A volte, per compromettere un sistema informatico, basta convincere qualcuno a concedere un accesso.
È uno degli aspetti più interessanti dell’attacco informatico che ha coinvolto ASOS nei primi giorni di ottobre 2026.
Un soggetto non autorizzato è riuscito a ottenere le credenziali di un dipendente fingendosi un contatto fidato. Quelle credenziali sono state poi utilizzate per accedere ad alcune piattaforme esterne utilizzate dall’azienda.
Il risultato? Informazioni dei clienti consultate senza autorizzazione e una notifica non autorizzata arrivata direttamente attraverso l’app del marchio.
Un caso che riporta l’attenzione su due temi strettamente collegati: phishing e social engineering.
Ma soprattutto su una domanda che riguarda anche le piccole e medie imprese:
Sappiamo davvero a quali sistemi può accedere ogni account aziendale e cosa potrebbe succedere se venisse compromesso?
Attacco hacker ASOS: cosa è successo il 6 ottobre 2026
Il 6 ottobre alcuni clienti ASOS hanno ricevuto una notifica push inattesa attraverso l’app ufficiale dell’azienda.
Il messaggio annunciava una presunta compromissione informatica e conteneva un riferimento a un canale Telegram.
L’episodio ha portato ASOS ad avviare un’indagine e a limitare immediatamente gli accessi alle piattaforme coinvolte.
Nei giorni successivi, l’azienda ha fornito ulteriori informazioni.
Secondo quanto comunicato ufficialmente, un soggetto non autorizzato si era finto un contatto fidato per ottenere le credenziali di accesso di un dipendente.
Utilizzando quelle credenziali, aveva raggiunto informazioni conservate su alcune piattaforme di terze parti.
ASOS ha confermato l’accesso ad alcuni dati personali, tra cui nomi e recapiti, e ad alcune informazioni non personali relative agli account.
Ha inoltre dichiarato che, sulla base delle verifiche effettuate, non risultavano compromessi dati delle carte di pagamento o password degli account dei clienti.
Il sito e l’app, secondo l’azienda, sono rimasti sicuri da utilizzare.
L’indagine completa prosegue, la ricostruzione è disponibile nella comunicazione ufficiale di ASOS sull’incidente informatico
Social engineering: quando l’attacco comincia da una relazione di fiducia
Il caso ASOS mostra perché oggi non basta pensare alla cybersecurity come alla protezione di computer e server.
Il social engineering è una tecnica di manipolazione che sfrutta il comportamento umano per ottenere informazioni, accessi o azioni che normalmente non verrebbero autorizzati.
L’attaccante può presentarsi come un collega, un fornitore, un tecnico dell’assistenza o un contatto conosciuto, può utilizzare email, telefonate, messaggi o altri canali di comunicazione.
L’obiettivo è costruire una situazione sufficientemente credibile da convincere qualcuno a compiere un’azione.
Nel caso ASOS, l’elemento confermato è proprio l’impersonificazione di un contatto fidato.
Non è stato invece reso noto, nella comunicazione ufficiale consultata, quale specifico canale sia stato utilizzato per ottenere le credenziali.
Per questo è corretto parlare di attacco di social engineering, senza affermare che sia stata necessariamente utilizzata un’email di phishing.
Il phishing rappresenta una delle forme più conosciute di social engineering, ma il problema è più ampio, e riguarda tutti.
Phishing aziendale: il rischio non finisce quando vengono rubate le credenziali
Quando si parla di attacco phishing, spesso ci si concentra sul momento iniziale; è molto importante formarsi soprattutto su cosa succede dopo – ne abbiamo parlato qui.
Il caso ASOS ci permette di osservare un altro aspetto del problema: una credenziale sottratta può diventare la chiave per raggiungere servizi che l’azienda utilizza ogni giorno.
Non necessariamente un server interno, potrebbe trattarsi di una piattaforma cloud, un sistema di gestione dei clienti, uno strumento di comunicazione o un’applicazione collegata ai processi aziendali.
L’attaccante, in quel momento, sta utilizzando credenziali appartenenti a un account legittimo.
