Bitdefender segnala una campagna ancora attiva che prende di mira chi cerca un’esecuzione “non rilevabile” di Xeno, uno script executor usato in ambito Roblox per lanciare script personalizzati. L’esca è semplice e molto efficace: un software che promette vantaggi nel gioco, ma che in realtà nasconde un malware capace di trasformare il PC della vittima in una macchina sotto controllo altrui.

Il funzionamento del malware

Il meccanismo sfrutta canali che i gamer conoscono bene, come community Discord e forum dedicati. È proprio qui che nasce il rischio: quando un file arriva da una chat o da un archivio condiviso da altri giocatori, la soglia di diffidenza si abbassa. Per questo i criminali usano nomi familiari, cartelle dall’aspetto credibile e file che imitano quelli di una normale installazione Windows, così da far sembrare tutto legittimo.

La parte più insidiosa è ciò che accade dopo l’installazione. Il malware non si limita a rubare una password: può leggere i cookie del browser, cioè quei piccoli dati che tengono aperta una sessione senza dover rifare il login ogni volta, intercettare i conti Discord, Roblox e Minecraft, e perfino cercare informazioni sui portafogli di criptovalute e sui metodi di pagamento salvati. In pratica, è come entrare in casa trovando aperti sia il cassetto dei documenti sia il portafoglio lasciato sul tavolo.

Secondo la ricerca, il programma malevolo può anche fare cose molto più invasive: registrare i tasti digitati, accedere alla webcam, fare screenshot, mostrare il desktop in tempo reale, lanciare comandi e modificare file. Per l’utente significa non solo perdere un account, ma esporsi a spionaggio, furto di dati e possibili danni economici.

Il problema riguarda anche le famiglie

Roblox è molto popolare tra bambini e adolescenti, e spesso il gioco viene usato su PC condivisi con genitori o fratelli maggiori. Se una minaccia entra da lì, può arrivare non solo agli account dei più giovani, ma anche a conversazioni private, foto e informazioni memorizzate sul computer di casa.

Bitdefender sottolinea che la prima difesa è anche la più semplice: evitare cheat, script executor e strumenti non ufficiali scaricati da fonti dubbie. È una regola che può sembrare banale, ma in questo caso fa davvero la differenza. Un file che promette di “sbloccare” funzioni proibite potrebbe in realtà sbloccare l’accesso ai vostri dati per qualcun altro. In aggiunta, servono controlli di sicurezza aggiornati, autenticazione a più fattori e un po’ di educazione digitale in famiglia. Parlare con i più giovani dei rischi legati ai download “troppo belli per essere veri” è spesso il modo migliore per fermare l’infezione prima ancora che inizi.
La ricerca è disponibile a questo indirizzo.

Se lo spazio disponibile inizia a diminuire, prima di tutto bisogna verificare quale filesystem sta effettivamente raggiungendo la saturazione. Nei sistemi Linux moderni il disco è spesso suddiviso in più filesystem montati in punti diversi dell’albero delle directory: /home può trovarsi su una partizione separata, alcune directory possono essere montate su volumi dedicati e gli ambienti di sviluppo o i container possono utilizzare mount point aggiuntivi. Prima di analizzare le singole directory è quindi necessario ottenere una panoramica della situazione. Il comando più semplice per questa verifica è df, che mostra lo spazio totale e quello utilizzato nei filesystem montati. Utilizzato con l’opzione -h restituisce dimensioni espresse in unità leggibili come megabyte o gigabyte.

La distribuzione dello spazio nelle directory

Il passo successivo consiste nel capire come lo spazio è distribuito tra le directory. Per questa operazione lo strumento principale è du (disk usage), che calcola la dimensione dei file e delle directory presenti in un determinato percorso. Usare:
du -sh *

produce un riepilogo delle dimensioni dei file e delle directory di primo livello e permette di individuare immediatamente quelle più grandi. Quando si analizza un filesystem molto grande può essere utile limitare la profondità della scansione con:
du -h –max-depth=1 /

In questo modo du calcola la dimensione delle directory immediatamente contenute in /, senza analizzare in dettaglio tutti i sottolivelli. Il comando fornisce quindi una panoramica rapida delle aree del filesystem che occupano più spazio, permettendo di ripetere l’analisi solo nelle directory più rilevanti. Spesso si usa anche:
du -h –max-depth=1 / | sort -h

per ordinare immediatamente le directory per dimensione.

