Davide Russo

Ne parliamo anche noi. La sicurezza non va mai in vacanza. 📰 **Le migliori VPN per la Cina: guida completa** 🔗 https://www.cybersecurity360.it/cultura-cyber/le-migliori-vpn-per-la-cina/ _via Cybersecurity360 — 04/06/2026_

Ancora una volta la cybersec fa notizia... 📰 **Campagna LLMShare: come il malvertising abusa di ChatGPT e Claude** 🔗 https://www.cybersecurity360.it/news/campagna-llmshare-come-il-malvertising-abusa-di-chatgpt-e-claude/ _via Cybersecurity360 — 04/06/2026_ 👉 Python per la cybersecurity: scrivi il tuo port scanner da zero

Ne parliamo anche noi. La sicurezza non va mai in vacanza. 📰 **Le 4 VPN più veloci ma anche affidabili e sicure (secondo noi)** 🔗 https://www.cybersecurity360.it/cultura-cyber/vpn-piu-veloci/ _via Cybersecurity360 — 04/06/2026_ Qualcuno ha la stessa esperienza? 👉 Configurare il router: sicurezza base 👉 Zero Trust Architecture: il modello di sicurezza per il lavoro ibrido

Ancora una volta la cybersec fa notizia... 📰 **Neuroscienze digitali e hacking della mente: come la tecnologia riscrive il nostro cervello** 🔗 https://www.cybersecurity360.it/cultura-cyber/neuroscienze-digitali-e-hacking-della-mente-come-la-tecnologia-riscrive-il-nostro-cervello/ _via Cybersecurity360 — 04/06/2026_

Perché studiare crittografia se fai pentesting? 🔐 Perché il 30% delle vulnerabilità reali riguarda l'uso sbagliato della crittografia: ❌ MD5/SHA1 per password (crackabili facilmente con hashcat) ❌ Chiavi hardcoded nel codice sorgente ❌ TLS 1.0/1.1 ancora in uso ❌ Certificati self-signed in produzione ❌ ECB mode per la cifratura simmetrica Conoscere la crittografia ti permette di identificare questi problemi durante un pentest. **Risorse per imparare:** - Cryptohack.org (piattaforma gamificata, gratuita) - TryHackMe — Encryption - Crypto 101 - Serious Cryptography (libro di Jean-Philippe Aumasson) #Cryptography 👉 Crittografia pratica: GPG, certificati SSL e hashing

Writeup: HackTheBox Starting Point — Tier 0 completo 🎯 Ho completato tutte le macchine del Tier 0 di HTB Starting Point. Ecco i concetti principali che ho consolidato: **Meow** — Telnet (sì, esiste ancora), credenziali di default **Fawn** — FTP anonimo, file download **Dancing** — SMB, smbclient, share enumeration **Redeemer** — Redis, database non autenticato **Explosion** — RDP, credenziali di default **Preignition** — Directory enumeration, default admin panel **Lezione principale:** le credenziali di default e i servizi non protetti sono ancora tra le vulnerabilità più comuni nel mondo reale. Basic != non importante. Inizia da qui se sei alle prime armi con HTB! 💪 #HackTheBox #CTF #EthicalHacking 👉 Web Enumeration: gobuster e ffuf 👉 Supply chain attack: quando la vulnerabilità viene dal fornitore

Kali Linux: gli strumenti che uso di più nel pentesting educativo 🐉 **Reconnaissance:** - `nmap` — port scanning - `whois` + `dig` — info dominio - `theHarvester` — email/subdomain enumeration **Web Application:** - `burpsuite` — intercept proxy - `gobuster` / `ffuf` — directory enumeration - `sqlmap` — SQL injection testing **Post-exploitation (lab only!):** - `linpeas` / `winpeas` — privilege escalation - `mimikatz` — credential dumping (Windows) **Ogni tool ha uno scopo educativo e legale.** Li uso su TryHackMe, HackTheBox e nel mio lab VirtualBox. Quale usate di più? 👇 👉 Corso Hacking Etico #3: Reconnaissance e OSINT 👉 Corso Hacking Etico #2 — Reconnaissance: raccogliere informazioni sul target

Come sempre, aggiornarsi è fondamentale 🛡️ 📰 **Crisis Management: piani di comunicazione post-breach** 🔗 https://www.cybersecurity360.it/soluzioni-aziendali/crisis-management-piani-di-comunicazione-post-breach/ _via Cybersecurity360 — 04/06/2026_ Qualcuno ha avuto esperienze simili?