Naturalmente, ciò che può fare dipende dalle autorizzazioni effettive di quell’account e dagli ulteriori controlli di sicurezza presenti.
Più accessi possiede un account, maggiore può essere l’impatto della sua compromissione.
Per una PMI significa iniziare a considerare gli account aziendali non soltanto come strumenti di lavoro, ma come elementi centrali della propria sicurezza informatica.
Quando anche le comunicazioni ufficiali possono essere coinvolte
C’è un secondo aspetto che rende il caso ASOS particolarmente interessante.
La notifica non autorizzata è arrivata attraverso un canale utilizzato dall’azienda per comunicare con i clienti.
Questo significa però che l’affidabilità apparente del canale non garantisce, da sola, la legittimità di ogni richiesta ricevuta.
Ora pensiamo a una PMI.
Un cliente riceve una comunicazione che sembra provenire dal proprio fornitore abituale: il messaggio fa riferimento a una pratica, un pagamento, un documento o un’attività realmente esistente.
Potrebbe risultare molto più credibile di una generica email “fraudolenta”: è proprio qui che il phishing può diventare particolarmente insidioso.
Se un attaccante dispone di nomi, recapiti e informazioni di contesto, potrebbe utilizzarli per costruire tentativi di phishing più mirati.
Chiaramente, non stiamo dicendo che questo sia già avvenuto ai clienti ASOS nello specifico ma parliamo di un rischio successivo alla sottrazione di dati, tanto che la stessa azienda ha invitato i clienti a prestare attenzione a comunicazioni e chiamate inattese.
Il furto di informazioni non è sempre la conclusione di un attacco. Può diventare il punto di partenza di altri tentativi di frode.
Sicurezza informatica aziendale: chi controlla gli accessi alle piattaforme esterne?
Molte PMI utilizzano quotidianamente diversi servizi digitali e con il tempo vengono creati nuovi account, assegnate autorizzazioni e attivate integrazioni.
Il problema nasce quando non esiste più una visione chiara di chi può accedere a cosa.
Un dipendente cambia ruolo, ma conserva le autorizzazioni precedenti.
Un collaboratore termina il proprio incarico, ma alcuni accessi rimangono attivi.
Una piattaforma viene introdotta per una necessità specifica e continua a essere utilizzata senza una revisione periodica delle autorizzazioni.
Queste situazioni rappresentano però aspetti che un’azienda dovrebbe conoscere e governare.
Il caso ASOS suggerisce una domanda molto concreta: se domani venisse compromesso un account della nostra azienda, quali altre piattaforme potrebbe raggiungere?
È una domanda che vale la pena porsi prima di un incidente.
Come ridurre il rischio di phishing e furto di credenziali nelle PMI
Non esiste uno strumento capace di eliminare completamente il rischio di social engineering.
Per una PMI, partiremmo da cinque verifiche.
1. Controllare gli accessi aziendali
Ogni account dovrebbe disporre delle autorizzazioni necessarie per svolgere il proprio lavoro, evitando privilegi non indispensabili.
Le autorizzazioni dovrebbero essere riviste quando cambiano mansioni, responsabilità o rapporti di collaborazione.
2. Proteggere gli account con autenticazione multifattore
Una password sottratta non dovrebbe essere sufficiente, da sola, per accedere ai sistemi più importanti.
L’autenticazione multifattore aggiunge un ulteriore livello di verifica.
Quando possibile, è opportuno privilegiare metodi resistenti al phishing, come quelli basati su FIDO2/WebAuthn.
Non tutte le forme di MFA offrono infatti la stessa protezione. CISA
3. Verificare gli accessi alle piattaforme di terze parti
Le applicazioni esterne fanno parte dell’infrastruttura digitale aziendale.
È utile sapere quali piattaforme vengono utilizzate, chi le amministra, quali dati trattano e quali autorizzazioni possiedono gli utenti.
4. Formare le persone sulle richieste anomale
La formazione anti-phishing non dovrebbe limitarsi a insegnare come riconoscere email scritte male o indirizzi sospetti.
