Il CrowdStrike 2026 Threat Hunting Report evidenzia una nuova evoluzione nelle tattiche degli avversari informatici, che stanno sempre più sfruttando la fiducia riposta in utenti e strumenti legittimi. Questi attori malintenzionati prendono di mira sistemi di identità, ambienti cloud, applicazioni SaaS, servizi AI, catene di fornitura software e flussi di lavoro degli sviluppatori per mimetizzarsi nelle attività aziendali legittime e raggiungere asset critici prima che i difensori possano rilevarli.
Il report sottolinea come le campagne di LLMJacking abbiano generato quasi 200.000 richieste API in due minuti, causando un impatto finanziario e operativo su larga scala. Inoltre, le intrusioni via vishing sono raddoppiate nella prima metà del 2026 rispetto alla seconda metà del 2025. Gruppi come CORDIAL SPIDER e SNARKY SPIDER hanno utilizzato il vishing per rubare dati da applicazioni SaaS e compromettere account di single sign-on, con SNARKY SPIDER in grado di passare dal takeover dell'account al furto di dati in meno di cinque minuti.
Un altro dato allarmante riguarda i tentativi di phishing di codici dispositivi mensili, che sono aumentati di 15 volte negli ultimi sei mesi. Questi numeri dimostrano come gli avversari stiano rapidamente adattando le proprie tattiche per sfruttare le vulnerabilità e le fiducia nelle tecnologie moderne.
L'AI come strumento e bersaglio degli avversari
Le stesse tecnologie AI che stanno rivoluzionando il mondo degli affari stanno creando nuove superfici di attacco sottodifese, che gli avversari informatici non esitano a sfruttare. I sistemi AI sono diventati bersagli per attori malintenzionati che cercano di rubare segreti, abusare dell'accesso ai modelli AI e sfruttare il potere di calcolo.
Tra questi, spicca il gruppo FAMOUS CHOLLIMA, associato alla Repubblica Popolare Democratica di Corea (DPRK), che ha utilizzato ambienti centrati sull'AI per compromettere aziende di criptovalute e blockchain. La campagna di FAMOUS CHOLLIMA è stata una delle più sofisticate esempi della tecnica di accesso iniziale AI Supply Chain Compromise (AML.T0010) del framework MITRE ATLAS™.
L'adozione diffusa dell'AI sta aumentando il volume dei segnali che gli hunter di minacce devono valutare. Secondo CrowdStrike OverWatch, le segnalazioni di minacce generate da agenti AI sono 2,5 volte superiori rispetto a quelle generate da attività manuali, rendendo più difficile per i difensori distinguere tra attività maliziose e comportamenti legittimi guidati dall'AI.
Finestre di sfruttamento delle vulnerabilità si riducono a ore
Gli avversari stanno accelerando lo sfruttamento delle vulnerabilità, mettendo sotto pressione i cicli di patching. Dal gennaio al giugno 2026, l'88% degli sfruttamenti delle vulnerabilità con un proof of concept (PoC) pubblico osservati da CrowdStrike è avvenuto entro 48 ore dalla pubblicazione del PoC.
Gruppi connessi alla Cina, come VAULT PANDA e GENESIS PANDA, hanno lanciato attacchi deliberati entro 24 ore dalla divulgazione pubblica di una vulnerabilità critica nelle applicazioni web. Dopo la divulgazione della vulnerabilità React2Shell, CrowdStrike OverWatch ha risposto a oltre 800 lead di hunting in soli quattro giorni, interessando più di 80 vittime.
Anche il gruppo connesso alla Bielorussia UMBRAL BISON ha dimostrato di agire rapidamente, sfruttando la vulnerabilità Linux LPE CVE-2026-31431 ad aprile 2026. Il giorno successivo alla divulgazione pubblica della vulnerabilità, un ricercatore del settore ha rilasciato un exploit PoC e dettagli tecnici. Il giorno successivo, CrowdStrike OverWatch ha rilevato una diffusione su larga scala dell'exploit, con circa il 94% degli eventi nelle prime 24 ore legati a comportamenti di test basati sul codice PoC pubblico. L'attività connessa alla Bielorussia è stata scoperta in poco più di 20 ore dopo la divulgazione pubblica.
CrowdStrike prevede che i tempi di sfruttamento delle vulnerabilità continueranno a ridursi. Sebbene questo schema sia precedente all'emergere dei modelli AI di frontiera, l'implementazione di questi sistemi è probabile che comprima ulteriormente i tempi di sfruttamento, accelerando la scoperta delle vulnerabilità e lo sviluppo degli exploit. Questo, a sua volta, aumenterà la pressione sui difensori già in difficoltà nel mantenere il passo.
Attacchi alla catena di fornitura software si evolvono
Gli avversari stanno sfruttando la fiducia nell'ecosistema degli sviluppatori mentre l'adozione delle dipendenze open source accelera. Si stanno muovendo verso pipeline CI/CD, registry di container, registry di pacchetti e estensioni dell'ambiente di sviluppo integrato (IDE), dove una dipendenza compromessa o un componente fidato può diffondersi rapidamente negli ambienti a valle.
