← Torna al blog

Briefing sicurezza, 20 aprile 2026: violazione Vercel, e-mail phishing Apple e rallentamento CVE del NIST

Il quadro di stamattina riguarda l’erosione della fiducia. Una piattaforma cloud sta gestendo accuse di compromissione, il canale e-mail della stessa Apple viene usato per phishing e la pipeline delle vulnerabilità è sotto abbastanza pressione da spingere il NIST a ridurre l’arricchimento dei casi meno prioritari.

---

---

1. Vercel ha confermato una violazione dopo che gli attaccanti hanno iniziato a vendere dati

BleepingComputer ha riferito che Vercel ha divulgato un incidente di sicurezza dopo che attori malevoli hanno affermato di aver compromesso i sistemi e di voler vendere dati rubati. Anche senza uno scope pubblico completo, la lezione difensiva è semplice: l’accesso a piattaforme cloud e developer è accesso di produzione.

• Esaminate token collegati a Vercel, chiavi API, segreti di build e attività amministrative recenti.
• Ruotate le credenziali legate alle pipeline di deploy se il vostro ambiente tocca la piattaforma.
• Chiedete ai fornitori scope concreto, classi di dati coinvolte e una timeline reale.

---

2. Gli avvisi Apple di modifica account sono stati abusati per phishing più credibile

Gli attaccanti hanno trovato un modo per abusare delle notifiche legittime Apple sui cambi di account, facendo viaggiare contenuti di phishing dentro e-mail inviate dall’infrastruttura Apple. Conta perché sia gli utenti sia i filtri si fidano del mittente. Un indirizzo reale non garantisce un messaggio sicuro.

• Avvisate gli utenti che anche marchi affidabili possono trasportare contenuti modellati dagli attaccanti.
• Regolate sicurezza mail e formazione su contenuto e link, non solo sulla reputazione del mittente.
• Date priorità a MFA resistente al phishing per Apple ID e altri account collegati ad acquisti, dispositivi o recupero.

---

3. Il NIST riduce il punteggio delle vulnerabilità meno prioritarie

Il NIST ha detto che smetterà di assegnare valutazioni complete di gravità ai CVE meno prioritari perché il volume delle segnalazioni è aumentato molto. The Hacker News ha citato un aumento del 263% tra il 2020 e il 2025. Le squadre che dipendono troppo dall’arricchimento NVD dovranno rafforzare il triage interno.

• Non bloccate decisioni di patch per l’assenza di punteggio NVD se il percorso di sfruttamento è già chiaro.
• Rafforzate il triage interno con advisory dei vendor, stato KEV, esposizione degli asset e sfruttabilità.
• Aspettatevi più rumore nel backlog e aggiornate i dashboard che presumono punteggi completi per ogni nuovo CVE.

---

Cosa dovrebbero fare oggi i team di sicurezza

1. Verificate se sistemi di produzione o CI/CD dipendono da Vercel e ruotate prima i segreti esposti.
2. Inviate un breve avviso phishing spiegando che anche e-mail Apple legittime possono essere abusate.
3. Rivedete i workflow vulnerabilità che dipendono dal punteggio NVD e rimuovete attese evitabili.
4. Spiegate alla leadership il tema comune: i canali fidati fanno ormai parte della superficie d’attacco.

---

In sintesi: Oggi ricorda che la sicurezza si rompe quando i difensori delegano fiducia con troppa facilità a piattaforme cloud, e-mail ufficiali o sistemi pubblici di scoring. Verificate di più, presumete di meno.