Dovrebbe aiutare le persone a riconoscere richieste incoerenti, verificare l’identità di chi le formula attraverso canali già conosciuti e segnalare rapidamente i dubbi.
Anche quando il presunto interlocutore sembra affidabile.
5. Sapere come intervenire quando un account è compromesso
Chi deve essere avvisato?
Chi può bloccare un accesso?
Come si verificano le sessioni attive?
Le indicazioni della CISA sulla protezione degli account aziendali sottolineano proprio l’importanza di autenticazione forte, formazione e controlli sugli accessi.
Formazione anti-phishing e protezione IT devono lavorare insieme
In Lariocopy consideriamo la sicurezza informatica come un insieme di elementi collegati.
Firewall, protezione della rete, gestione degli account, backup, servizi cloud e formazione delle persone hanno ruoli differenti.
Nessuno, da solo, può garantire che un’azienda sia protetta da qualsiasi attacco.
Il caso ASOS mostra anche perché è importante non trasformare ogni incidente in una semplice discussione sull’errore umano: le persone possono essere ingannate.
Il compito di una buona organizzazione IT è anche ridurre le conseguenze di un eventuale errore, attraverso autorizzazioni adeguate, controlli sugli accessi, strumenti di protezione e procedure di risposta.
Per questo, quando analizziamo la sicurezza di un’azienda, non ci interessa soltanto sapere quali prodotti utilizza. Ci interessa capire come vengono gestiti gli accessi, chi ha responsabilità sui sistemi e cosa succede quando emerge un’anomalia.
È il passaggio da una sicurezza costruita intorno ai singoli strumenti a una sicurezza che considera l’intera infrastruttura.
Il caso ASOS riguarda anche le piccole e medie imprese
ASOS è una realtà internazionale, certo, ma il meccanismo alla base dell’incidente può riguardare organizzazioni di dimensioni molto diverse.
Una PMI può avere meno utenti e meno piattaforme, ma anche meno persone dedicate alla gestione della sicurezza.
Spesso lo stesso account viene utilizzato per attività importanti e diversi servizi sono collegati tra loro.
Per questo, occorre chiedersi: quanto controllo abbiamo oggi sugli accessi che permettono alla nostra azienda di lavorare?
Il phishing e il social engineering continueranno a sfruttare la fiducia, le abitudini e le comunicazioni quotidiane.
Non possiamo eliminare completamente questi fattori, possiamo però costruire sistemi e procedure che rendano più difficile trasformare una credenziale sottratta in un problema per l’intera organizzazione.
La sicurezza comincia anche da ciò che un account può fare
Per le PMI di Como e Lombardia, Lariocopy supporta l’analisi e la gestione della sicurezza informatica aziendale, integrando protezione della rete, firewall, Microsoft 365, servizi cloud, backup e assistenza IT.
Vuoi capire quanto sono protetti gli accessi e le piattaforme utilizzate dalla tua azienda?
Contattaci per valutare insieme la tua infrastruttura IT e individuare gli aspetti su cui intervenire.
Post recenti
Cloud aziendale: cosa conviene davvero portare nel cloud in una PMI?
“Portiamo tutto nel cloud.” È una frase che si sente spesso quando un'azienda decide di rinnovare la propria infrastruttura informatica. Ma portare tutto nel cloud non è, di per sé, una strategia IT. Il cloud può rendere più semplice l'accesso alle informazioni,...
Reception ufficio: come progettare un’area che funziona
Reception ufficio: come progettare un'area accoglienza che funziona davvero Una reception ufficio deve fare innanzitutto una buona impressione, certo. Deve però anche funzionare per chi ci lavora otto ore al giorno, per chi arriva in azienda per la prima volta e per...
Voucher Cloud e Cybersecurity 2026: cosa sapere prima di investire
Cloud, backup, firewall, sicurezza della rete, protezione dei dati. Per molte PMI sono investimenti già presenti nella lista delle cose da migliorare. Il problema è che, tra priorità quotidiane, budget e attività operative, alcuni progetti finiscono per essere...