Cyber insurance: gli eventi della settimana dal 24 al 31 ottobre 2026

Sei eventi cyber della settimana dal 24 al 31 ottobre 2026, dal furto da 6,3 miliardi di dollari a Binance ad Amadeus, GMO Internet, PHP2Shell, UNM Health e Sony Network Communications, uniti dalla dipendenza da fornitori e piattaforme condivise. Con l'impatto assicurativo e le domande da portare nei rinnovi.

Settimana dal 24 al 31 ottobre 2026

Aggiornato il 1 novembre 2026: l'FBI ha attribuito il furto a Binance a TraderTraitor e Binance ha avviato la riapertura dei prelievi.

La settimana dal 24 al 31 ottobre 2026 ha un filo comune chiaro: la dipendenza da un fornitore o da una piattaforma condivisa. Quattro dei sei eventi scelti nascono da un unico punto di accesso a monte (un sistema di prenotazione, un servizio di desktop cloud, un software web diffuso) che si trasmette a molti clienti. Il più grande, il furto da 6,3 miliardi di dollari a Binance, mostra cosa succede quando a cedere è la gestione dei sistemi che firmano le transazioni. Un altro, il ransomware su un grande sistema sanitario, mostra quanto un'interruzione operativa pesi più del furto di dati. Per chi sottoscrive, la domanda non è solo chi è l'assicurato, ma da quali fornitori dipende insieme ad altri assicurati.

In sintesi

Binance: il 29 ottobre l'exchange sospende i prelievi dopo un furto stimato in circa 6,3 miliardi di dollari, il più grande della storia delle criptovalute; circa 3 miliardi congelati.
Amadeus: un accesso non autorizzato durato dal 10 agosto 2023 al 23 settembre 2026 al sistema di prenotazione usato da molte compagnie aeree. JAL, ANA e Cathay Pacific hanno comunicato decine di migliaia di clienti coinvolti.
GMO Internet: il servizio di desktop cloud Onamae.com viene fermato dopo un attacco con richiesta di estorsione da 50 milioni di dollari, rifiutata. Fino a 26.739 server potenzialmente coinvolti.
PHP2Shell: le due vulnerabilità di PHP entrano nel catalogo CISA delle vulnerabilità sfruttate il 26 ottobre, con sfruttamento osservato su scala globale.
UNM Health: un attacco ransomware costringe un sistema ospedaliero del New Mexico a deviare ambulanze e sospendere interventi.
Sony Network Communications: 2.585.481 record di clienti del provider So-net e plala esposti.

Gli attacchi della settimana

1. Binance: il furto più grande della storia delle criptovalute

Il 29 ottobre 2026 Binance ha sospeso depositi e prelievi dopo un incidente di sicurezza che, secondo l'exchange, ha interessato circa 6,3 miliardi di dollari di asset. Binance dice che circa 3 miliardi sono stati congelati sulle blockchain con l'aiuto di partner del settore. Le stime di terzi variano: Chainalysis indica circa 5,9 miliardi al momento del furto, Elliptic 6,43 miliardi (The Hacker News). Il record precedente era il furto di circa 1,5 miliardi di dollari a Bybit nel 2025 (Cybersecurity Dive).

Secondo TRM Labs i trasferimenti sono avvenuti su dieci blockchain, per circa 6,36 miliardi, in gran parte in circa 20 minuti; i primi movimenti non autorizzati risalgono alle 20:05 UTC del 29 ottobre. Gli attaccanti si preparavano da almeno 36 ore (CoinCentral).

La causa non è stata pubblicata. Le prime indagini di Binance indicavano il portatile di un ingegnere DevOps compromesso, che avrebbe dato accesso a un container di servizio da cui sono state inviate transazioni di prelievo non autorizzate. Il co-CEO Richard Teng ha poi detto che l'attacco era più complesso e Binance ha trovato altri punti di violazione; non c'è evidenza di una fuga di chiavi private dei wallet (The Hacker News). Binance afferma che i cold wallet, dove sta la maggior parte dei fondi dei clienti, non sono stati toccati (Boston Globe).

