Sito hackerato: ora lo scassinatore è l’AI

Immagina uno scassinatore che prova centinaia di serrature, una dopo l’altra, per ore, senza stancarsi, mentre il padrone dorme. E lo fa quasi da solo, a un costo bassissimo.

È più o meno quello che ha visto un ricercatore di sicurezza norvegese nelle ultime due settimane. Un criminale di lingua cinese è entrato nei siti di più di cento aziende — fra cui nomi grossi come il produttore di macchine agricole Deere, l’azienda di elettrodomestici SharkNinja e il costruttore di motori Cummins. Solo che il criminale, il lavoro, non l’ha quasi fatto.

L’ha fatto l’intelligenza artificiale per lui.

Cosa è successo, in ordine

Partiamo da chi l’ha scoperto. Snorre Fagerland lavora nella sicurezza informatica da quasi trent’anni, oggi come ricercatore per l’azienda norvegese NorForge. Stava passando al setaccio internet in cerca di una cosa precisa: pannelli di controllo di Cairn lasciati aperti.

Cairn è un programma open source — con il codice pubblico, che chiunque può scaricare — che fa da direttore d’orchestra per agenti AI. Gli dai un bersaglio e un obiettivo, e lui coordina gli agenti che studiano il bersaglio, cercano i punti deboli e provano a entrare. Nato come strumento per risolvere problemi passo dopo passo, è diventato popolare anche fra chi lo usa per scopi illeciti.

Il punto è che questi pannelli hanno un’interfaccia web, e molti operatori li lasciano in rete senza nemmeno una password. Fagerland, intorno al 2 ottobre, ne ha trovati una ventina usati per attività criminali. E ha potuto fare una cosa rara: guardare gli attacchi mentre succedevano, da sopra la spalla di chi li lanciava.

Ecco i fatti, separati da quello che ancora non si sa.

• Il criminale più attivo scriveva in cinese. Dal 25 settembre ha puntato siti di commercio elettronico in Stati Uniti, Canada, Australia e Giappone.
• Le sue istruzioni stavano in meno di cento caratteri cinesi: giusto il tipo di attacco preferito. Il resto lo decidevano gli agenti.
• Entro la fine della settimana scorsa i suoi agenti avevano provato a entrare in più di 1.200 siti. Le aziende violate con successo sono più di cento.
• Un’intrusione riuscita richiedeva in media circa 23 ore di tentativi della macchina. Un progetto è andato avanti più di cinque giorni.
• Reuters riporta la stima di Fagerland: la campagna sembrava usare una combinazione di DeepSeek e Claude Code, ed è costata in tutto circa 5.000 dollari di consumi, all’incirca 50 dollari per ogni sito bucato. Sono stime, con un margine d’incertezza che il ricercatore dichiara ampio.
• Reuters, che ha ricevuto il rapporto prima della pubblicazione, ha dato un nome ad alcune vittime verificando per conto proprio: Deere, SharkNinja, Cummins, più due aziende più piccole che hanno confermato.
• Quanti dati siano stati portati via davvero, non si sa. Nemmeno Reuters è riuscita a stabilirlo.

Deere dice di aver preso «le necessarie misure di ripristino» e di non avere «alcuna indicazione che informazioni sensibili siano state consultate». SharkNinja spiega che l’attacco ha colpito un sito a sé, con solo informazioni di assistenza sui prodotti, e che la minaccia è stata contenuta. Cummins sta «indagando sulla segnalazione di un possibile attacco informatico a un sito gestito da uno dei nostri fornitori terzi».

Tre risposte diverse, una stessa scena di fondo: nomi conosciuti che si ritrovano in una lista compilata da un programma.

Perché un agente è diverso da uno strumento

Qui serve fermarsi un attimo, perché è il cuore della faccenda. Da tempo esistono programmi che tentano di forzare i siti eseguendo una sequenza di passi prestabiliti: provano migliaia di password, o lanciano una lista di attacchi già pronti. Un agente AI lavora in un altro modo: sceglie anche i passaggi successivi in base ai risultati che trova.

Fagerland racconta un caso che fa capire la differenza. Gli agenti non trovavano falle nell’applicazione pubblica di una grande azienda. Allora, invece di arrendersi, hanno cercato nei registri digitali l’infrastruttura collegata a quella azienda, hanno trovato un pannello di controllo raggiungibile da internet, hanno notato un difetto sottile nel modo in cui trattava i dati e, dopo ore di tentativi, hanno riferito di averlo sfruttato per far eseguire al server comandi malevoli.

«Non è banale arrivare a soluzioni del genere», commenta Fagerland. «Non è roba da ragazzini che giocano agli hacker.»

