Violazioni di terze parti al 48% nel 2026: EY e una fiduciaria svizzera hanno perso i dati allo stesso modo
Nel 2026 un fornitore è coinvolto nel 48% di tutte le violazioni di dati, e nel 55% di quelle che colpiscono le PMI, secondo il Data Breach Investigations Report di Verizon. A luglio sono arrivati due casi da manuale a pochi giorni di distanza. Ernst & Young, uno dei maggiori studi di consulenza al mondo, si è vista sottrarre documenti fiscali dei clienti perché è stata compromessa una piattaforma IT di terze parti. Una fiduciaria di Yverdon-les-Bains ha perso circa 220 GB di file dei clienti per mano di un gruppo ransomware. In nessuno dei due casi l’attaccante è passato dalla porta principale.
Una violazione di terze parti è un incidente in cui i tuoi dati escono dal sistema di un fornitore, non dal tuo. A subire l’attacco è il fornitore. I dati, l’obbligo di notifica e le telefonate dei clienti restano tuoi.
Cosa è successo a Ernst & Young?
A inizio luglio EY ha comunicato che era stata compromessa una piattaforma di IT service management di terze parti, usata dal suo stesso personale IT. In parole semplici: il sistema di ticket dell’helpdesk.
È tutto lì. Nessuno considera i ticket di assistenza un archivio sensibile, ma le persone ci allegano documenti. Secondo EY, i ticket “possono includere documenti contenenti informazioni fiscali dei clienti”. La notifica depositata presso il procuratore generale della California elenca nomi, indirizzi, numeri di previdenza sociale, numeri di conto, numeri di carta e altri dati usati per preparare le dichiarazioni fiscali.
La cronologia merita una seconda lettura. L’intruso è stato dentro tra il 28 marzo e il 12 aprile 2026. EY ha rilevato l’attività anomala il 23 aprile. I clienti sono stati avvisati a inizio luglio. Quante persone siano coinvolte non è stato reso noto; EY offre 24 mesi di monitoraggio e ripristino dell’identità tramite Experian.
Il 27 luglio il gruppo estorsivo ShinyHunters ha rivendicato la violazione, sostenendo di aver ottenuto credenziali con un attacco alla catena di fornitura di un terzo non identificato, e ha fissato una scadenza al 31 luglio. EY non ha confermato l’attribuzione e la rivendicazione non è verificata in modo indipendente: va trattata come tale.
Cosa è successo alla fiduciaria vodese?
A inizio luglio il gruppo ransomware BravoX ha annunciato sul proprio sito di aver colpito una fiduciaria con sede a Yverdon-les-Bains. BravoX è comparso a gennaio 2026 e usa il modello ormai standard della doppia estorsione: cifrare, esfiltrare, pubblicare se nessuno paga.
Nessuno ha pagato. Il 18 luglio il gruppo ha pubblicato circa 220 GB di dati, oltre 100’000 file. Dentro c’erano dossier di privati, aziende, istituzioni e una quindicina di comuni vodesi. Tra le persone i cui dati fiscali sono finiti sul dark web c’è il consigliere di Stato vodese Vassilis Venizelos, insieme alla moglie. Nel giro di pochi giorni la pagina del leak segnava quasi 250 download.
Lo studio ha sporto denuncia penale e segnalato l’incidente al preposto cantonale alla protezione dei dati e all’Ufficio federale della cibersicurezza. È la reazione corretta, e non cambia nulla per i quindici comuni i cui documenti circolano già.
Perché le violazioni di terze parti colpiscono allo stesso modo realtà così diverse?
Una è un network globale con decine di migliaia di persone e programmi di sicurezza strutturati. L’altra è una fiduciaria regionale. Non hanno quasi nulla in comune, tranne l’unica cosa che contava davvero: entrambe custodiscono documenti che appartengono a qualcun altro, ed entrambe li avevano anche fuori dai sistemi che stavano difendendo.
Ecco come si presenta il 48% nella pratica. Il programma di sicurezza copre il gestionale, la posta, i dispositivi. Quasi mai copre il tool di ticketing, la piattaforma paghe esternalizzata, il portale documentale del commercialista o l’archivio che il partner IT tiene “per i ripristini”. Sono i posti dove le copie dei file riservati si accumulano in silenzio e nessuno possiede il rischio. È la stessa domanda che sta sotto la sovranità digitale: non chi promette di proteggere i tuoi dati, ma dove si trovano davvero.
Per uno studio professionale il conto è spietato. Un singolo studio può custodire i documenti fiscali di un intero paese. Quando escono, il raggio d’impatto non è un’azienda: è tutta la lista clienti.
| Dove pensi che siano i dati | Dove sono anche |
|---|---|
| Il gestionale di studio | Gli allegati dei ticket di assistenza |
| Il file server, cifrato e con backup | L’archivio di backup e restore del partner IT |
| La casella di posta, protetta da MFA | Portali condivisi e link di trasferimento che non scadono mai |
| I tuoi sistemi, nel tuo Paese | Un tenant SaaS la cui ubicazione nessuno ha mai verificato |
Il nostro fornitore è certificato. Non basta?
