Apertura · La fisionomia della giornata

Il vostro incidente è avvenuto in un'azienda che non avete mai sottoposto ad audit

Il servizio nazionale francese per il sangue, una banca francese, sei compagnie aeree e un fornitore di hosting hanno vissuto un brutto mercoledì, e in ogni caso l'intrusione era avvenuta altrove.

attendibilità 0.88

Il servizio nazionale francese per il sangue ha confermato che un attacco informatico a Coolworld, la società che si occupa della manutenzione delle sue celle frigorifere, ha alterato le impostazioni di temperatura e di scongelamento in tre sedi, mettendo a rischio gli emoderivati conservati; secondo l'allerta di Hackmanac, i congelatori sarebbero stati riprogrammati per raggiungere i 110°C. Non si tratta di una violazione di dati accompagnata da una lettera di scuse. È un software che, attraverso un contratto di manutenzione, arriva a toccare qualcosa di fisico, ed è di gran lunga l'episodio più rilevante delle ultime ventiquattro ore.

Non è stato un caso isolato. Crédit Mutuel Arkéa ha confermato che gli aggressori hanno effettuato bonifici utilizzando il conto della stessa banca dopo aver compromesso un fornitore non identificato, con perdite riferite pari a 133 milioni di dollari (118 milioni di euro). Japan Airlines, Cathay Pacific, Korean Air, Asiana, Singapore Airlines e Malaysia Airlines hanno tutte reso nota nell'ultima settimana una violazione riconducibile ad Amadeus IT Group. I server di aggiornamento di OpsShield sono stati raggiunti con credenziali compromesse e diverse versioni di cPGuard sono state avvelenate. Gli script del launcher per PC di NIKKE sono stati manomessi per distribuire stealer di credenziali e di wallet. DreamHost ha avuto gli aggressori all'interno della propria piattaforma File Manager per due mesi e ha perso nomi utente e password FTP/SFTP dei clienti.

Lo chiamiamo rischio di terze parti, il che è un errore di categoria, e l'errore ha conseguenze concrete. La terza parte non è ai margini del vostro ambiente. È dentro il vostro ambiente, con un account di servizio, una VPN, un canale di aggiornamento e, in almeno un caso questa settimana, l'accesso in scrittura a un termostato. Il vostro perimetro di controllo si ferma dove si ferma il contratto. Quello dell'avversario no, ed è l'intero suo modello di business e gran parte del nostro.

Perché è rilevanteCostoruite l'elenco dei fornitori in grado di modificare lo stato del vostro patrimonio informatico — aggiornamenti, gestione remota, sistemi degli edifici — e create allarmi sulle modifiche di configurazione effettuate dai loro account, non solo sugli accessi.

Prove

Today’s revelation

La gestione del rischio di terze parti è la convinzione che un questionario restituito ad aprile governi un controllore di refrigerazione a novembre.

— Sturgeon's Revelations · Probably Fine Daily No. 39

§2

Notizie principali

Il resto delle ultime 24 ore, prove alla mano.

Vulnerabilità

La CISA afferma che WordPress Core viene sfruttato durante gli aggiornamenti e, già che c'è, aggiunge un bug Apple vecchio di due anni

La CISA ha aggiunto al catalogo delle Known Exploited Vulnerabilities (KEV) la CVE-2026-119977, una falla ad alta gravità di tipo time-of-check-time-of-use in WordPress Core, con punteggio CVSS 8.1, sfruttata in the wild durante gli aggiornamenti del software. Nella stessa finestra KEV è stata aggiunta la CVE-2024-27834, una falla di autenticazione impropria in Apple iOS, iPadOS, macOS, Safari, tvOS e watchOS 10.5 che consente a un aggressore con capacità di lettura e scrittura arbitrarie di aggirare la pointer authentication, con un EPSS di 0.00598. Nel frattempo un canale Telegram ha passato la serata a pubblicizzare che «uno strumento che sfrutta tre recenti vulnerabilità di WordPress sarà rilasciato a breve», citando CVE-2026-63030 e CVE-2026-60137, insieme a uno strumento più datato per Struts, CVE-2017-5638, corredato di URL di bersagli attivi.