Il salto osservato sta nell’autonomia. Un essere umano capace di quella mossa costa caro e ha ventiquattro ore al giorno come tutti. Un agente che la fa da solo si moltiplica: moltissimi bersagli, uno sull’altro, senza stipendio e senza pause. Fagerland pensava che questi programmi avessero bisogno almeno di un po’ di supervisione umana. Dopo quello che ha visto, ha cambiato idea: «Lo sviluppo in questo campo è impressionante.»

E il prezzo accompagna il salto. In questa campagna il ricercatore stima circa 50 dollari di consumi per ogni intrusione riuscita, con ampio margine d’incertezza. Il lavoro che prima chiedeva un professionista e giorni di fatica, qui l’ha fatto una macchina per la cifra di una cena.

Non è un caso isolato, ed è questo il problema

Si potrebbe pensare a un episodio curioso. Non lo è. È l’ultimo di una fila che si allunga in fretta.

Ad agosto la società israeliana Gambit Security ha scoperto estorsori di lingua russa che usavano l’assistente di programmazione Cursor per entrare in sette organizzazioni. A settembre, sempre Gambit ha documentato una campagna guidata da agenti AI che ha violato 25 aziende e portato via almeno 600.000 registrazioni con dati di carte di credito. La settimana scorsa l’azienda di intelligence Bitsight ha segnalato che nei forum dei criminali le discussioni su come usare gli agenti autonomi stanno crescendo in modo rapido.

C’è un filo che tiene insieme tutto questo e passa anche per cose di cui ho scritto qui. Il mese scorso l’istituto olandese DIVD, che di mestiere caccia le falle nei programmi, è finito violato a sua volta — secondo il DIVD da un agente AI, come ho raccontato quando sono stati bucati i cacciatori di falle. E pochi giorni fa il servizio OpenCode ha comunicato che le chiavi API di alcuni clienti — le credenziali con cui un programma accede a un servizio esterno — potevano essere state esposte in quello che chiamano un attacco di «distillazione», cioè la raccolta massiccia delle risposte dei modelli AI per addestrarne altri.

I due casi raccontano rischi diversi. Quello di NorForge documenta intrusioni condotte con pochissimo intervento umano. Quello di OpenCode ne aggiunge un altro: la possibile esposizione delle credenziali con cui si accede ai servizi AI. È il caso osservato da NorForge a mostrare la cosa che pesa di più: cercare punti deboli ed entrare in un sito con poco aiuto umano è già una pratica criminale concreta, non un esperimento da laboratorio. Questa capacità è accessibile e, nella campagna osservata, è stata usata con costi stimati contenuti.

Vale la pena notare un dettaglio quasi comico, che però conta. Questi criminali hanno lasciato i propri pannelli aperti su internet, senza protezione: è così che Fagerland li ha trovati. Chi sa forzare i siti degli altri non sa chiudere i propri. Non è una consolazione, ma racconta bene lo stato delle cose: anche chi attacca sta correndo più veloce di quanto sappia gestire.

Cosa cambia per chi ha un sito piccolo

A questo punto la domanda giusta non è «mi attaccheranno?». È «quando un agente passerà sul mio sito, troverà una porta aperta?».

Perché cambia la matematica di chi decide i bersagli. Qui la scelta la fa un programma che setaccia internet a tappeto, a basso costo. Anche un sito piccolo può così diventare un bersaglio, se è raggiungibile e ha qualcosa che vale la pena colpire.

Guarda i bersagli di questa campagna: soprattutto siti di commercio elettronico, scelti e ordinati per traffico da un programma che verificava perfino se accettassero ordini. Se vendi online sei in prima fila. Ma anche chi raccoglie indirizzi email o tiene i dati dei clienti dietro una pagina di accesso ha ottime ragioni per prendere le stesse precauzioni: la porta che conta, per un agente, è quella raggiungibile.

Il rapporto, va detto, descrive attacchi che sfruttano difetti già classificati nelle applicazioni e nei servizi collegati — a volte mettendo insieme più debolezze per arrivare in fondo. Non permette di stabilire che ogni falla sfruttata fosse già nota, ma nemmeno racconta trucchi mai visti: è lavoro di scavo, fatto in fretta. Il che vuol dire che le precauzioni utili restano quelle che si conoscono da tempo. Quello che cambia è quanto in fretta vengono messe alla prova.

Come portarlo nel tuo lavoro

Niente panico e niente spese assurde. Le mosse che contano sono poche, e sono le stesse che la documentazione ufficiale di WordPress ripete da anni — solo che ora hanno un motivo più urgente per farle davvero.

