Il 24 giugno 2026 il Digital Crimes Unit di Microsoft ha coordinato con Europol la disattivazione di oltre 200 domini e indirizzi IP usati come comando e controllo dai malware StealC e Amadey. L'operazione interrompe un'infrastruttura attiva, ma non risolve il problema strutturale: i log di credenziali rubati prima di quella data circolano ancora su mercati underground e sono diventati il principale carburante di data breach enterprise che colpiscono cloud, FTP e servizi di file transfer.
Il meccanismo è reso pericoloso dalla latenza. Una credenziale sottratta nel 2022 da un dispositivo personale di un dipendente può essere acquistata nel 2026, valida e funzionante, per compromettere l'ambiente aziendale. Le difese endpoint tradizionali non rilevano il rischio: l'accesso avviene con credenziali valide, spesso da dispositivi unmanaged.
- Microsoft DCU e Europol hanno disattivato oltre 200 domini/IP C2 di StealC e Amadey il 24 giugno 2026, dopo che i due malware avevano infettato più di 140.000 computer nelle prime due settimane di maggio 2026.
- Il gruppo extortion-only Coinbase Cartel, emerso nel settembre 2025, ha rivendicato oltre 100 target usando esclusivamente credenziali infeste obsolete, l'80% delle quali con precedenti infezioni documentate nel database Cavalier di Hudson Rock.
- Un database Elasticsearch da 8,3 terabyte con 24 miliardi di record di log infostealer, scoperto da Cybernews il 12 giugno 2026, esponeva credenziali in plaintext provenienti da 36 fonti distinte, inclusi canali Telegram.
- I log di infostealer vengono monetizzati entro ore: dai 2 dollari su mercati russi fino a oltre 100 dollari per log premium, con una timeline di 48-72 ore tra furto e possibile intrusione enterprise.
StealC e Amadey: un assemblaggio modulare di malware-as-a-service
StealC è un infostealer commercializzato come malware-as-a-service che raccoglie dati da browser, wallet crittografici, app di messaggistica, client email e piattaforme gaming. Amadey è un loader MaaS che distribuisce StealC e altro malware; i due sono spesso impiegati in catena. Secondo Microsoft, "Infostealer operators favor delivery techniques that scale and rely on ordinary user behavior rather than software vulnerabilities". Non servono zero-day: bastano installazioni fraudolente, bundling con software craccato o campagne di phishing su larga scala.
Nelle prime due settimane di maggio 2026, Amadey e StealC erano collegati a oltre 140.000 computer infetti a livello globale. Il dato non include le infezioni precedenti né quelle non rilevate: è una fotografia parziale di un ecosistema che opera da anni. La disruption di giugno ha colpito l'infrastruttura di comando e controllo, non il mercato secondario dei log già esfiltrati.
Il mercato dei log: da 2 dollari a oltre 100, con liquidità da commodity
I log di infostealer sono diventati una commodity liquida. Microsoft documenta prezzi che vanno dai 2 dollari per log su mercati russi fino a 10-50 dollari per log standard e oltre 100 dollari per log premium. La monetizzazione è rapida: le credenziali appaiono su canali Telegram o mercati dark web entro ore dal furto. Il dato cruciale è la velocità di transizione verso l'uso enterprise. Microsoft stima una timeline di 48-72 ore tra sottrazione delle credenziali e possibile intrusione aziendale, sebbene alcuni log rimangano dormienti per mesi o anni prima dell'acquisto da parte di gruppi organizzati.
Questa economia ha abbassato la barriera all'ingresso. Attaccanti senza competenze tecniche avanzate possono acquistare accessi validi e procedere a estorsione o ransomware. Non serve sviluppare exploit: serve capitale iniziale modesto e connessione ai mercati giusti.
"Coinbase Cartel exclusively uses old Infostealer credentials to compromise cloud environments, FTP servers, and file transfer services" — Hudson Rock, infostealers.com
Coinbase Cartel: il caso studio di 100+ breach senza un exploit
Il gruppo extortion-only Coinbase Cartel, emerso nel settembre 2025, rappresenta la prova operativa della catena infostealer-breach. Hudson Rock ha documentato oltre 100 aziende violate dal gruppo, con un pattern ricorrente: l'80% delle vittime aveva precedenti infezioni infostealer indicizzate nel database proprietario Cavalier della stessa Hudson Rock. Le credenziali utilizzate sono spesso vecchie di anni, raccolte prima dell'attacco effettivo. Questo conferma che la compromissione iniziale e l'intrusione aziendale sono eventi separati nel tempo, collegati solo dal mercato dei log.
