Teams porta a Chaos, violazioni per Brinks e Analog Devices

🛡️ Executive Summary

• False chiamate del supporto IT su Microsoft Teams convincono i dipendenti ad avviare strumenti remoti e permettono di distribuire Chaos ransomware.
• Brinks Home conferma un accesso ai sistemi aziendali, mentre ShinyHunters rivendica il furto di dati e minaccia la pubblicazione.
• Analog Devices rileva l’esfiltrazione di file, ma dichiara che produzione, distribuzione e operazioni non hanno subito interruzioni.

Tre incidenti distinti mostrano come identità aziendali, strumenti di collaborazione e sistemi corporate continuino a rappresentare punti di ingresso privilegiati per ransomware ed estorsori. Una campagna di vishing utilizza Microsoft Teams per impersonare il supporto informatico, ottenere il controllo remoto dei computer e distribuire Chaos ransomware in meno di diciassette ore. Parallelamente, Brinks Home indaga su un accesso non autorizzato rivendicato da ShinyHunters, mentre Analog Devices conferma l’esfiltrazione di alcuni file dai propri sistemi. Nei due data breach le attività operative sono rimaste disponibili, ma natura, quantità e possibile utilizzo delle informazioni sottratte sono ancora in fase di verifica.

Microsoft Teams apre la strada a Chaos ransomware

Il gruppo monitorato da Sophos con il nome STAC4749 contatta direttamente i dipendenti attraverso chat e chiamate vocali di Microsoft Teams, presentandosi come personale del supporto IT e utilizzando identità plausibili associate a domini costruiti per ricordare servizi di sicurezza, aggiornamento o assistenza aziendale. Le conversazioni durano pochi minuti e hanno l’obiettivo di convincere la vittima ad aprire Microsoft Quick Assist oppure a installare RemSupp, fornendo agli operatori il controllo remoto del computer senza ricorrere a macro, allegati malevoli o exploit del browser. Una volta ottenuta la sessione, gli aggressori utilizzano PowerShell per scaricare loader e backdoor, creano persistenza attraverso chiavi Run e collegamenti nella cartella Startup, installano strumenti aggiuntivi come DWAgent e AnyDesk e modificano la configurazione dei servizi Windows per abilitare Remote Desktop Protocol. La persistenza viene mascherata con nomi come Realtek HD Audio, Realtek Audio UHD, WinAudio, SecurityHealth e OneDriveUpdate, scelti per confondersi con componenti legittimi del sistema.

Sophos ha osservato decine di organizzazioni colpite tra febbraio e giugno 2026, soprattutto negli Stati Uniti e in Canada, e ha collegato almeno tre intrusioni alla distribuzione di Chaos ransomware. In un caso sono trascorse meno di 17 ore dalla prima chiamata alla cifratura, confermando una catena operativa progettata per trasformare rapidamente un accesso ottenuto con l’ingegneria sociale in una compromissione estesa della rete. Prima dell’esecuzione del ransomware, gli operatori ampliano l’accesso ad altri endpoint, mantengono più strumenti di controllo remoto e possono tentare l’esfiltrazione dei dati. Alcune tecniche coincidono con attività osservate nel precedente ecosistema Royal e BlackSuit, ma non esistono prove sufficienti per attribuire STAC4749 a uno specifico gruppo ransomware. La campagna è distinta anche dalle operazioni di MuddyWater, che avevano utilizzato Chaos come copertura per attività distruttive e di spionaggio. Nel rapporto tecnico pubblicato da Sophos sulla campagna di vishing in Microsoft Teams, i ricercatori raccomandano di limitare messaggi e chiamate provenienti da tenant esterni, controllare Quick Assist e gli strumenti RMM, rilevare l’uso anomalo di PowerShell e verificare periodicamente chiavi Run, attività pianificate e nuove configurazioni RDP. Il caso dimostra che un’applicazione di collaborazione approvata dall’azienda può diventare il principale canale di social engineering quando il dipendente attribuisce automaticamente credibilità a una chiamata ricevuta all’interno dell’ambiente di lavoro.

