Nikkei perde 1,83 milioni di record: il nuovo rischio degli accessi

🛡️ Executive Summary

• Nikkei conferma l’esposizione di 1,83 milioni di record dopo il furto di credenziali cloud: è il terzo incidente comunicato in circa un mese.
• Bullhorn interrompe la piattaforma di recruiting per contenere un attacco informatico. Il 20 ottobre conferma il ripristino dei servizi principali.
• Nel caso OpenAI, i procuratori statunitensi rivelano i contatti dell’ex ingegnere Abdulrahman Alfozan con un membro della famiglia reale saudita, senza dimostrare un’operazione di spionaggio statale.

Nikkei, Bullhorn e OpenAI si trovano al centro di tre vicende di sicurezza differenti che mostrano quanto il controllo degli accessi sia diventato decisivo per la protezione delle informazioni aziendali. Il gruppo editoriale giapponese ha confermato la fuoriuscita di 1,83 milioni di record attraverso un servizio cloud compromesso, Bullhorn ha dovuto sospendere l’accesso alla propria piattaforma di gestione del personale per contenere un cyberattacco e i procuratori federali americani hanno depositato nuovi documenti sull’ex ingegnere OpenAI accusato di avere installato un dispositivo di registrazione nascosto. Non esistono collegamenti operativi documentati tra i tre episodi, ma emerge una questione comune: la vulnerabilità delle organizzazioni quando un soggetto non autorizzato riesce a raggiungere informazioni o sistemi considerati affidabili.

Nikkei perde 1,83 milioni di record attraverso credenziali cloud rubate

Il gruppo giapponese Nikkei ha comunicato che un servizio cloud utilizzato per lo sviluppo dei propri sistemi è stato raggiunto da un accesso non autorizzato tra la notte e la mattina del 7 ottobre 2026, dopo che un aggressore aveva ottenuto credenziali di autenticazione valide. Secondo il comunicato ufficiale pubblicato da Nikkei il 16 ottobre, l’incidente ha provocato l’esposizione di circa 1,83 milioni di record, ma il dato complessivo richiede una distinzione importante: circa 150.000 record contenevano almeno un’informazione personale identificativa, come nome, indirizzo email, recapito fisico, numero telefonico o data di nascita, mentre 120.000 contenevano indirizzi email. I restanti 1,68 milioni erano costituiti esclusivamente da identificatori che, considerati singolarmente, non permettevano di individuare direttamente una persona. Non risultano coinvolti dati delle carte di credito. La società ha comunicato l’incidente alla Personal Information Protection Commission giapponese l’11 ottobre e ha revocato le credenziali compromesse, avviando ulteriori verifiche sull’estensione dell’accesso. Alla data del 16 ottobre non erano stati individuati utilizzi impropri dei dati, interruzioni dei sistemi o alterazioni delle informazioni conservate, mentre Nikkei ha annunciato notifiche individuali ai soggetti interessati. La violazione è documentata, ma la presenza di 1,83 milioni di record non equivale a quella di altrettante persone identificate o a un furto di 1,83 milioni di identità complete.

