Netcrook
#2FA
EvilTokens e il furto silenzioso della fiducia in Microsoft 365
Un kit di phishing-as-a-service legato a OAuth 2.0 mostra perché i moderni attacchi agli account possono avere successo senza mai rubare una password.
Uno sconto del 50% su ProtonPass alza la posta per la sicurezza quotidiana degli account
Il piano Pass Plus viene offerto a metà prezzo, integrando crittografia, alias, 2FA integrata e monitoraggio del dark web in un abbonamento a costo inferiore.
Un namespace npm affidabile è diventato l’anello debole in una catena di build AI
Un’identità di collaboratore dirottata e un’impennata nella pubblicazione di pacchetti hanno trasformato l’ecosistema @mastra/* in un avvertimento sulla supply chain per chiunque distribuisca JavaScript o TypeScript su larga scala.
I pannelli Gmail falsi mettono password e codici monouso nella stessa trappola
Un'operazione di phishing attribuita a Ghostwriter, tracciato anche come UNC1151, mostra come gli aggressori possano trasformare un normale flusso di accesso in una raccolta di credenziali che va oltre il campo password.
Quando un Copilot può leggere troppo: come SearchLeak ha trasformato la ricerca AI in un rischio per l'identità
Una vulnerabilità segnalata di Copilot legata a SearchLeak mostra come l'IA aziendale possa diventare un ponte tra normali autorizzazioni e dati di autenticazione altamente sensibili.
Un phishing per Gmail che punta al secondo fattore, non solo alla password
Una campagna Ghostwriter attribuita a UNC1151 riporta sotto esame un punto debole ben noto: la 2FA basata su codice può ancora essere intrappolata da un convincente falso flusso di accesso.
Cifrato, ma non intoccabile: come un incidente in un gestore di password ha messo sotto processo la 2FA
Un presunto incidente di sicurezza di Dashlane mostra come gli aggressori possano puntare all'autenticazione invece che alla cifratura del vault, trasformando i controlli di accesso nel punto debole che conta di più.
Cifrato, non vuoto: perché un attacco brute-force a un gestore di password conta ancora
Un piccolo numero di account personali Dashlane è stato colpito da un incidente a livello di autenticazione, mostrando come ciphertext, secondi fattori e controlli di accesso possano fallire in modi molto diversi.
Quando il recupero diventa la porta: il takeover di Instagram che dovrebbe preoccupare i team identity
Un presunto abuso del chatbot di supporto di Instagram basato su IA di Meta indica una verità più dura nella sicurezza degli account: gli attaccanti potrebbero non aver bisogno di violare il 2FA se riescono a manipolare il percorso di recupero.
Quando un chatbot diventa la porta d'ingresso: il percorso di recupero di Instagram sotto pressione
Uno strumento di assistenza conversazionale può essere utile, ma se gli viene affidata la gestione delle modifiche dell'account, gli aggressori possono colpire il percorso di recupero invece del campo password.
Perché Tycoon 2FA conta ancora: la trappola di accesso al cloud che può battere una MFA debole
Tycoon 2FA ricorda che gli attacchi all'identità non devono per forza violare le password se riescono a inoltrare un accesso in tempo reale e a raccogliere la sessione dietro di esso.
Npm mette una persona al gate: la 2FA ora si interpone tra build e release
Gli ultimi controlli npm di GitHub aggiungono un checkpoint di rilascio e policy più severe sulla fonte di installazione, spostando la fiducia della supply chain dall'automazione silenziosa verso un'approvazione esplicita.
npm Taglia Fuori una Classe di Token ad Alto Rischio mentre la Pressione sulla Supply Chain Colpisce la Pubblicazione JavaScript
Un reset dei token a livello di registry mostra quanto rapidamente la sicurezza dei pacchetti possa cambiare quando i segreti di pubblicazione a lunga durata diventano un obiettivo.
npm stacca la spina ai token che bypassano la 2FA dopo la pressione sul registro dei pacchetti
Il reset di emergenza mostra come una singola credenziale di pubblicazione possa diventare un punto di controllo della supply chain quando la fiducia nei pacchetti dipende da token di lunga durata.
Tycoon 2FA riemerge attraverso l’abuso del sign-in con device code di Microsoft
Un kit di phishing collegato a una campagna di bypass dell’MFA starebbe facendo leva su un legittimo flusso di accesso OAuth, trasformando la comodità in una nuova minaccia per l’identità.
Quando un codice di accesso diventa la chiave: Tycoon2FA e la nuova forma del phishing su Microsoft 365
Un kit di phishing collegato all’abuso dei device code mostra come gli aggressori possano strumentalizzare flussi di accesso legittimi e persino livelli affidabili di tracciamento dei link per mettere sotto pressione le identità Microsoft 365.
Quando il prompt di accesso diventa la trappola: il passaggio di Tycoon 2FA al phishing con device code
Un ecosistema di phishing familiare sembra essersi spostato da false pagine di accesso a una debolezza più sottile: l’abuso di un flusso OAuth legittimo per aggirare le protezioni multi-fattore.
Quando l’IA inizia ad aiutare a violare le difese di accesso, il tempo accelera
Google ha affermato di aver individuato un attore sconosciuto che utilizzava un exploit zero-day probabilmente assistito dall’IA, con un bypass della 2FA in una campagna orientata allo sfruttamento su larga scala.
Quando l’IA inizia a scrivere l’exploit: un caso zero-day che cambia il ritmo
Un risultato dell’intelligence sulle minacce di Google segnala una rara svolta: lo sviluppo di exploit che sembra essere stato accelerato dall’IA, con implicazioni su quanto rapidamente i difensori debbano ora muoversi.
Quando l’AI potrebbe aver aiutato a scrivere il playbook del zero-day
I ricercatori sulle minacce di Google hanno collegato un zero-day contro uno strumento di amministrazione web a indicatori di sviluppo assistito dall’AI, un segnale che la creazione di exploit potrebbe spostarsi dall’artigianato manuale a un lavoro logico aumentato dalle macchine.