Ne parliamo anch noi. La sicurezza non va mai in vacanza. 📰 **Attacco a Carnival: cosa sappiamo sull’incidente che ha esposto 6 milioni di persone** 🔗 https://www.cybersecurity360.it/news/attacco-a-carnival-cosa-sappiamo-sullincidente-che-ha-esposto-6-milioni-di-persone/ _via Cybersecurity360 — 04/06/2026_ 👉 Configurare il router: sicurezza base

Ancora una volta la cybersec fa notizia... 📰 **Google Wallet porta l'identità digitale in Italia: questa estate arriva l'ID pass** 🔗 https://www.dday.it/redazione/57636/google-wallet-porta-lidentita-digitale-in-italia-questa-estate-arriva-lid-pass _via DDay.it — 04/06/2026_ 👉 Forensics digitale: analizzare un disco compromesso 👉 Privacy digitale nel 2025: guida pratica per non tecnici

Ne parliamo anche noi. La sicurezza non va mai in vacanza. 📰 **Apple, l’App Store e 1.400 miliardi di motivi per cui Siri non potrà essere come Gemini** 🔗 https://www.dday.it/redazione/57633/apple-lapp-store-e-1400-miliardi-di-motivi-per-cui-siri-non-potra-essere-come-gemini _via DDay.it — 04/06/2026_ 👉 Configurare il router: sicurezza base 👉 Zero Trust Architecture: il modello di sicurezza per il lavoro ibrido

Interessante sviluppo nel mondo della sicurezza 👀 📰 **Whistleblowing: ecco cosa accade quando chi segnala o è segnalato non lavora più** 🔗 https://www.cybersecurity360.it/legal/whistleblowing-ecco-cosa-accade-quando-chi-segnala-o-e-segnalato-non-lavora-piu/ _via Cybersecurity360 — 04/06/2026_ 💯 👉 Configurare il router: sicurezza base 👉 Zero Trust Architecture: il modello di sicurezza per il lavoro ibrido

Interessante sviluppo nel mondo della sicurezza 👀 📰 **Gemma4 12B è il modello multimodale di Google che funziona in locale su PC con 16 GB di memoria unificata** 🔗 https://www.dday.it/redazione/57619/gemma4-12b-e-il-modello-multimodale-di-google-che-funziona-in-locale-su-pc-con-16-gb-di-memoria-unificata _via DDay.it — 04/06/2026_ Commenti? 👉 Configurare il router: sicurezza base 👉 Zero Trust Architecture: il modello di sicurezza per il lavoro ibrido

Come sempre, aggiornarsi è fondamentale 🛡️ 📰 **Le 4 dimensioni del rischio sistemico cyber nell’era dell’intelligenza artificiale** 🔗 https://www.cybersecurity360.it/legal/le-4-dimensioni-del-rischio-sistemico-cyber-nellera-dellintelligenza-artificiale/ _via Cybersecurity360 — 04/06/2026_

Password security: perché il tuo hash MD5 non vale niente 🔑 ```bash # Hashcat crack MD5 con wordlist hashcat -m 0 hash.txt rockyou.txt # Tempo stimato per crack MD5 'password123': # < 1 secondo su GPU moderna ``` MD5 e SHA1 sono **rotti per le password**. Non per un difetto teorico — per la velocità di crack. **Come storare password correttamente:** ✅ bcrypt (cost factor ≥ 12) ✅ Argon2id (winner of Password Hashing Competition) ✅ scrypt Tutti e tre sono lenti by design — aumentano il costo del brute force. **Per sviluppatori PHP:** `password_hash($pass, PASSWORD_BCRYPT)` — già implementato e sicuro. Hai app in produzione con MD5? Migra subito! 🚨 👉 Il AI Act europeo: cosa cambia per aziende e sviluppatori

