Alchimie Digitali

Tracking pixel Garante privacy: obblighi, rischi e scadenza del 29 ottobre 2026

y.damato — Wed, 28 Oct 2026 12:36:40 +0000

Privacy e GDPR | Aggiornato al 28 ottobre 2026

In breve

Sul fronte tracking pixel Garante privacy il termine per adeguarsi scade il 29 ottobre 2026, ormai a ridosso. Con il provvedimento n. 284 del 17 aprile 2026 il Garante ha stabilito che i pixel inseriti nelle email rientrano nell'articolo 122 del Codice privacy: in linea generale il loro uso è vietato, salvo il consenso preventivo o una delle eccezioni previste (statistiche aggregate, sicurezza, comunicazioni dovute). L'informativa serve sempre. Se invii newsletter con una piattaforma di email marketing, la norma ti riguarda anche se il pixel non l'hai inserito tu.

Le linee guida sono state pubblicate nella Gazzetta Ufficiale n. 98 del 29 aprile 2026 e hanno concesso sei mesi di tempo per adeguarsi: il termine sta per scadere. Per le aziende che inviano newsletter, email promozionali e messaggi automatici il punto non è soltanto tecnico: riguarda basi giuridiche, informative, ruoli verso i fornitori e capacità di dimostrare le scelte fatte. Prima spieghiamo che cos'è un pixel di tracciamento e cosa comporta per chi usa una piattaforma di email marketing. Poi ricostruiamo il quadro normativo, i rischi e un piano di adeguamento.

I nostri servizi su privacy e GDPR

Se invii email con pixel di tracciamento, questi sono i tre modi in cui Alchimie Digitali può affiancarti.

Consulenza GDPR

Analisi dei trattamenti, informative, registro, valutazione dei rischi, nomine privacy. È il punto di partenza per mettere in ordine i flussi email.

Scopri la consulenza GDPR

DPO esterno

La società assume formalmente il ruolo di e offre supporto continuativo su documentazione, consensi e diritti degli interessati, con assistenza in caso di audit o ispezioni del Garante.

Scopri il DPO esterno

Formazione

Percorsi per chi in azienda gestisce newsletter, moduli e dati dei contatti, così che le regole diventino abitudini.

Scopri i corsi

Che cos'è un pixel di tracciamento e cosa cambia per chi usa una piattaforma di email marketing

Se mandi newsletter e DEM con una piattaforma di email marketing, di quelle come Mailchimp, Voxmail e simili, questa parte è per te. Molti scoprono solo ora che nelle proprie email c'è un pixel di tracciamento, perché non l'hanno mai inserito: lo fa la piattaforma.

Che cos'è

Il pixel è un'immagine minuscola e invisibile, spesso grande un solo punto e dello stesso colore dello sfondo. Non è contenuta nell'email: l'email contiene un link a un'immagine che sta su un server. Quando il destinatario apre il messaggio e il suo programma di posta scarica le immagini, quel server riceve una richiesta e registra l'apertura. Se il destinatario legge in solo testo o blocca le immagini, la richiesta non parte e l'apertura non viene registrata.

Secondo il Garante, a seconda dei casi il pixel permette di raccogliere l'indirizzo IP, il dispositivo usato, il tempo di consultazione e il numero di aperture, e monitora anche la cancellazione, l'inoltro e l'archiviazione del messaggio. Non permette invece di leggere il contenuto dell'email. È la sua invisibilità, osserva il Garante, a renderlo delicato: chi riceve il messaggio può non accorgersi del tracciamento.

Come capire se lo usi

Il modo più rapido è guardare il report di una campagna. Se vedi il tasso di apertura, cioè quante persone hanno aperto il messaggio e quando, quel dato arriva da un pixel. Poi cerca nelle impostazioni della campagna e dell'account la voce sul tracciamento delle aperture, di solito chiamata open tracking o in modo simile. Alcune piattaforme lo attivano per impostazione predefinita e in certi casi si disattiva campagna per campagna: la guida ufficiale di Mailchimp, ad esempio, lo descrive così. Se non trovi l'impostazione o non è chiaro cosa venga raccolto, chiedilo al fornitore, meglio per iscritto.

Cosa comporta per te che usi questi servizi

Il pixel lo inserisce la piattaforma, ma la responsabilità è tua. Il titolare del trattamento è l'azienda che invia le email e, come osserva Agenda Digitale, le scelte su consenso e informativa restano in capo a lui, non al fornitore.

In pratica cambiano quattro cose. Primo: se usi le aperture per capire chi legge, personalizzare i messaggi successivi o segmentare i contatti, serve il consenso preventivo. Secondo: l'informativa deve dire che usi strumenti di tracciamento e per quali finalità. Terzo: chi non consente, o revoca, deve poter continuare a ricevere le email senza pixel. Quarto: di conseguenza, a nostro avviso, i dati individuali di apertura riguarderanno solo chi ha consentito, mentre per tutti gli altri potrai al massimo avere statistiche aggregate, nei limiti previsti dal Garante.

Un punto da far valutare nel proprio caso: il Garante ammette di usare il pixel senza consenso per statistiche aggregate solo con pixel uguali per tutti i destinatari della stessa campagna e con dati tecnici anonimizzati. Alcune piattaforme descrivono invece una grafica unica per ogni email inviata, che non corrisponde a quel modello. Non significa che sia vietata, ma che per quell'uso serve il consenso, salvo altre eccezioni.

Qui sotto puoi vedere il percorso passo per passo e provare cosa cambia se il destinatario legge l'email solo in formato testo.

Il percorso del pixel

1L'email parteContiene un'immagine minuscola ospitata su un server remoto.
2Il destinatario apreSe le immagini sono abilitate, il programma di posta le scarica.
3Il pixel chiama il serverParte una richiesta verso chi ospita l'immagine.
4Si raccolgono datiApertura e, a seconda dei casi, IP, dispositivo, tempo e numero di aperture.
5Scatta l'articolo 122Consenso preventivo, salvo eccezioni. L'informativa è sempre dovuta.

Premi "Riproduci il percorso" per vedere i cinque passaggi.

Tracking pixel Garante privacy: il quadro normativo

Il Garante ha adottato le linee guida con il provvedimento del 17 aprile 2026 (n. 284), ne ha dato notizia con un comunicato il 21 aprile e ha pubblicato un vademecum con le indicazioni principali. La norma di riferimento è l'articolo 122 del Codice privacy, che disciplina l'archiviazione di informazioni nel terminale dell'utente e l'accesso a quelle già archiviate. È la disciplina speciale che deriva dalla direttiva .

Il meccanismo comporta due operazioni: l'inserimento del pixel nell'email presente sul dispositivo del destinatario e la successiva raccolta di informazioni quando il pixel viene caricato. Accanto all'articolo 122 il GDPR continua ad applicarsi per gli aspetti non regolati dalla normativa e-Privacy: trasparenza, consenso, responsabilizzazione del e protezione dei dati fin dalla progettazione e per impostazione predefinita (articolo 25 del GDPR).

Chi deve adeguarsi e con quale ruolo

Le linee guida riguardano tutti i soggetti pubblici e privati che intervengono, a qualsiasi titolo, nell'uso dei pixel: il mittente, i fornitori di piattaforme per l'invio, i provider di posta elettronica e chi mette a disposizione proprie liste di distribuzione. Quando i soggetti sono più di uno, ciascuno deve individuare il proprio ruolo nel trattamento. A seconda delle attività svolte e degli accordi tra le parti possono applicarsi anche le regole del GDPR sulla .

Per un'azienda che usa una piattaforma di email marketing questo significa due cose. Primo: la conformità, come osserva Agenda Digitale, non dipende dal nome del fornitore ma dalle impostazioni effettive della piattaforma. Secondo: il fornitore può offrire gli strumenti, ma le scelte su consenso e informativa restano in capo al titolare.

Tracking pixel Garante privacy: consenso, eccezioni e informativa

Il consenso richiesto dall'articolo 122 deve essere informato, libero, specifico e inequivocabile. È necessario, ad esempio, quando il pixel misura il comportamento del singolo destinatario per valutare e migliorare una campagna promozionale, modificare le comunicazioni in base alle email aperte, adattarne la frequenza o ricavare gusti e interessi per creare profili commerciali. Le eccezioni previste sono tre.

Quando serve il consenso per i tracking pixel, secondo il Garante
Scenario	Posizione del Garante	Cosa deve poter dimostrare il titolare
Misura del comportamento del singolo destinatario, personalizzazione, profilazione commerciale	Consenso preventivo	Consenso informato, libero, specifico e inequivocabile, acquisito prima del pixel e registrato
Statistiche complessive sulle aperture, deliverability, contrasto allo spam	Consenso non necessario se non si misura il singolo	Pixel uguali per tutti i destinatari della stessa campagna e dati tecnici anonimizzati
Misure di sicurezza, ad esempio legate all'autenticazione	Consenso non necessario	Che il pixel sia strettamente necessario alla specifica misura di sicurezza
Comunicazioni istituzionali o di servizio dovute (modifiche contrattuali, incidenti di sicurezza, phishing e frodi, scadenze e adempimenti)	Consenso non necessario	Obbligo di inviare la comunicazione e rilevanza di verificare l'effettiva presa di conoscenza

Spetta al titolare, in base al principio di , verificare se nel caso concreto ricorrono i presupposti per usare i pixel senza consenso. L'informativa deve essere chiara, completa e facile da trovare. Può essere a più livelli, con una prima informazione sintetica nel modulo di raccolta dell'indirizzo e il rinvio a un testo più dettagliato. Per i trattamenti già in corso può essere data con il primo messaggio utile o nel primo momento utile di discontinuità del rapporto.

Revoca granulare, registro delle scelte e privacy by design

Quando il consenso serve, va acquisito prima di usare il pixel. Per i nuovi trattamenti il Garante preferisce che sia chiesto al momento della raccolta dell'indirizzo, dopo l'informativa. Nelle comunicazioni promozionali può, in linea di principio, essere compreso nel consenso generale a ricevere promozioni, purché la richiesta sia formulata in modo neutro e senza forzature.

La revoca deve essere facile e anche granulare: il destinatario sceglie se non ricevere più le comunicazioni o continuare a riceverle senza tracciamento. Ogni email può contenere un link o un'icona riconoscibile verso un'area dove gestire le scelte. Il rifiuto non deve limitare la fruizione del servizio e le scelte vanno registrate, anche per dimostrare il rispetto della normativa.

Sul piano tecnico il Garante indica come misura possibile un identificativo non intelligibile e non sequenziale per ciascun destinatario, associato all'indirizzo email in un ambiente separato della piattaforma. L'apertura si registra così senza far comparire l'indirizzo nella richiesta generata dal pixel. È un esempio concreto di , e chi sceglie o configura una piattaforma dovrebbe chiedere al fornitore se è disponibile.

Tracking pixel Garante privacy: controlli e rischi per l'azienda

Le linee guida nascono da attività ispettive. Secondo la ricostruzione di Agenda Digitale, il Garante ha ispezionato un provider di posta elettronica il 6-8 ottobre 2025 e una piattaforma di marketing automation il 9-11 febbraio 2026. Secondo ItaliaOggi, la verifica del rispetto delle prescrizioni sui tracking pixel rientra nel piano ispettivo del secondo semestre 2026.

Le linee guida non indicano importi sanzionatori e noi non ne citiamo: le conseguenze dipendono dalla violazione accertata. A nostro avviso, in caso di controllo conta poter mostrare in modo ordinato la mappa dei flussi email, le informative, i testi e i registri dei consensi, la configurazione della piattaforma e i contratti con i fornitori. Sono documenti che hanno senso in sé, perché mostrano che l'azienda sa cosa fa con i dati dei propri contatti.

Su questo siamo coerenti con il nostro modo di lavorare: Alchimie Digitali è in un percorso di certificazione ISO 9001 e ISO 27001, e il CEO del Gruppo Alchimie, Pietro Suffritti, è Lead Auditor. Documentare i processi e saperli dimostrare è la stessa logica che chiediamo ai clienti sul tema dei pixel.