Perché è rilevanteAggiornate subito WordPress Core e trattate lo stesso percorso di aggiornamento come raggiungibile dall'attaccante; la voce KEV di Apple è l'ultimo anello di una catena, non il primo, quindi cercate la primitiva di lettura/scrittura che la precede.

attendibilità 0.92

Prove

Attori delle minacce

APT29 ha dirottato uno script di analytics, e al resto ha pensato il telefono

Il TDR di Sekoia descrive una campagna di watering hole su larga scala attribuita ad APT29, che sfrutta tre vettori di infezione: siti legittimi compromessi, impersonificazione in stile adversary-in-the-middle di domini di alto profilo e una compromissione della supply chain del servizio ucraino di web analytics Plerdy SEO Tracker. Lo script iniettato consegnava ai visitatori, in modalità zero-click, exploit n-day per iOS e Android, installando DarkSword e AndroSnitch per sottrarre cookie del browser, password Wi-Fi e dati del dispositivo. Quattro tipologie di fonte distinte l'hanno riportata nell'arco di cinque ore, il che, una volta tanto, riflette un evento reale e non l'eco di un collettore.

Perché è rilevanteIl mobile rientra nel perimetro: imponete livelli di patch del sistema operativo su qualsiasi dispositivo che legga la posta aziendale e verificate se i vostri siti caricano strumenti di analytics di terze parti che non avete mai censito.

attendibilità 0.82

Prove

Vulnerabilità

Mille switch Zyxel, due falle SonicWall che nessuno correggerà e una lunghissima coda di patch

Zyxel ha corretto uno zero-day negli switch della serie GS1900 che gli aggressori hanno usato per compromettere quasi 1.000 dispositivi in tutto il mondo e rubare file di configurazione e credenziali. SonicWall ha confermato due falle in Global Management System 9.5.2 e versioni precedenti, giunto a fine vita, che non verranno corrette affatto: la CVE-2026-109593, una lettura di file non autenticata con CVSS 9.1, e la CVE-2026-109594, una SQL injection autenticata, con la migrazione a NSM indicata come rimedio. Seguono: un bypass dell'autenticazione di Barracuda ESG concatenabile con una command injection nel campo del fuso orario fino a ottenere i privilegi di root; una falla di APT nelle configurazioni predefinite di Debian 12+ e Ubuntu 22.04+ (CVE-2026-109518) che consente a un man-in-the-middle di sostituire un pacchetto già verificato ed eseguire codice come root; una scrittura di file critica in Rails tramite ImageMagick, corretta nelle versioni 8.1.4.1 e 8.0.5.2; due falle di Xen che permettono a un guest di leggere e scrivere nella memoria di un altro, dom0 compreso, senza alcuna mitigazione disponibile; una RCE critica su Android senza interazione (CVE-2026-58868), corretta al livello di patch 2026-11-01; e Chrome 157 con 213 correzioni di sicurezza, sette delle quali critiche.

Perché è rilevantePrima i dispositivi perimetrali e i gestori di pacchetti: il furto di credenziali da uno switch e l'accesso root tramite un apt-get sono entrambi percorsi da game over che nessun agente EDR sta sorvegliando.

attendibilità 0.90

Prove

Ransomware

Quattro gruppi hanno svuotato la cartella delle bozze martedì, e i tracker l'hanno chiamata ondata

Il conteggio del ritmo di Ninja Signal registra 246 rivendicazioni sui leak site negli ultimi sette giorni da parte di 42 dei 272 gruppi monitorati, con thegentlemen in impennata a 50 rivendicazioni contro le 24.56 attese in base al proprio ritmo precedente, safepay a 18 contro 4.98 e genesis a 9. Separatamente, un gruppo che si definisce BYOD ha rivendicato IHG Hotels & Resorts con una password di bind LDAP «123» e pieno accesso a CyberArk, ripresa da Darkfeed otto ore dopo come incidente «BusinessServices»; nulla di tutto ciò è confermato da qualcuno in grado di saperlo.

