Diario di sviluppo KuroCMS Vol.6: Rafforzata la sicurezza contro le recenti fughe di dati
I cyberattacchi con IA causano fughe di dati. Come Russia o Israele che depredano terre e dignità, bisogna difendersi da soli. KuroCMS resta open source e potenzia nettamente la sicurezza.
L'ondata di attacchi informatici e violazioni su vasta scala iniziata attorno al settembre 2026 continua a propagarsi senza sosta. Nonostante l'urgenza di adottare contromisure rigorose sia ampiamente nota, l'entità dei danni cresce giorno dopo giorno. A titolo di riferimento, abbiamo riassunto i principali incidenti recenti nella tabella sottostante.
Elenco delle principali fughe di dati da settembre 2026 a oggi#
Aziende ed enti che hanno reso nota la compromissione o il concreto rischio di esposizione di dati personali a seguito di intrusioni non autorizzate (la data corrisponde alla pubblicazione della notizia). Totale di 64 casi. *In ordine cronologico inverso
| Data | Azienda / Organizzazione | Natura della fuga | Entità | Causa |
|---|---|---|---|---|
| 17 ott. (sab.) | Skyticket (Prenotazioni viaggi) | Fuga di dati delle carte di credito | Circa 6.000 persone | Accesso non autorizzato |
| 16 ott. (ven.) | Yamato Transport | Fuga di dati personali | Circa 5,31M di record | Accesso non autorizzato |
| Nikkei | Violazione di dati personali | 1,83M di record | Accesso non autorizzato | |
| Mitsubishi Gas Chemical | Fuga di dati di ex dipendenti | 2.000 persone | Fornitore esterno | |
| Studio (Strumento di web design) | Presunta fuga di dati clienti | — | Accesso non autorizzato | |
| Gruppo FANCL (consociata) | Violazione di dati personali | 830.000 record | Accesso non autorizzato | |
| Comic Cmoa | Dati iscritti violati (email e data nascita) | — | Accesso non autorizzato | |
| Japan Post | Dati clienti rimasti esposti a consultazione | 600 record | Accesso non autorizzato | |
| Hitachi Astemo | Fuga di dati di partner commerciali | 350 persone | Accesso non autorizzato | |
| Times Car (Park24) | Piano di intervento annunciato per il 23 ottobre | — | Aggiornamento | |
| IwaiCosmo Securities | Fuga di dati clienti | 4.600 persone | Fornitore esterno | |
| Città di Hamamatsu | Sospetta fuga di dati vigili del fuoco (tramite Arcadia) | — | Fornitore esterno | |
| Controllata di BASE | Fuga di dati (inclusi dati carte di 2,09M di utenti) | 23,35M di persone | Non specificato | |
| Keio Corporation | Rivendicazione ransomware confermata dal gruppo 'Qilin' | — | Attacco ransomware | |
| 15 ott. (gio.) | M3, Inc. | Fuga di dati personali su servizio farmaceutico | — | Accesso non autorizzato |
| SOURCENEXT | Presunta fuga di dati clienti | 22,52M di record | Accesso non autorizzato | |
| Burger King | Fuga di dati degli utenti dell'app | 11,18M di record | Accesso non autorizzato | |
| Medley, Inc. | Presunta compromissione di sistemi sanitari | Fino a 787 strutture | Accesso non autorizzato | |
| 14 ott. (mer.) | transcosmos | Fuga di dati di candidati a contratti a termine | Circa 4.600 persone | Non specificato |
| Mazda | Presunta fuga di dati da portale community | 4.103 persone | Fornitore esterno | |
| Aena (Cosmetici) | Presunta fuga di dati dei soci | 810.000 persone | Accesso non autorizzato | |
| Izumi Co., Ltd. | Rischio accertato di fuga di dati | Fino a 400.000 record | Gruppo SoftBank | |
| Filiale ristorazione di JR Kyushu | Presunta violazione di dati personali | 26.900 persone | Non specificato | |
| 13 ott. (mar.) | Japan Post | Rischio di violazione dei dati dei clienti | Fino a 4.807 record | Anomalia di sistema |
| Servizio allerte per enti locali | Indirizzi email potenzialmente violati | 3,13M di record | Accesso non autorizzato | |
| Gin no Sara (Consegna sushi) | Fuga di dati clienti da server esterno | Fino a 6,5M di record | Accesso non autorizzato | |
| JR Central | Sospetta fuga di email su piattaforma e-commerce | — | Gruppo SoftBank | |
| Città di Omaezaki (Shizuoka) | Rischio di fuga tramite fornitore di allerte email | — | Fornitore esterno | |
| SKY Perfect JSAT | Indirizzi email potenzialmente violati | — | Gruppo SoftBank | |
| Yamaha / Yamaha Motor | Presunta fuga di dati da rete social proprietaria | 3.200 persone in totale | Non specificato | |