Strumenti più evoluti

Quando la struttura delle directory diventa ampia o molto ramificata, l’analisi dello spazio con du richiede di ripetere il comando più volte scendendo progressivamente nell’albero delle directory, impiegando molto tempo. In questi casi è più efficace utilizzare strumenti progettati specificamente per l’analisi dello spazio disco, come ncdu, che esegue una scansione ricorsiva del filesystem e presenta i risultati in un’interfaccia testuale navigabile ordinata per dimensione.

Se preferite iniziare con una GUI, Disk Usage Analyzer (Baobab) esegue una scansione del filesystem e rappresenta l’utilizzo dello spazio con grafici circolari navigabili. Svolge in forma grafica un lavoro simile a quello ottenuto con strumenti come du o ncdu.

Scegliere tra NCDU, GDU E DUST

GDU (Go Disk Usage) è un analizzatore dello spazio disco scritto in Go e progettato per essere veloce anche nella scansione di directory molto estese, sfruttando tecniche di elaborazione parallela. Come NCDU, offre un’interfaccia interattiva nel terminale che consente di esplorare le directory ordinate per dimensione e di spostarsi rapidamente nei livelli più profondi dell’albero. La creazione più recente e l’uso di thread multipli rendono spesso la scansione più
rapida su dischi di grandi dimensioni o su sistemi con molti file. Un approccio diverso è quello adottato da DUST, uno strumento scritto in Rust che privilegia la visualizzazione sintetica e immediata dell’uso del disco. Invece di proporre una navigazione interattiva completa, crea una rappresentazione grafica direttamente nel terminale sotto forma di grafico a barre, che mostra le directory più pesanti della posizione analizzata. La scelta dello strumento dipende dal tipo di analisi che volete effettuare. NCDU rimane una soluzione molto diffusa quando si desidera un’interfaccia semplice e stabile per esplorare il filesystem direttamente dal terminale. GDU è spesso preferibile quando la velocità di scansione diventa critica, mentre DUST è particolarmente utile per ottenere rapidamente una panoramica visiva delle directory più grandi prima di procedere con un’analisi più dettagliata. A voi usarli al meglio.

La diffusione dell’intelligenza artificiale nelle aziende sta creando un problema poco visibile ma molto concreto: i firewall tradizionali, progettati per bloccare siti, file e traffico “classico”, non nascono per interpretare ciò che oggi passa tra utenti, agenti e modelli di IA.

Con il nuovo AI Network Firewall, Check Point dice di voler portare la sicurezza dell’IA direttamente nei firewall già installati, senza obbligare le aziende a cambiare infrastruttura. Il punto non è solo tecnico: molte organizzazioni stanno adottando strumenti di IA più in fretta di quanto riescano a governarli, e questo crea una zona grigia fatta di applicazioni non autorizzate, dati sensibili condivisi nei prompt e nuovi canali di rischio che si diffondono sulla rete aziendale.

Il cuore del problema

Per capire perché serve una protezione specifica basta pensare a ciò che fanno oggi dipendenti e sistemi automatizzati. Gli utenti chiedono all’IA di scrivere testi, riassumere documenti o analizzare informazioni interne; gli agenti, invece, possono compiere azioni autonome e dialogare con altri servizi. In questo flusso, la rete non trasporta solo dati: trasporta intenzioni, richieste e contesto. E proprio lì, secondo Check Point, i controlli tradizionali rischiano di perdere il quadro d’insieme.

Il firewall proposto dall’azienda punta a tre aree. La prima riguarda l’uso dell’IA da parte dei dipendenti, con l’obiettivo di individuare sia le applicazioni autorizzate sia quelle “ombra”, cioè usate senza passare dai processi ufficiali. La seconda riguarda gli strumenti collegati al Model Context Protocol, un sistema che mette in comunicazione applicazioni e agenti IA con server e servizi: in pratica, una sorta di “linguaggio comune” che però va controllato con attenzione. La terza riguarda le applicazioni e i modelli linguistici, con funzioni pensate per fermare i prompt malevoli prima che arrivino al modello.

