Il 7 luglio 2026, su un forum frequentato da criminali informatici, un utente con il nickname 888 ha rivendicato un colpo grosso: circa 35 GB di dati portati via da un archivio interno di Accenture, uno dei piu’ grandi gruppi di consulenza e servizi IT al mondo. A corredo, degli screenshot come prova. Accenture, interpellata, ha parlato di un fatto isolato gia’ rimediato alla fonte, assicurando che operazioni e servizi ai clienti non sono stati colpiti.
Fin qui sembra una notizia da grandi aziende. Ma il dettaglio che dovrebbe interessare a chi fa impresa non e’ la mole dei dati: e’ cosa c’era dentro.
Non e’ il codice il problema: sono le chiavi
Secondo la rivendicazione, tra i 35 GB non c’era solo codice sorgente. C’erano chiavi SSH e RSA, token di accesso personale Azure, chiavi di Azure Storage e file di configurazione. In parole semplici: non solo il “come sono fatti” i sistemi, ma le chiavi per entrarci.
E’ una differenza enorme. Il codice sorgente rubato e’ un problema di proprieta’ intellettuale. Le chiavi e i token rubati sono un problema operativo e immediato: sono le credenziali che permettono a un programma o a una persona di collegarsi a un server, a un database o a un servizio cloud senza inserire una password ogni volta. Se finiscono nelle mani sbagliate, possono aprire porte anche molto lontane da dove sono state rubate.
Il valore vero di un furto informatico non e' sempre il dato: spesso sono le chiavi che aprono altri sistemi.
Perche’ riguarda una piccola impresa
Il ragionamento istintivo e’ “noi non siamo Accenture, chi vuoi che ci attacchi”. E’ il ragionamento che lascia le porte aperte, per un motivo preciso: la tua impresa non e’ un’isola.
Quasi ogni attivita’ oggi condivide accessi con qualcuno: il fornitore che gestisce il sito, l’agenzia che cura le campagne, la software house che ha sviluppato il gestionale, il consulente che entra nel tuo cloud per assistenza. Ognuno di loro, per lavorare, detiene chiavi dei tuoi sistemi. Il caso Accenture mostra la regola generale: quando un fornitore viene bucato, le credenziali che custodiva per i suoi clienti diventano il vero bottino. Questo si chiama rischio di supply chain — la catena di fornitura — e non dipende da quanto sei grande tu, ma da quanto e’ esposto l’anello piu’ debole con cui lavori.
Cosa chiedere lunedi’, senza essere tecnici
Non serve competenza informatica: servono le domande giuste ai fornitori a cui hai affidato accessi ai tuoi sistemi.
- Fai la lista di chi ha le chiavi. Quali fornitori, agenzie o consulenti possono entrare nei tuoi sistemi (sito, cloud, gestionale, posta, social)? Spesso nessuno ha mai fatto questo elenco.
- Chiedi come tengono separati gli accessi. Un fornitore serio non usa la stessa identica credenziale per tutti i clienti: se buca uno, non deve cadere anche il tuo. Chiedi conferma che i tuoi accessi siano segregati.
- Chiedi se e ogni quanto ruotano chiavi e password. Le credenziali non vanno lasciate uguali per anni. Chiedi che vengano cambiate periodicamente e subito dopo che un tuo fornitore subisce un incidente.
- Preferisci accessi con scadenza e nominativi. Meglio accessi personali che si possono revocare e che scadono, invece di una password unica condivisa via email che resta valida per sempre.
La difesa piu' economica: sapere chi detiene i tuoi accessi e poterli revocare in fretta.
Il punto per chi fa impresa
Un incidente in un grande fornitore non e’ un problema “loro”. E’ un promemoria che la tua sicurezza vale quanto quella dell’anello piu’ debole con cui condividi accessi. Il caso Accenture non chiede a una PMI di diventare un’azienda di cybersecurity: chiede solo di sapere chi ha le chiavi dei propri sistemi e di poterle cambiare in fretta. E’ l’assicurazione piu’ a buon mercato che esista, e la si stipula con quattro domande al proprio fornitore.