Venerdì sera alle 18:47: l'allarme che nessuno

Venerdì sera alle 18:47

Marco stava chiudendo il laptop. Era venerdì, ore 18:47, e il weekend finalmente si intravedeva. Poi lo schermo si illuminò.

Centinaia di alert. Poi migliaia. Il sistema di monitoraggio della rete aziendale stava impazzendo: connessioni anomale dai firewall Palo Alto, traffico dati verso IP sconosciuti, tentativi di lateral movement nei server interni. Marco chiamò il suo capo. La risposta fu quella che nessuno vuole mai sentire: «Sembra ransomware».

Non era un falso allarme.

Nelle ore successive, l'azienda – una multinazionale manifatturiera con oltre duemila dipendenti – avrebbe scoperto che Qilin, il ransomware creato dal gruppo noto anche come Agenda, aveva già criptato i dati di produzione, i backup e parte dei server di posta. Il tutto attraverso una falla di sicurezza che Palo Alto Networks aveva già patchato due settimane prima.

Ma loro non avevano aggiornato.

Il buco nel firewall

Quello che è successo in quelle ore è esattamente ciò che i ricercatori di sicurezza di The Hacker News hanno documentato nelle scorse settimane: gli attaccanti di Qilin stanno sfruttando una vulnerabilità critica in Palo Alto Networks PAN-OS – identificata come CVE-2025-0129 – per ottenere accesso iniziale alle reti aziendali e poi deployare il ransomware.

La falla è di tipo authentication bypass. In parole semplici: permette a un attaccante di aggirare completamente il sistema di login e accedere al firewall come se fosse un amministratore. Non serve rubare password, non servono email di phishing elaborate. Serve solo che il firewall sia esposto su internet e non sia aggiornato.

Il problema è che molti firewall PAN-OS lo sono.

I ricercatori hanno osservato diversi gruppi criminali utilizzare questa tecnica nelle ultime settimane. Qilin – che ha fatto parlare di sé per attacchi a ospedali, aziende sanitarie e infrastrutture critiche – sembra avere una preferenza particolare per questo vettore d'attacco. La velocità è impressionante: dal momento in cui viene sfruttata la falla al momento in cui i dati sono criptati, possono passare poche ore.

Come funziona l'attacco

Facciamo un passo indietro e raccontiamo cosa è successo, tecnicamente.

La falla CVE-2025-0129 si trova nel sistema di gestione delle sessioni di PAN-OS. Un attaccante remoto può inviare una richiesta HTTP appositamente crafted verso l'interfaccia di gestione del firewall esposta su internet. Questa richiesta contiene un header modificato che inganna il sistema facendogli credere che la sessione sia già autenticata.

Risultato: l'attaccante accede alla console di gestione senza inserire alcuna credenziale.

A questo punto, le cose si complicano velocemente. L'attaccante, ora dentro la rete, comincia a raccogliere informazioni. Scarica la configurazione del firewall, identifica le subnet interne, cerca server vulnerabili. Spesso, il passo successivo è il deployment di tool di lateral movement – software che permette di spostarsi da un server all'altro, come un ladro che apre porte all'interno di un edificio.

Poi arrivano i loader. Nel caso di Qilin, i ricercatori hanno identificato l'uso di malware personalizzati, firmati digitalmente per sembrare software legittimo. Alcuni di questi loader vengono fatti passare per aggiornamenti di software comuni, come Adobe Reader o Google Chrome. Altri utilizzano tecniche di «living off the land», cioè usano gli strumenti già presenti nel sistema per non destare sospetti.

Il ransomware viene poi deployato sui server critici: quelli di database, quelli di posta, quelli che gestiscono la produzione. La cifratura è rapida e letale. Qilin utilizza una combinazione di algoritmi asimmetrici che rende praticamente impossibile recuperare i dati senza la chiave di decrittazione.

