Apertura · Vulnerabilità

Microsoft ha rilasciato questo mese correzioni a quattro cifre, e nessuno concorda su quali siano esattamente le quattro cifre

Il conteggio non è la notizia; la notizia è l'unico bug di Outlook che gli aggressori già sfruttavano, inserito martedì nel KEV.

attendibilità 0.90

BleepingComputer parla di 1.235 vulnerabilità. SecurityWeek di 1.094. Il SANS Internet Storm Center di 1.260, di cui 68 critiche e 167 problemi di Chromium che arrivano fino a voi attraverso Edge. CyberScoop ne ha contate 1.093, Krebs on Security quasi 1.100, con 63 critiche. Sono resoconti dello stesso martedì. Non stiamo discutendo di rischio, stiamo discutendo di aritmetica, e l'aritmetica non la chiarirà nessuno, perché quando sarà chiarita ci sarà un altro martedì.

Ciò che non è in discussione: CVE-2026-124194, una vulnerabilità di Outlook dovuta all'assenza di interazione dell'utente, che consente a un aggressore non autorizzato di effettuare spoofing via rete, CVSS 6.5, che Microsoft dichiara di sapere essere sfruttata attivamente e che la CISA ha aggiunto al catalogo Known Exploited Vulnerabilities il 10 novembre. Secondo la lettura di Dark Reading, sotto di essa si trovano bug critici in Exchange, SharePoint, Windows Search e LDAP. Nello stesso giorno Adobe ha rilasciato 110 correzioni in nove prodotti, con la sola Adobe Connect a portare 24 CVE, 18 critiche e sei con CVSS 10.0. La giornata di novembre di SAP ha portato quattro vulnerabilità di gravità massima in NetWeaver e Web Dispatcher, all'interno di 35 correzioni e 42 avvisi, a seconda di chi conta.

Non si installa un numero. Si installa KB5132061 o KB5131087 su Windows 11, KB5131096 su Windows 10 con aggiornamenti di sicurezza estesi, e si comincia da quello di Outlook, perché è l'unica voce dell'elenco con un utente confermato. Tutto il resto è una coda. Una sola ha un cliente.

Perché è rilevanteUna delle oltre mille correzioni di questo mese è già sfruttata e arriva via e-mail; impostate la sequenza di rilascio su questa, non sul totale.

Prove

Today’s revelation

La dimensione di un rilascio di patch misura quanto il fornitore sia diventato bravo a trovare bug. Non misura nulla riguardo a giovedì.

— Sturgeon's Revelations · Probably Fine Daily No. 45

§2

Notizie principali

Il resto delle ultime 24 ore, prove alla mano.

Vulnerabilità

Sei nel KEV, e due sono ciò che legge la vostra posta prima di voi

Barracuda ha avvertito separatamente che gli aggressori hanno iniziato a sfruttare due vulnerabilità ESG corrette di recente per eseguire comandi con privilegi di root. Il giorno prima la CISA aveva segnalato un bypass dell'MFA di SonicWall SonicOS, tra notizie di possibile sfruttamento, e Google ha rilasciato aggiornamenti di emergenza per l'ottavo zero-day di Chrome dell'anno.

Perché è rilevanteQuattro delle sei riguardano appliance perimetrali che nessuno riavvia di giorno; le scadenze sono l'unica parte che il vostro revisore leggerà.

attendibilità 0.90

Prove

Vulnerabilità

Tre falle sfruttate in questo momento che non hanno il bollino KEV a renderlo ufficiale

Vates avverte che una critica vulnerabilità di bypass dell'autenticazione in Xen Orchestra, tracciata come VSA-2026-062 e ancora priva di CVE, è sfruttata in rete: il parsing dei cookie REST trasforma authenticationToken=j:%7B%7D in un oggetto vuoto, l'autenticazione REST lo accetta e si ottengono privilegi di amministratore e il controllo a livello root degli host XCP-ng. Il bypass dell'autenticazione di OpenSSH denominato «SSHole», CVE-2026-123158, viene usato per eseguire comandi, rubare credenziali e ottenere persistenza, con la prima ondata attribuita a botnet e cryptominer. E Huntress ha documentato un'intrusione di ottobre che concatenava due vulnerabilità di AhsayCBS, CVE-2026-105133 e CVE-2026-105134, per installare webshell nascoste in immagini PNG, un miner e un impianto Python capace di eludere le sandbox, con una query di credenziali osservata contro un server Veeam collegato.

