L'incidente che ha ridefinito la sicurezza nel cloud
Aggiornato per il 2026
La violazione di LastPass del 2022 non riguarda principalmente i password manager. Riguarda la fiducia. Le aziende si erano affidate a un fornitore cloud con i propri dati. Quella fiducia si è incrinata per colpa di difetti nascosti, non di negligenza.
LastPass vendeva un design zero-knowledge. In pratica, non era zero-knowledge. 25 milioni di utenti hanno avuto i propri vault cifrati sottratti. L'attacco è stato divulgato per la prima volta nell'agosto 2022; LastPass ha rivisto più volte le proprie comunicazioni, e la portata completa è emersa solo verso fine 2022.
Per le aziende in ambito sanitario, finanziario e legale, non si è trattato di una notizia lontana. Questi settori affrontano una responsabilità concreta quando i dati vengono esposti. Il caso LastPass è stato un segnale precoce di un problema più ampio.
Due difetti che hanno reso possibile l'attacco
La revisione post-incidente ha identificato due vulnerabilità chiave.
Configurazione debole della chiave. LastPass utilizzava PBKDF2 per la derivazione delle chiavi. Gli account più recenti avevano 100.100 iterazioni; OWASP ne raccomanda 600.000. Alcuni account più vecchi ne avevano appena 1. Meno iterazioni rendono gli attacchi brute-force rapidi ed economici: con i file dei vault in mano, gli attaccanti potevano testare le master password ad alta velocità.
Metadati in chiaro. Il contenuto dei vault era cifrato — ma i metadati no. URL, nomi utente e nomi dei servizi erano tutti visibili nei dati sottratti. Gli attaccanti potevano vedere quali servizi ciascun utente possedeva, rendendo possibili phishing mirato e credential stuffing senza nemmeno decifrare i vault.
Questo caso dimostra perché due domande devono essere poste separatamente: «Il design è zero-knowledge?» è una domanda. «L'implementazione è corretta?» è una domanda diversa.
Okta nel 2023: un attacco diverso, lo stesso risultato
Nell'ottobre 2023, Okta ha segnalato un incidente di sicurezza. Una credenziale rubata ha consentito a un attaccante di accedere al sistema di supporto clienti, esponendo 600.000+ record di supporto, inclusi file caricati dai clienti durante le sessioni di assistenza.
Okta è una piattaforma di sicurezza delle identità. Il problema non era un difetto di progettazione, ma un fallimento nel controllo degli accessi: le credenziali di un tecnico del supporto erano state rubate e l'attaccante le ha usate per accedere a dati sensibili.
LastPass e Okta mostrano i due principali percorsi verso una compromissione del fornitore:
- Difetti di progettazione — affermazioni zero-knowledge non costruite correttamente
- Difetti nel controllo degli accessi — credenziali valide usate per accedere a dati che non avrebbero dovuto essere raggiungibili
Il design zero-knowledge previene il primo tipo — ma non ferma un attaccante con credenziali di supporto valide. Tuttavia, gli impedisce di leggere i dati dei clienti, poiché il fornitore non detiene mai contenuti decifrabili. Consulta la nostra panoramica sulla sicurezza e conformità per sapere come questo si applica agli strumenti PII.
Gli eventi di sicurezza SaaS sono aumentati del 300% in due anni
Obsidian Security ha rilevato un aumento del 300% degli eventi di sicurezza sulle piattaforme SaaS dal 2022 al 2024.
Non si tratta di un aumento del 300% nelle capacità degli attaccanti. Due forze lo hanno guidato: l'uso del SaaS è cresciuto rapidamente e gli attaccanti hanno seguito i dati. Una sola compromissione di un fornitore può esporre dati di decine di clienti contemporaneamente — un incentivo che premia gli attacchi ai fornitori rispetto a quelli alle singole aziende.
Le imprese che davano per scontato che le piattaforme cloud fossero sicure devono aggiornare quella visione: i fornitori SaaS sono oggi obiettivi primari.
Domande da porre a qualsiasi fornitore cloud
Per i team di acquisto e sicurezza, questa checklist copre le aree essenziali.
Configurazione della crittografia:
- Richiedere l'algoritmo di derivazione delle chiavi, il numero di iterazioni e le impostazioni di memoria.
- Verificare che i conteggi delle iterazioni soddisfino i minimi OWASP: 600.000 PBKDF2-SHA256 o equivalente Argon2id.
- Confermare che la derivazione delle chiavi avvenga sul dispositivo dell'utente, non sui server del fornitore.
Esposizione dei metadati:
- Chiedere quali metadati vengono archiviati in chiaro accanto ai contenuti cifrati.
- Richiedere un modello dei dati che mostri quali campi sono cifrati e quali sarebbero visibili in caso di attacco.
Accesso del supporto:
- Chiedere se il personale di supporto può accedere ai dati dei clienti.
- Confermare che i sistemi di supporto non possano accedere al testo in chiaro dei clienti.
Storia degli incidenti:
- Richiedere tutti i precedenti eventi di sicurezza, inclusi quelli al di sotto delle soglie di divulgazione pubblica.
- Valutare la completezza e l'onestà delle comunicazioni precedenti.
L'incidente LastPass è stato un fallimento di implementazione e un fallimento di fiducia. I fornitori che forniscono risposte specifiche consentono una valutazione reale del rischio; quelli con risposte vaghe lasciano il rischio nascosto — un rischio che spesso emerge solo dopo un attacco. Consulta la nostra panoramica sulla conformità per una guida alla valutazione dei fornitori.
anonym.legal applica lo zero-knowledge all'accesso: la derivazione delle chiavi avviene tramite Argon2id nel browser o nell'app desktop, quindi la password dell'utente non lascia mai il dispositivo. Il testo inviato per l'anonimizzazione viene elaborato dalla nostra API ospitata nell'UE (Hetzner, Falkenstein). Le chiavi di crittografia salvate sono memorizzate cifrate sui nostri server, ma non sono zero-knowledge. Per saperne di più.