TRM Labs e Chainalysis attribuiscono l'attacco con alta confidenza a TraderTraitor, unità legata alla Corea del Nord e già indicata per il furto a Bybit; Elliptic invita alla cautela per le differenze nei tempi e nei metodi di riciclaggio. Binance si limita a dire che collabora con le forze dell'ordine. Il 1 novembre 2026 l'FBI ha attribuito ufficialmente il furto a TraderTraitor e, con il Secret Service e l'IRS Criminal Investigation, ha pubblicato gli indirizzi dei wallet usati per spostare i fondi, convertiti soprattutto in Ethereum (The Hacker News). Binance ha accantonato oltre 6,34 miliardi di dollari di fondi propri per coprire le perdite degli utenti. Il 1 novembre ha avviato la prima fase della riapertura dei prelievi e prevede di completarla in modo graduale, man mano che chiude i controlli di sicurezza (stessa fonte).

2. Amadeus: tre anni di accesso a un sistema di prenotazione

Japan Airlines ha comunicato che i dati di circa 92.000 clienti sono stati esposti per un accesso non autorizzato al sistema di gestione dei passeggeri di Amadeus, usato per prenotazioni, emissione dei biglietti e check-in. Per circa 90.000 persone sono coinvolti codice di prenotazione, nome, data del volo, tratta e classe. Per circa 2.000 anche e-mail, telefono, numero di passaporto, nazionalità, numero frequent flyer e numeri di biglietto e posto (BleepingComputer).

L'accesso non autorizzato risale al periodo dal 10 agosto 2023 al 23 settembre 2026. Amadeus ha informato JAL il 23 ottobre 2026. Il 1 ottobre 2026 Amadeus aveva pubblicato un avviso su una vulnerabilità nell'ambiente di visualizzazione delle prenotazioni; BleepingComputer osserva che la falla sembra essere stata poi sfruttata. Né l'articolo né Amadeus indicano un responsabile.

All Nippon Airways ha comunicato circa 37.800 clienti coinvolti, con passaporto e nazionalità per 1.700 di essi. Asiana Airlines e Korean Air hanno confermato di essere interessate (ID Tech). JAL esclude l'esposizione di carte di credito e password e dichiara di non avere prove di abusi.

Il 31 ottobre 2026 Cathay Pacific ha comunicato circa 53.000 prenotazioni coinvolte, create tra agosto 2023 e settembre 2026. Amadeus l'ha informata il 28 ottobre e ha spiegato che una parte non autorizzata ha usato le credenziali di un account di sistema per accedere ai dati di prenotazione; Amadeus ha reimpostato la password e rafforzato il monitoraggio (Aviation A2Z).

3. GMO Internet: un servizio di desktop cloud chiuso

GMO Internet, grande provider giapponese, ha scoperto il 20 ottobre 2026 che terzi avevano installato programmi malevoli nei server di alcuni clienti del servizio Onamae.com Desktop Cloud, usato in particolare per il trading sui cambi. Il 21 ottobre è arrivata un'e-mail di estorsione da 50 milioni di dollari e sono iniziati gli spegnimenti dei server. GMO ha rifiutato di pagare. Il 24 ottobre ha confermato che informazioni dei clienti erano state sottratte e il 27 ottobre che gli aggressori avevano pubblicato dati che sembrano riguardare clienti, avvertendo che potrebbero contenere informazioni false (Webhosting Today).

I server potenzialmente coinvolti sono fino a 26.739; è una stima dei server che potrebbero essere stati colpiti, non di intrusioni accertate. Alcuni clienti hanno segnalato operazioni di trading non riconosciute. GMO non riavvierà la piattaforma nella forma attuale, offrirà un ambiente alternativo gratuito per sei mesi, un indennizzo di 5.000 yen a ciascun cliente e il rimborso delle perdite confermate, dopo eventuali rimborsi delle società di trading. Ha anche aperto una taglia fino a 1 milione di dollari per informazioni utili agli inquirenti (stesso articolo).

Secondo The Register, l'amministratore delegato Masatoshi Kumagai ha ammesso che la risposta a segnalazioni interne precedenti non è stata sufficientemente profonda e rapida, e ha collegato un attacco a circa 20 aziende giapponesi all'uso di ARTEX, uno strumento autonomo di penetration testing basato su IA (The Register). È una dichiarazione del dirigente, non una verifica indipendente.

4. PHP2Shell: da vulnerabilità a sfruttamento confermato

Le due falle del motore PHP (CVE-2026-109618 e CVE-2026-109619), già trattate la settimana scorsa, hanno compiuto un passo ulteriore. Il 26 ottobre 2026 la CISA le ha inserite nel catalogo delle vulnerabilità note e sfruttate, con scadenza al 29 ottobre per le agenzie civili federali statunitensi. PHP aveva rilasciato le correzioni il 21 ottobre, nelle versioni 8.5.12, 8.4.27, 8.3.36 e 8.2.35 (The Next Web).

