{"id":15218,"date":"2026-06-15T12:49:01","date_gmt":"2026-06-15T10:49:01","guid":{"rendered":"https:\/\/www.spiare.com\/blog\/?p=15218"},"modified":"2026-06-19T16:47:19","modified_gmt":"2026-06-19T14:47:19","slug":"router-wifi-violati-gru-russo-fbi-apt28","status":"publish","type":"post","link":"https:\/\/www.spiare.com\/blog\/router-wifi-violati-gru-russo-fbi-apt28\/","title":{"rendered":"Router WiFi violati dal GRU russo: l\u2019FBI svela l\u2019operazione di cyber-spionaggio"},"content":{"rendered":"\n

Router WiFi<\/em><\/strong>. L\u2019FBI e il Dipartimento di Giustizia americano (DoJ) hanno annunciato lo smantellamento di una massiccia infrastruttura globale di cyber-spionaggio basata sulla compromissione di router domestici e aziendali di tipo SOHO (Small Office\/Home Office<\/em>). Dietro questa rete occulta si cela APT28<\/strong> (noto anche come Fancy Bear<\/em>, Forest Blizzard<\/em> o Sofacy<\/em>), un\u2019unit\u00e0 d’\u00e9lite dell’intelligence militare russa (GRU, Unit\u00e0 26165).<\/p>\n\n\n\n

L’operazione internazionale, denominata in codice Operation Masquerade<\/strong>, ha messo in luce una complessa campagna di intercettazione dati e furto di credenziali su scala globale, che ha preso di mira istituzioni governative, enti militari e infrastrutture critiche nei paesi NATO e in tutto il mondo.<\/p>\n\n\n\n

APT28 e il GRU: chi sono i responsabili del cyber-spionaggio sui router WiFi<\/h2>\n\n\n\n

APT28 non \u00e8 un semplice collettivo di criminali informatici, ma un braccio operativo statale della Federazione Russa, attivo da oltre due decenni. Questo gruppo \u00e8 storicamente associato ad attacchi di altissimo profilo, tra cui la violazione del Comitato Nazionale Democratico statunitense nel 2016 e intrusioni nei sistemi della Casa Bianca e di vari ministeri europei.<\/p>\n\n\n\n

\n

Potrebbe interessarti La Polonia abbandona Signal Messenger: Spionaggio e App<\/a><\/p>\n<\/blockquote>\n\n\n\n

Nell’ultimo scenario descritto dalle autorit\u00e0 federali, l’intelligence russa ha cambiato paradigma: invece di colpire direttamente i server blindati delle grandi organizzazioni, ha preferito infettare i router SOHO posizionati nelle abitazioni dei dipendenti da remoto o nei piccoli uffici periferici. In questo modo, gli hacker hanno creato una botnet silenziosa per instradare e monitorare il traffico web a piacimento, come riportato anche dalle prime ricostruzioni giornalistiche di Fox News<\/a>.<\/p>\n\n\n\n

Questo attacco si inserisce nel pi\u00f9 ampio e preoccupante contesto del cyber-spionaggio e della sicurezza nazionale nell’era ibrida<\/a>, dove i confini tra reti private e difese statali si fanno sempre pi\u00f9 sottili.<\/p>\n\n\n\n

Come funziona il DNS Hijacking sui router TP-Link e MikroTik<\/h2>\n\n\n\n

Il DNS come punto di leva dell\u2019attacco<\/h3>\n\n\n\n

L’architettura dell’attacco si basa sul DNS Hijacking<\/strong> (dirottamento del Domain Name System). Il DNS \u00e8 l’elenco telefonico di Internet: traduce i nomi dei domini digitati dall’utente (es. outlook.com<\/code>) nei rispettivi indirizzi IP numerici necessari alla navigazione.<\/p>\n\n\n\n

Gli agenti del GRU hanno modificato da remoto le impostazioni DHCP e DNS dei router vulnerabili, sostituendo i server DNS legittimi (come quelli del provider Internet o di Google) con resolver DNS malevoli controllati direttamente dalla Russia<\/strong>.<\/p>\n\n\n\n