Perché è rilevanteContate le vittime, non le pubblicazioni: un caricamento in blocco replicato da due collettori è un unico evento, e il vostro documento per il consiglio di amministrazione non dovrebbe riportarlo come ventisei.

attendibilità 0.78

Prove

IA e sicurezza

948 exploit root per Linux in trenta ore, e gli scanner ora chiedono le chiavi dei vostri modelli

OpenAI ha descritto una pipeline basata su un prossimo modello focalizzato sulla cybersicurezza che ha individuato e analizzato 2,308 potenziali problemi nel kernel Linux, ne ha riprodotte 1,724 come vulnerabilità, ha sviluppato 291 proof-of-concept di information leak e ha convalidato e corretto 948 escalation di privilegi locali, a un costo riferito di 1,2 milioni di dollari in API — sebbene un passaggio citato in circolazione su Mastodon indichi un costo della campagna di circa 32,936 dollari a fronte di una valutazione ipotetica dei bounty tra 18,9 e 66,3 milioni di dollari, quindi leggete il perimetro prima di leggere il numero. Il lato difensivo dello stesso bilancio è più cupo e meglio corroborato: WorkOS, Northflank e Trigger.dev hanno reso noti attacchi legati a token di accesso IA sottratti; un'estensione malevola con il marchio Claude Code (versioni 2.1.313 e 2.1.312) ha distribuito una backdoor SSH attraverso il marketplace di Cursor; Check Point ha individuato «prompt adware» in un pacchetto di jailbreak per Codex che riscrive le istruzioni fidate dell'agente per pubblicizzare un gateway di terzi; e l'operazione KeyHunter ha combinato il furto di credenziali API di LLM con frodi accademiche in 20 università. Sul nostro perimetro, uno scanner ha richiesto per nome /.env.anthropic.

Perché è rilevanteLe chiavi API dei modelli sono ormai credenziali con un centro di costo e un raggio d'azione: ruotatele, limitatene l'ambito e inseritele nell'inventario dei segreti accanto alle chiavi cloud.

attendibilità 0.72

Prove

Attori delle minacce

Il primo rapporto d'incidente di Binance: tre ingegneri, un esercizio di programmazione truccato e mesi di pazienza

SecurityWeek riferisce che il primo rapporto d'incidente di Binance riconduce il furto record di circa 6 miliardi di dollari a una campagna durata mesi che ha compromesso i computer di tre ingegneri, iniziata con un esercizio di programmazione truccato e uno strumento di IA abusato. Le voci nei canali indicano una cifra di circa 6,3 miliardi di dollari al 29 ottobre e sostengono che il precedente record fosse quello di Bybit, con circa 1,5 miliardi nel febbraio 2025, citando per l'attribuzione alla Corea del Nord un rapporto di Chainalysis datato 1 ottobre — date e totali che non combaciano perfettamente, quindi considerate la cifra esatta come quella dell'exchange e il resto come non verificato. Nel frattempo la Corea del Nord ha lanciato missili verso il mare mentre Pyongyang protesta contro le accuse degli Stati Uniti sull'attacco a Binance.

Perché è rilevanteL'accesso iniziale è stato un'esca a forma di offerta di lavoro rivolta a ingegneri con accesso alla produzione; la vostra cultura di onboarding degli sviluppatori e degli esercizi da svolgere a casa è ormai un percorso d'attacco.

attendibilità 0.62

Prove

Politica

Diversi collaboratori della Casa Bianca affittano il proprio indirizzo internet, forse a loro insaputa

Brian Krebs riferisce che diversi collaboratori della Casa Bianca usano computer o dispositivi mobili su cui girano servizi di proxy residenziali, che mettono il proprio indirizzo internet a disposizione di terzi in affitto, secondo gli esperti di sicurezza. Uno di questi servizi proxy è una società russa il cui fondatore gestiva un'attività di web hosting che, nelle parole di Krebs, fu il «ground zero» degli attacchi informatici ai sistemi elettorali dell'Arizona. La notizia è stata ripresa e rilanciata su Telegram la stessa mattina.

Perché è rilevanteGli SDK dei proxy residenziali arrivano insieme a VPN gratuite, giochi e utilità; se la vostra allow-list considera «IP residenziale» sinonimo di innocuo, è diventata un servizio gestito per conto di qualcun altro.

attendibilità 0.78

Prove

Stranezze

Il sito di estorsione di BrainCipher ora si scusa di non sapere chi ha derubato

Diverse inserzioni di BrainCipher su ransomware.live arrivano con descrizioni delle vittime generate dall'IA che si rifiutano di descrivere la vittima: per megastarfinancial.com, «Non dispongo di informazioni verificate e affidabili su un'azienda che opera su megastarfinancial.com»; per ciscocems.com, una nota secondo cui il dominio somiglia superficialmente a Cisco e non si può confermare alcuna affiliazione. Le voci corrispondenti di ransomlook non sono affatto vaghe: citano 32,000 documenti di materiale sui mutuatari in un'inserzione e 243,500 file per oltre 170GB in un'altra, con un indirizzo di contatto cyberfear.com. L'economia dell'estorsione è giunta al punto in cui il testo di vendita è affidato a un modello che ha la decenza di esprimere incertezza, a differenza dell'attaccante.

