da Veronica Nardi | Apr 27, 2026 | Notizie dal Mercato
Milano, 27 aprile 2026 – DotForce, azienda specializzata in soluzioni tecnologiche avanzate e cybersecurity, celebra il traguardo dei 20 anni di attività, confermando il proprio ruolo come distributore strategico per la trasformazione digitale.
Fondata nel 2006 con una visione chiara e orientata al futuro, con uffici a Milano e a Madrid, DotForce ha costruito negli anni un percorso solido nel panorama cybertech, distinguendosi per l’approccio innovativo e per la capacità di anticipare le evoluzioni del mercato.
In un contesto in cui la sicurezza e l’affidabilità digitale sono sempre più centrali, l’azienda ha sin dalla sua fondazione proposto soluzioni all’avanguardia per supportare imprese e organizzazioni nella gestione delle proprie infrastrutture tecnologiche.
Guidata dal payoff “Your Source for Innovative Cybertech”, che per l’occasione quest’anno diventa “20 years of Innovative Cybertech”, DotForce ha fatto dell’innovazione continua il proprio punto di forza, integrando competenze in cybersecurity, infrastrutture IT e tecnologie emergenti per offrire soluzioni efficaci, scalabili e orientate al futuro.
“Raggiungere questo traguardo rappresenta un momento significativo per tutta la nostra organizzazione,” ha dichiarato Fabrizio Bressani, CEO di DotForce Italia “In questi 20 anni abbiamo costruito relazioni solide e accompagnato i nostri clienti in un percorso di crescita e trasformazione. Continueremo a investire in innovazione per affrontare le sfide della nuova era digitale.” Bressani prosegue: “Questo anniversario è soprattutto un momento di gratitudine verso tutti i partner che hanno creduto in noi, scegliendo di costruire insieme un percorso fatto di fiducia, collaborazione e crescita condivisa, e verso i nostri vendor, motori di innovazione, che ci hanno scelto come alleati per portare sul mercato tecnologie sempre più evolute. Sono queste relazioni, costruite nel tempo, ad aver reso possibile ciò che oggi celebriamo: non solo 20 anni di attività, ma 20 anni di idee, sfide e traguardi raggiunti insieme.”
Oggi, DotForce guarda avanti con determinazione, focalizzandosi su ambiti strategici come threat intelligence, intelligenza artificiale e cybersecurity di nuova generazione, con l’obiettivo di creare ecosistemi digitali sempre più sicuri, resilienti e performanti.
Questo anniversario rappresenta non solo una celebrazione, ma anche l’inizio di una nuova fase di evoluzione.
Profilo DotForce
I Vendor DotForce
da Veronica Nardi | Apr 23, 2026 | Notizie dal Mercato
Gestire gli alert è diventato il vero punto critico del Security Operations Center. Non perché manchino strumenti di rilevazione, ma perché il volume e la velocità degli eventi rendono sempre più difficile distinguere ciò che è rilevante da ciò che non lo è.
In questo contesto si inserisce l’annuncio di Corelight, che introduce una nuova suite basata su AI agentica con l’obiettivo di intervenire su una delle attività più onerose per i team di sicurezza: il triage.
Il problema non è rilevare, ma analizzare
Nei SOC moderni, la rilevazione funziona. Il problema nasce subito dopo.
Gli alert aumentano, si sovrappongono e richiedono verifiche rapide. Il triage diventa così un’attività continua, spesso manuale, che assorbe tempo e risorse senza garantire sempre risultati coerenti.
È proprio qui che si creano rallentamenti operativi: analisi ripetitive, approcci non uniformi e difficoltà nel dare priorità agli eventi davvero critici.
Dal triage manuale a un processo più strutturato
La proposta di Corelight punta a rendere questa fase più solida e meno dipendente dall’intervento manuale.
L’Agentic Triage introduce un modello in cui l’analisi iniziale degli alert viene supportata da AI, con l’obiettivo di trasformare flussi disordinati in investigazioni più strutturate e leggibili. Non si tratta solo di velocizzare, ma di rendere il processo più consistente e verificabile.
Questo aiuta a ridurre la variabilità tra analisti e a costruire un approccio più standardizzato.
AI agentica: un livello diverso di automazione
Rispetto all’automazione tradizionale, il cambiamento è significativo.
L’AI agentica non esegue semplicemente azioni predefinite, ma lavora su dati e contesto, seguendo logiche operative simili a quelle di un analista. Il risultato è un supporto più “intelligente” nelle prime fasi dell’indagine, dove è necessario capire rapidamente la natura di un alert.
In questo modo, l’analista non parte da zero, ma da un primo livello di interpretazione già costruito.
Più velocità, ma soprattutto più coerenza
Ridurre il tempo di analisi è un obiettivo evidente, ma non è l’unico.
Uno dei benefici più concreti riguarda la qualità delle indagini. Avere un processo di triage più strutturato significa ottenere risultati più uniformi, ridurre errori e migliorare la capacità di prendere decisioni in tempi brevi.
Nel lungo periodo, questo incide direttamente sull’efficacia complessiva del SOC.
Migliorare la visibilità anche nei contesti più complessi
Un altro aspetto rilevante riguarda la capacità di lavorare su dati di rete, inclusi quelli più difficili da interpretare.
Attraverso modelli di machine learning, la piattaforma mira a estrarre informazioni utili anche da traffico cifrato o da contesti dove la visibilità è tradizionalmente limitata. Questo contribuisce a ridurre i blind spot e a rendere l’analisi più completa.
Cosa cambia per le aziende
Per le aziende, il punto non è solo introdurre nuova automazione, ma farlo in modo utile ai processi del SOC. In un contesto in cui gli alert aumentano e il tempo operativo si riduce, strumenti di questo tipo possono contribuire a rendere le analisi più rapide, coerenti e sostenibili.
Scoprire di più sulle soluzioni Corelight, è possibile visitare la pagina dedicata su DotForce.
Foto di Kevin Horvat su Unsplash
da Veronica Nardi | Apr 16, 2026 | Notizie dal Mercato
C’è un elemento che più di altri sta ridefinendo il panorama della cybersecurity: il tempo.
È questo il messaggio centrale che emerge dal Global Threat Landscape Report 2026 pubblicato da Rapid7, che mette in evidenza un cambiamento ormai difficile da ignorare: la velocità con cui una vulnerabilità si trasforma in un attacco reale continua a crescere, mentre il margine di risposta per le aziende si riduce.
Più che un semplice aumento delle minacce, il report fotografa una trasformazione del ciclo d’attacco, con implicazioni concrete per chi deve gestire esposizione, priorità e remediation.
Quando la velocità supera la capacità di risposta
Tra gli aspetti più rilevanti evidenziati da Rapid7 c’è l’accelerazione nel passaggio tra disclosure ed exploit.
Le vulnerabilità critiche e ad alta severità effettivamente sfruttate sono aumentate in modo netto, ma il punto più interessante riguarda il tempo: in molti casi, la finestra tra pubblicazione della vulnerabilità e utilizzo in attacchi reali si riduce a pochi giorni.