Il 24 ottobre un ricercatore ha registrato in tre honeypot 35 comandi di shell avviati dal server Apache, da due indirizzi IP, in modo coerente con il primo CVE. Il laboratorio dell'Università tecnica di Delft ha contato dal 21 ottobre 68.499 richieste di sfruttamento da 652 indirizzi IP in 73 Paesi, di cui 174 con codice o dropper. La stessa fonte riferisce che Sophos ha corretto un resoconto di attacchi riusciti contro propri clienti e che Unit 42 di Palo Alto Networks ha ritirato una valutazione su un attacco a un ente governativo europeo: le attribuzioni vanno quindi trattate con prudenza.

5. UNM Health: l'interruzione operativa di un ospedale universitario

Il 26 ottobre 2026 l'University of New Mexico Health ha subito un'interruzione dei sistemi informatici. UNM Health ha limitato i nuovi ricoveri, deviato le ambulanze verso altri ospedali e sospeso interventi ambulatoriali e appuntamenti; sono state annullate le lezioni nelle quattro scuole di scienze della salute (BleepingComputer).

L'università non ha dichiarato il tipo di attacco. Il gruppo Byod, nuovo e con sei vittime sul proprio sito, ha rivendicato l'attacco, dichiarando di avere accesso a circa 36.000 sistemi e a dati di pazienti, studenti e dipendenti. Sono dichiarazioni del gruppo, non verificate. UNM Health afferma che l'evento non ha penetrato i sistemi e i server principali ma ha toccato alcuni dispositivi degli utenti. Alla data dell'articolo, il 27 ottobre, i sistemi critici erano tornati in linea, gli ospedali pienamente aperti e le cliniche avevano ripreso l'attività.

6. Sony Network Communications: il data breach di massa

Sony Network Communications, controllata di Sony Group che opera come provider in Giappone, ha comunicato che il database dei membri So-net è stato consultato da un soggetto non autorizzato. I record coinvolti sono 2.585.481: 2.141.986 di So-net e 443.495 del servizio plala, che riguarda clienti Docomo Hikari di NTT Docomo. In più risultano esposti 54.401 indirizzi e-mail di vari servizi, insieme alle password degli account (BleepingComputer).

I dati includono nome, telefono, e-mail, ID utente, data di nascita, genere e identificativi di connessione; non risultano dati bancari o carte. La violazione è avvenuta il 19 ottobre ed è stata rilevata circa quattro giorni dopo; Sony l'ha annunciata il 27 ottobre e l'ha segnalata alla Commissione giapponese per la protezione dei dati personali. L'articolo non indica un autore né il metodo, e al 27 ottobre non erano confermati abusi.

Altri eventi da segnalare

Università di Copenaghen (istruzione): accesso a un ambiente di test, con dati di circa 525.000 persone (nome, numero di identità nazionale CPR, telefono, e-mail) e, in un aggiornamento, i codici di accesso fisico di circa 20.000 tra personale e studenti. Notificato al Garante danese.
ENGIE (energia): compromessa una piattaforma di marketing usata dai partner commerciali; esposti contatti e dati contrattuali di clienti in Francia, numero non comunicato. ENGIE dice che i suoi sistemi interni non sono stati toccati.
Quest Diagnostics (sanità): accesso non autorizzato a Quanum, piattaforma per ordini di analisi e fatturazione, con dati di pazienti sottratti. Quantità e responsabile non sono noti; la società ha depositato una comunicazione alla SEC (Beinsure).

Impatto assicurativo

Il quadro comune è la concentrazione: il sinistro non nasce dall'assicurato, ma da un'infrastruttura condivisa. Per ogni evento si può leggere così il possibile impatto sulle polizze.