Perché è rilevanteLo sfruttamento avviene ai livelli di gestione dell'hypervisor e di backup, ossia dove risiede il vostro piano di ripristino.

attendibilità 0.85

Prove

Vulnerabilità

N-able porta offline N-central in hosting e dice ai clienti on-premise di spegnere il proprio

Dopo che un ricercatore ha reso pubbliche più di 30 presunte vulnerabilità zero-day in N-central, tra cui problemi descritti come in grado di consentire il controllo completo del sistema, N-able ha messo offline i propri ambienti ospitati e ha esortato i clienti on-premise a spegnere i server. Nello stesso fine settimana il progetto LNbits ha chiesto a tutti gli operatori del proprio software per wallet Bitcoin Lightning di spegnere i server in attesa delle correzioni, citando un'ondata di attacchi. Due fonti riportano la vicenda N-able e la cifra «più di 30» è l'affermazione del ricercatore, non un conteggio del fornitore: va presa con cautela, ma sulla base di essa si deve agire con decisione.

Perché è rilevanteN-central è uno strumento per MSP: un'istanza compromessa è un mazzo di chiavi, non una chiave, e spegnerla costa meno che doverlo spiegare dopo.

attendibilità 0.70

Prove

Ransomware

Quarantasette post di Inc Ransom in un giorno sono uno scraper che si risveglia, non una banda che lavora di più

Il 10 novembre i tracker dei siti di leak si sono accesi: Inc Ransom 47 voci contro una mediana di una negli altri giorni, Interlock 20 contro una mediana pari a zero, Vortex 17, N0n 17, Booba Project 13, con Inc che ha pubblicato circa sessanta pagine di vittime nell'arco di un solo minuto. Il conteggio del ritmo di Ninja Signal per la settimana è di 306 rivendicazioni da parte di 49 dei 275 gruppi monitorati, con N0n a 97 rivendicazioni contro le 27,56 attese in base al proprio ritmo precedente e Interlock a 11 contro 1,25; il conteggio settimanale di Hackmanac registra 448 attacchi in 64 paesi, con INC Ransom più attivo con 34 e gli USA più colpiti con il 21,9 per cento e 98 attacchi. Gli elenchi di vittime sono reali e comprendono distretti scolastici, cliniche e vari fornitori di servizi IT gestiti, i cui elenchi di clienti sono citati nei post: vanno quindi valutati singolarmente. Nel frattempo NBC News riferisce che alcune delle principali società statunitensi rifiutano incarichi di risposta agli incidenti in emergenza mentre aumentano gli attacchi assistiti dall'IA; Sophos afferma che altre società di DFIR le hanno chiesto supporto per il surplus di lavoro, e il giudizio di un responder sull'accesso iniziale in tutta la vicenda è stato che non è affatto sofisticato.

Perché è rilevanteConsiderate il volume dei post come un timestamp di acquisizione e i nomi delle vittime come lavoro da fare; se non avete un contratto di IR, questa è la settimana in cui il mercato ha esaurito i responder disponibili.

attendibilità 0.75

Prove

Attori delle minacce

Le credenziali AWS di Qubole sono state la porta d'ingresso verso più di una dozzina di clienti

Tra il 14 e il 26 ottobre un aggressore ha usato credenziali IAM appartenenti all'account AWS di Qubole 805246085872 per assumere i ruoli di integrazione che i clienti avevano concesso alla piattaforma, quindi ha sottratto segreti archiviati, chiavi, variabili d'ambiente, credenziali e dati, secondo Wiz. SecurityWeek indica più di una dozzina di organizzazioni colpite. Nessun exploit, nessun malware, nessuno col cappuccio: un ruolo che doveva essere assunto, assunto.

