La tendenza è confermata: il phishing è attualmente il primo vettore di attacco nelle operazioni cyber malevole. A dirlo è Cisco, e più precisamente il primato si riferisce alle statistiche del secondo trimestre 2026 raccolte dal team di Cisco Talos, che gestisce il rilevamento e la risposta agli incidenti per i clienti della multinazionale.
Una conferma, perché il precedente report, riferito al primo trimestre, aveva già evidenziato lo scavalcamento del phishing sull’exploit delle applicazioni esposte su Internet vulnerabili. Semmai, la tendenza si è accentuata: nel secondo trimestre il phishing è all’origine del 50% degli incidenti, percentuale in crescita sul 33% del primo trimestre.
“Gli attaccanti”, scrivono gli analisti di Cisco Talos Lexi DiScola e Dave Liebenberg, “hanno continuato a rinnovare i propri metodi di consegna per eludere le difese, distribuendo Pdf con codici QR incorporati per raggirare i tradizionali email gateway e ospitando link su piattaforme cloud affidabili”.
Anche la vendita di servizi per il phishing “pronto all’uso” sta proseguendo. DGli analisti di Cisco Talos hanno individuato ARToken, una piattaforma per operatori di phishing-as-a-service (PhaaS) strettamente collegata alla piattaforma EvilTokens. Dall’analisi è risultato che ARToken espone oltre 80 endpoint API per attività quali phishing tramite codice dispositivo, persistenza del Primary Refresh Token (PRT), accesso alle email, operazioni di Business Email Compromise (BEC) ed esfiltrazione di dati da SharePoint. Tutte queste funzionalità sono accessibili agli operatori tramite una dashboard basata su React, un framework open-source JavaScript per la creazione di interfacce utente: l'ennesimo caso di sfruttamento di uno strumento legittimo per scopi malevoli.
L’autenticazione multifattoriale non è una garanzia
Nei mesi di aprile, maggio e giugno c’è stato anche anche un picco di abusi legati all'autenticazione, rilevati nel 65% degli interventi di Cisco Talos, con netta crescita sul 35% del primo trimestre. L’autenticazione a più fattori (Mfa) dovrebbe arginare il fenomeno, ma come noto questa metodologia a volte non viene usata dalle aziende in modo abbastanza esteso o corretto. E quando le policy la prevedono, gli utenti possono percepirla come una scocciatura o perdita di tempo, tant’è che si parla di “affaticamento da Mfa”.
“Gli aggressori”, spiegano DiScola e Liebenberg, “spesso eludono o superano l'autenticazione a più fattori ricorrendo a proxy di tipo "adversary-in-the-middle", al furto di token di sessione, ad attacchi di ‘MFA fatigue’ e all'uso di dispositivi registrati autonomamente, tra le altre tecniche”.
I settori più colpiti nelle statistiche di Cisco Talos del secondo trimestre
Le nuove tecniche del ransomware
Le attività ransomware e pre-ransomware hanno rappresentato oltre un quinto degli incidenti analizzati nel trimestre. Il team di risposta agli incidenti ha osservato nuove tecniche utilizzate dai cybercriminali per mantenere un accesso persistente ai sistemi e rendere più difficile il rilevamento. In attacchi con il ransomware Sinobi, per esempio, gli autori hanno usato un file binario MeshAgent modificato come principale strumento di comando e controllo, una tecnica finora non associata a questa minaccia.
Analogamente, gli operatori del ransomware Warlock hanno utilizzato Zoho Assist Unattended Agent, uno strumento di accesso remoto che in precedenza non era stato collegato al gruppo. C’è per gli attaccanti un chiaro vantaggio a usare strumenti legittimi, che non fanno scattare i normali avvisi di sicurezza e dunque permettono di mantenere l’accesso ai sistemi e di muoversi all’interno della rete prima di procedere alla crittografia dei dati.
Sanità e PA: i bersagli preferiti
Una seconda conferma riguarda i target di attacco: con un 17% di incidenza a volume, la sanità è il settore più colpito anche nel secondo trimestre, così come già nel precedente. Seguono, come principali bersagli, la Pubblica Amministrazione e il settore manifatturier, entrambi al 14%. Si tratta, non a caso, di settori che dipendono in modo critico dalla continuità operativa e che gestiscono grandi quantità di dati sensibili: gli attacchi quindi permettono una migliore monetizzazione, sia nel caso di rivendita di informazioni sottratti sia nel caso di ransomware con richieste di riscatto più elevate.
"Una caratteristica comune a questi settori maggiormente presi di mira è la scarsissima tolleranza ai tempi di inattività", scrivono i ricercatori di Cisco Talos. "La stragrande maggioranza delle organizzazioni sanitarie colpite erano enti che supportano direttamente le attività cliniche e/o i servizi diagnostici, ambiti in cui un'interruzione del servizio può comportare ripercussioni sia operative sia sull'assistenza ai pazienti. Quasi tutti gli enti della pubblica amministrazione presi di mira erano amministrazioni locali che erogano servizi pubblici essenziali, mentre le aziende manifatturiere colpite rappresentavano obiettivi di grande valore all'interno della filiera industriale, dove potenziali interruzioni avrebbero potuto innescare effetti a catena sui settori tecnologico ed energetico a valle".