🛡️ Executive Summary
- Una nuova campagna phishing imita INPS e promette 730 euro di rimborso per sottrarre dati anagrafici, carte e autorizzazioni bancarie 3D Secure.
- Parallelamente almeno 274 istanze Zimbra risultano compromesse attraverso CVE-2026-73570, command injection pre-auth nel componente SNMP.
- Zimbra ha corretto la vulnerabilità con ZCS 10.1.20, ma migliaia di server risultano ancora non aggiornati e richiedono verifica forense oltre alla semplice patch.
Due campagne molto diverse mostrano quanto il rischio cyber continui a muoversi contemporaneamente sul fattore umano e sulle infrastrutture esposte. In Italia, CERT-AGID ha individuato una nuova operazione di phishing che utilizza nome e grafica dell’INPS per promettere un falso rimborso di 730 euro e accompagnare la vittima fino all’approvazione di una transazione bancaria. Sul fronte enterprise, invece, la vulnerabilità CVE-2026-73570 di Zimbra Collaboration viene sfruttata attivamente e ha già lasciato tracce di compromissione su oltre 270 server. Nel primo caso l’utente viene convinto a consegnare tutto; nel secondo basta un server vulnerabile raggiungibile da Internet.
Cosa leggere
Il falso rimborso INPS usa 730 euro per portare la vittima fino alla banca
Il nuovo avviso del CERT-AGID descrive email che imitano l’INPS e comunicano un presunto credito di 730 euro, attribuito a un “ricalcolo automatizzato” della posizione contributiva e fiscale del destinatario. L’oggetto può apparire come “Protoc. INPS/2026/00489 – Pratica di rimborso approvata” e il testo sostiene che esista un’eccedenza di versamenti relativa al periodo d’imposta 2025. La leva è doppia: una cifra abbastanza consistente da attirare l’attenzione e una scadenza molto ravvicinata che riduce il tempo dedicato alla verifica. Il meccanismo si inserisce nella lunga serie di campagne che sfruttano INPS, SPID, pagoPA e altre identità pubbliche per costruire procedure fraudolente credibili.
feedsafepro raccoglie prima l’identità e poi i dati completi della carta
Il pulsante “Accedi all’Area Riservata” non conduce naturalmente a INPS, ma al dominio feedsafepro[.]com, sul quale è ospitata una copia del portale istituzionale. La procedura è costruita in più passaggi. La prima schermata raccoglie nome, cognome, codice fiscale, data di nascita, indirizzo, comune, provincia, CAP, email e numero telefonico.
Solo dopo aver acquisito un profilo personale già sfruttabile autonomamente, il sito passa ai dati finanziari chiedendo intestatario, PAN della carta, scadenza e CVV. Per rendere il flusso più credibile vengono mostrati riferimenti a TLS 1.3, PCI-DSS, GDPR e Modello 730/2026, termini tecnicamente reali ma utilizzati come semplice scenografia. Il modello riprende la precedente campagna INPS nella quale l’intelligenza artificiale veniva utilizzata per controllare documenti e selfie forniti dalle vittime: il phishing italiano non si limita più alla pagina di login, ma imita l’intero processo amministrativo.
La falsa verifica 3D Secure cerca di far autorizzare il furto alla vittima
L’ultimo passaggio è quello più pericoloso. Dopo avere inserito i dati della carta, la vittima vede una schermata denominata “Autorizzazione Bancaria 3D Secure 2.2 in corso” e viene invitata ad aprire l’applicazione bancaria per approvare una notifica push entro 60 secondi. A quel punto il phishing smette di essere semplice furto di credenziali e tenta di trasformare direttamente l’utente nel soggetto che autorizza l’operazione fraudolenta.
L’autenticazione forte non viene tecnicamente violata: la vittima viene manipolata affinché la completi volontariamente credendo di confermare la propria identità per ricevere un rimborso. È una dinamica che spiega perché MFA e 3D Secure riducano il rischio ma non possano eliminare l’ingegneria sociale. CERT-AGID ha avviato le procedure per la dismissione del dominio, informato INPS e distribuito gli IoC agli enti accreditati. La pressione rimane elevata: in appena tre settimane di luglio erano state rilevate 395 campagne malevole, con i marchi della Pubblica Amministrazione tra le esche dominanti.
Zimbra affronta invece una command injection sfruttabile senza autenticazione
Sul fronte infrastrutturale la situazione è completamente differente. CVE-2026-73570 interessa il componente di monitoraggio SNMP di Zimbra Collaboration Suite quando le notifiche SNMP sono abilitate. La vulnerabilità deriva da una command injection e consente a un attaccante non autenticato di inviare richieste SMTP appositamente costruite che possono portare all’esecuzione di comandi arbitrari come utente zimbra. Zimbra ha distribuito la correzione definitiva il 20 luglio con ZCS 10.1.20, classificando l’aggiornamento di sicurezza come High e raccomandando esplicitamente agli amministratori di effettuare l’upgrade. La release corregge nello stesso tempo diverse vulnerabilità XSS, problemi di autorizzazione, un bypass sulle restrizioni di forwarding e un SSRF nell’integrazione Nextcloud.
Almeno 274 server mostrano già artefatti compatibili con la compromissione
Il problema è che la patch è arrivata prima della fase più visibile dello sfruttamento, ma molti server sono rimasti esposti. Le scansioni pubbliche effettuate il 22 agosto hanno individuato 274 istanze Zimbra con artefatti associati allo sfruttamento di CVE-2026-73570, mentre risultavano almeno 8.200 istanze non aggiornate.
Questo secondo numero non equivale automaticamente a 8.200 server vulnerabili, perché la falla richiede una configurazione non predefinita con notifiche SNMP abilitate, ma mostra comunque una superficie d’attacco significativa. Zimbra resta inoltre un obiettivo ad alto valore perché un server di posta compromesso può offrire accesso a messaggi, allegati, credenziali, sessioni e conversazioni aziendali, oltre a un possibile punto di ingresso verso il resto dell’infrastruttura.
Patchare non basta se il server è già stato compromesso
La priorità per chi utilizza Zimbra non è quindi soltanto installare la versione corretta. Gli amministratori devono verificare se l’attaccante sia già entrato prima dell’aggiornamento. Le indicazioni emerse durante la risposta all’incidente invitano a controllare riavvii anomali dei servizi Zimbra e file creati dall’utente zimbra nelle directory /opt/zimbra/jetty/webapps/, /opt/zimbra/jetty_base/webapps/ e /tmp/ nell’ultimo mese. Un server compromesso prima della patch potrebbe infatti conservare web shell, payload o altre forme di persistenza anche dopo l’aggiornamento. La stessa piattaforma era stata già coinvolta in campagne nelle quali vulnerabilità Zimbra permettevano di sottrarre email senza richiedere interazione dell’utente, confermando il valore strategico dei webmail esposti per attori criminali e gruppi di spionaggio.
Email e webmail restano due facce della stessa superficie d’attacco
Il falso rimborso INPS e CVE-2026-73570 non hanno collegamenti operativi tra loro, ma illustrano due estremi dello stesso problema. Nel phishing l’infrastruttura può essere tecnicamente sicura e l’attacco riesce perché l’utente autorizza ciò che non dovrebbe. Nel caso Zimbra, invece, l’utente non deve fare nulla: una vulnerabilità esposta consente al criminale di aggirare completamente il fattore umano. La difesa deve quindi coprire entrambe le dimensioni. Per i cittadini significa verificare domini e richieste di autorizzazione bancaria indipendentemente dalla grafica mostrata. Per le organizzazioni significa ridurre l’esposizione, patchare rapidamente e trattare lo sfruttamento noto come un incidente da investigare, non come un semplice aggiornamento da installare. Il punto comune rimane l’email. Da una parte è il mezzo con cui viene costruita la fiducia necessaria alla truffa; dall’altra è l’infrastruttura che gli attaccanti cercano direttamente di conquistare.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