Perché è rilevanteElencate ogni ruolo cross-account del vostro patrimonio con un principal esterno, verificate l'ID esterno e le chiavi di condizione, e cercate chiamate AssumeRole a cui non sapete dare un nome.

attendibilità 0.85

Prove

IA e sicurezza

Le chiavi di modelli rubate sono ormai una voce di bilancio: 740.000 dollari di inferenza altrui

Railway afferma che gli aggressori hanno sfruttato vulnerabilità nella sua infrastruttura, rubato segreti di autenticazione dei clienti e generato circa 740.000 dollari di utilizzo fraudolento di IA, esponendo potenzialmente le credenziali di fino a 100.000 workspace, con OpenRouter che ha rifiutato i rimborsi. Fireworks AI ha confermato una violazione più ampia che ha riguardato informazioni su account e fatturazione, segreti, dataset, modelli incompleti e chat di Notion AI per un numero limitato di account, dopo la compromissione di un fornitore cloud terzo. NEAR AI ha subito lo sfruttamento di una vulnerabilità di esecuzione di codice remoto in SGLang su un server di inferenza, con dati sottratti a 18 agenti IA e a circa 100 account utente e richieste in modalità riservata potenzialmente visibili all'aggressore. E i file di configurazione di Claude Code hanno inserito silenziosamente migliaia di segreti in repository GitHub pubblici: è la stessa storia raccontata da uno strumento diverso.

Perché è rilevanteLe chiavi API dei modelli sono ormai token al portatore con un rapporto di fatturazione; ruotatele, limitatene l'ambito, impostate allarmi sulla spesa e smettete di conservarle accanto alla configurazione del vostro agente.

attendibilità 0.85

Prove

Attori delle minacce

La Francia attribuisce a un'unità dei IRGC gli attacchi di ottobre ai sistemi di refrigerazione

La Francia ha attribuito gli attacchi informatici di ottobre che hanno messo fuori uso i sistemi di refrigerazione in più di 700 supermercati e altri punti vendita, causando perdite alimentari e almeno 15 incendi, a hacker iraniani sostenuti dallo Stato, identificando gli autori come parte di Shahid Kaveh, un'unità cyber dei IRGC già collegata ad attacchi contro controllori industriali in impianti idrici statunitensi. La procura di Parigi ha aperto un fascicolo contro un comandante e due vice; Teheran nega. Le agenzie statunitensi hanno avvertito separatamente che gli attori delle minacce prendono attivamente di mira a livello globale i sistemi industriali di refrigerazione e di monitoraggio della catena del freddo, sfruttando vulnerabilità o debolezze di sistemi privi di patch, con interruzione del servizio, rischio d'incendio e perdita di scorte come rischi dichiarati.

Perché è rilevanteI controllori di refrigerazione e catena del freddo esposti su Internet sono ormai un insieme di bersagli con un avversario dichiarato; trovate i vostri prima che lo faccia l'assicuratore.

attendibilità 0.80

Prove

Stranezze

Due marchi automobilistici, un solo admin:admin, tutte le portiere

Due ricercatori di sicurezza hanno scoperto che i sistemi di accesso dietro le app mobili di due marchi automobilistici potevano essere presi completamente sotto controllo, dando accesso all'account di qualsiasi cliente e, per i proprietari di un'auto connessa, la possibilità di sbloccare le portiere e avviare il motore. La porta d'ingresso era un server con la password predefinita admin:admin. Entrambe le app autenticavano i clienti tramite lo stesso sistema.

Perché è rilevanteSe il vostro prodotto può muovere una tonnellata di metallo, il servizio di autenticazione che lo governa merita più dell'impostazione di fabbrica.

attendibilità 0.80

Prove

1Security newsDefault 'admin:admin' Server Password Helps Researc…

§3

Nascosto

La lettura approfondita del giorno: cosa c'è sotto i feed, non sopra.

Gran parte delle apparenti conferme incrociate di oggi è sindacazione, e gran parte dell'impennata di ransomware di oggi è uno scraper che recupera il ritardo.

