Stesso giorno, stesso fornitore IT: due utility energetiche costrette a notificare un data breach ai clienti. L'attacco non è passato dai loro sistemi, ma dalla catena di fornitura.
Due bollette, un solo punto debole
Ti è arrivata una mail da Sorgenia o da Dolomiti Energia che parlava di un "incidente"? Non sei il solo, e soprattutto la colpa non è tua. Le due utility hanno avvisato i clienti tra il 7 e l'8 ottobre: alcuni dati personali erano finiti in mani sbagliate. Ma l'attacco non è entrato dai loro sistemi. È entrato da un fornitore che lavorava per entrambe.
I due attacchi risalgono allo stesso giorno, il 13 settembre 2025. Stessa data, due aziende diverse, un fornitore di servizi IT in comune: è questo che ha fatto parlare di attacco "coordinato" alla supply chain. Supply chain, tradotto: la catena di fornitori e appaltatori a cui un'azienda appoggia pezzi del proprio lavoro. In questo caso, la gestione di alcuni dati dei clienti. Buchi uno, ne colpisci due.
Quali dati sono usciti
Dipende dal cliente: nome, indirizzo di fornitura, codice fiscale, in alcuni casi numero di telefono, codice POD del contatore e — il dato che preoccupa di più — l'IBAN. Per Sorgenia risultano coinvolti in particolare i clienti del servizio a "tutele graduali". Nessuna password, a quanto comunicato. Ma con nome, codice fiscale e IBAN in chiaro, il materiale per un tentativo di truffa o di addebito non autorizzato c'è tutto.
A complicare il quadro, settimane dopo è spuntata su un forum del dark web la rivendicazione di un furto che riguarderebbe oltre 300.000 clienti Sorgenia, messi in vendita. L'azienda non ha confermato, e anzi aveva già smentito via PEC una rivendicazione precedente. Numeri da prendere con le pinze, quindi. Ma i due data breach ufficiali restano, e la lezione pure.
Fonte: Cyber Security 360
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
La frase che userò con i miei clienti questa settimana è semplice: puoi avere i server blindati e finire comunque sui giornali per colpa di qualcun altro. Sorgenia e Dolomiti Energia, da quel che si capisce, non hanno sbagliato una serratura in casa propria. Hanno affidato un pezzo di lavoro a un fornitore, e la serratura debole era lì.
È il punto che trovo più sottovalutato quando affianco un'azienda sulla NIS2 o su una ISO 27001: il perimetro non finisce dove finisce la tua rete, finisce dove finisce quella dei tuoi fornitori. Eppure il contratto con l'esterno, nove volte su dieci, parla di tempi e di prezzo e non dice una riga su come quel fornitore protegge i miei dati, cosa fa se li perde, in quanto tempo mi avvisa. Qui, tra l'attacco e la mail ai clienti, è passato quasi un mese. Troppo, secondo me, anche se capisco che ricostruire cosa è stato toccato richiede tempo.
Non dico che si possa azzerare il rischio: un fornitore serio può essere bucato come chiunque altro, e sarebbe disonesto far credere il contrario. La domanda che mi porto dietro da questa storia è un'altra, e la giro anche a te: dei fornitori che oggi toccano i dati della tua azienda, quanti ne sapresti nominare uno per uno, e di quanti hai davvero letto cosa succede il giorno in cui vengono violati?