Gli infostealer hanno sostituito phishing ed exploit come primo…

I log di infostealer malware hanno superato phishing ed exploit come principale vettore di accesso a infrastrutture cloud enterprise. Il meccanismo, la pipeline e i

Il 24 luglio 2026 un'analisi pubblicata da CyberSecurityNews documenta il sorpasso definitivo: i log di infostealer malware sono diventati il principale canale di accesso iniziale alle infrastrutture cloud enterprise, superando sia il phishing tradizionale sia gli exploit di vulnerabilità. La fonte, che cita dati di Cisco Talos per il primo trimestre 2026, riporta che gli incident-response team osservano ormai un predominio netto di compromissioni basate su credenziali rubate, quasi tutte originabili a catena da log di infostealer. Il cambiamento non è graduale: è strutturale, e ridefinisce il perimetro di ciò che le difese enterprise devono monitorare.

Punti chiave

Secondo Cisco Talos Q1 2026, accessi basati su phishing e credenziali hanno superato gli exploit-driven intrusions come vettore iniziale dominante, con credenziali prevalentemente derivate da infostealer logs.
2,05 milioni di log di infostealer hanno esposto credenziali di identità enterprise nel 2025, con l'esposizione cresciuta da circa il 6% all'inizio del 2024 a quasi il 16% nel 2026, secondo il report Flare 2026.
Il 79% dei log enterprise contiene credenziali Microsoft-linked SSO, concentrando il rischio su ecosistemi cloud già ampiamente adottati.
La campagna Snowflake del 2024 resta il case study canonico: nessun exploit tecnico, solo credenziali da infostealer, nessun MFA attivo, 165 organizzazioni colpite e 50 miliardi di record AT&T esposti.

La pipeline infostealer-to-cloud: cinque stadi, quarantotto ore

L'economia cybercriminale ha industrializzato il percorso da infezione su dispositivo individuale a compromissione cloud aziendale. La fonte descrive una pipeline a cinque stadi. Il primo è l'infezione: social engineering su dispositivi unmanaged, spesso attraverso ClickFix e fake CAPTCHA, software cracked trojanizzato, false aggiornamenti di browser o codec, malvertising su YouTube, email e pacchetti npm malevoli. Il secondo stadio è l'exfiltration: i dati rubati escono via Telegram Bot API, un canale che offre velocità, disponibilità e bassa visibilità per gli operatori. Il terzo è la vendita bulk su marketplace automatizzati, con prezzi che vanno da 1 a 50 dollari per singolo log.

Il quarto stadio è il filtering e il brokerage: gli Initial Access Brokers (IAB) setacciano i log per isolare credenziali enterprise relative a VPN, SSO o account cloud-admin. Il quinto è la weaponization: gli affiliate ransomware acquistano l'accesso a prezzi che oscillano tra i 500 e i 5.000 dollari. La tempistica è compressa: secondo la fonte, le credenziali passano dal furto al listing underground entro 48 ore, e la weaponization da parte di affiliate ransomware avviene entro altre 48 ore dall'apertura dell'annuncio IAB. L'intero ciclo, da dispositivo compromesso a rete enterprise violata, si chiude in quattro giorni.

Snowflake 2024: il caso che ha sdoganato il modello

La campagna attribuita a UNC5537 contro Snowflake nel 2024 resta il riferimento obbligatorio. Secondo la fonte, l'attore non ha sfruttato alcuna vulnerabilità della piattaforma Snowflake. Ha usato credenziali raccolte da infostealer installati su dispositivi di dipendenti di clienti Snowflake. Nessuno degli account compromessi aveva l'autenticazione a più fattori (MFA) attiva: l'accesso ha richiesto solo username e password rubati. L'impatto è documentato in 165 organizzazioni colpite, 50 miliardi di record di chiamate AT&T esposti, richieste di estorsione superiori a 2 milioni di dollari, e l'uso del toolkit FROSTBITE per operazioni post-compromissione. Il caso dimostra che la minaccia non richiede competenze tecniche sofisticate né exploit zero-day: richiede solo credenziali valide e assenza di controlli accessori.

I numeri dell'esposizione enterprise: da Flare 2026

"2.05 million infostealer logs exposed enterprise identity credentials in 2025 alone, with enterprise identity exposure in infected logs rising from roughly 6% in early 2024 to nearly 16% by 2026, and 79% of those enterprise logs containing Microsoft-linked SSO credentials."

