Uno strumento di hacking con IA ha lanciato 2.900 tentativi di accesso al minuto: l'autenticazione a due fattori è attiva sugli account della tua azienda?

ARTEX, uno strumento di hacking che conduce i suoi attacchi con agenti di IA, è ormai alla portata di qualsiasi attaccante: il 5 novembre 2026 Censys ha contato più di 1.465 server esposti su internet che lo eseguono, e un gruppo legato alla Cina lo ha già usato per una campagna di indovinamento delle password che ha toccato un picco di 2.900 tentativi di accesso al minuto. La protezione più economica e rapida è l'autenticazione a due fattori: uno studio di Microsoft ha rilevato che riduce il rischio di compromissione di un account del 99,22%. Fai tre cose questa settimana: rendi obbligatoria l'autenticazione a due fattori su tutti gli account di posta e di amministrazione, disattiva i vecchi protocolli di posta e chiedi un report di chi non si è ancora registrato. Se la tua azienda collega app esterne a Microsoft 365, leggi anche il nostro articolo sull'attacco a ConnectWise, perché quella falla non si chiude con la sola autenticazione a due fattori.

Che cos'è ARTEX e perché dovrebbe interessarti?

ARTEX è un framework open source per test di penetrazione automatizzati che il suo sviluppatore ha pubblicato su GitHub il 26 luglio 2026. Secondo il rapporto di Censys pubblicato il 5 novembre 2026, un agente di IA pianifica l'attacco e lo suddivide in compiti, altri agenti eseguono gli strumenti di scansione e riportano i risultati, e il ciclo si ripete fino al raggiungimento dell'obiettivo. Microsoft lo descrive come capace di portare avanti un attacco dalla ricognizione al furto di dati con poco intervento umano.

Dopo che è emerso il suo impiego in attacchi reali, lo sviluppatore ha annunciato il passaggio al codice chiuso e ha rimosso il repository, ma copie archiviate e versioni rinominate continuano a circolare. Censys ha contato circa 815 installazioni indipendenti dopo aver escluso i server configurati in modo identico, tra cui 726 server negli Stati Uniti, 387 a Hong Kong e 177 in Cina. In pratica, ciò che prima richiedeva una squadra di attaccanti ora richiede una persona e uno strumento gratuito.

Che cosa hanno fatto davvero gli attaccanti con questo strumento?

Nel rapporto pubblicato il 21 ottobre 2026, Microsoft ha documentato una campagna del gruppo che traccia come Storm-0940, che ha usato ARTEX per indovinare automaticamente le password tra il 10 e il 14 ottobre:

• 327 account in 8 organizzazioni sono stati colpiti con il password spraying, cioè provando password comuni su molti account.
• Oltre 151.000 accessi falliti, più di 111.000 in un solo giorno, con un picco di 2.900 tentativi al minuto l'11 ottobre.
• 48 account hanno ricevuto ciascuno più di 1.000 tentativi falliti.
• In altri attacchi dello stesso gruppo sono trascorse meno di 3 ore tra il primo bersaglio e l'accesso privilegiato all'infrastruttura cloud.

Microsoft afferma di non aver osservato alcun accesso riuscito da quella specifica campagna, perché i blocchi degli account ne hanno assorbito la maggior parte. Ma TechCrunch ha riassunto il 6 novembre che molti di questi attacchi hanno sfruttato debolezze semplici: password deboli o note e l'assenza di autenticazione a più fattori.

Perché una password da sola non basta più

Non basta. Una macchina non si stanca e non dorme, e qualsiasi account con una password riutilizzata o già trapelata verrà provato prima o poi. L'autenticazione a due fattori aggiunge un secondo fattore che l'attaccante non ha: un codice in un'app sul telefono del dipendente, una chiave di sicurezza o una passkey. I ricercatori di Microsoft hanno analizzato account reali con attività sospette e hanno rilevato, nel loro studio pubblicato, che l'autenticazione a due fattori riduce il rischio di compromissione del 99,22%, e del 98,56% anche quando la password è già trapelata. Hanno anche osservato che le app di autenticazione superano i codici via SMS, anche se entrambi sono molto meglio di niente.