Leggi anche: ASOS e Nikkei violati: quando i canali ufficiali diventano phishing

Tre incidenti Nikkei in un mese mostrano il problema delle identità aziendali

La nuova compromissione assume maggiore rilevanza perché rappresenta il terzo incidente di sicurezza comunicato da Nikkei in circa un mese, dopo due episodi che avevano già coinvolto servizi cloud e account aziendali. Nel primo caso, relativo a un accesso avvenuto alla fine di luglio ma comunicato successivamente, un account Google Workspace appartenente a un dipendente era stato utilizzato senza autorizzazione, esponendo potenzialmente informazioni riferite a 1.646 dipendenti e partner commerciali. Il secondo episodio aveva interessato Microsoft 365 e consentito agli aggressori di inviare circa 9.000 email di phishing attraverso una casella autentica della società. Il nuovo incidente differisce perché riguarda un servizio destinato allo sviluppo software e produce un’esposizione documentata di dati conservati nel cloud. Non esistono elementi pubblici sufficienti per attribuire i tre episodi agli stessi responsabili o considerarli parte di una singola campagna. La successione degli eventi evidenzia tuttavia la necessità di controllare credenziali, token, sessioni e privilegi sulle piattaforme esterne, una dinamica osservata anche nella compromissione di ASOS e nell’esfiltrazione dei dati Advantest. Il problema non è soltanto impedire l’accesso iniziale, ma conoscere esattamente quali risorse può raggiungere ogni identità compromessa.

Bullhorn spegne la piattaforma cloud dopo un cyberattacco e ripristina i servizi

La società americana Bullhorn, specializzata in software cloud per agenzie di selezione e gestione del personale, ha affrontato un incidente con conseguenze operative differenti. Dopo le prime anomalie registrate il 16 ottobre, il giorno successivo la piattaforma ha manifestato un’interruzione generalizzata che ha interessato accesso ai sistemi, gestione dei candidati, CRM e altri servizi collegati. Nella pagina ufficiale dedicata all’incidente, Bullhorn ha confermato il rilevamento di un cyberattacco e la decisione di disattivare temporaneamente l’accesso per contenere l’attività ostile, coinvolgendo specialisti CrowdStrike nelle operazioni di analisi e ripristino. Il 20 ottobre, la società ha annunciato che tutte le regioni ATS/CRM erano nuovamente online e che Bullhorn Talent Platform aveva ripreso il servizio, pur mantenendo il monitoraggio e segnalando problemi residui relativi ad autenticazione SSO, personalizzazioni e procedure di reimpostazione delle password. L’azienda ha inoltre avvertito i clienti del rischio di successive campagne di social engineering condotte da soggetti intenzionati a impersonare il supporto Bullhorn. L’eventuale esfiltrazione dei dati dei clienti non risultava ancora accertata nelle informazioni pubbliche disponibili, motivo per cui l’incidente non può essere presentato come un data breach confermato. La vicenda richiama il problema delle integrazioni SaaS emerso nella compromissione dell’applicazione Klue, utilizzata per raggiungere dati Salesforce attraverso token OAuth, pur senza elementi che dimostrino l’impiego della stessa tecnica contro Bullhorn. La sospensione dei servizi dimostra soprattutto quanto un attacco a una piattaforma centralizzata possa compromettere simultaneamente attività di recruiting, onboarding e amministrazione del personale di numerose organizzazioni.

OpenAI, il documento giudiziario rivela i rapporti dell’ingegnere con la famiglia reale saudita

Il terzo sviluppo riguarda il procedimento federale contro Abdulrahman Alfozan, ex ingegnere OpenAI arrestato il 9 ottobre con l’accusa di avere installato un dispositivo destinato a registrare clandestinamente conversazioni all’interno di una sala conferenze riservata della società. La memoria depositata dai procuratori statunitensi il 18 ottobre presso il Northern District of California aggiunge elementi rispetto alla ricostruzione iniziale dell’arresto e della scoperta della microspia negli uffici OpenAI. Secondo i procuratori, Alfozan avrebbe intrattenuto frequenti comunicazioni WhatsApp con un membro della famiglia reale saudita nel 2025 e nel 2026, ricevendo inviti a partecipare a iniziative nazionali dedicate all’intelligenza artificiale. Nel maggio 2026, l’interlocutore gli avrebbe scritto che l’Arabia Saudita aveva bisogno di lui più degli Stati Uniti, ottenendo una risposta affermativa. Gli investigatori sostengono inoltre che l’ingegnere avrebbe utilizzato uno strumento di produttività OpenAI per cercare informazioni su incontri con rappresentanti del Ministero saudita delle Comunicazioni e dell’Information Technology, su possibili visite istituzionali e su riunioni riguardanti HUMAIN e MCIT. La documentazione contiene ulteriori riferimenti alle ricerche effettuate per costruire dispositivi di registrazione cifrati e alle fotografie di possibili punti di installazione negli uffici. Si tratta di elementi presentati dall’accusa in una richiesta di custodia cautelare, non di fatti definitivamente accertati da una sentenza.

