Il leak di 96 GB di dati da un repository GitHub privato di Checkmarx, attribuito al gruppo LAPSUS$, ha fatto scalpore. La conferma è arrivata direttamente dall’azienda. Ma la dimensione del dump – per quanto impressionante – non è il punto. Il vero problema è che l’attacco è solo l’ultimo anello di una catena di compromissioni che passano per i fornitori. E non è un caso isolato.

Lo stesso giorno in cui Checkmarx ammetteva l’incidente, BleepingComputer riportava che Vimeo ha notificato una violazione dei dati legata a un attacco subìto dal suo fornitore di analytics, Anodot. Gli utenti Vimeo si sono ritrovati con email, nomi utente e informazioni di utilizzo esposti. Anche qui, nessun accesso diretto: il colpo è stato sferrato dal perimetro debole di un fornitore.

Nel frattempo, secondo Matrice Digitale, il gruppo BlackFile sta intensificando gli attacchi al settore retail, sfruttando vettori di phishing e compromissioni di accesso remoto. E in un colpo di scena degno di un film, un leader di Scattered Spider – noto gruppo di social engineering specializzato in attacchi a call center e helpdesk – è stato a sua volta compromesso. Ironia della sorte: chi vive di inganno cade nell’inganno.

Il tallone d’Achille si chiama terza parte

Questi eventi, apparentemente scollegati, convergono su un dato inconfutabile: il 30% delle violazioni di sicurezza coinvolge vulnerabilità di terze parti. Lo certifica il Verizon Data Breach Investigations Report (DBIR) 2025. E non si tratta di attacchi marginali: il costo medio di una violazione legata a un fornitore è di 4,91 milioni di dollari, secondo il rapporto IBM Cost of a Data Breach 2024.

Il dato più allarmante riguarda i tempi di risposta: la media per rilevare e contenere un attacco alla supply chain è di 267 giorni. Sette mesi e mezzo di esposizione, durante i quali dati sensibili vengono esfiltrati, venduti, riutilizzati. In questo lasso di tempo, un attaccante può passare da un fornitore a un cliente, da un sistema legacy a un cloud, senza mai essere fermato.

La matematica della difesa

La buona notizia è che esistono contromisure efficaci, non magiche ma strutturali. La prima è l’adozione di un modello zero trust per ogni accesso di terze parti. Non si tratta di teoria: aziende che hanno implementato zero trust per i fornitori hanno ridotto la superficie d’attacco del 70%. Il principio è semplice: nessun accesso pre-autorizzato, nessuna fiducia implicita. Ogni richiesta viene verificata, ogni sessione monitorata.

La seconda misura è l’audit continuo dei fornitori. Non basta un certificato NIST 800-53 all’ingresso: serve una verifica periodica, con test di penetrazione, revisione dei log e analisi delle policy di sicurezza. È l’unica maniera per evitare che un fornitore diventi un canale aperto verso i propri sistemi.

Infine, l’autenticazione a più fattori (MFA) per ogni accesso esterno. Il Verizon DBIR è chiaro: l’88% degli attacchi con successo si basa su credenziali rubate. Senza MFA, ogni password esposta in un dump è una chiave per il data center. Con MFA, quella chiave perde valore. Non è un optional: è l’equivalente digitale del doppio lucchetto.

La lezione non è nuova, ma continua a essere ignorata. Le aziende investono in firewall, EDR, SOAR, ma lasciano i fornitori sulla porta di servizio, con un badge vecchio e una password condivisa. Finché il controllo sugli accessi di terze parti resterà debole, ogni nuovo leak – da 96 GB o da 96 TB – sarà solo la punta di un iceberg già in collisione.