Un gruppo cybercriminale di lingua cinese, tracciato da Proofpoint con la sigla TA4922, ha ampliato le sue operazioni di phishing oltre l’Asia orientale e ora colpisce direttamente Regno Unito, Germania, Italia e Sudafrica. La scoperta, resa pubblica il 3 giugno 2026, descrive un attore con un ritmo operativo senza precedenti, esche localizzate su buste paga e fisco e un arsenale di malware in continua evoluzione. Per le aziende italiane si tratta di una minaccia nuova, finanziariamente motivata e difficile da intercettare con i soli filtri email.
Questa analisi ricostruisce i fatti, i numeri e le tecniche della campagna TA4922 phishing, confronta il gruppo con altri attori cinesi noti e spiega perché l’Europa è entrata nel mirino proprio nel 2026. Include due tabelle dati, le valutazioni dei ricercatori e cinque previsioni concrete per i prossimi mesi.
TA4922, il gruppo cinese che ora prende di mira l’Italia
TA4922 non è il classico gruppo di spionaggio statale. Proofpoint lo classifica come attore finanziariamente motivato, interessato a ottenere accesso remoto agli ambienti delle vittime per furto di dati, frodi, rivendita di accessi e persistenza nel tempo. La novità del rapporto di giugno 2026 è geografica: dopo anni concentrati su Giappone, Taiwan, Corea del Sud, Singapore e India, il gruppo ha iniziato a colpire organizzazioni europee e africane con esche tradotte e adattate alle pratiche commerciali locali.
L’inclusione esplicita dell’Italia nell’elenco dei nuovi bersagli cambia il livello di rischio per imprese, studi professionali e pubbliche amministrazioni del Paese. Le campagne di TA4922 non sono di massa: hanno dimensioni da poche centinaia a qualche migliaio di destinatari, spesso selezionati per ruolo e funzione. Questa precisione le rende più insidiose, perché un messaggio su una busta paga inviato a un ufficio risorse umane appare plausibile e supera con facilità il primo livello di sospetto.
Il dato che più colpisce gli analisti riguarda la frequenza. Secondo Proofpoint, TA4922 conduce più campagne uniche di qualunque altro attore cybercriminale presente nei suoi dati di telemetria. Questo ritmo, unito a una rotazione rapida del malware, suggerisce un’operazione strutturata, con risorse dedicate allo sviluppo e alla localizzazione delle esche.
Cosa è successo: la campagna TA4922 phishing di giugno 2026
Il 3 giugno 2026 Proofpoint ha pubblicato un’analisi dettagliata sotto il titolo “TA4922: The Suspected Chinese Crime Group is Going Global”. Nelle 24 ore successive la notizia è stata ripresa da The Hacker News, SecurityWeek e Infosecurity Magazine, segnalando l’espansione verso Regno Unito, Germania, Italia e Sudafrica come l’elemento centrale.
Il modello di attacco è coerente in tutte le aree geografiche. TA4922 invia email di phishing con temi di risorse umane, buste paga, tasse e fatture. Il messaggio contiene link malevoli o porta a un payload tramite ingegneria sociale. Una volta agganciata la vittima, il gruppo cerca di spostare la conversazione su canali di messaggistica fuori banda come LINE, WhatsApp e Microsoft Teams, aggirando così i controlli di sicurezza della posta aziendale.
Un esempio concreto citato nel rapporto riguarda una campagna del 6 marzo 2026: esche a tema risorse umane contro organizzazioni giapponesi, con l’obiettivo di distribuire Atlas RAT tramite la tecnica del DLL side-loading. In Germania, invece, i ricercatori hanno osservato esche costruite intorno a finti avvisi di verifica fiscale. L’adattamento culturale delle esche è ciò che rende la campagna efficace su scala continentale.
Chi è TA4922: profilo di un attore “globale per opportunità”
Proofpoint descrive TA4922 come uno degli attori cybercriminali meno specializzati e più diversificati che monitora. Non insegue un singolo settore o un singolo Paese: segue le opportunità, ovunque si trovino. La valutazione è che il gruppo sia di lingua cinese e con base in Asia orientale, ma la sua attività non corrisponde al profilo di un’operazione di spionaggio statale.
