LAUNDRY BEAR: lo zero-click russo che svuota le caselle Zimbra

Un'email che non chiede di cliccare niente

Il phishing che tutti abbiamo imparato a riconoscere ha una regola implicita: da qualche parte c'è un'azione da compiere. Un link da aprire, un allegato da scaricare, un pulsante "verifica il tuo account". La campagna descritta il 23 luglio 2026 nell'advisory congiunto di CISA, NSA, FBI e partner internazionali rompe quella regola. Il gruppo — un APT russo di Stato che le agenzie chiamano LAUNDRY BEAR — usa un exploit zero-click: basta che l'utente visualizzi un'email malevola dentro una versione vulnerabile della webmail di Zimbra Collaboration Suite. Nessun clic, nessun allegato aperto. La casella si apre, e il danno è già in corso.

È una differenza che conta, perché sposta tutto il peso della difesa dalla prudenza dell'utente all'aggiornamento del software. Non c'è formazione anti-phishing che tenga contro un attacco che non chiede all'utente di fare nulla.

1. 01
   Email malevola in arrivo

   costruita per una webmail ZCS vulnerabile
2. 02
   Sola visualizzazione

   l'exploit zero-click parte all'apertura del messaggio
3. 03
   Ulej entra in azione

   aggrega ed esfiltra i dati della casella

Cosa esce dalla casella, e a chi interessa

Secondo l'advisory, LAUNDRY BEAR sfrutta la CVE-2025-66376 in Zimbra e impiega una capacità sviluppata su misura, chiamata Ulej, per aggregare ed esfiltrare le informazioni. Il bottino non è generico: le agenzie parlano esplicitamente di indirizzi email, password e token per l'autenticazione a due fattori. Rubare il secondo fattore, non solo la password, è ciò che permette a un attaccante di superare le difese che la maggior parte delle organizzazioni considera ormai sufficienti.

Dal luglio 2025, riporta l'advisory, più di dieci organizzazioni che usano ZCS sono state colpite con successo. E l'elenco dei bersagli spiega perché la storia rientra nella cybersecurity nazionale e non nella cronaca IT: base industriale della difesa, amministrazioni statali e locali, forze dell'ordine, aziende tecnologiche, università, media e organizzazioni non governative. È il profilo classico della raccolta di intelligence — email come miniera di relazioni, documenti e credenziali, da cui pescare per settimane.

Perché lo zero-click cambia le priorità

Chris Butera, dirigente ad interim di CISA per la cybersecurity, ha inquadrato bene il punto: gruppi statali più o meno sofisticati stanno trasformando exploit inediti in capacità concrete per lo spionaggio e per colpire le infrastrutture. Contro un exploit che si attiva alla sola lettura di un messaggio, la contromisura non è comportamentale ma tecnica, e l'advisory è netto su quale sia: aggiornare senza indugio tutto il software del servizio di posta ZCS e monitorare in continuo caselle e messaggi alla ricerca di attività malevola. Chi trova indicatori di compromissione nel proprio ambiente deve seguire le azioni di rimedio specifiche indicate nell'advisory, non limitarsi a installare la patch.

Qui vanno dette due cose con onestà. La prima: l'attribuzione a un attore statale russo è quella dell'advisory congiunto, che porta la firma di CISA, NSA, FBI e partner — è la fonte più autorevole disponibile, ma resta un'attribuzione delle agenzie, non un fatto verificabile in modo indipendente da chi legge. La seconda: l'advisory segnala che la capacità di LAUNDRY BEAR potrebbe essere adattata per sfruttare anche altre vulnerabilità, quindi trattare la sola CVE-2025-66376 come "il problema" e chiuderla lì sarebbe un errore di prospettiva. La campagna è descritta come in corso.

Resta il punto pratico, valido ben oltre Zimbra: un server di posta esposto a internet è un bersaglio di valore altissimo, e un servizio webmail non aggiornato è una porta che si apre da sola. La difesa non è esotica — patch tempestive, monitoraggio, e la consapevolezza che il secondo fattore, se rubato, non protegge più. Lo zero-click non rende l'attaccante invincibile: rende semplicemente inutile aspettare che sia l'utente a sbagliare.