Il Monthly Threat Report di Hornetsecurity offre approfondimenti mensili sulle tendenze della sicurezza di M365, sulle minacce basate sulla posta elettronica e commenti sugli eventi attuali nel settore della sicurezza informatica. Questa edizione del Monthly Threat Report si concentra sui dati e sugli eventi del settore a partire dal mese di novembre 2025.
Sintesi
- Gli aggressori sfruttano sempre più spesso infrastrutture cloud e SaaS legittime per diffondere contenuti dannosi, minando le difese basate sulla reputazione e i presupposti di fiducia degli utenti.
- L’eccessiva dipendenza dai fornitori è emersa come un rischio operativo chiave a novembre, evidenziato da un’interruzione di Cloudflare ad alto impatto che ha causato un’ampia interruzione a valle senza compromettere la sicurezza.
- Le vulnerabilità sfruttate da tempo continuano a rappresentare un rischio reale, come dimostrato dalla tardiva correzione da parte di Microsoft della vulnerabilità CVE-2025-9491 dopo un lungo periodo di abuso attivo.
- Il catalogo in continua espansione delle vulnerabilità note sfruttate (KEV) della CISA rafforza la necessità di dare priorità alle vulnerabilità in base allo stato di sfruttamento e non solo in base ai punteggi di gravità.
- La latenza delle patch rimane uno dei fattori più costanti e prevenibili che contribuiscono al successo di una compromissione.
- Le organizzazioni stanno migliorando le capacità di ripristino, ma la resilienza operativa e il rischio di dipendenza da terze parti richiedono sempre maggiore attenzione.
Una parola sul rapporto annuale Hornetsecurity 2026 sulla sicurezza informatica
Il Cybersecurity Report 2026 di Hornetsecurity offre una panoramica completa e basata sui dati sull’evoluzione del panorama delle minacce nel corso del 2025 e sul perché le organizzazioni dovrebbero prepararsi a un altro anno di accelerazione piuttosto che di stabilizzazione. Basato sull’analisi di oltre 72 miliardi di email elaborate dall’Hornetsecurity Security Lab , il report conferma che gli aggressori si stanno muovendo più velocemente, automatizzando in modo più aggressivo e sfruttando la fiducia su larga scala. Le email contenenti malware sono aumentate di oltre il 130% su base annua , seguite a ruota da truffe e phishing, a sottolineare che l’email rimane il punto di ingresso più affidabile e redditizio per gli aggressori in tutti i settori.
Uno dei risultati più significativi del rapporto è la recrudescenza del ransomware , con il 24% delle organizzazioni che segnala un incidente nel 2025 , invertendo così un declino durato diversi anni. Sebbene i backup immutabili e una migliore pianificazione del ripristino abbiano ridotto con successo i pagamenti dei riscatti, gli aggressori si sono adattati di conseguenza, spostando l’attenzione sul furto di credenziali, sulla compromissione degli endpoint e sugli attacchi all’integrità dei dati, piuttosto che sulla semplice crittografia. Allo stesso tempo, l’adozione rapida e spesso incontrollata di strumenti di intelligenza artificiale nelle aziende sta ampliando la superficie di attacco in modi che molti team di sicurezza faticano a gestire. I CISO intervistati per il rapporto citano in modo schiacciante il phishing basato sull’intelligenza artificiale, l’impersonificazione deepfake e l’abuso di identità come le principali preoccupazioni per il 2026.
Nonostante queste tendenze, il report offre un cauto ottimismo. Le organizzazioni stanno dimostrando di migliorare la propria capacità di ripristino, con l’adozione diffusa di backup immutabili, pianificazione del disaster recovery e MFA resistente al phishing che inizia a emergere come aspettative di base piuttosto che come obiettivi ambiziosi. Tuttavia, il messaggio centrale è chiaro: la resilienza definirà le strategie di sicurezza di successo in futuro . Per esplorare appieno i dati, gli insight e le previsioni del Security Lab che modelleranno l’anno a venire, consigliamo vivamente di consultare il Cybersecurity Report 2026 completo di Hornetsecurity , che fornisce contesto e indicazioni essenziali per orientarsi nel panorama delle minacce in continua evoluzione di Microsoft 365.
Panoramica delle minacce
Abuso di infrastrutture cloud legittime negli attacchi via e-mail
Una tecnica di attacco evidenziata nel Cybersecurity Report 2026 (e che continua a guadagnare terreno) è l’abuso di infrastrutture cloud e di hosting legittime per distribuire campagne email dannose. Invece di affidarsi a server palesemente dannosi o domini usa e getta, gli autori delle minacce ospitano sempre più pagine di phishing, payload e redirector su piattaforme affidabili come provider di cloud storage, servizi SaaS e note società di hosting. Questa tattica consente alle email dannose di mimetizzarsi nel traffico aziendale legittimo, migliorando notevolmente la deliverability e riducendo l’efficacia del filtraggio basato sulla reputazione. Per un utente finale, i link rimandano a domini “affidabili” e, per un gateway di posta, spesso risultano indistinguibili dal normale traffico generato dal cloud.
