Un venditore che si fa chiamare TheHatman ha messo in vendita su un forum underground quello che descrive come un archivio di 3,64 milioni di record dipendente estratti da tenant Microsoft Azure di nove grandi aziende, tra cui Vodafone e Kyndryl. Le prime inserzioni sono comparse il 31 luglio 2026 e sono proseguite fino al 16 agosto, secondo la ricostruzione di BleepingComputer. Il metodo, stando a chi ha esaminato i campioni, non è una falla nella piattaforma cloud di Microsoft ma credenziali compromesse a livello di singolo tenant, lo stesso schema che negli ultimi due anni ha già colpito Snowflake e diversi clienti Okta.
Per i team di sicurezza italiani ed europei che gestiscono ambienti Microsoft Entra ID, la vicenda arriva in un anno già segnato da multe GDPR pesanti e da un aumento della spesa in sicurezza spinto da NIS2. Ecco cosa sappiamo, cosa resta da verificare e cosa aspettarsi nei prossimi mesi.
Chi è TheHatman e come ha agito
TheHatman è comparso su un forum di compravendita dati con una serie di lotti separati, ciascuno etichettato con il nome dell’azienda di provenienza. Non ha chiesto un prezzo fisso ma ha invitato gli acquirenti a fare offerte private, una tattica comune tra chi vuole testare l’interesse del mercato prima di negoziare. Il venditore sostiene di aver scaricato i dati direttamente dai tenant Azure delle vittime usando credenziali rubate, non uno strumento di attacco contro l’infrastruttura di Microsoft.
Il vettore d’attacco: credenziali, non una falla di piattaforma
Questo dettaglio cambia molto l’analisi del rischio. Se fosse stata una vulnerabilità di Azure, Microsoft avrebbe dovuto correggerla per tutti i clienti contemporaneamente. Trattandosi invece di un’identità compromessa (una password rubata, un token di sessione ancora valido o un account con permessi troppo ampi) il problema riguarda la postura di sicurezza di ogni singola azienda, non il fornitore cloud. È lo stesso schema descritto da Microsoft per la campagna legata al gruppo Storm-2949, dove una singola identità compromessa si è trasformata in un accesso su scala di tenant.
Le aziende coinvolte: la mappa dei dati rubati
Nove aziende compaiono nei lotti pubblicati, con volumi molto diversi tra loro. McDonald’s guida la lista con oltre 1,7 milioni di record, seguita da TCS con più di 800.000. Vodafone, il nome più rilevante per il pubblico europeo, figura con oltre 425.000 record. Ecco il quadro completo così come emerso dalle inserzioni.
| Azienda | Record rivendicati | Settore |
|---|---|---|
| McDonald’s | oltre 1,7 milioni | Ristorazione |
| TCS (Tata Consultancy Services) | oltre 800.000 | IT services |
| Vodafone | oltre 425.000 | Telecomunicazioni |
| HCL Technologies | oltre 250.000 | IT services |
| IHG (InterContinental Hotels Group) | oltre 185.000 | Ospitalità |
| Kyndryl | oltre 170.000 | IT infrastructure |
| Gap | oltre 80.000 | Retail |
| Hexaware | oltre 20.000 | IT services |
| Wyndham Hotels | oltre 9.000 | Ospitalità |
Cinque delle nove aziende operano nei servizi IT o nell’infrastruttura tecnologica, un dettaglio che rafforza l’ipotesi di un attacco mirato a fornitori con accesso privilegiato ad altri ambienti clienti piuttosto che una campagna casuale contro chiunque usi Azure.
Le reazioni delle aziende: tra smentite e silenzio
Le risposte pubbliche, dove sono arrivate, complicano il quadro più di quanto lo chiariscano. TCS ha dichiarato di non aver trovato prove credibili di una violazione e ha aggiunto un dettaglio interessante: i dati esaminati sembrano avere almeno quattro anni, non essere quindi un furto recente dai propri sistemi. Gap ha detto lo stesso, negando qualsiasi evidenza di compromissione dei propri sistemi.
McDonald’s, Vodafone e Wyndham non hanno risposto alle richieste dei giornalisti al momento delle prime verifiche. Il silenzio non equivale ad ammissione, ma lascia aperta una domanda scomoda per chi in Italia ed Europa affida dati di dipendenti o clienti a questi fornitori: chi conferma, e quando, se un incidente riguarda davvero l’azienda o si tratta di dati riciclati da violazioni precedenti spacciati per nuovi?
I dati sono autentici? Cosa dicono i ricercatori
I ricercatori che hanno analizzato i campioni pubblicati li giudicano coerenti con un vero export da Microsoft Entra ID: la struttura dei campi e la formattazione corrispondono a ciò che ci si aspetta da un’esportazione autentica di directory aziendale. Questo però conferma solo la plausibilità tecnica del formato, non l’origine esatta né la data reale del furto.
