Venerdì 21 novembre il team anti-frode D3Lab ha identificato la prima campagna di phishing in lingua italiana rivolta agli utenti Klarna. L’attacco viene veicolato tramite e-mail e riproduce una comunicazione che informa la vittima della sospensione di alcune funzionalità dell’account a causa di un presunto pagamento non più valido. Il messaggio invita l’utente a verificare la propria identità attraverso un accesso immediato al profilo.
Continua a leggere
A distanza di pochi giorni dalla precedente campagna che imitava comunicazioni di Poste Italiane e invitava gli utenti a contattare il numero 0686356057, i criminali tornano a colpire sfruttando esattamente lo stesso recapito telefonico. Cambia però il pretesto: questa volta l’email finge di provenire da Google e segnala una sospetta “nuova registrazione del dispositivo” sull’account Gmail della vittima.
Il messaggio, costruito con uno stile che richiama i report tecnici generati automaticamente da sistemi CRM, include una serie di dati apparentemente plausibili come il modello del dispositivo, la versione di iOS, l’IMEI e la geolocalizzazione dell’indirizzo IP. Gli attori della minaccia sfruttano queste informazioni per generare un senso di urgenza e convincere l’utente a contattare immediatamente il numero indicato. È lo stesso impianto psicologico osservato nella precedente campagna: nessun link malevolo, nessun allegato, soltanto un invito a telefonare a un numero gestito dal gruppo criminale.
Continua a leggere
Negli ultimi giorni il Cyber Threat Intelligece Team di D3Lab ha rilevato una nuova campagna di phishing rivolta agli utenti di Poste Italiane che si distingue per una caratteristica insolita: l’assenza totale di link all’interno dell’email. Il messaggio invita invece il destinatario a contattare un numero telefonico italiano per verificare la propria identità, una tecnica che unisce elementi tipici del phishing e del vishing e rende la frode particolarmente difficile da intercettare dai sistemi automatici di protezione.
L’email si presenta come un avviso di sicurezza e riporta un presunto tentativo di accesso anomalo da un indirizzo IP estero, indicato come proveniente da Hong Kong. Per rassicurare il destinatario e convincerlo ad agire con urgenza, il messaggio sostiene che alcune funzionalità dell’account siano state temporaneamente limitate a scopo precauzionale. Viene quindi richiesto di chiamare il numero 06 8635 6057 per confermare la propria identità e ripristinare l’accesso.
Continua a leggere
During D3Lab’s continuous monitoring of newly registered domains through our Brand Monitor service, we identified a domain crafted to impersonate the Google Play Store.
The site advertises a supposed application called “GPT Trade”, presented as an AI-powered trading assistant and visually styled to resemble official ChatGPT / OpenAI branding. Unsuspecting users are encouraged to download an APK directly from the page: https://playgoogle-gpttrade[.]com/GPT%20Trade.apk
Our investigation revealed that GPT Trade is not a legitimate application, but a sophisticated Android dropper engineered to generate, prepare, and install multiple secondary malware payloads, including:
The overall structure of the attack shows a modern, modular approach where threat actors rely on packer-as-a-service platforms, Telegram bots, and impersonation techniques to distribute malware effectively.
Continua a leggere
Negli ultimi giorni il team di Cyber Threat Intelligence di D3Lab ha intercettato una campagna di phishing ai danni di Facebook Business che si distingue per una caratteristica particolarmente insidiosa: l’utilizzo dell’infrastruttura di Salesforce, uno dei principali CRM a livello mondiale, come canale di invio delle email fraudolente.
L’email analizzata arriva da un indirizzo del tutto legittimo, [email protected], e supera i controlli SPF senza problemi. Non siamo quindi davanti a un classico caso di spoofing, bensì a un abuso consapevole delle funzionalità offerte dalla piattaforma. I criminali, infatti, registrano un account su Salesforce approfittando della demo gratuita e sfruttano questo accesso per inviare messaggi fraudolenti che appaiono tecnicamente autentici e quindi difficili da bloccare con i filtri antispam tradizionali.
Il testo della comunicazione simula una notifica legale proveniente da Sony Music Italy tramite lo studio Legance – Avvocati Associati, sostenendo che i contenuti musicali protetti da copyright sarebbero stati condivisi senza autorizzazione sulle pagine Facebook del destinatario. Per aumentare la pressione psicologica viene fornito un numero di caso fittizio e si prospettano possibili conseguenze legali. All’interno del messaggio è presente un link che sembra appartenere a business.facebook.com, ma che in realtà reindirizza verso un dominio esterno creato Ad-Hoc dai criminali (metahelp-support[.]com).
Continua a leggere
Il team di Cyber Threat Intelligence di D3Lab ha rilevato una nuova e insidiosa campagna di phishing via SMS (smishing) che sfrutta il nome dell’Agenzia delle Entrate per indurre gli utenti a fornire dati personali e, soprattutto, le credenziali di accesso ai propri wallet di criptovalute.
Gli utenti ricevono un SMS con il seguente testo:
“Abbiamo rilevato valute virtuali a Lei riconducibili. La normativa vigente ne impone la dichiarazione entro il 30/09/2025 agenziaentrate-dichiarazione[.]com”
Il link contenuto nel messaggio rimanda a un dominio recentemente registrato (agenziaentrate-dichiarazione[.]com), non riconducibile all’Agenzia delle Entrate, ma gestito da attori criminali.
Continua a leggere
In questi primi mesi del 2025 il team di Threat Intelligence di D3Lab ha osservato un aumento preoccupante delle campagne di phishing rivolte agli utenti italiani di Binance, la nota piattaforma internazionale per lo scambio di criptovalute. Questo fenomeno non solo si distingue per l’alto volume di attacchi, ma anche per il grado di sofisticazione raggiunto: SMS, email, telefonate e ora anche Telegram vengono sfruttati per colpire le vittime in maniera mirata. In questo articolo analizziamo tecnicamente una delle campagne più attive di quest’anno, con l’obiettivo di informare e proteggere gli utenti.
Continua a leggere
Dalla seconda metà di febbraio 2025, è stata osservata in Italia una nuova campagna fraudolenta che sfrutta applicazioni Android apparentemente legittime per sottrarre i dati delle carte bancarie tramite tecnologia NFC. Queste app, denominate “SuperCard X”, “KingCard”, o “Verifica Carta”, non sono malware che comprometto il device in senso tradizionale, ma strumenti sofisticati che consentono ai criminali di emulare carte di credito o debito e disporre illeciti pagamenti contactless a distanza, sfruttando dispositivi controllati da remoto.
Continua a leggere
In recent days, the cybersecurity community has been alarmed by the emergence of a massive data leak known as ALIEN TXTBASE, which was recently indexed on Have I Been Pwned (HIBP). This breach, reportedly containing over 23 billion records, was published on a Telegram channel and claimed to be a collection of Stealer Logs—credentials stolen from malware-infected devices.
Our in-depth analysis questions the authenticity and reliability of these leaked records. This article will break down the dataset, uncover inconsistencies, and explain why this so-called breach might not be as alarming as it seems.
Continua a leggere
On February 19, 2025, the illegal marketplace B1ack’s Stash released a massive collection of sensitive data containing over 1 million unique credit and debit cards. This free release follows the strategy previously used by BidenCash, where criminals distribute stolen data en masse to promote their marketplace.
The announcement of the release was shared on February 17 on a well-known deep web forum, commonly used for selling and sharing data leaks. The post promised the release of 4 million free credit cards, with the actual upload of 6 archives containing 1,018,014 unique cards. Among these, 192,174 were issued by European financial institutions.
Screenshot of the announcement posted on the forum:
