Chainstack violata, mSecure lancia l’allarme password: Sageworks offline dopo attività sospette

📌 In Sintesi

• Chainstack conferma una violazione: un attaccante raggiunge l’ambiente di produzione attraverso un componente di terze parti, accedendo a un database con informazioni sui clienti e hash delle password.
• Sageworks sospesa per attività sospette: Abrigo interrompe precauzionalmente la piattaforma il 30 ottobre e ripristina gran parte dei servizi il 2 novembre. Non è confermata una sottrazione di dati.
• mSecure avverte gli utenti: un messaggio inviato a nome di mSeven Software invita a valutare cambi di password, ripristino della 2FA e rimozione delle passkey, senza chiarire quali informazioni siano state compromesse.

Tre incidenti informatici coinvolgono infrastrutture finanziarie, servizi blockchain e strumenti di gestione delle password, mostrando differenti livelli di compromissione e trasparenza verso gli utenti. Chainstack conferma un accesso non autorizzato ai sistemi di produzione e a un database contenente informazioni sugli account, mentre Abrigo sospende precauzionalmente la piattaforma bancaria Sageworks dopo aver individuato attività anomale. Il caso più incerto riguarda mSecure, il password manager sviluppato da mSeven Software, i cui clienti ricevono un avviso che suggerisce di proteggere credenziali e metodi di autenticazione senza specificare il perimetro dell’incidente. Le tre vicende, emerse tra il 30 ottobre e il 3 novembre 2026, non risultano collegate fra loro. Evidenziano però una stessa criticità: quando vengono coinvolti servizi che custodiscono credenziali o supportano operazioni finanziarie, la rapidità e la precisione delle comunicazioni diventano parte integrante della risposta di sicurezza.

Leggi anche: ARTEX e Claude contro le banche: l’AI entra nel workflow dell’hacker

Sageworks offline dal 30 ottobre: Abrigo indaga su attività sospette

La piattaforma fintech Sageworks, utilizzata per analizzare richieste di finanziamento, valutare l’affidabilità creditizia e monitorare portafogli di prestiti, viene disattivata da Abrigo il 30 ottobre alle 11:25, ora della costa orientale statunitense. Secondo la ricostruzione pubblicata da abrigo, l’azienda rileva attività irregolari nel proprio ambiente e avvia una manutenzione straordinaria, mantenendo indisponibile la piattaforma durante il fine settimana. L’interruzione coinvolge Sageworks Analyst, Sageworks API e Online Portal Now. Il 2 novembre Abrigo comunica di avere ripristinato gran parte delle funzionalità, mentre alcune capacità rivolte direttamente ai richiedenti finanziamenti rimangono indisponibili. L’azienda fornisce servizi a oltre 2.400 banche locali e cooperative di credito statunitensi, ma questa cifra rappresenta la clientela complessiva del fornitore, non il numero degli istituti colpiti dall’interruzione. La causa rimane indeterminata: Abrigo non conferma un attacco riuscito né una violazione dei dati. La sospensione preventiva è documentata, mentre l’eventuale compromissione dei sistemi richiede ulteriori accertamenti. Alcuni ricercatori suggeriscono di sostituire precauzionalmente le chiavi API Sageworks, senza che ciò costituisca prova del loro furto. Anche le precedenti rivendicazioni di ShinyHunters contro Abrigo non dimostrano un collegamento con questo episodio.

Chainstack violata: dalla rete di sviluppo ai sistemi di produzione

La situazione è differente per Chainstack, fornitore di infrastrutture blockchain e servizi RPC, che il 3 novembre conferma pubblicamente una compromissione informatica. La società riferisce che un soggetto esterno ha sfruttato un componente di terze parti per ottenere accesso all’ambiente di sviluppo il 26 ottobre, raggiungendo successivamente alcuni sistemi di produzione il 29 ottobre. L’intrusione viene identificata e interrotta il 31 ottobre, mentre l’indagine viene chiusa il 2 novembre.

