Telus e il furto di 700 TB: cosa cambia per le aziende dopo l'attacco di ShinyHunters

A marzo del 2026, Telus, una delle maggiori operatrici di telecomunicazioni del Canada, con oltre 17 milioni di abbonati, ha confermato un incidente di sicurezza di proporzioni significative. Il gruppo ShinyHunters, già responsabile di attacchi a Ticketmaster, Santander e Snowflake nel 2024, ha rivendicato l'esfiltrazione di almeno 700 terabyte di dati, incluse informazioni personali identificabili (PII), registri delle chiamate, risultati di controlli dei precedenti e, in modo particolarmente grave, codice sorgente di sistemi interni. Non si tratta di una fuga di password riutilizzate. È la mappa operativa di un'infrastruttura critica.

Per chi si occupa di gestione del rischio in Brasile, la distanza geografica non offre alcun reale conforto.

O cosa ha rubato ShinyHunters, e perché questo conta

ShinyHunters non è un gruppo di script kiddies. Dal 2020 il collettivo, identificato parzialmente dall'FBI e da Europol, opera con disciplina e obiettivi commerciali chiari: esfiltrare dati in volume, pubblicarli su forum come BreachForums e monetizzare il resto in negoziazioni private.

Nel caso di Telus, la combinazione di dati è particolarmente pericolosa:

• PII e dati di comunicazione: nome, indirizzo, storico delle chiamate. Sufficiente per campagne di social engineering altamente mirate.
• Controlli dei precedenti: informazioni che le aziende raccolgono su dipendenti e partner. In mani sbagliate, diventano un asset per estorsione aziendale o spionaggio competitivo.
• Codice sorgente: forse l'elemento più dannoso nel medio-lungo periodo. Con il codice, gli avversari possono mappare vulnerabilità specifiche dell'infrastruttura dell'operatore per anni, anche dopo la chiusura dell'incidente.

Telus non ha ancora confermato pubblicamente il volume esatto né tutti i tipi di dati compromessi, cosa che di per sé è un campanello d'allarme sulla maturità della comunicazione di crisi. Ma la rivendicazione di ShinyHunters, incrociata con pubblicazioni parziali di campioni sui forum, conferisce credibilità allo scenario descritto.

Il vettore che nessuno vuole ammettere, la catena dei fornitori

La domanda più importante non è "come Telus è stata violata", ma "qual è il tuo livello di dipendenza da fornitori che hanno lo stesso profilo di rischio di Telus".

Operatori di telecomunicazioni e provider di identità digitale, cioè aziende che gestiscono autenticazione, verifica dei precedenti e dati di comunicazione aziendale, sono obiettivi di altissimo valore per gli attaccanti proprio perché concentrano dati sensibili di centinaia o migliaia di clienti corporate in un unico punto. Quando uno di questi fornitori cade, l'esposizione si propaga a cascata sull'intera base clienti.

In Brasile questo rischio è amplificato da un mercato di outsourcing dell'infrastruttura di identità e comunicazione che è cresciuto significativamente negli ultimi tre anni, spinto da Open Finance, KYC digitale e piattaforme di verifica dei collaboratori. Molte medie imprese oggi dipendono da due o tre fornitori per gestire dati che, secondo la LGPD, sono sotto la loro responsabilità, indipendentemente da dove siano memorizzati.

L'illusione della responsabilità condivisa

L'argomento "ma ci pensa il fornitore" non regge di fronte a una notifica dell'ANPD. L'articolo 42 della LGPD è chiaro: il titolare del trattamento è responsabile per i danni derivanti dal trattamento dei dati, inclusi quelli effettuati dagli incaricati. Questo significa che, se il tuo fornitore di controlli dei precedenti o il tuo operatore di comunicazioni aziendali subisce un incidente come quello di Telus, sei tu il responsabile nei confronti dell'interessato.

Cosa fare in pratica, tre misure non negoziabili

L'incidente di Telus non è un motivo per andare nel panico. È un argomento concreto per dare priorità a iniziative che molte aziende hanno nel backlog da mesi.

1. Classifica i tuoi fornitori per profilo di rischio sistemico

Non basta avere una lista di fornitori critici. Occorre categorizzare in modo specifico quelli che concentrano dati sensibili di più clienti tuoi, come operatori, provider di identità, piattaforme di background check e SIEM gestiti. Per questi, il livello di due diligence deve essere equivalente a quello applicato a un partner interno. Questo include richiedere evidenze di penetration test annuali, report SOC 2 Tipo II e piani di risposta agli incidenti con SLA di notifica.

2. Implementa logging e alert su accessi a dati di terzi

Se un fornitore ha accesso ai tuoi dati, o tu accedi ai loro, devono essere generati registri di audit. La questione è se qualcuno li stia effettivamente monitorando. Correlare eventi di accesso inusuali (volumi fuori standard, orari atipici, geolocalizzazioni inattese) con alert nel tuo SIEM. Il comportamento di ShinyHunters in attacchi precedenti comprende esfiltrazione graduale su settimane, rilevabile con telemetria adeguata.

3. Aggiorna il tuo playbook di risposta a incidenti includendo i fornitori

La maggior parte dei playbook che processo prevede lo scenario "il nostro sistema è stato compromesso". Pochi coprono lo scenario "il nostro fornitore è stato compromesso e stiamo aspettando una notifica formale mentre i dati circolano già su BreachForums". Questo scenario richiede un protocollo specifico: chi contatta il fornitore, quale è il tempo massimo accettabile per una risposta, quando l'azienda comunica autonomamente agli interessati.

Il pattern che si ripete

Il caso Telus conferma, ancora una volta, che l'infrastruttura critica di telecomunicazioni e identità è un obiettivo prioritario e ricorrente per gruppi organizzati. ShinyHunters ha dimostrato, con coerenza negli ultimi tre anni, di sapere dove stanno i dati di maggior valore e come estrarli prima che le squadre di sicurezza rispondano.

Per le aziende brasiliane il messaggio è diretto, il rischio del tuo fornitore è il tuo rischio. Trattarlo come tale, con controlli, contratti e monitoraggio proporzionati, ha smesso di essere una buona pratica per diventare un obbligo regolamentare e un imperativo reputazionale.

700 terabyte è una quantità abbastanza grande da non poter essere ignorata.