← Torna al Blog

Briefing Sicurezza, 22 aprile 2026: sfruttamento Cisco SD-WAN, violazione France Titres e furto NFC con NGate

Il quadro delle minacce di stamattina è brutto in un modo fin troppo familiare. L’infrastruttura edge continua a essere colpita, i dati pubblici di identità restano un obiettivo redditizio e i flussi di pagamento mobile vengono trasformati in binari di furto.

---

---

1. La CISA afferma che un’altra falla Cisco Catalyst SD-WAN è attivamente sfruttata

BleepingComputer riporta che la CISA ha aggiunto CVE-2026-20133 di Cisco Catalyst SD-WAN Manager al catalogo KEV sulla base di prove di sfruttamento attivo. Cisco aveva descritto il difetto come un problema di disclosure dovuto a restrizioni insufficienti sull’accesso al file system. Il messaggio operativo vero è più semplice: i piani di gestione esposti restano punti di ingresso di grande valore.

• Se usi Cisco SD-WAN, il patching non può restare nella pila del “poi vediamo”.
• Controlla l’esposizione delle interfacce di gestione e applica anche le indicazioni CISA di hunt e hardening.
• Tratta attività recenti SD-WAN, modifiche di configurazione e accessi API anomali come segnali da incident response.

---

2. France Titres conferma una violazione che coinvolge dati di account dei cittadini

France Titres, l’agenzia francese dietro flussi chiave di identità e registrazione, ha confermato una violazione dopo che un attore ha dichiarato di vendere dati. Secondo quanto citato da BleepingComputer, i dati potenzialmente esposti includono ID di login, nomi, email, date di nascita, identificatori di account e, per alcune persone, indirizzi, telefoni e luogo di nascita. È esattamente il tipo di dataset che alimenta phishing, impersonificazione e abuso del recupero account.

• I portali governativi non sono solo storie di privacy, sono storie di operazioni di identità.
• Qualsiasi organizzazione che si affidi a workflow documentali o civici deve prepararsi a campagne successive di phishing e social engineering.
• I team di sicurezza dovrebbero avvisare che il contatto “ufficiale” dopo una violazione pubblica può diventare la fase successiva dell’attacco.

---

3. NGate torna, nascosto in un’app di pagamento NFC trojanizzata

La ricerca di ESET ripresa da BleepingComputer mostra una nuova variante Android di NGate che usa una versione malevola di HandyPay per rubare dati carta NFC e PIN, con campagne concentrate sul Brasile. Il punto importante non è solo la famiglia malware. È l’economia dell’attaccante: un workflow applicativo legittimo può essere riusato a basso costo e con meno rumore per catturare dati che poi abilitano pagamenti non autorizzati o frodi di cash-out NFC.

• Tratta gli APK sideloaded e le false pagine Play come un canale attivo di frode finanziaria, non come un tema secondario.
• La comunicazione di sicurezza mobile dovrebbe dire chiaramente di non impostare mai app sconosciute come app di pagamento predefinita.
• Banche e team enterprise mobile dovrebbero monitorare attivazioni NFC insolite, cambi di app di pagamento ed esche focalizzate sul Brasile.

---

Cosa dovrebbero fare oggi i team di sicurezza

1. Verifica se esistono istanze di Cisco Catalyst SD-WAN Manager esposte, non patchate o senza le indicazioni più recenti di hunt.
2. Allinea supporto, identity e fraud sui probabili phishing successivi alla violazione di France Titres.
3. Invia linee guida mobile su abuso NFC, APK sideloaded e prompt per app di pagamento predefinite.
4. Inquadra tutte e tre le storie allo stesso modo: i workflow fidati di admin, identità e pagamento restano la strada più pulita verso il danno.

---

---

Bottom line: In sintesi: il filo comune di oggi non è una magia malware esotica. Gli attaccanti stanno abusando di workflow che i difensori continuano a trattare come normali, fidati e poco drammatici. Ed è proprio questa assunzione che continua a far male.