Ricerca sulla sicurezza e approfondimenti

Analisi approfondite, divulgazioni e note dal campo dai nostri progetti di sicurezza offensiva - scritte dal team che trova le vulnerabilità.

AI Security

Prompt Injection e la OWASP LLM Top 10: mettere in sicurezza le applicazioni di IA

La prompt injection è in cima alla OWASP LLM Top 10 per un motivo. Ecco come funzionano gli attacchi diretti e indiretti, cosa fanno alle applicazioni agentiche e le difese su cui facciamo davvero affidamento.

16 giu 202614 min di lettura

Leggi l'articolo

Active Directory

L’attacco Kerberoasting spiegato: da un normale utente AD a Domain Admin

Un attacco Kerberoasting trasforma un singolo account di dominio con pochi privilegi in credenziali di account di servizio decifrate, e spesso in Domain Admin. Ecco la catena completa e le contromisure che funzionano davvero.

6 mag 202613 min di lettura

Cloud Security

Dalla SSRF alla presa totale di un account cloud: attaccare il servizio di metadati

Un solo bug SSRF in un recuperatore di URL può raggiungere l’endpoint dei metadati cloud, rubare le credenziali del ruolo IAM e sfociare nella presa totale dell’account. Ecco la catena d’attacco – e come spezzarla.

27 mar 202612 min di lettura

API Security

Broken Object-Level Authorization (BOLA / IDOR): il bug delle API che troviamo più spesso

Una vulnerabilità BOLA (chiamata anche IDOR) è il bug che segnaliamo più spesso nei test sulle API. Ecco come lo scoviamo scambiando gli ID degli oggetti tra due account, e come chiuderlo con un’autorizzazione lato server.

18 feb 202613 min di lettura

Guides

Quanto costa un penetration test nel 2026? (Un’analisi onesta)

Una risposta chiara sul costo di un penetration test nel 2026: i veri fattori dietro la cifra, fasce oneste e le voci che gonfiano un preventivo senza farsi notare.

15 gen 202610 min di lettura

Application Security

La checklist per il pentest di app mobile: OWASP MASVS nella pratica

Una checklist sul campo per il penetration testing di app mobile basata su OWASP MASVS: analisi statica e dinamica, archiviazione insicura, crittografia debole e bypass del certificate pinning, da parte di tester che lo fanno di mestiere.

20 nov 202512 min di lettura

Case Studies

SOC 2 in 90 giorni: come un SaaS sanitario ha superato il suo primo audit

Un SaaS sanitario aveva 90 giorni, un contratto enterprise firmato in gioco e nessun controllo formale. Ecco come abbiamo gestito la sua preparazione a SOC 2 e come ha superato il suo primo audit.

14 ott 202512 min di lettura

Web Application Security

Cross-Site Scripting (XSS) nel 2026: il bug del web che si rifiuta di morire

Il cross-site scripting è tra le principali vulnerabilità web da oltre vent’anni ed è ancora uno dei difetti critici più frequenti che segnaliamo. Ecco come funzionano l’XSS riflesso, memorizzato e DOM, come li testiamo e le difese che reggono davvero.

12 set 202514 min di lettura

Methodology

Penetration test cloud: la nostra metodologia per AWS, Azure e GCP

Una guida operativa alla metodologia di penetration test cloud che applichiamo ad AWS, Azure e GCP: come abusiamo dell’IAM, cacciamo configurazioni errate e storage esposti, pivotiamo da una SSRF al servizio di metadati dell’istanza, scaliamo i privilegi e verifichiamo se qualcuno stesse guardando.

28 ago 202512 min di lettura

Case Studies

Diario di un red team: da una singola email di phishing ad amministratore di dominio in sei giorni

Una valutazione red team rappresentativa, raccontata giorno per giorno: come una sola email di phishing convincente si è trasformata in amministratore di dominio in sei giorni, e i tre controlli che ci avrebbero fermato di netto.

22 lug 202512 min di lettura

Social Engineering

Simulazioni di phishing fatte bene: come misurare il rischio umano

Un’email trappola che umilia chi clicca non insegna nulla. Ecco come conduciamo una simulazione di phishing che misura il rischio umano e sposta i numeri che contano: tasso di segnalazione, tempo di reazione e cliccatori recidivi.

27 giu 202512 min di lettura

Guides

Penetration test vs analisi delle vulnerabilità: qual è la differenza (e quando serve ciascuno)

Uno scanner ti dice che una porta è aperta e che una versione sembra vecchia. Un pentester ti mostra come qualcuno concatena tre finding “medi” fino a prendere il controllo completo di un account. Ecco la vera differenza tra penetration test e analisi delle vulnerabilità, e come capire quale ti serve davvero.

20 mag 202512 min di lettura

Compliance

SOC 2 e penetration testing: cosa si aspettano davvero gli auditor

Un pentest non è una casella che il tuo auditor spunta e dimentica. Ecco cosa deve dimostrare davvero un penetration test per SOC 2, come si collega ai Common Criteria e i dettagli del report che gli auditor chiedono.

15 apr 202510 min di lettura

Case Studies

Come una fintech in serie B ha corretto 23 falle critiche delle API prima del round successivo

Una fintech in serie B ha commissionato un penetration test delle API sei settimane prima della due diligence. Abbiamo trovato 23 problemi critici, per lo più falle di autorizzazione che nessuno scanner rileverebbe mai. Ecco come si è svolto davvero il progetto.

10 mar 202511 min di lettura

Penetration Testing

Cosa trova davvero un penetration test di rete esterna

I grandi successi dei penetration test di rete esterna raramente sono zero-day esotici. Sono il server dimenticato, la VPN non aggiornata e il login che dice ancora admin/admin. Ecco cosa troviamo, e come.

19 feb 202512 min di lettura

Guides

Come scegliere un’azienda di penetration testing (guida all’acquisto 2026)

La maggior parte dei report di pentest che ci chiedono di esaminare sono scansioni automatizzate in un bel PDF. Ecco come scegliere un’azienda di penetration testing che testa davvero.

19 nov 202410 min di lettura

Methodology

La nostra metodologia di penetration testing per applicazioni web

La metodologia di penetration testing per applicazioni web che seguiamo davvero negli assessment: dalla mappatura dell’applicazione al concatenamento di finding minori in una violazione concreta, fino al retest della correzione.

5 ago 202410 min di lettura

Cyber SecuritySecurity Research

Abbiamo hackerato GitHub per un mese: ecco cosa abbiamo trovato

Dopo una lunga pausa, torniamo con un nuovo write-up. Anche se di solito non partecipiamo ai programmi di bug bounty a causa di altri impegni, abbiamo accettato la sfida di hackerare GitHub per un mese e siamo entusiasti di condividere i nostri risultati. Tutto è iniziato quando Shivam Singh (Mr. … Read more

10 feb 202315 min di lettura

Security Research

Come potevamo hackerare qualsiasi azienda con un semplice messaggio – taglia da 20.000 $ [CVE-2021-34506]

La storia di un XSS universale (uXSS) nel traduttore di Microsoft Edge, premiato con una taglia da 20.000 $ (CVE-2021-34506), e come permetteva di compromettere gli utenti su Facebook, Google e YouTube.

25 giu 20218 min di lettura