Un attacco rapido, una lezione duratura

Il 7 ottobre, un ransomware ha bloccato una regione di IDCF Cloud in meno di dieci minuti, impedendo l’accesso sia al portale clienti sia alla console di gestione. L’azione è stata condotta attraverso l’autenticazione del portale, che ha consentito al malware di ottenere privilegi di amministratore e di spostare la piattaforma di virtualizzazione su un “piano di controllo” compromesso. Questo episodio ha avuto ripercussioni immediate sulla pubblica amministrazione, che ha appena introdotto circa 13.000 enti nel cloud, e ha sollevato interrogativi critici sulla sicurezza dei servizi pubblici digitali.

L’unità di guasto: non solo data centre

Contrariamente a quanto si pensi, la vulnerabilità non risiedeva nel data centre fisico, ma nella logica di controllo delle operazioni di cloud. Quando un attaccante ottiene accesso alla console di gestione, può modificare configurazioni di sicurezza, eseguire comandi di rete e, in casi estremi, alterare i backup. In pratica, il “piano di controllo” diventa un punto di accesso unico che, se compromesso, può annientare l’intera infrastruttura.

Separazione dei domini amministrativi

La lezione più evidente è che le copie di backup e i processi di produzione devono essere gestiti su domini amministrativi distinti. Se il dominio di produzione è compromesso, i backup, se non separati, possono essere contaminati o cancellati. Implementare un modello di “Zero Trust” significa richiedere autenticazioni a più livelli, verificare l’identità e limitare i permessi solo a quelli strettamente necessari.

Impatto sulla pubblica amministrazione

Con l’adozione di cloud da parte di 13.000 amministrazioni, la dipendenza da pochi fornitori qualificati è un fattore di rischio. Quando un fornitore subisce un attacco, gli enti clienti si trovano a gestire interruzioni di servizio, perdita di dati e costi di ripristino. Secondo un rapporto del 2025, il 42% delle amministrazioni ha subito interruzioni di almeno un giorno a causa di problemi di sicurezza informatica.

Azioni immediate per le amministrazioni

    • Audit delle policy di accesso: verificare che i permessi siano limitati a ruoli specifici e che i privilegi di amministratore siano distribuiti tra più persone.
    • Backup su domini separati: assicurarsi che i backup siano archiviati in sistemi indipendenti dal piano di controllo della piattaforma.
    • Test di resilienza: condurre simulazioni di ransomware per valutare la rapidità di recupero e l’efficacia delle procedure di backup.
    • Formazione continua: educare gli operatori IT su tecniche di phishing e su come riconoscere comportamenti sospetti nel portale clienti.
    • Collaborazione con provider: negoziare accordi che prevedano un supporto 24/7 per la gestione di incidenti e la verifica della sicurezza.

Best practice per la sicurezza cloud

Le amministrazioni possono adottare standard internazionali come ISO/IEC 27001 o NIST SP 800-53 per strutturare una governance della sicurezza. Implementare sistemi di monitoraggio in tempo reale, come SIEM (Security Information and Event Management), permette di rilevare anomalie prima che diventino crisi. Infine, la cifratura dei dati in riposo e in transito è un requisito fondamentale per prevenire la diffusione di ransomware.

Il ruolo della normativa europea

Il GDPR impone obblighi rigorosi per la protezione dei dati personali, ma la direttiva NIS 2, adottata recentemente, estende queste regole anche ai provider di servizi digitali critici. Le amministrazioni devono quindi garantire la continuità operativa e la resilienza delle proprie infrastrutture, al fine di evitare sanzioni che possono superare i 10 milioni di euro.

Verso una cultura della sicurezza proattiva

L’attacco su IDCF Cloud dimostra che la sicurezza non può più essere una responsabilità isolata del fornitore. Deve essere una responsabilità condivisa tra provider, amministrazioni e utenti finali. Investire in soluzioni di sicurezza avanzate, come l’AI per il rilevamento di anomalie, e promuovere una cultura della sicurezza, ridurranno significativamente il rischio di futuri incidenti.

Conclusioni

In un contesto in cui le infrastrutture cloud sono diventate la spina dorsale dei servizi pubblici, la lezione di IDCF è chiara: la rapidità dell’attacco è alta, ma la risposta può essere lenta se la struttura di controllo è vulnerabile. Separare domini amministrativi, rafforzare le procedure di backup e adottare standard di sicurezza internazionali sono passi indispensabili per proteggere la pubblica amministrazione italiana dalle minacce emergenti.