CERT-EU avverte che gli attacchi informatici si spostano verso i conti e le applicazioni utilizzate quotidianamente: Instagram, Gmail, Signal e strumenti AI

Gli attacchi informatici segnalati a giugno 2026 hanno preso di mira applicazioni e strumenti utilizzati quotidianamente, non solo istituzioni o infrastrutture tecniche. CERT-EU mostra nel suo ultimo Cyber Brief che gli aggressori hanno utilizzato il recupero degli account Instagram, plugin falsi di intelligenza artificiale per programmatori, avvisi Gmail fraudolenti e messaggi che imitavano il supporto di Signal per rubare accesso a conti, password, codici di autenticazione e chiavi di recupero.

In breve

CERT-EU menziona l'abuso dello strumento Meta AI di recupero degli account Instagram per l'acquisizione di account. Almeno 15 plugin su JetBrains Marketplace, presentati come assistenti AI per la programmazione, avrebbero rubato chiavi API di fornitori di intelligenza artificiale. L'attore Ghostwriter, probabilmente legato alla Bielorussia, ha preso di mira utenti Gmail in Polonia, inclusi politici, giornalisti, ricercatori e amministratori pubblici. Attori associati alla Russia hanno preso di mira utenti Signal, cercando di ottenere chiavi di recupero per accedere ai messaggi e acquisire gli account.

Il rapporto CERT-EU mostra che la sicurezza informatica non può più essere ridotta a server, vulnerabilità tecniche e attacchi a istituzioni. Una parte importante del rischio passa attraverso applicazioni conosciute, conti personali e strumenti professionali comuni. Gli aggressori cercano punti di ingresso nei luoghi dove gli utenti hanno già fiducia: un'email di sicurezza, una pagina di recupero dell'account, un plugin di programmazione o una conversazione su un'app di messaggistica.

Un caso visibile riguarda Instagram. Secondo CERT-EU, attori sconosciuti hanno abusato dello strumento Meta AI di recupero degli account per ottenere codici di reset della password e per acquisire account senza una verifica adeguata. In particolare, sono stati colpiti account con nomi utente brevi e preziosi, che sono stati poi rivenduti rapidamente tramite canali Telegram.

Meta ha comunicato che non c'è stata una violazione nei suoi sistemi di backend e che il problema è stato risolto dopo la segnalazione pubblica. L'incidente rimane rilevante poiché mostra come funzioni pensate per il recupero dell'accesso possano diventare strumenti di attacco quando la verifica dell'identità non è sufficientemente solida.

Gli sviluppatori software sono stati presi di mira attraverso una campagna separata su JetBrains Marketplace. CERT-EU nota che i ricercatori hanno segnalato una campagna coordinata in cui almeno 15 plugin per ambienti di sviluppo sono stati presentati come assistenti AI per la programmazione, ma rubavano segretamente chiavi API di fornitori di intelligenza artificiale. La campagna avrebbe colpito diversi conti di fornitori e potrebbe aver raggiunto quasi 70.000 installazioni.

Le chiavi API rubate possono consentire l'uso non autorizzato dei servizi di intelligenza artificiale, l'abuso di conti e costi imprevisti per le vittime. Nel caso degli sviluppatori, il rischio può andare oltre: un plugin installato in un ambiente di lavoro può avere accesso a progetti, flussi di sviluppo, configurazioni e servizi utilizzati per la produzione. Uno strumento che sembra aumentare la produttività può diventare una via d'ingresso nell'infrastruttura digitale di un'azienda.

CERT-EU menziona anche una campagna di phishing probabilmente attribuibile all'attore Ghostwriter, associato alla Bielorussia. CERT Polska ha segnalato il 12 giugno campagne intense che prendevano di mira utenti Gmail in Polonia. Gli aggressori avrebbero inviato email fraudolente che imitavano avvisi di sicurezza Gmail per raccogliere dati di autenticazione e codici di autenticazione a due fattori.

Le vittime menzionate includono persone della vita politica e pubblica, giornalisti, ricercatori e amministratori pubblici. Il rapporto nota anche una diffusione più ampia verso destinatari senza collegamento diretto, causata dalla congettura degli indirizzi. La tecnica è semplice, ma efficace: il messaggio sembra provenire dall'area di sicurezza di un servizio noto, e l'utente è spinto a inserire dati sensibili in una pagina falsa.

Signal è stato preso di mira attraverso un altro tipo di phishing. L'FBI ha pubblicato il 26 giugno un annuncio riguardante attori associati alla Russia UNC5792 e UNC4221, che prendono di mira le chiavi di recupero degli utenti Signal. Gli aggressori continuano a presentarsi come supporto di Signal, ma ora cercano di ottenere la chiave di recupero per il backup, il che può consentire loro di vedere i messaggi salvati, i messaggi privati e di gruppo e di acquisire l'account della vittima.

Questo tipo di attacco è diverso dal furto di una semplice password. Le chiavi di recupero possono dare accesso a contenuti storici e conversazioni che possono contenere informazioni personali, professionali o politiche sensibili. Per le persone coinvolte nell'amministrazione, nel giornalismo, nella politica, nella ricerca o nell'attivismo, compromettere un account di messaggistica può esporre reti di contatti e discussioni private.

Il rapporto include anche un caso legato a WhatsApp e NSO Group. WhatsApp ha segnalato di aver rilevato e bloccato tentativi di spearphishing e ingegneria sociale associati a NSO, in cui gli utenti venivano cercati per essere indotti a cliccare su link malevoli. L'attività avrebbe incluso conti e gruppi di test rimossi dalla piattaforma, e WhatsApp ha fornito indicatori per identificare tentativi anche su altri canali, come SMS, email o WhatsApp.

Questi episodi mostrano un cambiamento di accento negli attacchi informatici. Gli account personali e professionali diventano obiettivi preziosi poiché danno accesso all'identità digitale, ai contatti, agli strumenti di lavoro, ai servizi cloud e alla comunicazione privata. Gli aggressori non hanno sempre bisogno di violare direttamente una rete governativa o aziendale se possono acquisire gli account delle persone che hanno accesso a quella rete.

L'intelligenza artificiale appare nel rapporto in due modi. Da un lato, gli aggressori utilizzano l'interesse per l'AI come esca, attraverso plugin falsi presentati come assistenti di programmazione. Dall'altro lato, gli strumenti AI integrati nelle piattaforme possono creare nuove superfici di attacco quando i processi di recupero, verifica o automazione vengono abusivamente sfruttati.

CERT-EU menziona anche incidenti legati a modelli AI e alla competizione globale nella sicurezza informatica, inclusi i reclami di alcune aziende cinesi riguardo strumenti di scoperta automatica delle vulnerabilità e difesa informatica. Nello stesso rapporto, i ricercatori di sicurezza hanno valutato che il modello GLM-5.2 dell'azienda cinese Z.ai ha capacità di scoperta delle vulnerabilità comparabili a modelli americani di punta. Questi sviluppi mostrano che l'AI sta rapidamente diventando parte della competizione per la difesa e l'offensiva informatica.

Il rapporto CERT-EU di giugno descrive uno spazio digitale in cui gli attacchi si avvicinano sempre di più all'utente. L'account Instagram, l'account Gmail, la chiave Signal, il plugin utilizzato nella programmazione o il link ricevuto su WhatsApp possono diventare punti di ingresso per furto di dati, estorsione, spionaggio o acquisizione dell'identità digitale. La sicurezza informatica dipende sempre più dalla verifica attenta degli strumenti installati, dei messaggi di recupero, degli avvisi di sicurezza e dell'accesso concesso ad applicazioni di terze parti.