Per le aziende, questo rende sempre meno sostenibili i modelli di patch management basati su cicli lunghi o su una gestione indistinta delle priorità.
Un ciclo di attacco sempre più compresso
Il report mostra come la velocità non riguardi soltanto lo sfruttamento iniziale, ma l’intera catena operativa.
Dalla ricognizione all’accesso iniziale, fino alle fasi successive di espansione e compromissione, gli attaccanti possono contare su processi più rapidi, automatizzati e scalabili. Questo rende più sottile il confine tra una vulnerabilità esposta e un incidente vero e proprio.
In pratica, si riduce il tempo utile per intervenire prima che il rischio diventi impatto.
Identità e accessi restano un punto critico
Un altro tema che emerge dal report Rapid7 riguarda il ruolo crescente delle identità.
Non tutti gli attacchi partono infatti da una vulnerabilità tecnica: in molti casi, l’accesso avviene attraverso credenziali compromesse, account validi o controlli insufficienti sugli accessi. È un segnale importante, perché amplia il tema della difesa oltre il solo perimetro infrastrutturale.
Proteggere gli account, rafforzare l’autenticazione e monitorare l’uso delle identità diventa quindi parte integrante della riduzione del rischio.
Ransomware e industrializzazione degli attacchi
Nel quadro delineato da Rapid7 continua ad avere un peso rilevante anche il ransomware, che conferma la propria evoluzione verso modelli sempre più strutturati.
Le campagne risultano più organizzate, ripetibili e veloci da attivare. L’efficienza operativa degli attaccanti aumenta, così come la capacità di colpire più organizzazioni in tempi ridotti.
Per questo, la resilienza non dipende solo dalla prevenzione, ma anche dalla rapidità con cui si riesce a rilevare, contenere e gestire un attacco.
Cosa cambia davvero per le aziende
Il dato più utile per le organizzazioni non è solo che le minacce aumentano, ma che si muovono più rapidamente.
Questo impone un cambio di prospettiva: non basta sapere quante vulnerabilità esistono nel proprio ambiente, serve capire quali sono davvero esposte, quali hanno maggiore probabilità di essere sfruttate e dove intervenire prima.
In questo scenario diventano centrali visibilità, prioritizzazione e capacità di risposta. Perché nel threat landscape attuale, più che in passato, la sicurezza è anche una questione di tempo.
Per approfondire, è possibile consultare il report completo.
Foto di Egor Komarov su Unsplash
da Veronica Nardi | Apr 14, 2026 | Notizie dal Mercato
Nel lavoro quotidiano dei team di sicurezza, uno dei limiti più evidenti è la dipendenza da segnali già noti. Indicatori di compromissione, blacklist e feed tradizionali restano fondamentali, ma spesso arrivano quando l’attacco è già in corso o, peggio, già avvenuto.
Negli ultimi anni si sta affermando un approccio diverso, che punta a osservare l’infrastruttura degli attaccanti prima che venga utilizzata. La Community Edition di Silent Push si inserisce in questo scenario, offrendo un accesso gratuito a strumenti e dataset pensati per analizzare il comportamento e le relazioni tra asset Internet.
Guardare prima che l’attacco inizi
Uno degli aspetti più interessanti dell’approccio Silent Push è il focus su ciò che precede un attacco.
Analizzando domini, indirizzi IP e configurazioni infrastrutturali, è possibile individuare schemi ricorrenti che spesso anticipano attività malevole. Si tratta di segnali meno evidenti rispetto agli IoC tradizionali, ma proprio per questo più utili in ottica preventiva.
Questo tipo di analisi consente di intercettare infrastrutture sospette nelle fasi iniziali, quando sono ancora in fase di preparazione o test.
Relazioni e contesto: la differenza rispetto ai feed tradizionali
Un altro elemento chiave è la capacità di correlare informazioni.
Piuttosto che fornire semplici elenchi di indicatori, la piattaforma permette di esplorare le connessioni tra domini, reti e servizi. Questo approccio aiuta a comprendere come si sviluppano le campagne malevole e quali elementi fanno parte della stessa infrastruttura.
Per i team SOC e per chi si occupa di threat hunting, avere accesso a questo tipo di contesto significa poter andare oltre il singolo alert e costruire una visione più completa delle minacce.
Una versione gratuita per iniziare
La Community Edition rappresenta un punto di ingresso accessibile per testare questo modello.
Pur non includendo tutte le funzionalità della piattaforma completa, consente comunque di esplorare dataset reali e comprendere come funziona un approccio basato sull’analisi predittiva.
Per molte organizzazioni, questo è sufficiente per iniziare a valutare l’integrazione di nuove fonti informative nei processi di sicurezza, senza impatti immediati in termini di investimento.
Supporto alle attività operative di sicurezza
Dal punto di vista operativo, l’utilizzo di informazioni legate all’infrastruttura può migliorare diverse attività:
- arricchimento degli alert con contesto aggiuntivo
- identificazione di domini e asset collegati a campagne note
- supporto alle attività di threat hunting
- migliore prioritizzazione degli eventi
Non si tratta di sostituire i controlli esistenti, ma di affiancarli con una prospettiva più ampia, utile soprattutto nei contesti complessi e distribuiti.
Cosa cambia per le aziende
L’accesso a strumenti di analisi predittiva, anche in forma gratuita, consente alle aziende di fare un primo passo verso modelli di sicurezza più maturi.
Integrare questo tipo di visibilità significa ampliare il perimetro di osservazione, passando da una logica centrata sugli eventi a una più orientata al contesto e alle relazioni tra asset.
In pratica, cambia il modo di leggere le minacce: non solo come eventi isolati, ma come parte di un ecosistema più ampio che può essere osservato, analizzato e, in parte, anticipato.
Per chi vuole valutarne concretamente il potenziale, è possibile scaricare la demo qui: https://www.silentpush.com/community-edition/
Foto di Stone John su Unsplash
da Veronica Nardi | Apr 9, 2026 | Notizie dal Mercato
Negli ultimi anni, il DNS filtering si è affermato come uno dei pilastri della sicurezza perimetrale. Tuttavia, con l’aumento esponenziale delle applicazioni SaaS e la crescente complessità degli ambienti digitali, emerge un limite evidente: sapere cosa viene bloccato non basta più.
Per le aziende, il vero problema oggi è comprendere cosa accade realmente all’interno del traffico consentito. È in questo contesto che si inserisce l’evoluzione proposta da DNSFilter con CyberSight, una nuova funzionalità che introduce capacità di behavioral analytics all’interno della piattaforma.
Il limite del DNS filtering tradizionale
Le soluzioni di DNS filtering sono estremamente efficaci nel bloccare minacce note, ma offrono una visione parziale del contesto operativo. In particolare, non permettono di analizzare in modo approfondito le attività degli utenti quando queste non generano eventi di blocco.
Questo crea zone d’ombra rilevanti: utilizzo di applicazioni non autorizzate, comportamenti anomali, o attività potenzialmente rischiose che non vengono intercettate dai controlli tradizionali.
In ambienti dove ogni organizzazione utilizza decine o centinaia di applicazioni SaaS, questa mancanza di visibilità diventa un rischio concreto per sicurezza e governance IT.
Behavioral analytics: dal blocco alla comprensione
L’approccio introdotto da CyberSight sposta il focus dalla semplice prevenzione alla comprensione del comportamento.
Attraverso la raccolta e l’analisi delle attività utente (inclusi URL completi, utilizzo delle applicazioni e sequenze temporali degli eventi) è possibile ricostruire con precisione cosa è accaduto, quando e in quale contesto.
Questo tipo di visibilità consente di distinguere tra attività legittime e segnali deboli di compromissione, migliorando significativamente la capacità di analisi e risposta agli incidenti.
Maggiore controllo su shadow IT e SaaS
Uno degli aspetti più critici per le aziende moderne è la proliferazione dello shadow IT. Applicazioni adottate direttamente dagli utenti, senza il coinvolgimento dell’IT, possono introdurre rischi significativi in termini di sicurezza e compliance.
Grazie alla visibilità sull’utilizzo reale delle applicazioni, è possibile individuare servizi non autorizzati, valutare il loro impatto e intervenire con policy più efficaci.
Allo stesso tempo, queste informazioni permettono anche di ottimizzare i costi, identificando licenze inutilizzate o strumenti ridondanti all’interno dello stack SaaS aziendale.
Incident response più rapida e contestualizzata
Un altro vantaggio chiave riguarda la gestione degli incidenti.
Disporre di una timeline dettagliata delle attività utente permette ai team di sicurezza di ricostruire rapidamente la catena degli eventi che ha portato a un alert, riducendo i tempi di indagine e migliorando la qualità delle decisioni.
La possibilità di separare le azioni rilevanti dal rumore di fondo aiuta inoltre a focalizzarsi sugli eventi realmente significativi, aumentando l’efficacia operativa dei SOC e dei team IT.
Cosa cambia per le aziende
L’introduzione di capacità di behavioral analytics all’interno di strumenti già consolidati come il DNS filtering segna un cambio di paradigma.
Non si tratta più solo di bloccare minacce, ma di comprendere il contesto in cui si sviluppano. Questo consente alle aziende di passare da un approccio reattivo a uno più proattivo, basato su visibilità, analisi e controllo continuo.
In uno scenario sempre più distribuito e orientato al cloud, avere accesso a informazioni dettagliate sul comportamento degli utenti diventa un elemento chiave per rafforzare la postura di sicurezza, migliorare la governance IT e supportare decisioni più consapevoli.
Foto di Luke Chesser su Unsplash
da Veronica Nardi | Apr 7, 2026 | Notizie dal Mercato
La sicurezza della supply chain continua a essere uno dei temi più delicati per le aziende. Non perché manchino processi di valutazione dei fornitori, ma perché spesso il rischio reale si manifesta molto prima che emerga in modo evidente. Un partner può apparire conforme sulla carta e, allo stesso tempo, avere utenti esposti in data breach, infezioni malware o campagne di phishing che aumentano concretamente la superficie di rischio condivisa.
È su questo punto che si inserisce l’approccio di SpyCloud. Con Supply Chain Threat Protection, il tema del vendor risk viene letto non solo dal punto di vista documentale o procedurale, ma soprattutto dal piano dell’esposizione concreta delle identità all’interno dell’ecosistema dei fornitori. L’idea di fondo è semplice: per capire davvero quanto un partner possa rappresentare un rischio, bisogna osservare i segnali di compromissione che emergono nel tempo e non limitarsi a una fotografia statica.
Oltre la valutazione una tantum dei fornitori
Uno dei limiti più comuni nella gestione del rischio terze parti è l’approccio episodico. Il fornitore viene valutato in fase iniziale, magari attraverso questionari, assessment o controlli formali, ma poi il monitoraggio tende a diventare discontinuo. In uno scenario in cui esposizioni, credenziali compromesse e infezioni possono cambiare rapidamente, questo crea inevitabilmente zone cieche.
L’approccio proposto da SpyCloud punta invece su una logica continua: l’obiettivo non è solo classificare un vendor come più o meno affidabile, ma individuare con maggiore anticipo i partner che presentano segnali di rischio elevato. In questo modo, la gestione della supply chain diventa più dinamica e più vicina al comportamento reale delle minacce.
Il livello identità come indicatore di rischio
Guardare alla supply chain dal livello identità significa concentrarsi su un elemento molto concreto: utenti e account esposti all’interno delle organizzazioni partner possono diventare il punto di ingresso per attacchi più ampi, account takeover, movimento laterale e ransomware.
Questo cambia anche il modo in cui viene interpretato il rischio. Non si parla più soltanto di dipendenza da un fornitore critico o di robustezza dei processi dichiarati, ma della possibilità che esposizioni già presenti nell’ecosistema del vendor possano trasformarsi in un problema diretto per clienti, distributori o organizzazioni collegate.
Dalla visibilità alla prioritizzazione
Un altro aspetto interessante è il passaggio dalla semplice raccolta di informazioni alla loro effettiva utilizzabilità. Avere più dati sul rischio dei fornitori non basta, se questi dati non aiutano a capire dove intervenire prima.
Per questo, il valore di una soluzione come questa sta anche nella capacità di portare visibilità in un’unica vista e di evidenziare trend di esposizione nel tempo. Non si tratta solo di sapere che esiste un rischio, ma di capire quali partner meritano attenzione immediata, quali segnali stanno peggiorando e dove è necessario aprire un confronto operativo.
Collaborazione e remediation nel rapporto con i partner
Uno dei punti più utili, soprattutto in un contesto enterprise, è che la gestione del rischio supply chain non può fermarsi all’identificazione del problema. Serve anche un modo per trasformare i risultati emersi in un percorso di remediation.
In quest’ottica, avere evidenze più chiare e più concrete può aiutare a impostare una relazione più efficace con fornitori e distributori. Invece di limitarsi a controlli saltuari o a richieste generiche di conformità, diventa possibile lavorare su un miglioramento continuo, fondato su indicatori osservabili e su priorità condivise.
Cosa significa per le aziende
Per chi si occupa di cybersecurity, procurement o third-party risk, il messaggio è chiaro: la valutazione dei fornitori non può più basarsi solo su audit periodici o autodichiarazioni. Serve una capacità di osservazione continua, orientata a segnali concreti e leggibile anche in chiave operativa.
In questo scenario, l’approccio di SpyCloud porta l’attenzione su un punto molto attuale: proteggere la supply chain significa anche monitorare il rischio identitario che si sviluppa nell’ecosistema dei partner. Ed è proprio questa prospettiva che può aiutare le aziende a passare da una gestione reattiva del vendor risk a un modello più anticipatorio, strutturato e misurabile.
Foto di A.Rahmat MN su Unsplash
da Veronica Nardi | Apr 1, 2026 | Notizie dal Mercato
Il report di threat intelligence 2026 pubblicato da Flashpoint descrive un panorama cyber in cui malware, furto di credenziali, vulnerabilità e ransomware si muovono sempre più come parti di una stessa catena operativa, più veloce, automatizzata e difficile da intercettare in tempo.
Il punto non è solo che i criminali informatici abbiano a disposizione più strumenti, ma che oggi riescano a combinarli in modo molto più fluido rispetto al passato. Le tradizionali separazioni tra identity threat, vulnerabilità, ransomware e infrastruttura malevola stanno diventando meno nette, mentre aumentano velocità, adattabilità e capacità di scalare gli attacchi.
L’AI entra sempre più concretamente nella filiera dell’attacco
Uno dei segnali più rilevanti riguarda la crescita dell’interesse verso l’uso illecito dell’intelligenza artificiale. Non si tratta più soltanto di sperimentazione o curiosità, ma di un’evoluzione che sta rendendo più semplice costruire campagne di phishing, adattare i messaggi ai target, migliorare il malware e rendere più efficiente la gestione dell’infrastruttura malevola.
Per le aziende questo cambia il problema alla radice. Non basta più difendersi da attacchi sofisticati e ben costruiti: bisogna essere pronti anche a un numero crescente di tentativi che migliorano progressivamente, diventando via via più credibili ed efficaci. L’automazione, in questo senso, abbassa il costo del fallimento per hacker e gruppi cybercriminali e accelera il ritmo con cui possono affinare le proprie tecniche.
Le identità compromesse sono un punto d’ingresso sempre più centrale
Un altro tema centrale è il peso crescente delle identità compromesse. Credenziali, token e sessioni rubate stanno diventando una delle risorse più preziose per il cybercrime, perché permettono di entrare in ambienti aziendali utilizzando accessi apparentemente legittimi.
È un cambio importante anche dal punto di vista difensivo. Se un hacker si presenta con credenziali valide o con token già sottratti, molte difese tradizionali rischiano di non intercettare subito il comportamento come anomalo. Questo sposta l’attenzione sulla visibilità complessiva dell’identità digitale: esposizione delle credenziali, monitoraggio dei segnali di compromissione, verifica degli accessi e capacità di correlare eventi apparentemente isolati.
In altre parole, non si tratta più solo di proteggere l’account, ma di comprendere quanto l’identità sia diventata uno dei principali vettori di rischio.
Anche il vulnerability management deve accelerare
Il report evidenzia inoltre una pressione crescente sul fronte delle vulnerabilità. Le falle aumentano, i tempi di sfruttamento si accorciano e, in molti casi, il codice di exploit diventa disponibile molto rapidamente. Questo rende meno efficace un approccio basato solo su patching pianificato e cicli di remediation troppo lenti.
Per chi si occupa di sicurezza, il punto non è semplicemente sapere che una vulnerabilità esiste, ma capire quanto sia realmente sfruttabile, quanto stia circolando negli ambienti ostili e quanto possa avere impatto sulla propria esposizione specifica. La prioritizzazione diventa quindi decisiva.
In questo contesto, il tempo tecnico della remediation deve avvicinarsi il più possibile al tempo reale della minaccia. Dove non è possibile intervenire subito, serve almeno la capacità di contestualizzare il rischio e decidere con maggiore precisione dove agire prima.
Anche il ransomware evolve e cambia metodo
Anche il ransomware continua a trasformarsi. Non è più solo una questione di cifratura o di blocco operativo, ma sempre più spesso un modello che si appoggia a credenziali compromesse, errori umani, accessi legittimi abusati e percorsi di ingresso meno evidenti.
Questo rende il ransomware un problema molto più trasversale rispetto al passato. Non riguarda soltanto endpoint o backup, ma coinvolge identity security, monitoraggio, intelligence, esposizione della superficie d’attacco e capacità di rilevare segnali deboli prima che si trasformino in un incidente conclamato.
In pratica, gli hacker cercano sempre più spesso la strada più semplice e meno rumorosa, privilegiando accessi già disponibili o facilmente riutilizzabili rispetto a tecniche più invasive.
Threat intelligence 2026: cosa cambia per le aziende
Il messaggio di fondo è chiaro: le difese costruite per silos fanno sempre più fatica a reggere un panorama che invece si muove per convergenza. AI, identità compromesse, vulnerabilità e ransomware non possono più essere letti come temi separati, perché nella realtà operativa si intrecciano sempre di più.
Per le organizzazioni questo significa adottare una postura più integrata, in cui threat intelligence, vulnerability management, identity security e capacità di risposta dialoghino tra loro in modo più stretto. La domanda non è più soltanto quale minaccia ci riguarda, ma quali segnali combinati ci stanno esponendo in questo momento.
È proprio in uno scenario di questo tipo che il supporto di Flashpoint, insieme a DotForce, può aiutare le aziende a leggere meglio il contesto, dare priorità ai rischi reali e rafforzare la capacità di anticipare minacce che si muovono sempre più rapidamente.
Per approfondire i dati completi, è possibile consultare il report originale pubblicato da Flashpoint: https://flashpoint.io/blog/global-threat-intelligence-report-2026/
Foto di Glen Carrie su Unsplash
da Veronica Nardi | Mar 25, 2026 | Notizie dal Mercato
DNSFilter ha annunciato DNS PreCheck, una nuova funzionalità pensata per intercettare le richieste verso domini malevoli prima della normale risoluzione DNS. L’obiettivo è rendere la protezione più continua e meno dipendente dalle condizioni della rete a cui l’utente è collegato.
Il punto è rilevante soprattutto nei contesti in cui il filtraggio DNS tradizionale può incontrare più attriti tecnici. Captive portal, VPN, reti non gestite o cambi frequenti di connettività possono infatti complicare il mantenimento di una protezione coerente. DNS PreCheck nasce proprio per ridurre questo tipo di discontinuità.
Un controllo che anticipa il flusso DNS
La logica della novità sta nel momento in cui avviene il controllo. Invece di intervenire solo durante il normale processo di risoluzione DNS, DNS PreCheck lavora prima, bloccando localmente le richieste potenzialmente dannose.
Questo approccio può aiutare a ridurre i punti di frizione che si verificano quando il dispositivo si trova in ambienti di rete variabili o quando alcune configurazioni interferiscono con il filtraggio. Portare il controllo più vicino all’endpoint significa anche rendere la protezione meno esposta ai limiti della rete in uso.
Perché può fare la differenza
Il valore di questa funzionalità non sta solo nel blocco anticipato, ma nella continuità operativa che può offrire. Quando una misura di sicurezza richiede eccezioni, riconfigurazioni o interventi manuali, il rischio è che perda efficacia proprio nei momenti in cui dovrebbe restare più stabile.
DNSFilter punta invece a rendere la protezione più trasparente per l’utente e più semplice da gestire per l’IT. Questo può essere particolarmente utile per aziende distribuite, MSP e organizzazioni che devono proteggere utenti mobili senza complicare troppo l’esperienza di connessione.
Un’evoluzione coerente con la sicurezza moderna
La sicurezza DNS continua a essere un livello importante di prevenzione, ma per restare efficace deve adattarsi a scenari sempre meno omogenei. Oggi non basta più applicare policy corrette: serve anche fare in modo che continuino a funzionare in modo affidabile quando cambia il contesto di rete.
In questa direzione, DNS PreCheck rappresenta un’evoluzione interessante. Rafforzare il controllo prima della risoluzione DNS significa rendere la protezione più resiliente e più vicina all’utente. Per chi lavora sulla sicurezza di ambienti distribuiti, è un approccio che merita attenzione. Ed è proprio su esigenze di questo tipo che tecnologie come quelle di DNSFilter possono inserirsi in modo concreto, all’interno di un percorso di protezione più ampio supportato anche da DotForce.
Foto di Conny Schneider su Unsplash
da Veronica Nardi | Mar 20, 2026 | Notizie dal Mercato
Capire da dove arriva davvero una connessione è diventato molto più complesso di quanto sembri. Oggi chi vuole mascherare la propria posizione può usare VPN, proxy residenziali e infrastrutture distribuite. Tutto questo rende molto meno immediata la lettura del rischio.
Da qui parte un’analisi pubblicata da Silent Push. Il vendor mostra come l’incrocio tra dati di Traffic Origin e informazioni sui proxy residenziali possa far emergere segnali difficili da vedere con una lettura tradizionale degli IP. Il caso osservato riguarda un sospetto servizio VPN in lingua cinese, collegato a una rete di domini molto simili tra loro e a pattern di traffico insoliti.
Quando la geolocalizzazione apparente non basta
In molti contesti di sicurezza, fermarsi alla geolocalizzazione tecnica di un IP non basta più. Un indirizzo può risultare associato a un determinato Paese, ma il traffico reale può avere origini molto diverse. Questo succede soprattutto quando entrano in gioco sistemi di mascheramento, proxy o infrastrutture noleggiate.
Silent Push ha rilevato proprio questo tipo di anomalia. L’analisi ha isolato un IP con una distribuzione del traffico osservata in aree come Russia, Cina, Myanmar, Iran e Venezuela. Una combinazione poco comune, che ha reso il caso meritevole di ulteriori verifiche.
Dal singolo IP a una rete di domini collegati
Approfondendo il dato, l’indagine ha portato a un dominio che sembrerebbe ospitare un VPN in lingua cinese. Da lì, Silent Push ha ampliato il perimetro usando elementi tecnici come favicon, script, titolo HTML e riferimenti Telegram. Questo lavoro ha permesso di individuare una rete più estesa di domini con contenuti molto simili.
Uno schema del genere è interessante perché suggerisce una gestione coordinata dell’infrastruttura. Quando uno stesso servizio compare su numerosi domini quasi duplicati, spesso l’obiettivo è garantire continuità operativa, aggirare eventuali blocchi e rendere più resiliente la distribuzione del contenuto.
In questi casi, quindi, non basta guardare il singolo dominio sospetto. Serve osservare il comportamento complessivo dell’ecosistema che gli ruota attorno.
Il ruolo dei proxy residenziali
Uno degli aspetti più delicati dell’analisi riguarda l’uso dei proxy residenziali. Questo tipo di infrastruttura rende molto più difficile distinguere un traffico apparentemente normale da connessioni che in realtà cercano di nascondere origine, percorso o finalità.
Per i team di sicurezza il problema è evidente. Un IP residenziale può sembrare poco sospetto se osservato da solo. Il significato cambia però quando lo si contestualizza insieme ad altri segnali tecnici, geografici e comportamentali.
Qui entra in gioco il valore dell’arricchimento del dato. Non basta sapere che una connessione passa da un certo nodo. Bisogna capire se dietro quel nodo ci sia un normale utilizzo consumer oppure un’infrastruttura usata per occultare attività più opache.
Un tema che va oltre il singolo caso
L’aspetto più utile di questa analisi non è solo il dettaglio sul VPN osservato. Il vero punto è il metodo. Il caso mostra quanto sia rischioso valutare connessioni, accessi e attività remote guardando solo gli indicatori più superficiali.
In uno scenario in cui identità digitali, indirizzi IP e localizzazioni possono essere mascherati con facilità, cresce l’importanza di strumenti capaci di ricostruire il contesto reale. Questo vale per il threat hunting, ma anche per attività di compliance, antifrode, verifica accessi e monitoraggio di comportamenti anomali.
Per molte organizzazioni il rischio non è soltanto subire un attacco evidente. Spesso il problema è non riconoscere in tempo pattern che sembrano legittimi, ma che in realtà nascondono una provenienza o un utilizzo anomalo.
Più contesto significa decisioni migliori
Il valore di un’analisi di questo tipo sta proprio nella capacità di collegare segnali diversi. Origine del traffico, infrastruttura tecnica, domini ricorrenti, strumenti di occultamento e distribuzione geografica acquistano significato quando vengono letti insieme.
A quel punto cambia anche la qualità della valutazione difensiva. Non si tratta più soltanto di bloccare un IP o segnalare un dominio. Diventa più importante capire se ci si trova davanti a un comportamento isolato oppure a una rete più strutturata.
È proprio su analisi di questo tipo che soluzioni come quelle di Silent Push trovano applicazione concreta, soprattutto quando serve dare più profondità alla lettura di domini, IP e connessioni sospette.
Foto di Jakub Żerdzicki su Unsplash
da Veronica Nardi | Mar 18, 2026 | Notizie dal Mercato
Quando la tensione geopolitica cresce, cresce anche il rumore sul piano cyber. È una dinamica che si ripete spesso: aumentano le rivendicazioni, si moltiplicano i messaggi allarmistici, compaiono liste di presunte vittime e dataset presentati come nuove violazioni. Il problema è che, in mezzo a tutto questo, distinguere ciò che rappresenta un rischio concreto da ciò che serve soprattutto a generare visibilità diventa sempre più difficile.
È proprio qui che l’analisi di Rapid7 sulle attività cyber collegate all’Iran offre uno spunto utile. Il punto non è solo osservare l’attività cyber collegata ad attori iraniani o a gruppi che si inseriscono nell’attuale scenario regionale, ma capire come leggere questi segnali senza confondere operazioni strutturate, hacktivismo opportunistico e campagne costruite per amplificare la percezione della minaccia.
Non tutte le attività hanno lo stesso peso
Uno degli aspetti più importanti è la differenza tra attività sponsorizzate o comunque riconducibili a gruppi più organizzati e iniziative portate avanti da soggetti hacktivisti. Nel primo caso, l’obiettivo può essere ottenere accesso, mantenere persistenza, raccogliere informazioni o sottrarre dati. Nel secondo, spesso prevale una logica più dimostrativa: siti colpiti da DDoS, messaggi pubblici, rivendicazioni diffuse sui social o su Telegram, annunci pensati per attirare attenzione.
