ANALISI
F5, codice sorgente rubato da un attore statale: il rischio sistemico in attesa
Il 15 ottobre 2025 F5 ha comunicato che un attore statale aveva rubato parti del codice sorgente di BIG-IP e informazioni su vulnerabilità non pubblicate, e la CISA ha emesso una direttiva d'emergenza. L'analisi: il furto che prepara i sinistri, esclusioni per attori statali, danno al fornitore e domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di ottobre 2025 · di cybercoverinsurance
Il 15 ottobre 2025 F5, uno dei principali produttori di apparati per la gestione del traffico e la sicurezza delle reti aziendali, ha comunicato che un attore statale aveva avuto accesso prolungato ai suoi sistemi e aveva rubato parti del codice sorgente di BIG-IP e informazioni su vulnerabilità non ancora pubblicate. Il giorno stesso la CISA ha emesso una direttiva d'emergenza per le agenzie federali. F5 aveva scoperto l'intrusione il 9 agosto e aveva ritardato la comunicazione su richiesta del Dipartimento di Giustizia.
Per chi assume il rischio cyber il caso è un rischio sistemico in attesa: non ha prodotto sinistri noti, ma ha messo nelle mani di un attore statale il codice e le vulnerabilità di prodotti installati ai margini di migliaia di reti. Tocca tre temi: il cumulo su un fornitore di sicurezza, le esclusioni per attori statali e il danno al fornitore stesso.
Cosa si sa
L'intrusione. Secondo il modulo 8-K di F5, l'azienda ha saputo della violazione il 9 agosto 2025. L'autore è descritto come un attore statale molto sofisticato, con accesso persistente di lungo periodo. Bloomberg ha riferito di almeno dodici mesi di accesso e ha collegato l'intrusione al malware BRICKSTORM, attribuito a un gruppo legato alla Cina. Sono stati sottratti parti del codice sorgente di BIG-IP, informazioni su vulnerabilità che F5 stava correggendo e dati di configurazione di una piccola percentuale di clienti. F5 ha dichiarato di non aver visto sfruttamenti delle vulnerabilità (The Hacker News).
La direttiva. La direttiva d'emergenza ED 26-01 della CISA ha chiesto alle agenzie civili federali di inventariare i prodotti BIG-IP, verificare se le interfacce di gestione fossero raggiungibili da internet, applicare gli aggiornamenti entro il 22 ottobre e comunicare l'inventario entro il 29 ottobre. La CISA ha parlato di «minaccia imminente» per le reti federali. F5 ha ruotato credenziali, certificati e chiavi di firma, con il supporto di Mandiant e CrowdStrike (The Hacker News).
L'effetto sul fornitore. Il 27 ottobre F5 ha previsto per l'esercizio 2026 una crescita dei ricavi tra lo 0 e il 4%, contro il 10% dell'anno precedente e una crescita media a una cifra attesa prima della violazione. L'azienda prevede rallentamenti nei cicli di vendita mentre i clienti valutano e mettono in sicurezza i propri ambienti, soprattutto nel primo semestre. Il titolo ha perso oltre il 6% dopo i risultati (SiliconANGLE).
Cosa non è noto. Quanti dispositivi BIG-IP siano esposti a internet con interfacce di gestione raggiungibili, quali clienti abbiano avuto dati di configurazione sottratti e se le informazioni rubate siano state usate in attacchi successivi non è stato reso pubblico.
Il furto che prepara i sinistri
Il codice rubato è un vantaggio di tempo. Con il codice sorgente e l'elenco delle vulnerabilità ancora da correggere, un attaccante può cercare difetti prima che vengano chiusi. Come ha osservato Unit 42, trovare difetti sfruttabili richiede tempo (The Hacker News). Il sinistro, se arriva, arriva dopo, e su molti assicurati insieme.
I prodotti stanno al confine della rete. Gli apparati BIG-IP gestiscono il traffico verso applicazioni e servizi, spesso esposti a internet. Una vulnerabilità sfruttata su questi dispositivi apre l'accesso alla rete interna. È lo stesso tipo di prodotto che nel passato ha prodotto ondate di sfruttamento di massa.
L'interfaccia di gestione esposta è il fattore di rischio. La direttiva chiedeva per prima cosa di verificare se le interfacce di gestione fossero raggiungibili da internet (The Hacker News). È una domanda semplice da porre agli assicurati, e un dato che una scansione esterna può confermare.
L'attore statale e le esclusioni
Un furto di spionaggio, non un atto di guerra. Il furto di codice da parte di un gruppo legato a uno Stato rientra nello spionaggio informatico. Le esclusioni per atti statali introdotte negli ultimi anni guardano di norma agli attacchi che compromettono il funzionamento o la sicurezza di uno Stato. Il furto presso F5 difficilmente vi rientra.
Lo sfruttamento successivo è un'altra storia. Se in futuro un attore statale usasse le vulnerabilità per attaccare infrastrutture critiche, le stesse esclusioni potrebbero entrare in gioco per gli assicurati colpiti. La stessa origine può produrre sinistri pagati in un caso ed esclusi in un altro, secondo il bersaglio e l'effetto.
L'attribuzione è arrivata dalla stampa. F5 ha parlato di attore statale senza nominarlo. Il collegamento con la Cina viene da Bloomberg (The Hacker News). Per i testi che richiedono un'attribuzione ufficiale, la distanza tra le dichiarazioni dell'azienda e quelle della stampa conta.
Il danno al fornitore
Il primo sinistro è commerciale. F5 non ha comunicato costi diretti significativi, ma ha ridotto le previsioni di crescita (SiliconANGLE). Per un fornitore di sicurezza, la perdita di fiducia si traduce in vendite rinviate. È un danno reale che le polizze cyber di norma non coprono: la perdita di ricavi futuri per danno reputazionale ha coperture limitate e definite in modo stretto.
La responsabilità verso i clienti resta aperta. I clienti con dati di configurazione sottratti, o colpiti in futuro attraverso vulnerabilità scoperte grazie al codice rubato, potrebbero rivolgersi a F5. Per gli assicuratori di un fornitore di sicurezza, la responsabilità professionale verso i clienti è la linea più esposta.
Cosa portare ai rinnovi
Impatto per gli assicuratoriAlto
Un attore statale ha rubato codice sorgente e vulnerabilità non pubblicate di un prodotto installato al confine di migliaia di reti, creando un rischio di sfruttamento futuro su molti assicurati insieme.
Sul fronte del portafoglio, il caso F5 suggerisce di sapere quanti assicurati usano gli stessi apparati di rete esposti a internet. Una vulnerabilità sfruttata in massa su questi prodotti è uno scenario di cumulo che non dipende da un evento già avvenuto, ma da una preparazione già fatta.