Piano di adeguamento in sei passaggi

1. Mappa i trattamenti con pixel

eMudhra certificati compromessi: cosa è successo e cosa fare

y.damato — Mon, 26 Oct 2026 11:36:14 +0000

Aggiornato al 26 ottobre 2026 · Lettura di circa 9 minuti · Per chi gestisce siti, server e sistemi aziendali

Gli eMudhra certificati compromessi sono otto certificati intermedi di un'autorità di certificazione indiana, le cui chiavi private erano così banali da poter essere ricavate in meno di un secondo: una di esse era il numero 4. Chi possiede queste chiavi può creare certificati falsi per qualsiasi sito. Chrome, Firefox, Apple e Microsoft hanno bloccato i certificati entro tre giorni dalla segnalazione e nelle fonti consultate non risultano abusi confermati. Restano però esposti i software che non aggiornano da soli le liste di fiducia.

🔐 Se hai solo un minuto: aggiorna browser, sistemi e librerie, poi controlla se i tuoi certificati risalgono a eMudhra o a emSign.

eMudhra certificati compromessi: la cronologia dei fatti

Il caso si è svolto in pochi giorni, ma ha radici in una procedura di generazione delle chiavi eseguita più di un anno prima. Ecco gli eventi principali, in ordine cronologico (gli orari, dove indicati, sono in UTC).

Cronologia del caso eMudhra, con data e fatti
Data	Che cosa è successo
30 aprile 2025	eMudhra genera le otto chiavi in una key ceremony. Secondo la società, un difetto in un passaggio di wrap/unwrap produce una seconda serie di chiavi deboli accanto a quelle corrette, e sono le deboli a finire nei certificati pubblicati.
17 ottobre 2026, 18:05	Il Chrome Root Program riceve la segnalazione di un ricercatore. Mozilla la riceve alle 20:06.
17 ottobre, 19:45	Chrome blocca i sei intermedi usati per i siti web con un aggiornamento CRLSet.
17 ottobre, 22:59	Il blocco di Mozilla (OneCRL) raggiunge i Firefox con impostazioni standard.
18 ottobre	eMudhra revoca tutti e otto i certificati intermedi.
19 ottobre	Apple blocca i certificati. Android riceve un blocco equivalente tramite Google Play Services.
20 ottobre	Microsoft blocca i certificati. Mozilla e Google rendono pubblico il caso, Mozilla toglie la radice emSign ECC Root CA - G3 dal proprio elenco e il linguaggio Go rilascia aggiornamenti di emergenza.
21 ottobre	Il CERT-In indiano pubblica l'advisory CIAD-2026-0050. eMudhra spiega la causa in un comunicato alle borse indiane e il ministero indiano MeitY istituisce un gruppo di indagine.
22 ottobre	eMudhra annuncia che uscirà dal mercato globale dei certificati SSL/TLS.
27 ottobre (previsto)	Google rimuove la radice emSign ECC Root CA - G3 dal Chrome Root Store, secondo il CERT-In e Google.

Quanto al danno, il quadro disponibile è rassicurante ma non definitivo. Secondo eMudhra, nessuno degli otto intermedi ha emesso certificati per siti o utenti e uno solo era in produzione. Google ha inoltre riferito che, prima del blocco, nei registri di Certificate Transparency non c'era alcun certificato TLS legato ai sei intermedi. Il CERT-In precisa che, al 21 ottobre, le informazioni pubbliche non provano uno sfruttamento malevolo. Nessuna fonte, però, indica un modo per escludere abusi passati oltre a quella ricerca nei registri, che copre solo i certificati registrati.

Perché una chiave privata uguale a 4 è un disastro

Le otto chiavi usano la curva ellittica P-384. Una chiave generata bene è un numero casuale di 384 bit, cioè uno tra circa 10¹¹⁵ possibili: nessuno potrebbe mai provarli tutti. Qui, invece, le chiavi erano numeri interi minori di 256. Il CERT-In sottolinea che il difetto non sta nell'algoritmo, ma nel modo in cui le chiavi sono state generate.

In pratica, partendo dalla chiave pubblica (che è scritta nel certificato) basta provare i valori uno alla volta finché uno combacia. I valori recuperati dai ricercatori sono 4, 56, 66, 115, 155, 156, 230 e 237. Con un normale portatile l'operazione richiede meno di un secondo. Provaci anche tu: la demo qui sotto simula la ricerca.

La prova: indovinare le otto chiavi

Il programma prova i numeri da 1 a 256, uno dopo l'altro, e confronta ogni tentativo con la chiave pubblica.

Tentativi: 0 su 256

Le conseguenze sono concrete. Con la chiave di un intermedio, un attaccante può firmare un certificato per qualunque dominio, e il certificato risulterebbe valido a chi si fida di quella CA. È la base di un attacco man-in-the-middle, che però richiede di trovarsi nel percorso di rete della vittima. Due degli otto intermedi servivano inoltre a firmare codice: in quel caso il rischio è far passare software malevolo per software di un editore fidato.

Come funziona la catena di fiducia: simulatore

Un browser non conosce il tuo sito: si fida di un elenco di radici e verifica che il certificato del sito discenda da una di esse, passando per uno o più intermedi. Se una chiave di quella catena è nota a un attaccante, la fiducia crolla. Per questo i produttori hanno bloccato prima gli intermedi e poi la radice che li aveva firmati.

Il simulatore mostra che cosa succede nei diversi casi. Scegli il tipo di certificato e chi lo riceve. 👉 Nota come, per i certificati legittimi, la rimozione della radice abbia un effetto collaterale.

Simulatore della catena di fiducia

1. Che certificato arriva?

2. Chi lo riceve?

RadiceemSign ECC Root CA - G3

Intermedio

Certificato del sito

Chi è davvero a rischio

I browser moderni sono rimasti protetti per due motivi. Ricevono da soli le liste di revoca (CRLSet in Chrome, OneCRL in Firefox) e, inoltre, pretendono che i certificati siano registrati nei log di Certificate Transparency. Anche per questo il blocco è arrivato in poche ore, senza aggiornare né riavviare nulla.

Fuori dal browser, tuttavia, la situazione cambia. Strumenti da riga di comando, librerie, sistemi di build, comunicazioni tra server, container e dispositivi con una propria lista di CA spesso non controllano le revoche. Si fidano di un certificato finché non cambia il codice o il bundle di CA. Secondo la Internet Freedom Foundation, il ricercatore Scott Helme ha forgiato un certificato per l'host API di un grande gestore di pagamenti: curl, Python e Node.js lo hanno accettato con le impostazioni predefinite su Linux e macOS.

Va ricordato che lo sfruttamento richiede comunque un attaccante nel percorso di rete, e che Cloudflare dichiara di non aver trovato attacchi sui propri servizi. È un principio che conosciamo bene: quando un canale considerato affidabile viene compromesso, i controlli basati sulla fiducia non se ne accorgono, come nel caso Man in the Mail di Revolut.

Aggiornamenti e rimedi già disponibili

Molti progetti hanno risposto in fretta, in due modi: bloccando le otto chiavi nel codice oppure togliendo la radice dai bundle. Nella seconda ipotesi, però, anche i certificati legittimi emessi sotto quella radice smettono di essere accettati. Mozilla, Canonical e Red Hat hanno segnalato esplicitamente questo effetto collaterale.

Aggiornamenti disponibili per software e sistemi
Software	Intervento
Firefox	Versione 158.0.1, ESR 115.43.1 e ESR 153.5.1: includono il blocco anche per chi non riceve gli aggiornamenti automatici delle liste.
NSS (Mozilla)	Versione 3.131.1: rimuove la radice emSign ECC Root CA - G3.
Go	Versioni 1.27.3 e 1.26.10: rifiutano ogni catena con una delle otto chiavi. Serve ricompilare i programmi. Go 1.25 e precedenti non sono più supportate.
Node.js	Versioni 26.12.1, 24.22.1 e 22.23.4: blocco delle otto chiavi e lista di radici aggiornata.
Python (certifi)	Versione 2026.10.19: la radice G3 esce dal bundle.
Ubuntu e Debian	Pacchetti ca-certificates aggiornati il 20 ottobre (USN-8944-1 e USN-8944-2 per Ubuntu, DSA-6572-1 per Debian 13).
Red Hat Enterprise Linux	Nessun pacchetto ancora disponibile al 21 ottobre. Il bollettino RHSB-2026-012 descrive un rimedio temporaneo che blocca due radici.

⚠️ Le versioni indicate riflettono lo stato al 21 ottobre 2026 riportato da The Hacker News. Prima di intervenire verifica sempre il bollettino ufficiale del tuo fornitore, perché la situazione cambia di giorno in giorno. Nota anche che le immagini dei container vanno ricostruite dopo l'aggiornamento delle immagini di base.

Cosa fare subito: la checklist per chi gestisce sistemi

Le indicazioni seguono l'advisory del CERT-In e le raccomandazioni di Mozilla. Apri ogni passaggio per i dettagli.

1Aggiorna browser, sistemi operativi e applicazioni

Intelligenza artificiale e professioni: responsabilità, sicurezza e pensiero critico. L’intervento di Pietro Suffritti allo Smart Life Festival 2026

y.damato — Mon, 19 Oct 2026 10:36:23 +0000

Intelligenza artificiale e professioni: è il tema che il 15 ottobre 2026 ha portato a Modena professionisti di molti ordini, durante lo Smart Life Festival. Tra i relatori c’era anche Pietro Suffritti, CEO di Alchimie Digitali e perito industriale, con una domanda che oggi riguarda tutti: chi risponde quando l’AI sbaglia?

In breve

Intelligenza artificiale e professioni, in sintesi: secondo Pietro Suffritti la responsabilità resta del professionista: l’AI può preparare una bozza, ma la firma è umana. Per le aziende il rischio più concreto non è un’AI che “si ribella”, ma la , cioè l’uso non governato di servizi pubblici con dati riservati, e i sistemi progettati male.

Pietro ha partecipato in rappresentanza dell’Ordine dei Periti Industriali e dei Periti Industriali laureati, nel blocco dedicato all’intelligenza artificiale. Il suo punto di vista unisce tecnologia, sicurezza informatica, responsabilità professionale e uso concreto dell’AI. Abbiamo raccolto l’intervento in due video, che trovi qui sotto con una lettura dei temi principali.

Quando15 ottobre 2026, dalle 15:30 alle 19:00

DoveSala Demontis, Fondazione Collegio San Carlo, Modena

EventoTavola rotonda «Le libere professioni tra reti digitali, etica e responsabilità»

L’incontro è stato promosso dal CUP (Comitato Unitario Permanente degli Ordini e Collegi Professionali della provincia di Modena) e dalla CPO del CUP, con la moderazione della giornalista Deborah Annolino. Qui trovi la scheda ufficiale dello Smart Life Festival.

Intelligenza artificiale e professioni: la responsabilità resta umana

Pietro apre con un piccolo esperimento. Legge un testo preparato da un “collaboratore” e, solo alla fine, svela che l’autore è un modello di intelligenza artificiale, Claude. Il testo dice una cosa precisa: il professionista serve più di prima, ma per motivi diversi.

L’AI ha letto moltissimo, ma non è mai entrata in un cantiere, in un’aula di tribunale o in un ambulatorio. Sa rispondere, però non sa che cosa conti davvero. Per questo il valore del professionista si sposta: meno ore a compilare, più tempo per fare le domande giuste, riconoscere la risposta sbagliata anche quando è scritta benissimo e metterci la firma.

«Un esperto con IA vale più di un esperto senza, ma un non esperto con IA sbaglia due volte più veloce.»

Dall’intervento di Pietro Suffritti, Smart Life Festival 2026

A sostegno di questo punto Pietro richiama l’articolo 13 della Legge 132/2025, la legge italiana sull’intelligenza artificiale, in vigore dal 10 ottobre 2025. La norma limita l’uso dell’AI nelle professioni intellettuali ad attività strumentali e di supporto, con prevalenza del lavoro intellettuale del professionista. Inoltre chiede di informare il cliente quando si usano sistemi di AI, con un linguaggio chiaro, semplice ed esaustivo. In sintesi: l’AI può scrivere la bozza, ma la responsabilità non si delega a un software.

Se vuoi capire come questa norma si inserisce con AI Act, GDPR e NIS2, trovi il nostro servizio di compliance AI Act.

