Il 28 luglio 2026 Cisco Talos IR ha pubblicato il report sul secondo trimestre dell'anno, e i numeri tracciano uno spartiacque. Il phishing è diventato il vettore di accesso iniziale dominante, passando da circa un terzo a oltre la metà degli engagement. Contemporaneamente, l'abuso di autenticazione è balzato dal 35% al 65%, con tecniche che aggirano o annullano il MFA. La novità non è solo la scala: è il metodo. Gli attaccanti non cercano più di bucare il perimetro, ma di abusare ciò che è già dentro.
- Il phishing ha superato il 50% degli engagement Talos IR nel Q2 2026, rispetto a circa il 33% del trimestre precedente.
- L'authentication abuse è stato rilevato nel 65% degli engagement, rispetto al 35% del Q1, con bypass MFA tramite AitM proxy, furto di session token, MFA fatigue e self-enrolled devices.
- Il gruppo UAT-11764 ha condotto una campagna QR phishing persistente da aprile a fine giugno 2026, principalmente contro organizzazioni australiane, usando PDF con QR code personalizzati per vittima.
- Sinobi e Warlock/Storm-2603 hanno weaponizzato tool RMM legittimi: MeshAgent trojanizzato come C2 SYSTEM-level per Sinobi, Zoho Assist Unattended Agent per accesso remoto stealthy di Warlock.
Il sorpasso del phishing: da vettore classico a macchina da guerra personalizzata
I numeri del report sono inequivocabili. Il phishing è apparso in oltre la metà degli engagement Talos IR nel secondo trimestre, rispetto a circa un terzo nel primo. La tecnica non è più il broadcast indifferenziato di email malevole. Il gruppo UAT-11764, attivo da aprile 2026, ha generato PDF con QR code automaticamente personalizzati per ciascuna vittima, puntando a pagine di harvesting credenziali M365.
Il QR code incastonato nel PDF bypassa i gateway email tradizionali, che analizzano link e allegati ma non codici bidimensionali destinati alla scansione mobile. La campagna, concentrata su organizzazioni australiane, è risultata attiva fino a fine giugno 2026. Post-compromissione, UAT-11764 ha creato regole inbox per nascondere le tracce, ha ospitato documenti malevoli su SharePoint e ha propagato l'attacco sfruttando le liste di contatto interne.
"Phishing was the primary means of gaining initial access this quarter, appearing in over half of all Cisco Talos Incident Response (Talos IR) engagements – an increase from approximately a third of engagements last quarter" — Cisco Talos IR Blog, report Q2 2026
MFA bypassato: quando l'autenticazione a più fattori diventa decorativa
L'aumento più preoccupante è l'authentication abuse, passato dal 35% al 65% degli engagement. Gli attaccanti hanno a disposizione un arsenale collaudato per neutralizzare il MFA: proxy adversary-in-the-middle che intercettano il flusso di autenticazione in tempo reale, furto di token di sessione, attacchi di MFA fatigue che bombardano l'utente di notifiche fino all'accettazione, e registrazione autonoma di dispositivi trusted.
La conseguenza è che la presenza del MFA non garantisce più la sua efficacia. Il report documenta che il 65% degli engagement ha subito abusi di autenticazione, il che significa che nel Q2 2026 il MFA push-based o basato su OTP è stato inadeguato nella maggior parte dei casi analizzati. La raccomandazione emergente, sostenuta da Lexi DiScola autrice del report nel podcast Talos Takes, è lo spostamento verso MFA phishing-resistant: passkeys e hardware keys, accompagnate dalla disabilitazione dell'autenticazione legacy.
ARToken e il modello PhaaS: democratizzazione dell'attacco cloud-focused
Parallelamente al traffico di UAT-11764, Talos ha identificato ARToken, piattaforma PhaaS collegata a EvilTokens, che espone oltre 80 API endpoint per operazioni di device code phishing, persistenza tramite Primary Refresh Token, accesso email, business email compromise e esfiltrazione da SharePoint. ARToken non ruba password: abusa il flusso OAuth di device authorization per ottenere token validi, bypassando così il MFA senza doverlo attaccare direttamente.
La struttura API indica una maturità di prodotto che abbassa la barriera all'entry per operatori meno sofisticati. Non è più necessario sviluppare infrastruttura propria: si affitta accesso a capability post-compromissione avanzate. Il report non stabilisce se ARToken sia operato direttamente dagli stessi threat actor di EvilTokens o se funzioni come piattaforma per affiliate, ma documenta l'uso condiviso delle infrastrutture API.
