Il phishing è diventato il vettore di accesso iniziale nella maggioranza degli engagement di Cisco Talos Incident Response nel secondo trimestre 2026, con una quota superiore al 50% in crescita da circa un terzo nel trimestre precedente. Cisco Talos ha pubblicato il report IR Trends Q2 2026 il 28 luglio, documentando un'impennata parallela dell'abuso di autenticazione al 65% degli engagement, raddoppiato dal 35% del Q1. I dati segnalano un'inversione di paradigma: gli attaccanti non forzano più i sistemi, ma li attraversano con credenziali valide e strumenti amministrativi legittimi armati per l'occasione.
- Il phishing ha superato la metà degli engagement Talos IR nel Q2 2026, rispetto a circa un terzo nel trimestre precedente.
- L'abuso di autenticazione è balzato al 65% degli engagement dal 35% del Q1, con bypass MFA tramite proxy AitM, furto di session token, attacchi MFA fatigue e dispositivi auto-enrollati.
- Gli operatori ransomware Sinobi e Warlock (Storm-2603) hanno utilizzato strumenti RMM legittimi — MeshAgent trojanizzato e Zoho Assist — per accesso persistente e stealthy.
- Il settore healthcare è stato il più targettizzato per il secondo trimestre consecutivo, con il 17% degli engagement, seguito da pubblica amministrazione e manifatturiero al 14% ciascuno.
Dal 33% al 50%: il phishing diventa maggioranza
Il dato è netto e documentato: nel Q2 2026 il phishing ha rappresentato "over half of all Cisco Talos Incident Response (Talos IR) engagements", secondo il report ufficiale. La crescita da "approximately a third of engagements last quarter" indica un incremento di oltre 17 punti percentuali in un solo trimestre, non una variazione di margini statistici.
Contemporaneamente, l'abuso di autenticazione ha raggiunto il 65% degli engagement, raddoppiando il 35% del Q1 2026. Cisco Talos attribuisce questa accelerazione a tecniche specifiche e ormai standardizzate: proxy adversary-in-the-middle (AitM), furto di session token, attacchi MFA fatigue e dispositivi auto-enrollati dall'attaccante. Il dato è significativo perché indica che la multi-factor authentication, nella sua implementazione più comune (push notification, SMS, TOTP software-based), non rappresenta più un arresto efficace per gli attaccanti documentati in campo.
"We also saw a spike in authentication abuse this quarter — observed in 65 percent of engagements compared to 35 percent last quarter — with attackers frequently bypassing or defeating multi-factor authentication (MFA) using adversary-in-the-middle (AitM) proxies, session-token theft, MFA fatigue attacks, and self-enrolled devices, amongst other methods." — Cisco Talos IR Trends Q2 2026
MeshAgent e Zoho Assist: il paradosso del trusted tool
Gli incidenti ransomware hanno costituito oltre il 20% degli engagement nel Q2 2026, in linea con il quasi 20% del trimestre precedente. Cisco Talos ha risposto per la prima volta al ransomware Sinobi, insieme alle varianti Nitrogen e Warlock precedentemente osservate. La novità tecnica non sta nella prevalenza quantitativa, ma nel metodo.
Sinobi ha impiegato MeshAgent — strumento open-source legittimo di remote management — come meccanismo di command and control primario. Secondo il report, il binario è stato installato come servizio auto-start a livello SYSTEM, con comunicazione cifrata via WebSocket (WSS). Questa configurazione ha permesso all'attore di mantenere "undetected access for approximately three days before ransomware deployment", fondendo il traffico malevolo con l'attività amministrativa normale.
Warlock, attribuito allo Storm-2603, ha seguito una logica analoga deployando Zoho Assist Unattended Agent per controllo remoto senza utente loggato. Cisco Talos segnala di non aver osservato precedentemente questo strumento associato a Warlock. In entrambi i casi, il problema non è una vulnerabilità del software, ma il suo riutilizzo intenzionale contro l'organizzazione che già lo utilizza o che non lo monitora come potenziale vettore.
Il meccanismo è tecnicamente elegante per l'attaccante: strumenti firmati, distribuiti tramite canali legittimi, con comunicazioni cifrate su porte standard, non generano allarmi signature-based. La rilevazione richiede il monitoraggio del comportamento d'uso, non della sola presenza.
UAT-11764: la campagna QR che si auto-alimenta
Parallelamente agli incidenti ransomware, Cisco Talos ha tracciato la campagna QR phishing attribuita all'attore UAT-11764, attiva da aprile 2026 e ancora operativa a fine giugno 2026. Il targeting privilegia organizzazioni australiane.
La tecnica si articola in fasi sequenziali: PDF con QR code auto-generati e personalizzati per singola vittima, che puntano a pagine di harvesting credenziali Microsoft 365 controllate dall'avversario. Dopo il compromesso, l'attore crea regole di inbox per soppressione delle risposte, utilizza SharePoint per hosting di documenti malevoli e reimpiega le liste di contatti della cassetta postale compromessa per espandere la portata della campagna verso target interni ed esterni.
Cisco Talos valuta con "high confidence" che UAT-11764 continuerà a sfruttare questa operazione, usando ogni nuova cassetta postale compromessa come propulsore per la successiva ondata. Il modello è autocatalitico e resistente a takedown puntuali: non esiste un singolo dominio o infrastruttura da neutralizzare, ma una rete di cassette postali legittime trasformate in relay.
ARToken: il phishing as-a-service con 80+ API endpoint
Il report colloca ARToken nel contesto più ampio delle piattaforme PhaaS (Phishing-as-a-Service) che abbassano la soglia di accesso per attacchi sofisticati. Il pannello ARToken espone oltre 80 API endpoint e presenta un dashboard React-based, secondo i dettagli tecnici riportati da Cisco Talos.
La piattaforma bypassa MFA non attraverso il furto di password, ma abusando del flusso OAuth device authorization flow: l'utente viene indotto a inserire un codice su una pagina controllata dall'attaccante, che ottiene così un token di sessione valido. Una volta stabilito l'accesso, ARToken mantiene persistenza tramite Primary Refresh Token (PRT) e integra funzionalità di accesso email, BEC (Business Email Compromise) e esfiltrazione SharePoint. Il brief non specifica se ARToken rappresenti un'evoluzione, un fork o un'affiliate della piattaforma EvilTokens precedentemente documentata, né dettaglia il modello di business esatto.
Cosa fare adesso
Le raccomandazioni derivano direttamente dal report Talos e dalla dichiarazioni dell'analista Lexi DiScola nel podcast Talos Takes.
- Adottare MFA phishing-resistant: Lexi DiScola indica esplicitamente passkey, FIDO2 e hardware security keys come "much more effective at stopping these types of attacks", abbinati alla disabilitazione dell'autenticazione legacy. Il passaggio da MFA push/SMS-based è ormai una misura difensiva, non un optional.
- Implementare behavior-based monitoring su strumenti RMM: Il focus deve spostarsi da "questo tool è presento nell'ambiente?" a "il suo uso in questo momento è atteso?". DiScola formula il concetto come monitoraggio del comportamento d'uso piuttosto che della sola presenza, essenziale quando la linea tra strumento legittimo e malevolo si annulla.
- Revisare le baseline di accesso remoto: MeshAgent, Zoho Assist e strumenti analoghi devono avere policy d'uso documentate, inventory aggiornata e logging centralizzato. L'assenza di un asset inventory accurato rende invisibile la compromissione.
- Rafforzare il controllo su OAuth e device code flow: Le piattaforme come ARToken sfruttano flussi OAuth legittimi; la difesa richiede il monitoraggio delle sessioni, la revoca proattiva dei token sospetti e limitazioni sul consentimento delle app.
Il settore healthcare, al 17% degli engagement per il secondo trimestre consecutivo, e la pubblica amministrazione al 14% richiedono attenzione prioritaria: la tolleranza zero al downtime li rende target privilegiati, e la persistenza di tre giorni documentata per Sinobi indica che il tempo di reazione è compresso oltre i margini tradizionali.
Il dato più disturbante del report non è un singolo exploit zero-day, ma la normalizzazione di tecniche che non richiedono vulnerabilità software: credenziali rubate, strumenti legittimi riutilizzati, flussi OAuth abusati. La sicurezza perimetrale, intesa come lista nera di minacce note, ha cessato di funzionare come modello esclusivo. Il confine non è più tra dentro e fuori, ma tra uso legittimo e uso malevolo di ciò che è già dentro.
Fonti
- https://blog.talosintelligence.com/ir-trends-q2-2026/
- https://talostakes.talosintelligence.com/2018149/episodes/19557796-q2-talos-ir-trends-phishing-and-authentication-abuse-spike
- https://www.talosintelligence.com/
- https://blog.talosintelligence.com/
- https://blog.talosintelligence.com/artoken-inside-an-eviltokens-affiliate-panel-targeting-microsoft-365/
- https://talosintelligence.com/incident_response/assessment
- https://blog.talosintelligence.com/preview-cisco-talos-at-black-hat-usa-2026/
- https://blog.talosintelligence.com/black-hat-special-rewind-and-revisit/
- https://blog.talosintelligence.com/you-were-onto-something-with-its-the-climb-miley/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.