Phishing in crescita e ransomware sempre più mirato: il Q1 2025 secondo Cisco Talos

Durante il primo trimestre del 2025, gli attacchi informatici hanno mostrato un'evoluzione significativa nei vettori di accesso iniziale, con un netto ritorno del phishing come tecnica predominante. Secondo il rapporto trimestrale pubblicato da Cisco Talos, il phishing è stato utilizzato nel 50% degli incidenti analizzati, una crescita marcata rispetto ai trimestri precedenti, dove questa tattica non raggiungeva neppure il 10%.

In parallelo, si è registrato un calo nell'utilizzo diretto di account validi per l'accesso iniziale, che nel 2024 era stato il metodo più diffuso. Tuttavia, gli account compromessi non hanno perso la loro centralità nelle catene di attacco: spesso, infatti, vengono acquisiti proprio tramite phishing e sfruttati nelle fasi successive delle operazioni malevole.

Tra le tecniche di phishing impiegate, il vishing – ovvero il phishing vocale – ha rappresentato oltre il 60% dei casi, confermandosi come tattica particolarmente insidiosa. Sono state comunque individuate anche campagne basate su allegati e link malevoli, oltre a numerosi episodi di BEC (Business Email Compromise). Il trimestre ha inoltre segnato un cambiamento nella finalità di queste campagne: se in passato il phishing era spesso orientato all'esfiltrazione di dati o alla realizzazione di frodi finanziarie, oggi viene usato prevalentemente per l'acquisizione di credenziali, al fine di ottenere un accesso profondo e persistente nelle reti bersaglio.

Anche gli incidenti legati a ransomware e pre-ransomware hanno registrato un'impennata. Secondo i dati raccolti, questi hanno costituito oltre il 50% delle attività gestite da Cisco Talos, in aumento rispetto al 30% del trimestre precedente. In particolare, è stata identificata una vasta campagna caratterizzata dalle TTP (tattiche, tecniche e procedure) dei gruppi BlackBasta e Cactus, che ha colpito con insistenza le aziende del settore manifatturiero ed edile, arrivando a rappresentare più del 60% degli incidenti ransomware e pre-ransomware segnalati.

In questo contesto, l'efficacia della risposta tempestiva si è dimostrata cruciale: le analisi degli eventi pre-ransomware condotte da Cisco Talos indicano che l'attivazione rapida del team di risposta agli incidenti e un monitoraggio attento delle TTP degli aggressori hanno permesso di fermare diversi attacchi prima che il malware venisse effettivamente distribuito.

CLICCA QUI PER CONTINUARE A LEGGERE