Il cybercrime oggi non e piu una somma di attacchi isolati ma un economia industrializzata che funziona con logiche simili a quelle di un azienda. Le organizzazioni criminali digitali adottano strutture gerarchiche e ruoli specializzati, con team dedicati a ricerca e sviluppo, marketing, vendita e persino assistenza clienti.

Flowise è una piattaforma open source per creare agenti di intelligenza artificiale e workflow basati su modelli linguistici. In queste settimane la sicurezza di Flowise è finita sotto i riflettori per una vulnerabilità critica sfruttata attivamente che consente remote code execution.

Un recente attacco informatico ha colpito CPUID, il sito che distribuisce strumenti molto diffusi per il monitoraggio hardware come CPU Z, HWMonitor, HWMonitor Pro e PerfMonitor. Per un periodo inferiore alle 24 ore i criminali hanno compromesso il processo di distribuzione dei download, sostituendo gli URL degli installer con collegamenti verso siti malevoli e diffondendo eseguibili trojanizzati.

La cybersecurity tradizionale, basata soprattutto sulla prevenzione, non riesce più a reggere il passo con gli attacchi cloud di nuova generazione. Oggi le aziende operano in ambienti distribuiti dove cloud, SaaS, intelligenza artificiale e identità digitali si moltiplicano rapidamente, creando una superficie di attacco ampia e difficile da governare.

Un nuovo rapporto ha acceso i riflettori su Webloc, un sistema globale di sorveglianza geolocalizzata basato su dati pubblicitari che sarebbe stato utilizzato da agenzie di intelligence e forze dell’ordine in più paesi. Secondo le informazioni disponibili, la piattaforma consente di tracciare fino a 500 milioni di dispositivi mobili attraverso flussi costantemente aggiornati di record che includono identificatori del dispositivo, coordinate di posizione e dati di profilo raccolti da app mobili e dal mercato della pubblicità digitale.

Nel nuovo bollettino di cybersecurity emergono diversi segnali chiari su come stanno cambiando gli attacchi informatici nel 2026. Il filo conduttore è la capacità degli attaccanti di concatenare vulnerabilità apparentemente piccole per ottenere impatti enormi, riducendo al minimo le tracce e sfruttando punti ciechi in cloud, software aziendali e dispositivi mobili.

Una campagna hack for hire collegata al cluster Bitter ha preso di mira giornalisti, attivisti e funzionari tra Medio Oriente e Nord Africa, con un focus marcato su account Apple e Google e su tecniche di phishing mirato. Le attività osservate tra il 2023 e il 2025 mostrano un approccio persistente basato su social engineering e su canali di messaggistica molto usati, come iMessage e WhatsApp, con esche che imitano procedure di verifica e supporto tecnico.

I ricercatori di cybersecurity stanno osservando una nuova variante del malware Chaos che amplia in modo significativo il perimetro dei bersagli, puntando su deployment cloud configurati in modo errato. In passato Chaos era noto soprattutto per attacchi contro router e dispositivi edge, ma l’evoluzione recente mostra un interesse crescente verso ambienti cloud dove errori di configurazione possono aprire la strada a compromissioni rapide e difficili da attribuire.

Una campagna di attacchi informatici sta prendendo di mira oltre 1000 istanze ComfyUI esposte su Internet, sfruttando configurazioni non sicure per ottenere esecuzione di codice da remoto e trasformare i server in nodi di una botnet per cryptomining e proxy. ComfyUI è una piattaforma molto usata per Stable Diffusion e workflow di generazione immagini, spesso installata su macchine cloud con interfacce web accessibili pubblicamente.

Nel panorama della cybersecurity di aprile 2026 emergono segnali chiari di un cambio di passo nelle tecniche di attacco, dove spesso non servono zero day rumorosi per causare danni rilevanti.

Nuova ondata di botnet ibride

Tra i temi piu discussi spicca la nuova ondata di botnet ibride, capaci di resistere ai tentativi di smantellamento grazie a comunicazioni miste. Una variante di Phorpiex utilizza un modello che combina polling HTTP verso server di comando e controllo con un protocollo peer to peer su TCP e UDP. Questo approccio aumenta la continuita operativa quando i server vengono sequestrati o bloccati.

Il malware funge anche da canale per payload cifrati, rendendo piu difficile l iniezione di comandi da parte di terzi e favorendo la distribuzione di clipper per criptovalute, campagne di sextortion via email e persino la consegna di ransomware. La propagazione in stile worm tramite unita rimovibili e drive remoti amplia ulteriormente la superficie di infezione.

Vulnerabilita storiche che tornano attuali

Un altro punto critico riguarda le vulnerabilita storiche che tornano attuali. Una falla di remote code execution in Apache ActiveMQ Classic, rimasta latente per oltre un decennio, puo essere concatenata con un difetto piu recente per aggirare l autenticazione. In alcuni scenari, l esposizione dell API Jolokia senza credenziali rende possibile un RCE non autenticato, con impatti diretti su broker di messaggistica spesso presenti in ambienti enterprise.

Frodi online e frammentazione del ransomware

Sul fronte delle frodi online i numeri continuano a crescere. Le perdite economiche legate a truffe abilitate dal digitale raggiungono livelli record, con l investimento in criptovalute tra le fonti principali di danno finanziario, seguita da business email compromise e falsi supporti tecnici. Parallelamente aumentano le varianti di ransomware identificate, segno di un ecosistema criminale in continua frammentazione e specializzazione.

Abuso di canali legittimi, e-commerce e supply chain

La minaccia si estende anche ai canali considerati affidabili. Piattaforme SaaS e pipeline di notifica vengono sfruttate per inviare phishing e spam da infrastrutture legittime, riducendo la probabilita di blocco da parte dei filtri email.

Nel mondo e commerce, campagne Magecart evolvono nascondendo skimmer in elementi SVG invisibili per sottrarre dati di pagamento con overlay di checkout credibili. Nel frattempo, pacchetti malevoli su repository pubblici e leak di codice vengono rapidamente strumentalizzati come esche, facilitando la diffusione di stealer e malware tramite canali come release di repository e archivi trojanizzati.

Rischi emergenti dall integrazione AI

L integrazione di funzionalita AI in strumenti aziendali apre nuove vie di esfiltrazione: tecniche di prompt injection indiretta possono portare a fughe silenziose di dati, senza clic e senza credenziali, dimostrando quanto la sicurezza applicativa debba estendersi anche ai componenti basati su modelli.