VOLTA ruba dati e usa l’AI per stimare cosa vale di più.

VOLTA non si limita a rubare dati: dopo l’esfiltrazione, costruisce un dossier sulla vittima e lo invia a un modello di intelligenza artificiale per capire quali informazioni possano valere di più sul mercato criminale. È questo il passaggio insolito documentato da Cisco Talos in un’analisi pubblicata il 31 ottobre 2026, che descrive un infostealer Windows capace di automatizzare il triage del bottino sottratto.

Il punto rilevante non è solo la quantità di dati raccolti, ma il modo in cui il malware li seleziona. Secondo Talos, VOLTA non usa l’AI come semplice supporto operativo: la impiega per stimare il potenziale economico di ciò che ha già rubato, riducendo il lavoro manuale necessario all’operatore e accelerando la scelta degli asset più redditizi.

Dal furto alla valutazione del bottino

Talos descrive VOLTA come un infostealer Windows maturo con un livello opzionale di integrazione AI. La catena parte dal furto di credenziali, sessioni e wallet di criptovalute, per poi passare a una fase di arricchimento dei dati. Il malware raccoglie password del browser, cookie, carte di pagamento, seed phrase dei wallet, sessioni di Discord, Telegram, Steam e Roblox, token Microsoft OAuth, chiavi SSH e cloud, profili Wi‑Fi e screenshot.

Questa raccolta non resta un archivio grezzo. VOLTA prepara un pacchetto strutturato di elementi da sottoporre a un LLM, con l’obiettivo di classificare gli asset della vittima in base al loro valore di monetizzazione. In altre parole, l’algoritmo non serve a rubare di più, ma a scegliere meglio cosa monetizzare per primo.

Il ruolo dell’AI nel triage criminale

Secondo l’analisi, il system prompt chiede al modello di comportarsi come un analista di intelligence forense e di produrre una sezione “WHAT THEY’RE WORTH”, con una stima bassa, media o alta del potenziale di monetizzazione. L’indicazione è significativa perché sposta l’uso dell’AI da attività di supporto generico a una funzione quasi decisionale: valutare il valore di una vittima sulla base dei dati sottratti.

Talos segnala anche la catena tecnica usata per l’elaborazione. L’endpoint AI indicato è OpenRouter; il modello predefinito è anthropic/claude-opus-4.6, con fallback verso moonshotai/kimi-k2 e poi google/gemini-2.5-flash. Il fatto che il malware appoggi questa fase a servizi esterni è un altro elemento che distingue VOLTA da un infostealer tradizionale, più legato a una logica di esfiltrazione e basta.

I dati più preziosi: conti, account e tracce personali

La fase di arricchimento mostra perché il triage automatizzato abbia senso per chi gestisce campagne di furto dati. Talos spiega che VOLTA usa sessioni rubate per cercare ricevute in Gmail e ricostruire indirizzo e altri dati personali, oltre a recuperare cronologie di servizi come Uber Eats e DoorDash. Nella logica criminale, queste informazioni aiutano a trasformare un pacchetto di credenziali in un profilo più completo e quindi più spendibile.

Non tutti i dati hanno lo stesso peso. Un cookie o una password possono aprire l’accesso a un account; una seed phrase può consentire il controllo di un wallet; una sessione di Discord o Roblox può risultare utile per frodi, rivendita o ulteriori compromissioni. L’AI, in questa catena, serve proprio a separare il materiale standard dagli asset che promettono un ritorno più alto.

Un malware auto-eliminante e senza infrastruttura “visibile”

Un altro dettaglio tecnico rilevante è che VOLTA è descritto come self-deleting, quindi capace di cancellarsi dopo l’esecuzione. Talos osserva inoltre che l’operazione non sembra appoggiarsi a un’infrastruttura controllata direttamente dall’attaccante, ma a endpoint di terze parti. Questo approccio rende più difficile collegare il furto a una singola catena di comando e controllo, e può complicare l’attribuzione operativa.

Per i difensori, la conseguenza è chiara: non basta cercare indicatori classici di esfiltrazione. Occorre considerare anche il momento successivo, quello in cui il malware o l’operatore trasformano i dati rubati in una stima di valore e decidono come monetizzarli.

Perché il caso VOLTA conta oltre il singolo malware

Talos interpreta questo episodio come un segnale più ampio: l’uso dei modelli generativi nel cybercrime non riguarda più soltanto phishing, script o assistenza alla scrittura, ma anche il lavoro analitico e decisionale. In questa cornice, l’AI non sostituisce il furto, ma ne aumenta l’efficienza, riducendo il tempo necessario per capire quali vittime o quali dati abbiano il rendimento migliore.

È una tendenza che preoccupa perché abbassa la soglia operativa per chi conduce campagne malevole e rende più scalabili attività che prima richiedevano più passaggi manuali. Per gli utenti, il messaggio è altrettanto diretto: la protezione non riguarda solo gli account più ovvi, ma tutto ciò che può essere combinato per ricostruire identità, accessi e valore economico.

In questo senso VOLTA è un caso interessante non perché sia il primo malware a rubare dati, ma perché mostra un’evoluzione precisa del mercato criminale: il passaggio dal semplice esfiltrare al valutare automaticamente ciò che è stato sottratto.

Fonti

• https://blog.talosintelligence.com/category/ai/
• https://blog.talosintelligence.com/appraisal-by-ai-model-driven-victim-prioritization-in-the-volta-infostealer/