Ciò che rende questa tecnica particolarmente efficace è la sua durevolezza. Le infrastrutture legittime sono più difficili da bloccare senza causare danni collaterali e le rimozioni spesso ritardano le campagne attive. In pratica, ciò significa che le organizzazioni possono essere esposte a ripetute ondate di phishing o tentativi di furto di credenziali ospitati su infrastrutture su cui già fanno affidamento per le operazioni aziendali quotidiane. Mentre i difensori si rafforzano contro evidenti indicatori di compromissione, gli aggressori rispondono prendendo in prestito la fiducia di infrastrutture affidabili piuttosto che cercare di eludere completamente il rilevamento. La conclusione è chiara: le difese devono andare oltre le allowlist statiche e concentrarsi maggiormente sull’analisi comportamentale, sull’ispezione contestuale dei link e sulla consapevolezza degli utenti, perché quando gli aggressori operano all’interno dei confini di infrastrutture affidabili, i tradizionali presupposti di fiducia iniziano a lavorare contro di noi anziché a nostro favore.
L’esperienza di Sangfor nella sicurezza è integrata nello strato di virtualizzazione.
A differenza di vSphere, che spesso richiede integrazioni esterne per una sicurezza approfondita, aSV offre:
- Sicurezza a livello di kernel: la protezione è incorporata nell’hypervisor, impedendo al codice dannoso di compromettere l’host.
- Firewall distribuito: la micro-segmentazione consente di proteggere il traffico est-ovest tra VM, una funzionalità spesso riservata ai livelli di licenza più costosi dei concorrenti.
- Prevenzione ransomware: il cloud security center aSEC monitora attivamente i pattern I/O nell’ambiente virtuale. Se vengono rilevati comportamenti compatibili con ransomware, il sistema può isolare la VM infetta e generare istantaneamente snapshot per preservare i dati.
Incidenti importanti ed eventi del settore
Eccessiva dipendenza dai fornitori: lezioni dall’interruzione di Cloudflare
A novembre, una significativa interruzione del servizio presso Cloudflare ha causato diffusi problemi di disponibilità su Internet, colpendo siti web, API e piattaforme SaaS che dipendono dal provider per la risoluzione DNS, la distribuzione dei contenuti e la protezione perimetrale. Fortunatamente, l’incidente non è stato causato da un attacco informatico. Tuttavia, il suo impatto è stato immediato e altamente visibile. Per molte organizzazioni, Cloudflare si è evoluto da un semplice livello di ottimizzazione delle prestazioni o di sicurezza a una dipendenza fondamentale, il che significa che le interruzioni a livello di provider si sono tradotte direttamente in interruzioni a livello di clienti, anche quando i sistemi interni sono rimasti integri.
Ciò che è stato chiaramente illuminante in questo incidente è stata la rapidità con cui un guasto a monte si è propagato tra organizzazioni più o meno indipendenti. Affidarsi a un singolo servizio esterno per più funzioni critiche come routing, filtraggio, terminazione TLS e accelerazione del traffico crea condizioni di guasto a cascata difficili da mitigare in tempo reale. Di fatto, la “comodità” architettonica ha silenziosamente sostituito la diversità architettonica. Questo consolidamento semplifica le operazioni e migliora le prestazioni in condizioni normali, ma riduce anche la capacità di un’organizzazione di degradarsi gradualmente quando un provider riscontra problemi. La disponibilità, in questi casi, diventa un rischio condiviso piuttosto che un risultato gestito e (si spera) controllato dal team interno.
Perché è importante
- I problemi di disponibilità di terze parti possono avere un impatto aziendale equivalente a quello degli incidenti di sicurezza, anche in assenza di compromissione.
- Il rischio di concentrazione aumenta quando più funzioni critiche vengono delegate a un unico fornitore.
- La pianificazione della continuità aziendale dovrebbe tenere conto esplicitamente delle interruzioni del fornitore a monte, non solo dei guasti interni.
- La vera resilienza dipende dalla comprensione di dove le dipendenze esterne sono diventate singoli punti di errore.
Microsoft risolve la vulnerabilità dei collegamenti di Windows sfruttata da tempo (CVE-2025-9491)
A novembre, Microsoft ha rilasciato silenziosamente una patch per CVE-2025-9491 , una vulnerabilità di esecuzione di codice remoto che sfrutta i comportamenti di gestione dei file di collegamento di Windows (.LNK) . I ricercatori di sicurezza hanno notato che la falla era stata sfruttata attivamente per anni , con prove che la collegavano sia ad autori di minacce motivati da interessi finanziari sia a gruppi allineati con lo stato.
La vulnerabilità consentiva agli aggressori di attivare l’esecuzione di codice dannoso quando le vittime interagivano con file di collegamento appositamente creati, spesso distribuiti tramite supporti rimovibili, allegati di phishing o archivi compressi. Sebbene lo sfruttamento richiedesse in genere l’interazione dell’utente, la tecnica si è dimostrata sufficientemente affidabile da persistere nei toolkit degli aggressori per un periodo di tempo prolungato.