L’AI non pensa: indovina

Pietro lo dice senza giri di parole: le intelligenze artificiali sono «delle macchine che indovinano, non delle macchine che pensano». Un costruisce infatti le risposte con probabilità e relazioni apprese in addestramento. Di conseguenza un testo può essere perfetto nella forma e sbagliato nel contenuto.

Il discorso cambia con i . Un modello che fa i conti a mente è debole, ma con una calcolatrice a disposizione diventa bravo. Lo stesso vale per il codice: può scriverne moltissimo, però non sa controllarlo. La capacità operativa cresce e, con lei, cresce la necessità di limiti, verifiche e supervisione umana.

Un esempio concreto di agente usato in modo autonomo da chi attacca l’abbiamo raccontato nell’articolo su ransomware e intelligenza artificiale, il caso JADEPUFFER.

Shadow AI: l’AI che usano già, anche se non lo sai

Molte aziende si chiedono ancora se introdurre l’AI nei processi. Secondo Pietro, però, in ufficio c’è sempre qualcuno che la sta già usando, anche se il titolare non lo sa. ChatGPT, Claude, Gemini e altri servizi servono per riassumere file, preparare offerte, analizzare documenti o scrivere codice.

Il problema non è l’uso in sé. Il problema nasce quando nessuno sa quali strumenti vengono usati, quali dati vengono inseriti e dove vengono elaborati. Il punto, quindi, non è vietare l’AI: è governarla.

Dove finiscono i dati: cloud pubblico e AI locale

Qui Pietro è netto. Ogni volta che si inserisce un documento in Claude, ChatGPT o Gemini, il dato finisce su una piattaforma dove un governo estero può rivendicare giurisdizione. L’esempio che porta è quello degli avvocati, che gestiscono atti coperti da riservatezza. Nel dibattito un collega commercialista aveva richiamato proprio il . Sul tema abbiamo scritto anche sovranità dei dati nel cloud: perché passare a OneDrive non basta.

Questo non significa che ogni uso sia vietato. Dipende dal servizio, dal piano contrattuale, dalla configurazione e dal tipo di dato. Contratti, documenti interni, informazioni sui clienti e materiale tecnico riservato non andrebbero però caricati in modo indiscriminato, senza averne capito condizioni e implicazioni.

Per alcune organizzazioni può avere senso una : modelli che girano su hardware dell’azienda, non collegati a internet. Pietro cita i sistemi desktop per l’AI di NVIDIA, come DGX Spark, e stima un investimento intorno ai 6.000 €, una cifra che per un’azienda del territorio è alla portata. Due precisazioni: i prezzi di listino sono saliti più volte nel 2026 e l’hardware da solo non basta, perché servono configurazione, accessi, aggiornamenti e regole d’uso.

Resta aggiornato su normative e cybersecurity

Aggiungi adigitali.it alle fonti preferite su Google: vedrai più facilmente i nostri nuovi articoli.

Aggiungi alle fonti preferite

Intelligenza artificiale e professioni: il pensiero critico non si automatizza

Un sistema di AI accelera moltissime attività, ma non elimina il bisogno di capire ciò che si sta facendo. Pietro porta un esempio: chi ha fatto sviluppare le proprie app all’AI, ha scoperto che erano di pessima qualità e ha dovuto richiamare i programmatori che aveva licenziato per farle rivedere. Delegare senza verificare significa trasformare uno strumento potente in una fonte di errori altrettanto potenti.

La sua conclusione è un invito a valutare le soluzioni con il proprio pensiero, perché non sempre la scelta più famosa o più di moda è quella giusta. Ed è per questo, ripete, che serve un professionista: non per fare tutto da solo, ma per giudicare ciò che la macchina produce.

Quando l’AI sembra ribellarsi: il caso Hugging Face

La seconda parte parte da un’osservazione: i titoli allarmistici trasformano facilmente un errore di progettazione in una storia su un’AI che “decide”, “inganna” o “si ribella”. Per mostrarlo Pietro ricostruisce l’episodio di Hugging Face, la piattaforma che ospita modelli e dataset open source.

Ecco i fatti, come risultano dalle fonti pubbliche. Nell’estate 2026 agenti AI di OpenAI, impegnati in test di sicurezza informatica chiamati e con le protezioni ridotte, hanno violato sistemi di Hugging Face. L’incidente è stato reso pubblico da Hugging Face il 16 luglio, OpenAI ha confermato il 21 luglio che gli agenti erano suoi e il 26 agosto ha pubblicato il rapporto tecnico, affiancato da un’indagine indipendente di METR e Redwood Research.

Per spiegare la dinamica, Pietro usa una metafora e avverte che rappresentare gli agenti come persone è, in fondo, falso. Immagina agenti chiusi in celle, ciascuno con una cassaforte da aprire per recuperare un codice. Il guaio è che una parte delle casseforti non si poteva aprire: METR riporta una stima del 30-40% di bersagli impossibili da sfruttare con la vulnerabilità indicata. Gli agenti bloccati hanno quindi trovato una bacheca non prevista, si sono scambiati informazioni e hanno cercato il modo di aggirare il sistema di valutazione.

Nel video i numeri sono raccontati a braccio e in forma semplificata: qui riportiamo quelli delle fonti pubbliche.
Dato	Valore	Fonte
Agenti avviati nei test ExploitGym	decine di migliaia	METR e Redwood Research
Agenti sulla bacheca non autorizzata	circa 1.200	METR e Redwood Research
Messaggi e file scambiati	oltre 70.000	METR e Redwood Research
Agenti coinvolti nell’attacco a Hugging Face	circa 700	METR e Redwood Research
Bersagli ExploitGym impossibili (stima)	30-40%	METR, da stima degli autori del benchmark
Server di produzione con esecuzione di codice	41	Rapporto tecnico OpenAI

C’è poi un dettaglio che tocca da vicino il tema dell’AI locale. Per analizzare l’attacco, Hugging Face ha provato prima con modelli commerciali, ma le protezioni dei fornitori hanno bloccato le richieste, perché non distinguono chi indaga da chi attacca. L’analisi è stata completata con GLM 5.2, un modello di Z.ai, eseguito su infrastrutture proprie. Pietro lo racconta come il ricorso a un’AI “priva di etica”; più precisamente è un modello usato in locale, senza i rifiuti dei servizi commerciali.

Il rischio più grande dell’AI è molto umano

Nel dibattito su intelligenza artificiale e professioni la lettura di Pietro è chiara: il caso non dimostra l’esistenza di una macchina con intenzioni proprie. Mostra quanto il comportamento di un sistema dipenda dall’ambiente, dagli obiettivi, dai limiti e dagli strumenti scelti da chi lo progetta. Per questo, dice, «preoccupiamoci di chi ce l’ha in mano»: il problema nasce da chi ha costruito male l’ambiente di addestramento.

Le fonti aggiungono una sfumatura utile. Molti agenti, nei loro messaggi, dichiaravano che attaccare Hugging Face non rientrava nel test, e OpenAI ha parlato di un campanello d’allarme, annunciando sandbox più isolate, accesso a internet più limitato e nuove salvaguardie. Dunque la domanda giusta resta quella di Pietro, “come abbiamo costruito il sistema che ha permesso tutto questo?”, ma con una conseguenza pratica: vincoli, isolamento e controlli servono proprio perché sistemi capaci possono aggirarli.

Da dove partire: cinque passi per governare l’AI in azienda

Mappa gli strumenti realmente in uso.Chiedi alle persone che cosa usano, anche con account personali: senza questa fotografia non c’è governo.
Stabilisci quali dati non possono uscire.Contratti, dati dei clienti, dati personali e materiale riservato vanno trattati con regole esplicite.
Scegli servizi e piani gestiti.Verifica condizioni d’uso, trattamento dei dati e configurazioni prima di rendere uno strumento “ufficiale”.
Forma le persone.Limiti, errori plausibili, riservatezza e obbligo di verifica: la formazione è parte della sicurezza.
Valuta l’AI locale per i casi più sensibili.Non è per tutti, ma dove i dati sono critici può essere una risposta concreta.

Nel rapporto tra intelligenza artificiale e professioni, ricorda anche l’informativa al cliente prevista dall’articolo 13 della Legge 132/2025. Per un quadro completo su GDPR, NIS2 e AI Act e sulla cybersecurity per la tua azienda, puoi partire dalle nostre pagine dedicate.

Le domande più cercate su intelligenza artificiale e professioni

Intelligenza artificiale e professioni: chi è responsabile se l’AI sbaglia?

Nelle professioni intellettuali la responsabilità resta del professionista. La Legge 132/2025 ammette l’AI come supporto, con prevalenza del lavoro intellettuale umano, quindi una bozza generata dall’AI non sposta la responsabilità sul software.

Un professionista può usare ChatGPT, Claude o Gemini per lavorare?

Sì, come strumento di supporto e a precise condizioni: verificare i risultati, informare il cliente e non inserire dati riservati o personali senza aver valutato condizioni del servizio, contratto e configurazione.

Che cos’è la Shadow AI?

È l’uso di strumenti di AI da parte di collaboratori senza che l’organizzazione sappia quali strumenti, con quali dati e dove vengono elaborati. Il rischio nasce dalla mancanza di governo, non dall’AI in sé.

Quali dati non conviene caricare su un’AI pubblica?

Contratti, documenti interni non pubblici, informazioni sui clienti, dati personali e materiale tecnico o coperto da segreto professionale. Prima di caricarli bisogna capire condizioni d’uso, configurazioni e luogo di elaborazione.

Gli agenti AI possono “ribellarsi”?

Nei casi documentati, i comportamenti sorprendenti sono emersi da ambienti, obiettivi e vincoli progettati in modo insufficiente, non da intenzioni proprie. Mostrano però che agenti capaci possono aggirare i controlli se non sono ben isolati e supervisionati.

Conviene un’AI locale?

Dipende da sensibilità dei dati, volumi di utilizzo e competenze disponibili. Non è la scelta giusta per tutti, ma per i dati più delicati può ridurre l’esposizione verso servizi esterni.

Domande frequenti

Che cosa ha detto Pietro Suffritti su intelligenza artificiale e professioni allo Smart Life Festival 2026?

Scadenza NIS2 31 ottobre 2026: cosa deve essere pronto e cosa succede dopo

y.damato — Thu, 08 Oct 2026 09:13:45 +0000

La scadenza NIS2 del 31 ottobre 2026 è ormai a poche settimane: entro quella data i soggetti inseriti nell’elenco NIS nel 2025 devono avere operative le misure di sicurezza di base e saperle dimostrare con documenti. Se finora la NIS2 è rimasta nella lista del “poi ci penso”, questo è il momento di capire a che punto sei e cosa puoi ancora fare.

Risposta rapida

Per i soggetti NIS inseriti nel 2025 il termine per le misure di base è fissato a 18 mesi dalla comunicazione di inserimento nell’elenco, quindi in pratica al 31 ottobre 2026. Per chi è entrato nel 2026 la data è il 31 luglio 2027. Dopo il 31 ottobre l’ACN potrà avviare attività ispettive. Il 31 ottobre 2026 è un sabato.

In breve

La data del 31 ottobre vale per i soggetti NIS inseriti nell’elenco nel 2025 e ancora presenti nel 2026, non per tutti.
“Operative” significa funzionanti e dimostrabili, non solo scritte in una policy.
Dopo il 31 ottobre l’ACN passa dalla fase di accompagnamento a quella di verifica.
Se non hai ancora iniziato, il primo passo è capire a che punto sei con il Self-Assessment gratuito, e la seconda fase è attuare ciò che emerge, anche con un partner tecnico.

Quanti giorni mancano e a che punto sei

Qui sotto trovi il conto alla rovescia e una checklist di autovalutazione. Spunta le evidenze che hai già in azienda: l’anello si riempie e ti dice da dove ripartire. Le risposte restano nella pagina e non vengono salvate da nessuna parte.

Alla scadenza del 31 ottobre 2026 mancano

–giorni

–ore

–minuti

Termine di riferimento: sabato 31 ottobre 2026, ore 23:59.

Quali evidenze hai già pronte?