Perché è rilevanteI metadati dei leak site sono ormai in parte scritti da una macchina, quindi le etichette di settore e di paese nel vostro foglio di monitoraggio sono ipotesi di un LLM e non dati di fatto.

attendibilità 0.80

Prove

§3

Nascosto

La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.

Sotto i feed: una campagna reale, diversi caricamenti in blocco travestiti da ondata criminale e un mercato di rivendicazioni non verificabili.

Exception 01
La «ondata» ransomware di martedì è in gran parte una pubblicazione in blocco replicata due volte
Safepay (26 elementi), Soul (25, tutti riconducibili al solo dominio codice-ledger.io), BrainCipher (19) e N0n (12) raggiungono tutti il picco il 4 novembre a fronte di una mediana di 0–1 negli altri giorni, e ransomware.live in genere precede ransomlook di circa un'ora sugli stessi domini di vittime. Sono volumi di pubblicazione, non incidenti indipendenti.
attendibilità 0.70
Wrong if
Le voci di Soul si risolvono in vittime distinte con domini e settori diversi, oppure le vittime confermano singolarmente le intrusioni.
Watch
Se qualche vittima di Soul o Safepay confermi una violazione, o venga confermata dalla stampa, nei prossimi 3–7 giorni.
Prove
Exception 02
La campagna mobile di APT29 e la nuova voce KEV di Apple non sono collegate da alcuna fonte
APT29 compare su RSS, cyber-news, OTX e Telegram nell'arco di cinque ore, e la CISA ha aggiunto la CVE-2024-27834 di Apple nella stessa finestra. La tentazione di unire i due fatti è forte e priva di fondamento: nessun elemento collega la voce KEV all'insieme di exploit di Sekoia.
attendibilità 0.60Speculative
Wrong if
L'elenco di indicatori o di exploit di Sekoia include la CVE-2024-27834, oppure la CISA cita questa campagna.
Watch
Aggiornamenti di Sekoia e ulteriori aggiunte KEV per iOS o Android nel corso della prossima settimana.
Prove
Exception 03
Le cifre sul costo della generazione di exploit con l'IA non tornano
La stessa pipeline è riferita a 1,2 milioni di dollari di costi API e, in un passaggio citato, a circa 32,936 dollari per la campagna con una valutazione ipotetica dei bounty di 18,9–66,3 milioni di dollari. È probabile che i perimetri differiscano; nessuna fonte lo dice. Il filone dell'IA come bersaglio — token di modelli rubati, estensioni avvelenate, prompt adware — è molto meglio corroborato dell'aritmetica dell'IA come arma.
attendibilità 0.50Speculative
Wrong if
Un resoconto primario chiarisce che le due cifre riguardano perimetri diversi e che entrambe reggono.
Watch
Il resoconto originale del ricercatore e l'eventuale risposta dei manutentori del kernel.
Prove
Exception 04
Un venditore su Telegram prende in prestito lo schema di denominazione di Mandiant
Un canale che pubblicizza un dataset ucraino da 2.285 PB, un set Facebook riciclato da 800 milioni di record e pivot da Slack/Jira verso Google e Motorola opera sotto il nome «UNC6783», un'etichetta che imita un cluster di tracciamento professionale. Prendere in prestito un marchio costa meno che compromettere un obiettivo.
attendibilità 0.55Speculative
Wrong if
Vittime identificate confermano i dati, oppure un fornitore usa pubblicamente UNC6783 per questa attività.
Watch
Dichiarazioni delle vittime e verifica indipendente dei dati campione.
Prove

Nothing to seeNessuna prova di una campagna coordinata tra i gruppi ransomware; la sovrapposizione tra le fonti consiste nelle stesse pubblicazioni replicate due volte. Il cluster delle 04:00 del 5 novembre è una normale ondata di pubblicazioni mattutine. I messaggi sul «capitolo finale» di BreachForums, le rivendicazioni hacktivist su ONU e politica indiana, il segnale sismico di Vanuatu e la nota Shodan su AS35805 sono rumore di fonte singola e nulla è stato costruito su di essi. Il silenzio dell'NVD dopo le 00:31 del 4 novembre è quasi certamente un'ingestione in blocco, non un'interruzione.