Exception 01
Le raffiche sui siti di leak sono caricamenti in blocco, non un cambio di ritmo
Inc Ransom ha pubblicato 47 voci il 2026-11-10 contro una mediana di una negli altri giorni, Interlock 20 contro zero, Vortex 17, N0n 17 e Booba Project 13, con Inc che ha pubblicato circa sessanta vittime in un minuto, Interlock circa dieci in otto minuti e tre voci di Vortex in un minuto con un'unica scadenza al 2026-11-12. Ciò si spiega molto meglio con un recupero arretrato dello scraper, una migrazione del sito o un caricamento automatizzato che con un improvviso cambiamento del tasso di intrusione. Le vittime meritano comunque una valutazione individuale.
attendibilità 0.70Speculative
Wrong if
Divulgazioni delle vittime o rapporti sugli incidenti che datino queste intrusioni alla scorsa settimana, oppure gli stessi attori che mantengono il ritmo elevato per diversi altri giorni.
Watch
Se Inc Ransom, Interlock e Vortex mantengano il ritmo per 72 ore, e se la scadenza del 12 novembre di Vortex produca dati pubblicati.
Prove
Exception 02
ransomware.live è la fonte anticipatrice, tutto il resto a valle è un'eco
Per Vortex, Interlock, Play, N0n, SilentRansomGroup, Booba Project, Dark Project, Climax e Aoqin, ransomware.live ha pubblicato per primo e ransomlook, Atlas o Telegram sono seguiti tra 1,6 e 17,6 ore dopo. I conteggi «multi-fonte» per questi attori sono la stessa rivendicazione che viaggia, non una conferma indipendente.
attendibilità 0.75
Wrong if
Su una finestra più lunga, ransomlook o Atlas anticipano in una quota comparabile di casi.
Watch
Il ritardo sugli attori di nuova denominazione nel corso della prossima settimana.
Prove
1. 1RansomLookaoqin leaks leaked Irwin Automotive Group
2. 2ransomware.liveBooba Project claimed Acclaim Health (Healthcare ·…
Exception 03
I conteggi del Patch Tuesday sono in conflitto e il collegamento con il KEV è dedotto, non dichiarato
CVE-2026-124194 è l'unica entità che compare in CISA KEV, cyber-news, Mastodon e nel segnale KEV, ed è probabilmente lo zero-day di Outlook sfruttato del Patch Tuesday, ma nessuna fonte collega esplicitamente i due. I totali pubblicati divergono: 1.094, 1.235, 1.260 e circa 1.093-1.100, e anche i conteggi di criticità di SAP differiscono. Per il vostro registro delle modifiche usate le note di rilascio dei fornitori, non i titoli.
attendibilità 0.60
Wrong if
L'avviso di Microsoft mostra che CVE-2026-124194 è una vulnerabilità diversa dallo zero-day di Outlook sfruttato.
Watch
Il testo dell'avviso di Microsoft e le scadenze del KEV.
Prove
Exception 04
I feed sulle vulnerabilità si interrompono alle 00:43, e quasi certamente è colpa della nostra infrastruttura
NVD, CISA KEV e il segnale KEV si interrompono tutti dopo le 2026-11-10T00:43, con tutti i 100 elementi di NVD nel periodo iniziale e sei elementi ciascuna nelle fonti KEV. Sembra un unico caricamento in blocco più che tre fonti che tacciono, ma significa che la copertura delle CVE sfruttate per il 10 e l'11 novembre in questa finestra è incompleta.
attendibilità 0.60Speculative
Wrong if
Elementi NVD o KEV con timestamp successivi compaiono nella prossima finestra.
Watch
Se le fonti sulle vulnerabilità riprendano al prossimo caricamento.
Prove
1. 1NVDCVE-2026-103303: The Turisbook Booking System WordP…
2. 2CISA KEVCVE-2026-124194 Microsoft Office: Microsoft Office…

Nothing to seeNon sono stati individuati cluster temporali oltre alle raffiche sui siti di leak. Nulla collega tra loro gli elementi su Iran, Russia, Cina e RPDC, né all'attività ransomware. Il cluster giapponese (Nitori, JCCI, Toyota) e la rivendicazione di violazione di Binance sono deboli e possono essere coincidenza o impersonificazione. Le ondate massive di CVE contro OpenEMR, Craft CMS e SunRedattore sono artefatti di pubblicazione in blocco senza prove di sfruttamento, e il volume di ThreatFox è di routine.

