“Il negozio me l’ha fatto l’agenzia, la sicurezza è roba loro.” È vero a metà. L’agenzia installa e aggiorna, se glielo hai chiesto e se è nel contratto. I clienti però hanno comprato da te, e i loro dati li hanno lasciati a te.
Cos’è successo?
Una falla di Adobe Commerce e Magento, le piattaforme su cui girano molti negozi online, è stata presa di mira subito dopo la pubblicazione della correzione: ci sono già tentativi di sfruttarla. Si chiama CVE-2026-71362 (il codice con cui si cataloga una falla di sicurezza) e ha un punteggio di gravità di 9,1 su 10. La cronologia:
- 11 agosto 2026: Adobe pubblica la correzione, nel pacchetto di sicurezza APSB26-92.
- Subito dopo: una società specializzata nella sicurezza dei negozi online rileva e blocca i primi tentativi di sfruttarla; la stampa specializzata lo riporta il 12 e il 13 agosto.
Adobe Commerce è colpito da una falla di autorizzazione che può portare a un’elevazione dei privilegi: un attaccante può ottenere un accesso elevato a risorse riservate. Lo sfruttamento non richiede interazione dell’utente. Riguarda anche Adobe Commerce B2B e Magento Open Source.
Poco dopo la pubblicazione dell’avviso di Adobe, i ricercatori hanno bloccato i primi tentativi di sfruttamento della falla. Adobe, nel suo avviso, dichiara di non avere prove che la falla sia già stata sfruttata.
Tentativi di attacco a pochi giorni dalla correzione non sono un dettaglio tecnico: vuol dire che chi attacca legge gli avvisi di sicurezza più in fretta di molti gestori di negozi.
Cosa può succedere al mio negozio?
Un estraneo può entrare nell’account di un tuo cliente, senza conoscerne la password, e vederne i dati. Non gli serve un account sul tuo negozio, non gli servono i permessi da amministratore, e il cliente non deve cliccare su niente.
La vulnerabilità permette di spostare la sessione di un cliente su un altro account cliente, dando accesso all’account della vittima e ai suoi dati privati. Lo sfruttamento non richiede un account esistente, privilegi di amministratore o interazione dell’utente.
Cosa c’è di solito nell’account di un cliente di un negozio online? Nome, indirizzo di consegna e di fatturazione, telefono, email, storico degli ordini. Per un negozio di prodotti per la salute, per bambini o per adulti, anche solo l’elenco degli acquisti è un dato delicato. E con quei dati si scrivono email di phishing molto credibili ai tuoi clienti: “Il tuo ordine n. 1234 del 3 agosto è bloccato, conferma il pagamento qui”.
Succede anche in Svizzera?
Sì: l’UFCS vede sia attacchi alle vulnerabilità dei sistemi esposti su internet, sia truffe che imitano i negozi delle aziende per rubare le carte dei clienti. Nel rapporto semestrale uscito ad agosto 2026, l’Ufficio federale della cibersicurezza scrive che gli aggressori hanno continuato a sfruttare le falle dei sistemi raggiungibili da internet per infettarli. Fra gli esempi cita un avviso su Adobe Commerce e Magento: riguarda però un’altra falla (chiamata PolyShell), non quella di questo articolo. Conferma che queste piattaforme sono un bersaglio ricorrente.
Nel capitolo sul phishing il rapporto segnala che anche le aziende sono finite nel mirino: i criminali hanno copiato accuratamente la presenza sul web delle aziende per rubare i dati delle carte di credito dei clienti negli shop online. