{"id":118,"date":"2026-06-14T08:38:07","date_gmt":"2026-06-14T08:38:07","guid":{"rendered":"https:\/\/shattered.io\/it\/2026\/06\/14\/ta4922-phishing-cina-italia\/"},"modified":"2026-06-14T08:39:21","modified_gmt":"2026-06-14T08:39:21","slug":"ta4922-phishing-cina-italia","status":"publish","type":"post","link":"https:\/\/shattered.io\/it\/ta4922-phishing-cina-italia\/","title":{"rendered":"TA4922: Phishing Cinese Colpisce l’Italia [2026]"},"content":{"rendered":"\n

Un gruppo cybercriminale di lingua cinese, tracciato da Proofpoint con la sigla TA4922<\/strong>, ha ampliato le sue operazioni di phishing oltre l’Asia orientale e ora colpisce direttamente Regno Unito, Germania, Italia<\/strong> e Sudafrica. La scoperta, resa pubblica il 3 giugno 2026, descrive un attore con un ritmo operativo senza precedenti, esche localizzate su buste paga e fisco e un arsenale di malware in continua evoluzione. Per le aziende italiane si tratta di una minaccia nuova, finanziariamente motivata e difficile da intercettare con i soli filtri email.<\/p>\n\n\n\n

Questa analisi ricostruisce i fatti, i numeri e le tecniche della campagna TA4922 phishing<\/strong>, confronta il gruppo con altri attori cinesi noti e spiega perch\u00e9 l’Europa \u00e8 entrata nel mirino proprio nel 2026. Include due tabelle dati, le valutazioni dei ricercatori e cinque previsioni concrete per i prossimi mesi.<\/p>\n\n\n\n

TA4922, il gruppo cinese che ora prende di mira l’Italia<\/h2>\n\n\n\n

TA4922 non \u00e8 il classico gruppo di spionaggio statale. Proofpoint lo classifica come attore finanziariamente motivato<\/strong>, interessato a ottenere accesso remoto agli ambienti delle vittime per furto di dati, frodi, rivendita di accessi e persistenza nel tempo. La novit\u00e0 del rapporto di giugno 2026 \u00e8 geografica: dopo anni concentrati su Giappone, Taiwan, Corea del Sud, Singapore e India, il gruppo ha iniziato a colpire organizzazioni europee e africane con esche tradotte e adattate alle pratiche commerciali locali.<\/p>\n\n\n\n

L’inclusione esplicita dell’Italia nell’elenco dei nuovi bersagli cambia il livello di rischio per imprese, studi professionali e pubbliche amministrazioni del Paese. Le campagne di TA4922 non sono di massa: hanno dimensioni da poche centinaia a qualche migliaio di destinatari, spesso selezionati per ruolo e funzione. Questa precisione le rende pi\u00f9 insidiose, perch\u00e9 un messaggio su una busta paga inviato a un ufficio risorse umane appare plausibile e supera con facilit\u00e0 il primo livello di sospetto.<\/p>\n\n\n\n

Il dato che pi\u00f9 colpisce gli analisti riguarda la frequenza. Secondo Proofpoint, TA4922 conduce pi\u00f9 campagne uniche di qualunque altro attore cybercriminale<\/strong> presente nei suoi dati di telemetria. Questo ritmo, unito a una rotazione rapida del malware, suggerisce un’operazione strutturata, con risorse dedicate allo sviluppo e alla localizzazione delle esche.<\/p>\n\n\n\n

Cosa \u00e8 successo: la campagna TA4922 phishing di giugno 2026<\/h2>\n\n\n\n

Il 3 giugno 2026 Proofpoint ha pubblicato un’analisi dettagliata sotto il titolo “TA4922: The Suspected Chinese Crime Group is Going Global”. Nelle 24 ore successive la notizia \u00e8 stata ripresa da The Hacker News, SecurityWeek e Infosecurity Magazine, segnalando l’espansione verso Regno Unito, Germania, Italia e Sudafrica come l’elemento centrale.<\/p>\n\n\n\n

Il modello di attacco \u00e8 coerente in tutte le aree geografiche. TA4922 invia email di phishing con temi di risorse umane, buste paga, tasse e fatture. Il messaggio contiene link malevoli o porta a un payload tramite ingegneria sociale. Una volta agganciata la vittima, il gruppo cerca di spostare la conversazione su canali di messaggistica fuori banda come LINE, WhatsApp e Microsoft Teams, aggirando cos\u00ec i controlli di sicurezza della posta aziendale.<\/p>\n\n\n\n

Un esempio concreto citato nel rapporto riguarda una campagna del 6 marzo 2026<\/strong>: esche a tema risorse umane contro organizzazioni giapponesi, con l’obiettivo di distribuire Atlas RAT tramite la tecnica del DLL side-loading. In Germania, invece, i ricercatori hanno osservato esche costruite intorno a finti avvisi di verifica fiscale. L’adattamento culturale delle esche \u00e8 ci\u00f2 che rende la campagna efficace su scala continentale.<\/p>\n\n\n\n

Chi \u00e8 TA4922: profilo di un attore “globale per opportunit\u00e0”<\/h2>\n\n\n\n

Proofpoint descrive TA4922 come uno degli attori cybercriminali meno specializzati e pi\u00f9 diversificati<\/strong> che monitora. Non insegue un singolo settore o un singolo Paese: segue le opportunit\u00e0, ovunque si trovino. La valutazione \u00e8 che il gruppo sia di lingua cinese e con base in Asia orientale, ma la sua attivit\u00e0 non corrisponde al profilo di un’operazione di spionaggio statale.<\/p>\n\n\n\n

La motivazione resta economica. Gli obiettivi dichiarati dagli analisti sono quattro: furto di dati, frodi, rivendita degli accessi ad altri criminali e mantenimento di un accesso persistente. In alcune campagne Proofpoint ha osservato anche attivit\u00e0 di furto di carte di credito. Questa flessibilit\u00e0 di monetizzazione \u00e8 tipica dei gruppi cybercriminali maturi, che trasformano ogni intrusione in pi\u00f9 flussi di ricavo.<\/p>\n\n\n\n

C’\u00e8 per\u00f2 un’ombra che preoccupa i difensori. Il malware utilizzato da TA4922 include capacit\u00e0 di sorveglianza che, pur servendo oggi a fini di profitto, potrebbero essere usate o vendute a gruppi di spionaggio. La linea tra crimine finanziario e attivit\u00e0 statale, in questo caso, \u00e8 sottile.<\/p>\n\n\n\n

L’arsenale malware: ValleyRAT, Atlas RAT e i nuovi loader<\/h2>\n\n\n\n

La caratteristica pi\u00f9 temuta di TA4922 \u00e8 la velocit\u00e0 con cui ruota e aggiorna i suoi strumenti. Il rapporto di giugno 2026 documenta quattro famiglie principali, due delle quali precedentemente non documentate. Questo continuo rinnovamento complica il lavoro dei sistemi di rilevamento basati su firme statiche.<\/p>\n\n\n\n

ValleyRAT (Winos 4.0) e Atlas RAT<\/h3>\n\n\n\n

Il cuore dell’arsenale \u00e8 ValleyRAT<\/strong>, conosciuto anche come Winos 4.0, un trojan di accesso remoto gi\u00e0 associato ad altri gruppi cinesi. Accanto ad esso, Proofpoint ha tracciato Atlas RAT in campagne contro organizzazioni in Giappone, Regno Unito e Germania. Entrambi consentono il controllo remoto della macchina infetta, l’esfiltrazione di dati e l’installazione di moduli aggiuntivi.<\/p>\n\n\n\n

RomulusLoader e SilentRunLoader<\/h3>\n\n\n\n

Le due novit\u00e0 del 2026 sono i loader RomulusLoader<\/strong> e SilentRunLoader<\/strong>, strumenti finora non documentati pubblicamente. Un loader serve a preparare il terreno: scarica e avvia il payload finale, spesso usando tecniche di evasione come il DLL side-loading (catalogato da MITRE ATT&CK come T1574.002). La presenza di loader proprietari indica una capacit\u00e0 di sviluppo interna, non l’uso di kit acquistati su forum criminali.<\/p>\n\n\n\n

Le esche di TA4922: buste paga, fisco e fatture<\/h2>\n\n\n\n

La forza di TA4922 sta nella scelta delle esche. Il gruppo punta su temi che generano urgenza e che arrivano a uffici con accesso a dati sensibili: risorse umane, buste paga, tasse e fatturazione. Un messaggio che simula una comunicazione su una busta paga o un avviso dell’agenzia fiscale ha un tasso di apertura molto pi\u00f9 alto di un generico allegato sconosciuto.<\/p>\n\n\n\n

In Germania, gli analisti hanno documentato l’uso di finti avvisi di verifica fiscale. \u00c8 ragionevole attendersi che in Italia le esche vengano adattate al contesto locale, con riferimenti ad Agenzia delle Entrate, INPS, fatturazione elettronica o cedolini. Per un ufficio amministrativo italiano, un PDF che imita una comunicazione fiscale \u00e8 esattamente il tipo di documento che ci si aspetta di ricevere.<\/p>\n\n\n\n

Questa localizzazione spinta \u00e8 il motivo per cui le difese tecniche da sole non bastano. La formazione del personale, in particolare di chi gestisce paghe, contabilit\u00e0 e fornitori, diventa la prima linea di difesa contro la campagna TA4922 phishing<\/strong>. Le stesse logiche valgono per qualunque attacco di ingegneria sociale, come spieghiamo nella nostra guida al phishing e all’ingegneria sociale<\/a>.<\/p>\n\n\n\n

La tecnica del “fuori banda”: LINE, WhatsApp e Teams<\/h2>\n\n\n\n

Uno degli aspetti pi\u00f9 innovativi della tattica di TA4922 \u00e8 lo spostamento della conversazione fuori dalla posta elettronica. Dopo il primo contatto via email, il gruppo cerca di portare la vittima su LINE, WhatsApp o Microsoft Teams. Questo passaggio, definito comunicazione fuori banda, ha un obiettivo preciso: eludere i gateway di sicurezza email che analizzano allegati e link.<\/p>\n\n\n\n

Una volta che la conversazione si sposta su un’app di messaggistica, le difese aziendali perdono visibilit\u00e0. Il link malevolo o il file infetto arriva attraverso un canale che la maggior parte delle imprese non monitora con la stessa intensit\u00e0 della posta. \u00c8 una mossa che sfrutta la fiducia: ricevere un messaggio su WhatsApp da un presunto collega o fornitore abbassa la guardia pi\u00f9 di una email.<\/p>\n\n\n\n

Questa tendenza non \u00e8 isolata. La superficie d’attacco si sta spostando sempre pi\u00f9 verso i canali consumer e i browser, come documentiamo nell’analisi sul phishing nel browser<\/a>, in crescita del 140% nel 2026. TA4922 cavalca questa onda con disciplina operativa.<\/p>\n\n\n\n

Cronologia delle campagne TA4922<\/h2>\n\n\n\n
Data<\/th>Bersaglio geografico<\/th>Esca<\/th>Malware \/ tecnica<\/th><\/tr><\/thead>
Fino al 2025<\/td>Giappone, Taiwan, Corea del Sud, Singapore, India<\/td>HR, fatture, fisco<\/td>ValleyRAT \/ Winos 4.0<\/td><\/tr>
6 marzo 2026<\/td>Giappone<\/td>Risorse umane<\/td>Atlas RAT via DLL side-loading<\/td><\/tr>
Inizio 2026<\/td>Germania<\/td>Avviso di verifica fiscale<\/td>Atlas RAT<\/td><\/tr>
Inizio 2026<\/td>Regno Unito<\/td>HR \/ fatturazione<\/td>Atlas RAT, RomulusLoader<\/td><\/tr>
Giugno 2026<\/td>Italia, Sudafrica<\/td>Buste paga, fisco, fatture<\/td>ValleyRAT, SilentRunLoader<\/td><\/tr><\/tbody><\/table>
Fonte: Proofpoint Threat Insight, giugno 2026. Le esche per l’Italia sono ricostruite dal modello operativo documentato.<\/figcaption><\/figure>\n\n\n\n