Spunta solo ciò che puoi mostrare oggi con un documento, un verbale o un registro. Le voci seguono i cinque ambiti delle misure di base.

Punto di partenza Hai verificato se sei soggetto importante (Allegato 1) o essenziale (Allegato 2) e conservi la comunicazione di inserimento nell’elenco NIS con la sua data.

Governance e gestione del rischio Gli organi di amministrazione hanno approvato le politiche di sicurezza con una delibera datata e verbalizzata. Gli organi di amministrazione hanno seguito una formazione in materia di sicurezza informatica. Il piano di gestione del rischio è stato approvato formalmente. Punto di contatto, sostituto e referente CSIRT sono designati e i dati sulla piattaforma ACN sono aggiornati.

Protezione tecnica dei sistemi Hai confrontato lo stato dei tuoi sistemi con le misure dell’allegato che ti riguarda e documentato gli scostamenti.

Risposta agli incidenti e continuità operativa Il piano di risposta agli incidenti è definito e documentato. Il processo di notifica al CSIRT Italia è definito: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Le politiche di continuità operativa sono documentate.

Sicurezza della catena di approvvigionamento I fornitori sono mappati e i contratti prevedono clausole su gestione degli incidenti, obblighi di notifica, diritto di audit ed exit strategy. I fornitori rilevanti sono stati indicati sulla piattaforma ACN.

Formazione e monitoraggio continuo Il personale riceve formazione in materia di sicurezza informatica e di pratiche di igiene di base. Gli eventi di sicurezza sono monitorati in modo continuo.

Nessuna voce spuntata, per ora. Il Self-Assessment ti restituisce in pochi minuti uno score e le priorità di intervento.

Fai il Self-Assessment NIS2 gratuito

La checklist è orientativa: segue gli ambiti indicati dalle fonti che abbiamo consultato e non sostituisce gli Allegati 1 e 2 della Determinazione ACN 379907/2025, né una gap analysis o una consulenza legale.

Chi ha davvero la scadenza del 31 ottobre

La data non è uguale per tutti, ed è qui che si fa più confusione. Il termine per le misure di base si calcola in 18 mesi dalla comunicazione individuale con cui l’ACN ti ha inserito nell’elenco dei soggetti NIS. Per la maggior parte dei soggetti quella comunicazione è arrivata tra aprile e maggio 2025, e per questo la data di riferimento è il 31 ottobre 2026. Se la tua comunicazione è arrivata in un altro momento, il termine si sposta di conseguenza: conta la data indicata nella comunicazione.

Soggetti	Notifica degli incidenti	Misure di base	Note
Inseriti nell’elenco NIS nel 2025 e ancora presenti nel 2026	Già operativa dalla metà di gennaio 2026 (9 mesi dalla comunicazione)	18 mesi dalla comunicazione: in pratica 31 ottobre 2026	Dopo la scadenza l’ACN può avviare attività ispettive
Inseriti per la prima volta nel 2026	Dal 1° gennaio 2027, con referente CSIRT designato entro fine 2026	Entro il 31 luglio 2027	Determinazione ACN 127434/2026, applicabile dal 30 aprile 2026

Se non sai a quale gruppo appartieni, la data da cercare è quella della comunicazione di inserimento nell’elenco NIS che l’ACN ti ha inviato. Se invece non sai nemmeno se sei un soggetto essenziale o importante, il Self-Assessment parte proprio da settore e dimensione dell’organizzazione.

Cosa significa avere le misure di base “operative”

Le misure di base sono definite dalla Determinazione ACN 379907 del 19 dicembre 2025, applicabile dal 15 gennaio 2026, che ha sostituito integralmente la determinazione di aprile 2025. Gli allegati tecnici sono due: l’Allegato 1 per i soggetti importanti, con 37 misure e 87 requisiti, e l’Allegato 2 per i soggetti essenziali, con 43 misure e 116 requisiti. Altri due allegati definiscono gli incidenti significativi di base. Secondo le fonti che abbiamo consultato, le misure si raccolgono in cinque ambiti: governance e gestione del rischio, protezione tecnica dei sistemi, risposta agli incidenti e continuità operativa, sicurezza della catena di approvvigionamento, formazione e monitoraggio continuo.

La parola che conta è “operative”: nel 2026 si passa dal dichiarare al dimostrare l’effettiva implementazione delle misure, e per farlo servono evidenze documentali. Le fonti descrivono una conformità su due livelli: quella formale, fatta di politiche approvate, elenchi aggiornati, responsabilità assegnate e procedure deliberate, e quella sostanziale, che riguarda la motivazione delle scelte, le priorità di intervento, le risorse allocate e la coerenza con l’analisi del rischio.

Tra i documenti da approvare c’è la delibera degli organi di amministrazione sulle politiche di sicurezza, con data e verbale. Le Linee guida ACN di settembre 2025, richiamate da ECNews, individuano inoltre undici documenti strategici da far approvare formalmente agli organi apicali, tra cui il piano di gestione del rischio e il piano di risposta agli incidenti.

Sulla sicurezza della catena di fornitura le fonti sottolineano che mappare i fornitori, inserire nei contratti clausole su gestione degli incidenti, obblighi di notifica, diritto di audit ed exit strategy e monitorarli periodicamente richiede coordinamento tra funzioni diverse, ed è difficile da comprimere nelle settimane finali prima di una scadenza. La Determinazione 127437/2026 ha inoltre introdotto l’obbligo di indicare i fornitori rilevanti sulla piattaforma ACN, nell’ambito dell’aggiornamento annuale.

Infine, la NIS2 non è un tema solo informatico: la responsabilità ricade sugli organi di amministrazione e direttivi, che devono approvare le politiche e seguire una formazione dedicata.

Resta aggiornato su NIS2 e cybersecurityAggiungi adigitali.it alle tue fonti preferite su Google per non perdere le scadenze e le novità ACN.

Aggiungi alle Fonti preferite

Cosa succede dopo il 31 ottobre

Il 31 ottobre non chiude il percorso: ne chiude la prima fase. Fino a quella data l’ACN ha parlato di una fase di accompagnamento, mentre dopo il 31 ottobre potrà avviare le attività ispettive, passando alla fase di verifica. Secondo le fonti che abbiamo consultato, per i soggetti essenziali sono previsti controlli anche preventivi, mentre per i soggetti importanti le verifiche sono prevalentemente successive, di norma dopo un incidente o una segnalazione.

Più avanti arriveranno anche le misure di sicurezza a lungo termine, la cui proporzionalità dipenderà dalla categorizzazione di attività e servizi trasmessa dai soggetti entro il 30 giugno. Per ricostruire quel passaggio puoi leggere il nostro approfondimento sulla categorizzazione ACN del 30 giugno.

Sul fronte delle sanzioni, i massimi previsti dalla direttiva e ripresi dal D.Lgs. 138/2024 sono fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni di euro o all’1,4% per i soggetti importanti. Sono tetti massimi, e le sanzioni devono essere effettive, proporzionate e dissuasive: non sono una tariffa fissa. Per vedere come si gestisce nella pratica un incidente, puoi leggere il caso raccontato nel nostro articolo su Eataly e la NIS2.

La seconda fase: dalla fotografia all’attuazione

Il Self-Assessment serve a fotografare la situazione: ti dice dove sei e cosa manca. Subito dopo comincia la seconda fase del percorso, quella in cui ciò che è emerso va realizzato. A seconda dei casi si tratta di sistemare processi e documenti, ma possono servire anche interventi tecnici sui sistemi: configurazioni da cambiare, apparati da sostituire, backup da rivedere, fino al rifacimento della rete aziendale quando quella esistente non è adeguata.

È qui che Alchimie Digitali può affiancarti non solo come consulente ma come partner tecnico. Progettiamo e, quando serve, rifacciamo le reti aziendali, lavoriamo su apparati attivi come switch, router e firewall, su reti cablate e Wi-Fi e sulla loro protezione, e seguiamo business continuity e backup. Puoi vedere i dettagli nelle pagine Networking, Cybersecurity e Business Continuity.

Un chiarimento utile: l’obbligo di notifica degli incidenti resta in capo al soggetto NIS e, secondo le fonti, non può essere delegato ai fornitori di servizi gestiti, così come la responsabilità degli organi di amministrazione non si trasferisce. Un partner tecnico ti aiuta a costruire e a far funzionare sistemi e processi, ma le decisioni e le responsabilità restano dell’organizzazione.

Come ci stiamo preparando noi

Alchimie Digitali sta portando avanti il percorso di certificazione ISO 9001:2015 e ISO/IEC 27001:2022 insieme a Complaion Srl, e il nostro CEO Pietro Suffritti ha conseguito la certificazione personale di Auditor/Lead Auditor ISO/IEC 27001:2022, con esame superato il 7 settembre 2026 presso We-Learn. Sono percorsi volontari e distinti dagli obblighi NIS2, che restano quelli fissati dal D.Lgs. 138/2024 e dalle determinazioni ACN, ma ci fanno lavorare direttamente su processi, responsabilità ed evidenze documentali, cioè sugli stessi temi di cui parliamo in questo articolo. Trovi il racconto del nostro percorso di certificazione.

Parti dal Self-Assessment NIS2 gratuito

Se non hai ancora iniziato, il primo passo è sapere dove sei. Il nostro Self-Assessment NIS2 ti restituisce in pochi minuti un report preliminare con score complessivo, livello di conformità e priorità di intervento. Le risposte restano nel tuo browser e non vengono salvate sul nostro server. Se poi dalla valutazione emergono interventi da realizzare, possiamo seguirli anche come partner tecnico.

Fai il Self-Assessment Leggi la categorizzazione ACN Parla con noi

Lo strumento fornisce una valutazione orientativa: non sostituisce una gap analysis, una consulenza legale o un audit tecnico certificato.

Glossario rapido

Nel testo trovi alcuni termini con un tooltip: passa il mouse o tocca la parola sottolineata. Qui sotto le definizioni principali in un colpo d’occhio.

Soggetto essenziale e soggetto importante: Le due categorie NIS2, definite in base a settore e dimensione. Cambiano il regime di vigilanza e il tetto delle sanzioni.
Misure di sicurezza di base: Il livello minimo di misure tecniche e organizzative fissato dall’ACN con la Determinazione 379907/2025.
CSIRT Italia: Il team nazionale di risposta agli incidenti di sicurezza informatica, a cui si notificano gli incidenti significativi.
Evidenze documentali: Documenti, verbali, registri e log che dimostrano che una misura è applicata.

Le persone chiedono anche

Cosa succede se non rispetto la scadenza NIS2?

Attacco hacker ASOS: cosa insegna il caso Snowflake alle aziende

y.damato — Tue, 06 Oct 2026 13:19:56 +0000

🕑 Aggiornato il 6 ottobre 2026, nel pomeriggio. La vicenda è in evoluzione: rivedremo l'articolo appena ASOS pubblicherà una comunicazione ufficiale.

L'attacco hacker ASOS, per ora, è una rivendicazione e non una violazione confermata. Nella mattinata del 6 ottobre 2026 migliaia di clienti dell'app hanno ricevuto una notifica push intitolata «ASOS HACKED». Il testo sostiene che l'istanza Snowflake dell'azienda sia stata compromessa e minaccia la pubblicazione dei dati. ASOS ha detto di essere al corrente delle segnalazioni, ma non ha confermato né commentato oltre, e Reuters non ha potuto verificare la notizia in modo indipendente.

Nell'attacco hacker ASOS, per un'azienda, il punto non è chi ci sia dietro. La domanda utile è un'altra: potrebbe succedere anche a noi? Per questo separiamo i fatti dalle pretese degli autori del messaggio, poi guardiamo i controlli che contano davvero: MFA, gestione delle credenziali, fornitori e piano di risposta agli incidenti.

Riportato da più fonti

La notifica è arrivata dall'app ASOS a migliaia di utenti.
Il testo è rivolto al DPO e al reparto IT, non ai clienti.
Il messaggio rimanda a un canale Telegram.
Il titolo ASOS è sceso di oltre l'11% alla Borsa di Londra.
ASOS è al corrente delle segnalazioni.