La smentita di TCS sull’età dei dati (circa quattro anni) apre uno scenario concreto: parte del materiale in vendita potrebbe arrivare da violazioni pregresse, magari già note o mai denunciate pubblicamente, riconfezionate oggi sotto un unico marchio per aumentare il valore percepito del lotto. È una pratica comune nei forum di compravendita dati, dove la credibilità del venditore vale quanto i dati stessi.
Il precedente Storm-2949 e l’ascesa degli attacchi all’identità
Microsoft stessa, nei suoi report di sicurezza del 2026, ha descritto casi in cui un’identità compromessa si trasforma in una violazione a livello di intero tenant cloud, attribuendo parte di questa attività al gruppo tracciato come Storm-2949. Il pattern è coerente: un attaccante ottiene credenziali valide (tramite phishing, infostealer o riuso di password), poi usa quell’accesso per esportare dati direttamente dalle API di gestione del tenant, senza bisogno di malware sofisticato o exploit zero-day.
È un cambio di paradigma rispetto agli attacchi ransomware che hanno dominato le cronache italiane nelle ultime settimane. Qui non c’è cifratura, non c’è riscatto immediato richiesto alla vittima: c’è solo esfiltrazione ed estorsione tramite pubblicazione, un modello a basso costo operativo e alto impatto reputazionale.
Confronto con le grandi violazioni cloud del passato
Per capire dove si colloca il caso TheHatman, vale la pena confrontarlo con gli episodi più noti degli ultimi tre anni. La differenza principale non sta nei numeri ma nel vettore: quasi tutti condividono la stessa causa profonda, credenziali rubate o riutilizzate, non un difetto del fornitore cloud.
| Incidente | Anno | Vettore | Natura del dato |
|---|---|---|---|
| TheHatman / tenant Azure | 2026 | Credenziali cloud compromesse | Directory dipendenti (Entra ID) |
| Snowflake (clienti multipli) | 2024 | Credenziali rubate, nessuna MFA | Dati clienti in ambienti di data warehouse |
| Storm-0558 (Microsoft) | 2023 | Chiave di firma cloud compromessa | Email di account cloud governativi e aziendali |
| Violazioni legate a Okta | 2023 | Compromissione di sessioni di supporto/identità | Token di sessione e dati di configurazione clienti |
Il filo comune è l’identità come punto di ingresso. Nessuno di questi quattro casi è nato da un bug nel codice del cloud provider: sono nati da una password, una sessione o una chiave che non avrebbe dovuto essere accessibile a un attaccante.
L’impatto per Vodafone e le aziende europee
Vodafone non è un nome qualsiasi per il pubblico italiano: opera direttamente sul mercato nazionale con milioni di clienti mobili e fissi, oltre a un’ampia base di dipendenti in tutta Europa. Se anche solo una parte dei 425.000 record rivendicati risultasse autentica e recente, l’azienda dovrebbe attivare le procedure di notifica previste dal GDPR verso le autorità di controllo competenti e, in alcuni casi, verso gli interessati stessi.
Il problema per aziende come Vodafone, con presenza in decine di paesi europei, è che un tenant Azure aziendale spesso ospita dati di dipendenti provenienti da più giurisdizioni. Una violazione confermata anche solo in Germania o Regno Unito può quindi attivare obblighi di notifica in cascata verso il Garante per la protezione dei dati personali italiano e le altre autorità europee, indipendentemente da dove sia avvenuto l’accesso iniziale.
C’è poi un rischio meno visibile ma concreto per i clienti aziendali italiani di Vodafone e Kyndryl. Entrambe le società forniscono servizi di rete, cloud e infrastruttura IT a migliaia di imprese e pubbliche amministrazioni nel nostro paese. Se un attaccante avesse davvero avuto accesso, anche solo temporaneo, a directory interne di Kyndryl (che gestisce infrastrutture critiche per clienti terzi in tutto il mondo), il rischio di movimento laterale verso ambienti clienti non sarebbe teorico. È lo stesso motivo per cui i fornitori IT compaiono così spesso, cinque su nove in questo caso, tra i bersagli preferiti di chi vende accessi rubati.
Il contesto normativo: GDPR e NIS2 in Europa
Il 2026 è già un anno pesante sul fronte sanzioni per le violazioni legate all’identità digitale. Le autorità europee hanno dimostrato di non guardare solo al numero di record esposti ma anche alla qualità dei controlli di sicurezza messi in campo prima dell’incidente, un principio che l’Articolo 32 del GDPR mette al centro delle proprie verifiche.