Mettere tutto sullo stesso piano rischia di creare una lettura distorta. Un’operazione rumorosa non è necessariamente la più pericolosa, così come un’attività meno visibile non è automaticamente secondaria. Per i team di sicurezza, questa distinzione è fondamentale: cambia il livello di priorità, cambia il tipo di verifica necessario e cambia anche il modo in cui si gestisce la comunicazione interna.
Il problema delle false rivendicazioni
Un altro elemento centrale riguarda la qualità delle informazioni che circolano durante queste fasi. Non tutte le dichiarazioni di compromissione sono attendibili. In alcuni casi si tratta di dati già pubblici o già circolati in passato. In altri, un accesso limitato o poco significativo viene raccontato come se fosse una violazione estesa e impattante.
Questo tipo di dinamica crea un doppio rischio. Da una parte può generare allarme inutile. Dall’altra può spingere le organizzazioni a reagire troppo in fretta, senza avere ancora raccolto abbastanza elementi per capire se la minaccia sia reale, se riguardi davvero la propria esposizione o se si tratti soprattutto di pressione reputazionale.
Per questo, in scenari di escalation, la verifica diventa tanto importante quanto la detection. Non basta vedere una segnalazione o una rivendicazione: bisogna contestualizzarla, capire da dove arriva e valutarne il peso reale.
Le vulnerabilità restano un punto di ingresso decisivo
Accanto al rumore mediatico, c’è poi un piano molto più concreto: quello delle superfici realmente esposte. Rapid7 richiama l’attenzione su vulnerabilità considerate prioritarie nello scenario attuale, e questo è forse l’aspetto più operativo per chi difende aziende e infrastrutture.
Il punto non è soltanto la singola CVE, ma il fatto che edge device, strumenti di gestione, applicazioni enterprise e servizi esposti possano diventare il punto di ingresso iniziale per attività successive di raccolta informazioni, movimento laterale o esfiltrazione. Quando una vulnerabilità viene sfruttata in fasi di alta attenzione geopolitica, il rischio è che un problema tecnico si trasformi rapidamente anche in un problema reputazionale.
Più segnali non significano automaticamente più chiarezza
In momenti come questi, molte organizzazioni si trovano davanti a un paradosso: aumentano gli alert, aumentano gli indicatori, aumentano le informazioni disponibili, ma non per questo aumenta la chiarezza. Anzi, spesso accade il contrario.
È qui che threat intelligence, enrichment e capacità di prioritizzazione diventano particolarmente importanti. Sapere quali gruppi stanno mostrando attività concreta, quali tecniche ricorrono più spesso, quali vulnerabilità meritano attenzione immediata e quali rivendicazioni sono poco credibili aiuta a evitare due errori opposti: sottovalutare un rischio reale oppure reagire in modo eccessivo a un segnale poco fondato.
Cosa cambia per le aziende
Per chi si occupa di sicurezza aziendale, il messaggio è chiaro: in una fase di tensione geopolitica non basta aumentare il livello di allerta in modo generico. Serve capire dove guardare, cosa verificare prima e come distinguere il rumore dalla sostanza.
Questo significa lavorare su detection, intelligence e validazione come parti di uno stesso processo. Vuol dire anche evitare di leggere ogni rivendicazione come un attacco confermato, senza però trascurare i segnali che possono indicare attività più strutturate in corso.
In questo tipo di scenario, avere una lettura più solida del contesto aiuta a prendere decisioni migliori, sia sul piano tecnico sia su quello organizzativo. Ed è proprio in questa capacità di collegare minacce, priorità ed esposizione reale che soluzioni come quelle di Rapid7 possono trovare applicazione concreta, all’interno di un lavoro di difesa supportato anche dall’esperienza di DotForce.
Per approfondire, è possibile consultare l’analisi pubblicata da Rapid7: https://www.rapid7.com/blog/post/tr-detection-coverage-iran-linked-cyber-activity/
Foto di Nick Romanov su Unsplash
da Veronica Nardi | Mar 13, 2026 | Notizie dal Mercato
Il phishing non è più da tempo una minaccia “semplice”. Negli ultimi anni si è evoluto in un ecosistema sempre più organizzato, in cui strumenti, infrastrutture e tecniche di attacco vengono offerti come servizi pronti all’uso. È in questo scenario che si inserisce Tycoon 2FA, una delle piattaforme di phishing-as-a-service più note per la capacità di colpire account protetti da autenticazione a più fattori.
La notizia della disruption della sua infrastruttura non è importante solo per l’operazione in sé, ma per quello che rappresenta. Colpire una piattaforma come Tycoon 2FA significa intervenire su un modello di attacco ormai maturo, pensato per aggirare le difese tradizionali e prendere di mira identità digitali ad alto valore, in particolare in contesti enterprise.
Un phishing più evoluto e più difficile da fermare
A rendere Tycoon 2FA particolarmente rilevante è il livello di sofisticazione del modello operativo. Non si parla di semplici pagine fake costruite per sottrarre username e password, ma di un’infrastruttura in grado di inserirsi nel flusso di autenticazione della vittima e intercettare informazioni sufficienti a superare anche la protezione offerta da MFA e 2FA.
Questo tipo di approccio cambia profondamente il rischio. Quando un attaccante riesce a ottenere non solo le credenziali, ma anche elementi di sessione o token validi, la compromissione dell’account diventa molto più concreta. E quando il bersaglio è un ambiente come Microsoft 365 o Google Workspace, l’impatto può andare ben oltre il singolo utente.
Perché il caso riguarda soprattutto le aziende
Uno degli aspetti più interessanti emersi dall’analisi è il forte orientamento verso account riconducibili a domini aziendali. Questo conferma una tendenza ormai chiara: le campagne phishing più avanzate non cercano solo volumi, ma puntano identità digitali che possano offrire accesso a dati, processi, comunicazioni interne e infrastrutture di business.
Per un’azienda, la compromissione di un account non è mai un evento isolato. Può diventare il punto di partenza per furti di dati, movimenti laterali, escalation di privilegi, compromissioni di caselle email strategiche e casi di business email compromise. In alcuni scenari, può anche rappresentare il primo passaggio di una catena di attacco più ampia, fino ad arrivare a ransomware o frodi mirate.
Il valore del takedown
La disruption di Tycoon 2FA assume quindi un valore che va oltre la singola operazione. Dimostra che anche infrastrutture molto diffuse e ben organizzate possono essere indebolite quando si combinano intelligence, cooperazione tra soggetti pubblici e privati e capacità di intervento coordinate.
In questo contesto si inserisce anche il lavoro di SpyCloud, che ha contribuito all’analisi della minaccia e alla raccolta di elementi utili per comprendere portata, target e funzionamento dell’infrastruttura. Il contributo di vendor specializzati resta sempre più centrale, soprattutto quando si tratta di ricostruire ecosistemi criminali distribuiti, dinamici e costruiti per adattarsi rapidamente alle contromisure.
