Un incidente di sicurezza che illustra con precisione quasi didattica i rischi della catena di fornitura esternalizzata: un threat actor che si fa chiamare Mr. Raccoon ha rivendicato ad aprile 2026 la violazione dei sistemi interni di Adobe, affermando di aver sottratto 13 milioni di ticket del servizio clienti, 15.000 record di dipendenti e — nella parte potenzialmente più pericolosa del bottino — l'intera base dati delle segnalazioni riservate del programma bug bounty su HackerOne. Il punto di ingresso non era Adobe stessa, ma un singolo laptop in un ufficio BPO esternalizzato in India.
Come è avvenuta la violazione
La catena d'attacco descritta da Mr. Raccoon è un manuale dell'ingegneria sociale applicata al contesto della supply chain. Tutto è iniziato con una email di phishing recapitata a un dipendente dell'azienda BPO indiana incaricata di gestire il supporto clienti di Adobe. Il messaggio conteneva un Remote Access Tool (RAT) che, una volta eseguito, ha dato all'attaccante il controllo silenzioso del computer della vittima — incluso l'accesso alla webcam e ai messaggi WhatsApp.
Con l'accesso ottenuto sul sistema del dipendente BPO, Mr. Raccoon ha poi condotto un secondo attacco di phishing mirato al responsabile del dipendente, ottenendo credenziali con privilegi più elevati. Da quel momento, aveva accesso alle piattaforme di supporto di Adobe attraverso gli account legittimi del partner.
La criticità tecnica che ha permesso l'esfiltrazione massiva è stata una falla nella piattaforma di ticketing di Adobe, che consentiva query bulk di dati senza adeguati meccanismi di rate limiting o controlli sulle anomalie di accesso. In assenza di limiti operativi, 13 milioni di ticket sono stati scaricati senza che il sistema generasse alert.
Il dato più sensibile: le vulnerabilità non patchate di HackerOne
Tra i dati esfiltrati, quello che preoccupa di più la comunità di sicurezza non sono i ticket clienti — pur contenendo potenzialmente informazioni personali e dati di licenza — ma le segnalazioni del programma bug bounty HackerOne.
Un programma bug bounty raccoglie, in forma riservata, le vulnerabilità scoperte dai ricercatori prima che vengano corrette. Questi report contengono dettagli tecnici completi su falle non ancora pubbliche e non ancora patchate nei prodotti Adobe — in pratica, un inventario di zero-day pronti per essere sfruttati. Se questi dati fossero effettivamente stati esfiltrati e venissero venduti o pubblicati, potrebbero innescare una catena di attacchi contro milioni di utenti di prodotti Adobe in tutto il mondo.
Adobe non ha ancora confermato
Al momento della pubblicazione di questo articolo, Adobe non ha rilasciato una dichiarazione ufficiale che confirmi o smentisca le rivendicazioni di Mr. Raccoon. L'assenza di comunicazione pubblica entro 72 ore da un potenziale data breach di questa portata solleva anche interrogativi sulla conformità al GDPR: se i ticket di supporto contengono dati personali di utenti europei — ed è pressoché certo che sia così — un'eventuale violazione confermata richiederebbe notifica all'autorità di controllo competente.
Le lezioni per chi esternalizza
Questo incidente è una cartina di tornasole dei rischi sistemici nell'esternalizzazione dei processi a BPO terzi. Alcune considerazioni pratiche:
Il principio del minimo privilegio dovrebbe applicarsi anche ai fornitori: un operatore BPO non dovrebbe poter scaricare milioni di ticket in una singola sessione. I controlli tecnici — rate limiting, anomaly detection, alert su query massive — devono essere presenti indipendentemente da chi ha le credenziali di accesso.
La formazione anti-phishing del personale BPO è responsabilità anche del committente, non solo del fornitore. I contratti di outsourcing dovrebbero includere requisiti minimi di sicurezza verificabili, non solo clausole contrattuali.
Infine, il caso Adobe ricorda che i programmi bug bounty, per quanto fondamentali per la sicurezza del software, rappresentano una concentrazione di informazioni estremamente sensibili che richiede protezione proporzionale al loro valore — e al rischio che comporta la loro esposizione.