Il precedente di Vodafone in Germania: una multa da 45 milioni di euro
Un caso diverso ma istruttivo: l’autorità tedesca per la protezione dei dati (BfDI) ha sanzionato Vodafone GmbH con una multa da 30 milioni di euro, a cui si aggiungono altri 15 milioni per carenze nel monitoraggio dei partner commerciali, per un totale di 45 milioni di euro. Il motivo: falle nel processo di autenticazione del portale “MeinVodafone” che avevano reso possibile l’accesso non autorizzato a profili eSIM di terzi, aprendo la porta a SIM-swapping. Non è lo stesso episodio della vendita di TheHatman, ma dimostra che i regolatori europei considerano ormai le falle di autenticazione una priorità sanzionatoria, non un dettaglio tecnico secondario (fonte: BfDI, confermato dall’EDPB).
Sul fronte NIS2, la direttiva risulta ormai recepita integralmente in Italia e nella maggioranza degli stati membri dell’Unione, secondo il tracker ufficiale della Commissione Europea (Digital Strategy EU). Questo significa che le aziende italiane che rientrano nel perimetro degli “enti essenziali” o “importanti” hanno già obblighi attivi di gestione del rischio informatico e di notifica rapida degli incidenti, anche quando il fornitore cloud coinvolto ha sede fuori dall’Unione.
Quanto costa una violazione cloud nel 2026
Il report annuale Cost of a Data Breach di IBM, pubblicato nell’estate 2026, offre un contesto utile per misurare la posta in gioco. Il costo medio globale di una violazione ha raggiunto i 4,99 milioni di dollari, in crescita del 12% rispetto all’anno precedente e il valore più alto mai registrato nella serie storica del report (fonte: IBM X-Force).
| Categoria | Costo medio 2026 | Variazione annua |
|---|---|---|
| Media globale (tutti gli ambienti) | 4,99 milioni $ | +12% |
| Violazione on-premise | 4,56 milioni $ | +12% |
| Violazione in cloud pubblico | 5,38 milioni $ | n.d. |
| Ambiente ibrido (on-prem + cloud) | 5,39 milioni $ | n.d. |
| Violazioni malevole abilitate da IA | 6 milioni $ | circa +1M $ sulla media |
Il dato più rilevante per il caso TheHatman è la voce cloud pubblico: 5,38 milioni di dollari medi, quasi 400.000 dollari in più della media globale. Se anche una sola delle nove aziende coinvolte dovesse confermare l’incidente, il costo atteso si collocherebbe sopra questa soglia, prima ancora di calcolare eventuali sanzioni GDPR separate (comunicato IBM).
Perché l’identità è diventata il nuovo perimetro di sicurezza
Per anni la sicurezza aziendale si è concentrata su firewall, VPN e segmentazione di rete. Con il passaggio quasi totale ai servizi cloud, quel perimetro fisico è sparito. Oggi chi controlla un’identità con privilegi sufficienti controlla, di fatto, i dati che quell’identità può raggiungere, ovunque si trovino.
Il Data Breach Investigations Report di Verizon per il 2026 conferma quanto questo gap resti diffuso: circa il 37% delle organizzazioni analizzate ha almeno un account amministrativo con l’autenticazione a più fattori disattivata su un servizio IaaS. È esattamente il tipo di falla che un venditore come TheHatman può sfruttare senza bisogno di exploit sofisticati: gli basta trovare l’account sbagliato lasciato senza protezione.
Cosa devono fare ora i team IT italiani ed europei
Le priorità pratiche non cambiano molto rispetto a quanto raccomandato dopo Snowflake e Storm-0558, ma restano ampiamente disattese. Primo: obbligare l’autenticazione a più fattori resistente al phishing su ogni account con privilegi amministrativi in Entra ID o Azure AD, senza eccezioni per account di servizio legacy. Secondo: rivedere periodicamente quali applicazioni e token hanno ancora accesso attivo al tenant, molte violazioni passano da integrazioni dimenticate anni prima.
Terzo: adottare strumenti di rilevamento specifici per l’identità cloud (categoria nota come CIEM, Cloud Infrastructure Entitlement Management) capaci di segnalare esportazioni massive di dati da directory aziendali, un pattern anomalo che un monitoraggio ben configurato avrebbe potuto intercettare prima che i dati lasciassero il tenant. Quarto: preparare in anticipo un piano di verifica rapida per quando emergono rivendicazioni come quella di TheHatman, per distinguere in poche ore un incidente reale da dati riciclati, esattamente il dubbio che oggi pesa su McDonald’s, Vodafone e Wyndham.
