Cyber insurance: gli eventi della settimana dal 7 al 14 novembre 2026

Cinque eventi cyber della settimana dal 7 al 14 novembre 2026, da Expedia colpita attraverso la piattaforma dati di un fornitore a Maersk, la galleria di base del Brennero, Nitori e Vanderbilt University, uniti da sistemi periferici, ereditati o affidati a terzi. Con l'impatto assicurativo e le domande da portare nei rinnovi.

Settimana dal 7 al 14 novembre 2026

La settimana dal 7 al 14 novembre 2026 ha un filo comune: il punto debole sta dove l'azienda guarda meno. Un grande gruppo di viaggi online viene raggiunto attraverso la piattaforma dati di un fornitore, mentre un gruppo criminale dichiara quasi un miliardo di record sottratti. Un colosso della logistica scopre l'intrusione in un sistema ereditato da un'acquisizione. Il consorzio che costruisce la galleria di base del Brennero conferma il furto di dati da un server usato per lo scambio di file con l'esterno. In Giappone un grande distributore di mobili stima fino a 37,6 milioni di record esposti e negli Stati Uniti un'università chiede a tutti di spegnere i computer. Per chi assume il rischio cyber, la domanda non è solo come è protetto il sistema principale dell'assicurato, ma quali sistemi secondari, ereditati o affidati a terzi restano collegati ai suoi dati.

In sintesi

Expedia Group: il 12 novembre il gruppo conferma un accesso ai propri sistemi attraverso un fornitore di piattaforme dati compromesso; il gruppo n0n dichiara oltre 830 milioni di record dei programmi fedeltà, cifre non confermate.
Maersk: l'11 novembre il gruppo conferma il furto di dati da un sistema legacy ereditato da un'acquisizione; nessun impatto dichiarato sulle operazioni.
Galleria di base del Brennero: il 7 novembre BBT SE conferma un attacco di metà ottobre a dati accessibili da internet; il gruppo Everest dichiara 812 GB e chiede un riscatto, che il consorzio rifiuta.
Nitori: il 10 novembre il distributore giapponese di mobili comunica fino a 37,62 milioni di record personali potenzialmente sottratti.
Vanderbilt University: il 9 novembre l'università annuncia un attacco e chiede di spegnere tutti i dispositivi; il gruppo BYOD la inserisce nel proprio sito.

Gli attacchi della settimana

1. Expedia Group: il fornitore della piattaforma dati

Giovedì 12 novembre 2026 Expedia Group ha confermato che degli attaccanti hanno raggiunto i suoi sistemi attraverso un fornitore di piattaforme dati compromesso, in un attacco alla catena di fornitura che ha colpito anche altre aziende. Il gruppo dichiara di aver contenuto l'incidente, di indagare con esperti esterni e che le sue piattaforme restano sicure; non ha indicato il fornitore né l'entità dei dati coinvolti. I ricercatori di Wiz e Sentra hanno documentato un attacco tra il 14 e il 26 ottobre che ha coinvolto Qubole, piattaforma di dati in cloud già fornitrice di Expedia; Expedia non ha confermato il collegamento (Skift).

Il gruppo di estorsione n0n, comparso a metà settembre 2026 e orientato al furto di dati più che alla cifratura, dichiara di aver sottratto oltre 830 milioni di record di 35 programmi fedeltà, 58 milioni di profili di viaggiatori, oltre 333 milioni di record di account e credenziali e circa 2,5 milioni di record di spesa con carta collegati a indirizzi e-mail sottoposti a hash. Secondo Security Affairs, Wiz e Sentra indicano che gli attaccanti hanno usato una chiave di fornitore di Qubole sottratta per accedere alla piattaforma di big data di Expedia. Expedia non ha confermato le cifre di n0n (Security Affairs).

2. Maersk: il sistema ereditato da un'acquisizione

L'11 novembre 2026 Maersk ha comunicato un incidente di sicurezza informatica in «un sistema legacy ereditato con una precedente acquisizione». Gli attaccanti hanno ottenuto un accesso non autorizzato ed estratto dati; secondo le prime verifiche non sarebbero state divulgate informazioni sensibili. Maersk dichiara che l'incidente sembra limitato a quel sistema, senza segni di compromissione delle altre infrastrutture né dei sistemi di clienti e partner collegati tramite API ed EDI, e non ha segnalato interruzioni delle attività logistiche (IT Nerd).