| 10 ott. (sab.) | DIP Corporation (Baitoru) | Fuga di indirizzi email accertata | Fino a 3,88M di record | Non specificato |
| Temairazu (Gestione prenotazioni) | Presunta fuga di informazioni | 4,45M di persone | Accesso non autorizzato | |
| 9 ott. (ven.) | JR Kyushu | Indirizzi email potenzialmente violati | Fino a 1,3M di record | Gruppo SoftBank |
| LY Corporation | Fuga di dati causata da strumento di ricerca | — | Fornitore esterno | |
| Gruppo Bandai Namco (consociata) | Fuga di dati degli iscritti ai giochi arcade | — | Accesso non autorizzato | |
| Gruppo Mizkan | Violazione di indirizzi email e ulteriori dati | — | Fornitore esterno | |
| Resorttrust, Inc. | Fuga di dati iscritti originata dal sito web | 26.000 record | Accesso non autorizzato | |
| Sansan, Inc. | Sospetta violazione originata da cloud esterno | 10.000 persone | Accesso non autorizzato | |
| Suzuki | Possibile fuga di indirizzi email e ulteriori elementi | — | Fornitore esterno | |
| JR East | Indirizzi email potenzialmente violati | — | Gruppo SoftBank | |
| Controllata di BOOKOFF | Presunta fuga di dati clienti | Fino a 6,43M di record | Accesso non autorizzato | |
| 8 ott. (gio.) | NewsPicks | Potenziale fuga di dati di natura personale | — | Accesso non autorizzato |
| Lawson | Fuga di dati personali (inclusi nomi e indirizzi) | Circa 2,15M di record | Accesso non autorizzato | |
| Daiichikosho | Rischio di fuga di dati personali | 8,72M di record | Fornitore esterno | |
| The Bank of Iwate | Sospetta fuga di dati clienti (tramite fornitore di Daiwa Securities) | — | Fornitore esterno | |
| 7 ott. (mer.) | Controllata di H.I.S. | Possibile fuga di dati dei passaporti | Fino a 627 persone | Accesso non autorizzato |
| Sompo Japan Insurance | Potenziale fuga di dati dei clienti | 60.000 record | Accesso non autorizzato | |
| 6 ott. (mar.) | Gruppo Asahi Kasei (consociata) | Presunta fuga di dati da portale per operatori sanitari | Fino a circa 560.000 persone | Non specificato |
| Citizen | Presunta fuga di dati clienti | 100.000 persone | Fornitore esterno | |
| Nimoca (Gruppo Nishitetsu) | Fuga di dati clienti accertata | Circa 500 record | Accesso non autorizzato | |
| Gruppo GMO (consociata) | Fuga di dati personali e utilizzo illecito di punti fedeltà | 950.000 persone | Accesso non autorizzato | |
| MrMax | Fuga di dati clienti accertata | Fino a 1,73M di persone | Accesso non autorizzato | |
| 5 ott. (lun.) | Daiki Suisan | Presunta fuga di dati | 170.000 persone | Accesso non autorizzato |
| Università Metropolitana di Osaka | Rischio di violazione di dati personali | 130.000 persone | Attacco ransomware | |
| Yakiniku King | Fuga di dati clienti | Oltre 10 milioni di record | Accesso non autorizzato | |
| Daiwa Securities | Sospetta fuga di coordinate bancarie e dati clienti | 220.000 record | Fornitore esterno | |
| 4 ott. (dom.) | Nikkei | Fuga di dati e invio di 9.000 email sospette di phishing | — | Accesso non autorizzato |
| Nikkei | Accesso non autorizzato con conseguente violazione dati | 1.646 persone | Accesso non autorizzato | |
| 3 ott. (sab.) | ABAHOUSE | Dati dell'intera clientela potenzialmente violati (rilevati da segnalazioni di email anomale) | Tutti i clienti | Non specificato |
| 2 ott. (ven.) | Gruppo Dai-ichi Life | Fuga di dati del personale dipendente (compresi ex dipendenti) | 120.000 persone | Non specificato |
| Sagawa Express | Presunta fuga di dati personali (quali nomi e recapiti) | — | Accesso non autorizzato | |
| 30 set. (mer.) | 2 controllate di Osaka Gas | Potenziale fuga di dati dei clienti | Circa 8.260 record | Accesso non autorizzato |
| 29 set. (mar.) | Secoma (Seicomart) | Presunta fuga di dati originata dal server dell'applicazione | 570.000 record | Accesso non autorizzato |
| 28 set. (lun.) | Times Car | Fuga di dati personali (comprese copie delle patenti di guida) | Fino a 6,6M di record | Accesso non autorizzato |
| Totale (44 casi con entità specificata; somma di record e individui, inclusi duplicati) | Circa 124 milioni | |||
Un bilancio sconvolgente: circa 124 milioni di record o individui coinvolti. Anche considerando cifre stimate e possibili sovrapposizioni, il volume dei dati sottratti equivale all'incirca all'intera popolazione del Giappone.
