, non limitarsi a cercare un responsabile dopo.

Per i vertici aziendali il percorso parte da alcune azioni concrete: mappare i servizi più esposti, discutere periodicamente il rischio cyber in consiglio, definire un canale diretto con il CISO, verificare la sicurezza dei fornitori e organizzare esercitazioni di risposta agli incidenti. La domanda da porsi non è più “di chi è il problema?”, ma “quale decisione dobbiamo prendere oggi per evitare che un problema tecnico diventi una crisi aziendale?”.

La sicurezza informatica non è più un tema riservato agli specialisti. Riguarda chi gestisce un’azienda, chi lavora con dati dei clienti, chi usa servizi cloud e, sempre più spesso, chi introduce strumenti di intelligenza artificiale nelle attività quotidiane. Attorno a questa trasformazione ruota l’undicesima edizione di ConfSec, in programma il 24 settembre a Porto Giardino, a Monopoli, in provincia di Bari.

Il tema portante dell’incontro sarà “Cybersecurity nell’era dell’AI: nuove minacce, nuove strategie, nuove responsabilità”. Un titolo che riassume una sfida concreta: l’IA può aiutare a riconoscere attività sospette e automatizzare la difesa, ma può anche rendere più veloci e credibili le truffe online. Un esempio è il phishing, cioè la falsa e-mail che imita banche, fornitori o colleghi per rubare password e dati. Con gli strumenti generativi, un messaggio fraudolento può essere scritto meglio, personalizzato e diffuso più facilmente.

ConfSec propone un’intera giornata di incontri, dalle 9 alle 18, con una sessione plenaria istituzionale, due percorsi paralleli – uno più orientato alle strategie aziendali e uno agli aspetti tecnici – spazi dimostrativi e momenti dedicati al networking. Il programma prevede 12 interventi nei due track, oltre 25 speaker ed esperti e circa 400 partecipanti attesi.

L’iniziativa è rivolta a CISO, CIO, responsabili IT, security manager, tecnici, consulenti e vendor, ma anche a imprenditori e decision maker che devono comprendere come gestire il rischio digitale. In parole semplici, non si parlerà soltanto di hacker e software malevoli: al centro ci saranno anche scelte organizzative, formazione, gestione dei fornitori, protezione delle informazioni e responsabilità del management.

Uno dei temi chiave sarà la NIS2, la normativa europea che impone a numerose organizzazioni di adottare misure di sicurezza concrete e verificabili. La questione non riguarda più solo il reparto IT. Secondo il programma dell’evento, le nuove regole attribuiscono al consiglio di amministrazione un ruolo diretto nell’approvazione delle misure di cybersecurity e richiedono di valutare la criticità dei servizi offerti, non soltanto quella dei singoli computer o server.

Dal 2015 ConfSec si propone come punto di incontro per il Sud Italia tra imprese, professionisti e istituzioni impegnati nella protezione delle informazioni e nella gestione del rischio cyber. L’edizione 2026 punta quindi a offrire non soltanto aggiornamento tecnico, ma occasioni di confronto su come passare dalle regole alla pratica: riconoscere le minacce, definire responsabilità e costruire difese adatte a un contesto in cui dati, servizi digitali e IA sono ormai intrecciati.

La partecipazione è gratuita, con iscrizione obbligatoria tramite il sito ufficiale dell’evento. Le registrazioni, secondo le informazioni diffuse dagli organizzatori, chiuderanno il 18 settembre, salvo esaurimento dei posti disponibili. Il programma completo dell’evento è consultabile a questo indirizzo.

Il phishing non ha più bisogno di un link sospetto, di un allegato infetto o di una pagina Web contraffatta. A volte gli basta un numero di telefono. È il meccanismo alla base di una campagna individuata e bloccata da Check Point, che ha sfruttato le preoccupazioni economiche dei destinatari per avviare conversazioni telefoniche controllate dai criminali. I messaggi promettevano aiuti finanziari, riduzioni delle rate, consolidamento dei debiti o addirittura la cancellazione di somme dovute. L’obiettivo era convincere il destinatario a chiamare un numero indicato nell’e-mail per ricevere maggiori informazioni. In appena due settimane, i ricercatori hanno individuato circa 24.700 messaggi collegati alla campagna, distribuiti tra più di 9.000 organizzazioni.

