I ricercatori di Bitdefender hanno individuato una campagna malware denominata Midnight Mimosa, presente direttamente nel firmware di alcuni smartphone Android economici. Il software dannoso sarebbe stato rilevato su migliaia di dispositivi distribuiti in oltre 150 Paesi e risulta particolarmente difficile da rimuovere perché installato prima ancora che il telefono venga acceso dall'utente.
In breve
- Il malware è integrato nel firmware di alcuni dispositivi Android economici.
- Sono stati osservati migliaia di dispositivi coinvolti in oltre 150 Paesi.
- Le funzionalità principali comprendono frodi pubblicitarie, installazione di applicazioni indesiderate e utilizzo dei dispositivi come proxy residenziali.
Un malware presente già all'acquisto
A differenza delle classiche minacce Android che richiedono il download di applicazioni malevole o il clic su link dannosi, Midnight Mimosa sarebbe installato direttamente nel firmware del dispositivo. Questo significa che il telefono risulta compromesso prima ancora della prima configurazione.
Secondo i ricercatori, il problema sembra collegato alla catena di approvvigionamento dei dispositivi, anche se non è stato ancora identificato il punto preciso in cui il malware viene introdotto.
Cosa può fare Midnight Mimosa
Il malware opera con privilegi di sistema molto elevati e può:
- installare e rimuovere applicazioni senza autorizzazione dell'utente;
- concedere permessi ad altre applicazioni;
- scaricare ed eseguire codice da remoto;
- raccogliere informazioni sul dispositivo;
- trasformare lo smartphone in un nodo proxy utilizzabile da terzi.
Queste capacità consentono agli operatori della campagna di monetizzare i dispositivi compromessi mediante frodi pubblicitarie e servizi di proxy residenziale.
I dispositivi maggiormente coinvolti
L'indagine ha rilevato la presenza del malware soprattutto su smartphone Android economici basati su chipset MediaTek. Tra i modelli osservati compaiono dispositivi riconducibili alle serie Doogee S200 X e Cubot KINGKONG X, oltre a numerosi smartphone contraffatti che imitano marchi noti.
Le maggiori concentrazioni di dispositivi rilevati sono state osservate in Messico, Francia, Italia, Stati Uniti, Germania, Brasile e Spagna.
Perché questa notizia è importante
Il caso evidenzia un rischio crescente per la sicurezza informatica: la compromissione della supply chain hardware.
Quando il malware è inserito direttamente nel firmware, gli strumenti tradizionali di difesa diventano molto meno efficaci. In molti casi, infatti, un semplice ripristino alle impostazioni di fabbrica non risolve il problema poiché il componente dannoso rimane presente nella partizione di sistema.
Cosa significa per la vostra azienda
Le organizzazioni dovrebbero prestare particolare attenzione ai dispositivi mobili utilizzati per accedere a dati e servizi aziendali.
È consigliabile:
- acquistare smartphone da fornitori affidabili e canali ufficiali;
- utilizzare sistemi di Mobile Device Management (MDM);
- limitare l'accesso aziendale a dispositivi non certificati;
- monitorare comportamenti anomali e installazioni inattese di applicazioni;
- verificare la provenienza dei dispositivi utilizzati dai collaboratori.
Chiusura
Midnight Mimosa dimostra come le minacce informatiche possano ormai colpire i dispositivi ben prima del loro utilizzo. Per aziende e utenti la scelta dei fornitori, il controllo della filiera tecnologica e la gestione dei dispositivi mobili diventano elementi sempre più importanti per la sicurezza digitale. NO-RAD supporta le organizzazioni nella valutazione dei rischi legati ai dispositivi mobili e nella protezione delle infrastrutture aziendali.
Fonti
- Bitdefender: Midnight Mimosa firmware malware on low-cost MediaTek Android phones
- Midnight Mimosa Infects Android Phones Before Users Even Turn Them On
- Low-cost Android phones are arriving with malware that owners can’t uninstall
Il gruppo giapponese KDDI, uno dei principali operatori di telecomunicazioni del Paese, ha segnalato un incidente di sicurezza che potrebbe aver coinvolto fino a 14,22 milioni di account email gestiti attraverso una piattaforma condivisa utilizzata da più provider Internet. Tra i dati potenzialmente esposti figurano indirizzi email e credenziali di accesso.
In breve
- L'intrusione è stata rilevata il 17 giugno 2026.
- Gli attaccanti hanno sfruttato una vulnerabilità presente in un software di terze parti.
- Fino a 14,22 milioni di account potrebbero essere stati coinvolti, compresi utenti inattivi.
Un problema nato da un'infrastruttura condivisa
L'aspetto più interessante dell'incidente riguarda la struttura dei servizi coinvolti. La piattaforma email compromessa non era utilizzata soltanto da KDDI, ma anche da diversi provider partner.
Questo significa che una singola vulnerabilità presente in un componente condiviso ha avuto il potenziale di interessare contemporaneamente milioni di utenti appartenenti a organizzazioni differenti.
L'episodio rappresenta un esempio concreto dei rischi associati alla dipendenza da fornitori e infrastrutture comuni.
Quali dati potrebbero essere stati esposti
Secondo le informazioni diffuse dall'azienda, i dati coinvolti potrebbero comprendere indirizzi email e password degli utenti. KDDI ha precisato che il numero di 14,22 milioni rappresenta la stima massima degli account potenzialmente interessati e include anche utenze non più attive.
Le verifiche sono proseguite anche dopo la scoperta dell'incidente per determinare il numero effettivo di account compromessi.
Il rischio del riutilizzo delle password
Quando una violazione coinvolge credenziali di accesso, uno dei rischi principali è il cosiddetto "credential stuffing".
Si tratta di una tecnica con cui i criminali informatici tentano di utilizzare le stesse combinazioni di email e password su altri servizi, approfittando dell'abitudine di molti utenti a riutilizzare le medesime credenziali su più piattaforme.
Per questo motivo anche una singola compromissione può generare effetti ben più ampi rispetto al sistema inizialmente colpito.
Cosa significa per la vostra azienda
Le aziende dovrebbero cogliere questo episodio come un promemoria dell'importanza della gestione delle credenziali.
È consigliabile:
- utilizzare password differenti per ogni servizio;
- attivare l'autenticazione a più fattori (MFA) dove disponibile;
- monitorare eventuali accessi sospetti agli account aziendali;
- valutare periodicamente i fornitori che gestiscono servizi critici;
- predisporre procedure per la rotazione rapida delle credenziali in caso di incidente.
Chiusura
L'incidente che ha coinvolto KDDI dimostra come una vulnerabilità in un componente condiviso possa avere conseguenze su milioni di utenti e più organizzazioni contemporaneamente. Per le imprese diventa quindi essenziale affiancare alle misure di sicurezza interne un'attenta valutazione dei rischi legati alla supply chain tecnologica. NO-RAD supporta le aziende nella protezione delle identità digitali e nella gestione della sicurezza informatica.
Fonti
- KDDI Data Breach 2026: 14.22 Million Email Records Exposed
- KDDI Data Breach Exposes 14.22M Email Accounts
- KDDI Data Breach Impacts up to 14.2 Million Email Accounts at Six ISPs