Una ricerca della società di threat intelligence GreyNoise ha portato alla luce quella che viene descritta come una delle prime campagne di cyberattacco pienamente industrializzate attraverso agenti di intelligenza artificiale, capace di colpire centinaia di organizzazioni nel giro di poche ore.
Gli attaccanti hanno sfruttato due vulnerabilità del software di gestione stampa PaperCut NG e MF, catalogate come CVE-2026-81578 e CVE-2026-82078. A orchestrare l’attacco sono stati centinaia di agenti IA basati sui modelli OpenAI Codex e DeepSeek, affiancati da strumenti offensivi pubblicamente disponibili, che hanno automatizzato l’intero ciclo dell’intrusione, dalla scansione delle vulnerabilità fino all’escalation dei privilegi.
I numeri diffusi da GreyNoise fotografano la portata dell’operazione: almeno 440 istanze del software compromesse, 395 organizzazioni colpite in 48 Paesi diversi. In undici casi la violazione si è completata in appena 26 secondi; un istituto scolastico statunitense è stato compromesso in 7 minuti, e in alcuni casi l’escalation ai privilegi di amministratore di dominio ha richiesto un minimo di 5 minuti.
La campagna, attribuita con cautela dai ricercatori a un operatore verosimilmente russofono, ha registrato il picco di sfruttamento attivo il 31 agosto 2026; secondo GreyNoise sono bastate quattro ore dalla configurazione iniziale alla prima esecuzione di codice da remoto andata a segno. In almeno un caso il web application firewall di Cloudflare ha bloccato l’attacco nonostante la vulnerabilità fosse stata individuata dagli agenti.
Il caso descritto sopra riguarda un difetto di un software di stampa di rete — non un sistema esotico, ma una categoria di strumenti presente in moltissimi studi legali, spesso configurata anni fa e mai più aggiornata. È proprio questo il punto: gli agenti IA usati dagli attaccanti non cercano bersagli “importanti”, cercano superfici esposte e non aggiornate, e le trovano in pochi secondi. Per uno studio legale, un data breach su questi sistemi comporta obblighi di notifica al Garante entro 72 ore e, per i soggetti rientranti nel perimetro NIS2, entro 24 ore al CSIRT — con responsabilità professionali dirette in caso di ritardo. Servicematica segue il monitoraggio della sicurezza informatica per studi legali: chi ha dubbi sull’esposizione dei propri sistemi può richiedere una verifica.
Articoli simili
Nove secondi e trentadue: l’androide che ha tolto il record a Usain Bolt
Ai Giochi Mondiali dei Robot Umanoidi di Pechino le macchine hanno abbattuto i primati umani sui 100 e sui 400 metri. Ma il cronometro racconta…
Privacy, le iniziali non bastano: il Garante cambia le regole dell’anonimato
Una scuola sanzionata per aver reso identificabile uno studente nonostante l'uso delle sole iniziali. Il provvedimento del Garante chiarisce un principio destinato a incidere su…
La Corte di giustizia tributaria di Latina smonta una delle eccezioni più gettonate nei ricorsi contro le cartelle: la prova della notifica dell'atto impositivo non…