Qui entra in gioco un rischio noto ma spesso sottovalutato: la prompt injection. È un attacco in cui qualcuno inserisce istruzioni nascoste dentro una pagina, un documento o un messaggio per spingere l’IA a fare qualcosa che non dovrebbe. Immaginate di chiedere a un assistente di riassumere un testo e di trovare, nello stesso testo, un’istruzione truffaldina che gli dice di ignorare le regole: ecco, il problema è proprio quello.

*Illustrazione progettata da CheckPoint

Nel secondo trimestre del 2026 il phishing ha continuato a puntare sui nomi più riconoscibili del digitale, con Microsoft ancora in testa tra i marchi più imitati. Secondo Check Point Research, il colosso di Redmond compare nel 22,6% dei tentativi di brand phishing monitorati, quasi il doppio rispetto a LinkedIn, secondo in classifica. Subito dopo vengono Google, Apple e Amazon.

Il motivo è intuitivo: gli attaccanti scelgono marchi che le persone già conoscono e in cui tendono a fidarsi. È un po’ come indossare una divisa familiare per farsi aprire la porta più facilmente. Se il messaggio sembra arrivare da un servizio usato ogni giorno, l’utente è più portato a cliccare senza fermarsi a controllare dettagli come il dominio, il mittente o l’indirizzo della pagina.

Pagina fraudolenta di ChatGPT che invita ad aggiornare il metodo di pagamento.

ChatGPT: la sorpresa

La novità più interessante del report è l’ingresso di ChatGPT tra i dieci brand più imitati. Non è solo un segnale di moda: indica che anche gli strumenti di intelligenza artificiale stanno diventando obiettivi da sfruttare per truffe, furti di credenziali e pagamenti falsi. In pratica, dove vanno gli utenti, arrivano anche i criminali.

Le campagne osservate nel periodo sono molto diverse tra loro, ma hanno un tratto in comune: puntano a spingere la vittima ad agire in fretta. Alcune fingono un problema di pagamento per un abbonamento a ChatGPT Plus, altre ricreano un negozio online quasi identico a quello reale, con carrello e checkout, per rubare i dati della carta. Ci sono poi finte pagine di accesso a iCloud e PayPal, oppure una falsa assistenza Microsoft che propone un urgente aggiornamento di Office ma in realtà distribuisce un file eseguibile malevolo.

Pagina fraudolenta che utilizza il brand PayPal.

Qui entra in gioco un concetto importante: il brand phishing. Significa usare il nome e l’immagine di un marchio noto per trasferire la sua credibilità su una trappola. Se il logo è giusto, i colori sono giusti e il tono sembra ufficiale, molti utenti abbassano la guardia. A volte basta un dettaglio minimo — un pulsante che non funziona, un dominio leggermente diverso, un’icona social fuori posto — per tradire la frode.

Secondo Check Point, l’IA generativa sta rendendo tutto questo più facile e più veloce. Non solo aiuta a scrivere e-mail più convincenti, ma permette anche di creare siti falsi e pagine clonate su larga scala. È un po’ come passare da un truffatore che costruisce una sola finta vetrina a uno che può aprirne cento quasi identiche in poco tempo. Per utenti e aziende il messaggio è semplice: non bisogna fidarsi del marchio da solo. Conta controllare sempre l’indirizzo del sito, diffidare delle urgenze improvvise e verificare con calma prima di inserire password, dati di pagamento o codici di accesso. Nel phishing di oggi, la fretta è spesso la vera porta d’ingresso.

I 10 marchi più bersagliati nel secondo trimestre 2026.

Amazon Family è ora disponibile in Italia e consente ai clienti Prime di condividere diversi benefici con un altro adulto del nucleo familiare, senza dover dividere lo stesso account. L’idea è pratica: ognuno mantiene il proprio profilo, ma si possono usare insieme alcuni vantaggi come consegne rapide, Prime Video, Amazon Music Prime, offerte dedicate e altri servizi inclusi nell’abbonamento.

