Un router violato, una telecamera di sorveglianza o un server aziendale possono fare da ponte per degli sconosciuti: è il principio di Doorway, una campagna di ciberattacchi scoperta nell'ottobre 2026 dai ricercatori della società di cibersicurezza CloudSEK. Secondo la rivista informatica svizzera ICTjournal, che ne ha dato notizia il 29 ottobre 2026, l'operazione mira a costruire una rete di proxy. Un registro interno degli aggressori riporta 11'363 apparecchi compromessi, e la campagna era ancora attiva durante l'indagine.
Come funziona la campagna Doorway?
Tutto parte da un errore degli aggressori. Nell'ottobre 2026, il team di CloudSEK ha trovato due directory accessibili pubblicamente, per un totale di 41 GB di dati esposti. Contenevano il codice sorgente dell'operazione, credenziali di accesso, log di attività e strumenti per la distribuzione di software dannosi.
Il contenuto delle due directory era identico. Secondo l'analisi di CloudSEK, appartenevano quindi a una stessa operazione, dotata di un'infrastruttura ridondante.
Il motore d'attacco è sviluppato in Rust, un linguaggio di programmazione. Conta 59 moduli di sfruttamento, ognuno rivolto a una categoria di apparecchi o di servizi. Combina in particolare tre metodi:
- il tentativo con credenziali predefinite o già esposte;
- lo sfruttamento di vulnerabilità;
- l'iniezione di comandi.
Una volta ottenuto l'accesso, diversi meccanismi scaricano ed eseguono un payload dannoso adattato all'architettura del sistema preso di mira.
La campagna è inoltre supervisionata da agenti software. Tra i dati esposti, un documento descrive cinque sessioni di agenti incaricate di supervisionare diversi aspetti dell'operazione. Questo sistema segue i risultati delle scansioni e dei tentativi di sfruttamento. Riorienta gli sforzi verso altre categorie di bersagli quando la loro efficacia diminuisce. Secondo CloudSEK, queste sessioni sono legate a strumenti basati su grandi modelli linguistici (LLM), senza che i ricercatori abbiano potuto identificare il sistema di intelligenza artificiale utilizzato.
Router violato, telecamera, server: quali apparecchi sono presi di mira?
Doorway prende di mira router, telecamere di sorveglianza, apparecchiature di reti di telecomunicazione e server aziendali. I log recuperati descrivono soprattutto apparecchiature di rete del marchio MikroTik. La tabella riunisce le cifre pubblicate da CloudSEK e riprese da ICTjournal.
| Cifra | Che cosa misura |
|---|---|
| 4'217 | Indirizzi IP distinti nei log legati alle apparecchiature MikroTik |
| 7'369 | Autenticazioni riuscite su apparecchiature MikroTik |
| 4'923 | Identità di apparecchi corrispondenti a queste autenticazioni |
| 11'363 | Apparecchi compromessi, secondo un registro interno |
| 58'920 | Download di payload dannosi in un periodo di 60 minuti, secondo lo stesso registro |
| 20 | Server Jenkins su cui è confermata l'esecuzione di codice da remoto |
| 16 | Download di plugin individuati su server Openfire |
Questi dati provengono in particolare da un motore di scansione incaricato di individuare nuove vittime. È rimasto in funzione dal 19 settembre al 19 ottobre 2026.
Nemmeno i server sono risparmiati. Oltre a Jenkins, i ricercatori citano Openfire, un software di messaggistica istantanea. L'operazione va dunque oltre i soli oggetti connessi e colpisce strumenti installati nelle aziende.
Perché una PMI svizzera può fare da ponte?
Lo scopo dell'infrastruttura è costituire una rete di proxy, secondo CloudSEK. La nostra analisi: un proxy è un intermediario attraverso il quale transita il traffico di terzi. Un router o una telecamera compromessi possono così far passare connessioni che sembrerebbero provenire dalla rete dell'azienda, senza che il proprietario se ne accorga.
Una PMI non ha bisogno di essere scelta per essere colpita. Molti attacchi sono automatizzati: scandagliano Internet alla ricerca di apparecchi vulnerabili, chiunque ne sia il proprietario, come ricorda la nostra pagina sulla sicurezza informatica delle PMI. Doorway illustra questo funzionamento: un motore di scansione, moduli per tipo di apparecchio e un monitoraggio automatico dei risultati.