Come funziona la truffa

La tecnica rientra nella cosiddetta ingegneria sociale, cioè l’insieme di strategie con cui gli aggressori manipolano le persone invece di attaccare direttamente un sistema. In questo caso il punto debole non è una vulnerabilità del computer, ma una preoccupazione molto concreta: il timore di non riuscire a pagare un debito o la speranza di ottenere un sostegno economico.

Il messaggio può sembrare una normale comunicazione commerciale o un’offerta di assistenza. Non contiene necessariamente file pericolosi né collegamenti da cliccare. Proprio per questo può sfuggire ai controlli tradizionali, abituati a cercare URL malevoli, allegati sospetti o malware conosciuti.

Esempio di e-mail fraudolenta.

La truffa prende forma quando la vittima telefona. Da quel momento, la conversazione si sposta fuori dalla casella e-mail, dove i sistemi di sicurezza dell’organizzazione hanno molta meno visibilità. Il finto operatore può chiedere dati personali, informazioni finanziarie, numeri di carta o codici di verifica. In alternativa, può costruire un rapporto di fiducia e rinviare la richiesta di denaro o di credenziali a un momento successivo.

Il numero di telefono, quindi, è soltanto il punto di arrivo. L’attacco comincia nella posta in arrivo, ma punta a portare la vittima su un canale più difficile da controllare. È come ricevere un volantino apparentemente innocuo che invita a entrare in un ufficio: il rischio vero emerge durante la conversazione, non necessariamente sulla carta.

Il caso mostra un cambiamento importante nel modo di riconoscere il phishing. Non basta più chiedersi se un’e-mail contiene qualcosa di dannoso. Bisogna valutare anche che cosa vuole far fare al destinatario. Una richiesta di chiamare un numero può essere normale, ma diventa sospetta se è associata a urgenza, promesse molto vantaggiose, cancellazioni di debiti o richieste di informazioni sensibili.

Per gli utenti, la prima regola è non lasciarsi guidare dall’emozione. Prima di chiamare, occorre verificare l’identità del mittente attraverso canali ufficiali e autonomi, senza usare esclusivamente i recapiti presenti nel messaggio. È inoltre importante non fornire password, codici OTP, dati bancari o informazioni personali durante telefonate ricevute in risposta a e-mail inattese.

Il nuovo anno scolastico non porta con sé soltanto libri, lezioni e piattaforme online. Anche gli attaccanti si preparano al “Back to School”, approfittando dell’aumento delle comunicazioni via e-mail, delle nuove iscrizioni, della condivisione di documenti e dell’uso di servizi cloud. Secondo Check Point Research, il comparto dell’istruzione resta il più colpito al mondo.

Nel periodo compreso tra gennaio e luglio 2026, scuole, università e istituti di ricerca hanno registrato in media 4.696 attacchi informatici settimanali per organizzazione, con una crescita dell’8% rispetto allo stesso periodo dell’anno precedente. Il dato è oltre il doppio della media complessiva degli altri settori, pari a 2.150 attacchi. Nel solo mese di luglio, la media è salita a 4.848 attacchi alla settimana, il 14% in più su base annua.

L’istruzione è risultata quindi il primo bersaglio tra i 23 settori analizzati, davanti al comparto governativo. Il motivo è legato alla particolare complessità dell’ecosistema scolastico: molti utenti, dispositivi personali, reti aperte, sistemi cloud e informazioni di valore. Una violazione può coinvolgere non solo l’istituto, ma anche studenti, genitori, ricercatori, fornitori e amministrazioni collegate.

Settori maggiormente attaccati tra gennaio e luglio 2026 (media settimanale).

La pressione non è uniforme in tutte le aree del mondo. Tra gennaio e luglio, la regione APAC ha registrato il volume più elevato, con una media di 7.452 attacchi settimanali per organizzazione. Europa e America Latina hanno però mostrato gli incrementi più rapidi: rispettivamente +18% e +42% rispetto allo stesso periodo dell’anno precedente.

Migliaia di siti pronti a ingannare

Gli attaccanti non si limitano a cercare falle nei sistemi. Preparano anche siti Web costruiti per sembrare portali scolastici, universitari o istituzionali. A luglio sono stati individuati 18.954 nuovi domini a tema istruzione, con un aumento del 5% rispetto al mese precedente e del 3% su base annua.

Il dato più significativo riguarda la quota di domini dannosi. Se a giugno ne risultava malevolo uno ogni 305, a luglio il rapporto è salito a uno ogni 226. Alcuni indirizzi utilizzavano parole rassicuranti come “education”, “students” o “school” per sembrare autentici e convincere l’utente a inserire dati personali.