Weaponizzazione RMM: MeshAgent e Zoho Assist al centro della catena
Il cambio di paradigma più profondo riguarda gli strumenti di accesso remoto. Sinobi, il ransomware che Talos IR ha affrontato per la prima volta in aprile 2026, ha utilizzato un binario MeshAgent trojanizzato come meccanismo di comando e controllo primario. Il file è stato installato come servizio auto-start a livello SYSTEM, con comunicazione cifrata su WebSocket Secure. MeshAgent è un agente RMM open-source legittimo; nella sua versione compromessa diventa una backdoor persistente che sfugge alla detection signature-based, perché il file in sé non è classificabile come malware noto.
L'accesso persistente è durato circa tre giorni prima del deployment del ransomware. Durante questo periodo, Sinobi ha effettuato lateral movement tramite RDP e WinRM, sfruttando account di servizio con password debolle estratte da ntds.dit. Il deployment finale è avvenuto tramite script GPO di logon malevoli, con estensione .SINOBI e staging dell'esfiltrazione tramite rclone.exe.
Warlock/Storm-2603 ha adottato una tecnica diversa ma convergente: l'installazione di Zoho Assist Unattended Agent, che garantisce controllo remoto senza richiedere una sessione utente attiva. Anche qui, il tool è legittimo; l'anomalia sta nell'uso, non nella natura del software.
"behavior-based monitoring instead of signature-based detection is really key for threats like this. Basically, not just focusing on, you know, is this tool expected in the environment, but focusing on if its use is expected" — Lexi DiScola, autrice report Talos IR Q2 2026, in Talos Takes podcast
Cosa fare adesso
Le raccomandazioni emergono direttamente dai dati del report e dalle indicazioni dell'autrice:
- Adottare MFA phishing-resistant: passkeys e hardware keys, con disabilitazione esplicita dell'autenticazione legacy, per neutralizzare i vettori AitM e device code phishing documentati nel 65% degli engagement.
- Rimuovere il self-service enrollment MFA: limitare o eliminare la capacità degli utenti di registrare autonomamente nuovi dispositivi trusted, vettore documentato negli attacchi di authentication abuse.
- Implementare behavior-based monitoring per tool RMM: spostare la detection dalla presenza del software all'analisi del suo uso, identificando anomalie come installazioni SYSTEM-level auto-start o comunicazioni WSS non previste per MeshAgent e simili.
- Bloccare QR code non aziendali in PDF ricevuti via email: data la persistenza della campagna UAT-11764, filtrare o segnalare documenti PDF con codici bidimensionali che puntano a domini esterni al tenant M365 legittimo.
Target e trend: healthcare sotto tiro, ransomware stabile ma più astuto
Il settore healthcare è risultato il più targettizzato per il secondo trimestre consecutivo, con il 17% degli engagement, seguito da public administration e manufacturing al 14% ciascuno. La concentrazione su settori con bassa tolleranza al downtime non è casuale: massimizza la probabilità di pagamento. Il ransomware è apparso in oltre il 20% degli engagement, un dato simile al trimestre precedente, ma con un'evoluzione qualitativa. Sinobi, Warlock e la variante nota Nitrogen condividono l'approccio all'uso di tool legittimi come infrastruttura C2, rendendo più complessa la classificazione dell'attacco in fase precoce.
Il punto di non ritorno per la detection tradizionale
Il report Q2 2026 di Talos IR non descrive una minaccia nuova, ma una discontinuità. Il patching è ancora necessario, ma il Great Patching non protegge da chi entra con credenziali valide e opera con tool firmati. La sicurezza deve spostarsi dal "cosa è installato" al "come e da chi viene usato". La detection signature-based, che cerca file malevoli, perde terreno contro attacchi che usano file legittimi malevolmente. Il comportamento diventa l'unico segnale affidabile, e il comportamento richiede baseline, monitoraggio continuo e capacità di correlare anomalie tra endpoint, identità e cloud.
Il report non fornisce il numero assoluto degli engagement analizzati né una distribuzione geografica completa oltre all'Australia. Non documenta inoltre se le tecniche MeshAgent e Zoho Assist siano esclusive dei gruppi citati o in diffusione più ampia. Resta aperto il rapporto esatto tra ARToken e EvilTokens: piattaforma condivisa, affiliate network o convergenza tecnica.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://blog.talosintelligence.com/ir-trends-q2-2026/
- https://talostakes.talosintelligence.com/2018149/episodes/19557796-q2-talos-ir-trends-phishing-and-authentication-abuse-spike
- https://blog.talosintelligence.com/
- https://www.talosintelligence.com/
- https://blog.talosintelligence.com/artoken-inside-an-eviltokens-affiliate-panel-targeting-microsoft-365/
- https://talosintelligence.com/incident_response/assessment
- https://blog.talosintelligence.com/page/1
- https://blog.talosintelligence.com/page/2
- https://blog.talosintelligence.com/page/3
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.