I ricercatori di sicurezza di Rapid7 hanno tolto il velo su come vengono costruite le moderne operazioni di phishing, dopo aver scoperto un server esposto contenente 1.048 file legati a una campagna attiva che prende di mira vittime in Messico. La scoperta collega direttamente una pipeline di phishing assistita dall'IA al malware distribuito tramite WebDAV, un protocollo di cui la maggior parte delle persone non ha mai sentito parlare ma su cui gli aggressori fanno sempre più affidamento per far passare i file dannosi oltre le difese.

La scoperta è importante meno per il numero di vittime e più per ciò che rivela: un progetto funzionante di come gli strumenti di IA generativa siano ora integrati nella catena di fornitura del phishing, dalla creazione dell'esca alla consegna del payload.

Cosa ha trovato Rapid7 sul server esposto

Secondo la ricerca di Rapid7, il server esposto non era protetto come dovrebbe esserlo un'infrastruttura operativa di un aggressore. Questa configurazione errata ha permesso ai ricercatori di raccogliere 1.048 file, essenzialmente un'istantanea del toolkit che un operatore stava utilizzando per condurre una campagna attiva di phishing e malware rivolta a obiettivi in Messico.

I server di comando e controllo o di staging esposti non sono insoliti nel mondo della threat intelligence. Gli aggressori commettono errori proprio come i difensori e, quando lasciano un server aperto, i ricercatori ottengono una rara occhiata ai meccanismi dietro una campagna, anziché solo alle sue conseguenze. In questo caso, quei meccanismi includevano prove di una pipeline di phishing assistita dall'IA, il che significa che gli operatori stavano utilizzando strumenti di modelli linguistici di grandi dimensioni da qualche parte nel processo di creazione o perfezionamento delle loro esche.

All'interno della pipeline di phishing assistita dall'IA

L'uso dell'IA nel phishing non è una teoria nuova; è diventato un modello documentato in numerose campagne quest'anno. Ciò che rende degne di nota le scoperte di Rapid7 è il collegamento diretto tra una pipeline di contenuti assistita da LLM e una catena di distribuzione malware funzionante basata su WebDAV, piuttosto che semplici esempi isolati di email di phishing generate dall'IA.

Ciò rispecchia un cambiamento più ampio documentato in tutto il settore. Campagne come VENOMOUS#HELPER, che ha compromesso più di 80 organizzazioni statunitensi utilizzando strumenti legittimi di monitoraggio e gestione remota, hanno mostrato come gli aggressori facciano sempre più affidamento su tecnologia affidabile e quotidiana per evitare il rilevamento. La generazione di contenuti assistita dall'IA segue la stessa logica: consente agli aggressori di produrre esche convincenti, ben scritte e localizzate su larga scala senza bisogno di padronanza della lingua madre o di un pesante sforzo manuale, abbassando la barriera delle competenze necessarie per condurre una campagna credibile.

Perché WebDAV è il meccanismo di distribuzione preferito

WebDAV (Web Distributed Authoring and Versioning) è un protocollo che consente agli utenti di gestire e modificare file su un server web remoto, in modo simile a un'unità di rete condivisa accessibile tramite HTTP. Poiché è integrato in Windows e ampiamente utilizzato in contesti aziendali legittimi, il traffico verso i server WebDAV non sempre fa scattare allarmi come potrebbe fare il download di un eseguibile sconosciuto.

Questa familiarità è esattamente ciò che lo rende attraente per gli aggressori. Un file dannoso ospitato su una condivisione WebDAV può essere richiamato in un'email o in un documento di phishing in modo che assomigli a un normale accesso a un file, aiutando il payload a passare inosservato agli utenti e, in alcuni casi, agli strumenti di sicurezza che non sono configurati per esaminare attentamente le connessioni WebDAV.

Ciò si inserisce in un modello osservato nei principali incidenti dell'anno. Come ha osservato il Verizon 2026 Data Breach Investigations Report, i difetti del software hanno superato le password come principale punto di ingresso delle violazioni, ma il social engineering e l'abuso di protocolli affidabili rimangono tattiche complementari fondamentali che permettono agli aggressori di superare la prima linea di difesa prima che entri in gioco qualsiasi exploit tecnico.

Cosa significa per te

Se ti trovi in Messico o lavori con organizzazioni che vi operano, questa campagna è un promemoria diretto per trattare con sospetto i link di condivisione file e le richieste di accesso inaspettati, anche quando appaiono curati e professionali. I contenuti di phishing assistiti dall'IA sono specificamente progettati per eliminare gli errori grammaticali e di tono che un tempo costituivano un segnale d'allarme affidabile.

Per tutti gli altri, la lezione più ampia è che i kit di phishing si stanno evolvendo più velocemente dell'istinto della maggior parte degli utenti nel riconoscerli. La rassegna dei principali attacchi informatici del 2026 mostra un tema coerente: gli aggressori stanno professionalizzando i loro strumenti, spesso più velocemente di quanto le organizzazioni che si difendono riescano ad adattare la propria formazione e il proprio rilevamento.

Consigli pratici

  • Diffida dei link di condivisione file o documenti inaspettati, anche se l'email o il messaggio sembra ben scritto e legittimo.
  • Verifica le richieste insolite di apertura di file condivisi attraverso un secondo canale, come una telefonata o un'app di messaggistica separata, prima di fare clic.
  • Mantieni aggiornati gli strumenti di sicurezza degli endpoint e di filtraggio della posta elettronica, poiché la distribuzione basata su WebDAV può aggirare le difese configurate solo per i tipi di allegati comuni.
  • Le aziende dovrebbero verificare quali protocolli, incluso WebDAV, sono consentiti attraverso la propria rete e limitare l'accesso dove non è operativamente necessario.
  • Tieniti informato su come si stanno evolvendo le tecniche di phishing assistite dall'IA, poiché la rifinitura e la personalizzazione delle esche continueranno probabilmente a migliorare.

Il server esposto scoperto da Rapid7 offre uno sguardo raro e concreto su come gli strumenti di IA vengano integrati nelle operazioni di phishing reali, anziché rimanere un rischio teorico. Capire come vengono costruite queste campagne di phishing assistite dall'IA è il primo passo per riconoscerle prima che abbiano successo.