Il gruppo WhiteArmour ha inserito Maersk nel proprio sito, dichiarando di avere oltre 16.000 password di autisti conservate in chiaro e chiedendo 5 milioni di dollari in bitcoin; Maersk non ha confermato il collegamento. I ricercatori di Cybernews collegano l'incidente a LF Logistics, società di logistica acquisita da Maersk nel 2022 (Cybernews). Per un gruppo che nel 2017 aveva subito NotPetya, il caso conferma che le acquisizioni portano con sé sistemi, credenziali e collegamenti che vanno riesaminati.

3. Galleria di base del Brennero: i dati del cantiere

Il 7 novembre 2026 BBT SE, la società che costruisce la galleria ferroviaria di base del Brennero tra Italia e Austria, controllata da ÖBB e RFI, ha confermato un attacco mirato avvenuto a metà ottobre. Gli attaccanti hanno avuto accesso parziale a dati «accessibili via internet»; i sistemi colpiti sono stati isolati, sono stati coinvolti esperti esterni e le autorità. Il 17 ottobre il gruppo Everest aveva inserito la galleria nel proprio sito, dichiarando di aver sottratto 812 GB; la cifra non è verificata (bluewin).

Secondo Escudo Digital, il punto d'ingresso è un server collegato a internet usato per lo scambio di dati con l'esterno, e i dati sottratti comprendono documenti amministrativi, dati topografici e documenti di gara. Everest ha chiesto un riscatto di importo non reso noto; BBT SE rifiuta di trattare e di pagare e segnala ogni contatto alle forze dell'ordine. La società dichiara che l'attacco non ha avuto effetti tecnici sullo scavo e che i sistemi di sicurezza industriale sono intatti; le indagini in Austria e in Italia sono aperte (Escudo Digital).

4. Nitori: fino a 37,6 milioni di record

Il 10 novembre 2026 Nitori, grande distributore giapponese di mobili e articoli per la casa, ha comunicato che fino a 37,62 milioni di record personali «potrebbero essere stati divulgati all'esterno». La società ha rilevato e bloccato l'intrusione il 6 novembre; secondo l'indagine l'attaccante aveva accesso al sistema da circa metà ottobre. Sono potenzialmente coinvolti numeri di tessera, nomi, e-mail, indirizzi, telefoni, date di nascita e genere dei clienti, dati dei clienti aziendali e informazioni sugli ordini online; Nitori esclude password e carte di credito. La cifra è una stima massima e il numero dei clienti effettivamente coinvolti non è ancora determinato; la società sta verificando anche se sia coinvolto un ransomware (BleepingComputer).

5. Vanderbilt University: spegnere tutto

Lunedì 9 novembre 2026 Vanderbilt University ha annunciato un attacco informatico che poteva coinvolgere dispositivi e sistemi del campus. L'università ha chiesto a tutti di spegnere i dispositivi, scollegarsi dal Wi-Fi e segnalare finestre di avviso, modifiche ai file o richieste di password. L'attacco è emerso dopo che il gruppo BYOD ha inserito l'università nel proprio sito, con dichiarazioni sul furto di dati. Non è indicato se sia coinvolto il Vanderbilt University Medical Center. BYOD, attivo da fine settembre secondo l'esperto Allan Liska, è lo stesso gruppo che ha rivendicato l'attacco all'University of New Mexico (The Record).

