Apple, Fairlife ed EY affrontano furti di crypto e dati aziendali

🛡️ Executive Summary

• Tre utenti accusano Apple di non aver fermato una falsa app Sparrow Wallet che avrebbe sottratto complessivamente 1,8 milioni di dollari in Bitcoin.
• Coca-Cola conferma che il ransomware Anubis ha rubato dati e interrotto temporaneamente la produzione della controllata Fairlife.
• ShinyHunters rivendica il breach di Ernst & Young e sostiene di aver ottenuto credenziali attraverso un attacco alla supply chain.

Apple, Coca-Cola ed Ernst & Young affrontano tre incidenti differenti accomunati dal ruolo della fiducia digitale. Una falsa applicazione pubblicata sull’App Store avrebbe convinto tre utenti a consegnare le seed phrase dei propri wallet, causando la perdita di circa 1,8 milioni di dollari in Bitcoin. Coca-Cola ha intanto confermato il furto di dati durante l’attacco ransomware che ha interrotto parte della produzione di Fairlife, mentre ShinyHunters ha rivendicato la violazione di un sistema di assistenza utilizzato dal personale IT di EY. I casi coinvolgono rispettivamente il controllo delle applicazioni, la continuità industriale e la sicurezza dei fornitori.

Una falsa Sparrow Wallet sottrae 1,8 milioni di dollari

Tre persone hanno avviato una causa contro Apple sostenendo di aver perso complessivamente circa 1,8 milioni di dollari dopo aver installato dall’App Store una falsa versione di Sparrow Wallet. L’applicazione imitava il wallet Bitcoin legittimo e chiedeva agli utenti di inserire la propria seed phrase, la sequenza segreta che consente di ricostruire il portafoglio e controllarne interamente i fondi. Una volta ottenute le parole di recupero, i truffatori avrebbero trasferito i Bitcoin verso indirizzi sotto il proprio controllo. La causa, depositata il 24 luglio 2026 in California, sostiene che Apple non abbia verificato e monitorato adeguatamente il software distribuito attraverso il proprio marketplace, nonostante presenti l’App Store come un ambiente affidabile e sottoposto a revisione. Il vero Sparrow Wallet è disponibile esclusivamente come applicazione desktop per Windows, macOS e Linux e non offre una versione ufficiale per iPhone. La presenza di un’app iOS con lo stesso nome avrebbe dovuto quindi rappresentare un segnale rilevante durante il processo di revisione.

Apple era stata avvertita delle applicazioni contraffatte

Secondo i ricorrenti, Jalen Delgado installò la falsa applicazione il 1° maggio 2025 e perse 1,05033242 BTC, allora valutati circa 120.000 dollari. James Ramirez avrebbe scaricato l’app il 25 luglio dello stesso anno, perdendo 7,4 BTC per un valore vicino a 875.000 dollari, mentre Christopher Ellis avrebbe subito pochi giorni dopo un furto da circa 840.000 dollari. La denuncia sostiene che Ramirez segnalò immediatamente l’applicazione e la sottrazione ad Apple, ma che un altro utente riuscì comunque a installarla successivamente. Il documento afferma inoltre che l’App Store avrebbe collocato il software contraffatto nelle raccolte dedicate alle applicazioni crypto, aumentando la sua visibilità e conferendogli implicitamente credibilità. Lo sviluppatore del vero Sparrow Wallet, Craig Raw, aveva avvertito già nel gennaio 2024 della presenza di app fraudolente rimaste disponibili nonostante le segnalazioni. Apple dichiara di aver rimosso rapidamente le applicazioni individuate e chiuso gli account degli sviluppatori coinvolti, ma la causa chiede risarcimenti, restituzione delle somme e procedure più trasparenti per identificare le imitazioni. Il caso conferma il rischio delle app crypto contraffatte capaci di superare i controlli dei marketplace: la pubblicazione su uno store ufficiale non sostituisce la verifica del produttore, del sito autentico e delle piattaforme realmente supportate.

Fairlife conferma il furto dei dati durante il ransomware

Coca-Cola ha confermato che soggetti non autorizzati hanno sottratto dati da una parte dei sistemi di Fairlife, controllata statunitense specializzata in latte ultrafiltrato, bevande proteiche e prodotti nutrizionali. L’incidente era stato comunicato alla Securities and Exchange Commission il 16 luglio, quando l’azienda aveva riferito che un ransomware aveva interrotto temporaneamente alcune attività produttive. La nuova dichiarazione chiarisce che l’operazione non si è limitata alla cifratura o al blocco dei sistemi, ma ha incluso l’accesso e l’acquisizione di informazioni aziendali. La maggior parte della produzione negli Stati Uniti è stata ripristinata e Coca-Cola sostiene che le scorte esistenti abbiano contenuto le carenze temporanee, senza conseguenze sulla qualità o sulla sicurezza dei prodotti. L’attacco mostra però come un incidente informatico in una controllata possa propagarsi dalla rete IT alla continuità della produzione fisica, trasformando il ransomware in un problema industriale e logistico.

