--- id: CP-027 slug: watering-hole-attacco-sito-compromesso lang: it title: Attacco watering hole description: Un sito che consulta ogni settimana può essere manomesso. Come funziona l'attacco watering hole, che cosa si nota e i gesti che proteggono. canonical_url: https://startbrain.io/cyberpedia/it/articles/watering-hole-attacco-sito-compromesso/ markdown_url: https://startbrain.io/cyberpedia/it/articles/watering-hole-attacco-sito-compromesso.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Attacco watering hole», Cyberpedia, 2026. https://startbrain.io/cyberpedia/it/articles/watering-hole-attacco-sito-compromesso/ (CC BY 4.0) wing: 1 theme: outsmart_social_engineering reflex: cr-046 schema: G5 updated: "2026-11-03" translations: it: https://startbrain.io/cyberpedia/it/articles/watering-hole-attacco-sito-compromesso/ fr: https://startbrain.io/cyberpedia/fr/articles/watering-hole-point-d-eau-site-compromis/ en: https://startbrain.io/cyberpedia/en/articles/watering-hole-attack-compromised-website/ de: https://startbrain.io/cyberpedia/de/articles/watering-hole-angriff-kompromittierte-website/ es: https://startbrain.io/cyberpedia/es/articles/ataque-abrevadero-sitio-web-comprometido/ nl: https://startbrain.io/cyberpedia/nl/articles/watering-hole-aanval-gecompromitteerde-website/ sources: - "n": 1 title: Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1189/ accessed: "2026-11-03" - "n": 2 title: "Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1608/004/ accessed: "2026-11-03" - "n": 3 title: "Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1584/006/ accessed: "2026-11-03" - "n": 4 title: Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1203/ accessed: "2026-11-03" - "n": 5 title: "Phishing attacks: defending your organisation" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/guidance/phishing published: "2018-02-05" accessed: "2026-11-03" --- # Attacco watering hole In un attacco watering hole (in inglese «watering hole»), l'attaccante non contatta la vittima. Manomette un sito che questa già visita: vi inserisce codice malevolo e poi aspetta che i visitatori arrivino da soli. Per un dipendente, il pericolo nasce da questa fiducia. Il sito è conosciuto, utile per il lavoro, e nulla indica che sia cambiato. Questa scheda descrive il meccanismo, ciò che si può notare e ciò che limita i danni. ## In 30 secondi - Dove accade: su un sito frequentato da una comunità precisa (pubblica amministrazione, settore di attività, regione), durante una normale navigazione [1]. - Cosa vuole l'attaccante: eseguire codice sul computer della vittima, cosa che spesso gli dà accesso ai sistemi della rete interna [1]. - Il riflesso: tenere aggiornati il browser e le sue estensioni e rifiutare ogni «aggiornamento» proposto da una pagina web, qualunque sia il sito. - Se è già successo: avvisare subito il servizio informatico o di sicurezza, anche se non si vede nulla di anomalo. ## Domande dirette ### Che cos'è un attacco watering hole? Le fonti descrivono il caso in cui il sito usato dall'attaccante è spesso frequentato da una comunità (governo, settore di attività, regione). L'obiettivo è compromettere un utente o un gruppo di utenti sfruttando un interesse comune. Questa campagna mirata è chiamata «strategic web compromise» o «watering hole attack» [1]. Rientra nella famiglia più ampia del «drive-by compromise»: la vittima visita un sito durante una normale navigazione [1]. ### Bisogna cliccare su qualcosa per essere infettati? Non sempre. Di solito a essere sfruttato è il browser, e spesso non serve alcuna azione ulteriore una volta aperta la pagina [2]. In altri casi l'utente deve aiutare il processo attivando script, notifiche o componenti attivi, oppure ignorando finestre di avviso [1]. ### Un sito noto e affidabile può davvero essere manomesso? Sì, è proprio il principio. L'attaccante compromette un sito legittimo per iniettarvi codice malevolo [1]. Può anche modificare file di script forniti al sito da uno spazio di archiviazione online aperto in scrittura, oppure acquistare pubblicità manomessa da reti pubblicitarie legittime [1]. ### Un browser aggiornato basta? No, ma riduce il rischio. Aggiornare tutti i browser e i plugin può impedire la fase di sfruttamento [1]. MITRE osserva anche che le protezioni contro lo sfruttamento dipendono dall'architettura e dal software preso di mira, e che le sandbox possono essere aggirate [1]. ## Nei panni dell'attaccante L'attaccante comincia scegliendo un luogo in cui il bersaglio trascorre del tempo: un sito frequentato da un settore, da un ambito di attività o da una regione [2]. Poi prepara l'ambiente. Il contenuto malevolo può essere ospitato su un'infrastruttura che ha acquisito o che ha già compromesso [2]. Può anche comprare domini simili a domini legittimi (omoglifi, errore di battitura voluto, altra estensione) [2]. A quel punto inserisce codice nel sito: script nelle pagine o