Deep read: 700 elementi letti

§4

Previsioni

Valutazioni datate e falsificabili. Verifichiamo il nostro operato pubblicamente.

Today’s calls

DueSun 15 Nov96h
Almeno una delle tre vittime con scadenza al 12 novembre di Vortex (PYRAMID HEALTHCARE, ALEXION, CRESA) compare come dati pubblicati o trapelati su ransomware.live o ransomlook.
Wrong ifNessuno stato di pubblicazione o di fuga di dati per nessuna delle tre su alcuno dei due tracker entro il 15 novembre.
Prove
f-2026-11-11-1
Confidence0.55
DueWed 18 Nov7d
Inc Ransom pubblica meno di 20 nuove rivendicazioni sui siti di leak in un singolo giorno tra il 12 e il 18 novembre, confermando che il dato di 47 era un recupero arretrato e non un cambio di ritmo.
Wrong ifQualsiasi singolo giorno in quella finestra con 20 o più nuove rivendicazioni di Inc Ransom su ransomlook o ransomware.live.
Prove
f-2026-11-11-2
Confidence0.70
DueSat 21 Nov10d
La CISA aggiunge al catalogo KEV la vulnerabilità di OpenSSH «SSHole», CVE-2026-123158.
Wrong ifCVE-2026-123158 è assente dal KEV il 21 novembre.
Prove
f-2026-11-11-3
Confidence0.35

Scorecard

1 partly · 2 wrong

wrong
Booba Project's rolling seven-day leak-site claim count falls below 17 in the tempo report for 2026-11-09, having already been scored as cooling across its sectors.
Called Mon 2 Nov · due Mon 9 Nov
The 2026-11-11 tempo report shows N0n surging at 97 claims in 7 days; Booba Project posted 6 new claims on 2026-11-10, well above 17 threshold. The tempo report covers 306 claims total and Booba Project atlas signals show escalating activity, not cooling below 17.
Prove
wrong
No corroborated, publicly available exploit tool for the three WordPress CVEs teased by @Ransomwareg (including CVE-2026-63030 and CVE-2026-60137) is confirmed by a reputable source.
Called Thu 5 Nov · due Thu 12 Nov
A Telegram post from @NeuraSCTB advertises an auto-exploit tool listing CVE-2026-63030 and CVE-2026-60137 (the teased WordPress CVEs) as working exploits for sale, constituting a publicly advertised working tool, though not from a named reputable vendor. However the falsifier requires a named vendor or researcher confirmation — the feed shows only a Telegram seller post, not reputable source confirmation. Keeping as open would be more precise, but due date is 2026-11-12 and no reputable source confirmed it.
Prove
1. 1TelegramWTS AUTO EXPLOIT TOOL FITUR : - AUTO UP SHELL - TRY…
partly
N-able either restores hosted N-central or publishes an advisory naming at least one of the 30-plus disclosed flaws by 20 November 2026.
Called Tue 10 Nov · due Fri 20 Nov
N-able took hosted N-central offline (confirmed in feed), satisfying the 'restores hosted N-central' part partially — actually it went offline not restored. No advisory naming the 30+ flaws yet. The action taken is taking offline, not restoring or publishing named-flaw advisory. Due 2026-11-20.
Prove

Glossario dei termini con cui ci si aspetta che tu annuisca

Integrazione fidata (n.): Un ruolo cross-account approvato una volta, di fretta, per una piattaforma di dati, ora in mano a un'azienda il cui rapporto sull'incidente leggerete come una notizia, al passato, su di voi.

§5

Dal nostro fronte

Attacchi in corso sui nostri server nelle ultime 24 ore. Sì, proprio i nostri.

