Leroy Merlin subisce un attacco informatico: dati personali di clienti francesi compromessi
Un’episodio di cyberattacco ha interessato Leroy Merlin, coinvolgendo i dati personali di numerosi clienti in Francia, con un impatto su centinaia di migliaia di individui.
Leroy Merlin assicura che “sono state attivate misure di sicurezza supplementari” con una vigilanza rafforzata, “la protezione dei dati è una priorità assoluta per il marchio”, aggiunge la direzione, precisando che anche la CNIL (Commissione nazionale per l’informatica e le libertà) è stata informata della situazione.
I dati rubati sono relativi soprattutto a informazioni di contatto, quali date di nascita, numeri di telefono, indirizzi di posta elettronica, nomi, domicili e informazioni sul programma fedeltà.
Queste informazioni sono sufficienti a supportare campagne di phishing molto credibili, Frodi su misura e tecniche di ingegneria sociale che usano la reputazione di affidabilità di uno dei marchi più sicuri e popolari nel settore del bricolage e dei prodotti per la casa e il giardino.
L’azienda ha comunicato agli interessati la violazione riportando quanto segue: “Un attacco informatico ha recentemente preso di mira il nostro sistema informativo e alcuni dei vostri dati personali potrebbero essere trapelati all’esterno dell’azienda. Non appena l’incidente è stato rilevato, abbiamo adottato tutte le misure necessarie per impedire accessi non autorizzati e contenere la situazione. Le informazioni in questione sono i tuoi dati di contatto (nome, cognome, numero di telefono, indirizzo e-mail, indirizzo postale, data di nascita) e le informazioni relative al tuo programma fedeltà.”
Sembra che, per fortuna, le informazioni delicate come account, password e dati bancari siano state preservate. I clienti italiani sono stati risparmiati, poiché l’incidente ha coinvolto solo quelli francesi.
La CNIL ha segnalato nell’ultimo rapporto annuale che il numero di violazioni sta aumentando rapidamente nel Paese transalpino. In soli 12 mesi, più di un milione di persone sono state coinvolte e il numero di attacchi riusciti è raddoppiato, passando da 20 a 40.
L'articolo Leroy Merlin subisce un attacco informatico: dati personali di clienti francesi compromessi proviene da Red Hot Cyber.
【Poltronesofà: la comunicazione in seguito a un attacco è customer care】
@informatica@feddit.it
Cosa ha fatto bene Poltronesofà e cosa ha fatto in modo perfettibile. Un caso pratico, reale e fresco per aiutare le organizzazioni a dare le giuste attenzioni ai propri clienti in caso di attacco. Le considerazioni dell’esperto
L'articolo Poltronesofà: la comunicazione in seguito a un attacco è customer
【L’eterno ritorno di Chat Control】
@informatica@feddit.it
Dopo anni di rinvii e modifiche, il Consiglio dell’Unione Europea ha votato a favore della norma contro la diffusione di materiale pedopornografico: ecco come funziona, quali sono i rischi e che cosa succederà adesso
L'articolo L’eterno ritorno di Chat Control proviene da Guerre di Rete.
L'articolo proviene da #GuerreDiRete di
【Session protocol V2: PFS, post-quantum e il futuro della messaggistica privata】
I collaboratori di Session hanno lavorato alla progettazione di un aggiornamento del protocollo Session. Questo aggiornamento affronta ogni punto sollevato dalla community, mantenendo al contempo l'esperienza utente che gli utenti di Sessione si aspettano, tra cui:
- Facile collegamento multi-dispositivo e sincronizzazione dei messaggi tra dispositivi.
- Una semplice procedura per recuperare un account Session utilizzando un'unica password di recupero in caso di smarrimento del dispositivo.
- Garanzia che i messaggi vengano recapitati in modo affidabile e rimangano leggibili da tutti i dispositivi collegati autorizzati.
