Edition 02

Rileggi la causa. Non uno stato-nazione. Non un exploit furbo. Un tizio che se n'è andato e a cui nessuno ha revocato la chiave. Questa è gestione dei diritti 101. È la parte più noiosa di un programma di sicurezza, ed è ciò che è costato a Coupang la multa privacy più grande nella storia del paese.

Questo è ciò che i budget di sicurezza continuano a sbagliare. Puoi spendere milioni in detection e perdere comunque su una revisione degli accessi trimestrale. Il ROI reale per la maggior parte delle organizzazioni non è un altro EDR. È il processo di revisione degli accessi che funziona davvero.

E nota cosa ha trasformato una brutta violazione in una multa record: i fondamentali, di nuovo. Mancare la finestra di notifica, sottostimare l'ambito, non avere una risposta chiara a "come faceva questo accesso a essere ancora attivo". Il regolatore non multa per l'hacking. Multa per la cattiva governance.

PeopleSoft gestisce HR e payroll per una grossa fetta di grandi organizzazioni. Vuol dire che siede su una miniera d'oro di identità personali, ed è spesso dimenticato dagli inventari di attacco perché è "solo" interno. Tranne che è esposto a internet molto più spesso di quanto la gente pensi.

La parte scomoda è la timeline. Gli attaccanti erano dentro dal 27 maggio. La patch è arrivata il 10 giugno. Per i team che patchano due settimane dopo l'avviso, sono tre settimane di pre-sfruttamento al buio. Questo è il gap che il tuo programma di vulnerability management dovrebbe essere progettato per chiudere, e la maggior parte non lo è.

Vai a controllare se i tuoi endpoint di management di PeopleSoft sono esposti. Oggi, non nel prossimo sprint.

Questa è genuinamente una buona notizia, ed è anche una deadline. Buona, perché gli script di installazione automatici sono stati uno dei sentieri di attacco più stupidi del decennio. Deadline, perché "breaking changes" significa esattamente quello. Se la tua pipeline CI dipende silenziosamente dallo script di installazione di un pacchetto per pre-costruire qualcosa, si romperà a luglio.

Usa le prossime settimane per fare uno sweep. Individua i pacchetti che usano hook di installazione (postinstall, preinstall) nelle tue dipendenze dirette. Chiediti se ne hai bisogno, o se era solo comodo. Per la maggior parte, era solo comodo.

E questa è una questione di governance, non solo di dev. Chi nella tua organizzazione decide quali script di terzi girare sui tuoi runner. Se la risposta è "nessuno", hai un buco di governance, non un buco tecnico.

Resta con quel 10%. Per tutti i titoli sui ransomware, nove incidenti gravi su dieci nella finanza europea nel 2025 non erano un attaccante. Era un aggiornamento andato male, un fornitore caduto, un sistema rimasto senza fiato. Se tutta la tua mappa del rischio è centrata sugli attaccanti, stai guardando il 10% dell'immagine.

Questo è il caso della resilienza operativa in una sola statistica. Se tutto il tuo programma di resilienza è un piano di risposta agli incidenti cyber, non sei pronto per la cosa più probabile che ti capiterà. Sei pronto per la cosa che fa i titoli.

Il numero che dovrebbe preoccuparti più del 10%: quasi un terzo degli incidenti veniva da terzi. Questo è esattamente ciò che NIS 2 e DORA dicono entrambi sul rischio di terze parti. Non sono caselle contrattuali. È da dove vengono le vere interruzioni.

Due voci in questo brief ormai, e neanche un hacker dietro le più grandi perdite di dati. Coupang ha perso 34 milioni di record per un account dimenticato. Kyushu ne ha persi 10,9 milioni per un armadio non chiuso. La sicurezza fisica e l'asset management non sono "l'altro dipartimento" per i team GRC. Sono i controlli fondamentali che compaiono in ogni disastro.

Nota cosa manca nella comunicazione: qualsiasi menzione di crittografia. Un disco contenente 10,9 milioni di record di clienti che non era cifrato nel 2026 racconta la sua storia sulla maturità del programma. Ed è esattamente il tipo di controllo base che ISO 27001 Allegato A 8.24 (crittografia) si aspetta per default sui media rimovibili.