La motivazione resta economica. Gli obiettivi dichiarati dagli analisti sono quattro: furto di dati, frodi, rivendita degli accessi ad altri criminali e mantenimento di un accesso persistente. In alcune campagne Proofpoint ha osservato anche attività di furto di carte di credito. Questa flessibilità di monetizzazione è tipica dei gruppi cybercriminali maturi, che trasformano ogni intrusione in più flussi di ricavo.
C’è però un’ombra che preoccupa i difensori. Il malware utilizzato da TA4922 include capacità di sorveglianza che, pur servendo oggi a fini di profitto, potrebbero essere usate o vendute a gruppi di spionaggio. La linea tra crimine finanziario e attività statale, in questo caso, è sottile.
L’arsenale malware: ValleyRAT, Atlas RAT e i nuovi loader
La caratteristica più temuta di TA4922 è la velocità con cui ruota e aggiorna i suoi strumenti. Il rapporto di giugno 2026 documenta quattro famiglie principali, due delle quali precedentemente non documentate. Questo continuo rinnovamento complica il lavoro dei sistemi di rilevamento basati su firme statiche.
ValleyRAT (Winos 4.0) e Atlas RAT
Il cuore dell’arsenale è ValleyRAT, conosciuto anche come Winos 4.0, un trojan di accesso remoto già associato ad altri gruppi cinesi. Accanto ad esso, Proofpoint ha tracciato Atlas RAT in campagne contro organizzazioni in Giappone, Regno Unito e Germania. Entrambi consentono il controllo remoto della macchina infetta, l’esfiltrazione di dati e l’installazione di moduli aggiuntivi.
RomulusLoader e SilentRunLoader
Le due novità del 2026 sono i loader RomulusLoader e SilentRunLoader, strumenti finora non documentati pubblicamente. Un loader serve a preparare il terreno: scarica e avvia il payload finale, spesso usando tecniche di evasione come il DLL side-loading (catalogato da MITRE ATT&CK come T1574.002). La presenza di loader proprietari indica una capacità di sviluppo interna, non l’uso di kit acquistati su forum criminali.
Le esche di TA4922: buste paga, fisco e fatture
La forza di TA4922 sta nella scelta delle esche. Il gruppo punta su temi che generano urgenza e che arrivano a uffici con accesso a dati sensibili: risorse umane, buste paga, tasse e fatturazione. Un messaggio che simula una comunicazione su una busta paga o un avviso dell’agenzia fiscale ha un tasso di apertura molto più alto di un generico allegato sconosciuto.
In Germania, gli analisti hanno documentato l’uso di finti avvisi di verifica fiscale. È ragionevole attendersi che in Italia le esche vengano adattate al contesto locale, con riferimenti ad Agenzia delle Entrate, INPS, fatturazione elettronica o cedolini. Per un ufficio amministrativo italiano, un PDF che imita una comunicazione fiscale è esattamente il tipo di documento che ci si aspetta di ricevere.
Questa localizzazione spinta è il motivo per cui le difese tecniche da sole non bastano. La formazione del personale, in particolare di chi gestisce paghe, contabilità e fornitori, diventa la prima linea di difesa contro la campagna TA4922 phishing. Le stesse logiche valgono per qualunque attacco di ingegneria sociale, come spieghiamo nella nostra guida al phishing e all’ingegneria sociale.
La tecnica del “fuori banda”: LINE, WhatsApp e Teams
Uno degli aspetti più innovativi della tattica di TA4922 è lo spostamento della conversazione fuori dalla posta elettronica. Dopo il primo contatto via email, il gruppo cerca di portare la vittima su LINE, WhatsApp o Microsoft Teams. Questo passaggio, definito comunicazione fuori banda, ha un obiettivo preciso: eludere i gateway di sicurezza email che analizzano allegati e link.
Una volta che la conversazione si sposta su un’app di messaggistica, le difese aziendali perdono visibilità. Il link malevolo o il file infetto arriva attraverso un canale che la maggior parte delle imprese non monitora con la stessa intensità della posta. È una mossa che sfrutta la fiducia: ricevere un messaggio su WhatsApp da un presunto collega o fornitore abbassa la guardia più di una email.
Questa tendenza non è isolata. La superficie d’attacco si sta spostando sempre più verso i canali consumer e i browser, come documentiamo nell’analisi sul phishing nel browser, in crescita del 140% nel 2026. TA4922 cavalca questa onda con disciplina operativa.
Cronologia delle campagne TA4922
| Data | Bersaglio geografico | Esca | Malware / tecnica |
|---|---|---|---|
| Fino al 2025 | Giappone, Taiwan, Corea del Sud, Singapore, India | HR, fatture, fisco | ValleyRAT / Winos 4.0 |
| 6 marzo 2026 | Giappone | Risorse umane | Atlas RAT via DLL side-loading |
| Inizio 2026 | Germania | Avviso di verifica fiscale | Atlas RAT |
| Inizio 2026 | Regno Unito | HR / fatturazione | Atlas RAT, RomulusLoader |
| Giugno 2026 | Italia, Sudafrica | Buste paga, fisco, fatture | ValleyRAT, SilentRunLoader |
Perché l’Italia e l’Europa sono ora nel mirino
L’espansione verso l’Europa non è casuale. Le economie europee offrono un bacino ampio di imprese di medie dimensioni con processi amministrativi maturi ma difese di sicurezza disomogenee. Per un attore opportunista come TA4922, l’Italia rappresenta un mercato attraente: molte PMI, una forte cultura della fatturazione elettronica e uffici amministrativi che gestiscono quotidianamente comunicazioni fiscali.
Il contesto regolatorio aggrava la posta in gioco. Con l’entrata in vigore della direttiva NIS2 in Italia, le aziende dei settori critici rischiano sanzioni fino a 10 milioni di euro per carenze nella gestione del rischio cyber. Un’intrusione di TA4922 non comporta solo il danno diretto del furto di dati, ma anche un’esposizione normativa significativa.
L’Europa, inoltre, è già il continente con il maggior volume di attività cybercriminale in uscita secondo diversi report di settore. L’aumento delle campagne localizzate, dal phishing fiscale al furto di credenziali, conferma una tendenza che l’ENISA Threat Landscape 2025 aveva già segnalato, con migliaia di incidenti registrati nell’anno.
Impatto sul mercato e sui settori colpiti
L’impatto economico di una campagna come quella di TA4922 si misura su più livelli. Il primo è il furto diretto di dati e fondi. Il secondo è la rivendita degli accessi: una volta dentro una rete, il gruppo può monetizzare l’intrusione vendendola a operatori ransomware o ad altri criminali, moltiplicando il danno a valle. Le fonti pubbliche disponibili a giugno 2026 non forniscono una cifra aggregata confermata delle perdite causate da TA4922, ma il modello a flussi multipli amplifica l’esposizione di ogni vittima.
I settori più esposti sono quelli con uffici amministrativi numerosi e con flussi di pagamento regolari: manifatturiero, servizi professionali, sanità privata, logistica e pubblica amministrazione. Sono gli ambienti dove un’esca su busta paga o fattura trova il maggior numero di destinatari pertinenti.
Il mercato della cybersicurezza reagisce spostando l’investimento dai filtri email puri verso piattaforme di rilevamento del comportamento e protezione degli endpoint. La capacità di TA4922 di ruotare loader e di muoversi fuori banda rende obsoleti i controlli statici e premia le soluzioni che osservano l’attività post-clic sulla macchina.
Confronto tra TA4922 e altri gruppi cinesi
| Caratteristica | TA4922 | Silver Fox | Void Arachne |
|---|---|---|---|
| Motivazione | Finanziaria | Finanziaria / mista | Crimine + sorveglianza |
| Malware chiave | ValleyRAT, Atlas RAT | ValleyRAT / Winos | Winos 4.0 |
| Area iniziale | Asia orientale | Cina e Asia orientale | Utenti di lingua cinese |
| Espansione 2026 | UK, Germania, Italia, Sudafrica | Prevalentemente regionale | Regionale |
| Esche tipiche | HR, fisco, fatture | Software, finanza | VPN, app di messaggistica |
| Loader proprietari | RomulusLoader, SilentRunLoader | Non documentati | Non documentati |
Proofpoint segnala una sovrapposizione tra TA4922 e Silver Fox, oltre a punti di contatto con Void Arachne. Tutti e tre fanno largo uso di ValleyRAT / Winos 4.0, il che rende l’attribuzione complessa: lo stesso malware circola tra più gruppi di lingua cinese. La differenza chiave di TA4922 è la dotazione di loader proprietari e il ritmo di campagne, superiore a quello degli altri attori monitorati.
Contesto storico: dall’Asia orientale al mondo
Per anni i gruppi cybercriminali di lingua cinese hanno operato quasi esclusivamente all’interno della propria area linguistica e regionale. Bersagli come Giappone, Taiwan e Corea del Sud erano la norma. L’espansione di TA4922 verso Europa e Africa segna un cambio di fase: la barriera linguistica, un tempo deterrente, viene superata con la traduzione e la localizzazione delle esche.
Questo percorso ricorda quanto accaduto con altri fenomeni recenti, dall’attacco supply chain via OAuth che ha colpito oltre 700 aziende, fino alla campagna di estorsione su Salesforce attribuita a ShinyHunters. In ogni caso la dinamica è la stessa: un modello collaudato in un contesto viene replicato su scala globale appena diventa redditizio.
Anche gli attori statali seguono traiettorie simili. L’operazione Neusploit attribuita ad APT28 ha mostrato come tecniche raffinate si diffondano rapidamente. La differenza è che TA4922 unisce la disciplina di un gruppo strutturato alla flessibilità di un’operazione puramente economica.
Cosa dicono gli esperti
Il team di ricerca sulle minacce di Proofpoint sintetizza così la motivazione del gruppo: “L’attore è probabilmente motivato da fini economici e concentrato sull’ottenere accesso remoto agli ambienti delle vittime per guadagno finanziario, come furto di dati, frodi, rivendita di accessi o accesso persistente.”
Sul ritmo operativo, i ricercatori sono espliciti: “TA4922 conduce attualmente più campagne uniche di qualunque altro attore cybercriminale presente nei dati di Proofpoint, dimostrando un elevato ritmo operativo, una varietà di esche e molteplici obiettivi.” È questa intensità a renderlo, secondo l’azienda, uno dei gruppi più difficili da seguire.
Un avvertimento riguarda il potenziale duplice uso del malware: “Sebbene l’attore sia valutato come finanziariamente motivato, le capacità del malware includono il potenziale per la sorveglianza, che potrebbe essere usato da o venduto a gruppi di spionaggio.” In altre parole, lo strumento criminale di oggi può diventare l’arma di intelligence di domani. Le analisi dell’ENISA confermano che la convergenza tra crimine finanziario e sorveglianza è una delle tendenze più rilevanti del panorama europeo delle minacce.
Come difendersi dalla campagna TA4922 phishing
La difesa contro TA4922 richiede un approccio a più strati, perché nessun singolo controllo copre l’intera catena d’attacco. Le priorità per le organizzazioni italiane sono chiare e attuabili nel breve periodo.
- Formazione mirata per gli uffici risorse umane, contabilità e fornitori, i bersagli principali delle esche su buste paga e fisco.
- Policy sui canali fuori banda: definire regole chiare su quando e come si usano WhatsApp, Teams e altre app per comunicazioni di lavoro.
- Rilevamento sull’endpoint (EDR) capace di individuare il DLL side-loading e i comportamenti anomali, non solo le firme statiche.
- Autenticazione a più fattori resistente al phishing su tutti gli accessi critici, per limitare il valore delle credenziali rubate.
- Segmentazione della rete per contenere un accesso iniziale ed evitare che diventi un movimento laterale.
Il principio guida è ridurre il valore di ogni singola intrusione. Se le credenziali rubate non bastano ad accedere, se l’endpoint blocca il loader e se la rete è segmentata, il modello a flussi multipli di TA4922 perde efficacia. Per le credenziali, le tecniche di archiviazione sicura restano fondamentali: la nostra analisi sulla sicurezza delle password spiega perché lunghezza e hashing contano più della complessità.
Cinque previsioni per il resto del 2026
Sulla base del modello operativo osservato, queste sono le evoluzioni più probabili della minaccia TA4922 nei prossimi mesi.
- Esche italiane dedicate. Compariranno campagne con riferimenti specifici ad Agenzia delle Entrate, INPS e fatturazione elettronica, sul modello dei finti avvisi fiscali già visti in Germania.
- Nuovi loader. Dopo RomulusLoader e SilentRunLoader, è probabile la comparsa di ulteriori strumenti proprietari per eludere i rilevamenti aggiornati.
- Maggiore uso del fuori banda. L’abuso di WhatsApp e Teams crescerà, costringendo le aziende a estendere il monitoraggio oltre la posta elettronica.
- Convergenza con lo spionaggio. Aumenta il rischio che le capacità di sorveglianza del malware vengano cedute o condivise con gruppi statali.
- Pressione normativa. Le vittime europee affronteranno un’attenzione crescente sotto NIS2 e GDPR, con costi di conformità che si sommano al danno dell’attacco.
Domande frequenti su TA4922
Chi è TA4922?
TA4922 è un gruppo cybercriminale di lingua cinese, tracciato da Proofpoint, valutato come finanziariamente motivato. Opera tramite phishing con esche su HR, buste paga, fisco e fatture, e cerca accesso remoto agli ambienti delle vittime.
Perché l’Italia è ora nel mirino?
A giugno 2026 Proofpoint ha documentato l’espansione di TA4922 verso Regno Unito, Germania, Italia e Sudafrica. L’Italia offre molte PMI con processi amministrativi maturi e difese disomogenee, un bersaglio attraente per un attore opportunista.
Quale malware usa TA4922?
Il gruppo utilizza ValleyRAT (noto anche come Winos 4.0) e Atlas RAT, oltre a due loader precedentemente non documentati, RomulusLoader e SilentRunLoader.
Come riconosco un’email di TA4922?
Le esche tipiche riguardano buste paga, avvisi fiscali, fatture e comunicazioni HR. Un segnale di allarme è la richiesta di spostare la conversazione su WhatsApp, LINE o Teams subito dopo il primo contatto via email.
TA4922 fa spionaggio per conto dello Stato cinese?
Proofpoint valuta TA4922 come gruppo a movente economico, non come operazione di spionaggio statale. Tuttavia il suo malware ha capacità di sorveglianza che potrebbero essere vendute o condivise con attori statali.
Quante aziende ha colpito?
Le campagne hanno dimensioni da poche centinaia a qualche migliaio di destinatari ciascuna. Le fonti pubbliche di giugno 2026 non forniscono un totale aggregato confermato di organizzazioni compromesse o di perdite economiche.
Cosa devono fare subito le aziende italiane?
Formare gli uffici amministrativi, attivare l’EDR sugli endpoint, imporre l’autenticazione a più fattori resistente al phishing, definire policy sui canali fuori banda e segmentare la rete per limitare i movimenti laterali.
TA4922 è collegato ad altri gruppi cinesi?
Sì, Proofpoint segnala sovrapposizioni con Silver Fox e punti di contatto con Void Arachne, anche perché tutti e tre fanno uso di ValleyRAT / Winos 4.0. L’attribuzione tra gruppi di lingua cinese resta complessa.
Related Coverage
- Attacco Supply Chain OAuth: 700 Aziende Colpite [2026]
- Estorsione Salesforce: 1,5 Mld di Dati Rubati [2026]
- Phishing nel Browser: +140% e 20% Sfugge [2026]
- ENISA 2025: 4.900 Incidenti Cyber, 80% Hacktivismo [2026]
- NIS2 Italia: Multe €10M e Solo 3,9% Pronto [2026]
- Operation Neusploit: APT28 Buca Office in 3 Giorni [2026]
- Phishing e ingegneria sociale: riconoscerli e difendersi
Fonti esterne
- Proofpoint, “TA4922: The Suspected Chinese Crime Group is Going Global”
- The Hacker News, “China-Linked TA4922 Expands Phishing Attacks”
- SecurityWeek, “Chinese Cybercrime Group in Spotlight for Record Campaign Pace”
- Infosecurity Magazine, “Chinese-Speaking Actor TA4922 Widens Its Global Reach”
- MITRE ATT&CK, T1574.002 DLL Side-Loading