Caratteristiche peculiari dei danni recenti e vettori di intrusione#
Oltre alla dimensione mastodontica delle perdite, l'aspetto più allarmante risiede nella frequenza costante: si registrano violazioni praticamente ogni singolo giorno. È palese che gli aggressori stiano facendo un uso massiccio di strumenti di intelligenza artificiale. Sebbene molte vittime non abbiano divulgato i dettagli dell'intrusione, i casi accertati mostrano che la quasi totalità scaturisce da «falle di sicurezza in siti web, applicazioni e API».
Il secondo vettore più diffuso è costituito da «email ingannevoli e reindirizzamenti fraudolenti (phishing)». Poiché l'IA generativa è ormai in grado di produrre testi impeccabili e scorrevoli, gli utenti cadono nell'inganno cliccando su collegamenti che riproducono alla perfezione i portali autentici, fornendo le proprie credenziali d'accesso senza alcun sospetto.
Sebbene le vulnerabilità degli apparati VPN siano spesso al centro dell'attenzione, in questo lasso di tempo solo un caso (l'Agenzia per il Digitale) ha indicato esplicitamente un difetto VPN. La quasi totalità delle violazioni si è verificata tramite le due vie sopra citate, aggravata da una debolezza nei controlli amministrativi interni dopo l'accesso iniziale: architetture prive di compartimentazione dove l'intruso può muoversi indisturbato.
Come risponde KuroCMS a queste sfide di sicurezza?#
Innanzitutto, il furto di account tramite phishing o siti contraffatti è tecnicamente escluso in KuroCMS, poiché l'accesso poggia esclusivamente sull'impiego delle Passkey. Al di là dell'avversione personale dello sviluppatore a dover memorizzare password, imporre l'onere di ricordarle spinge inevitabilmente a scegliere parole chiave banali e riutilizzate, creando una debolezza strutturale che la Passkey elimina alla radice.
Di seguito illustriamo le principali protezioni di sicurezza già operative nella versione v1 di KuroCMS:
| Versione | Misura di protezione | Funzionamento dettagliato |
|---|---|---|
| v1 | Autenticazione esclusiva con Passkey | Nessuna password viene conservata sui server, azzerando il rischio di furti o riutilizzo di credenziali. L'autenticazione si basa su biometria (impronta o volto) e le chiavi crittografiche non lasciano mai il chip sicuro del dispositivo. Gli stati di sessione sono isolati e inaccessibili da script o siti terzi. |
| v1 | Ripristino completo dei contenuti modificati da IA | Prima di sovrascrivere o eliminare il testo di un articolo, viene salvata una copia integrale immutabile di quella versione. La paternità (persona, IA o API) è attestata dal livello di autenticazione e non può essere falsificata. In caso di modifiche illecite, l'articolo può essere ripristinato all'istante. |
| v1 | Archiviazione delle chiavi API solo sotto forma di hash | I token di accesso personale (PAT) utilizzati per interagire con l'IA sono conservati nel database unicamente come hash crittografici irreversibili. Il token in chiaro non rimane sui server, rendendo inutile qualsiasi eventuale sottrazione del database. |
| v1 | Zero conservazione delle chiavi maestre Cloudflare | Durante l'installazione nell'ambiente Cloudflare personale dell'utente, i token API inseriti risiedono solo temporaneamente in memoria per eseguire il setup e non vengono salvati. Gli aggiornamenti futuri sono affidati a un token con privilegi minimi limitato ai soli Worker. |
| v1 | Pagine pubbliche distribuite in HTML statico | I lettori visualizzano solo pagine HTML già compilate senza interrogare il database in tempo reale a ogni richiesta, riducendo al minimo la superficie d'attacco esterna. Le chiamate verso URL esterne vengono rigorosamente convalidate prima dell'invio (difesa da attacchi SSRF), sfruttando la CDN per una rapidità senza pari. |
Ecco quali sostanziali aggiornamenti di sicurezza sono stati introdotti nella nuova versione v2:
