Analisi editoriale · Fonti primarie
Campagne facilitate da Integrity Tech: un nuovo avviso congiunto, non una singola nuova violazione
Un avviso congiunto di 58 pagine consolida le prove di più indagini su campagne di lunga durata che hanno combinato scansione automatizzata, infrastrutture compromesse e sfruttamento manuale per sottrarre dati sensibili in tutto il mondo.
Fatti confermati e cronologia
L’8 ottobre 2026 FBI, CISA, NSA e agenzie partner hanno pubblicato un avviso congiunto basato su prove tecniche provenienti da più indagini dell’FBI. Secondo l’avviso, attori facilitati da Integrity Technology Group hanno colpito organizzazioni governative, manifattura critica, sanità, salute pubblica, tecnologia dell’informazione, forze dell’ordine, istruzione ed enti religiosi in diverse regioni. L’attività risale almeno a gennaio 2021; si tratta di una nuova divulgazione e di un nuovo pacchetto difensivo, non della prova di una singola nuova intrusione avvenuta l’8 ottobre. [1] [2] [3]
Chi deve valutare l’esposizione?
La verifica prioritaria riguarda le organizzazioni che gestiscono applicazioni web esposte a Internet, servizi VPN o di accesso remoto, interfacce Microsoft Exchange e sistemi legacy associati alle CVE elencate nell’avviso. I difensori dovrebbero confrontare gli indicatori pubblicati con la telemetria conservata di DNS, proxy, identità, endpoint e servizi di posta, sapendo che una corrispondenza è un elemento investigativo e non una prova di compromissione. L’assenza di corrispondenze non equivale a un esito negativo se i log pertinenti sono scaduti. [1]
Impatto sulla missione e sulla governance
Il modello di campagna mira a dati sensibili e accesso duraturo, non soltanto a interruzioni immediate. Per i CISO, la questione di governance è se i responsabili dei dati critici, dei servizi esposti e della risposta agli incidenti condividano un inventario autorevole e un percorso decisionale chiaro. I consigli di amministrazione dovrebbero chiedere se ogni servizio non supportato abbia un responsabile del rischio approvato, se i controlli di identità coprano tutte le interfacce Exchange e di accesso remoto e se la telemetria sia conservata abbastanza a lungo da indagare attività storiche.
Priorità di risposta e incognite
Prima preservare le prove, poi cercare attività usando l’avviso completo e gli indicatori leggibili dalle macchine; verificare account privilegiati e di servizio, software VPN inatteso, accessi sospetti alle caselle di posta e preparazione insolita dei dati. Correggere o ritirare i servizi legacy esposti, disattivare porte e interfacce inutilizzate, imporre MFA resistente al phishing ove possibile e provare il contenimento senza distruggere reperti forensi. Le agenzie attribuiscono l’ecosistema facilitatore e descrivono attività coerenti con diversi nomi pubblici di cluster, ma avvertono che le etichette commerciali non hanno una corrispondenza uno-a-uno. L’avviso non fornisce un elenco completo delle vittime né dimostra che ogni organizzazione con un prodotto interessato sia stata compromessa. [1]
Fonti
- FBI, CISA, NSA and international partners — Chinese Government-linked Cyber Threat Actors Combine Automated and Hands-on Hacking Tools to Steal Sensitive Data, AA26-281A, 8 October 2026 (accessed 9 October 2026)
- UK National Cyber Security Centre — China-linked malicious actors called out by UK and international partners for targeting sensitive data globally, 8 October 2026 (accessed 9 October 2026)
- U.S. National Security Agency — NSA Joins FBI and Others to Provide Guidance to Mitigate Chinese Government-linked Actors Targeting Sensitive Data, 8 October 2026 (accessed 9 October 2026)