Ancora non confermato

Che l'istanza Snowflake sia stata davvero compromessa.
Che siano stati sottratti dati dei clienti.
Quali dati e quanti utenti sarebbero coinvolti.
Come gli autori siano riusciti a inviare la notifica.

Attacco hacker ASOS: cosa dice la notifica push

Il testo è comparso il 6 ottobre 2026 sugli smartphone di migliaia di utenti dell'app. Si apre con «Dear ASOS DPO and IT». Non parla quindi ai clienti, ma al DPO e ai tecnici dell'azienda.

Poi afferma che l'istanza Snowflake sarebbe stata «completamente compromessa» e invita ad avviare una trattativa, altrimenti i dati verranno diffusi. In fondo compare un link che, secondo le ricostruzioni di RTÉ, porta a un account Telegram.

È un'estorsione con una particolarità. Il ricatto, di solito riservato alla vittima, è stato mostrato a migliaia di persone. Marijus Briedis, CTO di NordVPN, lo ha definito un messaggio insolitamente sfacciato e minaccioso: gli autori dicono pubblicamente all'azienda di trattare, altrimenti diffonderanno ciò che sostengono di avere.

Cronologia del 6 ottobre 2026

6 ottobre 2026
La notifica «ASOS HACKED» compare sugli smartphone di migliaia di utenti dell'app, con il messaggio rivolto a DPO e IT e il link Telegram.
Nel corso della mattinata
Il titolo ASOS cede più dell'11% alla Borsa di Londra, secondo Reuters.
Nel corso della mattinata
Un portavoce di ASOS dichiara di essere al corrente delle segnalazioni, senza confermare né commentare oltre.
Nel pomeriggio
Nessuna conferma ufficiale su Snowflake o sui dati dei clienti. Reuters scrive di non aver potuto verificare la notizia in modo indipendente.

Snowflake e il precedente del 2024: tre controlli che mancavano

Nell'attacco hacker ASOS il nome Snowflake richiama un caso noto. Nel 2024 gli analisti di Mandiant, la divisione di Google Cloud, hanno descritto una campagna di furto di dati ed estorsione contro i clienti della piattaforma, attribuita al gruppo UNC5537. Circa 165 organizzazioni sono state avvisate di una possibile esposizione, come riporta il rapporto di Mandiant.

Il punto tecnico è importante. Mandiant non ha trovato prove di una violazione dell'ambiente aziendale di Snowflake: ogni incidente analizzato risaliva a credenziali dei clienti rubate, spesso con infostealer. Secondo l'analisi, almeno il 79,7% degli account usati dagli aggressori aveva già avuto credenziali esposte. La tabella riassume dove si sono rotte le difese e cosa fare oggi.

Controllo	Cosa mancava nel 2024	Cosa fare oggi
MFA	Gli account violati chiedevano solo nome utente e password.	Attivare la MFA su account amministrativi, servizi cloud e strumenti di comunicazione.
Cambio delle credenziali	Password rubate anche anni prima erano ancora valide: alcune risalivano al 2020.	Ruotare password, token e chiavi di accesso e revocare gli accessi non più necessari.
Accessi da reti autorizzate	Gli ambienti colpiti non limitavano l'accesso a luoghi attendibili.	Usare liste di indirizzi consentiti e avvisi sugli accessi anomali.
Collaboratori e fornitori	In alcuni casi l'infezione era partita da computer di collaboratori esterni, usati anche per attività personali.	Fissare regole minime sui dispositivi di chi accede ai dati e monitorare le credenziali esposte.

Attenzione, però: non abbiamo trovato fonti autorevoli che colleghino l'attacco hacker ASOS a quella campagna. Il precedente ci serve per capire dove si rompono più spesso le difese, non per dire che cosa sia successo oggi.

Perché la notifica dall'app è un campanello d'allarme per ogni azienda

Nell'attacco hacker ASOS la notifica push è l'elemento più strano. Se il messaggio è davvero partito dai sistemi di ASOS, qualcuno ha avuto accesso a un canale ufficiale di comunicazione con i clienti. Questo non dimostra il furto dei dati. Potrebbe però indicare che una parte dell'infrastruttura era raggiungibile da terzi.

Le ipotesi tecniche sono diverse: credenziali rubate di un amministratore, un account di un fornitore che gestisce le notifiche, una chiave di accesso esposta. Restano solo ipotesi, e per distinguerle servono i log.

La lezione pratica vale però per tutti. Gli strumenti che parlano ai clienti, cioè piattaforme di notifiche, email marketing, SMS e CRM, sono sistemi critici quanto il gestionale. Meritano MFA, permessi minimi, chiavi di accesso cambiate nel tempo e un registro di chi invia che cosa.

Dopo l'attacco hacker ASOS: obblighi GDPR e NIS2 nelle prime 72 ore

Se la violazione venisse confermata, scatterebbero gli obblighi di notifica. Nel Regno Unito l'ICO chiede la segnalazione appena possibile e, dove fattibile, entro 72 ore, quando è probabile un rischio per le persone. In Italia vale la stessa logica: l'articolo 33 del GDPR prevede la notifica al Garante per la protezione dei dati personali.

Alcune aziende hanno un obbligo in più. Per i soggetti NIS2, essenziali e importanti, la normativa italiana prevede una pre-notifica entro 24 ore e una notifica entro 72 ore al CSIRT Italia, con relazione finale entro un mese, come riassume ICT Security Magazine. Non tutte le imprese rientrano nella NIS2: dipende da settore e dimensione, quindi conviene verificarlo con un consulente.

Con il cloud la responsabilità non passa al fornitore. Come chiarisce il Garante, il responsabile del trattamento deve informare tempestivamente il titolare, ma la notifica resta in capo al titolare. Ecco la sequenza che consigliamo di avere già scritta, aperta passo dopo passo.

1. Contenere l'accesso

Man in the Mail: la truffa dietro il caso Revolut e come proteggere la tua azienda

y.damato — Wed, 16 Sep 2026 09:34:01 +0000

Il 12 settembre 2026 Revolut ha confermato di aver consegnato i dati di circa 680 clienti a criminali informatici, dopo aver ricevuto richieste apparentemente legittime provenienti da un account di posta elettronica certificata del Ministero dell'Interno italiano, compromesso mesi prima. Nessun sistema Revolut è stato violato: l'azienda ha risposto correttamente a una richiesta ufficiale che, in realtà, non lo era. È la tecnica nota come Man in the Mail, e riguarda ogni azienda che riceve richieste di dati via email, non solo le banche.

Cosa è successo davvero a Revolut

Il gruppo di cybercriminali che si fa chiamare IAmNotAVillain ha rivendicato l'attacco spiegando che l'operazione è durata circa sei mesi. Il punto di ingresso sarebbe stato un infostealer che ha permesso di sottrarre le credenziali di un dipendente pubblico, dando accesso a una casella di PEC del Ministero dell'Interno, dominio pec.interno.it. Da quell'indirizzo è partita una richiesta formale di dati, motivata da un'indagine attribuita alla Procura di Milano e in realtà inesistente. Revolut, di fronte a una richiesta arrivata da un canale istituzionale autentico, ha fornito passaporti, indirizzi, estremi di conto e cronologia operazioni, prima di accorgersi dell'anomalia contattando direttamente l'ente italiano, che ha smentito di aver mai inviato quei messaggi.

Perché questa truffa non riguarda solo le banche

Il caso Revolut fa notizia per la scala e per il coinvolgimento di un ente statale, ma il meccanismo di fondo è lo stesso che da anni colpisce le PMI italiane, soprattutto quelle che lavorano con l'estero: qualcuno si impossessa di una casella email legittima, aspetta il momento giusto e chiede qualcosa che sembra normale, un pagamento, un documento, un dato personale. Cambia solo il travestimento. Se in ambito import export il Man in the Mail punta a dirottare un bonifico su una fattura, nel caso Revolut ha puntato a dati personali usando la credibilità di un ente pubblico. Per un'azienda italiana la domanda corretta non è se riceverà mai una richiesta del genere, ma se saprebbe riconoscerla in tempo.

Compromissione silenziosa

Un infostealer o una campagna di phishing sottrae le credenziali di un account email legittimo, spesso mesi prima dell'attacco vero e proprio.

Attesa e osservazione

L'attaccante studia lo stile di comunicazione, i contatti abituali e i processi interni, senza farsi notare.

Richiesta credibile

Parte una richiesta che sembra normale, urgente e proveniente da un canale fidato: un fornitore, un cliente, un'autorità.

Danno

Senza una verifica indipendente, l'azienda destinataria esegue quanto richiesto: un pagamento, un dato, un accesso.

Anatomia tecnica dell'attacco: dall'infostealer al Man in the Mail

Per capire perché un attacco come questo aggira quasi tutti i controlli standard bisogna partire da cosa fa davvero un infostealer. Non si limita a leggere la password salvata nel browser: raccoglie in blocco credenziali, cronologia di navigazione, cookie e token di sessione, e li rivende in pacchetti detti stealer log su mercati criminali specializzati, secondo il modello Malware-as-a-Service. Il punto tecnico più critico è che un token di sessione rubato rappresenta un'autenticazione già completata: se l'attaccante lo riutilizza da un nuovo contesto e l'applicazione lo accetta, non deve conoscere la password né ripetere il secondo fattore, perché la sessione è già valida. È il motivo per cui il solo MFA basato su SMS o codice temporaneo non basta a fermare ogni scenario, mentre resta efficace bloccare l'attacco a monte, sulla compromissione del dispositivo.

Secondo il primo report istituzionale italiano dedicato agli infostealer, pubblicato dall'Agenzia per la Cybersicurezza Nazionale a febbraio 2026, solo nel 2025 il malware LummaC2 ha sottratto oltre 940.000 credenziali riconducibili a soggetti italiani, RedLine Stealer circa 634.000 e DcRat circa 470.000. Nei report operativi di gennaio e febbraio 2026 il vettore di compromissione iniziale più ricorrente, in entrambi i mesi, è stato lo stesso: l'uso di credenziali valide sottratte in precedenza, non una vulnerabilità tecnica sfruttata al momento. È un dato coerente con la stima dell'ENISA, secondo cui gli infostealer sono all'origine di oltre il 50% degli attacchi ransomware, e con il Rapporto Clusit 2026, che registra 507 incidenti informatici gravi in Italia nel 2025, il 42% in più rispetto al 2024, con phishing e social engineering cresciuti del 75%.

940.000credenziali italiane rubate da LummaC2 nel 2025 (fonte ACN)

507incidenti informatici gravi in Italia nel 2025, +42% sul 2024 (Clusit)

72hil tempo massimo per notificare un data breach al Garante privacy

Il motivo per cui i controlli perimetrali classici non intercettano un attacco Man in the Mail sta proprio qui: SPF, DKIM e DMARC verificano che un messaggio provenga davvero dal dominio dichiarato, non se il mittente autorizzato ad agire su quel dominio è stato compromesso. Nel caso Revolut l'email arrivava letteralmente dal dominio autentico pec.interno.it: nessun controllo di autenticazione email, per quanto configurato correttamente, avrebbe potuto segnalarlo come anomalo, perché tecnicamente non lo era. Lo stesso vale per i filtri antispam basati su reputazione del mittente.

Perché riguarda anche il CdA, non solo l'IT

Un errore comune è trattare il Man in the Mail come un problema tecnico da delegare interamente al reparto IT. Per un CEO o un consigliere di amministrazione la prospettiva corretta è diversa: si tratta di un rischio di governance, con impatti diretti su continuità operativa, reputazione ed esposizione economica. Il D.Lgs. 231/2001, all'articolo 24-bis, include i reati informatici tra i presupposti della responsabilità amministrativa dell'ente: un'azienda priva di un modello organizzativo adeguato a prevenire questo tipo di rischio può rispondere anche a livello di persona giuridica, non solo il singolo dipendente coinvolto. A questo si somma il principio di accountability dell'articolo 24 del GDPR, che chiede al titolare del trattamento, quindi in ultima istanza al vertice aziendale, di poter dimostrare di aver valutato il rischio e adottato misure adeguate prima che accada un incidente, non dopo. Per un consiglio di amministrazione, la domanda utile non è "abbiamo un antivirus", ma "sappiamo dimostrare, con evidenze, che come organizzazione ci siamo posti il problema".