Il sostegno logistico saudita entra nella valutazione del rischio di fuga

La memoria giudiziaria introduce anche un elemento relativo ai rapporti tra la famiglia dell’indagato e le autorità saudite. I procuratori affermano che, dopo l’arresto, la moglie e il figlio di Alfozan abbiano lasciato gli Stati Uniti utilizzando biglietti aerei acquistati da un membro delle forze armate saudite, mentre un precedente itinerario sarebbe stato pagato dal governo di Riyadh. La famiglia aveva inizialmente programmato un viaggio di sola andata per il 12 ottobre, ma la partenza dei familiari sarebbe stata anticipata al 10 ottobre, circa 36 ore dopo l’arresto dell’ingegnere. Secondo l’accusa, i legami familiari, le disponibilità finanziarie, i rapporti professionali in Arabia Saudita e l’assenza di un trattato bilaterale di estradizione costituiscono elementi da considerare per valutare il rischio di fuga. I procuratori hanno quindi chiesto il mantenimento della detenzione in attesa del processo. Il documento non dimostra che il governo saudita abbia ordinato l’installazione dei registratori, né prova che informazioni riservate siano state effettivamente consegnate a soggetti stranieri. Il capo d’accusa formalmente indicato riguarda l’intercettazione illecita, o il tentativo di intercettazione, di comunicazioni orali ai sensi del 18 U.S.C. § 2511(1)(b), con una pena massima prevista di cinque anni. L’eventuale movente economico, personale o riconducibile a interessi governativi rimane oggetto di indagine, mentre Alfozan deve essere considerato innocente fino a un’eventuale condanna.

Continua con:

ShinyHunters all’attacco di Salesforce: come gli hacker rubano i dati CRM sfruttando OAuth e finte chiamate IT

ShinyHunters colpisce ReliaQuest, ma device trust blocca il furto dei dati

Tre crisi differenti mostrano i limiti della sicurezza fondata sul solo accesso autorizzato

Nikkei, Bullhorn e OpenAI descrivono tre condizioni operative che devono rimanere distinte. Nel primo caso credenziali sottratte hanno consentito un accesso non autorizzato a informazioni conservate nel cloud, nel secondo un attacco informatico ha imposto la sospensione preventiva di servizi essenziali, mentre nel terzo un dipendente avrebbe sfruttato la propria presenza fisica e la conoscenza dell’organizzazione per predisporre strumenti di registrazione clandestina. La convergenza riguarda la gestione della fiducia: il possesso di credenziali valide, l’accesso a una piattaforma aziendale o la legittima presenza negli uffici non garantiscono che tutte le attività compiute siano autorizzate. Per le imprese italiane, soprattutto quando utilizzano servizi SaaS internazionali per gestire personale, clienti e informazioni sensibili, la conseguenza è concreta: occorrono controlli sugli accessi privilegiati, verifica continua delle sessioni, segmentazione dei dati, protezione degli ambienti di sviluppo e procedure di continuità operativa. Nel caso delle organizzazioni che custodiscono ricerca industriale o informazioni strategiche, questi controlli devono estendersi anche agli spazi fisici e agli strumenti collaborativi. I tre episodi non costituiscono una campagna coordinata, ma mostrano che la sicurezza non può limitarsi a distinguere chi possiede un account da chi ne è privo. Il vero obiettivo è impedire che un accesso considerato legittimo diventi il mezzo attraverso il quale vengono sottratti dati, interrotti servizi o raggiunte informazioni riservate.