Ciò che rende questa patch particolarmente degna di nota non è la complessità tecnica del bug, ma la sua longevità. Nonostante ripetute osservazioni di abusi in natura, la vulnerabilità è rimasta sfruttabile per anni, diventando una via di attacco discretamente affidabile.
Perché è importante
- Le vulnerabilità più vecchie possono rimanere operativamente utili molto tempo dopo la loro scoperta.
- L’esecuzione basata su scorciatoie continua a eludere i sospetti degli utenti in modo più efficace rispetto ai file eseguibili tradizionali.
- La latenza delle patch rimane un problema sistemico per molti ambienti Windows.
CISA amplia il catalogo delle vulnerabilità note sfruttate
A metà novembre, la Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha aggiunto un’altra voce al suo catalogo delle vulnerabilità note sfruttate (KEV) , confermando lo sfruttamento attivo del software interessato in attacchi nel mondo reale.
L’inserimento nell’elenco KEV ha un peso operativo maggiore rispetto alla tipica divulgazione di una vulnerabilità. Segnala che lo sfruttamento non è teorico, proof-of-concept o teorico, ma che gli aggressori lo stanno già utilizzando , spesso su larga scala. Mentre le agenzie federali sono legalmente tenute a porre rimedio alle vulnerabilità elencate nel KEV entro i tempi previsti, molte organizzazioni private continuano a essere in ritardo nel monitoraggio e nella risposta a questi aggiornamenti.
Perché è importante
- Gli elenchi KEV rappresentano percorsi di attacco operativi e confermati, non rischi ipotetici.
- Le organizzazioni che non tengono traccia degli aggiornamenti KEV rischiano di reagire con settimane o mesi di ritardo.
- I programmi di gestione delle vulnerabilità devono dare priorità allo stato di sfruttamento, non solo ai punteggi CVSS.
Previsioni per i prossimi mesi
- L’abuso di infrastrutture affidabili continuerà ad accelerare. Man mano che i difensori migliorano il rilevamento di domini e infrastrutture palesemente dannosi, gli aggressori si affideranno sempre più a piattaforme legittime per lanciare campagne di phishing e di raccolta di credenziali.
- La latenza delle patch continuerà a essere un fattore di rischio dominante. Il continuo sfruttamento di vulnerabilità note da tempo, come CVE-2025-9491, dimostra chiaramente che gli aggressori non hanno bisogno di vulnerabilità zero-day per avere successo.
- La resilienza operativa sarà oggetto di un’attenzione sempre maggiore. Interruzioni di elevata visibilità, come quella di Cloudflare, spingeranno più organizzazioni a rivalutare il rischio di dipendenza da terze parti, non solo dal punto di vista della sicurezza, ma anche da quello della disponibilità.
Raccomandazioni mensili
- Esaminare il rischio di dipendenza e concentrazione tra i fornitori critici. Identificare dove singoli fornitori forniscono più servizi fondamentali (DNS, CDN, sicurezza, identità) e valutare se esistano adeguati piani di failover o di emergenza.
- Rafforza le difese contro l’abuso di link attendibili. Vai oltre le liste consentite statiche e la sola reputazione del dominio. Implementa analisi comportamentali, ispezione del momento del clic e formazione degli utenti incentrata specificamente sui tentativi di phishing che sfruttano infrastrutture legittime.
- Allineare le priorità di patching con lo sfruttamento reale. Integrare il catalogo delle vulnerabilità note sfruttate di CISA nei flussi di lavoro di gestione delle vulnerabilità per garantire che le falle attivamente sfruttate siano considerate prioritarie per la correzione.
- Rafforzare i controlli di protezione dell’identità. Dare priorità all’MFA resistente al phishing, rafforzare le policy di consenso OAuth e monitorare comportamenti di accesso anomali che indicano un uso improprio dei token o attacchi di riproduzione della sessione.
- Testare la resilienza, non solo la prevenzione. Convalidare l’integrità dei backup, testare i flussi di lavoro di ripristino e garantire che i piani di disaster recovery tengano conto sia degli incidenti di sicurezza che delle interruzioni dei servizi a monte.
Informazioni su Hornetsecurity
Hornetsecurity è un fornitore leader a livello mondiale di soluzioni di sicurezza, conformità, backup e security awareness di nuova generazione basate sul cloud, che supportano aziende e organizzazioni di ogni dimensione in tutto il mondo. Il suo prodotto di punta, 365 Total Protection, è la soluzione di sicurezza cloud per Microsoft 365 più completa sul mercato. Spinta dall’innovazione e dall’eccellenza nella sicurezza informatica, Hornetsecurity sta costruendo un futuro digitale più sicuro e culture di sicurezza sostenibili con il suo portfolio pluripremiato. Hornetsecurity opera in oltre 120 paesi attraverso la sua rete di distribuzione internazionale di oltre 12.000 partner di canale e MSP. I suoi servizi premium sono utilizzati da oltre 125.000 clienti.
CREDITS:
Monthly Threat Report December 2025
AUTORE: Hornetsecurity Blog