Tra le tecniche osservate ci sono anche campagne organizzate su larga scala: decine di domini dedicati a presunti prestiti per studenti o a corsi di formazione. L’obiettivo è intercettare chi cerca sconti, borse di studio, finanziamenti, iscrizioni o opportunità di lavoro.

Una delle esche individuate prometteva agli studenti un premio da 750 dollari. Dopo il primo clic, però, le vittime venivano indirizzate verso offerte fraudolente e contenuti legati al gioco d’azzardo. In altri casi, PDF apparentemente provenienti da istituti scolastici conducevano a false pagine Microsoft 365 e OneDrive, create per rubare le credenziali.

Finta promozione per gli studenti della catena USA, Target.

Il falso CAPTCHA

Un’altra campagna sfruttava un sito scolastico compromesso per distribuire malware. La pagina mostrava un falso CAPTCHA, il sistema che normalmente chiede di dimostrare di essere una persona e non un programma automatico. L’utente poteva pensare di dover completare una semplice verifica di sicurezza, ma l’operazione serviva in realtà a favorire il download di software malevolo.

I ricercatori hanno inoltre ipotizzato l’uso del cloaking, una tecnica che mostra contenuti diversi a seconda di chi visita la pagina. Un ricercatore può vedere una pagina vuota o un errore, mentre una potenziale vittima riceve il contenuto dannoso. È come avere una vetrina che cambia aspetto in base a chi passa davanti.

Per difendersi, scuole e università dovrebbero formare studenti e personale, controllare gli indirizzi Web prima di inserire dati, attivare l’autenticazione a più fattori e aggiornare regolarmente dispositivi e piattaforme. È utile anche monitorare i domini che imitano il nome dell’istituto e limitare i permessi di accesso alle informazioni sensibili.

Falso CAPTCHA che usa il brand Spotify per distribuire malware.

*Illustrazione progettata da Freepick

L’intelligenza artificiale sta entrando nelle caselle di posta aziendali per aiutare a riassumere conversazioni, cercare informazioni, preparare testi e organizzare il lavoro. Ma se un criminale riesce a entrare in un account, lo stesso assistente può trasformarsi in una guida rapidissima dentro l’azienda. È lo scenario illustrato da una simulazione condotta dal Red Team di Barracuda, basata su Copilot ma applicabile, secondo i ricercatori, a qualunque assistente AI integrato nella posta e nei servizi di produttività.

Il punto di partenza è un singolo account dipendente violato. Da solo, potrebbe già offrire e-mail, contatti e documenti. Con l’IA, però, l’attaccante può porre domande in linguaggio naturale e ottenere in pochi secondi una mappa delle informazioni utili: chi ha ruoli decisionali, quali progetti sono in corso, dove si trovano fatture, quali pagamenti attendono l’approvazione e come scrivono i dirigenti.

È come lasciare un intruso in un archivio pieno di faldoni, ma consegnargli anche un assistente capace di cercare subito “tutti i pagamenti in sospeso”, “le conversazioni con la contabilità” o “i messaggi più recenti del CEO”. L’IA non viola l’account: usa però i permessi già disponibili a quell’account e rende la ricerca molto più veloce e mirata.

La fasi della simulazione

Il primo obiettivo degli aggressori è stato mantenere l’accesso senza farsi notare. Per farlo, sono state create regole automatiche nella casella di posta in grado di nascondere avvisi di login o inoltrare messaggi importanti. Sono funzioni nate per gestire meglio la posta, ma che in mani sbagliate possono impedire alla vittima di accorgersi che qualcosa non va.

Il passo successivo è il cosiddetto phishing interno. L’attaccante usa l’account reale di un dipendente per inviare al CEO un messaggio costruito con informazioni autentiche e con uno stile credibile. Non è la classica mail piena di errori: arriva da un indirizzo aziendale valido, cita attività esistenti e può sembrare perfettamente coerente con il lavoro quotidiano.

Una volta ottenuto l’accesso all’account del dirigente, anche tramite il furto del token di sessione – la chiave temporanea che mantiene aperto un accesso senza chiedere ogni volta la password – la ricerca diventa ancora più delicata. Nel test, una richiesta rivolta all’assistente AI ha fatto emergere fatture, pagamenti e flussi di approvazione, compreso un bonifico in attesa di quasi 250.000 dollari.

