CERT-AGID 1–7 novembre: phishing su Banca d’Italia e Agenzia delle Entrate

Nov 10, 2025 Stefano Silvestri Attacchi, Hacking, In evidenza, Intrusione, Leaks, Malware, Minacce, News, Phishing, Scenario, Tecnologia, Vulnerabilità 0

Nel periodo compreso tra il 1° e il 7 novembre, il CERT-AGID ha analizzato 91 campagne malevole che hanno interessato il territorio nazionale.

Di queste, 54 hanno avuto obiettivi specificamente italiani, mentre 37 di carattere generico hanno comunque coinvolto utenti e organizzazioni nel Paese.

Complessivamente, il team ha messo a disposizione degli enti accreditati 853 indicatori di compromissione (IoC) relativi alle minacce individuate.

I temi della settimana

Sono 24 i temi sfruttati dai criminali informatici per veicolare campagne di phishing e malware. Tra i più ricorrenti figurano i riferimenti a Banking, Multe, Pagamenti, Documenti e Ordini, che continuano a rappresentare i vettori preferiti per colpire utenti e aziende italiane.

Il tema Banking è stato quello più utilizzato, con 14 campagne, di cui 10 italiane, diffuse tramite email e SMS. Le operazioni di phishing, sei in totale, hanno imitato comunicazioni di Mooney, ING, Inbank e Interactive Brokers, con l’obiettivo di sottrarre credenziali e dati bancari.

Le otto campagne malware associate hanno invece diffuso FormBook, Copybara, Remcos, XWorm e Herodotus, quest’ultimo distribuito via SMS contenenti link per il download di file APK malevoli.

91 campagne malevole rilevate in Italia, con 853 indicatori di compromissione. In crescita le truffe bancarie e fiscali.

Il tema Multe ha interessato nove campagne di phishing, tutte italiane e veicolate esclusivamente via email. Le comunicazioni, che simulano avvisi di PagoPA, fingono sanzioni o mancati pagamenti e mirano a indurre le vittime a fornire dati personali e informazioni finanziarie.

Il tema Pagamenti, osservato in sette campagne malware sia italiane che generiche, è stato sfruttato per diffondere Remcos, FormBook, SnakeKeylogger, AgentTesla, DarkCloud e XWorm. Tutte le operazioni sono state condotte tramite email con allegati dannosi.

Anche il tema Documenti, impiegato in sette campagne (tre italiane), ha continuato a essere sfruttato per la diffusione di malware come Remcos, Guloader, AgentTesla, FormBook e Modiloader, mentre i due casi di phishing hanno preso di mira i brand Microsoft e Interactive Brokers.

Infine, il tema Ordine, rilevato in sei campagne malware, ha veicolato AgentTesla, Remcos, FormBook e PureLogs, mentre una singola campagna di phishing ha preso di mira gli utenti di cPanel.

Tra gli eventi di particolare interesse, il CERT-AGID ha individuato una campagna di phishing che abusa del nome e del logo della Banca d’Italia, presentandosi come piattaforma per l’aggiornamento dei dati personali “in conformità alle nuove disposizioni antiriciclaggio”.

La pagina fraudolenta propone un elenco di istituti bancari reali, invitando l’utente a selezionare il proprio per sottrarre le credenziali di accesso.

Un’altra campagna rilevante ha coinvolto l’Agenzia delle Entrate, con email che simulano un servizio di “Dichiarazione Fiscale Criptovalute”. Le pagine malevole mirano al furto di wallet crypto e alla raccolta di dati sensibili, tra cui nome, codice fiscale, email e numero di telefono.

Fonte: CERT-AGID

Contestualmente, è stata osservata una seconda campagna che sfrutta sempre il nome dell’Agenzia delle Entrate, con la promessa di un rimborso di 1.495,39 euro.

Anche in questo caso la pagina consente di scegliere tra undici istituti di credito reali, inducendo le vittime a inserire le proprie credenziali bancarie.

Malware della settimana

Nel periodo analizzato sono state individuate 12 famiglie di malware.

Tra le più diffuse figura Remcos, protagonista di otto campagne: quattro italiane a tema “Documenti”, “Delivery”, “Banking” e “Ordine”, e quattro generiche a tema “Pagamenti”, “Fattura” e “Delivery”, diffuse tramite email con allegati ZIP, Z, RAR, XZ, IMG, DOCX o tramite siti con finti Captcha.

Segue AgentTesla, rilevato in tre campagne italiane (“Ordine” e “Pagamenti”) e quattro generiche (“Fattura”, “Ordine”, “Documenti”), diffuse tramite allegati ZIP, TAR, RAR e IMG.

FormBook è stato utilizzato in due campagne italiane e quattro generiche, con allegati 7Z, RAR, Z e PDF, mentre DarkCloud è comparso in quattro campagne generiche a tema “Prezzi”, “Contratti”, “Fattura” e “Pagamenti”. Altre quattro campagne hanno diffuso XWorm, con file RAR, ZIP, Z e ZST.

Fonte: CERT-AGID

Due campagne italiane di Copybara e due di Herodotus a tema “Banking” sono state invece veicolate via SMS, con link che conducevano al download di APK malevoli.

Completano il quadro le campagne Guloader, Modiloader, PureLogs, PhantomStealer e SnakeKeylogger, diffuse per lo più via email con allegati compressi.

Phishing della settimana

Sono 26 i brand coinvolti nelle campagne di phishing tra il 1° e il 7 novembre.

Le più frequenti hanno sfruttato i nomi di PagoPA, Agenzia delle Entrate e iCloud, insieme alle consuete campagne di webmail non brandizzate, che continuano a rappresentare una porzione significativa delle minacce rilevate nel panorama italiano.

Formati e canali di diffusione

L’analisi dei vettori di attacco conferma la netta predominanza degli archivi compressi come strumento di diffusione dei contenuti malevoli.

Nel periodo considerato sono state individuate 16 tipologie di file, con ZIP al primo posto (9 utilizzi), seguito da RAR (5). Con 4 utilizzi figurano TAR, APK e Z, mentre 7Z è stato osservato in 3 campagne.

Fonte: CERT-AGID

I formati IMG e DOCX compaiono due volte, mentre XML, GZ, WIM, XZ, PDF, BZ2, LZH e ZST sono stati impiegati in un solo caso ciascuno.

La posta elettronica resta il principale canale di distribuzione, utilizzato in 87 campagne su 91, mentre quattro operazioni sono state condotte tramite SMS.

Condividi l'articolo