Il 26 ottobre 2026 il gruppo ransomware Aurora ha rivendicato un attacco contro Ernesto Malvestiti S.p.A., azienda di meccanica di precisione di Cinisello Balsamo (Lombardia) che lavora per oltre 150 costruttori automotive. Secondo la ricostruzione pubblicata da Cyber Security 360 il 12 novembre, gli attaccanti dichiarano di aver trovato un file chiamato ?accesso web.txt? con oltre 50 credenziali in chiaro per i portali B2B di BMW, Valeo, BorgWarner, Schneider Electric, Eaton e sistemi collegati a Fiat/Stellantis, oltre a dati di buste paga, IBAN e codici fiscali dei dipendenti. L'azienda non ha confermato ufficialmente la violazione, ma il caso risulta anche sui tracker specializzati ransomware.live e DeXpose. Al di l? di come andr? a finire questa vicenda specifica, il dettaglio che conta per chi gestisce una PMI non ? la cronaca dell'attacco: ? che cosa rende possibile un danno di questa portata, e come verificare se lo stesso errore esiste anche nella propria azienda.
Il problema non ? la sofisticazione dell'attacco, ma un file dimenticato
Non serve un exploit complesso per causare un incidente di queste dimensioni: basta un file di testo o un foglio Excel con elenchi di password, lasciato su un desktop, in una cartella condivisa o su un NAS aziendale, che chiunque ottenga accesso alla rete pu? leggere in chiaro. ? una pratica molto pi? diffusa di quanto si pensi, soprattutto nelle aziende che nel tempo hanno accumulato decine di accessi a portali di clienti, fornitori, banche e pubbliche amministrazioni, e che li hanno annotati ?per comodit?? in un punto facile da consultare.
Il primo controllo che un titolare o un responsabile IT pu? fare nel giro di un'ora ? proprio questo: cercare nei file server, nei NAS, nelle cartelle condivise e nei PC degli uffici amministrazione, commerciale e ufficio tecnico file con nomi come ?password?, ?accessi?, ?credenziali?, ?login clienti? in formato .txt, .xlsx, .docx o anche semplici promemoria salvati nelle email. Se vengono trovati, vanno eliminati solo dopo aver spostato le credenziali in uno strumento adeguato, e non semplicemente cancellati lasciando gli utenti senza un metodo sicuro per accedere ai portali che usano ogni giorno.
Perch? un password manager aziendale costa meno di un incidente
Un file di testo non cifrato ? comodo finch? non succede nulla: non richiede formazione, non ha un costo di licenza, non impone regole. Ma non ha nemmeno nessuna delle protezioni minime che servirebbero: non traccia chi accede a quale credenziale, non impedisce la copia integrale dell'elenco, non si accorge se qualcuno lo scarica fuori orario o da una postazione anomala, e soprattutto non si rinnova mai da solo quando un dipendente lascia l'azienda o quando una password viene compromessa altrove.
Un password manager aziendale con cifratura e gestione centralizzata degli accessi risolve questi problemi con un costo per utente che si misura in pochi euro al mese: permette di condividere una credenziale con un collega senza che quel collega la veda mai in chiaro, registra ogni accesso, consente di revocare un permesso in pochi secondi e segnala le password deboli o riutilizzate. Il confronto con il costo di un incidente come quello raccontato nel caso Malvestiti ? dei dati sottratti, del fermo produttivo, della possibile richiesta di riscatto, delle notifiche da fare ai clienti coinvolti ? rende la scelta quasi obbligata. Hi-Keep accompagna le PMI proprio in questo passaggio: dalla mappatura di tutte le credenziali esistenti in azienda alla scelta e configurazione di uno strumento di gestione password adatto a struttura e numero di utenti.
L'MFA sui portali B2B non basta se la password resta condivisa in un file
Molte aziende pensano di aver gi? risolto il problema attivando l'autenticazione a due fattori sui portali pi? critici. L'MFA ? certamente una misura utile e va mantenuta, ma da sola non risolve il rischio descritto in questo caso: se la password di un portale resta scritta in chiaro in un file accessibile a chiunque entri nella rete aziendale, un attaccante che ottiene quella credenziale pu? comunque tentare di usarla, far leva su eventuali sessioni gi? autenticate, oppure semplicemente dimostrare nella rivendicazione di aver avuto accesso a dati riservati del cliente, con il danno reputazionale che questo comporta indipendentemente dal fatto che l'MFA abbia poi bloccato l'accesso effettivo.