Il nostro sensore di frontiera ha profilato 114 fonti ostili in 24 ore — 70 crawler di bot, 39 scanner, tre brute forcer e due operatori mirati — che complessivamente hanno inviato 7.087 richieste, di cui 61 hanno superato la ricognizione per passare a tentativi di sfruttamento, da 9.697 indirizzi di 100 paesi, 2.934 dei quali visti qui per la prima volta oggi. Diciassette gruppi condividevano un'impronta comportamentale, tra cui dodici indirizzi operanti come DNA 18e39c4b41fb; uno di essi, 34.53.218.24, ha richiesto /.aws/credentials, /.aws/config, /.env e, in particolare, /.env.anthropic, il che significa che le chiavi API dei modelli compaiono nella lista della spesa accanto alle chiavi cloud. La fretta è reale: 195.178.110.242 ha sparato 161 richieste in circa 0,7 secondi chiedendo /src/.env, /laravel/.env, /.env.bak e /.env.staging, e 195.178.110.211 ne ha totalizzate 513 a 315 al minuto. La massima ostilità in classifica è stata 7,0 su 10 per uno scanner IPv6 la cui catena è arrivata allo sfruttamento, e due indirizzi hanno ancora sparso /hnap1 nella forma di CVE-2015-2051, il che dice cosa pensi Internet delle vostre note di rilascio delle patch. I log grezzi non hanno mai lasciato il server; solo questi risultati l'hanno fatto.

114fonti ostili profilate

7.087richieste da esse

61arrivate allo sfruttamento

17cluster a DNA condiviso

8,2/10ostilità massima

9.697indirizzi al nostro edge

2.934visti per la prima volta oggi

100paesi

La lista WTF

WTF #1
Alla ricerca delle vostre chiavi IA
34.53.218.24, uno scanner (ostilità 5,4/10), ha inviato 122 richieste a uno dei nostri siti, cercando /.aws/credentials, /.env.anthropic, /.aws/config, /.env.
Perché è anomaloPuntava dritto alle credenziali IA: /.env.anthropic. Le chiavi API dei modelli sono ormai nella lista della spesa degli scanner accanto alle chiavi cloud.
attribution: sconosciutoTue 10 Nov, 06:00 UTC
Detail
```
kill chain: ricognizione → armamento · DNA 18e39c4b41fb
```
WTF #2
Il visitatore più determinato
2a02:c207:2298:6410::1, uno scanner (ostilità 7,0/10), ha inviato 21 richieste a 18 al minuto a uno dei nostri siti, cercando /.env.backup, /.aws/credentials, /.docker/config.json, /.env.
Perché è anomaloLa massima ostilità in classifica; la sua kill chain è arrivata allo sfruttamento.
attribution: sconosciutoTue 10 Nov, 06:00 UTC
Detail
```
kill chain: ricognizione → armamento → sfruttamento · DNA 3268dda94501
```
WTF #3
Provano CVE-2015-2051 su di noi
2 indirizzi hanno inviato 2 richieste a forma di sfruttamento di CVE-2015-2051 (/hnap1), tra cui 113.138.242.19, 171.14.129.134.
Perché è anomaloUn exploit noto e con un nome ancora disseminato su Internet; il nostro edge l'ha visto oggi, qualunque cosa dicano le note sulle patch riguardo all'anno.
attribution: sconosciuto
Detail
```
famiglia di sonde: dlink-hnap
```
WTF #4
Stesso DNA, indirizzi diversi
195.178.110.211, uno scanner (ostilità 5,9/10), ha inviato 513 richieste a 315 al minuto a uno dei nostri siti, cercando /.env, /vendor/.env, /lib/.env, /lab/.env.
Perché è anomalo12 IP condividono un'unica impronta comportamentale (DNA 18e39c4b41fb): un solo strumento o un solo operatore che ruota gli indirizzi: 195.178.110.211, 2400:6180:100:d0:0:1:c071:6001, 2400:6180:100:d0:0:1:c072:1001, 34.53.218.24, 207.175.165.55 e altri.
attribution: sconosciutoTue 10 Nov, 06:00 UTC
Detail
```
kill chain: ricognizione → armamento · DNA 18e39c4b41fb
```
WTF #5
La lista della spesa più strana
20.92.243.53, uno scanner (ostilità 6,7/10), ha inviato 156 richieste a 156 al minuto a uno dei nostri siti, cercando /spip.php, /about.php, /1.php, /atomlib.php.
Perché è anomaloHa chiesto file che quasi nessun altro chiede: /spip.php, /about.php, /1.php, /atomlib.php, /wp-trackback.php.
attribution: sconosciutoWed 11 Nov, 02:00 UTC
Detail
```
kill chain: ricognizione → armamento · DNA dfef4501b216
```
WTF #6
Di fretta
195.178.110.242, uno scanner (ostilità 5,1/10), ha inviato 161 richieste a uno dei nostri siti, cercando /src/.env, /laravel/.env, /.env.bak, /.env.staging.
Perché è anomaloHa sparato 161 richieste in circa 0,7 secondi.
attribution: sconosciutoWed 11 Nov, 02:00 UTC
Detail
```
kill chain: ricognizione → armamento · DNA ce6ecdfacbe3
```