Deep read: 572 elementi letti

§4

Previsioni

Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.

Today’s calls

DueSat 14 Nov9 days
Almeno un'altra compagnia aerea, di viaggi o dell'ospitalità rende pubblica una violazione riconducibile ad Amadeus IT Group.
Wrong ifEntro il 14 novembre non compare in questi feed alcuna nuova comunicazione collegata ad Amadeus.
Prove
1. 1Security newsMore Asian airlines announce data breaches after at…
f-2026-11-05-1
Confidence0.60
DueThu 12 Nov7 days
Nessuna fonte autorevole conferma l'esistenza di uno strumento di exploit pubblico e corroborato per le tre CVE di WordPress anticipate da @Ransomwareg (tra cui CVE-2026-63030 e CVE-2026-60137).
Wrong ifUn fornitore o un ricercatore identificato conferma, prima del 12 novembre, l'esistenza di uno strumento pubblico funzionante per quelle CVE.
Prove
f-2026-11-05-2
Confidence0.50
DueThu 12 Nov7 days
IHG Hotels & Resorts non conferma pubblicamente la rivendicazione dell'intrusione da parte di BYOD.
Wrong ifIHG pubblica entro il 12 novembre una dichiarazione o una comunicazione regolamentare che riconosce l'incidente.
Prove
1. 1Telegram🚨 Major breach in UK BusinessServices sector A lead…
f-2026-11-05-3
Confidence0.65

Scorecard

1 right

right
CISA adds at least one further vulnerability to the KEV catalogue by 11 November 2026.
Called Wed 4 Nov · due Wed 11 Nov
CISA KEV added CVE-2024-27834 (Apple Multiple Products) on 2026-11-04, and CVE-2026-119977 (WordPress Core) was also confirmed added on 2026-11-04.
Prove
1. 1CISA KEVCVE-2024-27834 Apple Multiple Products: Apple Multi…
2. 2Security newsCISA Confirms Hackers Exploiting WordPress Core Fla…

Glossario dei termini con cui ci si aspetta che tu annuisca

Fine vita (n.): la data in cui un fornitore smette di scrivere patch per un dispositivo che resterà comunque nel vostro rack per diversi anni ancora, portante, non menzionato e raggiungibile da internet.

§5

Dal nostro fronte

Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.

Il nostro perimetro, intanto, ha vissuto una giornata ordinaria, ed è questo l'aspetto inquietante. Il sensore Adversary DNA ha profilato 95 fonti ostili — 49 scanner, 36 crawler automatici, 6 operatori mirati, 2 brute forcer — che hanno inviato complessivamente 7,645 richieste, di cui 41 sono andate oltre la ricognizione fino a veri e propri tentativi di sfruttamento, distribuite in 12 gruppi di indirizzi che condividono un'impronta comportamentale. Abbiamo osservato in tutto 5,182 indirizzi da 93 paesi, 1,536 dei quali per la prima volta, con ostilità massima pari a 8.5 su 10. Sei indirizzi hanno inviato 34 richieste modellate sulla CVE-2017-9841 verso i nostri percorsi PHPUnit, un exploit noto e ancora irrorato su internet a prescindere da ciò che le note di patch dicono sull'anno. Uno scanner, 34.62.82.207, ha lanciato 123 richieste in circa mezzo secondo alla ricerca di file .env. Un altro, 207.175.165.55, ha inviato 121 richieste scorrendo /.aws/credentials e poi ha chiesto, in modo specifico, /.env.anthropic — la lista della spesa è stata aggiornata, e le chiavi dei modelli ora figurano accanto a quelle del cloud. I log grezzi non hanno mai lasciato il server; solo questi risultati.