Nel rapporto aziendale pubblicato nella sezione Announcements, Chainstack conferma che l’attaccante ha avuto accesso a un database contenente nomi delle organizzazioni, nominativi dei titolari degli account, indirizzi email dei membri e hash delle password. L’accesso al database è confermato; l’esatta quantità di informazioni effettivamente sottratte non è stata quantificata. Gli aggressori hanno inoltre raggiunto sistemi che custodiscono credenziali dei nodi blockchain. Chainstack dichiara di non avere prove che tali credenziali siano state lette, ma decide di considerarle potenzialmente esposte. La società precisa che i nodi dei clienti, la console e le API non risultano modificati, mentre i servizi destinati agli utenti hanno continuato a funzionare. Non vengono segnalate esposizioni di numeri completi delle carte di pagamento.

Credenziali blockchain da sostituire: l’ipotesi della campagna AI

Chainstack chiede ai clienti di cambiare le password, comprese quelle riutilizzate su altri servizi, ruotare le credenziali dei nodi e rigenerare le chiavi della piattaforma API. Le nuove credenziali devono essere propagate alle applicazioni e alle automazioni che utilizzano gli endpoint blockchain, evitando di lasciare attivi segreti precedentemente esposti. L’azienda ritiene che l’episodio possa appartenere a una campagna offensiva più ampia potenziata dall’intelligenza artificiale, emersa alla fine di ottobre. La ricostruzione di Chainstack evidenzia possibili sovrapposizioni con operazioni attribuite a gruppi che utilizzano strumenti agentici. Tuttavia, Chainstack non identifica pubblicamente il componente vulnerabile, il framework AI impiegato o un gruppo responsabile. L’attribuzione diretta ad ARTEX rimane quindi non dimostrata. La distinzione è importante rispetto alle precedenti campagne contro ambienti Microsoft 365 e fornitori tecnologici attraverso ARTEX, nelle quali gli investigatori disponevano di elementi tecnici specifici.

Continua con:

I gestori di password possono essere hackerati? Ecco cosa sapere sui password manager

Breach Covenant Health espone 478.000 pazienti e collega i furti crypto al caso LastPass

mSecure invita a proteggere password e passkey senza chiarire l’incidente

Il terzo caso riguarda mSecure, software che consente di conservare password, codici di autenticazione e passkey. Il 3 novembre, utenti attuali ed ex clienti ricevono un messaggio attribuito a mSeven Software, nel quale viene segnalata un’attività sospetta collegata all’applicazione. Il testo, riprodotto nel forum ufficiale di supporto mSecure, comunica l’apertura di un’indagine e il coinvolgimento di specialisti esterni. L’avviso invita a valutare modifica delle password, nuova registrazione dei fattori di autenticazione e rimozione delle passkey esistenti. Non specifica però se siano stati raggiunti i server aziendali, gli archivi cifrati degli utenti o il materiale crittografico necessario a decifrarli. Non chiarisce nemmeno quali credenziali debbano essere sostituite prioritariamente.

Fino alle 18:00 UTC del 3 novembre non risultava una spiegazione pubblica dettagliata dell’azienda. mSecure dichiara normalmente di cifrare i dati sui dispositivi prima della sincronizzazione, ma la presenza di un’architettura dichiarata a conoscenza zero non consente di escludere automaticamente ogni forma di esposizione senza conoscere i sistemi coinvolti. Per gli utenti diventa quindi essenziale distinguere le misure precauzionali dalla prova di compromissione. Non è stato accertato che tutte le password o le passkey conservate in mSecure siano state sottratte. È invece documentato che il messaggio diffuso ha lasciato irrisolte domande fondamentali sulla sicurezza delle informazioni. I tre casi mostrano conseguenze differenti della dipendenza da fornitori digitali: Sageworks evidenzia il rischio di interruzione operativa, Chainstack quello dell’accesso ai sistemi e alle credenziali, mentre mSecure dimostra quanto un avviso incompleto possa rendere difficile persino decidere quali misure di protezione adottare.