ShinyHunters e Oracle PeopleSoft: il Rischio

Executive Summary

Il fatto: il gruppo criminale ShinyHunters ha sfruttato una vulnerabilità non ancora patchata (zero-day) in Oracle PeopleSoft per compromettere oltre 100 organizzazioni, prevalentemente università. L'attacco è avvenuto prima che Oracle rilasciasse la correzione.

Il so what?: per una PMI italiana che utilizza sistemi ERP, CRM o portali web esposti su internet, una singola zero-day può significare la differenza tra un anno di utile e una perdita secca da centinaia di migliaia di euro. Il costo medio di un data breach per una PMI europea supera i 150.000 euro, ma il danno reputazionale e operativo spesso raddoppia quella cifra.

La tesi: il problema non è "se" arriverà una zero-day sul tuo sistema, ma "quando" e quanto tempo passerà prima che tu la patchi. Nel frattempo, la tua casella email aziendale resta il vettore d'ingresso più probabile. Una protezione email dedicata riduce il rischio del 90% anche senza patch.

---

Il Quadro: Numeri che Contano

Partiamo da una domanda: quanto vale per un hacker violare il tuo sistema invece di provare a rompere le difese una per una?

Molto. Ecco perché gruppi come ShinyHunters investono tempo e risorse nello sviluppare exploit zero-day, cioè attacchi che sfruttano vulnerabilità non ancora note al pubblico e quindi non ancora patchate. Nel caso di Oracle PeopleSoft, la falla permetteva l'esecuzione di codice remoto (RCE) — in pratica, il criminale poteva entrare nel server come se fosse l'amministratore.

I numeri del fenomeno:

• Tempo medio di esposizione: una zero-day viene sfruttata in media 69 giorni prima che sia pubblicamente nota (fonte: ricerche di settore). In questo periodo, il sistema è vulnerabile e il criminale ha campo libero.

• Costi medi per PMI italiana: un attacco ransomware (virus che blocca i file) costa in media tra 80.000 e 250.000 euro tra riscatto, downtime, ripristino e perdita di commesse. Per un attacco con furto di dati, si aggiungono le sanzioni GDPR.

• Confronto con rischi noti: un incendio in azienda è un rischio che tutti quantificano e assicurano. Un attacco informatico che blocca il tuo sistema ERP per una settimana ha lo stesso impatto economico, ma il 70% delle PMI italiane non ha una polizza cyber.

Il punto è semplice: se un gruppo criminale può spendere 50.000 euro per sviluppare una zero-day e usarla contro 100 organizzazioni, il ritorno per loro è enorme. Per te, che sei una delle 100, il danno è totale.

---

Scenario A vs B

Facciamo un esercizio concreto. Immagina la tua azienda.

Scenario A: SENZA protezione email dedicata

Scenario B: CON protezione email dedicata

La differenza? Nel Scenario A speri che non arrivi nulla. Nel Scenario B hai un sistema che lavora per te.

---

Il Costo del Non Fare Nulla

Ora, la parte che nessun CEO vuole sentire: il costo del non fare nulla.

Il ragionamento tipico è: "Abbiamo Office 365, abbiamo un antivirus, siamo protetti." Ma non è così. Il filtro di Office 365 è come avere una porta blindata e lasciare le finestre aperte. Blocca lo spam generico, ma un'attacco mirato scritto per la tua azienda — con il nome del tuo capo, la grafica della tua banca, il tono della tua assistenza — passa.

I costi diretti di un attacco riuscito:

• Riscatto ransomware: 50.000 - 200.000 euro (se paghi, e spesso non risolvi nulla)
• Consulenza forense: 15.000 - 50.000 euro per capire cosa è successo
• Ripristino sistemi: 20.000 - 100.000 euro
• Avvocati e compliance: 10.000 - 30.000 euro

I costi indiretti:

• Perdita di commesse: se il tuo sistema è giù, non fatturi. Una settimana di stop può significare 50.000-200.000 euro di fatturato perso.
• Danno reputazionale: il tuo cliente scopre che sei stato violato e perde fiducia.
• Sanzioni GDPR: fino al 4% del fatturato globale, ma per una PMI spesso è il 2-4% del fatturato annuo.

Il rapporto è semplice: investire 5.000 euro/anno in protezione email ti costa meno di un singolo attacco riuscito. Il ritorno sull'investimento è nell'ordine del 1.000-5.000%.

---

Piano d'Azione in 3 Mosse

Non serve un comitato infinito. Servono tre decisioni concrete.

Mossa 1: Valuta il rischio (1 settimana)

Chiedi al tuo IT di fare un audit delle caselle email aziendali: quanti dipendenti hanno accesso, quanti dispositivi usano, quali allegati ricevono abitualmente. Identifica i 5 utenti più esposti (amministrazione, commerciali, direzione).

Budget: 0 euro se lo fa il tuo IT interno, 2.000-5.000 euro se lo affidi a un consulente.

Mossa 2: Implementa protezione dedicata (2-4 settimane)

Attiva un servizio antispam cloud con AI semantica che analizzi allegati e URL prima che arrivino nella casella. Servizi come MailSniper partono da €0,99/casella/mese e si integrano con Office 365 e Google Workspace in pochi minuti.

Budget: da 1.500 euro/anno per 50 dipendenti.

Mossa 3: Formazione mirata (1 mese, ciclica)

Non serve un corso di 8 ore. Serve un briefing di 30 minuti sui 3 segnali di allarme di un'email truffa (link sospetti, urgency ingiustificata, mittente strano). Ripetilo ogni 6 mesi.

Budget: 500-1.500 euro/anno per sessioni esterne, o gratis se lo fa il tuo IT.

Timeline totale: 6-8 settimane per essere operativi.

---

Bottom Line

Il costo di un attacco informatico supera di 20-50 volte il costo della protezione. Non è una questione di "se", è una questione di "quando". E quando arriverà, vorrai aver fatto come le aziende che oggi dormono serene: investire qualche migliaio di euro per non doverne spendere centinaia di migliaia.

La prossima volta che il tuo CFO ti chiede perché spendere in sicurezza email, mostragli questi numeri. Funziona sempre.