Quest’estate, in Giappone, qualcuno è entrato nel sistema di posta che KDDI, uno dei colossi delle telecomunicazioni del Paese, gestisce per conto di sei provider diversi: operatori per le famiglie, reti via cavo e anche CPI, un servizio di posta per le imprese. L’intruso è rimasto un mese nei sistemi di KDDI senza che nessuno se ne accorgesse, e se n’è andato con gli indirizzi di oltre dodici milioni di persone e le password di quasi otto milioni di account.
L’allarme non è partito da KDDI. Il primo giugno è stato Nifty, uno dei provider clienti di KDDI, a segnalare che qualcosa non tornava, e solo il 17 giugno KDDI ha avuto la conferma: l’intruso era dentro dal 16 maggio. Era entrato grazie ad un difetto di un software di terze parti che nemmeno il produttore conosceva, e di cui KDDI non ha detto il nome.
Le chiavi appese con il nome sopra
Fin qui sembra la cronaca di un attacco come tanti. Il fatto più grave è emerso a fine luglio, quando il ministero giapponese delle comunicazioni ha richiamato KDDI per iscritto: sulla sua piattaforma, nella gran parte dei casi, le password erano conservate così come gli utenti le avevano digitate, senza nessuna protezione (in chiaro, come si dice in gergo). Chi le ha prese ha potuto aprire le caselle e leggere la posta senza dover decifrare niente.
Mi è venuta in mente la portineria di un condominio. Lasci il mazzo di chiavi al portiere, come fanno tutti, perché il palazzo è serio. Una notte un ladro entra da una porta di servizio con una serratura difettosa, di cui nemmeno il fabbro sapeva niente. Il ladro non prende solo il tuo mazzo: prende quelli di tutto il palazzo, appesi alla bacheca con nome e interno scritti sopra, e per un mese gira per le scale con calma, perché al banco non c’è nessuno.
Gli inquilini non avevano sbagliato niente. Le aziende clienti di CPI non avevano cliccato su un link, non avevano una configurazione sbagliata, e nessuno le aveva attaccate direttamente: quelle aziende si sono ritrovate esposte per un problema che stava a casa del fornitore del loro fornitore.
C’è però una differenza importante. Su una parte delle caselle di CPI le password non erano in chiaro, ma trasformate in un’impronta da cui non si risale direttamente alla password (un hash, in gergo). Chi le ha rubate si è trovato in mano un lavoro da fare, non una chiave pronta all’uso. Non è una garanzia assoluta, perché una password debole si ricostruisce lo stesso, ma è tutta un’altra situazione.
La sicurezza email aziendale non finisce in ufficio
Perché questa storia ci riguarda, a quasi diecimila chilometri di distanza? Perché un truffatore che legge la tua posta può scrivere ai tuoi clienti a nome tuo: sa chi sono, con quale tono li tratti e quali fatture stanno per pagare, e chiede loro di versare i soldi su un conto diverso. E dalla tua casella passano anche i link per reimpostare le password di tutto il resto: il gestionale, la banca, il portale dei fornitori.
Un’azienda può aver fatto tutto bene in casa propria, ma una parte della sicurezza email aziendale dipende da dove si trova la posta: da un fornitore, che a sua volta si appoggia a qualcun altro. È una catena, e quasi nessuno sa quanto sia lunga.
A ottobre il governo giapponese è arrivato alla stessa conclusione. Secondo il quotidiano Nikkei, il ministero sta valutando di obbligare gli operatori a rispondere anche della sicurezza dei fornitori a cui affidano i servizi, e di poterne sospendere l’attività dopo una fuga di dati. È ancora una proposta, ma il principio è chiaro: chi affida le chiavi alla portineria risponde anche della portineria. In Europa la direttiva NIS2 va nella stessa direzione, e per le aziende che ci rientrano la sicurezza della catena di fornitura è già un obbligo.
Quello che possiamo fare nelle nostre aziende
Chiedere per iscritto dove sta la posta. Il fornitore della posta tratta dati personali per conto nostro, e il GDPR gli chiede già due cose: non appoggiarsi ad altri fornitori senza la nostra autorizzazione, e avvisarci senza ritardo se subisce una violazione. Chiediamo l’elenco dei fornitori a cui si appoggia, chiediamo come sono conservate le password e controlliamo che l’obbligo di avviso sia scritto nel contratto. Con i grandi fornitori queste risposte sono già negli accordi sul trattamento dei dati, e conviene leggerli; con fornitori di servizi più piccoli è meglio chiedere. Se le risposte non arrivano, è un’informazione anche quella.
Attivare il secondo fattore dove si può. Con l’autenticazione a due fattori (2FA, Two-Factor Authentication) serve anche un codice generato sul telefono. Il secondo fattore non ferma chi è già dentro il server, ma ferma chi prova a entrare nella tua casella con una password rubata. Con i vecchi programmi di posta non sempre è possibile attivarlo: non a caso KDDI ha annunciato il passaggio a sistemi di accesso più sicuri.
Sapere chi sorveglia, e quando ci avvisa. Fa riflettere che KDDI abbia installato un sistema di sorveglianza su tutti i server (EDR, Endpoint Detection and Response) soltanto fra il 18 e il 21 giugno, a cose fatte. Chiediamo al fornitore chi si accorge di un’anomalia, anche alle tre di notte, e in quanto tempo ce lo dice.
Nessun software è al riparo da un difetto sconosciuto, nemmeno quelli che usiamo noi con i nostri clienti. Quello che possiamo scegliere è a chi lasciamo le chiavi, e se al banco della portineria, di notte, c’è qualcuno.
Se anche tu non sai con certezza dove finiscono le tue chiavi quando le consegni, parliamone.
🧩 Kaos Informatica ti può aiutare
Se vuoi, Kaos Informatica può aiutare la tua azienda a:
✅ Verificare dove sta davvero la posta aziendale
✅ Attivare l’autenticazione a due fattori sulle caselle
✅ Progettare un servizio di posta sicuro e sorvegliato
Contattaci e parliamone insieme