Oggi annunciamo Session Protocol V2 , un aggiornamento proposto per Session Protocol che mira a reimplementare la segretezza, utilizza la nuova crittografia post-quantistica (PQC) e offre funzionalità di gestione dei dispositivi migliorate per garantire una migliore visibilità e autorizzazione dei dispositivi collegati.
getsession.org/blog/session-pr…
@informatica@feddit.it
OpenDSA Reading, un nuovo tool made in Italy per la dislessia, è stato rilasciato su Ufficio Zero Linux EDU
OpenDSA: Reading è un'applicazione pensata per aiutare i bambini che hanno difficoltà a leggere. Sapete, ci sono alcuni bambini che, pur essendo intelligenti e svegli, fanno più fatica degli altri quando devono leggere un libro o una frase. Questa difficoltà si chiama "dislessia", ed è un po' come avere gli occhiali appannati quando si cerca di vedere qualcosa: le lettere si confondono, si scambiano di posto, e tutto diventa più complicato.
@lorenzodm@mastodon.uno , un giovane divulgatore e Youtuber molto seguito, ha creato questa applicazione proprio per dare una mano a questi bambini. Non con noiose lezioni o compiti da fare, ma con qualcosa di molto più divertente: un gioco!
@scuola@poliverso.org
Grazie a @ufficiozero@mastodon.uno per la segnalazione
La nomina del Referente CSIRT: un passo cruciale per la sicurezza informatica italiana
L’Agenzia per la Cybersicurezza Nazionale (ACN) ha imposto un’accelerazione decisiva per la sicurezza informatica italiana. Con la Determinazione n. 333017/2025, ha formalizzato la figura del Referente CSIRT, il punto di contatto obbligatorio con il CSIRT Italia nell’ambito della Direttiva NIS2.
La finestra temporale è ristretta: dal 20 novembre al 31 dicembre 2025. Questa scadenza non è un mero adempimento, ma un test concreto di resilienza per tutte le organizzazioni NIS2.
In un contesto di minacce in aumento, la capacità di reagire in modo rapido e coordinato è il fattore discriminante tra contenimento del danno e caos operativo.
L’OBBLIGO NIS2: DALLA NOMINA FORMALE ALLA REALTÀ OPERATIVA
Il Referente CSIRT è la figura responsabile della gestione e notifica degli incidenti significativi. La sfida principale non è nominare una persona, ma garantire che questo ruolo sia integrato in un processo di Incident Response (IR) funzionante.
Il Rischio della Conformità Fittizia
La Determina ACN definisce l’obbligo, ma molti aspetti operativi restano in ombra. Il rischio più evidente è la nomina puramente formale, priva di reali capacità operative.
Secondo Riccardo Margarito, Cyber Security Expert in Nais: «La paper compliance è una falsa conformità che nasconde gravi gap operativi. L’obbligo di notifica all’ACN scatta entro le 24 ore dal momento in cui l’incidente è noto. Senza un vero processo IR e di “contenimento dell’incidente” (eradication) a seguito di un’analisi preliminare svolta da un SOC L2-L3, la notifica sarà inevitabilmente tardiva.»
Questo problema è aggravato dall’approccio ancora largamente reattivo e non preventivo in Italia: oltre il 50% delle organizzazioni interviene sulla propria superficie d’attacco solo dopo aver subito un incidente, un’inerzia incompatibile con le tempistiche NIS2.
IL CONTO ALLA ROVESCIA TECNICO: PRONTEZZA NELLE PRIME ORE
La crescente domanda di un Referente CSIRT realmente competente non è un vezzo normativo, ma la risposta diretta a un panorama di minacce sempre più mirato. L‘ACN, ENISA e il CSIRT Italia delineano un ecosistema ad altissima pressione: oltre la metà degli incidenti registrati (53,7%) ha colpito le “entità essenziali” definite dalla NIS2, dimostrando che la criticità normativa funge ormai da vero e proprio faro per gli attaccanti. La PA rimane il bersaglio primario, seguita dal settore sanitario che registra un inquietante +40% di attacchi nel 2025 e il manifatturiero assediato da un aumento del 71% nell’attività criminale.
Sul fronte della prontezza operativa, la vera battaglia non si combatte sulla quantità di notifiche, ma sulla loro qualità. L’esperto Riccardo Margarito sposta il focus dall’evento in sé alla comprensione profonda dell’intrusione: «Il vero ostacolo non è la notifica, ma la qualità del dato che la alimenta. La risposta iniziale non può limitarsi a constatare il danno, ma deve fondarsi su una triade operativa irrinunciabile: Deep Visibility, Automation & Threat Intelligence.»