ShinyHunters minaccia di pubblicare i dati di Brinks Home

Brinks Home, società statunitense specializzata nei sistemi di sicurezza domestica e nel monitoraggio degli allarmi, ha rilevato il 20 luglio 2026 un accesso non autorizzato a una parte della propria infrastruttura informatica aziendale. L’azienda ha dichiarato di aver attivato le procedure di risposta, isolato i sistemi coinvolti e coinvolto specialisti forensi esterni per stabilire origine, durata e conseguenze dell’intrusione. I servizi di monitoraggio, gli allarmi installati nelle abitazioni e le attività di risposta alle emergenze non hanno subito interruzioni, perché l’incidente avrebbe riguardato l’ambiente IT corporate e non le piattaforme operative utilizzate per proteggere i clienti. La separazione dichiarata riduce il rischio immediato per sensori, centrali e dispositivi domestici, ma non esclude il furto di informazioni personali, dati commerciali, documenti interni o credenziali aziendali. Il gruppo di estorsione ShinyHunters ha successivamente inserito Brinks Home nel proprio sito di leak, sostenendo di aver sottratto dati e minacciando di pubblicarli qualora la società non avvii una trattativa. La rivendicazione non rappresenta però una conferma dell’attribuzione: Brinks Home non ha indicato il responsabile dell’attacco, non ha comunicato la quantità dei file eventualmente esfiltrati e non ha ancora precisato quali categorie di soggetti possano essere coinvolte. ShinyHunters è noto per operazioni basate sul furto di grandi archivi e sull’estorsione senza cifratura, oltre che per campagne contro ambienti Salesforce, account cloud e identità aziendali attraverso telefonate e false procedure di supporto. Le stesse tecniche sono emerse negli attacchi contro Salesforce basati su OAuth, vishing e applicazioni connesse. I dati sottratti possono inoltre essere riutilizzati da soggetti terzi per phishing, impersonificazione, frodi finanziarie e furti di identità anche quando non vengono pubblicati integralmente sul portale dell’estorsore. Nel comunicato diffuso da Brinks Home sull’incidente informatico, la società conferma l’indagine e la continuità dei servizi di sicurezza, ma non convalida le affermazioni di ShinyHunters. Clienti e dipendenti devono quindi prestare attenzione a comunicazioni che sfruttino il nome dell’azienda per chiedere password, codici di allarme, pagamenti, accessi remoti o installazioni software, evitando però di interpretare la rivendicazione criminale come prova di una compromissione dei dispositivi presenti nelle abitazioni.

Analog Devices conferma l’esfiltrazione di alcuni file

Analog Devices ha comunicato di aver rilevato il 23 giugno 2026 un accesso non autorizzato ad alcuni sistemi informatici e di aver successivamente confermato l’esfiltrazione di file. Il produttore statunitense di semiconduttori ha attivato il proprio piano di risposta, coinvolto consulenti esterni, informato le forze dell’ordine e avviato un’analisi per stabilire la natura delle informazioni sottratte e gli eventuali obblighi di notifica. La società non ha specificato se i file contengano dati di dipendenti, clienti, fornitori, proprietà intellettuale, documentazione tecnica o informazioni finanziarie, ma ha dichiarato di non essere a conoscenza di una loro pubblicazione o di un utilizzo fraudolento. Le attività produttive, la distribuzione e le operazioni aziendali non hanno subito interruzioni, e Analog Devices non ritiene al momento che l’incidente possa produrre un impatto materiale sulla situazione finanziaria o sui risultati operativi. L’assenza di un blocco della produzione distingue l’episodio da un attacco ransomware industriale, ma non riduce automaticamente il valore strategico dei dati potenzialmente sottratti. Analog Devices sviluppa componenti analogici e mixed-signal, convertitori, sistemi di gestione dell’alimentazione e tecnologie di elaborazione utilizzate in automazione industriale, automotive, telecomunicazioni, sanità, aerospazio e data center. Documenti relativi a clienti, supply chain, roadmap, processi produttivi o progetti potrebbero quindi essere sfruttati per spionaggio industriale, frodi B2B e campagne mirate contro partner, anche se non esistono elementi pubblici per affermare che tali categorie siano effettivamente coinvolte. La società ha segnalato anche un secondo episodio emerso attraverso informazioni pubbliche il 26 luglio, del quale sta verificando autenticità, portata e possibile collegamento con l’intrusione già confermata. La circostanza potrebbe riferirsi alla rivendicazione del gruppo ExfilSquad, ma Analog Devices non ha attribuito il breach e le due vicende devono restare separate fino alla conclusione delle verifiche. Nel Form 8-K depositato da Analog Devices presso la Securities and Exchange Commission, l’azienda conferma il furto di file, la continuità operativa e l’assenza di un impatto materiale attualmente noto. La risposta non può comunque limitarsi alla rimozione dell’accesso iniziale: devono essere esaminati account, sessioni, token, regole di inoltro, movimenti laterali e attività di esfiltrazione, mentre clienti e fornitori devono considerare il rischio che informazioni commerciali reali vengano riutilizzate per costruire comunicazioni fraudolente più credibili. Il valore operativo dei documenti sottratti e la loro capacità di alimentare attacchi successivi sono elementi centrali nella gestione dei data breach e dei data leak aziendali.