| Versione | Evoluzione di sicurezza | Funzionamento dettagliato |
|---|---|---|
| v2 | Sanitizzazione totale di script nei contenuti | I testi degli articoli e del sito vengono filtrati due volte con la massima severità — al momento del salvataggio e all'atto della renderizzazione — eliminando tag script, attributi evento DOM, pseudoprotocolli javascript: e inclusioni esterne non verificate. Nessun codice malevolo potrà mai essere eseguito nei browser di lettori o amministratori. |
| v2 | Aggiornamenti validati da firma digitale e hash | Le nuove versioni provengono unicamente dai canali ufficiali di KuroCMS e vengono installate previa verifica della firma digitale e dell'hash del contenuto. Se dopo l'installazione la nuova versione non supera i test di operatività, WorkerOps provvede al ripristino automatico della versione precedente. |
| v2 | Isolamento rigoroso dei dati di ciascun cliente | Articoli e file multimediali risiedono unicamente all'interno dell'account Cloudflare del cliente. Nel servizio gestito, l'infrastruttura e il CMS sono separati a livello di account con database dedicati per ogni sito. Le segnalazioni di errore trasmettono unicamente codici numerici, mai il corpo degli articoli. |
| v2 | Pannello di controllo accessibile solo da reti registrate | L'amministrazione è raggiungibile unicamente dalle connessioni IP registrate durante il login con Passkey. La registrazione IP avviene in modo completamente trasparente e si rinnova con l'uso attivo. Qualsiasi tentativo di accesso da reti non censite viene bloccato con notifica tempestiva al titolare. |
| v2 | Vincolo crittografico a rete e dispositivo | La sessione del browser è vincolata alla connessione IP con cui è stata aperta. I token di aggiornamento sessione sono collegati crittograficamente alla chiave fisica del dispositivo emittente (Device Binding). Anche qualora un token venisse intercettato, risulterebbe totalmente inutilizzabile da un altro dispositivo o rete. |
Quali sono i risultati? Prospettive e linee strategiche future#
La novità più incisiva è rappresentata dalle restrizioni IP rigorose. Nell'era odierna dell'IPv6, in cui ogni terminale può disporre di un indirizzo IP pubblico univoco al mondo, accedere a KuroCMS richiede l'esatta corrispondenza con l'IP registrato. Falsificare un indirizzo IPv6 è un'operazione estremamente ardua, persino per i tecnici degli operatori di rete. Insieme a una Passkey saldamente ancorata al browser e al chip sicuro del dispositivo, i tradizionali tentativi di penetrazione risultano praticamente impossibili.
Parallelamente, abbiamo integrato l'infrastruttura di autenticazione di KuroCMS con una solida piattaforma aziendale di gestione delle identità. Ciò coincide con il lancio del servizio in hosting gestito (Managed Hosting), pensato per coloro che preferiscono non gestire autonomamente account Cloudflare né configurare token PAT. Questo sistema monitora gli accessi sospetti, avvisa gli utenti con notifiche a schermo ed email e allerta il centro di sicurezza per neutralizzare le minacce all'istante.
È stata una scelta lungamente ponderata: il codice sorgente centrale di KuroCMS rimane integralmente open source (OSS), ma al fine di garantire una sicurezza inattaccabile, il nucleo di autenticazione è stato alloggiato in una blindata infrastruttura aziendale protetta. Gli utenti non subiranno alcuno svantaggio: la distribuzione autonoma sul proprio account Cloudflare (unica modalità di v1) continua a essere pienamente supportata. Ci scusiamo per il piccolo fastidio derivante dall'obbligo di registrazione dell'indirizzo email.
Rispetto alla precedente v1, KuroCMS v2 compie un balzo in avanti straordinario sul piano della sicurezza difensiva. Vi ringraziamo di cuore per la continua fiducia nel nostro lavoro.
*Il rilascio di KuroCMS v2 è previsto indicativamente per la fine di questa settimana.