Secondo i dati pubblicati l’11 giugno 2026 nel più recente Threat Insights Report di HP Wolf Security, i vettori di attacco informatico si stanno progressivamente allontanando dallo sviluppo di codice palesemente malevolo per orientarsi verso il mascheramento delle attività illecite all’interno di processi software considerati attendibili dai sistemi di difesa. L’analisi, che prende in esame i dati relativi al primo trimestre del 2026, evidenzia una sfida complessa per gli amministratori di rete, determinata dal fatto che le intrusioni esterne imitano con precisione i comportamenti e le routine quotidiane dei dipendenti e dei reparti di supporto tecnico.
Tra le principali evidenze riscontrate dai ricercatori di HP Wolf Security emerge l’abuso sistematico di applicativi legittimi per la gestione remota, come LogMeIn e ScreenConnect, che vengono convertiti in vere e proprie backdoor persistenti. Per indurre gli utenti all’installazione di tali strumenti, gli attaccanti utilizzano campagne di ingegneria sociale mirate, sfruttando scadenze amministrative come la chiusura dell’anno fiscale o la promessa di download di applicativi di incontri attraverso siti Web contraffatti. Una volta configurati sul PC della vittima, questi programmi consentono un controllo totale del dispositivo senza attivare gli allarmi dei software di rilevamento tradizionali, mimetizzandosi nel normale traffico di manutenzione IT dell’azienda.
Un ulteriore filone d’attacco intercetta gli utenti di criptovalute in difficoltà mediante la diffusione di finti programmi di recupero per wallet smarriti. Questi software, distribuiti su piattaforme di condivisione codice, integrano script infostealer configurati per sottrarre credenziali e chiavi di accesso; la presenza massiva di emoji all’interno delle righe di codice suggerisce un ampio ricorso a tecniche di intelligenza artificiale note come vibe coding per lo sviluppo rapido del malware. Parallelamente, le campagne denominate ClickFix hanno iniziato a utilizzare file audio artefatti per nascondere i payload malevoli, sfruttando interfacce CAPTCHA realistiche su siti specchio per forzare l’esecuzione di comandi di sistema in background. Sotto il profilo dei canali di diffusione, le metriche indicano che almeno l’11% delle minacce intercettate via email è stato in grado di superare uno o più scanner di sicurezza, vedendo i file eseguibili come primo vettore di distribuzione con il 39%, seguiti dai file di archivio al 38% e dai documenti PDF al 10%, questi ultimi in crescita del 2% a causa dell’invio di falsi atti giudiziari o comunicazioni di bonus aziendali.
In merito alla complessità dello scenario attuale, Patrick Schläpfer, Principal Threat Researcher presso l’HP Security Lab, ha spiegato: “Ciò che spicca in queste campagne è la facilità con cui strumenti legittimi di accesso remoto vengano trasformati in punti di ingresso per gli aggressori. Combinando software affidabili con un’ingegneria sociale accuratamente progettata, legata a eventi come la chiusura dell’anno fiscale, diventa ancora più difficile distinguere ciò che è affidabile da ciò che non lo è”.
Alle considerazioni tecniche si aggiungono quelle di Alex Holland, Principal Threat Researcher del laboratorio: “Questi attacchi non sembrano violazioni di domicilio, ma appaiono come normali attività lavorative, mimetizzandosi con le consuete operazioni IT ed evitando i segnali di avvertimento associati ai malware. Per mettere in sicurezza il futuro del lavoro e ridurre i rischi, le aziende dovrebbero limitare i privilegi non necessari, controllare l’installazione dei software e isolare le attività rischiose come i download e i link sconosciuti. La sola attività di rilevamento non è sufficiente quando strumenti legittimi vengono trasformati in backdoor”
Giampiero Savorelli, VP e AD di HP Italy
La necessità di un cambio di paradigma nella protezione degli endpoint aziendali trova riscontro anche nelle valutazioni della dirigenza italiana della società. Riguardo al valore dell’intelligence applicata alla sicurezza delle infrastrutture, Giampiero Savorelli, VP e AD di HP Italy, ha commentato: “Il nuovo Threat Insights Report conferma il valore dell’intelligence sviluppata da HP Wolf Security nel comprendere e anticipare l’evoluzione delle minacce informatiche. Oggi i cybercriminali sono sempre più abili nel mascherare le proprie attività dietro strumenti e processi apparentemente legittimi, rendendo più complesso distinguere il comportamento malevolo dalle normali operazioni quotidiane. Per questo motivo HP continua a investire in tecnologie di protezione basate sull’isolamento delle minacce e sulla resilienza degli endpoint, aiutando aziende e utenti a lavorare in sicurezza anche di fronte ad attacchi sempre più sofisticati”.
