Il 7 luglio 2026 un attore malevolo noto con l'alias "888" ha messo in vendita su un forum criminale 35 GB di dati che sostiene di aver sottratto ad Accenture: codice sorgente, chiavi private RSA e SSH, Personal Access Token di Azure, chiavi di accesso ad Azure Storage e file di configurazione interni. La vendita è proposta come cessione una tantum, con pagamento esclusivamente in Monero. A corredo, uno screenshot che mostra la clonazione di un repository Azure DevOps denominato "121123_AtriasTalentAcademy" da un host con dominio accenture.com.

Accenture ha confermato a più testate l'esistenza di un incidente di sicurezza, definendolo una "questione isolata" e assicurando che "non c'è impatto sulle operazioni e sull'erogazione dei servizi". La società non ha però confermato il volume dei dati, l'autenticità dei file elencati né se le credenziali in vendita siano ancora attive. Le prove pubbliche restano quindi parziali: la rivendicazione va presa con cautela, come sempre in questi casi. Va detto che "888" è un attore già noto per aver diffuso in passato dati riconducibili a grandi aziende, e che per Accenture questo è il terzo incidente rilevante dal ransomware LockBit del 2021.

Perché questo breach è diverso da un furto di dati qualunque

Ciò che colpisce dell'elenco pubblicato non sono i dati personali — che non vengono menzionati — ma il tipo di materiale: chiavi SSH e RSA, token Azure e file di configurazione sono le fondamenta operative con cui una società di consulenza accede e gestisce gli ambienti dei propri clienti. Nelle mani sbagliate, una chiave valida non fa scattare alcun allarme: autentica in silenzio, come farebbe un tecnico legittimo. I file di configurazione, dal canto loro, disegnano la mappa delle architetture di produzione, e il codice sorgente rivela come sono costruiti i sistemi sviluppati per i clienti.

È lo stesso schema che ha reso devastanti incidenti come quello di Okta del 2023: il valore non è nel dato in sé, ma nell'accesso che il dato abilita. Per questo un breach "senza dati personali" può essere molto più pericoloso di tanti data leak da milioni di record.

Cosa significa per le aziende italiane

Accenture è uno dei principali fornitori di servizi IT e consulenza in Italia, con una presenza capillare in banche, assicurazioni, utility, industria e pubblica amministrazione. Moltissime organizzazioni italiane hanno ambienti a cui il personale del fornitore accede con credenziali, token o chiavi dedicate: è esattamente il perimetro che un incidente di questo tipo mette in discussione.

Il punto non è l'allarmismo verso un singolo fornitore — che resta tra i più strutturati al mondo sul fronte sicurezza — ma la gestione del rischio di terza parte, che in Italia rimane spesso sulla carta. La domanda giusta non è "Accenture è stata bucata?", bensì: se il mio fornitore principale lo fosse, me ne accorgerei? So quali chiavi, token e utenze del fornitore vivono nei miei sistemi? Ho un processo per ruotarle su richiesta, in ore e non in settimane?

La normativa, peraltro, quella domanda la impone già. La NIS2 richiede ai soggetti essenziali e importanti di presidiare la sicurezza della catena di approvvigionamento, valutando le pratiche dei fornitori con accesso ai propri sistemi. La DORA, per il settore finanziario, va oltre: registro delle terze parti ICT, clausole contrattuali su notifica degli incidenti e diritti di audit, strategie di uscita. Un incidente al fornitore che impatta i propri sistemi può inoltre far scattare gli obblighi di notifica verso CSIRT Italia o, se coinvolge dati personali, verso il Garante ai sensi del GDPR.

Cosa fare subito

  • Se siete clienti Accenture: chiedere formalmente al referente contrattuale una dichiarazione sull'impatto dell'incidente sul vostro perimetro, invocando le clausole di notifica presenti in contratto.
  • Censire gli accessi del fornitore: utenze, chiavi SSH, token API, VPN e tunnel attivi riconducibili a personale o sistemi di terze parti.
  • Ruotare le credenziali condivise con il fornitore dove il costo è basso; pianificare la rotazione delle altre.
  • Verificare i log degli accessi da utenze di terza parte nelle ultime settimane, cercando orari, provenienze o volumi anomali.
  • Applicare il principio del minimo privilegio agli account dei fornitori: accessi a tempo, just-in-time, con MFA e monitoraggio dedicato.
  • Aggiornare il registro delle terze parti (obbligatorio sotto DORA, buona pratica per tutti) annotando l'incidente e le verifiche svolte.

La lezione più ampia riguarda il modello stesso dell'outsourcing IT: concentrare in pochi grandi fornitori le chiavi di accesso a migliaia di aziende crea bersagli il cui valore supera quello di qualsiasi singola vittima. Il rischio di terza parte non si esternalizza: si può delegare l'operatività, mai la responsabilità.