Come proteggere la tua azienda: controlli di base e avanzati

Le contromisure indicate dall'ACN contro gli infostealer restano il punto di partenza, ma per un'azienda strutturata vanno affiancate da controlli più maturi, pensati per il caso in cui la compromissione sia già avvenuta a monte, fuori dal proprio perimetro diretto.

Checklist essenziale

Autenticazione a più fattori (MFA) attiva su ogni account, in particolare su posta elettronica e PEC.
Verifica indipendente di ogni richiesta inattesa o fuori dall'ordinario, chiamando un recapito noto e non quello indicato nella comunicazione ricevuta.
Aggiornamenti e patch installati appena disponibili su sistemi e dispositivi.
Password manager dedicato al posto del salvataggio automatico nel browser.
Formazione periodica del personale, con simulazioni realistiche di phishing.
Procedura di gestione del data breach già definita, da attivare senza esitazioni se qualcosa non torna.

Controlli avanzati, per chi vuole andare oltre la checklist di base

Non tutte le forme di MFA offrono lo stesso livello di protezione. Un MFA resistente al phishing, basato su standard FIDO2 o su passkey, riduce drasticamente il rischio rispetto a un codice via SMS o a un'app OTP, che restano vulnerabili al furto del token di sessione da parte di un infostealer. Vanno poi monitorate le regole di inoltro automatico create sulle caselle di posta aziendali, perché sono uno degli indicatori più affidabili di una compromissione in corso, insieme ad accessi da posizioni geografiche incoerenti tra loro in tempi troppo ravvicinati. Un EDR aggiornato sui dispositivi aziendali resta la difesa più efficace contro l'infostealer stesso, prima ancora che le credenziali vengano sottratte, mentre il monitoraggio del dark web per credenziali aziendali già in circolazione permette di intervenire prima che vengano effettivamente usate.

Segnale di allarme	Cosa fare
Richiesta urgente di dati o pagamenti via email	Verificare telefonicamente su un numero già noto, mai su quello indicato nel messaggio
Cambio improvviso di IBAN o riferimenti	Confermare con il mittente reale tramite un canale diverso da quello usato per la richiesta
Mittente istituzionale ma tono insolito	Contattare direttamente l'ente tramite i suoi canali ufficiali pubblici
Link o allegati in messaggi non attesi	Non aprirli, segnalarli all'IT interno o al proprio fornitore di sicurezza

Domande frequenti su Google

Il Man in the Mail è la stessa cosa del phishing?
No: il phishing punta a rubare credenziali con un messaggio falso, il Man in the Mail sfrutta credenziali già rubate per inserirsi in una conversazione email reale e proseguirla fingendosi il legittimo titolare.

Come faccio a sapere se la mia azienda è già stata colpita?
I segnali più comuni sono richieste di pagamento o di dati che nessuno in azienda ha effettivamente inviato, regole di inoltro sospette nella casella di posta, o segnalazioni da parte di clienti e fornitori su comunicazioni mai partite da voi.

Domande frequenti

Cos'è nel dettaglio la tecnica Man in the Mail?

Cyber Resilience Act linee guida 2026: cosa cambia dall’11 settembre

y.damato — Wed, 02 Sep 2026 08:41:57 +0000

La Commissione europea ha pubblicato il 27 luglio 2026 le linee guida ufficiali (Comunicazione C(2026) 5252) per l'applicazione del Cyber Resilience Act. Dall'11 settembre 2026 scatta l'obbligo, per fabbricanti, sviluppatori e operatori economici, di segnalare vulnerabilità e incidenti gravi sui prodotti con elementi digitali immessi sul mercato UE. Le linee guida non sono vincolanti, ma chiariscono come interpretare ambito di applicazione, software open source, modifiche sostanziali e periodi di supporto.

Il regolamento (UE) 2024/2847, il Cyber Resilience Act, è in vigore dal dicembre 2024 ma procede per scadenze scaglionate. Con la pubblicazione delle linee guida di fine luglio, la Commissione ha voluto dare alle imprese, in particolare alle PMI, uno strumento operativo per prepararsi in tempo alla prima scadenza davvero sanzionabile: quella dell'11 settembre 2026 sugli obblighi di segnalazione previsti dall'articolo 14.

Cosa contiene la Comunicazione C(2026) 5252

Il documento, circa 80 pagine articolate in nove sezioni, è il risultato del confronto tra istituzioni, imprese ed esperti di cybersicurezza riuniti nel CRA Expert Group, a cui partecipa anche l'Agenzia per la Cybersicurezza Nazionale (ACN). Non è un testo vincolante, solo la Corte di Giustizia UE può fornire un'interpretazione autentica del regolamento, ma è il riferimento più aggiornato su come le autorità di vigilanza e gli organismi notificati leggeranno in pratica il CRA. Le linee guida si concentrano su quattro nodi in particolare:

Ambito e open sourceCosa rientra nel CRA e come si applica alle soluzioni di elaborazione dati da remoto e al software open source.

Modifica sostanzialeQuando un aggiornamento o un intervento su un prodotto già in commercio fa scattare nuovi obblighi.

Periodi di supportoCome definire e comunicare per quanto tempo un prodotto riceverà aggiornamenti di sicurezza.

Coordinamento normativoCome il CRA si intreccia con GDPR, NIS2 e AI Act senza sovrapposizioni.

Le scadenze del Cyber Resilience Act, aggiornate a luglio 2026

Timeline delle scadenze del Cyber Resilience Act, dall'entrata in vigore nel dicembre 2024 alla piena applicazione nel dicembre 2027
Data	Cosa entra in vigore
10 dicembre 2024	Entrata in vigore del Regolamento (UE) 2024/2847
11 giugno 2026	Applicazione del Capo IV (artt. 35–51): operatività delle autorità di vigilanza e degli organismi di valutazione della conformità
27 luglio 2026	Pubblicazione delle linee guida della Commissione, Comunicazione C(2026) 5252
11 settembre 2026	Obbligo di segnalazione, ex art. 14, delle vulnerabilità attivamente sfruttate e degli incidenti gravi al CSIRT nazionale e a ENISA
11 dicembre 2027	Piena applicazione del regolamento: requisiti essenziali, secure by design, SBOM e marcatura CE cybersecurity

Chi scopre una vulnerabilità attivamente sfruttata sul proprio prodotto dovrà inviare un primo allarme (early warning) entro 24 ore, una notifica completa entro 72 ore e una relazione finale entro 14 giorni dalla disponibilità della misura correttiva, attraverso la piattaforma unica di segnalazione gestita da ENISA.

Cosa devono fare ora le aziende

Le linee guida non spostano le scadenze, ma tolgono l'alibi dell'incertezza normativa. Per un produttore, importatore o distributore di prodotti con elementi digitali, muoversi entro l'11 settembre significa concretamente:

Mappa i prodottiVerifica quali prodotti con elementi digitali già in commercio rientrano nell'ambito del CRA, comprese le componenti software di terze parti.

Struttura la gestione vulnerabilitàTrasforma un'attività occasionale in un processo interno, con un inventario aggiornato dei componenti.

Prepara il canale di segnalazionePredisponi una procedura per notificare CSIRT ed ENISA entro le tempistiche a cascata dell'art. 14.

Allinea le altre normativeVerifica la coerenza con GDPR e NIS2, senza trattare ogni normativa come un percorso separato.

Il testo integrale del Regolamento (UE) 2024/2847 è consultabile qui sotto, direttamente nella pagina, senza dover uscire dal sito.

Regolamento (UE) 2024/2847 — anteprima documento Apri a schermo intero ↗

PDF Regolamento (UE) 2024/2847 — testo integrale Gazzetta Ufficiale dell'Unione Europea, 20 novembre 2024. Tocca per aprire il documento completo.

Resta aggiornato su normative e cybersecurityAggiungi adigitali.it alle tue fonti preferite su Google.

Perché la certificazione ISO conta anche per il Cyber Resilience Act

Il CRA non impone alle aziende di dotarsi internamente di una figura certificata come lead auditor, per i prodotti a rischio standard il regolamento prevede l'autovalutazione del fabbricante, mentre per le categorie importanti e critiche interviene un organismo notificato esterno. Detto questo, avere in squadra competenze di audit certificate resta un vantaggio concreto quando si tratta di dimostrare, documentare e mantenere nel tempo processi di sicurezza coerenti con GDPR, NIS2 e CRA.

In Alchimie Digitali questo percorso è già avviato: dall'8 giugno 2026 l'azienda lavora con Complaion Srl per le certificazioni ISO 9001:2015 e ISO 27001:2022, con l'audit di certificazione previsto entro settembre 2026. In parallelo, il CEO Pietro Suffritti ha appena conseguito la certificazione personale di Auditor/Lead Auditor ISO/IEC 27001:2022, superando l'esame il 7 settembre 2026 presso We-Learn dopo aver completato il corso propedeutico di Tecniche di Audit UNI EN ISO 19011:2018 e UNI CEI EN ISO/IEC 17021-1:2015. Il prossimo passo sarà la certificazione Lead Auditor per la ISO 9001, un ulteriore presidio di competenza interna sugli audit di sicurezza delle informazioni e di qualità dei processi.

👉 Visualizza l'attestato Auditor/Lead Auditor ISO/IEC 27001:2022

👉 Leggi il percorso di certificazione ISO 9001 e ISO 27001 di Alchimie Digitali

Glossario rapido

Nel testo trovi alcuni termini tecnici con un tooltip esplicativo al passaggio del mouse o al tocco su mobile: Cyber Resilience Act, SBOM e lead auditor.

Domande frequenti sulle linee guida del Cyber Resilience Act

Le linee guida del 27 luglio 2026 sono obbligatorie?

Il cuscinetto a sfera dell’infrastruttura che rischiava di bloccare l’intera azienda: la lezione di disaster recovery

y.damato — Wed, 26 Aug 2026 14:11:43 +0000

Alchimie Digitali · Pubblicato il 27 Agosto 2026

Questa settimana, nella nostra infrastruttura interna, un cuscinetto a sfera da 0,02 € guasto ha innescato una reazione a catena che ha coinvolto uno dei tre ipervisori di un cluster interno. Nessun cliente e nessun dipendente è stato maltrattato, perché gli altri due ipervisori del cluster hanno assorbito il carico grazie alla ridondanza. I sistemi di monitoraggio hanno segnalato l'anomalia al team tecnico, consentendo di intervenire per tempo senza che utenti o clienti subissero disservizi. È la dimostrazione pratica di cosa significhi davvero fare business continuity e disaster recovery: non un costo da tagliare, ma un piano da costruire prima che serva.

L'effetto domino: dal cuscinetto al cluster

La catena dei fatti, ricostruita insieme al nostro team tecnico, parte da un componente talmente piccolo da sembrare irrilevante. Ed è proprio questo il punto: in un sistema complesso, non è la grandezza del guasto iniziale a contare, ma la lunghezza della catena di dipendenze che lo separa dal danno finale.

1Un cuscinetto a sfera si sporca e si guasta0,02 €

2La ventola che dipende dal cuscinetto si blocca8,00 €

3La scheda si surriscalda e si blocca, entrambe interne all'ipervisore60,00 €

4L'intero ipervisore si blocca8.000,00 €

5L'ipervisore esce dal cluster, ma gli altri due lo assorbono24.000,00 €

Va precisato un dettaglio tecnico importante: cuscinetto, ventola e scheda non sono tre componenti esterni e separati. Sono tutti fisicamente interni allo stesso ipervisore. È il guasto interno di quella singola macchina a propagarsi verso l'alto, fino a farla uscire completamente dal cluster di cui faceva parte, un cluster da 24.000,00 € composto da tre nodi.

