Come gli attacchi informatici accadono effettivamente: I metodi dietro le violazioni come quella di H&M

Il 12 ottobre 2026, H&M Group ha affermato che stava indagando sulle affermazioni online di un incidente di cybersecurity riguardante "una portata limitata di dati del Gruppo H&M", secondo una dichiarazione aziendale riportata da Retail Gazette. Il rivenditore ha detto di non aver trovato alcuna indicazione che il suo ambiente di dati fosse stato compromesso e di non aver notificato l'Ufficio del Commissario per le informazioni del Regno Unito, secondo Beinsure.

Le affermazioni sono emerse giorni dopo che il rivenditore di moda ASOS ha confermato una violazione il 6 ottobre, in cui gli aggressori hanno ottenuto le credenziali di accesso di un dipendente impersonando un contatto attendibile, quindi hanno utilizzato tali credenziali per accedere ai nomi dei clienti e ai dettagli di contatto archiviati su piattaforme di terzi, secondo il rapporto di Beinsure. Retail Gazette ha notato che i rapporti hanno collegato le accuse di H&M allo stesso gruppo di criminali informatici, ShinyHunters, sebbene nessuna conferma indipendente colleghi i due incidenti insieme.

Chi è ShinyHunters?

ShinyHunters è un gruppo di hacker motivato finanziariamente che è stato attivo dal 2020 ed è collegato a violazioni presso più di 400 organizzazioni, secondo il fornitore di cybersecurity DoControl. Il gruppo segue un modello di estorsione "pagare o divulgare": richiede un riscatto e minaccia di pubblicare i dati rubati su forum del dark web se il bersaglio non paga, secondo DoControl. I bersagli passati nominati da DoControl includono Salesforce, Google, Workday, Adidas, Coinbase, Qantas Airways e Jaguar Land Rover.

I metodi dietro la maggior parte delle violazioni

L'analisi di DoControl descrive cinque tecniche che il gruppo ha utilizzato: abuso di token OAuth rubati per impersonare utenti e aggirare l'autenticazione multi-fattore; sfruttamento di impostazioni non configurate correttamente in piattaforme cloud come Salesforce Experience Cloud o Google Workspace; compromissione di fornitori di software attendibili per raggiungere i loro clienti downstream contemporaneamente; reclutamento di dipendenti su canali Telegram in cambio del pagamento per l'accesso ai sistemi interni; e utilizzo di chiamate vocali generate da AI che impersonano il personale IT per ingannare il personale nell'approvazione di applicazioni controllate da aggressori.

Queste tecniche rispecchiano i dati più ampi dell'industria. Il rapporto sulle indagini delle violazioni di dati 2026 di Verizon, citato da Help Net Security, ha rilevato che lo sfruttamento delle vulnerabilità del software ha superato le credenziali rubate come il modo più comune con cui gli aggressori entrano in una rete per la prima volta — la prima volta nella storia di 19 anni del rapporto. Lo stesso rapporto ha rilevato che solo il 26% delle vulnerabilità nell'elenco "noto sfruttato" dell'Agenzia di cybersecurity e infrastrutture critiche degli Stati Uniti era stato completamente patchato dalle organizzazioni intervistate, in calo dal 38% un anno prima, e che il tempo mediano per applicare una patch era aumentato a 43 giorni.

Dove il fattore umano entra in gioco

Non tutte le violazioni si basano su un difetto del software. La sintesi di Help Net Security del rapporto di Verizon ha rilevato che le violazioni che coinvolgevano un elemento umano — come essere ingannati da un messaggio di phishing o da una chiamata telefonica — rimanevano comuni. Il rapporto ha anche rilevato che i phisher in genere avevano più successo nel raggiungere le vittime tramite telefonate e messaggi di testo rispetto alla posta elettronica, senza fornire una cifra di confronto esatta, e ha notato che il "vishing" basato su telefono è stato sempre più utilizzato in schemi di ransomware e di estorsione.

Il coinvolgimento di terze parti e della catena di fornitura nelle violazioni è aumentato del 60% anno su anno, secondo lo stesso rapporto, ora presente in quasi la metà di tutti gli incidenti — un modello che corrisponde al modo in cui l'aggressore di ASOS ha raggiunto i dati dei clienti attraverso una piattaforma di terzi piuttosto che i sistemi principali di ASOS, secondo l'account di Beinsure dell'incidente.

Ciò che rimane non confermato nel caso H&M

Secondo la dichiarazione di H&M riportata da Retail Gazette, l'azienda non aveva confermato che nessun sistema era stato violato e non aveva collegato definitivamente le affermazioni a ShinyHunters o all'incidente di ASOS. H&M ha affermato che la sua indagine era in corso e che non poteva condividere ulteriori dettagli in quella fase, secondo il rapporto di Beinsure della dichiarazione dell'azienda.