ANALISI
eScan, l'aggiornamento dell'antivirus che porta il malware: il canale fidato come rischio
Il 20 gennaio 2026 un server di aggiornamento dell'antivirus eScan ha distribuito per due ore un programma malevolo che bloccava gli aggiornamenti e scaricava altro codice, colpendo centinaia di computer in Asia meridionale. L'analisi: il canale fidato, il cumulo su un fornitore di sicurezza, chi paga e domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di gennaio 2026 · di cybercoverinsurance
Il 20 gennaio 2026 un server di aggiornamento regionale di eScan, antivirus della società indiana MicroWorld Technologies, ha distribuito per circa due ore un file malevolo ai computer dei clienti. Il file bloccava i successivi aggiornamenti dell'antivirus, si installava in modo persistente e scaricava altri programmi. La società di sicurezza Morphisec lo ha rilevato lo stesso giorno, Kaspersky ha contato centinaia di computer colpiti, soprattutto in India, Bangladesh, Sri Lanka e Filippine.
Per chi assume il rischio cyber il caso riguarda il canale più fidato di un'azienda: l'aggiornamento automatico del software di sicurezza. Quando quel canale viene compromesso, il controllo che dovrebbe proteggere diventa la porta d'ingresso, e lo diventa per molti clienti nello stesso momento.
Cosa si sa
L'attacco. Secondo eScan, qualcuno ha ottenuto un accesso non autorizzato alla configurazione di un server di aggiornamento regionale, e un file errato è stato inserito nel percorso di distribuzione per circa due ore il 20 gennaio. La società ha isolato i server, ha tenuto offline l'infrastruttura di aggiornamento per oltre otto ore e ha pubblicato un avviso il 22 gennaio (SecurityWeek).
Cosa faceva il file. Il programma malevolo sostituiva un file legittimo dell'antivirus, con una firma digitale falsa. Modificava il file HOSTS per impedire nuovi aggiornamenti, creava attività pianificate per restare attivo e contattava un server esterno per scaricare altro codice. Controllava se sul computer fossero presenti strumenti di analisi o di sicurezza, e in quel caso si fermava. Scriveva anche una data di aggiornamento falsa, così che il prodotto sembrasse aggiornato. Kaspersky ha rilevato tentativi di infezione su centinaia di computer di privati e organizzazioni (The Hacker News).
La pulizia. La rimozione automatica non era possibile, perché il file bloccava gli aggiornamenti. I clienti colpiti dovevano contattare eScan per ricevere uno strumento di pulizia (SecurityWeek).
Le versioni a confronto. eScan ha parlato di una "interruzione temporanea del servizio di aggiornamento" e di un aggiornamento "corrotto", ha contestato l'etichetta di attacco alla supply chain e ha detto di non aver trovato prove di furto di dati. Morphisec e Kaspersky descrivono invece una catena di infezione deliberata in più fasi (The Hacker News, SecurityWeek).
Cosa non è noto. Come gli attaccanti siano entrati nel server, chi siano, quanti clienti siano stati colpiti e quale fosse lo scopo finale non sono stati resi pubblici. eScan ha detto che l'impatto ha riguardato una piccola parte dei clienti, senza dare numeri.
Il canale fidato come porta d'ingresso
L'aggiornamento automatico è un privilegio. Il software di sicurezza ha i permessi più alti sul computer e riceve aggiornamenti senza che nessuno li controlli. Chi controlla il canale di aggiornamento controlla, per qualche ora, tutti i computer che lo ricevono.
Il controllo che si spegne da solo. Il file malevolo bloccava gli aggiornamenti dell'antivirus e simulava un aggiornamento riuscito (The Hacker News). Per l'assicurato, l'antivirus risultava attivo e aggiornato. Una risposta positiva nel questionario non dice se il controllo funziona davvero.
Due ore bastano. La finestra di distribuzione è stata di circa due ore (SecurityWeek). Nessun processo di verifica interno dell'assicurato avrebbe potuto fermare un aggiornamento firmato dal fornitore in così poco tempo. La difesa sta nel rilevamento del comportamento anomalo dopo l'installazione.
Il cumulo su un fornitore di sicurezza
Un fornitore, molti assicurati. Un antivirus diffuso tra piccole e medie imprese di un paese crea una dipendenza comune. Il caso eScan è rimasto limitato, ma lo stesso meccanismo applicato a un fornitore con più clienti produrrebbe molti sinistri insieme.
La geografia del portafoglio. I computer colpiti erano concentrati in Asia meridionale (The Hacker News). Per chi assicura imprese di una regione, il fornitore di sicurezza dominante sul mercato locale è un dato di cumulo da raccogliere, come il fornitore di cloud o di software gestionale.
Il precedente CrowdStrike, al contrario. Nel luglio 2024 un aggiornamento difettoso di CrowdStrike aveva fermato milioni di computer senza alcun attacco. eScan mostra la versione malevola dello stesso rischio: il canale di aggiornamento come punto unico che può colpire tutti i clienti.
Chi paga
Il cliente colpito ha un sinistro. Per il cliente, l'infezione è un attacco informatico a tutti gli effetti: costi di risposta, pulizia e verifica. La polizza cyber dell'assicurato risponde, di norma, senza distinguere se l'attacco sia arrivato da una mail o dal fornitore.
La rivalsa sul fornitore è incerta. eScan contesta la natura dell'attacco e le sue condizioni contrattuali limitano, di solito, la responsabilità verso i clienti. Per l'assicuratore che paga il sinistro, recuperare dal fornitore di sicurezza è difficile, soprattutto se il fornitore ha sede in un altro paese.
La comunicazione del fornitore conta. La distanza tra la versione di eScan e quella dei ricercatori rende più difficile per i clienti valutare cosa sia successo sui loro computer. Un fornitore che minimizza può ritardare la risposta dei clienti e allungare il sinistro.
Cosa portare ai rinnovi
Impatto per gli assicuratoriMedio
Un server di aggiornamento di un antivirus ha distribuito per due ore un programma malevolo che bloccava gli aggiornamenti e scaricava altro codice, colpendo centinaia di computer in Asia meridionale.
Sul fronte del portafoglio, il caso eScan suggerisce di raccogliere il nome del fornitore di sicurezza principale degli assicurati, soprattutto nelle piccole imprese e nei mercati dove pochi prodotti locali dominano. Uno scenario di aggiornamento malevolo distribuito da un fornitore diffuso è un test utile per il cumulo, con una durata di distribuzione breve ma un numero di sinistri potenzialmente alto.