Perch\u00e9 l’Italia e l’Europa sono ora nel mirino<\/h2>\n\n\n\n

L’espansione verso l’Europa non \u00e8 casuale. Le economie europee offrono un bacino ampio di imprese di medie dimensioni con processi amministrativi maturi ma difese di sicurezza disomogenee. Per un attore opportunista come TA4922, l’Italia rappresenta un mercato attraente: molte PMI, una forte cultura della fatturazione elettronica e uffici amministrativi che gestiscono quotidianamente comunicazioni fiscali.<\/p>\n\n\n\n

Il contesto regolatorio aggrava la posta in gioco. Con l’entrata in vigore della direttiva NIS2 in Italia<\/a>, le aziende dei settori critici rischiano sanzioni fino a 10 milioni di euro per carenze nella gestione del rischio cyber. Un’intrusione di TA4922 non comporta solo il danno diretto del furto di dati, ma anche un’esposizione normativa significativa.<\/p>\n\n\n\n

L’Europa, inoltre, \u00e8 gi\u00e0 il continente con il maggior volume di attivit\u00e0 cybercriminale in uscita secondo diversi report di settore. L’aumento delle campagne localizzate, dal phishing fiscale al furto di credenziali, conferma una tendenza che l’ENISA Threat Landscape 2025<\/a> aveva gi\u00e0 segnalato, con migliaia di incidenti registrati nell’anno.<\/p>\n\n\n\n

Impatto sul mercato e sui settori colpiti<\/h2>\n\n\n\n

L’impatto economico di una campagna come quella di TA4922 si misura su pi\u00f9 livelli. Il primo \u00e8 il furto diretto di dati e fondi. Il secondo \u00e8 la rivendita degli accessi: una volta dentro una rete, il gruppo pu\u00f2 monetizzare l’intrusione vendendola a operatori ransomware o ad altri criminali, moltiplicando il danno a valle. Le fonti pubbliche disponibili a giugno 2026 non forniscono una cifra aggregata confermata delle perdite causate da TA4922, ma il modello a flussi multipli amplifica l’esposizione di ogni vittima.<\/p>\n\n\n\n

I settori pi\u00f9 esposti sono quelli con uffici amministrativi numerosi e con flussi di pagamento regolari: manifatturiero, servizi professionali, sanit\u00e0 privata, logistica e pubblica amministrazione. Sono gli ambienti dove un’esca su busta paga o fattura trova il maggior numero di destinatari pertinenti.<\/p>\n\n\n\n

Il mercato della cybersicurezza reagisce spostando l’investimento dai filtri email puri verso piattaforme di rilevamento del comportamento e protezione degli endpoint. La capacit\u00e0 di TA4922 di ruotare loader e di muoversi fuori banda rende obsoleti i controlli statici e premia le soluzioni che osservano l’attivit\u00e0 post-clic sulla macchina.<\/p>\n\n\n\n

Confronto tra TA4922 e altri gruppi cinesi<\/h2>\n\n\n\n
Caratteristica<\/th>TA4922<\/th>Silver Fox<\/th>Void Arachne<\/th><\/tr><\/thead>
Motivazione<\/td>Finanziaria<\/td>Finanziaria \/ mista<\/td>Crimine + sorveglianza<\/td><\/tr>
Malware chiave<\/td>ValleyRAT, Atlas RAT<\/td>ValleyRAT \/ Winos<\/td>Winos 4.0<\/td><\/tr>
Area iniziale<\/td>Asia orientale<\/td>Cina e Asia orientale<\/td>Utenti di lingua cinese<\/td><\/tr>
Espansione 2026<\/td>UK, Germania, Italia, Sudafrica<\/td>Prevalentemente regionale<\/td>Regionale<\/td><\/tr>
Esche tipiche<\/td>HR, fisco, fatture<\/td>Software, finanza<\/td>VPN, app di messaggistica<\/td><\/tr>
Loader proprietari<\/td>RomulusLoader, SilentRunLoader<\/td>Non documentati<\/td>Non documentati<\/td><\/tr><\/tbody><\/table>
Confronto basato sui dati Proofpoint 2026 e sulle sovrapposizioni di codice osservate. Le attribuzioni tra gruppi cinesi restano fluide.<\/figcaption><\/figure>\n\n\n\n