95fonti ostili profilate

7,645richieste da esse inviate

41arrivate allo sfruttamento

12cluster con DNA condiviso

8.5/10ostilità massima

5,182indirizzi sul nostro perimetro

1,536visti per la prima volta oggi

93paesi

La lista WTF

WTF #1
Alla ricerca delle vostre chiavi IA
207.175.165.55, uno scanner (ostilità 5.4/10), ha inviato 121 richieste a uno dei nostri siti, cercando /.aws/credentials, /.aws/credentials.bak, /.env-example, /.env.
Perché è anomaloÈ andato dritto alle credenziali IA: /.env.anthropic. Le chiavi API dei modelli sono ormai nella lista della spesa degli scanner accanto alle chiavi cloud.
attribution: sconosciutoWed 4 Nov, 21:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 18e39c4b41fb
```
WTF #2
Il visitatore più determinato
103.47.145.23, uno scanner (ostilità 7.4/10), ha inviato 22 richieste a uno dei nostri siti, cercando /wordpress/wp-login.php, /site/wp-login.php, /admin/wp-login.php, /web/wp-login.php.
Perché è anomaloLa più alta ostilità della classifica; la sua kill chain è arrivata al credential-access.
attribution: sconosciutoWed 4 Nov, 21:00 UTC
Detail
```
kill chain: ricognizione → weaponization → credential-access · DNA e91dc116af74
```
WTF #3
Prove di CVE-2017-9841 ai nostri danni
6 indirizzi hanno inviato 34 richieste modellate sullo sfruttamento della CVE-2017-9841 (/vendor/phpunit/phpunit/…), tra cui 185.177.72.23, 185.177.72.70, 185.177.72.100.
Perché è anomaloUn exploit noto e con nome proprio ancora irrorato su internet; il nostro perimetro l'ha visto oggi, a prescindere da ciò che le note di patch dicono sull'anno.
attribution: sconosciuto
Detail
```
famiglia di sonde: phpunit-rce
```
WTF #4
Stesso DNA, indirizzi diversi
114.119.154.203, un crawler automatico (ostilità 0.2/10), ha inviato 66 richieste a uno dei nostri siti, cercando /threat-check/Adobe%20Reader%20and%20Acrobat%20Arbitrary%20Code%20Exec.
Perché è anomalo11 IP condividono un'unica impronta comportamentale (DNA 672df8667b3d): un solo strumento o un solo operatore che ruota gli indirizzi: 213.32.68.80, 85.208.96.194, 180.92.135.45, 57.129.81.224, 152.39.230.157 e altri.
attribution: sconosciutoWed 4 Nov, 21:00 UTC
Detail
```
kill chain: ricognizione → sfruttamento · DNA 672df8667b3d
```
WTF #5
La lista della spesa più strana
213.202.253.4, uno scanner (ostilità 6.8/10), ha inviato 29 richieste a uno dei nostri siti, cercando /wp-content/txets.php, /filefuns.php, /wp-content/postnews.php, /postnews.php.
Perché è anomaloHa chiesto file che quasi nessun altro richiede: /wp-content/txets.php, /filefuns.php, /wp-content/postnews.php, /postnews.php, /userfuns.php.
attribution: sconosciutoWed 4 Nov, 21:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 6f8669ba7e26
```
WTF #6
Di fretta
34.62.82.207, uno scanner (ostilità 5.4/10), ha inviato 123 richieste a uno dei nostri siti, cercando /.env, /.env-example, /.docker/laravel/app/.env, /.aws/.env.
Perché è anomaloHa lanciato 123 richieste in circa 0,5 secondi.
attribution: sconosciutoWed 4 Nov, 22:00 UTC
Detail
```
kill chain: ricognizione → weaponization · DNA 18e39c4b41fb
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

246claims, 7 days

42of 272 groups active

thegentlemen50 this week · surging

qilin25 this week

N0n22 this week

Surgingthegentlemen — 50 claims in 7 days against 24.6 expected from its own prior rate (p < 0.001)
Surgingsafepay — 18 claims in 7 days against 5.0 expected from its own prior rate (p < 0.001)
Surginggenesis — 9 claims in 7 days against 2.1 expected from its own prior rate (p < 0.001)
SurgingBrainCipher — 8 claims in 7 days against 1.8 expected from its own prior rate (p < 0.001)
Surgingrhysida — 6 claims in 7 days against 1.6 expected from its own prior rate (p = 0.006)
SurgingSilentRansomGroup — 8 claims in 7 days against 2.8 expected from its own prior rate (p = 0.007)

Gone quiet: DYSPHOR1A (60 days), gunra (62 days), lynx (68 days), AiLock (71 days).

Sector pressure, 30 days

UpTransportation — 1.9× its own prior share (68 claims, 35 expected)
UpEducation — 1.9× its own prior share (53 claims, 28 expected)
