Cosa è successo a Loxone?
Il 18 ottobre Loxone si è accorta che qualcuno era entrato, attraverso uno dei suoi server web, e aveva copiato dati dal gestionale clienti. Secondo Loxone si tratta soprattutto dei contatti delle aziende partner, cioè gli installatori, delle richieste di assistenza e dei dati di chi si era candidato a lavorare lì, in parte vecchi. Sito e negozio online sono rimasti spenti alcuni giorni.
Loxone dice chiaramente cosa non è coinvolto: i Miniserver nelle case, l’accesso remoto e i servizi che fanno funzionare gli impianti. Le password degli impianti stanno solo sul Miniserver di casa, non nei computer di Loxone. Nessun dato di pagamento è stato preso.
Secondo Loxone i dati di utenti e accessi sono conservati esclusivamente sul Miniserver, e gli edifici con tecnologia Loxone continuano a funzionare senza limitazioni.
Un gruppo che si fa chiamare «Samurai» sostiene di aver copiato circa 200 GB. Nei campioni circolati sul forum degli utenti ci sarebbe anche un elenco di circa 300’000 numeri di serie di Miniserver con i nomi dei progetti. Loxone non ha confermato. Il numero di serie da solo non apre un impianto, ma un elenco così può servire a scegliere a chi mandare messaggi falsi.
Loxone, pagina ufficiale sull'incidente (in tedesco)La mia casa è in pericolo?
Per quello che si sa oggi, no: Loxone dice di non avere nessuna segnalazione di impianti di clienti colpiti. Il rischio realistico è un altro: messaggi, email o telefonate di qualcuno che si finge Loxone o il tuo installatore, usando il suo nome vero e magari quello del tuo progetto, e che ti chiede una password, un accesso a distanza o un pagamento su un IBAN «nuovo».
Le regole che Loxone stessa ha pubblicato:
- le email di Loxone arrivano da indirizzi @loxone.com; attenzione a domini simili come @loxon.com o @luxone.com. Ma il mittente da solo non basta: secondo gli utenti del forum, durante l’attacco è partita un’email falsa proprio da un indirizzo @loxone.com;
- le coordinate bancarie di Loxone non sono cambiate: chi dice il contrario è un truffatore;
- nessuno ti chiede la password per email, telefono o SMS, nemmeno l’assistenza.
Cosa cambia il 1° dicembre?
Dal 1° dicembre 2026 l’accesso dall’app quando sei fuori casa (Remote Connect) funziona solo se il Miniserver ha la versione 17.2.10.21 o successiva. Dopo ogni nuova versione ci saranno quattro settimane per aggiornare. In casa non cambia niente: luci e riscaldamento funzionano comunque. Ma se il Miniserver non è aggiornato, dal telefono fuori casa non entri più.
L’aggiornamento non è detto che avvenga da solo: dipende da come l’installatore ha impostato il Miniserver. A volte l’app ti propone l’aggiornamento e basta un tocco, se il tuo utente ha il permesso; altrimenti lo deve fare l’installatore. Ed è un buon momento per controllare tutto il resto.
Se il tuo impianto ha un Miniserver di prima generazione (installato più o meno tra il 2009 e il 2019), Remote Connect non c’è: chiedi all’installatore come entri da fuori e se si può passare a una VPN, un collegamento protetto.
Loxone, Remote Connect richiede il software più recente (in inglese)Cosa chiedo al mio installatore?
Otto domande, da fare per telefono o per email. Accanto c’è la risposta che dovresti sentire. Se l’installatore è un familiare o un conoscente, bastano le prime tre.
| Domanda | Perché | La risposta giusta |
|---|---|---|
| Chi aggiorna il mio Miniserver entro il 1° dicembre, e quanto costa? | Non sempre l’aggiornamento è automatico, e d’ora in poi andrà fatto regolarmente | «Lo faccio io entro novembre» oppure «ti abilito l’aggiornamento dall’app», con un costo chiaro |
| Da fuori casa entro con Remote Connect, con una VPN o con una porta aperta sul router? | Una porta aperta espone il Miniserver a tutta Internet, e Loxone la sconsiglia | «Remote Connect» oppure «VPN» |
| La password di fabbrica è stata cambiata? Chi conosce quella di amministratore? | Chi ha l’amministratore può comandare tutto l’impianto | «È cambiata, l’amministratore è tuo, io uso un utente separato» |
| Lei entra nel mio impianto con un utente suo, che posso disattivare? | Loxone raccomanda utenti separati e accessi temporanei per l’assistenza | «Sì, ho un utente mio» oppure «lo attivo solo durante l’intervento» |
| Ha mai mandato la password del mio impianto per email, chat o a Loxone? | Dopo l’attacco Loxone chiede di cambiare le password passate in chiaro | «No», oppure «sì, e l’abbiamo già cambiata» |
| Loxone vi ha avvisato che i dati della vostra azienda erano tra quelli copiati? | Chi ha i dati dell’installatore può fingersi lui | Una risposta chiara, più come riconoscere i suoi messaggi veri |
| Chi può entrare da fuori, e chi può aprire porte, garage o allarme? | Sono le funzioni con le conseguenze più serie | Solo le persone di casa che lo usano davvero, con una password in più per le funzioni sensibili |
| Quando arriva la verifica in due passaggi per l’accesso dall’app, me la attiva? | Oggi Loxone l’ha introdotta per gli account Loxone, usati soprattutto dagli installatori; per l’accesso dall’app di casa è annunciata | «Sì, appena è disponibile» |
Cosa posso fare da solo, senza essere un tecnico?