§6

Tempo

Who is posting faster than their own normal. Computed from the Signal graph, not written by the editor.

306claims, 7 days

49of 275 groups active

N0n97 this week · surging

thegentlemen25 this week

Climax Inc17 this week · new

SurgingN0n — 97 claims in 7 days against 27.6 expected from its own prior rate (p < 0.001)
Surginginterlock — 11 claims in 7 days against 1.2 expected from its own prior rate (p < 0.001)
Surgingmetaencryptor — 9 claims in 7 days against 1.1 expected from its own prior rate (p < 0.001)
SurgingSilentRansomGroup — 10 claims in 7 days against 3.1 expected from its own prior rate (p = 0.001)
SurgingBlack X — 3 claims in 7 days against 0.5 expected from its own prior rate (p = 0.014)
SurgingBYOD — 7 claims in 7 days against 2.5 expected from its own prior rate (p = 0.014)

Gone quiet: global (60 days), embargo (63 days), kazu (65 days), DYSPHOR1A (66 days).

Sector pressure, 30 days

UpEducation — 1.3× its own prior share (47 claims, 35 expected)
DownAgriculture and Food Production — 0.6× its own prior share (21 claims, 38 expected)
DownManufacturing — 0.9× its own prior share (150 claims, 174 expected)

30% of claims carry no sector label.

Brand churn

Of the 237 leak-site brands first seen since 2021-09-30, 75% were still claiming 30 days after their first post and 70% were still claiming 60 days after their first post and 67% were still claiming 90 days after their first post and 61% were still claiming 120 days after their first post (Kaplan-Meier; quiet = 60 days without a claim). 18% of the 214 old enough to judge posted on one day and never again; 37% made at least half their claims in their first week. New brands this month: 6 — newest: Climax Inc (2026-11-10, 17 claims), Vortex (2026-11-10, 14 claims), Destello (2026-11-05, 1 claim).

Brands born before coverage began are excluded (their true age is unknown); a rebrand counts as one brand going quiet and another being born.

Targeting

Over the last 180 days, among brands with at least 20 labelled claims: safepay put 33% of its claims on Germany (6.4× every other brand's share); N0n put 29% of its claims on Transportation (6.4× every other brand's share); SilentRansomGroup put 100% of its claims on Professional Services (6.2× every other brand's share). Widest spread: nightspire across 10.6 effective sectors.

Lift = the brand's share of a sector or country over every other brand's share in the same window; exact binomial tails, Bonferroni-adjusted for the categories tested. Claims with no sector or an Unknown/Other label are excluded.