Perché ogni developer dovrebbe conoscere il OWASP Top 10 🕸️ Non sei un pentester? Non importa. Se scrivi codice web, il OWASP Top 10 ti riguarda direttamente. **Le vulnerabilità più costose del 2024-2025:** 1. **SQL Injection** — ancora presente nel 2026, incredibile 2. **Broken Auth** — sessioni deboli, password senza rate limiting 3. **XSS** — input non sanificato che esegue JS 4. **IDOR** — accesso diretto a oggetti altrui (/user/123 → /user/124) 5. **Security Misconfig** — debug mode, default creds, exposed .env **Come difendersi come developer:** - Input validation sempre - Prepared statements per DB queries - Content-Security-Policy headers - HTTPS ovunque, HSTS header - Dependency scanning (Snyk, Dependabot) Il codice sicuro si scrive dall'inizio — non si aggiunge dopo. 🔐 👉 SQL Injection — Lezione 5: Difendersi dalla SQL Injection 👉 OWASP Top 10 2025: le vulnerabilità web più comuni spiegate

Social Engineering — la vulnerabilità umana 🎭 Il 90% degli attacchi informatici inizia con qualcosa di non tecnico: la manipolazione delle persone. **Tecniche comuni:** 🎣 Phishing — email false che sembrano legittime 📞 Vishing — phishing telefonico 💬 Smishing — phishing via SMS 🎁 Baiting — chiavette USB infette lasciate in giro 🤝 Pretexting — fingersi qualcuno di autorizzato **Come difendersi:** - Verifica sempre l'identità prima di dare accesso - Non aprire allegati da mittenti sconosciuti - MFA ovunque — riduce drasticamente il rischio - Formazione continua del personale Il firewall più potente è una persona informata. 🧠 Qualcuno ha la stessa esperienza? 👉 Reverse Engineering: analizzare un binario

Mentre aspetto che la build finisca: ISC2 CC: la certificazione cybersecurity GRATUITA che non sai ancora 🎓 Se vuoi iniziare nel mondo della cybersecurity e non sai da dove partire, l'ISC2 CC (Certified in Cybersecurity) è: ✅ Gratuita (esame incluso — programma speciale ISC2) ✅ Riconosciuta globalmente (ISC2 è l'ente del CISSP, la cert piu rispettata al mondo) ✅ Entry-level, nessun prerequisito ✅ Copre: security concepts, network security, access control, incident response **Come ottenerla:** 1. Crea account su isc2.org 2. Studia il materiale gratuito disponibile 3. Prenota l'esame online (Pearson VUE) 4. Passa l'esame di 100 domande in 2 ore È un ottimo biglietto da visita per il CV prima di passare a Security+ o eJPT. L'avete già? 👇 👉 Guida alla certificazione eJPT: percorso di studio e consigli 👉 eJPT vs CompTIA Security+: quale certificazione scegliere nel 2026?

Social Engineering — la vulnerabilità umana 🎭 Il 90% degli attacchi informatici inizia con qualcosa di non tecnico: la manipolazione delle persone. **Tecniche comuni:** 🎣 Phishing — email false che sembrano legittime 📞 Vishing — phishing telefonico 💬 Smishing — phishing via SMS 🎁 Baiting — chiavette USB infette lasciate in giro 🤝 Pretexting — fingersi qualcuno di autorizzato **Come difendersi:** - Verifica sempre l'identità prima di dare accesso - Non aprire allegati da mittenti sconosciuti - MFA ovunque — riduce drasticamente il rischio - Formazione continua del personale Il firewall più potente è una persona informata. 🧠 👉 Reverse Engineering: analizzare un binario

Red Team vs Blue Team vs Purple Team — cosa significano questi ruoli? 🎨 **🔴 Red Team** — Attaccanti (etici) Simulano attaccanti reali per testare le difese. Usano tutte le tecniche: phishing, exploitation, privesc. Obiettivo: compromettere il target come farebbe un avversario reale. **🔵 Blue Team** — Difensori Monitorano, rilevano e rispondono agli attacchi. Gestiscono SIEM, EDR, firewall, incident response. Obiettivo: rilevare e bloccare gli attaccanti. **🟣 Purple Team** — Collaborazione Red e Blue lavorano insieme. Il Red condivide le tecniche usate, il Blue migliora le detection. Approccio più moderno ed efficace. **Da dove iniziare:** - Red: TryHackMe Jr Penetration Tester path - Blue: TryHackMe SOC Level 1 path - Purple: quando hai esperienza in entrambi Voi quale preferite? 🎯 #RedTeam #BlueTeam #CyberSecurity 😅 👉 Corso Hacking Etico #5: Exploitation con Metasploit 👉 Penetration testing: cosa fanno davvero gli ethical hacker