No, ed è il fraintendimento più costoso. Un certificato dice che un fornitore ha fatto verificare un perimetro definito in una certa data. Non dice se i tuoi file rientrano in quel perimetro, per quanto tempo vengono conservati, chi presso il fornitore può leggerli e che fine fanno alla scadenza del contratto.
EY è uno studio che di mestiere verifica e consiglia sul rischio cyber. Non è bastato a impedire che documenti dei clienti uscissero da una piattaforma di assistenza. La certificazione è un filtro ragionevole per scegliere un fornitore. Non è un controllo, e non è una difesa quando devi spiegare l’accaduto ai tuoi clienti.
Cosa fare lunedì mattina: quattro mosse
- Elenca chi custodisce i documenti dei tuoi clienti. Non i fornitori che paghi, ma i sistemi che contengono davvero dei file: ticketing, backup, paghe, firma elettronica, trasferimento file, portale condiviso. Una pagina, un responsabile per riga. Quasi tutti gli studi scoprono due o tre voci che avevano dimenticato.
- Fai tre domande per iscritto a ciascuno. Dove sono conservati i nostri dati, per quanto tempo li tenete, e in quanto tempo ci avvisate se subite una violazione. Un fornitore che non risponde entro una settimana ha già risposto.
- Impedisci ai documenti sensibili di entrare nel canale sbagliato. Ticket, chat e thread di posta devono citare un documento, non trasportarlo. Fissa la regola e poi cancella gli allegati storici rimasti lì. Questa sola mossa avrebbe ridotto entrambi gli incidenti di luglio.
- Prova la notifica, non solo il ripristino. Decidi oggi chi chiama i clienti, chi parla con l’autorità e chi risponde pubblicamente se a essere violato è un tuo fornitore. In Svizzera il cronometro parte quando vieni a saperlo, non quando finisci di indagare.
E in Svizzera?
Con la nuova legge federale sulla protezione dei dati (nLPD) la responsabilità sui dati personali resta al titolare del trattamento, cioè a te, anche quando il trattamento avviene presso un fornitore. Se una violazione comporta un rischio elevato per le persone interessate, va notificata all’Incaricato federale della protezione dei dati e della trasparenza il più rapidamente possibile, e le persone vanno informate quando è necessario. Esternalizzare il trattamento non esternalizza l’obbligo.
Il caso vodese mostra l’effetto di secondo livello che nessuna norma può correggere. Quindici comuni non hanno sbagliato nulla. I dati dei loro cittadini sono comunque pubblici, perché un fornitore tre passi più in basso nella catena ha avuto un brutto mese.
Domande frequenti
Che cos’è una violazione di dati di terze parti?
È una violazione in cui i tuoi dati escono dal sistema di un fornitore invece che dal tuo. Il rapporto Verizon 2026 ha rilevato il coinvolgimento di un terzo nel 48% di tutte le violazioni e nel 55% di quelle che riguardano le PMI.
Siamo responsabili se a subire la violazione è il fornitore?
Nella maggior parte dei casi sì, in quanto titolari del trattamento. Con la nLPD svizzera e con il GDPR l’obbligo di notificare e di tutelare le persone interessate segue il titolare, non il fornitore che ha perso i file.
Come capiamo quali fornitori custodiscono davvero i nostri documenti?
Parti dal documento, non dal contratto. Per ogni categoria di documento riservato ricostruisci tutti i sistemi che attraversa o in cui viene copiato. Ticketing, archivi di backup e link di trasferimento sono quelli che sfuggono più spesso.
Un fornitore certificato riduce il rischio?
Riduce la probabilità di lacune evidenti, ma un certificato copre un perimetro definito in un momento preciso. Non è la prova che i tuoi dati specifici siano protetti e non trasferisce il tuo obbligo giuridico.
Uno studio piccolo è davvero un bersaglio?
Sì, e sempre più spesso il preferito. Uno studio che custodisce i documenti di centinaia di clienti offre a un attaccante un ritorno migliore di una singola grande azienda: è esattamente quello che è successo nel Canton Vaud.
Fonti
Verizon, 2026 Data Breach Investigations Report (terze parti coinvolte nel 48% delle violazioni, 55% per le PMI) · Notifica di violazione di Ernst & Young depositata presso il procuratore generale della California, luglio 2026 · SecurityWeek, “Ernst & Young Data Breach Affects Personal, Financial Information”, luglio 2026 · BleepingComputer, “Ernst & Young data breach claimed by ShinyHunters extortion gang”, 27 luglio 2026 · Le Temps, “Le piratage d’une fiduciaire vaudoise expose sur le dark web 100 000 dossiers de clients”, luglio 2026 · 24 heures e 20 minutes, copertura del leak della fiduciaria vodese, luglio 2026 · inside-it.ch, “Cyberangriff legt Westschweizer Behördendaten offen”, 23 luglio 2026.
