Il 23 luglio sedici agenzie di sicurezza nazionale — il britannico NCSC insieme ai partner di Stati Uniti, Francia, Paesi Bassi, Polonia, Spagna, Canada, Australia e altri, Italia compresa — hanno pubblicato un’allerta congiunta su una campagna di spionaggio attribuita a un gruppo statale russo chiamato LAUNDRY BEAR.
Il dettaglio che rende questa allerta diversa dalle molte che escono ogni settimana è il meccanismo. Non c’è un allegato da aprire, non c’è un link da cliccare, non c’è una password da consegnare a un finto portale. Secondo l’advisory, è sufficiente che l’email venga visualizzata dentro una versione vulnerabile della webmail Zimbra Collaboration Suite perché la casella sia compromessa. L’exploit usato viene chiamato beehive.
Perché questo riguarda anche chi non è un bersaglio strategico
Serve mettere subito un punto di onestà, perché altrimenti la notizia si legge male in entrambe le direzioni.
I bersagli identificati dall’allerta non sono piccole imprese italiane: sono organizzazioni statunitensi nei settori difesa, governo, istruzione, energia, forze dell’ordine, media, ONG e tecnologia. Nessuno sta dicendo che un gruppo di spionaggio russo abbia interesse per la tua carpenteria o per il tuo studio commercialista.
Il punto è un altro, e sta nella distinzione tra bersaglio e superficie esposta. La vulnerabilità non sta nell’organizzazione colpita: sta nel software. E Zimbra è la piattaforma che gira sotto una quantità enorme di caselle di posta aziendali italiane, vendute come servizio da provider, hoster e consulenti informatici locali. Il titolare che ha comprato “le caselle di posta con il dominio” quindici anni fa e non ci ha più pensato, nella maggior parte dei casi non sa che sotto c’è Zimbra.
Una volta che un exploit è pubblico e documentato in un advisory, smette di essere prerogativa di chi l’ha scoperto. Chi lascia un server non aggiornato non viene bucato perché è interessante: viene bucato perché è raggiungibile.
Le tre domande da fare lunedì al fornitore di posta
Nessuna di queste richiede competenze tecniche. Sono domande, e le risposte vanno chieste per iscritto — una mail, non una telefonata.
- «La nostra posta gira su Zimbra? Se sì, quale versione?» È la domanda che sblocca tutto il resto. Se la risposta è Microsoft 365 o Google Workspace, questa specifica allerta non ti riguarda e puoi fermarti qui. Se è Zimbra — o se il fornitore esita — si passa alla seconda.
- «È già stata applicata la patch e quando?» Non «siete aggiornati?», che ottiene sempre un sì. La data. Se il server è gestito dal fornitore, la patch è responsabilità sua e hai diritto di sapere quando l’ha messa.
- «Possiamo avere i log degli accessi alle caselle degli ultimi dodici mesi?» Questa è la domanda che quasi nessuno fa, ed è quella che conta di più.
Perché i log contano quanto la patch
L’advisory indica che la campagna è attiva da luglio 2025. Un anno.
Questo cambia la natura del problema. Aggiornare il server risolve il futuro: impedisce che la falla venga sfruttata da domani. Non dice niente su cosa sia già uscito dalle caselle nei dodici mesi precedenti. E in una casella di posta aziendale ci sono, tipicamente, le condizioni commerciali con i clienti, le trattative in corso, le coordinate bancarie, gli allegati con i dati del personale.
Chi si ferma alla patch chiude la porta e non guarda se qualcuno è già dentro.
La patch risponde a: «può succedere ancora?». È necessaria e va messa subito. I log degli accessi rispondono a: «è già successo?». Servono a capire se ci sono stati accessi anomali — orari improbabili, indirizzi IP esteri, sessioni da geografie in cui non hai nessuno — nel periodo in cui la campagna era attiva. Applicare solo la prima significa mettere in sicurezza il futuro dando per scontato un passato che non hai verificato.
Le due mosse che valgono a prescindere
Indipendentemente da quale piattaforma di posta usi, questa allerta è un buon momento per due cose che rimandi da mesi.
Autenticazione a due fattori sulle caselle sensibili. Direzione, amministrazione, ufficio acquisti: sono le tre caselle da cui passano i soldi e le condizioni contrattuali, e sono quelle che un attaccante cerca. Meglio ancora se con passkey invece che con codici via SMS.
Sapere di cosa è fatta la tua infrastruttura. Il problema più profondo che questa vicenda mette in luce non è Zimbra: è che moltissime piccole imprese non hanno un elenco di quali servizi usano, chi li gestisce e chi è responsabile degli aggiornamenti. Senza quell’elenco, ogni advisory che esce è inutile — non puoi sapere se ti riguarda. Costa mezza giornata farlo una volta.
In breve
Sedici agenzie di sicurezza nazionali, Italia inclusa, hanno pubblicato il 23 luglio un’allerta congiunta su una campagna del gruppo statale russo LAUNDRY BEAR che compromette le caselle di posta sfruttando una falla di Zimbra Collaboration Suite senza bisogno di alcun clic: basta che l’email venga visualizzata. I bersagli identificati sono organizzazioni statunitensi in settori strategici, non PMI italiane, ma la vulnerabilità sta nel software — e Zimbra è la piattaforma sotto molte caselle aziendali italiane, spesso senza che il titolare lo sappia. Le tre azioni concrete: chiedere per iscritto al fornitore di posta se la piattaforma è Zimbra e in quale versione, farsi dare la data della patch, e chiedere i log degli accessi degli ultimi dodici mesi, perché la campagna è attiva da luglio 2025.