- Prova se entri da fuori casa: spegni il Wi-Fi del telefono e apri l’app Loxone con i dati mobili. Se entri, l’accesso da fuori è attivo: chiedi all’installatore se il Miniserver è aggiornato.
- Cambia la tua password nell’app, con una lunga e mai usata altrove. Se l’opzione manca, chiedila all’installatore.
- Non dare password e non pagare su richiesta di chi ti scrive o ti chiama «da Loxone» o «dall’installatore»: richiama tu l’installatore al numero che hai già.
- Se hai un account sul sito loxone.com, cambiane la password aprendo tu il sito.
- Se compri una casa con Loxone, fatti consegnare gli accessi con i documenti di vendita e fai disattivare gli utenti del vecchio proprietario.
Sei un installatore? Un testo pronto per i tuoi clienti
Puoi adattarlo e mandarlo dal tuo indirizzo abituale:
Buongiorno, avrà forse letto dell’attacco informatico a Loxone di ottobre. Le confermo che, secondo Loxone, gli impianti nelle case non sono coinvolti e il suo funziona normalmente. Dal 1° dicembre l’accesso dall’app fuori casa richiede il Miniserver aggiornato: provvederò io all’aggiornamento entro il [data, per esempio 20 novembre]. Le ricordo che non le chiederò mai password o pagamenti per email o SMS: se riceve messaggi così a mio nome o a nome di Loxone, anche da un indirizzo che sembra vero, mi chiami al [il suo numero abituale]. Cordiali saluti.
E per i tuoi impianti, una lista di controllo:
- Inventario: per ogni cliente, modello e versione del Miniserver; segna quelli di prima generazione, che non usano Remote Connect.
- Aggiornamenti: aggiorna alla 17.2.10.21 o successiva prima del 1° dicembre, e decidi con ogni cliente se attivare gli aggiornamenti automatici o dargli un utente con il permesso di aggiornare dall’app.
- Accessi: cambia le password, i codici NFC e gli accessi che avevi mandato all’assistenza Loxone o ai clienti per email o chat; usa per te un utente separato, non l’amministratore del cliente.
- Il tuo account Loxone: attiva la verifica in due passaggi e controlla nella posta se Loxone ti ha avvisato che i dati della tua azienda erano tra quelli copiati. Le informazioni ufficiali sono sulla pagina di Loxone sull’incidente.
Domande frequenti
Loxone è stata hackerata: la mia casa è a rischio?
Secondo Loxone no: l'attacco di ottobre 2026 ha colpito i sistemi interni dell'azienda, non i Miniserver nelle case, e Loxone dice di non avere segnalazioni di impianti di clienti colpiti. Il rischio realistico sono messaggi falsi a nome di Loxone o dell'installatore.
Perché dal 1° dicembre l'app Loxone potrebbe non funzionare fuori casa?
Dal 1° dicembre 2026 Remote Connect, il servizio che ti fa entrare dall'app quando sei fuori, funziona solo con il Miniserver alla versione 17.2.10.21 o successiva. In casa non cambia nulla. Se l'impianto non è aggiornato, chiedi all'installatore di farlo entro novembre.
Il Miniserver si aggiorna da solo?
Dipende da come l'ha impostato l'installatore. Se ha attivato gli aggiornamenti automatici, l'app ti avvisa e lo installi con un tocco, se il tuo utente ha il permesso. Se no, lo aggiorna lui con il suo programma. Chiedigli oggi come è impostato il tuo, ogni quanto si aggiorna e a che costo.
Ho ricevuto un'email di Loxone che chiede di verificare l'account: è vera?
Non fidarti del mittente: Loxone avverte di domini simili come @loxon.com o @luxone.com, e durante l'attacco è partita un'email falsa perfino da un indirizzo @loxone.com. Non cliccare, apri tu il sito di Loxone e, se hai dubbi, chiama il tuo installatore al numero che hai già.
Un mese basta per sistemare tutto con calma. Segna oggi in agenda una telefonata al tuo installatore prima della fine di novembre.