Quando un utente connesso alla rete compromessa tentava di accedere a servizi cloud aziendali, come Microsoft 365 o Outlook Web Access (OWA), il DNS modificato rispondeva reindirizzando segretamente il browser verso una copia esatta (clonata) della pagina di login. Trattandosi di un attacco a livello di rete (Adversary-in-the-Middle<\/em> o AitM), l’utente digitava l’URL corretto e, ingannato dall’interfaccia identica, inseriva le proprie credenziali. Questo ha permesso ad APT28 di intercettare password, token di autenticazione OAuth e dati di sessione sensibili.<\/p>\n\n\n\n

Perch\u00e9 i router wifi obsoleti sono il bersaglio ideale<\/h3>\n\n\n\n

Gli aggressori hanno sfruttato principalmente una combinazione di due fattori:<\/p>\n\n\n\n

    \n
  1. Credenziali di fabbrica non modificate<\/strong>: Molti dispositivi presentavano ancora le password di amministratore di default (es. admin<\/code>\/admin<\/code>).<\/li>\n\n\n\n
  2. Falle di sicurezza non patchate<\/strong>: In particolare, gli hacker hanno sfruttato attivamente la vulnerabilit\u00e0 CVE-2023-50224<\/strong> per estrarre credenziali ed eseguire comandi da remoto su dispositivi TP-Link e MikroTik.<\/li>\n<\/ol>\n\n\n\n

    Come confermato dal comunicato ufficiale del Dipartimento di Giustizia USA<\/a>, gran parte dei modelli finiti nel mirino appartengono a linee di prodotto giunte al termine del ciclo di vita (End-of-Life), per le quali i produttori non rilasciano pi\u00f9 aggiornamenti di sicurezza. Tra questi spicca il diffuso modello TP-Link TL-WR841N, un router Wi-Fi 4 economico ma ancora estremamente presente nelle case di milioni di utenti.<\/p>\n\n\n\n

    La prospettiva TSCM: il router WiFi come vettore di sorveglianza e intercettazione<\/h2>\n\n\n\n

    Dal punto di vista della TSCM (Technical Surveillance Counter Measures)<\/strong> e del controspionaggio elettronico, questo scenario evidenzia come il concetto di “microspia” si sia evoluto. Oggi, un router aziendale o domestico non aggiornato equivale a un microfono ambientale o a un registratore occulto: \u00e8 un vettore di sorveglianza totale in grado di esfiltrare flussi massivi di dati proprietari senza lasciare tracce visibili sui computer o sugli smartphone delle vittime.<\/p>\n\n\n\n

    Nelle attivit\u00e0 di bonifica elettronica delle reti aziendali, il perimetro di analisi non pu\u00f2 pi\u00f9 limitarsi alla ricerca di cimici fisiche nei muri. Deve necessariamente comprendere l’analisi dell’integrit\u00e0 dei firmware degli apparati di rete e la verifica stringente dei record DNS e dei flussi di traffico in uscita.<\/p>\n\n\n\n

    L’impatto sulle aziende italiane e la risposta dell’FBI<\/h2>\n\n\n\n

    Anche se l’operazione di smantellamento dell’FBI si \u00e8 concentrata sul territorio statunitense purificando da remoto la configurazione dei router compromessi, l’allarme lanciato dalle agenzie di intelligence \u2014 inclusa la National Cyber Security Centre (NCSC) del Regno Unito \u2014 ha portata globale.<\/p>\n\n\n\n

    Le aziende italiane, in particolare quelle operanti nei settori dell’energia, della difesa, della pubblica amministrazione e della sanit\u00e0, rientrano storicamente nel target d’interesse geopolitico di APT28. Il rischio aumenta esponenzialmente a causa della forte adozione del lavoro agile (smart working<\/em>): un dipendente che accede alla VPN o alla posta aziendale da una rete domestica protetta da un router infetto mette a repentaglio l’intera infrastruttura della propria azienda.<\/p>\n\n\n\n

    \n

    Potrebbe interessarti Spionaggio cinese: GPS e telecamere spia nelle coperture civili<\/a><\/p>\n<\/blockquote>\n\n\n\n

    Cosa fare subito per mettere in sicurezza il tuo router WiFi<\/h2>\n\n\n\n

    Per evitare che il proprio dispositivo SOHO diventi un nodo di una botnet di spionaggio statale, \u00e8 fondamentale seguire rigide linee guida di igiene cibernetica:<\/p>\n\n\n\n