Anubis pubblica i file dopo il mancato negoziato

Il gruppo Anubis aveva rivendicato l’attacco pochi giorni dopo la prima comunicazione di Coca-Cola, sostenendo di aver sottratto circa un terabyte di file e cifrato i sistemi Nutanix di Fairlife. La società ha riferito di aver coinvolto le autorità e di non aver seguito le istruzioni degli aggressori per avviare una negoziazione. Alla scadenza dell’ultimatum, il materiale indicato dal gruppo è stato reso disponibile sul relativo sito di estorsione. Coca-Cola non ha precisato quali categorie di dati siano state sottratte, quante persone o aziende risultino coinvolte e se l’archivio pubblicato corrisponda integralmente alle affermazioni criminali. L’episodio aggiorna il quadro già emerso con l’attacco di Anubis contro Fairlife e le sue conseguenze sulla produzione, confermando ora ufficialmente la componente di data theft. Nella dichiarazione sul ransomware Fairlife e sul furto dei dati, l’azienda distingue la sospensione temporanea delle attività dal rischio per i prodotti, ma non quantifica ancora l’esposizione informativa.

ShinyHunters rivendica la violazione di Ernst & Young

ShinyHunters ha inserito Ernst & Young nel proprio sito di estorsione, rivendicando il data breach che la società di consulenza aveva comunicato all’inizio di luglio. EY utilizza una piattaforma ITSM di terze parti per gestire le richieste di assistenza del personale impegnato nelle attività fiscali per i clienti. I ticket possono contenere documenti con informazioni personali, finanziarie e dati utilizzati nella preparazione delle dichiarazioni fiscali. La società ha rilevato attività anomala il 23 aprile 2026 e ha stabilito che l’attaccante aveva avuto accesso alla piattaforma tra il 28 marzo e il 12 aprile, scaricando più documenti. EY non ha indicato il nome del servizio compromesso, il numero delle persone coinvolte o l’elenco completo delle informazioni esposte. Ha però dichiarato di aver eliminato l’accesso non autorizzato, protetto i sistemi e informato le autorità federali, offrendo ai clienti interessati 24 mesi di monitoraggio dell’identità e servizi di ripristino tramite Experian.

La rivendicazione sulla supply chain resta da verificare

ShinyHunters sostiene di aver ottenuto credenziali utilizzabili contro EY attraverso un attacco alla supply chain, compromettendo un soggetto terzo non identificato. Secondo il gruppo, gli accessi sottratti avrebbero consentito di raggiungere ambienti Jira, GitHub e Microsoft Azure della società. Queste affermazioni non sono state confermate da EY e non risultano verificabili in modo indipendente. L’unico elemento accertato resta la compromissione della piattaforma esterna di supporto e il download dei documenti contenuti nei ticket. Il gruppo ha minacciato di pubblicare il materiale se EY non avesse avviato un contatto entro il 31 luglio 2026, usando il breach confermato come base per una pressione economica più ampia. Il caso sviluppa quanto già ricostruito su EY, Abbott e Coca-Cola coinvolte in data breach ed estorsioni, aggiungendo ora una rivendicazione esplicita e una possibile origine supply chain ancora non provata. La ricostruzione della rivendicazione di ShinyHunters contro Ernst & Young mantiene separati i fatti comunicati dalla società dalle dichiarazioni degli estorsori, distinzione indispensabile finché non emergono conferme tecniche.

La fiducia trasferisce il rischio tra piattaforme e fornitori

I tre episodi mostrano modalità differenti con cui la fiducia può diventare un vettore di compromissione. Gli utenti hanno affidato la propria seed phrase a un’app perché disponibile nell’App Store; Fairlife ha subito un’interruzione produttiva e un furto di dati attraverso sistemi aziendali che sostenevano le operazioni industriali; EY ha esposto documenti fiscali attraverso una piattaforma di assistenza gestita da un fornitore esterno. In nessun caso il rischio resta confinato al componente direttamente violato. Un marketplace trasferisce reputazione alle applicazioni pubblicate, una controllata trasferisce il proprio rischio operativo alla capogruppo e un servizio ITSM eredita informazioni sensibili dai processi dei clienti. La sicurezza richiede quindi controlli continui dopo l’ingresso iniziale: revisione delle app già approvate, segmentazione delle reti produttive, limitazione dei documenti inseriti nei ticket, credenziali con privilegi minimi e monitoraggio degli accessi dei fornitori. La fiducia non può essere concessa una volta sola e considerata permanente, perché proprio gli ambienti ritenuti affidabili offrono agli aggressori il percorso più credibile verso denaro, dati e sistemi critici.