Microsoft 365 fermo per oltre un giorno: cosa significa un guasto non malevolo per chi assume il rischio cyber

Dal 12 novembre 2026 un guasto ai server di Microsoft 365 ha fermato Outlook, Exchange Online e altri servizi in almeno 74 Paesi, senza segni di attacco. L'analisi: perché molte polizze cyber non scattano, periodo di attesa e quantificazione, il cumulo sul fornitore unico e domande per i rinnovi.

Analisi del 13 novembre 2026, a interruzione ancora in corso · di cybercoverinsurance

Giovedì 12 novembre 2026, intorno alle 17:30 ora di Londra, Outlook, Exchange Online e altri servizi di Microsoft 365 hanno smesso di funzionare per milioni di utenti, prima nelle Americhe e poi in altre regioni. Il 13 novembre il recupero era in corso ma non completo: Microsoft segnalava miglioramenti in Nord America e in Europa, avvertendo che i problemi intermittenti potevano continuare. Secondo Microsoft non ci sono segni di attività malevola.

Per il mercato assicurativo il caso è un nuovo esempio di guasto non malevolo di un grande fornitore, a poco più di due anni da CrowdStrike. La prima stima di Morningstar DBRS colloca le perdite assicurate globali tra 300 e 500 milioni di dollari. La domanda per chi assume il rischio cyber è quali polizze rispondono davvero a un fermo che non nasce da un attacco, e quanto pesa la dipendenza da un unico fornitore di posta e collaborazione.

Cosa si sa

L'inizio. Secondo TechRadar, le segnalazioni su Downdetector sono salite intorno alle 12:30 ora della costa est degli Stati Uniti del 12 novembre, con oltre 131.000 segnalazioni per Outlook al picco. L'interruzione ha toccato almeno 74 Paesi. Microsoft ha registrato gli incidenti EX1550543 e MO1550821 nel centro di amministrazione di Microsoft 365 (TechRadar).

La causa dichiarata. Microsoft ha attribuito il problema a un carico elevato su più regioni, dovuto a un gran numero di server diventati inaspettatamente indisponibili, non a un aumento del traffico. Ha sospeso tutti i rilasci, spostato il traffico, riavviato i server colpiti e dichiarato che alcuni interventi non avevano dato il sollievo atteso (ABC News). Secondo ABC Australia, Microsoft ha poi indicato un processo centrale dei server che veniva sovraccaricato e ha annullato una recente modifica di configurazione di rete che riteneva possibile causa (ABC Australia).

I servizi. La pagina di stato di Microsoft elencava Exchange Online, Teams, SharePoint Online, Copilot per Microsoft 365 e Defender XDR (TechRadar). ABC Australia riporta anche Planner, To Do, Intune, Purview, Power BI, Power Apps e Universal Print, con l'accesso diretto ai file di SharePoint rimasto attivo.

Gli effetti. Il Dipartimento per le emergenze di New York ha avvertito di possibili ritardi nei servizi online delle agenzie cittadine (ABC News). In Australia sono stati colpiti, tra gli altri, la polizia federale, il tribunale online per la cauzione del Nuovo Galles del Sud e Canberra Health Services, senza impatti clinici noti; il governo australiano ha attivato un accordo con Microsoft per avere supporto prioritario (ABC Australia). Nel Regno Unito consigli comunali e forze di polizia hanno chiesto di telefonare invece di scrivere (TechRadar). A Toronto il St. Michael's Hospital ha dichiarato un «code grey», l'allerta interna per guasto delle infrastrutture (Insurance Business).

Il recupero. Il 13 novembre Microsoft ha segnalato «progressi incoraggianti», con la capacità non ancora tornata alla normalità e il traffico reintrodotto con cautela. Ha esteso a 48 ore la finestra di attesa delle e-mail, perché i messaggi in ritardo non vadano persi (TechRadar).

Cosa non si sa. La durata complessiva, la causa definitiva e il numero di organizzazioni colpite non sono ancora noti.

Le polizze cyber che non scattano

Serve un attacco, o almeno il sospetto. Joe Hershewe, responsabile sinistri di Bellrock Advisory a Sydney, osserva che la maggior parte dei testi cyber richiede una violazione effettiva o sospetta per attivarsi, e dubita che gli assicurati colpiti superino questa soglia (Insurance Business). Un guasto di un fornitore senza intrusione resta fuori dalla garanzia principale.