in contenuti modificabili dagli utenti, come i messaggi di un forum [2]. Può anche aggiungere script che esaminano il browser del visitatore, per verificare che sia vulnerabile prima di tentare lo sfruttamento [2]. Un gruppo è descritto mentre integra codice nei siti per controllare l'indirizzo IP di un visitatore e sfruttarne il browser solo se presenta un interesse [2]. Questa preparazione avviene in gran parte fuori dalla vista dell'organizzazione presa di mira, il che la rende difficile da rilevare [2]. Anche i servizi web legittimi fanno da appoggio: siti WordPress compromessi hanno così ospitato file malevoli da scaricare [3]. ## Cosa si vede sullo schermo Gli script si eseguono automaticamente [1]. In genere gli script cercano la versione del browser e dei plugin, alla ricerca di una versione vulnerabile [1]. In certi casi serve una seconda visita prima che arrivi il codice di sfruttamento [1]. Esistono comunque alcuni segnali visibili. Una pagina può chiedere di attivare script o notifiche, oppure spingere a ignorare un avviso [1]. Cliccando su «consenti» nelle notifiche del browser, un utente può dare a un sito il permesso di eseguire JavaScript nel proprio browser [1]. Alcune campagne usano falsi aggiornamenti del browser come esca: è il caso di SocGholish, diffuso da siti compromessi il cui contenuto si spaccia per un aggiornamento del browser [1]. ## Sotto il cofano Ecco un'illustrazione neutralizzata, con un indirizzo fittizio in `.invalid`. Non funziona. ```text [Pagina legittima di un sito di settore] ... contenuto abituale del sito ... [elemento nascosto aggiunto dall'attaccante, di dimensione zero] [carica in secondo piano una pagina da hxxps://esempio[.]invalid/] ``` La catena tipica, secondo MITRE ATT&CK, si articola in quattro fasi. L'utente visita il sito che ospita il contenuto dell'attaccante. Gli script si eseguono e cercano le versioni del browser e dei plugin. Se trovano una versione vulnerabile, viene consegnato il codice di sfruttamento. Se lo sfruttamento riesce, l'attaccante ottiene l'esecuzione di codice sul computer, a meno che non esistano altre protezioni [1]. L'obiettivo è diverso da quello di un attacco a un server esposto su Internet: qui si sfrutta un software sul computer dell'utente, cosa che spesso dà accesso ai sistemi della rete interna [1]. I browser sono un bersaglio comune dello sfruttamento lato client, così come applicazioni di terze parti molto diffuse nelle aziende, per esempio Adobe Reader e Flash [4]. Sul fronte della difesa, le fonti citano le sandbox del browser, che attenuano in parte l'impatto (esistono fughe dalla sandbox) [1], i programmi di blocco di pubblicità e script e la disattivazione delle notifiche del browser [1]. L'NCSC britannico aggiunge che la maggior parte dei browser moderni blocca i siti di phishing e di malware noti, ma non sempre su mobile [5]. Raccomanda inoltre di usare solo software supportato e aggiornato e di non navigare sul web con un account amministratore [5]. ## Autopsie ### Forbes.com, 2014 APT19 ha condotto nel 2014 un attacco watering hole su forbes.com per compromettere i propri bersagli [1]. Le fonti non danno altri dettagli su questo episodio. ### Operazione Dust Storm, sfruttamento di CVE-2014-0322 Durante l'operazione Dust Storm, gli attaccanti hanno usato un attacco watering hole contro un rivenditore di software molto noto. Sfruttavano una falla di Internet Explorer allora sconosciuta al pubblico (zero-day), CVE-2014-0322 [1]. La fonte non indica la data della campagna. ### Pagina di accesso di una compagnia di trasporto marittimo israeliana, fino a novembre 2021 Nella campagna C0010, gli attaccanti hanno compromesso la pagina di accesso di una legittima società israeliana di trasporto marittimo e hanno probabilmente creato un watering hole che raccoglieva informazioni sui visitatori [2]. Questo watering hole è descritto come attivo almeno fino a novembre 2021 [1]. ## Fonti 1. MITRE ATT&CK, «Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1189/ (consultato il 3 novembre 2026) 2. MITRE ATT&CK, «Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1608/004/ (consultato il 3 novembre 2026) 3. MITRE ATT&CK, «Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1584/006/ (consultato il 3 novembre 2026) 4. MITRE ATT&CK, «Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1203/ (consultato il 3 novembre 2026) 5. NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 febbraio 2018. https://www.ncsc.gov.uk/guidance/phishing (consultato il 3 novembre 2026) --- Fonte originale: Cyberpedia, l'enciclopedia pubblica di cybersicurezza e IA pubblicata da Brain. Versione canonica: https://startbrain.io/cyberpedia/it/articles/watering-hole-attacco-sito-compromesso/ Puoi riutilizzare liberamente questo testo con licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), a condizione di citare «Brain, Cyberpedia» con un link all'indirizzo qui sopra.