Altri eventi da segnalare

Microsoft 365 (tecnologia): dal 12 novembre un guasto blocca per quasi 24 ore Outlook, Exchange Online e altri servizi in più regioni; Microsoft indica un processo dei server sovraccarico e dichiara che non ci sono segni di attività malevola. Morningstar DBRS stima in via preliminare perdite assicurate globali tra 300 e 500 milioni di dollari (Actuarial Post).
Quantum Systems (difesa): il produttore tedesco di droni conferma un attacco di fine ottobre; secondo Der Spiegel e il Financial Times un aggiornamento malevolo del software di pianificazione delle missioni è stato distribuito dal server del produttore, e le forze armate tedesche hanno tenuto a terra i droni per precauzione.
TSMC (semiconduttori): il 12 novembre il produttore di chip comunica che dati personali di dipendenti ed ex dipendenti, corrispondenti a quelli di un fornitore cloud, sono comparsi online; nessuna prova di compromissione dei propri sistemi.
Baker Tilly (servizi professionali): la società di revisione notifica ai clienti una violazione presso un fornitore non nominato, con numeri di previdenza sociale; 10.456 persone solo in Texas.

Impatto assicurativo

Il quadro comune è la periferia: fornitori di dati, sistemi ereditati, server di scambio file e servizi cloud condivisi. Per ogni evento si può leggere così il possibile impatto sulle polizze.

Expedia Group. Coperture potenzialmente attivate: gestione dell'incidente, notifica, responsabilità per la privacy, estorsione. Potenziale di cumulo: alto, perché la stessa piattaforma dati serviva più aziende. Nodo contrattuale: il danno nato presso un fornitore e la possibilità di rivalsa, insieme a dichiarazioni del gruppo criminale non verificate.
Maersk. Coperture potenzialmente attivate: gestione dell'incidente, notifica, estorsione. Potenziale di cumulo: basso. Nodo contrattuale: i sistemi delle società acquisite e la loro inclusione nella definizione di sistema informatico dell'assicurato.
Galleria di base del Brennero. Coperture potenzialmente attivate: gestione dell'incidente, estorsione, responsabilità verso terzi per documenti di gara e tecnici. Potenziale di cumulo: basso. Nodo contrattuale: la riservatezza di dati tecnici di un'infrastruttura strategica e le esclusioni per operazioni statali, se emergesse un legame.
Nitori. Coperture potenzialmente attivate: notifica, responsabilità per la privacy, sanzioni ove assicurabili. Potenziale di cumulo: basso. Nodo contrattuale: i sottolimiti per la notifica rispetto a un numero di persone ancora indeterminato.
Vanderbilt University. Coperture potenzialmente attivate: ripristino, interruzione dell'attività, estorsione, notifica. Potenziale di cumulo: medio, per lo stesso gruppo attivo contro più università. Nodo contrattuale: il fermo deciso dall'assicurato per contenere l'attacco.

Il fornitore di dati è un punto di cumulo. Expedia, TSMC e Baker Tilly vedono i propri dati colpiti presso terzi. Il questionario deve chiedere dove stanno i dati, non solo chi li possiede.

Le acquisizioni portano rischi nascosti. Maersk scopre l'intrusione in un sistema ereditato. Nell'assunzione del rischio contano i sistemi delle società acquisite e il tempo previsto per integrarli o spegnerli.

Un guasto non è un attacco, ma pesa uguale. Il fermo di Microsoft 365 non nasce da un attacco e per molte polizze potrebbe non far scattare la garanzia. Le condizioni sui guasti di sistema e sui fornitori indicano chi paga davvero.

Cosa portare nei rinnovi

Quali fornitori di piattaforme dati e di analisi conservano copie dei dati dei clienti dell'assicurato, e con quali chiavi di accesso?
Le chiavi e le credenziali concesse ai fornitori vengono ruotate e revocate quando il rapporto cambia o finisce?
Quali sistemi delle società acquisite restano attivi, collegati alla rete o ai dati del gruppo?
I server usati per lo scambio di file con l'esterno sono censiti, protetti e controllati?
La polizza copre l'interruzione causata da un guasto non malevolo di un fornitore cloud, e con quale periodo di attesa?
L'assicurato ha una procedura per spegnere i dispositivi in modo ordinato e ripartire, e l'ha provata?
Come sono trattate le richieste di estorsione per dati sottratti senza cifratura dei sistemi?

Sul lato portafoglio vale la pena censire gli assicurati che usano le stesse piattaforme di dati in cloud e lo stesso fornitore di posta e collaborazione, e simulare uno scenario in cui un solo fornitore colpisce molti assicurati con un furto di dati o con un fermo.