UpEnergy & Utilities — 1.4× its own prior share (37 claims, 27 expected)
UpHealthcare — 1.2× its own prior share (107 claims, 89 expected)
DownAgriculture and Food Production — 0.6× its own prior share (20 claims, 35 expected)

25% of claims carry no sector label.

Brand churn

Of the 234 leak-site brands first seen since 2021-09-30, 76% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 68% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 38% made at least half their claims in their first week. New brands this month: 3 — newest: Aoqin (2026-11-04, 4 claims), OBSOFT (2026-11-03, 6 claims), PixelLeaks (2026-11-03, 1 claim).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.4× every other brand's share); N0n put 33% of its claims on Transportation (7.4× every other brand's share); genesis put 95% of its claims on the United States (2.6× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 60% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 1 of 195 claims at weekends and half its claims in 12:00–13:59 UTC; half of play's claims appeared in 18:00–20:59 UTC. Leak sites overall are 33% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–19:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Sul campo

Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.

§8

Colophon

Come è stata realizzata questa edizione, senza fronzoli.

L'edizione 39 è stata realizzata da una macchina e verificata dal codice. Ogni elemento pubblicato da 15 feed pubblici di minacce nelle 24 ore fino alle 05:05 UK (572 elementi) è stato letto per intero: statistiche calcolate dal codice, ogni porzione letta da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni articolo cita gli elementi su cui si basa; gli articoli le cui fonti non risultavano verificabili, o i cui numeri non figuravano nelle fonti, sono stati eliminati prima della pubblicazione (0 oggi). Le previsioni vengono valutate pubblicamente nelle edizioni successive. «Dal nostro perimetro» è un dato di attacco in tempo reale proveniente dai nostri server. Costoo di questa edizione: 1,09 dollari. È scritto da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno l'ha rivisto a mano, il che è o il punto o il problema.

572items read

24hour window

$1.09cost of this edition

05:05 UTCgenerated

Fonti di questa mattina

NVD100ok
ThreatFox100ok
RansomLook73ok
Signal Atlas60ok
Telegram57ok
Security news52ok
ransomware.live47ok
infosec.exchange40ok
RSS11ok
atlas10ok
AlienVault OTX10ok
signal:ioc-family9ok
signal:kev1ok
CISA KEV1ok
Ransomware tempo · Ninja Signal graph1ok

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

La CISA afferma che WordPress Core viene sfruttato durante gli aggiornamenti e, già che c'è, aggiunge un bug Apple vecchio di due anni

APT29 ha dirottato uno script di analytics, e al resto ha pensato il telefono

Mille switch Zyxel, due falle SonicWall che nessuno correggerà e una lunghissima coda di patch

Quattro gruppi hanno svuotato la cartella delle bozze martedì, e i tracker l'hanno chiamata ondata

948 exploit root per Linux in trenta ore, e gli scanner ora chiedono le chiavi dei vostri modelli

Il primo rapporto d'incidente di Binance: tre ingegneri, un esercizio di programmazione truccato e mesi di pazienza

Diversi collaboratori della Casa Bianca affittano il proprio indirizzo internet, forse a loro insaputa

Il sito di estorsione di BrainCipher ora si scusa di non sapere chi ha derubato

La «ondata» ransomware di martedì è in gran parte una pubblicazione in blocco replicata due volte

La campagna mobile di APT29 e la nuova voce KEV di Apple non sono collegate da alcuna fonte

Le cifre sul costo della generazione di exploit con l'IA non tornano

Un venditore su Telegram prende in prestito lo schema di denominazione di Mandiant

Today’s calls

Scorecard

Glossario dei termini con cui ci si aspetta che tu annuisca

La lista WTF

Alla ricerca delle vostre chiavi IA

Il visitatore più determinato

Prove di CVE-2017-9841 ai nostri danni

Stesso DNA, indirizzi diversi

La lista della spesa più strana

Di fretta

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Fonti di questa mattina