Il guasto di sistema è un'estensione, non la regola. Alcune polizze coprono anche l'interruzione da guasto non malevolo, propria o di un fornitore. Hershewe nota che le coperture per eventi diffusi esistono, con criteri propri, ma non sono standard nei testi per le medie imprese (stessa fonte). Per chi assume il rischio, il caso Microsoft è il momento per verificare quanti assicurati hanno davvero questa estensione e con quali limiti.

Il fornitore deve essere compreso. L'interruzione da dipendenza copre il fermo di un fornitore, ma spesso solo per fornitori nominati o per categorie precise, come i fornitori di servizi informatici. Un servizio cloud di posta e collaborazione rientra di solito nella definizione, ma il testo va letto: alcune polizze escludono i guasti di infrastrutture pubbliche o dei grandi fornitori cloud.

Il periodo di attesa e la quantificazione

Le ore contano. Le garanzie di interruzione dell'attività prevedono un periodo di attesa, fissato in ore dalla polizza, prima che il fermo diventi indennizzabile. Morningstar DBRS ricorda che i periodi di attesa, le franchigie e i sottolimiti determineranno l'esito dei sinistri (Actuarial Post). Un'interruzione di oltre un giorno supera molti periodi di attesa; una ripresa a macchia di leopardo, regione per regione, rende difficile stabilire quando il fermo è finito.

Un fermo parziale è difficile da misurare. Il fermo della posta non blocca necessariamente l'attività: molte imprese hanno continuato a lavorare con telefono e file condivisi. Per la perdita di reddito, l'assicurato deve dimostrare un calo dei ricavi o un aumento dei costi legato al fermo. Per gli studi professionali l'impatto può essere alto: un consulente citato da ABC Australia stima oltre 100.000 dollari all'ora per le società di servizi professionali, una stima non verificata (ABC Australia).

I costi aggiuntivi. Più facili da documentare sono i costi straordinari: personale in straordinario, strumenti alternativi, comunicazioni ai clienti. Molte polizze li coprono come spese per ridurre il danno, anche quando la perdita di reddito è contestabile.

Il cumulo sul fornitore unico

Una stima prudente. Morningstar DBRS stima perdite assicurate globali tra 300 e 500 milioni di dollari, sotto la forbice di 400 milioni - 1,5 miliardi stimata da CyberCube per CrowdStrike nel 2024. La differenza dipende dalle esclusioni per guasti tecnologici non malevoli. Secondo la stessa fonte, se l'interruzione durasse diversi giorni l'evento potrebbe diventare grave quanto CrowdStrike o peggio (Actuarial Post).

La concentrazione su Microsoft 365. Posta, calendario, archiviazione dei file, autenticazione e sicurezza della postazione sono spesso dallo stesso fornitore. Un guasto su un componente comune ferma più funzioni insieme. Tra i servizi colpiti c'era anche Defender XDR (TechRadar): quando cade lo strumento di sicurezza, l'assicurato è meno protetto proprio mentre i truffatori sfruttano l'evento.

La truffa che segue il guasto. La banca ING ha avvertito i clienti di truffatori che si offrivano di «riparare» l'interruzione (ABC Australia). Un guasto non malevolo può generare sinistri malevoli: phishing, frode sui pagamenti, accessi da falsi tecnici. Questi sinistri rientrano invece nella copertura cyber ordinaria.

I dati che escono dal perimetro. Ali Yavari, professore associato alla Swinburne University of Technology, segnala il rischio che i dipendenti usino account personali per spostare dati durante il fermo (Insurance Business, edizione statunitense). È un'esposizione di dati che può emergere settimane dopo, come violazione della riservatezza.

Cosa portare nei rinnovi

Impatto per gli assicuratoriAlto

Un guasto non malevolo di Microsoft 365, durato oltre un giorno in più regioni, verifica le garanzie per guasto di sistema e per interruzione da dipendenza in tutto il portafoglio, con una prima stima di 300-500 milioni di dollari di perdite assicurate.

Sul piano del portafoglio, il caso suggerisce di contare quanti assicurati hanno l'estensione per guasto di sistema dei fornitori cloud e con quali periodi di attesa, e di inserire nei test di cumulo uno scenario di 24-72 ore senza Microsoft 365, separando le perdite da guasto puro da quelle da frode e phishing che seguono. La stima finale dipenderà dalla durata, ancora aperta.