• Aggiorna, e in fretta. Il nucleo del sito, il tema (il modello grafico) e i plugin (i componenti aggiuntivi). Gli aggiornamenti correggono falle per cui esiste già una soluzione, e che un agente può sfruttare: ogni settimana che un aggiornamento resta da fare è una settimana di porta socchiusa. Dove puoi, lascia che gli aggiornamenti di sicurezza partano da soli.
• Togli quello che non usi. Ogni plugin e ogni tema installato e dimenticato è una serratura in più da sorvegliare. Disattivarli non basta a escludere ogni rischio: la documentazione di WordPress raccomanda di eliminare i plugin che non usi, non solo di spegnerli.
• Password robusta e verifica in due passaggi. Un agente che indovina la password dell’amministratore entra dalla porta principale e può caricare codice sul server. La verifica in due passaggi aggiunge un secondo controllo oltre alla password — di solito un codice che arriva sul telefono — e rende molto più difficile l’accesso abusivo.
• Proteggi i pannelli raggiungibili da internet. La pagina di accesso, le aree di amministrazione, i pannelli di servizio: vanno dietro un’autenticazione adeguata e una connessione cifrata. Se valuti di restringere l’accesso all’area riservata, fallo con chi gestisce il sito: bloccarla alla cieca può interrompere funzioni che servono davvero.
• Backup veri, e provati. Una copia completa del sito e del database (l’archivio dei contenuti e dei dati), in un posto separato, aggiornata spesso. Serve a tornare in piedi in fretta quando qualcosa va storto, senza dover trattare con nessuno.
• Accorgiti se qualcosa cambia. Un attacco lascia tracce: file nuovi che non hai caricato tu, file modificati, accessi strani nei registri. Un plugin di sicurezza che ti avvisa quando i file del sito cambiano ti aiuta a individuare prima le modifiche sospette.

Se gestisci il sito per un cliente, questa storia è anche un argomento per una conversazione onesta: la manutenzione è la serratura, e toglierla per risparmiare è il modo più rapido per lasciare la porta accostata. E capire come ragionano e dove sbagliano questi strumenti è ormai una competenza di mestiere: se è un terreno su cui vuoi attrezzarti, ne parlo nella pagina formazione.

Queste precauzioni non promettono che un attacco non riesca: riducono il rischio e ti mettono nelle condizioni di reagire. La differenza, quando l’agente passa a provare le porte una per una, la fa chi le ha chiuse prima.

Domande frequenti

Il mio sito è troppo piccolo per interessare a un hacker. È ancora vero?

Anche un sito piccolo è esposto agli attacchi automatici. In questa campagna la scelta dei bersagli era affidata a un programma e teneva conto anche del traffico, ma uno strumento che prova a tappeto, a basso costo — Fagerland stima intorno ai 50 dollari di consumi per ogni intrusione riuscita, con ampio margine d’incertezza — allarga di molto la rete. Questa storia mostra proprio quanto lavoro un agente possa svolgere con pochissimo intervento umano.

Questi agenti usano falle nuove che nessuno conosce?

Il rapporto descrive attacchi che sfruttano difetti già classificati nelle applicazioni e nei servizi collegati, a volte combinando più debolezze. Non permette di stabilire che tutte le falle fossero già note, ma non racconta nemmeno trucchi mai visti. La novità più evidente è la velocità e l’autonomia con cui gli agenti cercano i punti deboli. Per questo le precauzioni classiche contano ancora — aggiornare, password robuste, meno componenti esposti: vanno solo applicate sul serio e in fretta.

Che ruolo hanno Claude e DeepSeek in questa storia?

Reuters riporta la stima di Fagerland: la campagna sembrava combinare DeepSeek e Claude Code. Attenzione a non confonderli: DeepSeek è un modello di intelligenza artificiale, mentre Claude Code è lo strumento che fa da cornice e mette un modello al lavoro. NorForge ipotizza, dal nome del componente osservato, che Claude Code fosse usato proprio con un modello DeepSeek. Resta una stima basata sui dati raccolti, non una conferma delle aziende.

Cosa faccio se penso di essere stato violato?

Prima di tutto conserva le prove e chiedi aiuto: metti da parte i registri degli accessi e coinvolgi chi gestisce l’hosting o il tuo tecnico, perché servono a capire da dove è entrato. Poi cambia le password dell’amministratore e dell’hosting, controlla se ci sono file o utenti che non riconosci e ripristina da un backup pulito precedente all’attacco — ma rimetti online il sito solo dopo aver verificato la copia e chiuso la falla da cui sono passati, altrimenti rientrano dalla stessa porta. E se sono coinvolti dati di clienti, avvisa chi di dovere.

Fonti

• NorForge, Inside Cairn: Open Windows into massive AI-Driven Cyber Operations, 19 ottobre 2026 (rapporto di Snorre Fagerland)
• Reuters, Exclusive-How one hacker used AI agents and a few thousand dollars to break into scores of sites, 19 ottobre 2026 (Raphael Satter)
• The Cryptonomist, AI autonomous hacking targeted 1,200+ sites, breaching 100+ company websites, 19 ottobre 2026
• WordPress, Hardening WordPress (documentazione ufficiale)