Un segnale chiaro sullo stato delle minacce
Il caso Tycoon 2FA conferma almeno tre aspetti che le organizzazioni non possono più ignorare. Il primo è che il phishing-as-a-service continua a crescere come modello criminale, abbassando la soglia tecnica di accesso per gli attaccanti. Il secondo è che MFA e 2FA restano fondamentali, ma non possono più essere considerate una protezione sufficiente in assoluto contro campagne avanzate. Il terzo è che il fattore identità è oggi uno dei punti più esposti e più strategici all’interno della superficie di attacco.
Per questo motivo, il monitoraggio delle identità compromesse, la capacità di individuare segnali di esposizione e l’analisi del contesto stanno diventando componenti sempre più importanti nelle strategie di difesa.
Una minaccia colpita, ma non superata
Il takedown di Tycoon 2FA non chiude il capitolo del phishing avanzato, ma rappresenta comunque un passaggio significativo. Colpire una piattaforma di questo livello significa rallentare un ecosistema offensivo che ha dimostrato di poter operare su larga scala e con obiettivi molto precisi.
Per le aziende, però, il messaggio resta netto: il phishing non va più letto come una minaccia marginale o solo “utente-centrica”. Oggi è una componente strutturale del rischio cyber, soprattutto quando si lega a identità, sessioni e accessi a servizi critici. Ed è proprio per questo che casi come quello di Tycoon 2FA meritano attenzione, perché mostrano con chiarezza quanto la difesa degli account e del contesto identitario sia diventata centrale.
Foto di Le Vu su Unsplash
da Veronica Nardi | Mar 11, 2026 | Notizie dal Mercato
Le attività di indagine in ambito cyber sono diventate sempre più complesse. Oggi non basta raccogliere indicatori o individuare un’anomalia: per capire davvero la portata di un incidente è necessario collegare velocemente dati, identità, credenziali compromesse, dispositivi infetti e possibili segnali di frode.
È proprio in questo scenario che si inserisce SpyCloud Investigations, la soluzione di SpyCloud progettata per aiutare analisti e team di sicurezza a lavorare con più contesto e maggiore rapidità. Il valore della piattaforma sta nella capacità di trasformare informazioni sparse in un quadro più chiaro, utile per supportare le attività investigative e accelerare il processo decisionale.
Più contesto nelle indagini, meno tempo perso
Uno dei problemi più frequenti durante un’indagine è la frammentazione delle informazioni. Spesso i team si trovano a dover mettere insieme manualmente elementi diversi, con il rischio di rallentare l’analisi o di perdere connessioni importanti lungo il percorso.
SpyCloud Investigations nasce per semplificare proprio questa fase. Partendo anche da un singolo elemento iniziale, la soluzione consente di ampliare rapidamente il perimetro dell’analisi e di individuare relazioni utili tra identità esposte, credenziali compromesse, infezioni malware e altri segnali collegati all’incidente.
Il risultato è una maggiore velocità nella lettura del contesto e una migliore capacità di capire quali informazioni meritano davvero attenzione.
Un supporto concreto per i team di sicurezza
Nel lavoro quotidiano di SOC, team di threat intelligence, antifrode e incident response, il tempo è un fattore decisivo. Più rapidamente si riesce a comprendere cosa sta accadendo, più efficace può essere la risposta.
In questo senso, la soluzione SpyCloud rappresenta un supporto concreto per tutte quelle organizzazioni che hanno bisogno di ridurre il peso delle attività manuali e di migliorare la qualità dell’analisi. Avere una visione più ordinata delle connessioni tra più dati permette infatti di velocizzare la fase investigativa e di stabilire con maggiore precisione le priorità operative.
Non si tratta solo di vedere più informazioni, ma di riuscire a leggerle nel modo giusto e nel momento in cui servono davvero.
I casi d’uso principali di SpyCloud Investigations
L’approccio di SpyCloud Investigations può rivelarsi particolarmente utile in diversi scenari.
- Indagini su cybercrime e frodi
Quando un’organizzazione deve approfondire attività sospette, account compromessi o possibili casi di abuso, disporre di più contesto aiuta a ricostruire con maggiore rapidità le connessioni tra soggetti, esposizioni e comportamenti anomali.
- Analisi di credenziali compromesse e identità esposte
Le identità digitali sono oggi uno dei punti più critici nella catena di attacco. Una soluzione come quella proposta da SpyCloud aiuta a dare maggiore visibilità a credenziali esposte e possibili impatti collegati, offrendo agli analisti una base più solida da cui partire.
- Malware, ransomware e compromissioni più complesse
Nei casi in cui un’infezione o una compromissione si inseriscono in uno scenario più ampio, riuscire a collegare velocemente i vari elementi dell’indagine può fare una differenza concreta. Questo vale soprattutto quando è necessario capire se un evento isolato sia in realtà parte di un rischio più esteso.
- Supply chain e rischio interno
Le indagini non riguardano solo minacce esterne. Anche i casi legati alla supply chain o all’insider risk richiedono strumenti capaci di arricchire il contesto e mettere in evidenza relazioni che non emergono subito in una lettura superficiale.
Perché oggi l’identità è al centro delle indagini
Negli ultimi anni il fattore identità è diventato sempre più centrale nella sicurezza informatica. Account compromessi, riutilizzo di password, accessi non autorizzati, furti di credenziali e frodi digitali sono tutti elementi che convergono sullo stesso punto: la necessità di comprendere meglio chi è esposto, come e con quali possibili conseguenze.
Per questo motivo, strumenti come SpyCloud Investigations assumono un ruolo sempre più rilevante. Non solo perché aiutano a raccogliere informazioni, ma perché consentono di leggerle in modo più rapido, strutturato e utile all’indagine.
La proposta SpyCloud per indagini più efficaci
Con SpyCloud Investigations, SpyCloud mette a disposizione una soluzione pensata per rendere le indagini cyber più veloci, più contestualizzate e più gestibili. In un panorama in cui la quantità di segnali da analizzare continua a crescere, poter contare su uno strumento capace di aiutare i team a collegare meglio i dati rappresenta un vantaggio operativo concreto.
Per le organizzazioni che vogliono migliorare la propria capacità investigativa, ridurre il tempo dedicato alla correlazione manuale e ottenere una visione più completa del rischio, SpyCloud Investigations si propone come una risposta efficace e attuale.
Foto di Agence Olloweb su Unsplash
da Veronica Nardi | Mar 9, 2026 | Notizie dal Mercato
Per anni abbiamo pensato alle frodi con carta di credito come a un problema “a valle”: una transazione anomala, un chargeback, una carta da bloccare. Oggi, sempre più spesso, il furto di dati di pagamento nasce a monte e si muove dentro un’economia sotterranea organizzata come un vero marketplace.
È qui che entra in gioco il Carding-as-a-Service (CaaS): un modello in cui dati rubati, strumenti e (talvolta) supporto vengono confezionati e venduti in modo accessibile, con logiche molto simili a quelle dell’e-commerce legittimo. E il rischio non è solo economico: i dati di pagamento vengono spesso “arricchiti” con informazioni personali e di contatto, aumentando le probabilità di furto d’identità, impersonificazione e takeover di account.