La figura del Referente CSIRT non deve limitarsi a gestire un allarme, ma deve interpretare l’intera Kill Chain, distinguendo un falso positivo dall’azione mirata di un noto gruppo Ransomware. Margarito definisce la gestione dell’attacco come una vera e propria “Golden Hour”: il momento cruciale in cui si gioca la partita tra la detection del SOC e l’effettivo dispiegamento delle procedure di Incident Response. Se in quell’ora l’azienda non ha la capacità di correlare i segnali o identificare i primi accessi, la notifica all’ACN rischia di essere tardiva o priva dei fondamentali IoC (Indicators of Compromise) e IoA (Indicators of Attack) richiesti. Il dato più allarmante è che in Italia e in Europa, il 74% delle violazioni viene rilevato da terze parti (come il law enforcement) e non dai team interni, un indicatore inequivocabile di una profonda carenza di Self-Detection.
IL LABIRINTO GIURIDICO: REFERENTE CSIRT VS. DPO
La sovrapposizione tra NIS2 e GDPR è una delle criticità maggiori in caso di attacco. In presenza di dati personali, si attivano due figure con mandati distinti: il Referente CSIRT, responsabile verso ACN, il DPO, responsabile verso il Garante Privacy.
Ivana Genestrone, Avvocato e DPO, consulente legale per Nais, evidenzia il doppio binario normativo: «Il Referente tutela la resilienza dei servizi essenziali e notifica gli incidenti significativi secondo NIS2. Il DPO valuta l’impatto sui dati personali e supporta il soggetto nella fase di valutazione dell’evento/incidente, della sua qualificazione come Data Breach e della eventuale necessità di procedere anche con la comunicazione agli interessati.
La categorizzazione dell’incidente: lo snodo critico
Nelle prime ore è essenziale classificare correttamente l’evento come: incidente NIS2, data breach GDPR, oppure entrambi (caso frequente nei ransomware).
Il problema è che senza competenze integrate, molte aziende non riescono a categorizzare correttamente l’incidente, ritardando una delle due notifiche.
Sulla gestione della crisi, Genestrone è netta: «L’analisi tecnica del Referente – IoC , impatto, categorizzazione – deve alimentare immediatamente la valutazione legale del DPO. Senza un flusso decisionale chiaro, il rischio è una doppia sanzione: per mancata conformità NIS2 e per gestione errata del data breach.»
LA FUGA DI COMPETENZE E IL TREND DELL’OUTSOURCING
Dal confronto quotidiano con le imprese, Nais – specializzata in servizi gestiti cyber e IT – registra una costante: la criticità non è solo normativa o tecnologica, ma soprattutto umana.
La carenza di competenze cyber è strutturale: le aziende faticano a trovare profili qualificati e i team interni assorbono nuove responsabilità senza adeguata formazione, anche in vista della NIS2. Ne deriva un divario crescente tra richieste normative e capacità operative.
In assenza di figure ibride capaci di unire competenze legali e tecniche, l’esternalizzazione emerge come risposta pragmatica per garantire la conformità.
«Il mercato italiano è molto eterogeneo: accanto alle realtà più strutturate c’è un ampio tessuto di PMI che si confronta con la NIS2 senza risorse dedicate», osserva Bianca Amico di Meane, Head of Marketing & Business Development di Nais. «La difficoltà è sempre la stessa: trovare una figura che unisca aspetti legali e tecnici. Per molte aziende questa combinazione non è costruibile internamente. L’esternalizzazione a un Referente CSIRT As-a-Service non significa acquistare una persona, ma un ecosistema: playbook, competenze integrate, SOC e Incident Response».CONCLUSIONE: L’ORA DELLA VERITÀ OPERATIVA
La scadenza di fine dicembre 2025 non è negoziabile. La nomina del Referente CSIRT è la formalizzazione del punto nevralgico della risposta cyber nazionale. Le aziende soggette alla NIS2 devono comprendere che trattare questa figura come una semplice incombenza amministrativa espone l’organizzazione a un rischio inaccettabile, specialmente in un contesto di minacce incessanti (ACN, ENISA).
