In circa venti minuti sono usciti da Binance asset digitali per 6,36 miliardi di dollari. La cifra impressiona, ma il dettaglio utile per chi gestisce siti, automazioni e infrastrutture è un altro: secondo la prima ricostruzione dell’azienda, l’attacco sarebbe passato dal laptop compromesso di un ingegnere DevOps e dall’accesso a un service container. Non è la crittografia ad aver ceduto. È stato colpito il sistema che autorizzava le operazioni.
Binance: il comando vale più della chiave
Il 29 ottobre un attaccante ha svuotato hot wallet di Binance su più blockchain. Associated Press riporta la valutazione di TRM Labs: 6,36 miliardi di dollari trasferiti, in gran parte nell’arco di venti minuti, con attribuzione ad attori nordcoreani espressa con alta confidenza. Binance, però, non ha ancora confermato pubblicamente l’identità degli autori.
La ricostruzione tecnica di Elliptic, aggiornata il 30 ottobre, indica 6,43 miliardi di dollari sottratti e 2,84 miliardi congelati. L’analisi evidenzia autorizzazioni valide, accesso persistente e la possibilità di impartire comandi all’infrastruttura di firma. La lezione non riguarda soltanto le criptovalute: un account privilegiato, una sessione lunga o un endpoint amministrativo possono rendere secondarie password robuste e chiavi ben custodite.
GCHQ: se l’inventario non torna
Lo stesso problema appare in forma meno spettacolare nel rapporto annuale 2025 dell’Investigatory Powers Commissioner’s Office britannico. GCHQ non riusciva a rendere conto di migliaia di supporti rimovibili: chiavette USB, dischi esterni, CD e schede di memoria. Il watchdog non afferma che siano finiti a un avversario; contesta invece un sistema di tracciamento non abbastanza affidabile e tempi eccessivi per stabilire scala, posizione e recuperabilità dei dispositivi.
Per una PMI la proporzione cambia, non il principio. Un vecchio backup, un portatile fuori inventario o un account di un fornitore dimenticato sono asset ancora capaci di aprire una porta. Se non sai con precisione cosa esiste, dove si trova e chi lo controlla, non puoi revocare l’accesso né dimostrare che la revoca sia avvenuta.
Apple in Russia: conta anche la legge
Il terzo segnale arriva dalla governance. Il 2 ottobre il regolatore russo Roskomnadzor ha inserito Apple e Microsoft nel registro degli “organizzatori della diffusione di informazioni”. Secondo la ricostruzione di MacRumors basata su Bloomberg, la classificazione impone obblighi di conservazione delle comunicazioni e dei dati identificativi e la loro disponibilità alle agenzie di sicurezza russe; per alcuni metadati il periodo indicato è di tre anni.
Qui non c’è un exploit. C’è una giurisdizione che modifica il perimetro di accesso ai dati. Quando una piattaforma cambia regione, subprocessor o condizioni contrattuali, il diagramma della sicurezza cambia anche se il codice resta identico.
Il filo comune: governare il controllo
Questi tre casi hanno scale e contesti diversi, ma toccano lo stesso punto: il bersaglio più redditizio non è sempre il dato. È il piano di controllo del workflow che decide chi può leggerlo, spostarlo o cancellarlo. La mia conclusione tecnica è netta: MFA e backup sono necessari, ma non bastano se un singolo endpoint può mantenere privilegi permanenti, se l’inventario è incompleto o se il fornitore opera sotto obblighi che non hai valutato.
Checklist pratica per WordPress e PMI
- Separa gli account editoriali da quelli capaci di installare plugin, modificare DNS, leggere backup o eseguire deploy.
- Usa privilegi temporanei per hosting, Git, cloud e automazioni; limita e revoca token e chiavi API, Application Password e sessioni dei fornitori a fine lavoro.
- Mantieni un inventario unico di domini, siti WordPress, repository, backup, dispositivi, chiavi API e responsabili.
- Registra le azioni amministrative e prova una volta al trimestre revoca, ripristino e rotazione delle credenziali.
- Per AI e SaaS, annota regione dei dati, subprocessor, tempi di conservazione e procedura di esportazione o cancellazione.
La verifica da fare lunedì
Scegli il tuo sistema più critico e prova a rispondere a tre domande: quale dispositivo può amministrarlo, quali credenziali restano valide e in quale giurisdizione finiscono dati e log. Se una risposta richiede più di dieci minuti, il primo intervento non è comprare un altro tool di sicurezza. È ricostruire il controllo.