Il punto ? che l'MFA protegge il momento dell'accesso, ma non protegge la credenziale quando questa ? conservata in modo insicuro. Le due misure vanno quindi pensate insieme: MFA attiva su tutti i portali che lo consentono, e password gestite in uno strumento cifrato che ne impedisca la lettura diretta da parte di chiunque acceda al file system aziendale.
Il principio del privilegio minimo: chi deve davvero vedere quelle credenziali
Un altro elemento che ricorre spesso in casi come questo ? la centralizzazione eccessiva: un unico file con decine di credenziali di clienti diversi, accessibile potenzialmente a pi? persone (amministrazione, commerciale, ufficio tecnico) che in realt? utilizzano solo una piccola parte di quegli accessi. Questo ? l'opposto del principio del privilegio minimo, secondo cui ogni persona dovrebbe avere accesso solo alle credenziali e ai sistemi strettamente necessari al proprio ruolo.
In pratica, questo significa:
- mappare chi usa davvero ciascun portale cliente o fornitore, ed eliminare gli accessi condivisi per comodit? ma non necessari;
- assegnare, dove il portale lo consente, un'utenza personale a ogni dipendente invece di una credenziale unica condivisa da pi? persone;
- rivedere periodicamente gli accessi, soprattutto quando un dipendente cambia ruolo o lascia l'azienda;
- separare nettamente le credenziali dei sistemi interni (ERP, posta, server) da quelle dei portali di terzi, in modo che la compromissione di un file non esponga automaticamente entrambe le categorie.
Applicare questo principio richiede una revisione organizzativa oltre che tecnica, ed ? uno dei punti su cui Hi-Keep interviene nelle attivit? di consulenza aziendale legate alla sicurezza informatica, affiancando chi gestisce l'IT nella definizione di ruoli e permessi coerenti con l'organico reale dell'azienda.
Essere fornitori di aziende pi? grandi aumenta la responsabilit?, non la riduce
Il caso raccontato da Cyber Security 360 riguarda un'azienda che lavora come subfornitore per marchi automotive internazionali, e questo aspetto merita un'attenzione specifica: quando un'azienda ha accesso ai portali B2B di clienti pi? grandi, una violazione dei suoi sistemi non resta confinata al suo perimetro. Le credenziali rubate possono essere usate come punto di ingresso verso i sistemi del cliente finale, e questo ? esattamente il motivo per cui sempre pi? grandi committenti chiedono ai propri fornitori requisiti di sicurezza specifici nei contratti, oltre che il motivo per cui normative come la NIS2 insistono sulla sicurezza della catena di fornitura.
Per una PMI che lavora in filiera, questo significa che la propria sicurezza informatica non ? pi? solo un problema interno: ? una condizione di affidabilit? verso i clienti pi? grandi, che sempre pi? spesso effettuano verifiche formali o informali sui propri fornitori prima di affidare commesse sensibili. Un incidente come quello descritto in questo caso pu? tradursi, oltre che in un danno diretto, nella perdita di fiducia di committenti che valgono una parte rilevante del fatturato.
Da dove iniziare in concreto
Per una PMI che vuole verificare la propria esposizione a un problema di questo tipo, l'ordine pratico ? il seguente: prima censire dove sono oggi le credenziali aziendali (file, email, appunti cartacei), poi eliminare i file non cifrati sostituendoli con un password manager, quindi rivedere chi ha accesso a cosa secondo il principio del privilegio minimo, e infine verificare che l'MFA sia attiva ovunque possibile come ulteriore livello di protezione, non come unica misura. Hi-Keep pu? effettuare una verifica mirata su questi quattro punti nelle aziende che vogliono capire, prima che lo scoprano degli altri, se hanno lo stesso problema riscontrato in questo caso: dalla ricerca di file di credenziali non protetti, alla scelta e implementazione di un password manager aziendale, fino alla revisione dei permessi di accesso ai portali di clienti e fornitori. Chi gestisce l'IT in azienda e vuole partire da una verifica concreta pu? contattare Hi-Keep per organizzare un primo controllo mirato.