Identità digitale al sicuro

Dal punto di vista della sicurezza, il punto interessante è proprio questo: condividere non significa mescolare tutto. Ogni persona conserva infatti la propria cronologia ordini, i suggerimenti personalizzati e soprattutto le credenziali di accesso. In altre parole, è un po’ come abitare nella stessa casa ma avere ognuno la propria stanza con la propria chiave. Il sistema è pensato per evitare una delle abitudini più rischiose in assoluto: la condivisione della password. Spesso, per comodità, le persone si scambiano username e password tra familiari o colleghi; è una scorciatoia che può diventare un problema se uno dei dispositivi viene compromesso o se l’account finisce nelle mani sbagliate. Con Amazon Family, invece, l’accesso resta separato e non vengono condivisi password o codici monouso, due elementi fondamentali per proteggere l’identità digitale.

Pagamenti sicuri

Anche la gestione dei pagamenti introduce un compromesso utile da conoscere. L’amministratore del nucleo seleziona un metodo di pagamento condiviso, ma gli altri membri vedono solo alcune informazioni essenziali, come le ultime quattro cifre della carta e i dati di fatturazione. È una soluzione che limita l’esposizione dei dati sensibili e permette comunque di controllare gli acquisti tramite notifiche e dettagli dell’importo totale.

Per l’utente comune, questo significa una cosa semplice: la comodità non deve trasformarsi in disattenzione. Se si decide di attivare un servizio condiviso, conviene verificare bene chi fa parte del nucleo familiare, controllare i dispositivi già collegati e abilitare sempre le impostazioni di sicurezza disponibili sull’account. Piccoli controlli che ricordano quelli di una casa vera: sapere chi ha le chiavi, chi può entrare e cosa può vedere.

Dal punto di vista più ampio della sicurezza informatica, iniziative come Amazon Family mostrano una tendenza chiara: le piattaforme cercano di offrire funzioni più flessibili, ma allo stesso tempo devono progettare sistemi che separino bene identità, dati e pagamenti. È un equilibrio importante, perché più un servizio diventa comodo da usare, più deve essere robusto nel proteggere ciò che sta dietro le quinte.

Nel linguaggio della sicurezza informatica, i nomi degli attaccanti sembrano spesso etichette semplici: LockBit, BlackCat, Scattered Spider, Fancy Bear. Ma dietro queste sigle non c’è solo un’etichetta tecnica. C’è un modo di presentarsi, di farsi riconoscere e, in alcuni casi, di dare l’idea di essere un gruppo solido, coerente e temibile. In pratica, anche i criminali provano a costruire un marchio.

Questa dinamica ha un effetto importante: rende più difficile distinguere tra un gruppo reale, un affiliato, un imitatore o un nome riusato da soggetti diversi. È un po’ come nel mondo dei falsi negozi online: vedere un nome noto non basta per sapere chi ci sia davvero dietro. Nel cybercrime accade qualcosa di simile, ma con conseguenze molto più serie, perché l’attribuzione dell’attacco può influenzare difesa, indagini e perfino decisioni politiche.

Uno dei problemi principali è che i gruppi criminali non lavorano più in modo “artigianale”. Le campagne vengono spesso frammentate tra più soggetti: chi sviluppa gli strumenti, chi li distribuisce, chi ruba l’accesso iniziale e chi poi monetizza i dati o installa il ransomware. Questa divisione del lavoro assomiglia a una filiera commerciale, ma al posto del magazzino ci sono server compromessi e credenziali rubate.

L’importanza del nome

C’è da sottolineare un aspetto meno intuitivo: il nome di un gruppo serve non solo agli analisti, ma anche ai criminali stessi. Un brand riconoscibile aiuta a reclutare affiliati, a spaventare le vittime e perfino a creare una sorta di continuità narrativa tra attacchi diversi. Per chi osserva dall’esterno, però, questo effetto può essere ingannevole, perché l’apparenza di coesione non coincide sempre con una reale struttura centralizzata.

In sostanza, l’attribuzione di un attacco non è più solo una questione di firme tecniche o di indicatori forensi. Oggi bisogna tenere conto anche di elementi più “umani”: stile comunicativo, tempi di pubblicazione, canali usati per rivendicare, alleanze tra gruppi e capacità di imitare il linguaggio altrui. È come cercare di capire l’autore di una lettera anonima non solo dalla calligrafia, ma anche dal tono, dalle abitudini e dal modo in cui prova a farsi notare.

