Singapore, più che raddoppiati i sistemi infettati da malware nel 2025

Il decimo rapporto Singapore Cyber Landscape, pubblicato dalla Cyber Security Agency of Singapore (CSA), restituisce un quadro ambivalente della sicurezza informatica nel 2025. Da un lato, le autorità hanno rilevato molti più sistemi infettati da malware e un lieve aumento dei casi di ransomware; dall’altro, i tentativi di phishing segnalati sono diminuiti. Nel frattempo, il ricorso all’intelligenza artificiale, i dispositivi vulnerabili e il modello malware-as-a-service stanno rendendo il panorama delle minacce più adattabile e difficile da leggere.

Il dato più evidente: 284.300 sistemi infettati

Nel 2025 Singapore ha rilevato 284.300 sistemi infettati da malware, contro i 117.300 del 2024: un aumento del 142%. Secondo il rapporto, la crescita riflette sia la persistenza dell’attività criminale sia il miglioramento delle capacità di individuazione dei dispositivi infetti appartenenti a botnet.

La distinzione è importante: il dato non significa che ogni infezione aggiuntiva sia stata necessariamente creata nel corso del 2025. Sistemi compromessi già da tempo possono infatti emergere solo quando gli strumenti di rilevamento diventano più efficaci. Il numero mostra però quanta infrastruttura compromessa sia diventata visibile ai difensori e quanto i dispositivi connessi continuino a rappresentare un obiettivo interessante per gli attaccanti.

Botnet, router e dispositivi IoT vulnerabili

Il rapporto collega l’aumento del malware alla diffusione del malware-as-a-service, un modello che consente ai criminali di utilizzare strumenti e servizi malevoli senza dover sviluppare autonomamente ogni componente dell’attacco. A questo si aggiunge l’ampio bacino di dispositivi IoT destinati al mercato consumer, tra cui router configurati male, non aggiornati o privi di adeguate protezioni.

La CSA ha inoltre segnalato attacchi contro router non aggiornati utilizzati da diverse organizzazioni. Gli aggressori hanno creato account amministrativi non autorizzati e installato strumenti capaci di restare attivi anche dopo l’applicazione di successivi aggiornamenti di sicurezza.

Per ridurre questo rischio, entro la fine del 2027 i router residenziali venduti a Singapore dovranno rispettare i requisiti di livello 2 del Cybersecurity Labelling Scheme, il programma nazionale di etichettatura della cybersicurezza. L’obiettivo è innalzare il livello minimo di protezione dei dispositivi che possono diventare un punto d’ingresso o alimentare botnet più estese.

L’intelligenza artificiale aumenta velocità e credibilità degli attacchi

La CSA descrive un ambiente sempre più complesso e influenzato dall’intelligenza artificiale. Gli strumenti di IA possono aiutare gli aggressori a produrre messaggi più convincenti e contenuti sintetici su larga scala; le autorità di Singapore hanno inoltre messo in guardia dalle truffe che sfruttano media manipolati, inclusi i deepfake.

Per organizzazioni e cittadini, questo significa che non basta più cercare errori ortografici evidenti, immagini poco realistiche o testi scritti male. Diventa essenziale verificare le richieste insolite attraverso canali affidabili, proteggere gli account con sistemi di autenticazione robusti e limitare i danni nel caso in cui un dispositivo o un’identità digitale vengano compromessi.

Il phishing diminuisce, ma non è una vittoria netta

I tentativi di phishing segnalati sono scesi di circa un quinto: da circa 6.100 nel 2024 a circa 4.800 nel 2025.

Il dato va interpretato con cautela. Le segnalazioni misurano gli episodi portati all’attenzione delle autorità, non tutti i tentativi effettivamente avvenuti. Inoltre, i contenuti generati dall’IA possono rendere più persuasivi i tentativi di impersonificazione e le frodi, modificando la qualità degli attacchi anche quando il loro volume apparente diminuisce.

Le fonti disponibili non consentono di stabilire con sufficiente affidabilità quali siano stati nel 2025 i settori o gli enti stranieri impersonati più frequentemente. È quindi preferibile non presentare classifiche non confermate.

Il ransomware continua a colpire soprattutto le PMI

I casi di ransomware sono aumentati leggermente, passando da 159 nel 2024 a 165 nel 2025. Le piccole e medie imprese sono state colpite in modo sproporzionato, anche perché spesso dispongono di risorse più limitate per mantenere difese informatiche mature.

