Zscaler: gli attaccanti usano l’AI generativa per malware su misura e phishing più credibili
Un'analisi di Zscaler del 16 ottobre 2026 descrive come i gruppi ransomware usano l'AI generativa per scrivere malware, affinare il phishing e trovare dati più in fretta, mettendo in difficoltà i controlli basati su firme.
- Zscaler (16 ottobre 2026): i gruppi ransomware usano l'AI generativa per malware, script e phishing
- Le difese basate su firme perdono valore davanti a codice nuovo e continuamente modificato
- Non c'è una nuova famiglia di malware né una campagna specifica: l'analisi è sui metodi
- Serve rilevare il comportamento dei programmi e accorciare i tempi di indagine
Gli attaccanti usano sempre più l’AI generativa per creare malware personalizzato, riscrivere script dannosi e rendere il phishing più difficile da riconoscere. Lo sostiene un’analisi sul ransomware potenziato dall’AI pubblicata il 16 ottobre 2026 dai ricercatori di Zscaler. L’autore è Phil Hagen, principal information security researcher.
Il documento non individua una nuova famiglia di malware né una singola campagna confermata. Esamina invece metodi di attacco più generali, che toccano ingegneria sociale, ricerca dei dati e sviluppo del codice.
Meno efficaci i controlli basati sulle firme
Molti prodotti di sicurezza confrontano file e traffico di rete con schemi noti, le cosiddette firme. Restano utili contro le minacce già note. Mostrano però i loro limiti quando il codice cambia di continuo, pur producendo lo stesso effetto dannoso.
Secondo Zscaler, l’AI generativa rende queste modifiche più rapide e semplici. Gli attaccanti possono inoltre costruire strumenti propri, invece di appoggiarsi a programmi molto diffusi che i difensori già monitorano. Il rischio non è che ogni programma generato dall’AI eluda i controlli. Il punto è che codice poco familiare arriva più in fretta e riduce il valore delle regole costruite su campioni passati.
Cambia anche l’attribuzione. Un malware su misura indicava in passato sviluppatori esperti o grandi risorse. Oggi i modelli linguistici facilmente disponibili offrono opzioni simili anche ai gruppi ransomware più piccoli. Per Zscaler, uno strumento unico diventa quindi un indizio più debole sulle capacità o sull’identità di chi attacca.
Il report distingue lo sviluppo assistito dall’AI dal malware che usa l’AI mentre è in esecuzione. Zscaler descrive la creazione e la revisione rapida di script, non la prova che ogni payload si riscriva da solo.
Phishing più credibile e furto di dati più rapido
L’attacco spesso comincia prima che parta qualsiasi malware. L’AI generativa aiuta a scrivere email chiare, creare siti convincenti e comunicare con naturalezza nella lingua della vittima. Così calano gli errori di ortografia e grammatica, che molti dipendenti sono stati formati a considerare segnali di phishing.
Zscaler descrive anche messaggi che spingono gli utenti a eseguire software di monitoraggio e gestione remota (RMM). Sono strumenti legittimi, ma l’accesso che offrono può essere abusato per controllare il computer della vittima e potenzialmente raggiungere altri sistemi.
Una volta dentro la rete, l’AI può servire a cercare e classificare grandi quantità di informazioni accessibili. Secondo Zscaler, questo permette di individuare più rapidamente il materiale da rubare o cifrare, rispetto a script e playbook tradizionali. Trovare prima i dati sensibili aumenta la pressione sulle vittime davanti alle richieste di riscatto o alla minaccia di divulgazione.
Come rispondere
Il nodo centrale è una finestra di risposta più breve. Scoperta più veloce dei dati e sviluppo rapido di script lasciano ai difensori meno tempo per collegare le attività sospette prima di furto o cifratura.
La rilevazione, indica la fonte, deve valutare cosa fa un programma e non solo se il file corrisponde a un campione malevolo noto. Zscaler cita come misure difensive:
- rilevazione basata su AI;
- dati di sicurezza combinati;
- indagini più rapide.
Il report descrive anche controlli per siti di phishing, infrastrutture di comando e controllo, contenuti sospetti nel browser e risposta al ransomware. Si tratta di capacità dichiarate dal vendor, non della prova che un singolo prodotto fermi ogni attacco assistito dall’AI.
Fonte: Cyber Security News · Foto: Cyber Security News