I dati quantitativi citati dalla fonte, attribuiti al report Flare 2026, disegnano una curva di crescita precisa. I log con credenziali enterprise sono passati da circa il 6% del totale all'inizio del 2024 a quasi il 16% nel 2026, indicando una selezione deliberata da parte degli operatori di infostealer verso obiettivi di maggior valore. La concentrazione sulle credenziali Microsoft-linked SSO, che rappresentano il 79% dei log enterprise, riflette l'architettura dominante dell'identità aziendale contemporanea: un singolo punto di accesso SSO compromesso apre gateway cloud, email, documenti e strumenti collaborativi. La fonte non specifica la metodologia esatta di conteggio dei 2,05 milioni di log, né fornisce dettagli tecnici sul campionamento.

Zestix, Sentap e il 2026: la pipeline si replica

A gennaio 2026, secondo la sola fonte disponibile, le campagne Zestix e Sentap hanno replicato lo stesso schema contro piattaforme di file-sharing cloud: ShareFile, Nextcloud, OwnCloud. I dati presi di mira includevano blueprints di ingegneria difesa, record sanitari, e documenti legali e finanziari. La tecnica è identica a Snowflake: nessun exploit, solo credenziali da infostealer. La fonte non fornisce dettagli sul numero di vittime o sull'attribuzione degli operatori. La tempistica di gennaio 2026, così come la denominazione delle campagne, resta documentata esclusivamente da CyberSecurityNews.

Il fattore MFA e l'illusione del perimetro tradizionale

L'assenza di MFA emerge come fattore abilitante critico in ogni caso studio documentato. La fonte lo definisce esplicitamente "the single largest enabling factor" nella compromissione Snowflake. Il paradigma difensivo basato su patching aggressivo e monitoraggio delle vulnerabilità tecniche rimane necessario ma diventa insufficiente: l'attacco non passa per software flaw. La superficie di esposizione si è spostata su dispositivi personali e non gestiti (BYOD), dove l'infezione iniziale avviene fuori dal controllo IT, e sulla riutilizzazione di credenziali che attraversano confini personali-professionali senza interruzione.

La commoditizzazione dell'accesso è ulteriormente documentata dalla campagna CastleLoader-LummaStealer: oltre 100.000 potenziali vittime, centinaia di domini e IP malevoli, con DNS telemetry data citato come supporto. I settori più colpiti, secondo Cyfirma a giugno 2026, sono Professional Goods & Services (45 incidenti ransomware), Manufacturing (35), Healthcare (25). Il settore sanitario registra il costo medio di breach più alto: 7,42 milioni di dollari, secondo IBM X-Force citato dalla fonte.

Perche e importante

Il dossier non documenta misure correttive specifiche né raccomandazioni operative dettagliate. La fonte non specifica framework di difesa, tool di monitoraggio o protocolli di risposta. Ciò che emerge con chiarezza è la natura dello spostamento: il cloud breach non richiede più la conquista tecnica dell'infrastruttura, ma solo l'acquisizione commerciale di credenziali valide. Il modello "patch everything" non intercetta questa minaccia perché la minaccia non sfrutta patchabili.

La fonte riporta inoltre il takedown di StealC e Amadey operato dalla Microsoft Digital Crimes Unit a giugno 2026, ma lo qualifica come shift di market share piuttosto che eliminazione dell'ecosistema. L'offerta di infostealer MaaS (Malware-as-a-Service) e la disponibilità di marketplace automatizzati mantengono la barriera all'ingresso bassa e la velocità di riproposizione alta. Il dossier non specifica entità alternative emerse dopo il takedown, né fornisce indicazioni sulla efficacia della disruption a lungo termine.

Il limite fondamentale del dossier resta la dipendenza da una singola fonte secondaria che cita fonti primarie non direttamente accessibili: Cisco Talos, Flare, Microsoft DCU, Cyfirma e IBM X-Force sono riportati per nome ma non verificabili incrociatamente nel materiale disponibile. L'identità precisa di UNC5537 è parzialmente redatta nel testo fornito, e la metodologia di quantificazione dei log da parte di Flare non è verificabile.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti