CrowdStrike 2026: gli hacker sfruttano le vulnerabilità software in 24 ore, l’IA accelera tutto

La finestra tra la pubblicazione di una vulnerabilità e il primo attacco reale è quasi scomparsa. Il rapporto 2026 di CrowdStrike sul Threat Hunting, che copre la prima metà dell’anno, ha rilevato che l’88% delle CVE con exploit proof-of-concept pubblicati è stato utilizzato in attacchi attivi entro 48 ore. I gruppi di minaccia legati alla Cina, tra cui VAULT PANDA e GENESIS PANDA, hanno raggiunto un turnaround di 24 ore sulle vulnerabilità critiche delle applicazioni web, più velocemente di quanto la maggior parte dei team IT aziendali possa valutare, figurarsi correggere.

La vulnerabilità React2Shell, scoperta all’inizio di quest’anno, ha generato 800 piste di indagine e confermato violazioni in oltre 80 organizzazioni vittime entro quattro giorni dalla divulgazione. Un gruppo separato legato alla Cina, UMBRAL BISON, ha iniziato lo sfruttamento di CVE-2026-31431 entro 20 ore; il 94% degli eventi di attacco correlati è stato registrato nel primo giorno. Non si tratta di casi isolati: rappresentano quello che è diventato il ritmo operativo standard per l’hacking sponsorizzato da Stati.

L’intelligenza artificiale sta accelerando ulteriormente questo processo, sebbene non ancora nel senso fantascientifico. Il cambiamento più misurabile legato all’IA è su entrambi i lati della catena di attacco: le rilevazioni di sicurezza innescate da agenti AI producono ora 2,5 volte più lead di minaccia rispetto all’attività manuale, ma la stessa automazione viene rivolta contro le organizzazioni. In una campagna documentata di LLMJacking — in cui gli attaccanti rubano le credenziali API dell’IA e le sfruttano a scopo di lucro — una singola operazione ha generato 200.000 richieste API in due minuti, portando il furto di potenza di calcolo a un ritmo impossibile senza automazione.

Il gruppo nordcoreano STARDUST CHOLLIMA è passato dallo spionaggio alle supply chain software a giugno: 131 pacchetti nel framework di sviluppo AI Mastra, ampiamente utilizzato da sviluppatori che creano applicazioni basate sull’IA, sono stati iniettati con una dipendenza npm dannosa. La campagna riflette una scommessa calcolata: gli strumenti AI — con la loro rapida adozione e la revisione della sicurezza spesso ridotta — offrono una superficie di avvelenamento ad alto rendimento. Un gruppo separato, ALTERED SPIDER, ha compromesso oltre 300 dipendenze software in un solo giorno.

L’ingegneria sociale tiene il passo. Il voice phishing — in cui gli attaccanti si spacciano per supporto IT o dirigenti tramite chiamate telefoniche — è raddoppiato nella prima metà del 2026 rispetto ai sei mesi precedenti. Il gruppo che CrowdStrike traccia come SNARKY SPIDER è passato dal furto di account alla conferma di esfiltrazione dati in meno di cinque minuti in incidenti documentati. I tentativi mensili di device code phishing sono aumentati di 15 volte negli ultimi sei mesi, una tecnica che sfrutta i flussi OAuth utilizzati per autenticare le app su smart TV e dispositivi con input limitati.

L’implicazione pratica per chiunque usi software — non solo i professionisti della sicurezza — è che la finestra di patch effettiva è ora misurata in ore. I team di sicurezza aziendale che si affidavano ai tradizionali cicli di gestione delle vulnerabilità di 30 giorni stanno correndo una gara che hanno già perso. L’eCrime basato sul cloud è aumentato del 171% su base annua, un dato che CrowdStrike attribuisce in parte alla disponibilità di strumenti AI commodity che abbassano la barriera per gli attori criminali privi di competenze tecniche profonde.

CrowdStrike ora traccia 290 gruppi di avversari nominati, in aumento sostanziale rispetto agli anni precedenti. Il rapporto osserva che l’identificazione degli attori della minaccia è diventata essa stessa un collo di bottiglia: la velocità delle campagne moderne spesso supera il lavoro di attribuzione necessario per capire contro cosa ci si sta difendendo. I numeri del rapporto 2026 non descrivono una minaccia futura: descrivono ciò che viene già misurato, ogni giorno, in migliaia di organizzazioni.

Tag: cybersicurezza, sicurezza IA, CrowdStrike, supply chain, Corea del Nord, LLMJacking