La vera conformità NIS2 richiede un Referente CSIRT con autorità esecutiva, supportato da un processo di Incident Response validato e da una sinergia impeccabile con la funzione legale (DPO). Quando si verifica l’incidente, la velocità con cui vengono raccolti gli IoC e notificati all’ACN è la differenza tra la resilienza e la sanzione.
La nomina del Referente CSIRT non è un semplice adempimento formale, ma una funzione critica per garantire la resilienza cyber nelle prime ore dell’incidente. Richiede competenze legali, tecniche e di coordinamento integrate – molto più della semplice “nomina”.
L'articolo La nomina del Referente CSIRT: un passo cruciale per la sicurezza informatica italiana proviene da Red Hot Cyber.
La Sorveglianza Digitale sui Lavoratori sta Arrivando: Muovi il Mouse più Veloce!
Il lavoro da remoto ha dato libertà ai dipendenti, ma con essa è arrivata anche la sorveglianza digitale.
Ne abbiamo parlato qualche tempo fa in un articolo riportando che tali strumenti di monitoraggio stanno arrivando anche all’interno di Microsoft teams. Pertanto, al posto dello sguardo fisso del capo, questo ruolo verrà sempre più svolto dagli “algoritmi” che monitoreranno per quanto tempo le applicazioni rimangono aperte, quali siti web vengono visitati e con quanta attività viene mosso il mouse e premuto i tasti.
Sistemi avanzati analizzano persino le espressioni facciali e il modo in cui i dipendenti camminano davanti a una webcam. Ma questi strumenti sottolineando al tempo stesso i limiti intrinseci della raccolta di dati personali.
Tuttavia, per molti lavoratori, tale monitoraggio non è visto come una preoccupazione, ma come una sfiducia e una violazione della privacy. Sondaggi e dati dell’American Psychological Association collegano la sorveglianza costante a un aumento dello stress, a un peggioramento del benessere psico-emotivo e al desiderio di lasciare il lavoro.
La necessità di trasmettere immagini da webcam o informazioni mediche sensibili è particolarmente pressante. Le persone chiedono spiegazioni chiare sul motivo per cui i dati vengono raccolti e con chi possono essere condivisi.
Lo sguardo gelido degli algoritmi non è meno pericoloso. I programmi mancano di contesto e scambiano facilmente telefonate o documenti per inattività. Questo porta i dipendenti a fingere un’attività frenetica per il bene degli indicatori di performance, e gli esperti del National Employment Law Project degli Stati Uniti hanno documentato casi di sanzioni ingiustificate e difficili da contestare quando la decisione viene effettivamente presa dal sistema.
Nei magazzini e nella logistica, dove ogni movimento è digitalizzato, la pressione è particolarmente intensa: la fretta di rispettare gli standard si traduce in dolore fisico, affaticamento e burnout. Secondo NELP, la sorveglianza digitale ha anche un impatto sui diritti dei lavoratori, ostacolando l’organizzazione dei lavoratori e fornendo alle aziende uno strumento per la rilevazione precoce dell’attività sindacale, con il pretesto di analizzare altri parametri.
Le regole del gioco stanno cambiando lentamente. Negli Stati Uniti, i datori di lavoro sono tenuti a fornire un avviso sulla raccolta dei dati, ma questi requisiti sono limitati, quindi gli stati stanno cercando di introdurre misure di salvaguardia proprie. La California sta discutendo di vietare i sistemi che riconoscono emozioni, andatura o espressioni facciali e trasmettono dati a terzi.
Nel frattempo, il Massachusetts sta promuovendo una legislazione che proteggerebbe i lavoratori dall’abuso della sorveglianza digitale. Nel frattempo, le autorità federali stanno cercando un approccio unificato alla regolamentazione dell’intelligenza artificiale, il che potrebbe indebolire le iniziative locali. Pertanto, l’interesse per la contrattazione collettiva come mezzo valido per combattere la sorveglianza eccessiva sta crescendo.
I sostenitori di un approccio più cauto insistono sul fatto che tali strumenti siano significativi solo quando aiutano a identificare le tendenze generali e a migliorare i processi, piuttosto che trasformare le persone in parametri. Dove rispetto, autonomia e condizioni di lavoro sicure permangono, la produttività emerge in modo naturale, senza una telecamera onnipresente che controlla ogni mossa.
