CERT-AGID rileva 395 campagne malevole in tre settimane di luglio

🛡️ Executive Summary

• Dal 4 al 24 luglio CERT-AGID ha analizzato 395 campagne malevole, 270 rivolte direttamente all’Italia, distribuendo 3.264 indicatori di compromissione.
• INPS, PagoPA, SEND, Ministero della Salute e Agenzia delle Entrate sono i principali nomi pubblici sfruttati per rubare dati e carte.
• FormBook, Remcos, AgentTesla, GuLoader e XWorm dominano gli allegati, mentre BingoMod, Anatsa e altri trojan bancari arrivano tramite SMS.

Il panorama cyber italiano di luglio 2026 mostra una pressione costante contro cittadini, imprese e servizi pubblici. Nei tre rapporti accessibili relativi al periodo compreso tra il 4 e il 24 luglio, CERT-AGID ha analizzato 395 campagne malevole, delle quali 270 rivolte direttamente a obiettivi italiani e 125 generiche ma capaci di interessare anche il Paese. Gli indicatori di compromissione distribuiti agli enti accreditati sono stati 3.264. Phishing e smishing hanno sfruttato soprattutto INPS, PagoPA, SEND, Ministero della Salute e Agenzia delle Entrate, mentre malware come FormBook, Remcos, AgentTesla, GuLoader e XWorm hanno continuato a circolare attraverso archivi compressi, immagini disco, fogli Excel e script.

Luglio mantiene una pressione stabile sopra le 130 campagne settimanali

Il volume osservato da CERT-AGID è rimasto pressoché costante nelle prime due settimane analizzate, con 130 campagne dal 4 al 10 luglio e altre 130 dall’11 al 17 luglio, per poi salire a 135 campagne tra il 18 e il 24 luglio. La composizione è però cambiata: nella prima settimana 98 operazioni erano dirette specificamente contro utenti italiani e 32 erano generiche; nella seconda il rapporto è rimasto simile, con 97 campagne italiane e 33 generiche; nella terza le attività generiche sono aumentate fino a 60, mentre quelle mirate all’Italia sono scese a 75. Gli IoC sono passati da 1.033 a 1.040, raggiungendo 1.191 nella settimana del 18-24 luglio, segnale di una maggiore varietà infrastrutturale, di payload o di artefatti associati alle operazioni osservate.

I numeri consolidano la tendenza già emersa nell’analisi sulle campagne malevole tra maggio e i primi giorni di luglio, nella quale phishing sulle multe, falsi rinnovi e infostealer rappresentavano i principali vettori contro cittadini e aziende. Il confronto con maggio 2026, quando CERT-AGID aveva registrato oltre 450 attacchi, indica che la minaccia non assume la forma di un unico picco eccezionale, ma di una produzione industrializzata e continua di domini fraudolenti, allegati, SMS e infrastrutture di comando e controllo. Il quarto collegamento fornito, relativo al periodo 25-31 luglio, non restituiva ancora contenuti consultabili al momento della verifica e i suoi dati non sono stati aggiunti ai totali per evitare stime non supportate.

INPS, multe e sanità trasformano la fiducia pubblica in esche

La componente più specificamente italiana è dominata dall’imitazione di istituzioni e servizi con i quali i cittadini hanno un rapporto amministrativo o finanziario. Tra il 4 e il 10 luglio il tema “rinnovo” è apparso in 41 campagne di phishing, soprattutto contro il Ministero della Salute e fornitori di domini e hosting, mentre le false multe hanno alimentato 25 campagne che abusavano dei marchi PagoPA e SEND. Nella settimana successiva il tema “verifica” è salito al primo posto con 34 campagne, quasi tutte costruite intorno a INPS, mentre le multe sono rimaste presenti in altri 15 casi. Tra il 18 e il 24 luglio, INPS ha continuato a dominare le false verifiche e lo smishing, accompagnata da campagne contro il Ministero dei Trasporti, Agenzia delle Entrate, Zimbra e servizi finanziari. La logica sfruttata dagli attaccanti è ricorrente: una presunta anomalia, una scadenza, una sanzione o un rimborso vengono trasformati in una richiesta urgente di conferma dei dati. Le pagine clonate raccolgono informazioni anagrafiche, recapiti telefonici e dettagli delle carte, predisponendo anche successive chiamate fraudolente. Il meccanismo era già visibile nelle campagne sulla sostituzione obbligatoria della tessera sanitaria e si è evoluto nello smishing INPS con importi differenti utilizzati per testare paura e convenienza. Importi come 385,40 euro e 6,60 euro possono rispondere a logiche di A/B testing criminale: la cifra elevata induce allarme e reazione immediata, mentre quella ridotta può abbassare le difese perché appare plausibile e poco rischiosa. Nei dati CERT-AGID del 4-10 luglio e nel successivo riepilogo dell’11-17 luglio emerge una continuità netta: cambiano il pretesto e il marchio copiato, ma l’obiettivo rimane la raccolta di credenziali, dati personali e strumenti di pagamento.

