Da solo sembrava routine. Correlato è diventato un caso

Incrociata con l'External Attack Surface Management, abbiamo individuato altri quattro portali dell'azienda accessibili con la stessa credenziale.

Abbiamo verificato che la credenziale dava accesso all'Instagram e al LinkedIn del dirigente.

Incrociato con Deep & Dark Leak: gli stessi dati dei clienti di quel dominio circolavano già su un marketplace di frode.

Incrociato con gli asset mappati, abbiamo confermato che la sessione apparteneva a un sistema aziendale attivo ed era ancora valida.

Incrociato con il Third Party Risk Manager, abbiamo confermato che quel provider aveva accesso diretto a un ambiente del cliente.

Abbiamo incrociato con il profilo professionale pubblico e visto che era uno sviluppatore: l'accesso poteva arrivare a repository di codice e ambienti di sviluppo.

In attività undercover, uno schema ha attirato l'attenzione: rispondeva solo dopo le 16. Abbiamo mappato i dipendenti che finivano il turno a quell'ora e, con il supporto delle telecamere, abbiamo colto il sospetto mentre fotografava lo schermo.

Abbiamo raccolto i dati parziali disponibili (BIN, prime sei e cifre intermedie di controllo) e li abbiamo incrociati con la base dell'emittente, confermando l'autenticità e delimitando il lotto.

Le combinazioni testate corrispondevano a credenziali di clienti già trafugate su altri servizi: era credential stuffing, non forza bruta.

L'ASM ha individuato il concentratore VPN esposto che corrispondeva alla descrizione, e il Deep & Dark ha collegato l'offerta a un access broker noto.

L'app replicava la schermata di login e catturava il token MFA, e il server usato corrispondeva a una campagna di phishing già attiva.

Abbiamo interagito direttamente con il truffatore nell'ambiente monitorato, arricchendo progressivamente i dati: nomi completi, numeri di telefono, matricole, email aziendali e fotografie.

Incrociata con l'ASM, la credenziale apriva il portale di attivazione SIM, e sul Deep & Dark quello stesso accesso era già pubblicizzato per il cambio di intestazione.

Il formato dei campi restituiti corrispondeva al layout di un sistema interno di assistenza: non era un archivio vecchio, era una query in tempo reale.

L'ASM ha collegato l'IP a un blocco dell'operatore e il Threat Feed mostrava scansioni attive contro quel modello di apparato nella stessa settimana.

Abbiamo correlato decine di annunci fraudolenti attraverso quella stessa chiave e analizzato lo schema dei nomi delle partite IVA, portando alla luce decine di altre registrazioni simili.

L'analisi della superficie di attacco a partire dal brand ha rivelato un dominio interno sconosciuto allo stesso team di sicurezza del cliente, con un servizio di accesso remoto esposto pubblicamente.

L'analisi ha individuato una vulnerabilità critica di accesso remoto nella piattaforma di assistenza clienti, con dati sensibili raggiungibili.

L'e-tracker ha mostrato che la pagina era una copia letterale del sito ufficiale, e sul Deep & Dark i dati dei clienti circolavano già in vendita.

Lo schema di generazione indicava un accesso al pannello promozionale, e la credenziale di un analista compariva in un log di infostealer della stessa settimana.

Il profilo che pubblicava l'annuncio risultava collegato ad altre pagine clonate della stessa operazione, già mappata da Brand Protection.

L'acquirente più attivo era un gruppo ransomware con precedenti nella sanità: un sistema pazienti fermo forza un pagamento rapido.

Il TPRM ha confermato che quel fornitore manteneva un'integrazione API attiva con il sistema di cartelle cliniche del cliente.

La sessione apparteneva al sistema di prenotazioni e cartelle cliniche, raggiungibile dall'esterno: cambiare la password non avrebbe invalidato il cookie.

Lo schema indicava checker che testavano in massa credenziali già in circolazione in fughe di dati e log di infostealer: non era un'intrusione nuova, era il riuso di una credenziale vecchia.

Lo stesso schema di registrazione compariva su altri domini di viaggio: l'Investigation ha mappato la rete di comodo dietro le pagine.

Incrociata con il VIP Monitoring, i suoi dati personali erano già esposti: materiale pronto per impersonificazione e deepfake.

L'analisi delle immagini parziali diffuse come campione ha confermato visivamente che si trattava di una fuga reale; il tracciamento della chiave di pagamento e l'incrocio tramite OSINT hanno identificato una delle venditrici come insegnante di un determinato stato.