Sommario
Nel panorama della sicurezza informatica, l’ultimo trimestre ha visto una sequenza di eventi che collegano attacchi mirati a infrastrutture digitali, sfruttamento di tecnologie AI per frodi e gravi violazioni di dati personali. Il ripristino del servizio Click & Collect di Microsoft nel Regno Unito, dopo un cyberattacco ad aprile, rappresenta uno degli episodi più rilevanti, insieme all’allarme crescente per i deepfake che eludono i sistemi di rilevamento e ai breach che hanno esposto informazioni sensibili in app e portali online. L’intero scenario mette in evidenza la convergenza di rischi cyber, AI-driven e di privacy, con implicazioni dirette per aziende, istituzioni e consumatori.
Ripristino dei servizi Microsoft dopo il cyberattacco
Microsoft ha riportato online il servizio Click & Collect per i clienti britannici di Marks & Spencer, permettendo nuovamente il ritiro in negozio di ordini di moda, articoli per la casa e cosmetici. L’interruzione, causata da un attacco informatico ad aprile, aveva bloccato pagamenti contactless, ordini online e la gestione di gift card e kiosk self-service. Nonostante il ripristino, alcune funzionalità restano limitate: il servizio Scan and Shop non consente acquisti superiori a 53 euro, la verifica dello stock online è inattiva e alcune categorie di prodotti, come le torte per occasioni speciali, non sono ordinabili.
Il CEO Stuart Machin ha previsto un impatto economico di 357 milioni di euro sui profitti dell’anno fiscale 2025/26, mentre concorrenti come Next hanno registrato un aumento del 7,8% nelle vendite, beneficiando delle difficoltà del rivale. Le indagini, che coinvolgono la National Crime Agency, hanno portato all’arresto di quattro persone, sebbene senza accuse formali, con il gruppo Scattered Spider tra i sospettati. Microsoft ha rafforzato le proprie misure di sicurezza e collabora con le autorità, in un contesto in cui attacchi coordinati hanno colpito anche altre catene di distribuzione come Co-op e Harrods.
Deepfake e sistemi anti-frode
Parallelamente, cresce l’allarme per l’uso di deepfake in frodi finanziarie e campagne di disinformazione. La tecnologia ha raggiunto un’accuratezza di rilevamento del 90%, ma il 10% di falsi non individuati genera profitti milionari per i criminali. Esempi recenti includono video manipolati di figure pubbliche come Keir Starmer e Alexandria Ocasio-Cortez, utilizzati per propaganda. Strumenti come il Fake Image Forensic Examiner di Mike Raggo permettono di analizzare frame e metadata per individuare manipolazioni, ma non esiste una soluzione tecnologica infallibile. L’FBI ha avvertito anche dell’aumento di voice deepfake, capaci di imitare perfettamente voci di politici e figure pubbliche, e la FTC ha lanciato una sfida per migliorare il rilevamento di queste tecniche.
Wikimedia e la battaglia legale sull’Online Safety Act
Sul fronte normativo, la Wikimedia Foundation ha perso la prima fase della causa contro il segretario tecnologico del Regno Unito, relativa all’Online Safety Act 2023. La controversia riguarda la possibile classificazione di Wikipedia come piattaforma “Category 1”, al pari di social network e siti per adulti, che comporterebbe l’obbligo di verificare l’identità degli utenti. Pur respingendo quattro motivi, la corte ha ammesso due punti alla revisione giudiziaria, mantenendo alta l’attenzione sulla tutela della privacy e della libertà di contribuzione online.
Violazioni di dati e vulnerabilità nei portali
Una grave vulnerabilità scoperta da Eaton Zveare in un portale per concessionarie automobilistiche ha permesso la creazione di account amministratori nazionali e lo sblocco remoto di veicoli. Il sistema esponeva dati personali e finanziari, oltre a consentire il tracciamento in tempo reale delle vetture a noleggio. L’automaker coinvolto, rimasto anonimo, ha corretto la falla entro una settimana, ma l’incidente ha messo in luce i rischi crescenti legati ai sistemi IoT automotive.
Evoluzione delle minacce online
Altri episodi hanno riguardato Trojan clickjack utilizzati su siti per adulti per generare like Facebook non autorizzati, campagne di phishing contro utenti della piattaforma tramite link “mailto” ingannevoli, e leak di dati da app di incontri e di salute femminile come TeaOnHer e Flo. In quest’ultimo caso, una giuria californiana ha stabilito che Meta ha avuto accesso a informazioni sanitarie senza consenso, aprendo a possibili risarcimenti e creando un precedente legale nel campo della privacy digitale.
La sequenza di eventi conferma come il perimetro della sicurezza digitale sia oggi estremamente frammentato e interconnesso. Cyberattacchi a catene retail, manipolazioni AI per frodi, normative invasive e breach su larga scala convergono in un’unica sfida: bilanciare innovazione e tutela degli utenti. La vulnerabilità rilevata nel portale auto, con la possibilità di controllo remoto dei veicoli, rappresenta un caso emblematico di come la mancata protezione di sistemi apparentemente di nicchia possa tradursi in rischi concreti per la sicurezza fisica e digitale.