La richiesta di riscatto? Di solito oscilla tra centinaia di migliaia e milioni di euro, a seconda delle dimensioni dell'azienda. E il pagamento non garantisce nulla: molte vittime pagano e non rivedono mai i propri dati.

Il conto che nessuno vuole vedere

Quanto costa un attacco del genere?

Il costo diretto è impressionante: il riscatto in sé, ma anche le ore di lavoro del team IT per contenere l'attacco, i giorni di fermo produzione, la perdita di ordini e contratti. Secondo le stime più recenti del settore, un attacco ransomware medio alle aziende europee costa tra i 200mila e i 2 milioni di euro in danni diretti.

Ma il danno più grave è spesso quello reputazionale. Un'azienda che subisce un attacco del genere deve comunicarlo ai clienti, ai fornitori, spesso alle autorità. In alcuni settori, come quello sanitario o finanziario, la violazione comporta sanzioni severe. Il Regolamento GDPR prevede multe fino al 4% del fatturato globale per le violazioni più gravi.

E poi c'è il costo nascosto: la perdita di fiducia. Clienti che non si fidano più, partner commerciali che cercano fornitori alternativi, dipendenti che si chiedono se i loro dati personali siano al sicuro. Alcune aziende non si riprendono mai.

Nel caso specifico dell'attacco che ha colpito la multinazionale manifatturiera di cui parlavamo all'inizio, le perdite stimate superano i 3 milioni di euro. Non solo per il riscatto, ma per tre settimane di produzione ferma, per i clienti persi, per il team legale che ha gestito la crisi.

Come difendersi

La domanda che ogni CEO, ogni IT manager, ogni responsabile della sicurezza dovrebbe farsi è semplice: cosa avremmo potuto fare diversamente?

La risposta è più semplice di quanto sembri. La patch per CVE-2025-0129 era disponibile da due settimane. Due settimane in cui gli aggiornamenti non sono stati applicati. Due settimane in cui il firewall è rimasto esposto e vulnerabile.

Il primo passo è sempre questo: mantenere i sistemi aggiornati. Ogni giorno che passa senza applicare una patch di sicurezza è un giorno in cui i criminali possono colpire. E nel caso delle vulnerabilità critiche, il tempo di esposizione si misura in ore, non in giorni.

Ma non basta. Un approccio di difesa multilivello è essenziale. Significa avere sistemi di rilevamento delle anomalie sulla rete, monitoraggio costante del traffico, segmentazione dei sistemi critici. Significa avere backup isolati e testati, che non possono essere criptati insieme ai dati primari. Significa preparare i dipendenti a riconoscere i segnali di un attacco in corso.

Per quanto riguarda la posta elettronica – il vettore d'attacco più comune – strumenti specializzati come MailSniper possono fare la differenza. MailSniper utilizza tecnologie di intelligenza artificiale semantica per analizzare le email in tempo reale, identificando tentativi di phishing, allegati malevoli e link sospetti prima che raggiungano la casella di posta dell'utente. In un attacco come quello di Qilin, dove spesso il malware iniziale arriva via email camuffato da documento urgente, un buon sistema di protezione della posta può bloccare l'attacco prima che inizi la catena di infezione.

Naturalmente, nessuna soluzione è infallibile. Ma ridurre la superficie d'attacco, applicare le patch tempestivamente, monitorare costantemente i propri sistemi: queste sono le basi che ogni azienda deve coprire.

La domanda che resta

C'è una frase che ripetono spesso gli esperti di sicurezza informatica: non è questione di se verrete attaccati, ma di quando.

Per Marco, l'IT manager del nostro scenario, quella frase è diventata realtà in un venerdì sera di luglio. Per le migliaia di aziende che ogni anno cadono vittima di ransomware come Qilin, quella frase è il prologo di mesi di difficoltà, perdite economiche, notti insonni.

La prossima volta che il sistema ti chiede di riavviare il firewall per applicare una patch, non rimandare a lunedì.

Il weekend può aspettare. I criminali informatici, invece, non dormono mai.