Gli apparecchi svizzeri da correggere restano numerosi dopo un'allerta. Un esempio datato, senza legami con Doorway: il 22 ottobre 2026, oltre 23'000 server legati alla Svizzera restavano vulnerabili alla falla PHP2Shell, secondo il rilevamento dell'azienda Risikomonitor, che illustravamo a proposito dei server esposti alla falla PHP.
Le PMI svizzere conoscono già questo tipo di attacco. Secondo lo studio Cibersicurezza delle PMI 2026, pubblicato il 22 ottobre 2026, il 6% di esse ha subito un ciberattacco grave in tre anni. Gli attacchi contro reti e server hanno un ruolo in circa un terzo degli incidenti.
Il punto debole è l'inventario. Oltre l'80% delle PMI installa gli aggiornamenti, ma solo circa un terzo tiene un inventario dei propri sistemi informatici, secondo lo stesso studio. La nostra analisi: un router, una telecamera o un vecchio server di test escono facilmente da questo elenco, e quindi dagli aggiornamenti.
Quali verifiche fare sui propri router e telecamere?
Nelle nostre fonti non figura alcuna allerta dell'Ufficio federale della cibersicurezza (UFCS) specifica per Doorway. Le misure di base dell'Ufficio rispondono tuttavia ai metodi descritti da CloudSEK. La tabella le mette a confronto; questo accostamento è frutto della nostra analisi.
| Metodo rilevato in Doorway | Misura di base dell'UFCS |
|---|---|
| Credenziali predefinite o già esposte | Password sicure e autenticazione a più fattori |
| Sfruttamento di vulnerabilità | Installare gli aggiornamenti di sicurezza |
| Accesso agli apparecchi da Internet | Proteggere gli accessi remoti |
| Apparecchi dimenticati | Censire l'ambiente informatico dell'azienda |
| Propagazione dopo un'intrusione | Segmentare le reti |
In concreto, una PMI può cominciare con alcuni controlli:
- stilare l'elenco dei propri router, telecamere, apparecchiature di rete e server, compresi quelli installati da un fornitore;
- sostituire ovunque le credenziali di fabbrica con password sicure;
- installare gli aggiornamenti di sicurezza di ogni apparecchio;
- verificare quali interfacce di amministrazione sono accessibili da Internet, un punto che l'UFCS ricordava in occasione dell'allerta PHP2Shell;
- separare le telecamere e gli oggetti connessi dalla rete in cui si trovano i dati dell'azienda.
La protezione degli accessi remoti e la segmentazione figurano anche tra le regole di sicurezza informatica nel telelavoro. Per valutare il proprio livello, il test di cibersicurezza per PMI, il Cybersecurity-Check, è gratuito e richiede pochi minuti. La norma minima TIC serve da lista di controllo più completa.
In caso di dubbi su un apparecchio, il 6 ottobre 2026 l'UFCS ha pubblicato le misure da adottare in caso di sospetta infezione da software dannoso. L'Ufficio riceve le segnalazioni volontarie e gestisce un servizio di picchetto 24 ore su 24. Un piano di risposta ai ciberattacchi stabilisce in anticipo chi chiamare.
Cosa non si sa ancora
- Non si sa se tra le vittime figurino apparecchi situati in Svizzera: l'articolo di ICTjournal non fornisce una ripartizione per Paese.
- I modelli precisi di apparecchi e le vulnerabilità sfruttate non sono descritti nel dettaglio, a parte MikroTik, Jenkins e Openfire.
- L'uso che viene fatto della rete di proxy e l'identità degli operatori non sono precisati.
- Il sistema di intelligenza artificiale impiegato per supervisionare la campagna non è stato identificato da CloudSEK.
Fonti
- ICTjournal: «Une campagne de cyberattaques à grande échelle cible routeurs et serveurs», 29 ottobre 2026
- 2clics.com: «Sicurezza informatica delle PMI: le misure di base in Svizzera», 22 ottobre 2026
- 2clics.com: «Cibersicurezza PMI: il 6% delle aziende svizzere colpite in tre anni», 23 ottobre 2026
- 2clics.com: «Cibersicurezza PMI: la falla PHP espone ancora 23 000 server», 26 ottobre 2026
- 2clics.com: «Telelavoro e sicurezza informatica: le regole per una PMI», 28 ottobre 2026