A quel punto è bastato preparare un messaggio apparentemente inviato dal CEO alla contabilità, chiedendo di cambiare il conto corrente del beneficiario prima dell’autorizzazione del pagamento. La richiesta conteneva dettagli reali, proveniva dalla casella autentica del dirigente e rispecchiava il suo modo di comunicare: condizioni che rendono più difficile per i tradizionali filtri e-mail individuare la frode.

La lezione non è che l’IA sia di per sé pericolosa, ma che gli account potenziati dall’IA devono essere protetti come risorse ad alto valore. Per le aziende, significa rafforzare l’autenticazione a più fattori, controllare accessi e regole di inoltro insolite, limitare i permessi dell’assistente AI e applicare verifiche fuori banda per modifiche ai dati di pagamento. Se arriva una richiesta di cambiare un IBAN, ad esempio, non dovrebbe bastare una mail: serve una conferma tramite un contatto conosciuto e indipendente.

Luglio ha confermato una tendenza che le aziende non possono più ignorare: gli attacchi informatici aumentano, il ransomware torna a correre e l’uso quotidiano dell’intelligenza artificiale apre nuovi rischi per i dati. Secondo Check Point Research, ogni organizzazione nel mondo ha subito in media 2.336 attacchi a settimana, il 3% in più rispetto al mese precedente e il 16% in più su base annua.

L’Italia appare tra i Paesi più colpiti: con il 3% delle vittime ransomware segnalate, si colloca al quinto posto dopo Stati Uniti, Germania, Canada e Regno Unito. Nel nostro Paese, le organizzazioni avrebbero subito mediamente 2.755 attacchi settimanali, con un incremento del 14%. Un numero che racconta una pressione costante, non un episodio isolato.

A livello globale, il bersaglio più esposto resta l’istruzione, con 4.848 attacchi settimanali per organizzazione. Scuole e università mettono insieme migliaia di utenti, reti aperte, dispositivi personali e sistemi spesso datati: un insieme che le rende attraenti per i criminali. Seguono settore pubblico, telecomunicazioni, energia e servizi turistici, questi ultimi particolarmente esposti nella stagione degli spostamenti.

L’istruzione resta il settore più bersagliato, ma la pressione cresce su infrastrutture pubbliche, reti di comunicazione, energia e servizi connessi ai viaggi.

Il capitolo più preoccupante riguarda però il ransomware, il malware che cifra file e sistemi chiedendo un riscatto per sbloccarli o per evitare la pubblicazione dei dati rubati. Le vittime rese note dai gruppi criminali sono salite a 964, quasi il doppio rispetto a un anno prima e il 49% in più rispetto al mese precedente. I servizi alle imprese rappresentano quasi un terzo dei casi segnalati, seguiti da manifattura e beni di consumo.

In cima alla classifica dei gruppi più attivi compaiono The Gentlemen e Qilin, entrambi associati al 14% degli attacchi pubblicati, mentre DeadLock emerge con il 10%. Sono nomi che indicano organizzazioni criminali capaci di offrire ransomware “in affitto” ad affiliati: un modello simile a un servizio commerciale, ma usato per colpire aziende e chiedere denaro.

Accanto agli attacchi tradizionali cresce l’esposizione legata alla GenAI, gli strumenti capaci di generare testi, riassunti, immagini o codice. Il pericolo non dipende solo dalla tecnologia, ma soprattutto da ciò che le persone inseriscono nei prompt. Un dipendente che copia in chat un documento riservato per farselo riassumere può condividere dati di clienti, dettagli finanziari o informazioni interne senza volerlo.

Secondo i dati diffusi, un prompt su 36 proveniente da reti aziendali presentava un rischio elevato di perdita di dati sensibili; l’88% delle organizzazioni che usa regolarmente questi strumenti ha registrato almeno un’attività ad alto rischio. È come affidare un dossier a un assistente molto efficiente, ma esterno al perimetro aziendale, senza controllare quali informazioni gli si stanno consegnando.

Nei prompt aziendali finiscono spesso informazioni sensibili: dati personali e finanziari, dettagli tecnici, documenti legali e contenuti legati al personale.

L’e-mail, infine, continua a essere una porta d’ingresso decisiva. Una mail ogni 128 è stata classificata come phishing, cioè una truffa pensata per rubare password, denaro o dati; un ulteriore 20% rientrava tra spam e messaggi potenzialmente rischiosi. Il messaggio per aziende e utenti è chiaro: non esiste più un solo punto da difendere. Servono aggiornamenti, backup, filtri e-mail, formazione, controlli sugli accessi e regole chiare sull’uso dell’IA.