Quinto, e spesso trascurato: mappare quali fornitori terzi (system integrator, outsourcer IT, partner di supporto) hanno accesso permanente al proprio tenant Azure. Un contratto con TCS, HCL o Kyndryl comporta quasi sempre account con privilegi elevati che restano attivi ben oltre la durata effettiva del progetto. Rivedere questi accessi ogni trimestre, invece che una volta all’anno, riduce sensibilmente la finestra utile a un attaccante che punta proprio su credenziali dimenticate.
Previsioni: cosa aspettarsi nei prossimi mesi
- Più rivendicazioni “a basso costo”. Il modello di TheHatman, vendere dati senza cifrare nulla né chiedere un riscatto diretto, richiede meno competenze tecniche del ransomware classico e probabilmente attirerà altri venditori nei prossimi mesi.
- Pressione sui tempi di verifica. Regolatori europei e giornalisti chiederanno alle aziende conferme più rapide, riducendo lo spazio per il silenzio prolungato osservato finora da McDonald’s e Wyndham.
- Dati riciclati in aumento. Dopo il caso TCS, ci aspettiamo più episodi in cui violazioni vecchie di anni vengono rivendute come “nuove” per gonfiare il valore percepito sui forum underground.
- Controlli assicurativi più severi. Le polizze cyber tenderanno a richiedere prove concrete di MFA resistente al phishing su tutti gli account privilegiati cloud come condizione per mantenere la copertura.
- Più enforcement NIS2 in Italia. Con la direttiva ormai recepita, ci aspettiamo che il Garante e le autorità settoriali italiane comincino a contestare in modo più sistematico le carenze nella gestione delle identità cloud presso enti essenziali e importanti.
Domande frequenti
Chi è TheHatman?
È lo pseudonimo di un venditore comparso su un forum underground nell’estate 2026, che ha pubblicato lotti di dati aziendali dichiarati come provenienti da tenant Azure di nove grandi aziende. La sua identità reale non è nota.
Microsoft Azure è stato violato?
No, non ci sono evidenze di una falla nella piattaforma Azure. Le indicazioni disponibili puntano a credenziali compromesse a livello di singolo tenant aziendale, non a un problema del fornitore cloud.
Vodafone ha confermato la violazione?
Al momento della pubblicazione, Vodafone non ha risposto pubblicamente alle richieste di conferma. L’azienda compare nei lotti con oltre 425.000 record rivendicati, ma la sua autenticità e attualità restano da verificare in modo indipendente.
I dati venduti da TheHatman sono autentici?
I ricercatori giudicano i campioni coerenti con un vero export da Microsoft Entra ID, ma questo conferma solo il formato, non l’origine esatta né la data reale del furto. TCS sostiene che i dati esaminati abbiano almeno quattro anni.
Che differenza c’è con la violazione Snowflake del 2024?
Il vettore è simile, credenziali rubate senza autenticazione a più fattori, ma Snowflake riguardava dati clienti in ambienti di data warehouse condivisi tra più aziende, mentre il caso TheHatman coinvolge directory dipendenti (Entra ID) di singoli tenant Azure aziendali.
Cosa rischiano le aziende coinvolte secondo il GDPR?
Se un’azienda conferma l’accesso non autorizzato a dati personali, scattano gli obblighi di notifica verso le autorità di controllo e, in certi casi, verso gli interessati, entro le tempistiche previste dal Regolamento. Le sanzioni per carenze nei controlli di sicurezza (Articolo 32) possono raggiungere il 4% del fatturato globale annuo.
Come possono proteggersi le aziende italiane da attacchi simili?
Le priorità sono autenticazione a più fattori resistente al phishing su tutti gli account privilegiati, revisione periodica di token e applicazioni con accesso al tenant, e strumenti di rilevamento specifici per esportazioni anomale di dati dalle directory cloud aziendali.
Cosa devono fare i dipendenti i cui dati potrebbero essere coinvolti?
In attesa di conferme ufficiali, conviene attivare l’autenticazione a più fattori sui propri account aziendali e personali, diffidare di email o messaggi che citano dettagli lavorativi specifici (segno di possibile phishing mirato) e verificare eventuali comunicazioni ufficiali dal proprio datore di lavoro.
Copertura correlata
- CISA KEV: 16 Falle in 3 Settimane, 4 Critiche [2026]
- Italia Sotto Ransomware: 15 Vittime in 7 Giorni [2026]
- WINDTRE: Multa da 1,7M per Falle API, 365K Clienti [2026]
- Wiz vs Orca Security: Minuti vs 24 Ore di Scansione [2026]
- Have I Been Pwned: 1.029 Breach, Guida in 12 Passi [2026]
- Tutte le notizie di Sicurezza