Il punto centrale, per aziende e lettori non esperti, è semplice: nel cybercrime il nome può essere parte della trappola. Più un gruppo riesce a sembrare riconoscibile e credibile, più aumenta la propria forza psicologica. Per questo la sicurezza non dovrebbe fermarsi al “chi sembra essere” l’attaccante, ma concentrarsi su come bloccarlo prima che entri, indipendentemente dal marchio che usa.

*Illustrazione progettata da CheckPoint

Nel vasto e variegato panorama della sicurezza informatica, sono numerose oggi le piattaforme che supportano i professionisti IT, gli analisti e gli appassionati nel monitoraggio costante delle vulnerabilità più recenti.

PIATTAFORME ONLINE

Tra queste possiamo citare senza dubbio CVE Detail, disponibile su https://www.cvedetails.com/, un portale che offre un database completo basato sulle informazioni CVE (Common Vulnerabilities and Exposures). Il servizio raccoglie e organizza in modo dettagliato dati sulle vulnerabilità, corredandoli con avvisi, exploit, strumenti correlati e perfino modifiche al codice sorgente. Una risorsa preziosa per chi si occupa di analisi o di gestione del rischio informatico. Altro strumento utile, da citare è CVE Notifier (https://github.com/0xd3vil/CVE-Notifier), un nuovo progetto open source che fornisce un sistema di monitoraggio e allerta automatica delle nuove vulnerabilità. Gli utenti possono configurarlo per ricevere notifiche mirate relative a specifici vendor o prodotti, con avvisi tempestivi inviati su canali come Slack.

La banca dati ufficiale del governo USA, raggiungibile all’indirizzo https://nvd.nist.gov/vuln/search, mostra le ultime CVE individuate e consente di inserire il numero specifico delle vulnerabilità.

La possibilità di integrare facilmente il sistema nei propri progetti, grazie al codice sorgente e alle guide disponibili, lo rende una soluzione flessibile e adatta a contesti professionali diversificati. A livello istituzionale, un punto di riferimento per il contesto nazionale è il servizio Alert e Bollettini di CSIRT Italia (https://www.acn.gov.it/portale/csirt-italia/alert-e-bollettini). Questa piattaforma ufficiale, gestita dall’Agenzia per la Cybersicurezza Nazionale, pubblica con regolarità aggiornamenti, analisi tecniche e raccomandazioni pratiche per mitigare le vulnerabilità più gravi che interessano infrastrutture critiche e pubbliche amministrazioni. Tra le iniziative più recenti e orientate alla comunità, c’è da citare poi CVE Enrichment di Red Hot Cyber (https://www.redhotcyber.com), un servizio gratuito che consente di visualizzare in tempo reale le vulnerabilità pubblicate sul National Vulnerability Database (NVD). Offre filtri per gravità e vendor, permettendo agli  amministratori di individuare i problemi.

Alert pubblicati dal CSIRT Italia tra l’11 e il 12 novembre 2025: aggiornamenti di sicurezza per Ivanti e Microsoft, una patch per Zimbra e un PoC per la CVE-2025-64495 su Open WebUI.

Un servizio di rilievo internazionale è il sito VulDB (https://vuldb.com), una piattaforma statunitense che raccoglie, arricchisce e correla dati sulle vulnerabilità note, fornendo dettagli tecnici, exploit associati e indicatori di compromissione (IoC). Grazie alla collaborazione con ricercatori di tutto il mondo, aggiorna costantemente il proprio archivio e consente di tracciare l’intero ciclo di vita delle vulnerabilità. Concludiamo questa carrellata di servizi per il monitoraggio CVE con https://www.exploit-db.com/. Si tratta di un archivio pubblico di exploit, proof-of-concept e risorse per penetration tester e ricercatori, mantenuto da Offensive Security. Permette ricerche per CVE, exploit remoti e locali, shellcode e include la Google Hacking Database. Con lo
strumento SearchSploit è possibile consultare il DB offline. Fornisce statistiche, paper e feed utili per integrare intelligence e test di sicurezza nelle operazioni aziendali.