Binance. Coperture potenzialmente attivate: furto di asset digitali, estorsione e interruzione di attività, ove previsti. Potenziale di accumulo: medio-alto, per le contropartite e i servizi collegati all'exchange (congelamenti di stablecoin, protocolli di finanza decentralizzata che hanno sospeso depositi e prestiti). Nodo contrattuale: molte polizze cyber limitano o escludono i beni digitali e il furto di criptovalute; contano la definizione di bene assicurato, la custodia e il sottolimite. L'attribuzione a uno Stato, ora indicata dall'FBI, richiama le esclusioni per atti di guerra o operazioni statali.
Amadeus. Coperture potenzialmente attivate: responsabilità per violazione dei dati, costi di notifica e di gestione dell'incidente, sanzioni ove assicurabili. Potenziale di accumulo: alto, perché lo stesso sistema serve più compagnie aeree in più Paesi. Nodo contrattuale: la durata dell'accesso (dal 2023) e la data di scoperta rispetto alla retroattività e al periodo di osservazione.
GMO Internet. Coperture potenzialmente attivate: estorsione, interruzione di attività, ripristino dei sistemi, responsabilità verso i clienti. Potenziale di accumulo: alto tra i clienti del servizio. Nodo contrattuale: perdite finanziarie da trading non autorizzato, che molte polizze escludono o limitano, e la distinzione tra danno al cliente e danno al fornitore.
PHP2Shell. Coperture potenzialmente attivate: tutte quelle di un incidente informatico, dal ripristino alla responsabilità. Potenziale di accumulo: molto alto, perché il software è diffusissimo e la stessa falla colpisce assicurati diversi. Nodo contrattuale: il ritardo nell'applicare le correzioni e le condizioni di gestione delle vulnerabilità.
UNM Health. Coperture potenzialmente attivate: interruzione di attività, ripristino, estorsione, responsabilità sanitaria per i dati. Potenziale di accumulo: basso come evento isolato, ma elevato come severità. Nodo contrattuale: sottolimiti e periodi di attesa dell'interruzione, e costi dei servizi sanitari non erogati.
Sony Network Communications. Coperture potenzialmente attivate: responsabilità per violazione dei dati, notifiche, monitoraggio dei crediti. Potenziale di accumulo: medio. Nodo contrattuale: la presenza di password tra i dati esposti, che può estendere il danno ad altri servizi dei clienti.

Il fornitore è il punto di accumulo. Amadeus (ora con anche Cathay Pacific), GMO e PHP2Shell mostrano che il rischio sta nelle dipendenze condivise più che nel singolo assicurato. Servono mappe delle dipendenze di portafoglio, non solo questionari per cliente.

La durata dell'intrusione cambia la lettura del sinistro. Un accesso che dura anni, come quello descritto per Amadeus, rende centrali le date di retroattività, di scoperta e di notifica. La stessa cautela vale per le dichiarazioni dei gruppi criminali, spesso non verificabili: per la valutazione conta il fatto accertato dall'assicurato e dal fornitore.

L'attribuzione statale pesa sui testi. Per Binance l'attribuzione alla Corea del Nord, indicata prima dagli analisti, è stata confermata dall'FBI il 1 novembre 2026, tre giorni dopo il furto. Le clausole sugli atti di guerra e sulle operazioni statali dipendono da come il testo definisce l'attribuzione e da chi può stabilirla.

L'interruzione pesa più del furto di dati. Per un ospedale la perdita principale è l'impossibilità di operare. Le condizioni sull'interruzione di attività, anche da fornitore, meritano più attenzione di quelle sul solo data breach.

Cosa portare nei rinnovi

I beni digitali e le criptovalute sono coperti, con quale sottolimite, e come sono definite custodia e wallet?
Quali fornitori critici (prenotazione, desktop cloud, hosting, MSP) sostengono l'attività dell'assicurato, e la polizza copre l'interruzione causata da un fornitore?
Esistono sottolimiti per l'interruzione di attività da fornitore, e quanto durano i periodi di attesa?
Come sono trattate le perdite finanziarie causate dall'uso non autorizzato di credenziali o di conti di trading?
Quali sono la retroattività e il periodo di osservazione, nel caso di accessi non autorizzati scoperti dopo anni?
Esiste un processo documentato per applicare le correzioni a vulnerabilità sfruttate (per esempio quelle del catalogo CISA) e in quali tempi?
Come sono coperti i costi di notifica e di gestione dell'incidente quando i dati esposti riguardano persone in più Paesi?

Sul lato portafoglio vale la pena censire le esposizioni a poche piattaforme ricorrenti (sistemi di prenotazione, hosting e desktop cloud, linguaggi e software molto diffusi) e simulare uno scenario in cui un solo fornitore coinvolge molti assicurati nello stesso periodo.