Annualmente, per monitorare la sicurezza IT. In occasione di cambiamenti tecnologici e aggiornamenti importanti dell'infrastruttura IT. Per rispettare le scadenze normative e di compliance, colmando eventuali lacune non emerse durante gli audit preventivi. Dopo un incidente o in caso di sospetto attacco informatico.
Operiamo senza bisogno di informazioni aggiuntive: ci basta il contratto, la firma dell’NDA e lo scope, qualora debba essere definito. Dopodiché, agiamo come veri attaccanti, con una fase di ricognizione e campagne di attacco reali, per individuare le vulnerabilità esattamente come farebbe un attore ostile.
Riduzione del rischio reputazionale e protezione del valore azionario. Un attacco informatico può avere un impatto diretto sulla fiducia degli investitori, causando il crollo del valore delle azioni e danneggiando l’immagine dell’azienda. Il VAPT permette di prevenire attacchi mirati, proteggendo la continuità operativa e la reputazione aziendale prima che una vulnerabilità venga sfruttata.
Competenze tecniche avanzate in cybersecurity
Con chi lavoriamo
I nostri clienti costruiscono e gestiscono sistemi critici: ambienti industriali e manifatturieri, piattaforme di identità digitale e autenticazione, cloud e SaaS multi-tenant, sanità e benessere, e l’infrastruttura e-mail su cui poggia il loro business.
Come lavoriamo
Ogni attività va dall’inizio alla fine, dal primo contatto alla correzione verificata.
Cosa abbiamo testato
Non testiamo in laboratorio. Il nostro lavoro copre i sistemi su cui contate ogni giorno:
Microsoft 365 · Exchange · Postfix · Proofpoint · Keycloak · SPF/DKIM/DMARC · DNS e mail routing · REST API · API mobile e backend · applicazioni web · sistemi di identità e autenticazione · architetture multi-tenant · ambienti SaaS · infrastruttura cloud
Non ci fermiamo all'identificazione delle vulnerabilità.
Le nostre attività includono indicazioni pratiche per la correzione delle vulnerabilità, la validazione degli exploit, l'hardening delle configurazioni, l'analisi delle catene di attacco e la verifica post-intervento, con l'obiettivo di ridurre la reale superficie di attacco e migliorare la resilienza operativa.
DeepSec Vienna 2025
∞ Day at Scale: Hijacking Registrars, Defeating 2FA and Spoofing 17,000+ Domains Even with DMARC
Alessandro Bertoldi (Bertoldi Cybersecurity)
Co-autore: Enrico Bertoldi (Bertoldi Cybersecurity)
Cosa succede quando un registrar è l'anello più debole della tua catena di sicurezza? Questo talk rivela come i fallimenti sistemici nel recupero delle credenziali, il bypass del 2FA e lo spoofing delle email consentano uno sfruttamento persistente anche quando i domini hanno SPF, DKIM e DMARC p=reject configurati correttamente.
Sulla base di ricerche nel mondo reale condotte tra il 2018 e il 2025, presentiamo vulnerabilità ∞-day (forever-day) che colpiscono oltre 17.000 domini inclusi cross-tenant spoofing in N-Able Mail Assure e falle nelle procedure di recupero dell'identità di Register.it. Dimostreremo il controllo completo sui pannelli clienti con zero credenziali, utilizzando solo moduli PDF e ingegneria sociale.
Proporremo anche una soluzione concreta: un Sistema di Reliability Scoring per i registrar e un marchio di fiducia "Green Check" per gli utenti finali, integrato con RDAP e allineato alla direttiva NIS2. Questo talk sfida le ipotesi su autenticazione, identità e fiducia nell'infrastruttura Internet e offre sia prospettive offensive che difensive.