I più gravi attacchi informatici in Spagna

Il 2026 è iniziato male per le organizzazioni spagnole. Solo nelle prime settimane dell’anno è stata confermata una violazione presso Endesa, il Ministerio de Hacienda ha avviato un’indagine su un’intrusione e sono stati segnalati come bersagli il porto di Vigo, la catena di palestre Basic Fit, Inditex e il gruppo di supermercati Ahorramás.

L'anno precedente non era stato da meno: Telefónica, El Corte Inglés, Mango, Santander e ING hanno tutte subito la fuga di dati dei propri clienti. Questo articolo illustra otto casi documentati, cosa è stato effettivamente divulgato e lo schema che accomuna quasi tutti questi episodi.

I più gravi attacchi informatici in Spagna

1. Endesa (2026): 20 milioni di clienti dichiarati

L'azienda energetica ha confermato una violazione della sicurezza in seguito alla quale sono stati resi pubblici i dati personali dei clienti, tra cui recapiti, numeri di DNI, codici IBAN e dettagli contrattuali. Un autore della minaccia, che opera sotto lo pseudonimo di “Spain”, ha affermato di aver sottratto un database di oltre un terabyte contenente informazioni su oltre 20 milioni di persone.

Endesa ha informato i clienti interessati e l’INCIBE, l’istituto nazionale spagnolo per la sicurezza informatica, ha diffuso un avviso pubblico.

2. Ministero delle Finanze (2026): un’indagine su 47 milioni di record

Il Ministero delle Finanze ha indagato su una presunta intrusione nei propri database. Secondo l’autore dell’attacco, sarebbero stati compromessi i dati personali, bancari e fiscali di oltre 47 milioni di cittadini. La società di intelligence sulle minacce Hackmanac ha segnalato un attore che si fa chiamare HaciendaSec. Tale cifra proviene dall’autore dell’attacco e non dal ministero, e va quindi considerata come una dichiarazione piuttosto che come un dato confermato.

3. Telefónica (2025): 22 milioni di record relativi ai clienti

Il gruppo di telecomunicazioni ha subito una violazione che ha compromesso circa 22 milioni di record relativi ai clienti. Telefónica è una delle organizzazioni spagnole più spesso prese di mira, in parte a causa del volume di dati relativi agli abbonati di cui dispone.

4. El Corte Inglés (2025): il fornitore è stato la chiave per entrare nel mercato

Il 2 marzo 2025, El Corte Inglés ha informato i propri clienti che uno dei suoi fornitori esterni era stato vittima di un accesso non autorizzato ai dati personali. Sono stati resi pubblici dati identificativi e dettagli delle carte di pagamento, sebbene l’azienda abbia precisato che le informazioni relative alle carte oggetto della fuga non potevano essere utilizzate da sole per effettuare pagamenti.

Quello che è successo dopo è la parte che vale la pena approfondire. Nel giro di pochi giorni è partita una campagna di smishing: i criminali, spacciandosi per la divisione finanziaria del rivenditore tramite SMS, miravano a sottrarre le credenziali di accesso. L’organizzazione dei consumatori OCU ha emesso un avviso pubblico.

5. Mango (2025): anche tramite un fornitore

Il rivenditore di moda ha subito una violazione dei dati quando il suo fornitore esterno di servizi di marketing ha consentito l'accesso non autorizzato ai dati personali. Lo stesso schema di El Corte Inglés: l'autore dell'attacco non è entrato dalla porta principale del marchio.

6. Utenti di Booking (2025): l'attacco è avvenuto dopo la violazione

Gli utenti della piattaforma di viaggi sono stati presi di mira in una campagna che combinava informazioni di prenotazione rubate con messaggi di follow-up molto convincenti. Poiché i criminali erano in possesso di dati di prenotazione reali, i loro messaggi erano molto più difficili da ignorare rispetto alle tipiche truffe di phishing. Questo è l’esempio più lampante di questa lista che dimostra come il furto di dati raramente rappresenti la fine di un incidente, ma piuttosto l’inizio di quello successivo.

7. Santander e ING (2025): migliaia di clienti bancari

Entrambe le banche hanno subito una violazione dei dati dei propri clienti. In un settore in cui un singolo messaggio convincente può determinare movimenti di denaro, il valore dei dati dei clienti trapelati è immediato.

8. L'ondata del 2026: Vigo, Basic Fit, Inditex, Ahorramás

Oltre ai casi più eclatanti, nelle prime settimane del 2026 sono stati segnalati episodi al porto di Vigo, presso la catena di palestre Basic Fit, presso Inditex e presso il gruppo di supermercati Ahorramás. Porti, palestre, commercio al dettaglio: non c’è più alcun settore che possa essere considerato un obiettivo improbabile.

Cosa hanno in comune questi attacchi

In questo elenco si possono individuare due tendenze ricorrenti, e nessuna delle due è di natura tecnica.

Il fornitore è il punto di accesso. Nel caso di El Corte Inglés e Mango, l’autore dell’attacco non ha mai toccato i sistemi propri del marchio. Ha agito tramite un fornitore esterno che custodiva i dati dei clienti. La vostra sicurezza è forte solo quanto quella del soggetto con cui avete condiviso il vostro database, e la maggior parte delle organizzazioni ne ha a dozzine.

La violazione è solo l’inizio, non la fine. Il caso di El Corte Inglés lo dimostra chiaramente: a pochi giorni dalla fuga di dati, i criminali inviavano SMS spacciandosi per la divisione finanziaria dell’azienda. Disponevano di dati reali dei clienti, il che rendeva il messaggio credibile. Lo stesso è accaduto agli utenti di Booking, dove i dettagli autentici delle prenotazioni rendevano il messaggio di follow-up quasi impossibile da distinguere da uno vero. La fuga di dati fornisce le munizioni; l’attacco che costa denaro arriva dopo e prende di mira le persone.

È proprio in questa seconda fase che un’organizzazione può ancora intervenire. Un firewall non può impedire a un dipendente di agire sulla base di un messaggio che contiene informazioni accurate relative a una transazione reale. Un dipendente adeguatamente formato, invece, può farlo. È lo stesso meccanismo alla base delle esche: l’autore dell’attacco fornisce un motivo per agire e la decisione viene presa in pochi secondi.

Come proteggere la tua organizzazione

I backup, l'applicazione delle patch e il controllo degli accessi costituiscono la base. Oltre a ciò, per i modelli sopra citati sono importanti tre aspetti:

• Verificate chi detiene i vostri dati. Se un fornitore di servizi di marketing o un partner logistico possiede il vostro database clienti, la sicurezza di tali dati diventa ora un vostro rischio. Chiedete quali misure adottano in materia di formazione sulla consapevolezza, non limitatevi a chiedere informazioni sulla crittografia.
• Preparatevi alla seconda ondata. Partite dal presupposto che, prima o poi, i dati finiranno per trapelare da qualche parte. Ciò che determina l’entità del danno è la capacità del vostro personale di riconoscere il messaggio convincente che arriverà in seguito.
• Fate esercitare invece di limitarsi a istruire. Simulazioni realistiche di phishing evidenziano quali reparti necessitano di supporto prima che sia un hacker a scoprirlo al posto vostro.

Per le organizzazioni soggette alla direttiva NIS2, la formazione di sensibilizzazione non è più facoltativa. È menzionata esplicitamente nella direttiva e la nostra guida sulla NIS2 illustra cosa ciò comporti nella pratica.