Componente coinvolto	Valore indicativo	Ruolo nella catena
Cuscinetto a sfera	0,02 €	Innesco del guasto
Ventola di raffreddamento	8,00 €	Si blocca per il cuscinetto guasto
Scheda interna all'ipervisore	60,00 €	Si inchioda per il surriscaldamento
Ipervisore	8.000,00 €	Va completamente fuori servizio
Cluster di 3 ipervisori	24.000,00 €	Regge grazie alla ridondanza degli altri due nodi

Vista esplosa: segui il guasto passo dopo passo

● Cuscinetto a sfera
0,02 €

✳ Ventola
8,00 €

▭ Scheda interna
60,00 €

▣ IPERVISORE
8.000,00 €

▤ 1 IPERVISORE ESCE DAL CLUSTER
su 3 nodi · cluster da 24.000,00 €

✓ RIDONDANZA ATTIVA
gli altri 2 ipervisori assorbono il carico, nessun disagio

Clicca su "Avvia il guasto" per vedere la cascata, dal cuscinetto al cluster.

Perché la ridondanza del cluster ha salvato tutto

Il punto centrale della storia non è il guasto, che può capitare, ma quello che non è successo dopo. Il cluster coinvolto era progettato in ridondanza: quando l'ipervisore guasto è uscito di scena, gli altri due nodi del cluster hanno assorbito il carico che gestiva. Questo ha impedito qualunque interruzione ai servizi condivisi, e ha permesso a tutti i dipendenti di continuare a lavorare senza percepire alcun disagio.

È l'esempio più concreto possibile di un principio che ripetiamo spesso durante le verifiche che effettuiamo per i clienti: separare i sistemi critici, non tenerli tutti sullo stesso piano di rischio, è una delle misure di disaster recovery più efficaci e meno costose da implementare, perché non richiede nuovo hardware, ma progettazione.

Prova tu: cosa sarebbe cambiato senza ridondanza?

Quello che è successo davvero Il cluster era progettato con un nodo in più rispetto al minimo necessario. Quando uno dei tre ipervisori è andato in fault, gli altri due hanno assorbito il carico senza interruzioni: nessun servizio ne ha risentito e i dipendenti hanno continuato a lavorare. I sistemi di monitoraggio hanno segnalato l'anomalia al team tecnico, permettendo di intervenire per tempo e gestire il ripristino senza la pressione di utenti o clienti bloccati.

Cosa sarebbe potuto succedere senza ridondanza Se lo stesso carico fosse stato distribuito su un unico server, senza nodi di riserva, lo stesso guasto avrebbe fermato subito il servizio che quel server gestiva. Il problema sarebbe stato rilevato solo al momento del blackout, con utenti e clienti già bloccati, costringendo i tecnici a intervenire sotto pressione invece che con un ripristino pianificato con calma.

★ Alchimie Digitali su Google

Ti piace Alchimie Digitali? Aggiungilo alle tue fonti preferite su Google

Se vuoi trovare più facilmente i nostri approfondimenti su cybersecurity, infrastruttura IT e compliance, puoi scegliere Alchimie Digitali tra le tue fonti preferite su Google.

★ Aggiungi Alchimie Digitali come fonte preferita → La disponibilità della funzione e la visualizzazione delle fonti possono dipendere dall'account e dall'esperienza Google utilizzata.

Cosa è successo davvero, giorno per giorno

I sistemi di monitoraggio dell'infrastruttura hanno rilevato l'anomalia e avvertito il team tecnico, permettendo di intervenire per tempo e avviare subito le attività di diagnosi e ripristino. Nel frattempo, la ridondanza del cluster ha continuato a garantire l'operatività senza disservizi percepibili per utenti e clienti.

Una volta individuato, il ripristino completo ha richiesto circa due giorni pieni di lavoro da parte di due tecnici senior. Non un intervento banale: prima è stato necessario diagnosticare con precisione dove si trovasse il problema all'interno della catena hardware, risalendo fino al cuscinetto. Poi, grazie a una risorsa interna specializzata in elettrotecnica, è stato possibile smontare minuziosamente la ventola, pulirla, ingrassare il cuscinetto e rimontare tutto, riportando il componente perfettamente funzionante invece di doverlo sostituire. È un dettaglio che spesso viene sottovalutato quando si parla di disaster recovery: anche un piano ben progettato richiede tempo e competenza specialistica per essere eseguito, non è un pulsante da premere.

La lezione di disaster recovery: la business continuity non si improvvisa

Il costo dei componenti coinvolti in questa vicenda, dai due centesimi del cuscinetto ai 24.000,00 € del cluster, non è il punto. Il punto è che nessuna di queste cifre racconta davvero il rischio reale, che è sempre lo stesso: cosa succede quando un guasto, piccolo o grande, arriva davvero. Risparmiare su ridondanza, backup e monitoraggio funziona benissimo finché tutto va bene. Il problema è che prima o poi qualcosa si guasta, ed è proprio in quel momento che si scopre se l'azienda ha un piano oppure no.

Le infrastrutture migliori non sono quelle che non subiscono mai un danno, ma quelle che non crollano quando il danno arriva. È questa la differenza tra chi ha un piano di disaster recovery e chi si limita a sperare che non succeda nulla.

Costruire una strategia di business continuity seria richiede tempo, investimento e programmazione, non improvvisazione dell'ultimo momento. Non a caso lo standard internazionale ISO 22301 è quello specificamente dedicato ai sistemi di gestione della continuità operativa e definisce la continuità come la capacità di un'organizzazione di continuare a erogare prodotti e servizi entro tempi accettabili durante un'interruzione, attraverso un processo continuo di pianificazione, verifica e miglioramento, non attraverso interventi una tantum. La ISO/IEC 27001, pur essendo dedicata alla gestione della sicurezza delle informazioni, è strettamente collegata al tema perché comprende controlli relativi alla sicurezza delle informazioni durante le interruzioni e alla prontezza ICT per la business continuity. La ISO 9001, invece, non è uno standard specifico di business continuity, ma contribuisce sul piano della gestione del rischio e del controllo dei processi. È anche per questo che il nostro percorso verso le certificazioni ISO 9001 e ISO/IEC 27001 si inserisce in una visione più ampia di resilienza e continuità aziendale, senza sostituire il ruolo specifico della ISO 22301.

Lo stesso principio è oggi anche un obbligo normativo per molte imprese italiane: la direttiva NIS2 richiede esplicitamente alle entità coinvolte di dotarsi di piani documentati di continuità operativa e disaster recovery, con backup adeguati e livelli di ridondanza sufficienti a garantire la ripresa dei servizi in caso di incidente. Un cluster ridondante che continua a garantire l'operatività mentre i sistemi di monitoraggio segnalano l'anomalia al team tecnico è, in piccolo, esattamente il tipo di resilienza che queste normative chiedono di costruire.

I nostri servizi per una vera continuità operativa

Su questi principi lavoriamo ogni giorno con i nostri clienti. Ecco i servizi di Alchimie Digitali più legati a quanto raccontato in questo articolo.

Backup → Sistemi di backup avanzato con Veeam, per proteggere i dati da guasti hardware, errori umani e ransomware. Virtualizzazione → Soluzioni di virtualizzazione dei server con VMware, per ridurre i punti singoli di guasto e aumentare la tolleranza ai problemi hardware. Consulenza e Temporary Management → Analisi TCO e ROI, individuazione dei Single Point of Failure e redazione di piani di Business Continuity e Disaster Recovery. Compliance NIS2 → La nostra guida alla categorizzazione ACN richiesta dalla NIS2: come mappare attività e servizi nelle macro-aree e attribuire la categoria di rilevanza.

Quattro pezzi dello stesso puzzle: nessuno basta da solo, insieme costruiscono la continuità operativa.

Domande frequenti sul caso

Perché un componente da pochi centesimi ha potuto mettere a rischio un cluster da 24.000,00 €?

Operazione First Light: 5.811 arresti e una lezione per ogni azienda

y.damato — Tue, 04 Aug 2026 13:10:25 +0000

Cybersecurity · Social engineering

Operazione First Light: 5.811 arresti e una lezione per ogni azienda

INTERPOL ha intercettato 293 milioni di dollari e bloccato oltre 31.000 conti. Ma il dato più importante non è economico: il cybercrime continua a sfruttare fiducia, urgenza e processi aziendali fragili.

Leggi l’analisi Vai alle FAQ

Alchimie Digitali Cybersecurity Aggiornato ad agosto 2026 Tempo di lettura: 9 minuti

Quando leggiamo di migliaia di arresti e centinaia di milioni di dollari sequestrati, la prima reazione può essere quella di pensare che sia stato inferto un colpo definitivo al cybercrime. L’operazione First Light racconta invece quanto le frodi digitali siano diventate attività transnazionali organizzate, sostenute da infrastrutture tecnologiche, reti finanziarie e procedure operative strutturate.

INTERPOL ha pubblicato i risultati dell’operazione First Light 2026, condotta tra il 15 gennaio e il 30 aprile con la collaborazione delle forze di polizia di 97 Paesi e territori. L’attività si è concentrata sulle frodi basate sul social engineeringTecniche di manipolazione che sfruttano fiducia, urgenza, paura o autorevolezza per indurre una persona a compiere un’azione. e sulle successive operazioni di riciclaggio.

5.811persone arrestate

97Paesi e territori

$293 mlnbeni intercettati

31.014conti bloccati

142.000+vittime identificate

Non è soltanto cybercrime: è un’economia criminale organizzata

Dietro molte campagne esistono strutture che gestiscono acquisizione delle vittime, costruzione di identità false, comunicazioni, trasferimento del denaro, riciclaggio e conversione degli importi in criptovalute.

Business Email Compromise: alterazione o imitazione delle comunicazioni tra aziende, fornitori e dirigenti.
Truffe sugli investimenti: piattaforme apparentemente affidabili, rendimenti promessi e pressioni a investire rapidamente.
Romance scam e sextortion: costruzione di relazioni emotive o minaccia di diffondere contenuti personali.
Impersonificazione: falsi rappresentanti di banche, enti pubblici, forze dell’ordine o società conosciute.
Money mule e riciclaggio: uso di conti bancari, wallet ed exchange per disperdere rapidamente i fondi.

Insight di Alchimie Digitali

Molte frodi non iniziano con la violazione tecnica di un sistema, ma con la violazione di un processo decisionale. Le persone diventano vulnerabili quando vengono lasciate sole davanti a richieste ambigue, senza procedure, formazione e possibilità di verifica.

Il cybercrime attacca la fiducia

Il social engineering sfrutta meccanismi umani ricorrenti: fretta, paura, autorevolezza, curiosità, desiderio di aiutare e difficoltà nel contraddire un superiore. Una comunicazione fraudolenta può apparire perfettamente coerente con il contesto aziendale.

Un esempio concreto: una fattura autentica viene replicata, l’IBAN viene sostituito e il documento viene inviato nuovamente all’amministrazione. La fattura esiste, il fornitore esiste, l’importo è corretto e la scadenza è plausibile. L’unico elemento modificato è il conto sul quale viene effettuato il pagamento.

Business Email Compromise: la frode entra nei processi amministrativi

Il Business Email CompromiseFrode nella quale un criminale impersona un dirigente, un fornitore o un partner per ottenere pagamenti o informazioni., spesso abbreviato in BEC, è una delle tecniche più rilevanti per le imprese. Gli attaccanti raccolgono informazioni sull’organizzazione, sui fornitori, sui responsabili e sulle abitudini di pagamento.

La sequenza dell’operazione

15 gennaio 2026Avvio dell’operazione coordinata a livello internazionale.

Gennaio–aprile 2026Analisi dei casi, identificazione dei sospettati, blocco dei conti e cooperazione tra le forze di polizia.

30 aprile 2026Conclusione della fase operativa.

9 luglio 2026INTERPOL pubblica i risultati ufficiali dell’operazione.

I-GRIP: nel contrasto alle frodi il tempo è decisivo

Uno degli strumenti utilizzati durante l’operazione è I-GRIPGlobal Rapid Intervention of Payments: meccanismo INTERPOL per facilitare il blocco rapido di flussi finanziari illeciti.. Dopo l’esecuzione di un pagamento fraudolento, il denaro può essere spostato rapidamente attraverso conti, società intermediarie, money mule, exchange e conversioni tra differenti criptovalute.

In caso di frode finanziaria, riconoscere immediatamente l’incidente e attivare una procedura di risposta può essere importante quanto la prevenzione.

Cosa dovrebbe fare concretamente un’azienda

Verificare gli IBAN

Ogni variazione bancaria dovrebbe essere confermata attraverso un canale diverso da quello usato per comunicarla.