Il gruppo non impiega tecniche sofisticate né vulnerabilità zero-day. Seleziona target in base alla disponibilità di credenziali valide sui mercati underground e procede con accesso diretto. La mancanza di exploit rende invisibile l'attività alle difese endpoint tradizionali, progettate per rilevare comportamenti anomali o payload malevoli, non sessioni autenticate con credenziali legittime.
Il database da 24 miliardi di record: la scala del problema
Il 12 giugno 2026 Cybernews ha scoperto un database Elasticsearch esposto da 8,3 terabyte contenente 24 miliardi di record, prevalentemente log di infostealer con credenziali in plaintext: username, indirizzi email, password in chiaro e URL di login. I record provenivano da 36 fonti distinte, di cui 1,7 miliardi da canali Telegram hacking-oriented e 22,6 miliardi da 'collections' raggruppate per servizio di accesso.
Il database apparteneva a una piattaforma di threat intelligence/breach monitoring, non a operatori criminali. È stato esposto per errore di configurazione durante una migrazione temporanea. Cybernews non può quantificare i duplicati né il numero di individui unici interessati. Il dato comunque illustra la concentrazione di credenziali compromesse in un unico repository e il rischio derivante da esposizioni accidentali di infrastrutture di sicurezza stesse.
Il team di ricerca di Cybernews ha sottolineato che "the credential data leak is dangerous simply because of its enormous size. Since the data leaked online, billions of affected accounts are at serious risk of takeovers, especially if they are not protected with multi-factor authentication". La mancanza di MFA emerge come fattore di rischio amplificante, sebbene il dossier non documenti la percentuale esatta di account nel database che ne erano privi.
Cosa fare adesso
- Audire gli accessi cloud e i servizi di file transfer con log storici: le credenziali compromesse possono essere vecchie di anni e non associate a eventi di sicurezza recenti.
- Implementare MFA su tutti gli account aziendali e sui servizi cloud accessibili da credenziali, inclusi quelli considerati secondari o legacy.
- Mappare i dispositivi unmanaged o BYOD che accedono a risorse aziendali: le infezioni infestealer avvengono tipicamente su endpoint personali, non su asset corporate controllati.
- Monitorare i mercati di threat intelligence per la presenza di credenziali aziendali in log infestealer, integrando questa visibilità nei programmi di incident response.
Perché la disruption di giugno non chiude il caso
L'operazione Microsoft-Europol del 24 giugno 2026 è tatticamente rilevante: interrompe un'infrastruttura C2 attiva e rallenta temporaneamente gli operatori di StealC e Amadey. Strategicamente, tuttavia, il problema resta aperto. I log già rubati non scompaiono con la disattivazione dei server di comando e controllo. Continuano a circolare, a essere rivenduti e a essere utilizzati da gruppi come Coinbase Cartel per compromettere ambienti cloud con credenziali valide.
Il modello di minaccia ha spostato il baricentro dall'exploit tecnico al mercato dell'accesso. Le imprese devono adattare le difese a questo spostamento: il rischio non è più solo nella vulnerabilità del software, ma nella persistenza indefinita delle credenziali rubate e nella loro commercializzazione a costi marginali. La rotazione delle password, la MFA e la visibilità sui dispositivi unmanaged diventano controlli non opzionali, ma strutturali.
Domande frequenti
StealC e Amadey sono gli unici infostealer attivi?
No. Esistono ecosistemi paralleli con malware come Lumma, RedLine, Vidar e Raccoon. La disruption di giugno ha colpito una coppia specifica di threat, non l'intero mercato.
Il database da 24 miliardi di record era gestito da criminali?
No. Secondo Cybernews apparteneva a una piattaforma legale di threat intelligence/breach monitoring ed è stato esposto per errore di configurazione durante una migrazione.
Perché le credenziali vecchie di anni sono ancora funzionanti?
Il dossier documenta che molte credenziali non vengono ruotate: dipendenti riutilizzano password, aziende non revocano accessi a servizi cloud abbandonati, e la MFA non è implementata su larga scala. Il mercato dei log sfrutta questa inerzia.
Fonti
- https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/
- https://www.infostealers.com/article/inside-the-coinbase-cartel-how-infostealer-credentials-fueled-a-100-company-ransomware-spree/
- https://cybernews.com/security/24-billion-credentials-data-leak/
- https://www.techdigest.tv/2026/06/24-billion-records-exposed-in-massive-data-leak.html
- https://blogs.microsoft.com/on-the-issues/2026/06/24/scaling-cybercrime-disruption-through-innovation-and-ai/
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.