Proofpoint segnala una sovrapposizione tra TA4922 e Silver Fox, oltre a punti di contatto con Void Arachne. Tutti e tre fanno largo uso di ValleyRAT \/ Winos 4.0, il che rende l’attribuzione complessa: lo stesso malware circola tra pi\u00f9 gruppi di lingua cinese. La differenza chiave di TA4922 \u00e8 la dotazione di loader proprietari e il ritmo di campagne, superiore a quello degli altri attori monitorati.<\/p>\n\n\n\n

Contesto storico: dall’Asia orientale al mondo<\/h2>\n\n\n\n

Per anni i gruppi cybercriminali di lingua cinese hanno operato quasi esclusivamente all’interno della propria area linguistica e regionale. Bersagli come Giappone, Taiwan e Corea del Sud erano la norma. L’espansione di TA4922 verso Europa e Africa segna un cambio di fase: la barriera linguistica, un tempo deterrente, viene superata con la traduzione e la localizzazione delle esche.<\/p>\n\n\n\n

Questo percorso ricorda quanto accaduto con altri fenomeni recenti, dall’attacco supply chain via OAuth<\/a> che ha colpito oltre 700 aziende, fino alla campagna di estorsione su Salesforce<\/a> attribuita a ShinyHunters. In ogni caso la dinamica \u00e8 la stessa: un modello collaudato in un contesto viene replicato su scala globale appena diventa redditizio.<\/p>\n\n\n\n

Anche gli attori statali seguono traiettorie simili. L’operazione Neusploit attribuita ad APT28<\/a> ha mostrato come tecniche raffinate si diffondano rapidamente. La differenza \u00e8 che TA4922 unisce la disciplina di un gruppo strutturato alla flessibilit\u00e0 di un’operazione puramente economica.<\/p>\n\n\n\n

Cosa dicono gli esperti<\/h2>\n\n\n\n

Il team di ricerca sulle minacce di Proofpoint sintetizza cos\u00ec la motivazione del gruppo: “L’attore \u00e8 probabilmente motivato da fini economici e concentrato sull’ottenere accesso remoto agli ambienti delle vittime per guadagno finanziario, come furto di dati, frodi, rivendita di accessi o accesso persistente.”<\/p>\n\n\n\n

Sul ritmo operativo, i ricercatori sono espliciti: “TA4922 conduce attualmente pi\u00f9 campagne uniche di qualunque altro attore cybercriminale presente nei dati di Proofpoint, dimostrando un elevato ritmo operativo, una variet\u00e0 di esche e molteplici obiettivi.” \u00c8 questa intensit\u00e0 a renderlo, secondo l’azienda, uno dei gruppi pi\u00f9 difficili da seguire.<\/p>\n\n\n\n

Un avvertimento riguarda il potenziale duplice uso del malware: “Sebbene l’attore sia valutato come finanziariamente motivato, le capacit\u00e0 del malware includono il potenziale per la sorveglianza, che potrebbe essere usato da o venduto a gruppi di spionaggio.” In altre parole, lo strumento criminale di oggi pu\u00f2 diventare l’arma di intelligence di domani. Le analisi dell’ENISA confermano che la convergenza tra crimine finanziario e sorveglianza \u00e8 una delle tendenze pi\u00f9 rilevanti del panorama europeo delle minacce.<\/p>\n\n\n\n

Come difendersi dalla campagna TA4922 phishing<\/h2>\n\n\n\n

La difesa contro TA4922 richiede un approccio a pi\u00f9 strati, perch\u00e9 nessun singolo controllo copre l’intera catena d’attacco. Le priorit\u00e0 per le organizzazioni italiane sono chiare e attuabili nel breve periodo.<\/p>\n\n\n\n