Nell'ultimo anno, i gruppi connessi alla DPRK come STARDUST CHOLLIMA e ALTERED SPIDER hanno guidato alcuni degli attacchi più consequenziali alla catena di fornitura software, dimostrando come sia gli attori statali che quelli finanziariamente motivati stiano prendendo di mira questa superficie di attacco. ALTERED SPIDER, ad esempio, ha compromesso più di 300 dipendenze software in un solo giorno, ha raccolto credenziali e si è spostato negli ambienti cloud.
A marzo 2026, STARDUST CHOLLIMA ha utilizzato credenziali di manutentore rubate per compromettere il pacchetto Axios Node Package Manager (npm) e consegnare varianti specifiche per piattaforma del loro malware ZshBucket. A giugno 2026, lo stesso avversario ha iniettato un pacchetto npm malizioso come dipendenza in almeno 131 pacchetti del framework Mastra AI, indicando che i blocchi di costruzione AI fidati stanno diventando bersagli della catena di fornitura.
L'ecosistema npm, citato nello scenario sopra, è il principale vettore per gli attacchi alla catena di fornitura: l'87% delle minacce identificate nei registry software nella prima metà del 2026 ha coinvolto pacchetti npm. Questo indica la preferenza degli avversari per la scala di JavaScript, le catene di dipendenze e gli script di installazione automatici per diffondere il rischio a valle.
L'impatto economico e le sfide per le aziende
Gli attacchi informatici descritti nel report CrowdStrike 2026 non rappresentano solo una minaccia tecnologica, ma hanno un impatto economico significativo sulle aziende. Secondo le stime, gli attacchi alla catena di fornitura software possono costare alle organizzazioni fino a milioni di dollari in perdite dirette e indirette. Le interruzioni operative, la perdita di dati sensibili e il danno alla reputazione aziendale sono solo alcune delle conseguenze che le aziende devono affrontare. Per le piccole e medie imprese, in particolare, la minaccia è ancora più grave. Spesso queste aziende non dispongono delle risorse necessarie per implementare soluzioni di sicurezza avanzate o per formare il personale su come riconoscere e prevenire gli attacchi informatici. Questo le rende bersagli facili per gli hacker che cercano di sfruttare le vulnerabilità nei loro sistemi.Le sfide per i team di sicurezza informatica
L'evoluzione delle minacce descritte nel report CrowdStrike 2026 pone nuove sfide per i team di sicurezza informatica. La necessità di gestire un volume crescente di segnali di minaccia, molti dei quali generati da agenti AI, richiede nuove competenze e strumenti. Inoltre, la riduzione dei tempi di sfruttamento delle vulnerabilità significa che i team di sicurezza devono essere in grado di rispondere rapidamente ed efficacemente per prevenire danni significativi. La formazione continua e l'aggiornamento delle competenze sono essenziali per i professionisti della sicurezza informatica. La collaborazione tra team interni e fornitori di soluzioni di sicurezza è altrettanto importante per garantire una risposta coordinata e tempestiva alle minacce emergenti.Le prospettive future e le raccomandazioni
Il report CrowdStrike 2026 sottolinea l'importanza di una strategia di sicurezza proattiva. Le aziende devono adottare un approccio basato sul rischio, identificando e mitigando le vulnerabilità prima che possano essere sfruttate. L'adozione di soluzioni di sicurezza avanzate, come l'intelligenza artificiale e l'automazione, può aiutare a ridurre il carico di lavoro per i team di sicurezza e migliorare la capacità di rilevamento e risposta. Inoltre, la collaborazione tra settori pubblici e privati è fondamentale per affrontare le minacce informatiche. Condividere informazioni sulle minacce e le migliori pratiche può aiutare a migliorare la resilienza complessiva del panorama della sicurezza informatica. In conclusione, il report CrowdStrike 2026 offre una panoramica dettagliata delle minacce emergenti nel panorama della sicurezza informatica. Comprendere queste tendenze e adattare le strategie di sicurezza di conseguenza è essenziale per proteggere le organizzazioni dagli attacchi informatici sempre più sofisticati.Nota Editoriale e Disclaimer
Le guide e i contenuti pubblicati su GoYou sono frutto di attività di ricerca e analisi indipendente, a scopo informativo, educativo e di approfondimento.
GoYou non costituisce una testata giornalistica né un prodotto editoriale ai sensi della Legge n. 62/2001 e non svolge attività di informazione in tempo reale.
Il progetto GoYou non fornisce consulenza professionale, tecnica, legale o finanziaria e declina ogni responsabilità per l’uso improprio delle informazioni pubblicate.
Nel settore Crypto, ogni investimento comporta rischi: si invita il lettore a informarsi sempre in modo autonomo prima di assumere qualsiasi decisione.