Nintendo nega le accuse di violazione da parte di un gruppo di hacker

Nintendo ha negato le accuse di un gruppo di hacker noto come Crimson Collective, secondo cui avrebbe violato i server dell’azienda e avuto accesso a dati interni. In una dichiarazione rilasciata al Sankei Shimbun il 15 ottobre, il colosso dei videogiochi ha confermato che non ci sono prove di alcuna fuga di dati o accesso non autorizzato ai propri sistemi interni. Sebbene alcuni server esterni collegati al sito web siano stati temporaneamente modificati, Nintendo ha dichiarato che non vi è stato alcun impatto sui clienti e che le sue reti interne restano sicure.

Crimson Collective, che in passato aveva rivendicato un attacco a Red Hat, ha pubblicato online degli screenshot che mostravano presunte directory interne di Nintendo. Tuttavia, gli esperti avvertono che tali materiali possono essere facilmente falsificati. Per ora, la risposta rapida di Nintendo ha rassicurato il pubblico che non si è verificata alcuna violazione confermata.

CISA aggiunge una grave vulnerabilità di adobe all’elenco delle vulnerabilità sfruttate

La Cybersecurity and Infrastructure Security Agency (CISA) statunitense ha aggiunto una grave vulnerabilità di Adobe Experience Manager (AEM) al suo catalogo delle Known Exploited Vulnerabilities (KEV), dopo aver confermato prove di sfruttamento attivo.

Identificata come CVE-2025-54253 con un punteggio CVSS di 10.0, la vulnerabilità deriva da una cattiva configurazione in AEM Forms su JEE versione 6.5.23.0 e precedenti. Il problema consente agli aggressori di eseguire comandi di sistema arbitrari tramite il servlet esposto /adminui/debug, che elabora l’input dell’utente come codice Java senza autenticazione. Adobe ha corretto il difetto nella versione 6.5.0-0108 rilasciata nell’agosto 2025, insieme a CVE-2025-54254.

CISA ha invitato le agenzie federali ad applicare gli aggiornamenti entro il 5 novembre 2025. L’avviso segue l’aggiunta di un’altra vulnerabilità critica in SKYSEA Client View, originariamente segnalata nel 2016, evidenziando i rischi continui legati sia ai software nuovi che a quelli legacy.

Microsoft corregge 172 vulnerabilità, comprese sei zero-day

Il Patch Tuesday di ottobre 2025 di Microsoft include correzioni per 172 vulnerabilità, tra cui sei zero-day, due delle quali divulgate pubblicamente e tre già sfruttate attivamente. Otto vulnerabilità sono classificate come critiche, cinque delle quali consentono l’esecuzione di codice remoto e tre l’elevazione dei privilegi.

La distribuzione delle falle comprende: 80 elevazioni di privilegio, 31 esecuzioni di codice remoto, 28 divulgazioni di informazioni, 11 attacchi denial of service, 11 bypass delle funzionalità di sicurezza e 10 falsificazioni.

Questa release segna l’ultimo Patch Tuesday per Windows 10, poiché il sistema operativo raggiunge la fine del supporto. Gli utenti potranno continuare a ricevere aggiornamenti di sicurezza tramite il programma Extended Security Updates (ESU).

Le vulnerabilità zero-day includono difetti in Windows SMB Server, Microsoft SQL Server e un driver Agere Modem sfruttato per l’elevazione dei privilegi. Le organizzazioni sono invitate ad applicare immediatamente gli aggiornamenti.

L’ico multa capita per 14 milioni di sterline per la violazione dei dati del 2023

L’Information Commissioner’s Office (ICO) del Regno Unito ha multato Capita per 14 milioni di sterline a seguito di una violazione dei dati del 2023 che ha esposto le informazioni personali di 6,6 milioni di persone. L’incidente ha coinvolto centinaia di clienti, inclusi 325 fornitori di piani pensionistici, dopo che gli hacker hanno avuto accesso a circa il 4% dell’infrastruttura IT interna dell’azienda.

Gli aggressori sono entrati quando un dipendente ha scaricato un file dannoso, consentendo al gruppo ransomware Black Basta di infiltrarsi nella rete per 58 ore prima che il dispositivo compromesso fosse isolato. L’ICO ha segnalato scarsi controlli di accesso, ritardi nella risposta agli avvisi e test di penetrazione inadeguati come principali carenze.

La multa, inizialmente fissata a 45 milioni di sterline, è stata ridotta dopo che Capita ha accettato la responsabilità e implementato importanti miglioramenti alla sicurezza.

Mango rivela una violazione dei dati tramite un fornitore di marketing esterno

Il rivenditore di moda spagnolo MANGO ha informato i clienti di una violazione dei dati dopo che uno dei suoi fornitori di servizi di marketing esterni ha subito un accesso non autorizzato che ha esposto dati personali. La violazione, resa pubblica il 14 ottobre 2025, ha riguardato le informazioni utilizzate per le campagne di marketing, tra cui nome, paese, codice postale, indirizzo email e numero di telefono.

MANGO ha confermato che nessun dato finanziario, documento d’identità o credenziale di accesso è stato compromesso e che la sua infrastruttura aziendale rimane intatta, garantendo la normale operatività. L’azienda ha segnalato l’incidente all’Agenzia spagnola per la protezione dei dati (AEPD) e ha attivato canali di supporto dedicati per i clienti coinvolti.

Sebbene il rischio diretto sia limitato, gli esperti di sicurezza avvertono che i dati esposti potrebbero essere utilizzati in campagne di phishing mirate. Al momento, nessun gruppo ransomware ha rivendicato l’attacco.

Si le preocupan alguna de las amenazas descritas en este boletín o necesita ayuda para determinar qué medidas debe tomar para protegerse de las amenazas más importantes que enfrenta su organización, comuníquese con su gerente de cuenta o, alternativamente, póngase en contacto para saber cómo puede proteger su organización. 

El Resumen de Inteligencia de Amenazas fue preparado por Integrity360, resumiendo las noticias sobre amenazas tal como las observamos, actualizadas a la fecha de publicación. No debe considerarse asesoramiento legal, de consultoría o cualquier otro tipo de asesoramiento profesional. Cualquier recomendación debe considerarse en el contexto de su propia organización. Integrity360 no adopta ninguna postura política en la información que compartimos. Además, las opiniones expresadas pueden no ser necesariamente las de Integrity360.