Ieri Chick-fil-A — una delle più grandi catene di ristorazione americane — ha notificato ai clienti una violazione del suo programma fedeltà. Il dettaglio che rende il caso interessante per chiunque abbia un sito con login è come sono entrati gli attaccanti: non hanno hackerato nulla. Tra il 17 e il 19 giugno, bot automatizzati hanno fatto login in massa su sito e app usando email e password rubate da violazioni di altri servizi. Dove il cliente riusava la stessa password e non aveva la verifica in due passaggi, i bot sono semplicemente entrati dalla porta principale. Esposti nomi, email, credito residuo, ultime quattro cifre delle carte e, in alcuni casi, date di nascita e indirizzi.
Si chiama credential stuffing, e la parte che riguarda te è questa: non serve essere famosi per subirlo.
«Siamo troppo piccoli per interessare agli hacker» è il ragionamento sbagliato
Il credential stuffing non sceglie i bersagli: li automatizza. Le liste di credenziali rubate — miliardi di coppie email/password in circolazione — vengono provate dai bot su qualunque pagina di login raggiungibile: il grande brand come l’e-commerce di provincia, l’area riservata dello studio professionale, il portale clienti del gestionale. Il costo per l’attaccante è vicino allo zero; se sul tuo sito lo 0,5% delle credenziali provate funziona, per lui è già un successo. La domanda giusta non è «perché dovrebbero attaccare proprio me», ma «cosa succede quando i bot arrivano da me» — perché arrivano.
Il credential stuffing non buca il sito: prova in massa password rubate altrove. Funziona dove il cliente ricicla le password e il sito non ha contromisure sul login. La difesa quindi è doppia: lato utenti (2FA) e lato sito (limiti ai tentativi).
Le tre contromisure da attivare questa settimana
La buona notizia: le difese sono note, poco costose e non richiedono un reparto IT.
- Attiva (o rendi obbligatoria) la verifica in due passaggi — prima sugli accessi interni (email aziendale, gestionale, home banking, hosting del sito), poi sull’area clienti se la piattaforma lo consente. Nel caso Chick-fil-A gli account violati erano quelli senza 2FA: è la singola misura con il miglior rapporto tra costo e protezione.
- Scrivi a chi ha sviluppato o gestisce il tuo sito una domanda precisa: «il login ha un limite ai tentativi (rate limiting) e un controllo anti-bot (CAPTCHA) dopo i primi errori?». Se la risposta è no, chiedine l’attivazione: sulle principali piattaforme e-commerce e CMS è configurazione, non sviluppo.
- Elimina il riuso delle password in azienda: una password diversa per ogni servizio, custodite in un password manager condiviso a livello di team. La password del gestionale che è uguale a quella di un vecchio forum violato è esattamente il varco che questo attacco cerca.
La recidiva è la parte più costosa: due notifiche di violazione in tre anni pesano sulla fiducia più del danno tecnico. Per una piccola impresa, dove la reputazione è il primo asset commerciale, prevenire costa meno di una sola lettera di scuse ai clienti.
Fonte: BleepingComputer, Malwarebytes — 22 luglio 2026
Il conto economico della prevenzione
Vale la pena dirlo in termini d’impresa, non di tecnica. Un attacco riuscito all’area clienti costa tre volte: il tempo per capire cos’è successo e rimettere in sicurezza, gli eventuali obblighi di notifica (in Europa c’è il GDPR, con comunicazioni al Garante e agli interessati nei casi previsti), e soprattutto la fiducia dei clienti che ricevono l’email «i tuoi dati potrebbero essere stati compromessi». Le tre contromisure sopra si attivano in giorni e costano poco o nulla. È uno dei rari casi in cui la sproporzione tra costo della prevenzione e costo dell’incidente è così netta da rendere la decisione facile.
In breve
Il caso Chick-fil-A non parla di hacker geniali: parla di password riciclate, bot pazienti e login senza protezioni. È lo stesso identico scenario di qualunque area clienti italiana. Due fattori di autenticazione, limiti ai tentativi di login e stop al riuso delle password chiudono la porta — e questa settimana è un buon momento per girare quelle tre richieste a chi gestisce i tuoi sistemi.