L'articolo La Sorveglianza Digitale sui Lavoratori sta Arrivando: Muovi il Mouse più Veloce! proviene da Red Hot Cyber.
Il furto al Louvre: quando i ladri insegnarono il Physical Pen Test a tutto il mondo
L’evento che ha scosso il mondo il 19 ottobre 2025 non è stato un disastro naturale o un crollo finanziario, ma il clamoroso furto dei gioielli di Napoleone dal Museo del Louvre. Al di là del valore storico e artistico, per la comunità della cybersecurity, questo episodio rappresenta il più didattico e costoso caso studio di Physical Pen Test dell’anno.
Il Louvre, con i suoi protocolli di sicurezza multistrato, sensori avanzati (biometrici, sismici, a infrarossi) e un team di vigilanza d’élite, può essere concettualizzato come l‘equivalente fisico di una rete aziendale con un’architettura Zero Trust e un WAF/Firewall di ultima generazione. La sua violazione dimostra che la vera resilienza non si basa sulla singola tecnologia, ma sull’integrazione e la verifica continua di processi, persone e tecnologie.
Tutto inizia dall’Open Source Intelligence
Un attacco di successo come quello al Louvre non inizia con l’azione, ma con una meticolosa raccolta di informazioni. Questo è l’equivalente dell’Open Source Intelligence nel dominio digitale.
Gli autori del furto hanno verosimilmente speso mesi, se non anni, a studiare la “superficie d’attacco” fisica tramite un’Identificazione Passiva e Attiva. Hanno analizzato i cicli di pattugliamento, le consegne e i cambiamenti di turno, spesso individuabili tramite semplici osservazioni o fonti social inattese, oltre ai “punti ciechi” delle telecamere di sorveglianza.
Chi si occupa di cybersecurity non può non notare un parallelo diretto con le TTP di un APT che effettua un fingerprinting dei target con mappatura dei sottodomini, analisi dei metadati dei documenti pubblici e lo studio dei profili social dei dipendenti chiave per identificare tecnologie e vulnerabilità comportamentali. L’attacco avviene solo quando il Threat Model è completo e verificato. L’obiettivo non è cercare un exploit ovvio, ma costruire un modello di minaccia completo e predittivo che permetta di agire con un’alta probabilità di successo e una bassa probabilità di rilevamento.
Una volta completata la ricognizione, il passo successivo è l’ingresso. Il fatto che il caveau sia stato raggiunto senza un’effrazione fisica eclatante indica un bypass sofisticato delle difese primarie.
Dal bypass tecnologico alle persone
I sistemi di sicurezza fisica, come quelli digitali, sono vulnerabili non per la loro esistenza, ma per la loro configurazione. Aggirare un sensore di movimento con un movimento al di sotto della soglia di rilevamento o neutralizzare un allarme sfruttando una temporizzazione difettosa tra i turni, è l’equivalente di sfruttare un WAF Bypass o una vulnerabilità di HTTP Request Smuggling dove un payload ambiguo passa inosservato.
Verosimilmente potrebbe essere stata sfruttata una debolezza nel firmware di un componente di sicurezza o un difetto logico nel protocollo di comunicazione degli allarmi: il “difetto zero-day” del sistema di allarme fisico. In sostanza è stato abusato il protocollo di sicurezza piuttosto che la sua robustezza fisica.
Ma l’attacco non è completo senza affrontare l’anello più debole della catena. Qui entra in gioco l’elemento più critico e dove l’analogia con la cybersecurity è più cruda.
Le speculazioni sull’uso di uniformi contraffatte o l’infiltrazione mirata di un insider evidenziano l’efficacia della manipolazione comportamentale.
Tra Tailgating e Social Engineering
Il concetto di Tailgating o Piggybacking non è solo seguire una persona autorizzata attraverso un accesso. In questo caso si presume una forma di Tailgating Sofisticato:
Falsa Identità Accreditata: Utilizzare abiti da manutentore o da addetto alle pulizie, ruoli con accesso ampio ma bassa sorveglianza, è l’equivalente di compromettere una Service Account a basso privilegio ma con accesso a una vasta porzione della rete interna.