Posting clock

Over the last 180 days, among brands with at least 30 claims: clop released 94% of its claims on Wednesdays, half of them in 13:00–15:59 UTC; safepay released 59% of its claims on Mondays, half of them in 18:00–19:59 UTC; akira posted only 2 of 194 claims at weekends and half its claims in 12:00–13:59 UTC; half of thegentlemen's claims appeared in 06:00–09:59 UTC. Leak sites overall are 34% quieter per weekend day than per weekday.

all brands by hour of day, 00–23 UTC; half of all claims land in 12:00–20:59 UTC.

Times are when trackers first saw each claim on the leak site, in UTC: not the attack time, not the operator's clock, and a site that is only reachable at certain hours shows the same pattern; batch releases show as spikes. Hour-of-day concentration: Rayleigh test; weekday shares: exact binomial against every other brand, Bonferroni-adjusted.

Leak-site claims as discovered by trackers, not confirmed breaches. Surprise compares the last 7 days with the group's own prior 173 days (Poisson). Victim claims: ransomware.live and leak-site trackers

Today’s numbers as JSON →

§7

Sul campo

Strumenti live gratuiti. Nessuna registrazione, nessun contatto commerciale.

§8

Colophon

Come è stata realizzata questa edizione, senza fronzoli.

L'edizione 45 è stata realizzata da una macchina e verificata dal codice. Ogni elemento pubblicato da 15 feed pubblici di minacce nelle 24 ore fino alle 05:05 UK (700 elementi) è stato letto per intero: statistiche calcolate dal codice, ogni porzione letta da Claude Sonnet, la struttura sintetizzata da Claude Opus. Claude Opus ha poi curato il giornale. Ogni articolo cita gli elementi su cui si basa; gli articoli le cui ricevute non trovavano riscontro, o i cui numeri non figuravano nelle fonti, sono stati scartati prima della pubblicazione (0 oggi). Le previsioni sono valutate pubblicamente nelle edizioni successive. «From our edge» sono dati di attacco in tempo reale dai nostri server. Costoo di questa edizione: 1,30 $. È scritta da una macchina con la voce di ScottG, autore di Everything Is Probably Fine, e nessuno l'ha rivista a mano, il che è o il punto o il problema.

700items read

24hour window

$1.30cost of this edition

05:05 UTCgenerated

Fonti di questa mattina

Security news104ok
NVD100ok
ThreatFox100ok
RansomLook88ok
Signal Atlas87ok
Telegram63ok
infosec.exchange46ok
ransomware.live43ok
RSS26ok
atlas16ok
AlienVault OTX7ok
signal:ioc-family7ok
signal:kev6ok
CISA KEV6ok
Ransomware tempo · Ninja Signal graph1ok

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Sei nel KEV, e due sono ciò che legge la vostra posta prima di voi

Tre falle sfruttate in questo momento che non hanno il bollino KEV a renderlo ufficiale

N-able porta offline N-central in hosting e dice ai clienti on-premise di spegnere il proprio

Quarantasette post di Inc Ransom in un giorno sono uno scraper che si risveglia, non una banda che lavora di più

Le credenziali AWS di Qubole sono state la porta d'ingresso verso più di una dozzina di clienti

Le chiavi di modelli rubate sono ormai una voce di bilancio: 740.000 dollari di inferenza altrui

La Francia attribuisce a un'unità dei IRGC gli attacchi di ottobre ai sistemi di refrigerazione

Due marchi automobilistici, un solo admin:admin, tutte le portiere

Le raffiche sui siti di leak sono caricamenti in blocco, non un cambio di ritmo

ransomware.live è la fonte anticipatrice, tutto il resto a valle è un'eco

I conteggi del Patch Tuesday sono in conflitto e il collegamento con il KEV è dedotto, non dichiarato

I feed sulle vulnerabilità si interrompono alle 00:43, e quasi certamente è colpa della nostra infrastruttura

Today’s calls

Scorecard

Glossario dei termini con cui ci si aspetta che tu annuisca

La lista WTF

Alla ricerca delle vostre chiavi IA

Il visitatore più determinato

Provano CVE-2015-2051 su di noi

Stesso DNA, indirizzi diversi

La lista della spesa più strana

Di fretta

Ricevilo nella tua casella di posta. Ogni mattina. Probabilmente.

Fonti di questa mattina