Attacco watering hole
Un sito che consulta ogni settimana può essere manomesso. Come funziona l'attacco watering hole, che cosa si nota e i gesti che proteggono.
In 30 secondi
- Dove accade
- Su un sito frequentato da una comunità precisa (pubblica amministrazione, settore di attività, regione), durante una normale navigazione1.
- Cosa vuole l'attaccante
- Eseguire codice sul computer della vittima, cosa che spesso gli dà accesso ai sistemi della rete interna1.
- Il riflesso
- Tenere aggiornati il browser e le sue estensioni e rifiutare ogni «aggiornamento» proposto da una pagina web, qualunque sia il sito.
- Se è già successo
- Avvisare subito il servizio informatico o di sicurezza, anche se non si vede nulla di anomalo.
Di cosa si tratta
In un attacco watering hole (in inglese «watering hole»), l'attaccante non contatta la vittima. Manomette un sito che questa già visita: vi inserisce codice malevolo e poi aspetta che i visitatori arrivino da soli.
Per un dipendente, il pericolo nasce da questa fiducia. Il sito è conosciuto, utile per il lavoro, e nulla indica che sia cambiato. Questa scheda descrive il meccanismo, ciò che si può notare e ciò che limita i danni.
Domande dirette
Che cos'è un attacco watering hole?
Le fonti descrivono il caso in cui il sito usato dall'attaccante è spesso frequentato da una comunità (governo, settore di attività, regione). L'obiettivo è compromettere un utente o un gruppo di utenti sfruttando un interesse comune. Questa campagna mirata è chiamata «strategic web compromise» o «watering hole attack»1. Rientra nella famiglia più ampia del «drive-by compromise»: la vittima visita un sito durante una normale navigazione1.
Bisogna cliccare su qualcosa per essere infettati?
Non sempre. Di solito a essere sfruttato è il browser, e spesso non serve alcuna azione ulteriore una volta aperta la pagina2. In altri casi l'utente deve aiutare il processo attivando script, notifiche o componenti attivi, oppure ignorando finestre di avviso1.
Un sito noto e affidabile può davvero essere manomesso?
Sì, è proprio il principio. L'attaccante compromette un sito legittimo per iniettarvi codice malevolo1. Può anche modificare file di script forniti al sito da uno spazio di archiviazione online aperto in scrittura, oppure acquistare pubblicità manomessa da reti pubblicitarie legittime1.
1Nei panni dell'attaccante1 min
L'attaccante comincia scegliendo un luogo in cui il bersaglio trascorre del tempo: un sito frequentato da un settore, da un ambito di attività o da una regione2. Poi prepara l'ambiente. Il contenuto malevolo può essere ospitato su un'infrastruttura che ha acquisito o che ha già compromesso2. Può anche comprare domini simili a domini legittimi (omoglifi, errore di battitura voluto, altra estensione)2.
A quel punto inserisce codice nel sito: script nelle pagine o in contenuti modificabili dagli utenti, come i messaggi di un forum2. Può anche aggiungere script che esaminano il browser del visitatore, per verificare che sia vulnerabile prima di tentare lo sfruttamento2. Un gruppo è descritto mentre integra codice nei siti per controllare l'indirizzo IP di un visitatore e sfruttarne il browser solo se presenta un interesse2.
Questa preparazione avviene in gran parte fuori dalla vista dell'organizzazione presa di mira, il che la rende difficile da rilevare2. Anche i servizi web legittimi fanno da appoggio: siti WordPress compromessi hanno così ospitato file malevoli da scaricare3.
2Cosa si vede sullo schermo1 min
Gli script si eseguono automaticamente1. In genere gli script cercano la versione del browser e dei plugin, alla ricerca di una versione vulnerabile1. In certi casi serve una seconda visita prima che arrivi il codice di sfruttamento1.
Esistono comunque alcuni segnali visibili. Una pagina può chiedere di attivare script o notifiche, oppure spingere a ignorare un avviso1. Cliccando su «consenti» nelle notifiche del browser, un utente può dare a un sito il permesso di eseguire JavaScript nel proprio browser1. Alcune campagne usano falsi aggiornamenti del browser come esca: è il caso di SocGholish, diffuso da siti compromessi il cui contenuto si spaccia per un aggiornamento del browser1.