Sfruttamento della Buona Fede: Un accesso avvenuto con l’inganno si basa sulla riluttanza umana a confrontarsi con una persona che sembra “appartenere” a quell’ambiente. Questo bypassa controlli d’accesso biometrici e tesserini magnetici, sfruttando la debolezza del sistema più complesso: la percezione umana.
Puoi spendere milioni in tecnologie, ma se non testi la tua Security Awareness e le procedure di verifica del personale contro il Social Engineering, la sicurezza fallirà sempre sull’anello umano.
Superato l’ostacolo umano, il successo finale non è l’accesso, ma l’esfiltrazione dei “Crown Jewels” senza intercettazione. Muoversi all’interno del museo senza innescare gli allarmi interni o essere intercettati dalle guardie di sicurezza, l’equivalente del Blue Team / SOC, richiede la conoscenza esatta delle vie di fuga e dei punti ciechi. È necessario intraprendere un Lateral Movement non convenzionale.
Il metodo di uscita, immortalato nel video che mostra i ladri scendere utilizzando la scala del camion per i “lavori”, è emblematico, è l’analogo digitale di un Command and Control Channel mascherato in traffico legittimo come, ad esempio, DNS o ICMP Tunneling. L’esfiltrazione è stata rapida e chirurgica, minimizzando il tempo in cui i ladri erano esposti ai sensori, esattamente come un APT riduce al minimo la permanenza sulla rete dopo il raggiungimento dell’obiettivo.
La Sicurezza come Paranoia Positiva
Dall’OSINT al C2 passando per il Social Engineering, il furto al Louvre è la prova definitiva che la sicurezza, in qualsiasi dominio, non è uno stato statico, ma un processo continuo di convalida e miglioramento. La fiducia nelle barriere difensive, il “Firewall Fisico“, ha portato a una compiacenza che è stata sfruttata.
Per la comunità della cybersecurity questo evento rafforza il principio che i controlli devono essere testati regolarmente da una prospettiva offensiva. Solo un rigoroso programma di Penetration Test che simuli attacchi a 360 gradi tramite tecnologia, processi e persone può esporre le lacune che, altrimenti, verrebbero sfruttate dal prossimo APT con gli strumenti giusti.
La sicurezza fallisce sempre per mancanza di immaginazione ed i ladri del Louvre ci hanno appena ricordato di espandere la nostra
L'articolo Il furto al Louvre: quando i ladri insegnarono il Physical Pen Test a tutto il mondo proviene da Red Hot Cyber.
Connector-Free Zone: PCB Edge as USB-C Interfaces
Sometimes when you’re making a PCB that you plan on programming over USB, but you only plan on plugging in a couple of times, it would be nice to make that connection without another BOM item. Over on GitHub [AnasMalas] has released a PCB edge USB-C connection symbol/footprint to do just that!
This isn’t the first PCB edge USB-C connector we’ve seen, but this one has some nice features. It’s available in both KiCad and EasyEDA formats, allowing you to easily add it into your preferred ECAD software. As well as supporting multiple software packages, there are two versions included: a 10-pin and 14-pin version. The 10-pin version has, on each side, 2 USB voltage pins, 2 ground pins, and a CC1 or CC2 pin on its respective side; this version is ideal if you’re looking to just supply power via the connector. The 14-pin version has all the pins of the 10-pin version with the addition of four data-positive and data-negative pins needed to relay information to the board, ideal if you’re planning on programming a microcontroller with this connection.
One important note is that, while most PCBs default to 1.6 mm thickness, if you use this connector you’ll need to drop that down to ~0.8 mm to properly interface with a common USB cable. [AnasMalas] also suggests using ENIG board finish to preserve the connectors on your USB cable.
For such a small and common connector, USB-C holds a ton of potential. Be sure to check out our series all about USB-C for more details.
Thanks to [Ben] for the tip.
hackaday.com/2025/10/27/connec…
【Fidarsi è bene? I cloni del sito IC3 dell’FBI alimentano la sfida della cyber security】
@informatica@feddit.it
Esistono versioni clonate del sito Internet Crime Compliant Center (IC3) con cui l’FBI raccoglie le denunce di crimini su internet. Uno smacco opportunistico che spinge a chiedersi se è possibile fidarsi dei siti istituzionali
L'articolo Fidarsi è bene? I cloni del sito IC3 dell’FBI alimentano
Cybersecurity & cyberwarfare