Le recenti analisi su alcune campagne di cyber attacco rivolte a organizzazioni in Giappone mostrano un cambio di passo netto nell’uso dell’intelligenza artificiale in ambito offensivo. In tre operazioni distinte, la AI è stata impiegata con livelli diversi di autonomia, passando da un supporto alla scrittura di script fino a piattaforme multi-agente capaci di automatizzare l’intero ciclo di intrusione.

Il gruppo Lazarus legato alla Corea del Nord è stato associato a una campagna di cyber spionaggio chiamata Operation FlashHole, rivolta ad almeno tre organizzazioni in Corea del Sud nei settori costruzioni, software e produzione di apparati per comunicazioni. L’attività risulta in corso almeno da luglio 2025 e appare come una prosecuzione evoluta di precedenti intrusioni che sfruttavano software di sicurezza finanziaria molto diffusi nel paese.

Nel 2026 la crisi delle violazioni dei dati si presenta come un fenomeno maturo e sistemico che colpisce aziende e pubbliche amministrazioni con impatti economici sempre più elevati. Le stime sul costo globale del cybercrime indicano una crescita costante negli anni, con danni che derivano da molte voci diverse e che raramente si limitano al solo furto di denaro.

Un kit di spyware Android a noleggio chiamato uCreator sta attirando attenzione per la capacità di prendere il controllo di account Telegram e WeChat attraverso app manomesse e tecniche di virtualizzazione. Il meccanismo di infezione ruota soprattutto intorno al sideloading, cioè l’installazione di file APK fuori dagli store ufficiali, spesso spinta da social engineering e campagne che rimandano a falsi siti di download.

Una recente campagna di attacchi informatici contro Microsoft 365 ha mostrato come i criminali possano aggirare in modo efficace la protezione MFA sfruttando il token replay. Invece di indovinare password, gli attaccanti intercettano la sessione di accesso tramite tecniche adversary-in-the-middle, posizionandosi tra la vittima e l’infrastruttura Microsoft.

Negli ultimi mesi si sta consolidando una tecnica di attacco basata su social engineering che sfrutta Microsoft Teams come canale di primo contatto. I criminali informatici abusano della funzione di chat esterne per avviare conversazioni con dipendenti di aziende che hanno consentito comunicazioni da domini esterni.

La settimana della cybersecurity e stata segnata da un mix di vulnerabilita critiche e incidenti che mostrano quanto sia facile passare da una piccola falla a un impatto enorme. Oltre ai problemi piu evidenti, emergono minacce meno rumorose ma altrettanto pericolose che riguardano phishing, furto di credenziali, esposizione di dati e bypass di autenticazione, con conseguenze dirette su account takeover e compromissione di infrastrutture cloud.

Un gruppo hacktivista allineato alla Bielorussia ha mantenuto l’accesso per quasi due anni alla rete di una organizzazione sanitaria russa, dimostrando un livello di persistenza e di furtività tipico delle operazioni di cyber spionaggio. La campagna è stata attribuita a un cluster noto come Partisan Zmiy, associato ai Cyber Partisans, attivo almeno dal 2020 e già osservato contro enti governativi e imprese industriali in Russia e Bielorussia.

Le vulnerabilita PHP2Shell stanno alimentando una nuova ondata di tentativi di sfruttamento su larga scala, con segnali sempre piu chiari di automazione avanzata e uso di piattaforme di intelligenza artificiale agentica nelle fasi successive alla compromissione. I difetti, identificati come CVE 2026 109618 e CVE 2026 109619, sono considerati critici perche possono portare a remote code execution in configurazioni PHP predefinite, rendendo esposti milioni di sistemi che eseguono applicazioni web.

Un nuovo cluster di minacce informatiche legato alla Cina, identificato come Bronze Sandcastle, è stato osservato in operazioni di cyber espionage contro organizzazioni in Asia e Africa a partire dalla metà del 2025. Le campagne analizzate mostrano una caratteristica ricorrente e molto efficace dal punto di vista operativo, cioè l’uso sistematico della tecnica di DLL sideloading sfruttando eseguibili legittimi di Sandboxie.