3Sotto il cofanoTeam IT1 min
Ecco un'illustrazione neutralizzata, con un indirizzo fittizio in .invalid. Non funziona.
[Pagina legittima di un sito di settore]
... contenuto abituale del sito ...
[elemento nascosto aggiunto dall'attaccante, di dimensione zero]
[carica in secondo piano una pagina da hxxps://esempio[.]invalid/]La catena tipica, secondo MITRE ATT&CK, si articola in quattro fasi. L'utente visita il sito che ospita il contenuto dell'attaccante. Gli script si eseguono e cercano le versioni del browser e dei plugin. Se trovano una versione vulnerabile, viene consegnato il codice di sfruttamento. Se lo sfruttamento riesce, l'attaccante ottiene l'esecuzione di codice sul computer, a meno che non esistano altre protezioni1.
L'obiettivo è diverso da quello di un attacco a un server esposto su Internet: qui si sfrutta un software sul computer dell'utente, cosa che spesso dà accesso ai sistemi della rete interna1. I browser sono un bersaglio comune dello sfruttamento lato client, così come applicazioni di terze parti molto diffuse nelle aziende, per esempio Adobe Reader e Flash4.
Sul fronte della difesa, le fonti citano le sandbox del browser, che attenuano in parte l'impatto (esistono fughe dalla sandbox)1, i programmi di blocco di pubblicità e script e la disattivazione delle notifiche del browser1. L'NCSC britannico aggiunge che la maggior parte dei browser moderni blocca i siti di phishing e di malware noti, ma non sempre su mobile5. Raccomanda inoltre di usare solo software supportato e aggiornato e di non navigare sul web con un account amministratore5.
4AutopsieCasi reali1 min
Forbes.com, 2014
APT19 ha condotto nel 2014 un attacco watering hole su forbes.com per compromettere i propri bersagli1. Le fonti non danno altri dettagli su questo episodio.
Operazione Dust Storm, sfruttamento di CVE-2014-0322
Durante l'operazione Dust Storm, gli attaccanti hanno usato un attacco watering hole contro un rivenditore di software molto noto. Sfruttavano una falla di Internet Explorer allora sconosciuta al pubblico (zero-day), CVE-2014-03221. La fonte non indica la data della campagna.
Pagina di accesso di una compagnia di trasporto marittimo israeliana, fino a novembre 2021
Nella campagna C0010, gli attaccanti hanno compromesso la pagina di accesso di una legittima società israeliana di trasporto marittimo e hanno probabilmente creato un watering hole che raccoglieva informazioni sui visitatori2. Questo watering hole è descritto come attivo almeno fino a novembre 20211.
Scheda
- Identificativo
- CP-027
- Ala
- 1. Attacchi e tecniche
- Competenza Brain
- Smascherare l'ingegneria sociale (outsmart_social_engineering)
- Riflesso Brain
- cr-046
- Schema
- G5 · Albero decisionale del riflesso
- Lingue
- de, en, es, fr, it
- Fonti
- 5 fonti verificate il 3 novembre 2026
Fonti5 fonti
- MITRE ATT&CK, «Drive-by Compromise, Technique T1189 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1189/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Stage Capabilities: Drive-by Target, Sub-technique T1608.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1608/004/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Compromise Infrastructure: Web Services, Sub-technique T1584.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1584/006/ (consultato il 3 novembre 2026)
- MITRE ATT&CK, «Exploitation for Client Execution, Technique T1203 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1203/ (consultato il 3 novembre 2026)
- NCSC (Royaume-Uni), «Phishing attacks: defending your organisation», 5 febbraio 2018. https://www.ncsc.gov.uk/guidance/phishing (consultato il 3 novembre 2026)
Cita questo articolo
Brain, «Attacco watering hole», Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp027_it_2026,
author = {Brain},
title = {Attacco watering hole},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/it/articles/watering-hole-attacco-sito-compromesso/},
note = {CC BY 4.0}
}