Il 10 luglio 2026 Progress Software ha inviato ai clienti di ShareFile una comunicazione fuori dall'ordinario: spegnere immediatamente i server Windows che ospitano gli Storage Zone Controller, i componenti on-premise della piattaforma di file sharing aziendale. La motivazione è una "minaccia esterna credibile" che prende di mira proprio questi sistemi. Non un bollettino con una patch da applicare, quindi, ma un ordine di spegnimento: una misura drastica che nel software enterprise si vede di rado e che dice molto sulla gravità percepita dal vendor.

In parallelo Progress ha disabilitato temporaneamente l'accesso agli account ShareFile che utilizzano gli Storage Zone Controller, come conferma la pagina di stato del servizio. L'azienda dichiara di non avere al momento evidenze di accessi non autorizzati a dati o account, ma non ha chiarito se all'origine ci sia una vulnerabilità zero-day, né ha indicato tempi per una correzione.

Cosa sono gli Storage Zone Controller e perché sono un bersaglio

ShareFile è una piattaforma di condivisione file pensata per le aziende: la gestione di utenti, autenticazione e collaborazione avviene nel cloud del vendor, ma chi ha esigenze di residenza dei dati può installare on-premise gli Storage Zone Controller, server Windows che mantengono i file all'interno dell'infrastruttura del cliente facendo da ponte verso il cloud. Per funzionare, questi server sono in genere esposti su Internet.

È esattamente il profilo dei sistemi di managed file transfer che negli ultimi anni ha attirato i gruppi di estorsione: server raggiungibili dall'esterno, pieni di documenti sensibili, spesso poco presidiati. La storia recente parla chiaro: Accellion FTA, GoAnywhere MFT, Cleo e soprattutto MOVEit Transfer — un altro prodotto Progress — sfruttato nel 2023 dal gruppo Clop in una campagna che ha colpito oltre duemila organizzazioni nel mondo. Non è un caso che diversi analisti, davanti a un avviso così brusco, abbiano ipotizzato che Progress sappia più di quanto abbia comunicato finora.

Cosa significa per le aziende italiane

In Italia ShareFile è diffuso soprattutto dove lo scambio documentale è il cuore del lavoro: studi legali e commercialisti, società di consulenza, sanità privata, finanza, uffici tecnici. Sono proprio i contesti in cui i file custoditi dagli Storage Zone Controller hanno il massimo valore estorsivo: bilanci, contratti, dati di pazienti e clienti, proprietà intellettuale.

Il rischio concreto, alla luce dei precedenti, non è tanto la cifratura dei sistemi quanto l'esfiltrazione silenziosa dei dati seguita da richiesta di riscatto, secondo il modello che Clop ha reso standard con MOVEit. Un dettaglio operativo da non sottovalutare: lo spegnimento richiesto da Progress interrompe i flussi documentali. Chi usa ShareFile per processi critici (invio referti, scambio con clienti, conservazione) deve attivare subito un canale alternativo sicuro, evitando la tentazione di ripiegare su e-mail non protette o servizi consumer.

Il quadro normativo: notifiche e obblighi

Se dall'indagine dovesse emergere una compromissione con impatto su dati personali, scatterebbe la notifica al Garante Privacy entro 72 ore ai sensi dell'articolo 33 del GDPR. Per i soggetti essenziali e importanti sotto il perimetro NIS2, un incidente significativo sui sistemi di scambio file comporterebbe la pre-notifica al CSIRT Italia entro 24 ore e la notifica completa entro 72. Vale la pena ricordare che l'obbligo riguarda l'organizzazione che subisce l'impatto, non il vendor: "aspettiamo che Progress ci dica qualcosa" non è una strategia difendibile davanti alle autorità. Documentare adesso le azioni intraprese (spegnimento, verifiche, log) è il modo migliore per arrivare preparati a un'eventuale notifica.

Cosa fare subito

  • Spegnere i server Windows che ospitano Storage Zone Controller, come richiesto da Progress: non limitarsi a isolarli dalla rete perimetrale.
  • Censire le installazioni: verificare se in azienda (o presso fornitori IT) esistono Storage Zone Controller dimenticati o gestiti da terzi.
  • Conservare i log di questi server prima dello spegnimento, se possibile: saranno preziosi per verificare eventuali accessi anomali retroattivi.
  • Cercare indicatori di compromissione: connessioni inattese in uscita, creazione di file .aspx o web shell nelle directory del controller, account locali nuovi.
  • Attivare un canale documentale alternativo cifrato per i processi critici, evitando soluzioni improvvisate.
  • Monitorare la pagina di stato di Progress e i canali CSIRT per aggiornamenti: se verrà pubblicata una patch o una CVE, applicarla prima di riaccendere.
  • Preparare la catena di notifica interna (DPO, referente NIS2, vertici) per non farsi trovare impreparati se l'incidente venisse confermato.

La vicenda è in pieno sviluppo e i contorni potrebbero cambiare nelle prossime ore. Ma la lezione di MOVEit vale già oggi: con i sistemi di file transfer esposti su Internet, tra il primo avviso e l'estorsione di massa passano giorni, non mesi. Chi spegne, verifica e documenta adesso si gioca la partita nelle condizioni migliori.