Cisco Talos lancia l’allarme cybersecurity: phishing e attacchi all’autenticazione raggiungono livelli record

La cybersecurity delle organizzazioni strategiche è sottoposta a una pressione crescente, con gli attaccanti che concentrano sempre più le proprie attività sulle identità digitali e sui sistemi utilizzati per verificare gli accessi. È quanto emerge dal Q2 2026 Incident Response Trends Report di Cisco Talos, che individua nel phishing il principale punto di ingresso degli incidenti analizzati e segnala una forte crescita degli abusi legati ai meccanismi di autenticazione.

Particolarmente esposti risultano sanità, Pubblica Amministrazione e settore manifatturiero, ambiti nei quali anche un’interruzione relativamente breve dei sistemi può compromettere servizi e attività essenziali.

Il phishing supera il 50% degli incidenti

Secondo Cisco Talos, il phishing è stato all’origine di oltre il 50% degli incidenti, contro il 35% registrato nel trimestre precedente. Parallelamente, l’abuso dei sistemi di autenticazione ha raggiunto il 65% degli incidenti, quasi raddoppiando rispetto al periodo precedente.

I dati indicano una crescente attenzione dei criminali informatici verso l’identità degli utenti. L’obiettivo è ottenere credenziali o sessioni valide e utilizzarle per superare le difese delle organizzazioni, arrivando in alcuni casi a eludere anche i sistemi di autenticazione a più fattori (MFA).

Questa evoluzione sposta una parte importante della sfida dalla sola protezione delle infrastrutture alla capacità di verificare che chi accede a sistemi, applicazioni e informazioni sia effettivamente un utente autorizzato.

Ransomware, nuove tattiche con strumenti legittimi

Anche il ransomware rimane una delle principali minacce. Le attività ransomware e pre-ransomware hanno rappresentato oltre il 20% degli incidenti analizzati nel trimestre.

Il team Talos Incident Response ha individuato una tendenza particolarmente significativa: l’impiego da parte dei cybercriminali di strumenti legittimi per l’accesso e la gestione remota dei sistemi.

Gli operatori del ransomware Sinobi, per esempio, sono stati osservati mentre utilizzavano un binario MeshAgent modificato con finalità malevole come strumento principale di comando e controllo. Si tratta di una tecnica che, secondo il report, non era stata precedentemente associata al gruppo nelle segnalazioni pubbliche.

Gli operatori di Warlock hanno invece utilizzato Zoho Assist Unattended Agent, soluzione di accesso remoto che in precedenza non era stata collegata alle attività del gruppo.

Perché gli strumenti legittimi complicano il rilevamento

L’impiego di software normalmente utilizzato per attività autorizzate può rendere più complessa l’individuazione di un attacco. Gli strumenti di gestione remota possono infatti essere presenti anche nelle normali attività operative delle organizzazioni.

Gli attaccanti cercano così di mantenere un accesso persistente ai sistemi e muoversi all’interno delle reti limitando la possibilità di generare i tradizionali segnali d’allarme. Questo può consentire loro di preparare successive attività, compresa la cifratura dei dati, prima dell’intervento dei responsabili della sicurezza.

La capacità di distinguere tra utilizzo legittimo e comportamento anomalo diventa quindi una componente sempre più importante delle strategie di cyber defence.

Sanità e Pubblica Amministrazione tra i principali bersagli

Per il secondo trimestre consecutivo, la sanità è risultata il settore maggiormente colpito dagli attacchi analizzati da Cisco Talos. Seguono la Pubblica Amministrazione e il settore manifatturiero.

La criticità deriva anche dalla natura delle attività svolte: queste organizzazioni dipendono fortemente dalla continuità dei sistemi digitali e possono gestire grandi quantità di dati sensibili.

Tra le tecniche rilevate figurano inoltre campagne di phishing tramite codici QR, ulteriore esempio dell’evoluzione degli strumenti impiegati per cercare di ingannare gli utenti e aggirare alcuni controlli tradizionali.

Le priorità indicate da Cisco per aumentare la resilienza

Per rispondere all’evoluzione delle minacce, Cisco indica la necessità di adottare un modello di sicurezza maggiormente proattivo e resiliente. Tra le priorità viene evidenziato l’utilizzo di sistemi di autenticazione multifattore resistenti al phishing, comprese le chiavi di sicurezza hardware.

Un altro elemento riguarda la centralizzazione dei log, accompagnata da una conservazione dei dati di almeno 90 giorni, così da migliorare la capacità dei team di sicurezza di analizzare e ricostruire gli incidenti.

Il report richiama inoltre l’importanza dell’applicazione tempestiva delle patch ai sistemi esposti a Internet e dell’introduzione di limiti alle e-mail in uscita, con l’obiettivo di ridurre la possibilità che account compromessi vengano sfruttati per distribuire ulteriori campagne di phishing.

Il quadro delineato da Cisco Talos mostra così una trasformazione delle strategie di attacco: proteggere reti e dispositivi rimane essenziale, ma la tutela delle identità digitali, il monitoraggio degli accessi e la rapidità di risposta assumono un ruolo sempre più centrale nella difesa delle organizzazioni.