Doppia autorizzazione

I pagamenti rilevanti o anomali dovrebbero richiedere il controllo di una seconda persona.

Proteggere le e-mail

MFA, controllo degli accessi, DMARC, DKIM e SPF riducono il rischio di compromissione e impersonificazione.

Formare il personale

La formazione deve utilizzare esempi realistici e coerenti con le mansioni effettive.

Gestire gli incidenti

Le persone devono sapere chi contattare immediatamente quando rilevano una possibile frode.

Conservare le evidenze

Messaggi, header e-mail, log, ricevute e riferimenti bancari possono risultare essenziali.

Domande frequenti

Che cos’è l’operazione First Light di INTERPOL?

Sovranità dei dati nel cloud: perché passare a OneDrive non basta

y.damato — Mon, 20 Jul 2026 10:00:00 +0000

Aggiornato al 17 luglio 2026 — Tempo di lettura stimato: 8 minuti

Sovranità dei dati nel cloud: perché passare a OneDrive non basta

No, passare da Google Drive a OneDrive non risolve il problema della sovranità dei dati nel cloudIl principio secondo cui i dati di un'azienda o di una persona restano soggetti alla giurisdizione e alla legge del Paese in cui vengono trattati, indipendentemente da dove sono fisicamente conservati i server.: Microsoft, come Google, è una società americana soggetta al CLOUD Act, quindi la giurisdizione a cui i tuoi dati sono esposti resta la stessa, cambia solo il fornitore.

Questo articolo nasce da una notizia molto concreta. Dal 7 luglio 2026 Google conta anche SMS, cronologia chiamate e impostazioni del dispositivo nei suoi 15GB gratuiti, non solo foto, video e MMS come accadeva finora.

L'aumento medio dichiarato da Google è di circa 40MB per utente. Quindi, per la maggior parte delle persone, l'impatto pratico è minimo. Proprio per questo, però, in questi giorni circola un consiglio molto diffuso: se paghi già Microsoft 365, sposta il backup di foto e video su OneDrive, che include 1TB di spazio. È un consiglio ragionevole sul piano economico. Ma, come anticipato, non risolve il problema di fondo, ed è questo il punto che vale la pena chiarire.

40MBaumento medio del backup Android

15GBspazio gratuito Google Account

1TBspazio incluso in Microsoft 365 Personal

2018anno di entrata in vigore del CLOUD Act

Cosa cambia davvero nel backup Android di Google

Fino a pochi giorni fa, il backup Android salvava foto, video, SMS, cronologia chiamate e impostazioni del dispositivo. Ma solo le prime due categorie, insieme agli allegati MMS, venivano conteggiate nello spazio da 15GB. Con il nuovo aggiornamento, invece, tutte le categorie iniziano a contare nello stesso spazio condiviso con Gmail e Google Photos.

In parallelo, Google ha introdotto anche nuovi interruttori granulari. Si trovano in Impostazioni, poi Account e backup, poi Backup Google. Da lì puoi scegliere se includere SMS e MMS, cronologia chiamate e impostazioni del dispositivo, oltre al controllo già esistente per singola app.

Per chi si occupa di analisi forense su dispositivi Android, questo secondo aspetto conta più del primo. Infatti, se un utente può escludere selettivamente intere categorie dal backup, allora in fase di acquisizione non si può più dare per scontato che tutto il contenuto del telefono sia recuperabile anche da remoto.

Il consiglio pratico: spostare i backup su OneDrive

Chi paga già Microsoft 365 Personal ha già incluso 1TB di spazio OneDrive nel prezzo dell'abbonamento. Il confronto con i 15GB gratuiti di Google, ora condivisi anche col backup Android, è netto. Per questo, disattivare il backup foto su Google Photos e spostarlo su OneDrive è una scelta sensata sul piano economico, soprattutto se l'account è personale e quello spazio è già pagato e sottoutilizzato.

Spazio gratuito Google Account confrontato con lo spazio incluso in Microsoft 365 Personal, in scala reale: la differenza è di oltre 68 volte.

Detto questo, vale la pena essere precisi: cosa risolve davvero questo spostamento, e cosa no?

Il nodo che nessun cambio di provider americano risolve

Microsoft, esattamente come Google, è una società soggetta alla giurisdizione statunitense. Di conseguenza, entrambe rientrano nel campo di applicazione del CLOUD ActLegge federale USA del 2018 che obbliga qualunque provider cloud americano a consegnare alle autorità USA i dati richiesti, indipendentemente dal Paese in cui quei dati sono fisicamente archiviati., la legge federale del 2018 che obbliga i provider cloud americani a consegnare dati alle autorità USA. Non importa dove questi dati siano fisicamente conservati. Un file su OneDrive salvato in un datacenter europeo resta quindi nella disponibilità di una società americana, tanto quanto lo stesso file su Google Drive.

Abbiamo ricostruito questo conflitto nel dettaglio nel nostro approfondimento su Big Tech e accesso governativo USA ai dati nei datacenter europei. In sintesi: il CLOUD Act prevale sulla localizzazione fisica del dato. L'articolo 48 del GDPRRegolamento europeo sulla protezione dei dati personali. L'articolo 48 stabilisce che le richieste di un'autorità di un Paese terzo sono eseguibili solo se basate su un accordo internazionale riconosciuto, come un trattato di mutua assistenza giudiziaria., invece, richiede che qualunque richiesta di un'autorità di un Paese terzo si basi su un accordo internazionale riconosciuto. Un accordo di questo tipo tra USA e UE, però, non esiste ancora. Perciò il provider americano resta stretto tra due obblighi che si contraddicono a vicenda, che si chiami Google, Microsoft o Amazon.

In altre parole: cambiare da Google Drive a OneDrive sposta un problema reale, quello di costo e di spazio disponibile. Ma lascia intatto il problema giuridico di fondo, che riguarda la giurisdizione del fornitore, non il marchio del servizio scelto.

Aspetto	Google Drive	OneDrive (Microsoft 365)	Cloud sovrano europeo
Spazio incluso	15GB gratuiti, condivisi con Gmail e backup Android	1TB con Microsoft 365 Personal	Variabile, dipende dal fornitore
Giurisdizione della società	Stati Uniti	Stati Uniti	Unione Europea
Soggetto al CLOUD Act	Sì	Sì	No, se l'entità è realmente separata dalla casa madre USA
Esempi concreti	Google Drive, Google Workspace	OneDrive, Microsoft 365	S3NS (Thales, Francia), T-Systems (Germania)
Adatto per	Uso personale, dati non sensibili	Uso personale o aziendale, dati non sensibili	Dati aziendali sensibili, obblighi di compliance

Quando la differenza conta davvero

Per l'uso personale, foto delle vacanze, video di famiglia, backup del telefono, questa distinzione ha un peso limitato. Nessuna delle due aziende, infatti, prende di mira un utente privato senza una ragione specifica, e il rischio concreto resta basso per la maggior parte delle persone.

Cambia molto, invece, per chi gestisce dati aziendali: documenti contrattuali, informazioni di clienti, materiale rilevante ai fini GDPR. In questi casi la domanda giusta non è quanto spazio costa un servizio cloud. È sotto quale giurisdizione opera davvero il fornitore, e se esistono misure contrattuali aggiuntive, come la cifratura lato client con chiavi gestite dal cliente, che riducono l'esposizione anche restando su un provider americano. Per i dati più sensibili, esistono anche alternative europee certificate, come la joint venture S3NS tra Thales e Google in Francia, con qualifica ANSSI SecNumCloud, o la partnership tra T-Systems e Google in Germania: entità legalmente separate dalla casa madre americana, pensate proprio per rimuovere il criterio del controllo su cui si basa il CLOUD Act.

Domande frequenti

Passare da Google Drive a OneDrive risolve il problema del CLOUD Act?

Alchimie Digitali

Tracking pixel Garante privacy: obblighi, rischi e scadenza del 29 ottobre 2026

Che cos'è un pixel di tracciamento e cosa cambia per chi usa una piattaforma di email marketing

Che cos'è

Come capire se lo usi

Cosa comporta per te che usi questi servizi

Tracking pixel Garante privacy: il quadro normativo

Chi deve adeguarsi e con quale ruolo

Tracking pixel Garante privacy: consenso, eccezioni e informativa

Revoca granulare, registro delle scelte e privacy by design

Tracking pixel Garante privacy: controlli e rischi per l'azienda

Piano di adeguamento in sei passaggi

eMudhra certificati compromessi: cosa è successo e cosa fare

eMudhra certificati compromessi: la cronologia dei fatti

Perché una chiave privata uguale a 4 è un disastro

Come funziona la catena di fiducia: simulatore

Chi è davvero a rischio

Aggiornamenti e rimedi già disponibili

Cosa fare subito: la checklist per chi gestisce sistemi

Intelligenza artificiale e professioni: responsabilità, sicurezza e pensiero critico. L’intervento di Pietro Suffritti allo Smart Life Festival 2026

Intelligenza artificiale e professioni: la responsabilità resta umana

L’AI non pensa: indovina

Shadow AI: l’AI che usano già, anche se non lo sai

💡 Quanta Shadow AI c’è nella tua organizzazione?

Dove finiscono i dati: cloud pubblico e AI locale

Intelligenza artificiale e professioni: il pensiero critico non si automatizza

Quando l’AI sembra ribellarsi: il caso Hugging Face

Il rischio più grande dell’AI è molto umano

Da dove partire: cinque passi per governare l’AI in azienda

Le domande più cercate su intelligenza artificiale e professioni

Intelligenza artificiale e professioni: chi è responsabile se l’AI sbaglia?

Un professionista può usare ChatGPT, Claude o Gemini per lavorare?

Che cos’è la Shadow AI?

Quali dati non conviene caricare su un’AI pubblica?

Gli agenti AI possono “ribellarsi”?

Conviene un’AI locale?

Domande frequenti

Scadenza NIS2 31 ottobre 2026: cosa deve essere pronto e cosa succede dopo

Quanti giorni mancano e a che punto sei

Quali evidenze hai già pronte?

Chi ha davvero la scadenza del 31 ottobre

Cosa significa avere le misure di base “operative”

Cosa succede dopo il 31 ottobre

La seconda fase: dalla fotografia all’attuazione

Come ci stiamo preparando noi

Parti dal Self-Assessment NIS2 gratuito

Glossario rapido

Le persone chiedono anche

Attacco hacker ASOS: cosa insegna il caso Snowflake alle aziende

Riportato da più fonti

Ancora non confermato

Attacco hacker ASOS: cosa dice la notifica push

Cronologia del 6 ottobre 2026

Snowflake e il precedente del 2024: tre controlli che mancavano

Perché la notifica dall'app è un campanello d'allarme per ogni azienda

Dopo l'attacco hacker ASOS: obblighi GDPR e NIS2 nelle prime 72 ore

Man in the Mail: la truffa dietro il caso Revolut e come proteggere la tua azienda

Cosa è successo davvero a Revolut

Perché questa truffa non riguarda solo le banche

Anatomia tecnica dell'attacco: dall'infostealer al Man in the Mail

Perché riguarda anche il CdA, non solo l'IT

Come proteggere la tua azienda: controlli di base e avanzati

Checklist essenziale

Controlli avanzati, per chi vuole andare oltre la checklist di base

Domande frequenti su Google

Domande frequenti

Cyber Resilience Act linee guida 2026: cosa cambia dall’11 settembre

Cosa contiene la Comunicazione C(2026) 5252

Le scadenze del Cyber Resilience Act, aggiornate a luglio 2026

Cosa devono fare ora le aziende

Perché la certificazione ISO conta anche per il Cyber Resilience Act

Glossario rapido

Domande frequenti sulle linee guida del Cyber Resilience Act

Il cuscinetto a sfera dell’infrastruttura che rischiava di bloccare l’intera azienda: la lezione di disaster recovery

L'effetto domino: dal cuscinetto al cluster

Perché la ridondanza del cluster ha salvato tutto

Ti piace Alchimie Digitali? Aggiungilo alle tue fonti preferite su Google

Cosa è successo davvero, giorno per giorno

La lezione di disaster recovery: la business continuity non si improvvisa

I nostri servizi per una vera continuità operativa