Che cosa hanno fatto davvero i chiamanti

Il team di threat intelligence di Google ha individuato una campagna di vishing condotta da quattro gruppi correlati che traccia con i nomi Falcon, Helix, Pink e Redact, che secondo la valutazione di Google potrebbero operare sotto un unico collettivo chiamato UNC6671. TechCrunch ha riportato i risultati il 6 agosto 2026.

Il metodo era diretto e poco sofisticato nella sostanza: gli aggressori chiamavano i dipendenti sui cellulari personali, non sulla linea di lavoro, spacciandosi per un collega o per un membro dell'help desk IT interno. Le vittime venivano guidate verso un sito costruito per imitare fedelmente il vero portale di accesso del loro datore di lavoro, dove inserivano nome utente, password e il codice della loro app MFA.

È quest'ultimo passaggio a contare. Il sito falso inoltrava credenziali e codice MFA all'aggressore in tempo reale, così che questi potesse accedere al sistema vero entro la stessa finestra in cui il codice era ancora valido, una tecnica nota come relay MFA in tempo reale o phishing-in-the-middle. La campagna è stata attiva nei primi mesi del 2026. In quel periodo i wallet collegati ai gruppi hanno ricevuto circa 10 milioni di dollari in bitcoin, e a ogni compromissione seguiva di norma una richiesta di estorsione tra 750.000 e 3 milioni di dollari.

Perché il private equity e non un rivenditore con un database

Le organizzazioni citate nella notizia sono Apollo Global Management, Bain Capital, Blackstone, Bridgewater Associates, CME Group, KKR, Moody's e TPG. Non è un campione casuale di grandi aziende, ma un elenco di importanti società finanziarie e di private equity statunitensi, scelte secondo una logica che vale la pena esplicitare.

Gran parte della copertura sulle violazioni di sicurezza presume che gli aggressori cerchino volume: un database con milioni di dati di clienti da vendere o usare per un riscatto. Le società di private equity e gestione patrimoniale possiedono comparativamente poco di tutto ciò. Ciò che possiedono invece è autorità concentrata: un numero ristretto di dipendenti, spesso una manciata per società, capaci di approvare un bonifico, controfirmare una transazione o muovere una somma rilevante senza una seconda firma. Questa concentrazione era il vero obiettivo degli aggressori.

È una logica di selezione dei bersagli diversa da quella che la maggior parte della copertura sulla sicurezza presume, e spiega perché una telefonata, e non una email di phishing inviata a migliaia di caselle, fosse lo strumento giusto. Non serve compromettere un database quando compromettere tre o quattro persone specifiche produce lo stesso risultato più in fretta e con meno rumore.

Perché la chiamata batte tutta la vostra infrastruttura di sicurezza

Autenticazione a più fattori, single sign-on, rilevamento sugli endpoint e filtri email sono tutti costruiti per interporsi tra un file dannoso, un link o un tentativo di accesso e i vostri sistemi. Nessuno di questi si interpone tra una persona e una telefonata. Una chiamata che si spaccia per un collega o per il supporto IT non tocca affatto quell'infrastruttura: va dritta all'unico componente che nessun aggiornamento software può correggere, una persona sotto lieve pressione che cerca di essere utile.

Questo spiega anche perché il codice MFA rubato in tempo reale abbia pesato più della password. Una password rubata da sola è spesso inutile contro un MFA ben configurato. Password e codice MFA dal vivo inoltrati all'aggressore nella stessa sessione annullano invece del tutto quella protezione, perché dal punto di vista del sistema l'accesso appare identico a quello del vero dipendente che entra con il proprio secondo fattore, solo con pochi secondi di scarto.

La soluzione è un protocollo, non un prodotto

Non esiste un prodotto da acquistare che chiuda questa falla, perché la falla non è tecnica. Qualsiasi organizzazione in cui un numero ristretto di persone può approvare grandi transazioni finanziarie, cosa che descrive la maggior parte delle funzioni di private equity, gestione patrimoniale e tesoreria, ma anche molte normali medie imprese, dovrebbe istituire e davvero esercitare un protocollo di verifica fuori banda per qualsiasi chiamata inattesa dall'IT o da un collega che chieda una credenziale, un codice MFA o un'azione urgente.

Il protocollo in sé è semplice: riattaccare e richiamare un numero interno noto che si è cercato da soli, non uno fornito durante la telefonata. Non reinserire mai una password o un codice MFA in un link ricevuto durante una chiamata, per quanto convincente appaia il sito. Trattare l'urgenza stessa come il segnale d'allarme: il vero supporto IT raramente ha bisogno di una credenziale letta ad alta voce nei due minuti successivi.

La lezione vale ben oltre il settore finanziario. Qualsiasi azienda nell'UE o nel Regno Unito con un numero ristretto di persone ad alta autorità, chi approva i pagamenti, gli amministratori IT, i dirigenti con potere di disporre bonifici, rientra nello stesso profilo di bersaglio da cui partivano gli aggressori. Nell'UE, le società già soggette a DORA o agli obblighi di segnalazione degli incidenti previsti da NIS2 dovrebbero trattare una compromissione da vishing riuscita esattamente come il tipo di incidente che quei quadri normativi si aspettano venga rilevato e segnalato.

Da leggere ora: Nessun umano ha scelto l'exploit, CISA dà 2 giorni  |  Ruota ogni credenziale di CI usata il 4 agosto