Se la tua impresa verifica l'identità dei clienti, invia newsletter o conserva documenti nel cloud, i data breach di settembre 2026 ti riguardano direttamente. I casi Revolut, Trezor e IDScan mostrano che il vettore d'attacco più efficace non è il malware: è un canale autentico — un'email governativa valida, l'infrastruttura del provider di posta — usato per farsi consegnare dati senza violare alcun server. La conformità formale non protegge più l'attività.
IDScan: quando il KYC dei clienti diventa un passivo per l'impresa
IDScan.net ha confermato un accesso non autorizzato ai dati conservati nel proprio cloud, dopo che sul servizio criminale Nexus comparivano 153 milioni di scansioni di patenti statunitensi e canadesi, 10 milioni di carte d'identità, 3 milioni di documenti di viaggio e 579.000 tessere sanitarie. Sommando le quattro categorie si superano i 166,5 milioni di documenti pubblicizzati in vendita. Il calcolo esatto è 153.000.000 + 10.000.000 + 3.000.000 + 579.000 = 166.579.000, cioè circa 166,5 milioni. Qui però le fonti divergono: IDScan ha confermato l'accesso non autorizzato, ma non ha validato pubblicamente l'intera quantità di 153 milioni di documenti attribuita al database Nexus. Il totale di 166,5 milioni è quindi la somma delle categorie pubblicizzate su Nexus, non un conteggio forense certificato da IDScan. Per l'impresa, la differenza conta: nella stima di esposizione e nelle comunicazioni va usato il dato che il fornitore conferma, non il numero messo in vetrina dal mercato criminale. Una password compromessa si cambia; una scansione completa di una patente, con foto e numero, resta riutilizzabile per frodi e impersonificazione per anni. Se la tua impresa esternalizza il KYC a un fornitore terzo, la superficie di rischio del tuo cliente non è più solo la tua.
Brevo: la catena dei fornitori vale 138 account compromessi
Il 9 settembre 2026 un attaccante ha sfruttato una falla di delimitazione nel SSO di Brevo — piattaforma usata da numerose newsletter europee — per accedere a 138 account cliente. Da 43 ha esportato liste di contatti, con 6 ha inviato phishing mirato. Il rapporto è netto: il 31,2% degli account violati (43 su 138) ha subito esportazione di contatti, ma solo il 4,3% (6) è stato usato per la campagna attiva. Un calcolo derivato dai numeri delle fonti aggiunge un tassello: 138 account totali meno 93 senza attività significativa = 45 account con attività rilevante; 43 esportazioni + 6 invii = 49 segnalazioni, quindi almeno 4 account (49 − 45) ricadono in entrambe le categorie. In pratica, l'esportazione dei contatti e l'invio di phishing non sono danni separati: la stessa base contatti può diventare il carburante della campagna attiva. Per l'impresa, se il fornitore segnala solo esportazione, il rischio phishing non è affatto escluso. I 347.000 iscritti alla newsletter di Trezor hanno ricevuto un'email dal dominio reale del produttore: SPF, DKIM e DMARC non hanno segnalato nulla. Il messaggio chiedeva il backup del wallet, cioè la chiave che svuota un portafoglio. Anche qui un rapporto aiuta a calibrare: 2.500 persone avevano già cliccato su 347.000 destinatari, cioè circa 0,72%. È una percentuale piccola, ma sufficiente a mettere in pericolo chi ha inserito il backup: per l'impresa, la soglia d'allarme non è la percentuale di clic, ma il numero assoluto di persone che ricevono un messaggio indistinguibile da quello legittimo.
Revolut e l'abuso delle richieste di emergenza
Revolut ha consegnato copie di passaporti, selfie di verifica e lo storico completo delle transazioni Bitcoin di un gruppo ristretto di clienti — secondo l'investigatore on-chain ZachXBT selezionato tra i più facoltosi — dopo una richiesta partita da un dominio email governativo autentico. La falla non è nei server: è nel processo di verifica delle richieste legali. Per chi ha partita IVA e detiene cripto in tesoreria, il rischio diventa fisico: nome, indirizzo di casa e prova documentata dei wallet sono il kit di un wrench attack. Revolut conta oltre 5 milioni di clienti in Italia. Qui conviene collegare due dati che nelle fonti restano separati: l'archivio Revolut contiene nome, indirizzo di casa, copie di documenti e storico Bitcoin, cioè la prova che la persona detiene cripto; la campagna Trezor via Brevo chiede il backup del wallet, cioè la chiave per svuotarlo. Per un cliente esposto a entrambi i vettori, il primo breach fornisce il bersaglio fisico e il secondo il canale autentico per ottenere l'ultimo segreto. Non serve malware: basta incrociare i due set di dati.
Tre mosse operative (e il vero costo del breach)
- Mappa i fornitori di KYC e di email marketing. Se usi Brevo o un servizio analogo, verifica quali liste contatti sono esposte e se il fornitore ha comunicato l'incidente.
- Rivedi la conservazione dei documenti d'identità. Ogni scansione di patente archiviata dopo la verifica è un passivo: eliminala se la legge lo consente.
- Tratta i dati dei clienti come già compromessi dopo un breach. Il phishing che cita una transazione vera è quasi indistinguibile da un'email legittima.
Il caso Brevo mostra un pattern che riguarda ogni impresa che dipende da fornitori terzi: la compromissione non avviene nel tuo perimetro, ma i tuoi clienti vengono colpiti dal tuo nome. Trezor ha bloccato il dominio in 20 minuti, ma 2.500 persone avevano già cliccato. La domanda operativa non è "il fornitore è certificato?", ma "quanto ci mette a contenere il danno — e quanto ci metto io?".