Cosa viene venduto (in parole semplici)
Sui mercati di carding circolano tipicamente:
dati carta “base” (numero, scadenza, intestatario e codici),
informazioni per frodi “fisiche” legate a dati di striscia magnetica,
profili più completi del titolare (“fullz”), dove il valore cresce perché crescono gli usi fraudolenti possibili.
I canali ricorrenti restano tre:
phishing sempre più industrializzato (kit e piattaforme pronte all’uso),
malware/infostealer che raccolgono dati e credenziali insieme,
compromissioni di pagine di pagamento (attacchi lato client) e ambienti POS, dove l’obiettivo è intercettare i dati quando vengono inseriti.
Perché alle aziende non basta “fare antifrode”
Il punto è la filiera: anche se issuer e circuiti sono bravi a fermare alcune transazioni sospette, il CaaS monetizza prima e meglio, sfruttando la combinazione di fattore umano, credenziali riutilizzate, scarsa visibilità esterna e tempi di reazione.
Cosa fare, in pratica
Se gestisci pagamenti (o customer account legati a metodi di pagamento), la difesa più efficace è “a strati”:
Riduci l’esposizione: MFA dove ha senso, patching regolare, hardening delle pagine di pagamento e controllo delle dipendenze/script di terze parti.
Aumenta la capacità di rilevare presto: monitoraggio di segnali di esposizione (anche esterni), alert su credenziali leakate e indicatori di compromissione.
Accelera la risposta: playbook chiari (reset credenziali, riemissioni/rotazioni, monitoraggio antifrode rafforzato) per ridurre la finestra di abuso.
Approfondisci
Per maggiori dettagli, visita la pagina di Rapid7 sul sito DotForce.
Foto di CardMapr.nl su Unsplash
da Veronica Nardi | Mar 5, 2026 | Notizie dal Mercato
Le grandi istituzioni finanziarie affrontano frequentemente un problema comune: l’intelligence sulle minacce è frammentata. Questo può causare un sovraccarico di dati, rallentare la risposta agli incidenti e ridurre la visibilità sulle minacce informatiche. Con team di sicurezza che lavorano separatamente, spesso si spende troppo tempo nel cercare di collegare i vari pezzi di dati invece di prendere decisioni strategiche.
Questo è stato il caso di un’importante azienda finanziaria globale, con oltre 200.000 dipendenti, che ha dovuto affrontare sfide significative nella gestione delle informazioni sulle minacce. L’azienda ha quindi deciso di centralizzare e unificare la gestione dell’intelligence, implementando una piattaforma di threat intelligence che migliorasse la cooperazione tra i team e velocizzasse la risposta agli incidenti.
La soluzione: unificare e automatizzare
Collaborando con ThreatConnect, l’azienda ha adottato la piattaforma TI Ops per centralizzare l’intero programma di threat intelligence. Questa mossa ha permesso loro di:
Unificare i dati delle minacce a livello aziendale.
Automatizzare le attività di sicurezza ripetitive.
Accelerare l’analisi delle minacce e la risposta agli incidenti.
Grazie a queste implementazioni, i team di sicurezza ora sono in grado di connettere rapidamente campagne di phishing o attacchi malware a attori di minacce più ampi. Inoltre, la piattaforma supporta l’analisi delle minacce utilizzando il framework MITRE ATT&CK, permettendo agli analisti di avere una visione più completa e contestualizzata delle minacce.
Risultati concreti: una difesa più forte
L’introduzione della piattaforma ha migliorato significativamente la postura di sicurezza dell’azienda, aumentando la visibilità, migliorando la collaborazione tra i vari team e riducendo il rischio complessivo. Decisioni di sicurezza più intelligenti e rapide sono ora possibili grazie alla centralizzazione delle informazioni e all’automazione di numerose operazioni.
L’esperienza di questa grande azienda finanziaria mostra come l’adozione di una piattaforma integrata di threat intelligence possa fare la differenza nel rafforzare la sicurezza e nel reagire tempestivamente alle minacce emergenti.
Vuoi scoprire come questa soluzione può essere applicata anche alla tua organizzazione? Visita la pagina di ThreatConnect su DotForce.
Foto di Towfiqu barbhuiya su Unsplash
da Veronica Nardi | Mar 3, 2026 | Notizie dal Mercato
Le Olimpiadi Invernali del 2026 si sono concluse da poco, ma l’attività informatica legata agli eventi ha visto un notevole incremento.
Cos’è l’hacktivism nel 2026?
L’hacktivism oggi si manifesta come attività informatica ideologicamente motivata per influenzare l’opinione pubblica, fare pressioni politiche o promuovere cause tramite interruzioni, furti di dati o messaggi pubblici. Le campagne hacktiviste non sono più isolati episodi, ma spesso si intrecciano con operazioni statali o criminali. Durante le Olimpiadi, i settori vulnerabili si intersecano con logistica, telecomunicazioni, energia e sicurezza.
Gli eventi come le Olimpiadi sono amplificatori globali. Con miliardi di spettatori, anche attacchi relativamente semplici possono produrre conseguenze devastanti.
Una campagna DDoS contro una emittente può interrompere la copertura in un momento critico. La perdita di dati coinvolgenti uno sponsor può dominare i titoli per giorni. Gli attacchi hanno un impatto psicologico e reputazionale, mirato a minare la fiducia nei principali attori internazionali.
Cosa devono fare i team di sicurezza ora e in futuro
Con la fine dei Giochi, la sicurezza non può fermarsi. I leader devono concentrarsi su:
Monitoraggio proattivo durante gli eventi ad alta visibilità
Rivedere le dipendenze da terze parti, in particolare quelle legate alla logistica e agli sponsor
Tracciare e rispondere rapidamente alle minacce hacktiviste e ai messaggi pubblici che mirano a destabilizzare
Allineare i team di comunicazione per una risposta rapida e coordinata
L’attività hacktivista durante eventi globali come le Olimpiadi rappresenta una sfida unica, dove il rischio non è solo tecnico ma anche reputazionale e geopolitico. Prepararsi significa non solo proteggere i sistemi, ma anche mantenere la fiducia del pubblico.
Cybersecurity e impatti geopolitici: una realtà sempre più interconnessa
Gli attacchi informatici durante eventi globali non sono solo una minaccia tecnica, ma anche un riflesso delle tensioni geopolitiche e dei cambiamenti sociali in atto. L’attività hacktivista, seppur diversificata, continua a crescere, richiedendo che le organizzazioni siano pronte a rispondere in modo rapido e mirato. Sebbene le Olimpiadi siano terminate, l’impegno verso una sicurezza proattiva deve rimanere costante, con un occhio attento all’evoluzione delle minacce che potrebbero emergere anche in altri contesti globali.
Vuoi approfondire come rafforzare la sicurezza contro le minacce hacktiviste? Visita la pagina di Rapid7 su DotForce per maggiori dettagli.
Foto di Glen Carrie su Unsplash