Un avvertimento importante dalla documentazione di Microsoft: i vecchi protocolli di posta come IMAP, POP3 e SMTP non supportano l'autenticazione a due fattori, quindi un attaccante può accedere attraverso di essi e aggirare tutta la protezione. L'attivazione è completa solo quando vengono disattivati.

Che cosa dicono i controlli dell'Autorità nazionale per la cybersicurezza?

Gli Essential Cybersecurity Controls ECC-2:2024 emessi dall'Autorità nazionale per la cybersicurezza (NCA) dell'Arabia Saudita richiedono l'autenticazione a più fattori in almeno tre punti:

• Controllo 2-2-3-2: per l'accesso remoto e per gli account privilegiati.
• Controllo 2-4-3-2: per l'accesso remoto e via webmail alla posta elettronica.
• Controllo 2-15-3-5: per l'accesso degli utenti alle applicazioni web esterne.

I controlli sono vincolanti per gli enti governativi, le loro società affiliate e i soggetti privati che possiedono, gestiscono o ospitano infrastrutture nazionali critiche, e l'Autorità incoraggia vivamente tutti gli altri soggetti del Regno a utilizzarli. Se fornisci servizi a un ente governativo, aspettati domande in merito nelle valutazioni dei fornitori.

I passaggi per attivarla questa settimana

• Microsoft 365: nell'interfaccia di amministrazione di Microsoft Entra apri Entra ID, poi Overview, poi Properties, poi Manage security defaults, e attivali. Le impostazioni predefinite per la sicurezza sono gratuite, non richiedono licenze aggiuntive, impongono l'autenticazione a due fattori agli amministratori e bloccano i protocolli legacy. Microsoft consiglia due account di amministrazione di emergenza non legati a un singolo dipendente, per non restare mai chiusi fuori.
• Google Workspace: in Menu, poi Security, poi Authentication, poi 2-step verification, consenti prima al personale di registrarsi, poi imponila da una data stabilita. Google consente un periodo di registrazione per i nuovi utenti da 1 giorno a 6 mesi, e puoi richiedere chiavi di sicurezza o passkey per direzione e finanza.
• Priorità: inizia dagli account di amministrazione, finanza e posta, poi il resto del personale, poi gli altri sistemi come la contabilità, il negozio online e i pannelli di hosting.
• Monitoraggio: chiedi ogni settimana un report di chi non si è registrato e concedi solo eccezioni temporanee con una motivazione scritta.

Il punto di vista di Origami

Non è cambiato il tipo di attacco, perché indovinare le password è una tecnica vecchia, ma il suo costo: ora è automatizzato, economico e alla portata di chiunque. Un'azienda la cui posta e la cui contabilità si aprono ancora con una sola password sta scommettendo che l'attaccante non arriverà mai, e quella scommessa col tempo si perde.

Per questo ogni sistema che Origami consegna è costruito in modo che l'accesso passi da almeno due fattori, collegato al single sign-on quando l'azienda ha già un account Microsoft o Google, come abbiamo spiegato nel nostro articolo su autenticazione sicura e SSO. Se vuoi far verificare come il tuo team accede ai tuoi sistemi, o collegarli a un unico account protetto, contattaci.

Conclusione

Uno strumento di attacco con IA gratuito ora prova migliaia di password al minuto senza stancarsi. L'autenticazione a due fattori, insieme alla disattivazione dei vecchi protocolli, chiude gran parte di quella porta, e si può attivare in Microsoft 365 e Google in pochi giorni senza costi aggiuntivi. Inizia oggi da direzione e finanza, e non aspettare che il tuo account compaia nell'elenco delle vittime del prossimo rapporto.

Fonti

• Microsoft Security Blog: Storm-0940 uses ARTEX in ConnectWise supply chain compromise, 21 ottobre 2026
• Censys: rapporto su ARTEX e server esposti, 5 novembre 2026
• Autorità nazionale per la cybersicurezza (NCA): Essential Cybersecurity Controls ECC-2:2024
• Microsoft Research: How effective is multifactor authentication at deterring cyberattacks?
• Microsoft Learn: Configure security defaults for Microsoft Entra ID
• Google Workspace: Deploy 2-Step Verification
• TechCrunch: Hundreds of ARTEX AI hacking tools found publicly exposed to the web, 6 novembre 2026