Banking e SMS portano trojan direttamente sugli smartphone

Il tema bancario attraversa tutte le settimane e combina phishing tradizionale, smishing e distribuzione di applicazioni Android malevole. Tra il 4 e il 10 luglio sono stati imitati Poste Italiane, Intesa Sanpaolo, ING, Inbank, Klarna e BNL, mentre tramite SMS venivano distribuiti gli APK di Albiriox, RedWing e RedHook. Dall’11 al 17 luglio il banking ha alimentato campagne contro PayPal, Intesa Sanpaolo, BPM e ING e ha veicolato Remcos, Anatsa, SnakeKeylogger e XWorm. Nella settimana seguente sono comparsi BingoMod, OctagonPanel, PhantomStealer e PureLogs Stealer, con nuovi APK malevoli presentati come aggiornamenti o applicazioni bancarie. Il passaggio dal falso sito al malware mobile amplia l’impatto perché il trojan può tentare di intercettare notifiche, SMS, credenziali e codici temporanei, sovrapporre schermate fraudolente alle applicazioni autentiche e mantenere un controllo persistente sul dispositivo. La campagna non si esaurisce quindi nel furto immediato dei dati inseriti in una pagina: può trasformare lo smartphone in uno strumento per autorizzare bonifici, sottrarre sessioni e aggirare alcune forme di autenticazione. Questa evoluzione si inserisce nel quadro più ampio dell’ingegneria sociale che integra phishing, smishing, vishing e qishing, dove più canali vengono concatenati per costruire una frode credibile. I messaggi sulle multe, i rimborsi sanitari e gli indebiti INPS possono servire anche a raccogliere numero di telefono e informazioni personali da utilizzare successivamente in chiamate nelle quali il criminale si presenta come operatore bancario o funzionario pubblico. Il falso accesso SPID osservato a luglio segue la stessa logica: l’email iniziale comunica l’apertura non autorizzata di un conto e invita la vittima a telefonare direttamente ai truffatori, trasformando il phishing in una sessione di vishing guidata.

FormBook e Remcos dominano una distribuzione ancora basata sugli allegati

Sul fronte malware, FormBook e Remcos sono le famiglie più costanti. FormBook è comparso in campagne italiane e generiche a tema ordini, fatture, prezzi, contratti, pagamenti e consegne, distribuite tramite ZIP, RAR, TAR, GZ, XZ e file JavaScript. Remcos ha sfruttato gli stessi pretesti commerciali, aggiungendo allegati 7Z, XLS, IMG, ISO e script BAT. AgentTesla, GuLoader, XWorm, PhantomStealer, SnakeKeylogger, PureLogs e PureRat completano un ecosistema nel quale la posta elettronica continua a essere un vettore altamente efficace. La varietà dei formati non è casuale: gli archivi multipli e meno comuni possono eludere controlli superficiali, le immagini disco simulano supporti montati localmente, i fogli Excel sfruttano la familiarità dell’utente con documenti commerciali e gli script permettono di recuperare payload successivi soltanto dopo l’apertura.

Le campagne rivolte alle aziende utilizzano soprattutto ordini, preventivi, fatture e contratti perché questi documenti fanno parte del traffico quotidiano di amministrazione, vendite e logistica. Il destinatario non deve essere convinto dell’esistenza di un premio straordinario, ma soltanto della plausibilità di una normale comunicazione lavorativa. La persistenza di Remcos in Italia era già emersa nelle campagne che lo distribuivano attraverso falsi messaggi GLS e Booking. Nel riepilogo CERT-AGID del 18-24 luglio vengono censite 19 famiglie malware, contro 15 nella prima settimana e 11 nella seconda, evidenziando un aumento della diversificazione tecnica proprio mentre il numero complessivo delle campagne rimane relativamente stabile.

I dati indicano una filiera criminale ormai industrializzata

La continuità dei volumi, la rotazione dei marchi imitati e la ripetizione delle stesse famiglie malware descrivono una filiera più vicina alla produzione industriale che all’attacco isolato. Template grafici, pannelli di phishing, domini, servizi di invio SMS, loader e malware possono essere riutilizzati o acquistati separatamente, permettendo a gruppi differenti di lanciare campagne con costi contenuti. La difesa deve quindi intervenire prima che il singolo messaggio raggiunga l’utente e non affidarsi soltanto alla sua capacità di riconoscere la truffa. Servono filtri capaci di analizzare archivi annidati, immagini disco e script, sandbox per gli allegati, blocco delle estensioni non necessarie, autenticazione resistente al phishing e monitoraggio dei domini appena registrati che imitano enti pubblici o fornitori. Sugli smartphone, l’installazione di APK esterni agli store autorizzati deve essere limitata e ogni SMS che propone aggiornamenti, rimborsi o pagamenti deve essere verificato entrando manualmente nel servizio ufficiale. Per enti e aziende, il flusso di indicatori di compromissione del CERT-AGID consente di tradurre i dati settimanali in blocchi su DNS, proxy, firewall, gateway email ed EDR, ma gli IoC devono essere accompagnati da rilevazioni comportamentali perché domini, hash e indirizzi cambiano rapidamente. Il dato più rilevante di luglio non è una singola famiglia malware, ma la capacità degli attaccanti di mantenere oltre 130 campagne ogni settimana, alternando esche istituzionali per i cittadini e documenti commerciali per le imprese senza modificare il modello economico dell’operazione.