Il 26 ottobre il gruppo ransomware Aurora ha pubblicato sul proprio leak site la rivendicazione di un attacco a Ernesto Malvestiti S.p.A. di Cinisello Balsamo, azienda storica della meccanica di precisione lombarda: fine blanking, pressofusione di alluminio, ottant’anni di stampi e componenti che finiscono dentro le auto di mezza Europa.
Ecco cosa racconta (se vero) il caso Malvestiti alla supply chain automotive italiana.
Indice degli argomenti
La rivendicazione criminale: cosa desta allarme
La pagina del gruppo descrive l’azienda come fornitore di BMW, Valeo, BorgWarner, Schneider Electric, Fiat/Stellantis e di oltre centocinquanta altri OEM del settore.
Al momento l’unica fonte è la rivendicazione criminale. L’azienda non ha confermato né smentito, l’abbiamo contattata per un commento e aggiorneremo questo articolo con qualunque risposta arrivi.
Fino ad allora, bisogna leggere ogni dato che segue con il condizionale d’ordinanza: è ciò che Aurora afferma di aver preso, non ciò che è accertato.
E ciò che Aurora afferma di aver preso è un inventario che merita di essere letto per quello che insegna, indipendentemente dall’esito delle verifiche. Secondo la rivendicazione: 1,5 GB di proprietà intellettuale ingegneristica, con oltre trecento progetti di stampi per fine blanking, disegni tecnici, parametri pressa e programmi PLC; più di centosessanta contratti con clienti e fornitori, completi di prezzi, condizioni commerciali e NDA firmati; archivi del personale e dei candidati.
La pagina cita anche dati particolari ex art. 9 GDPR riferiti ai dipendenti: su questi ci fermiamo alla categoria, perché non è materiale da indicizzare e la dignità delle persone coinvolte non è un angolo editoriale.
Ma il pezzo forte, quello che dovrebbe far squillare telefoni in cinquanta uffici acquisti da Monaco a Torino, è un altro: un file chiamato accesso web.txt che conterrebbe oltre cinquanta credenziali in chiaro per i portali B2B dei clienti – BMW B2B, Valeo, BorgWarner, Schneider, Eaton, il mondo Fiat/PSA e avanti così.
A corredo, sempre secondo la rivendicazione: la password amministrativa del database paghe, salvata in un export di registro ODBC in chiaro, e le credenziali SFTP verso il consulente paghe esterno conservate nel file di configurazione del client di trasferimento.
Il quadro
Chi fa questo mestiere riconosce il quadro al primo sguardo, perché lo ha visto cento volte in cento PMI manifatturiere italiane, durante assessment regolarmente autorizzati e regolarmente deprimenti.
Il file di testo con le password dei portali clienti nasce sempre allo stesso modo: l’ufficio commerciale usa il portale BMW. Ma quest’ultimo serve anche alla qualità per caricare i certificati, e alla logistica per le conferme d’ordine. Inoltre, il collega che conosce la password a memoria ogni tanto va in ferie.
La soluzione spontanea è il TXT sulla cartella condivisa, aggiornato a mano, raggiungibile da chiunque abbia accesso al file server – cioè, in una rete piatta come quella della PMI media, da chiunque abbia accesso a qualcosa. Non è pigrizia, ma è un’esigenza operativa legittima che nessuno ha mai tradotto in uno strumento adeguato.
Il risultato però è che qualunque intrusione, anche la più banale – un infostealer da venti dollari arrivato via mail, una VPN senza MFA, un RDP esposto – consegna all’attaccante non solo l’azienda, ma le chiavi di tutti i suoi clienti.
A quel punto, il ransomware è quasi un dettaglio di monetizzazione: il raccolto vero è già nelle cartelle condivise, e l’esfiltrazione dei file di configurazione (WinSCP.ini, export ODBC, profili browser) è talmente standard che gli strumenti criminali la fanno in automatico, prima ancora che un operatore umano guardi il bottino.
Il file delle password
Un password manager aziendale con vault condivisi per team costa pochi euro a utente al mese e risolve esattamente il problema che il TXT risolve male: accesso per ruolo, log di chi ha letto quale credenziale e quando, revoca immediata all’uscita di un dipendente, niente password “a memoria”. Se poi i portali dei clienti supportano MFA o federazione dell’identità (SAML/OIDC), una credenziale rubata da sola smette di essere una chiave funzionante.
Inoltre, per i canali tecnici – SFTPverso il consulente paghe, accessi macchina – la risposta sono chiavi dedicate e segreti in un vault, non file di configurazione con la password incorporata.
Nulla di tutto questo è esotico o costoso, ma non è ancora consueto nella manifattura italiana.
Presunto attacco Mavestiti: la lezione per la supply chain automotive italiana
Se la rivendicazione fosse confermata, la vittima non sarebbe soltanto il fornitore colpito.
Sarebbero le decine di aziende i cui portali avrebbero, in questo momento, credenziali valide in circolazione su infrastrutture criminali.
Un portale fornitori non è una vetrina. Infatti, a seconda dei casi dà accesso a previsioni d’ordine, distinte base, disegni sotto NDA, finestre di consegna, dati logistici, talvolta funzioni di upload.
Con una credenziale valida non serve “bucare” nulla: si entra dalla porta principale, con il nome di un fornitore ventennale di cui tutti si fidano, e si prosegue il giro – è l’island hopping che abbiamo già visto all’opera nei casi di compromissione di filiera più noti degli ultimi anni.
Ed è esattamente il meccanismo che l’art. 24 del d.lgs. 138/2024, il recepimento italiano della NIS2, chiede ai soggetti obbligati di governare quando parla di sicurezza della catena di approvvigionamento: non il rito annuale del questionario da ottanta domande compilato in mezz’ora dal fornitore, ma la domanda concreta, “cosa succede ai miei sistemi quando il mio fornitore diventa la porta d’ingresso?“.
Tradotto in pratica per chi sta a monte: credenziali dedicate e nominali per
ogni fornitore, MFA obbligatoria su tutti gli accessi esterni, segmentazione tra portale B2B e sistemi interni, monitoraggio degli accessi fornitori con allarmi su anomalie (orari, geografie, volumi), e soprattutto un playbook di rotazione rapida da attivare quando – non se – un partner viene compromesso.
Se poi anche Malvestiti (se confermato l’attacco) rientri in prima persona nel perimetro NIS2 dipende da soglie dimensionali e dal censimento ACN, ed è un accertamento a parte.
Ma l’obbligo dei clienti di presidiare il rischio che arriva dalla filiera non dipende da quello, e non aspetta la conferma dell’incidente.
Il silenzio sul presunto attacco a Malvestiti
Un’ultima annotazione sul silenzio. Ad oltre quarantotto ore dalla rivendicazione, nessuna testata italiana ne ha scritto: la notizia circola solo sui tracker specializzati – ransomware.live, DeXpose, darknetsearch, un bot su Bluesky.
Il che significa che, con ogni probabilità, una parte dei responsabili acquisti e sicurezza degli OEM citati sta scoprendo il casoi da questo articolo.
Rivolgiamo loro la domanda con cui chiudiamo, e che vale anche per chi OEM non è: quando avete ruotato l’ultima volta le credenziali che i vostri fornitori usano per entrare nei vostri sistemi? E vi accorgereste se una di quelle chiavi stesse già lavorando per qualcun altro?
La lezione dell’attacco Malvestiti alla supply chain automotive italiana è tutta in queste domande.
Partecipa alla community