Breach dati colpiscono Ministero Finanze Olanda, HackerOne e Infinite Campus

Nemmeno chi vive di sicurezza è al sicuro. In un marzo 2026 che non concede tregua alla privacy, la vulnerabilità delle catene di fornitura è tornata a colpire con precisione chirurgica. Mentre il Ministero delle Finanze olandese cerca di capire quanto sia profondo l’accesso non autorizzato ai suoi dipartimenti politici, HackerOne si trova nell’imbarazzante posizione di dover offrire protezione identità ai propri dipendenti dopo un furto di dati avvenuto tramite un partner esterno. Come se non bastasse, il famigerato gruppo ShinyHunters ha lanciato un ultimatum a Infinite Campus, dimostrando che basta un solo account Salesforce compromesso per mettere in allarme migliaia di istituti scolastici. I “fabbri” del digitale hanno trovato le loro serrature forzate. E il tempo per negoziare sta per scadere.

Accesso non autorizzato ai sistemi del Ministero delle Finanze olandese

Il Ministero delle Finanze dei Paesi Bassi ha rilevato un accesso non autorizzato il 19 marzo 2025, che ha interessato sistemi legati ai processi del dipartimento policy. L’attacco ha coinvolto un numero non specificato di dipendenti, ma al momento non esiste conferma di esfiltrazione di dati sensibili. Le autorità hanno reagito rapidamente isolando i sistemi compromessi e avviando un’indagine interna approfondita. I servizi critici, inclusi quelli fiscali, import-export e sussidi, non hanno subito interruzioni, garantendo continuità operativa per cittadini e imprese. L’incidente evidenzia come anche infrastrutture governative avanzate restino esposte a compromissioni mirate, soprattutto quando coinvolgono sistemi interni meno visibili ma strategici.

HackerOne colpita tramite fornitore Navia e vulnerabilità BOLA

HackerOne ha confermato una violazione che ha interessato 287 dipendenti attraverso un attacco al fornitore Navia, amministratore di benefit. L’attacco ha sfruttato una vulnerabilità di tipo Broken Object Level Authorization (BOLA), consentendo accessi non autorizzati tra il 22 dicembre 2025 e il 15 gennaio 2026. I dati esposti includono informazioni altamente sensibili: numeri di previdenza sociale, nomi, indirizzi, email, numeri di telefono, date di nascita e dettagli relativi ai benefit aziendali. Questo tipo di dataset rappresenta un rischio elevato per furti di identità e frodi mirate. HackerOne ha notificato gli interessati e offre servizi di monitoraggio del credito e protezione dell’identità per 12 mesi. L’incidente dimostra come anche aziende specializzate in sicurezza possano essere colpite indirettamente tramite fornitori terzi.

Infinite Campus compromessa tramite account Salesforce e ShinyHunters

Infinite Campus ha confermato un accesso non autorizzato a un account Salesforce dopo la rivendicazione del gruppo ShinyHunters. L’attacco ha esposto dati relativi al personale scolastico, principalmente informazioni di contatto già in parte pubbliche. Non risultano compromessi dati di studenti o database core dei clienti, limitando l’impatto dell’incidente. Tuttavia, la compromissione di un account con accesso a sistemi enterprise evidenzia la fragilità delle identità digitali. L’azienda ha disattivato temporaneamente alcuni servizi non protetti da restrizioni IP e ha avviato un’analisi completa dei dati potenzialmente esposti. Ha inoltre comunicato direttamente con i distretti scolastici per fornire indicazioni operative.

Fornitori terzi e account di servizio al centro delle violazioni

I tre incidenti condividono un elemento chiave: l’attacco non avviene direttamente sui sistemi principali, ma sfrutta punti di accesso indiretti. Nel caso HackerOne, il vettore è un fornitore esterno. In Infinite Campus, un account di servizio su Salesforce. Nel Ministero olandese, sistemi interni meno protetti. Questo pattern riflette una tendenza consolidata nel cybercrime moderno: colpire l’anello più debole della catena, spesso rappresentato da integrazioni esterne o account con privilegi elevati. Le vulnerabilità come BOLA dimostrano inoltre che problemi logici nelle applicazioni possono essere tanto pericolosi quanto exploit tecnici tradizionali.

Le organizzazioni rafforzano difese e comunicazione verso gli utenti

Le tre entità hanno adottato strategie di risposta rapide e coordinate. Il Ministero olandese ha isolato i sistemi e garantito la continuità dei servizi. HackerOne ha attivato misure di protezione per i dipendenti colpiti. Infinite Campus ha limitato l’esposizione e avviato comunicazioni dirette con i clienti. Questo approccio evidenzia una crescente maturità nella gestione degli incidenti, con focus su trasparenza, contenimento e supporto agli utenti. Le aziende raccomandano pratiche fondamentali come il monitoraggio dei conti, l’attenzione a comunicazioni sospette e l’aggiornamento delle credenziali, elementi essenziali per ridurre l’impatto di eventuali abusi successivi.

Identity security e supply chain diventano priorità strategiche

Questi incidenti confermano che la sicurezza non può più essere limitata al perimetro aziendale. La gestione delle identità digitali, il controllo degli accessi e la sicurezza della supply chain diventano elementi centrali nella difesa delle organizzazioni. L’adozione del principio del least privilege, l’uso di autenticazione forte e il monitoraggio continuo degli accessi a piattaforme come Salesforce rappresentano misure indispensabili. Allo stesso tempo, la verifica dei fornitori e delle integrazioni esterne deve diventare parte integrante delle strategie di sicurezza. Il panorama delle minacce evolve verso modelli sempre più indiretti e sofisticati. Le organizzazioni devono adattarsi rapidamente per proteggere dati e utenti in un ecosistema digitale sempre più interconnesso.