Per le PMI, la risposta è soprattutto operativa: aggiornamenti regolari, copie di sicurezza testate, controlli rigorosi sugli accessi e un piano di risposta agli incidenti già messo alla prova possono ridurre le conseguenze di un’intrusione riuscita.

La strategia di Singapore include anche iniziative di supporto e recupero. Tra queste figura un Cyber Resilience Centre sviluppato con partner del settore, pensato per offrire controlli sul livello di sicurezza e assistenza dopo un incidente. Le PMI idonee possono inoltre ottenere un cofinanziamento fino al 70% per servizi di consulenza informatica attraverso il programma CISO-as-a-Service.

Operation Cyber Guardian contro la minaccia UNC3886

Uno degli episodi più rilevanti ha coinvolto UNC3886, un gruppo classificato come attore di minaccia persistente avanzata (Advanced Persistent Threat, APT). Il gruppo ha tentato di infiltrarsi nei quattro principali operatori delle telecomunicazioni di Singapore. In risposta, il Paese ha lanciato Operation Cyber Guardian, descritta nelle fonti come la più grande operazione coordinata di risposta a un incidente informatico nella storia di Singapore. La minaccia è stata contenuta senza interruzioni segnalate dei servizi di telecomunicazione né prove di compromissione dei dati dei clienti.

L’episodio mostra perché la protezione delle infrastrutture critiche richieda un approccio diverso da quello applicato alla normale informatica aziendale. Un attacco a telecomunicazioni, energia, finanza o sanità può produrre conseguenze oltre i confini della singola organizzazione, rendendo indispensabile il coordinamento tra operatori e istituzioni.

Requisiti più severi per le infrastrutture critiche

A Singapore il quadro normativo per le infrastrutture informative critiche (Critical Information Infrastructure, CII) comprende 11 settori:

• aviazione;
• banche e finanza;
• energia;
• governo;
• sanità;
• infocomunicazioni;
• trasporto terrestre;
• settore marittimo;
• media;
• sicurezza e servizi di emergenza;
• acqua.

La CSA richiederà ai proprietari di infrastrutture informative critiche di ottenere la certificazione Cyber Trust Mark di livello 5 entro la fine del 2027. Il programma di certificazione è stato inoltre ampliato per includere la sicurezza del cloud, la sicurezza della tecnologia operativa (OT) e la sicurezza dei sistemi di IA, oltre ai controlli informatici tradizionali.

L’approccio sposta l’attenzione dalla protezione di un singolo sistema alla gestione dell’intera rete di sistemi interconnessi e dei fornitori che la circondano. È un passaggio rilevante perché router esposti, servizi cloud o tecnologie operative possono essere sfruttati come trampolini verso ambienti più preziosi.

Il cambio alla guida della CSA

David Koh, amministratore delegato fondatore della Cyber Security Agency of Singapore e Commissioner of Cybersecurity, ha lasciato entrambi gli incarichi il 1° luglio 2026. Gli è subentrata Gwenda Fong.

Il passaggio di consegne è avvenuto dopo il periodo analizzato dai dati sulla minaccia del 2025. Va quindi considerato come una transizione al vertice in vista della prossima fase del lavoro di resilienza informatica di Singapore, non come un risultato riferito direttamente alla situazione del 2025.

Che cosa rivela davvero il rapporto

Il messaggio centrale non è soltanto che Singapore abbia subito più attacchi informatici. È che l’ecosistema delle minacce sta diventando più facile da scalare e più difficile da riconoscere, mentre le capacità nazionali di rilevamento e risposta diventano a loro volta più attive.

Tre conclusioni emergono con chiarezza:

1. L’aumento del malware è serio, ma riflette in parte una maggiore visibilità. L’attività persistente delle botnet e il miglioramento dei sistemi di rilevamento hanno contribuito al dato di 284.300 sistemi.
2. Il calo delle segnalazioni di phishing non annulla il rischio legato all’IA. Gli aggressori possono rendere le truffe più convincenti e scalabili anche quando diminuiscono i volumi convenzionali segnalati.
3. Singapore sta introducendo obblighi minimi di sicurezza sempre più stringenti. I requisiti per i router residenziali e la certificazione Cyber Trust Mark di livello 5 per i proprietari di infrastrutture critiche trasferiscono maggiori responsabilità a produttori, operatori e organizzazioni.

Ne emerge una strategia fondata su visibilità, risposta coordinata e standard applicabili. Ma anche sulle pratiche quotidiane: proteggere i dispositivi vulnerabili e aiutare le organizzazioni più piccole a rafforzarsi è essenziale per evitare che diventino il prossimo anello debole della catena.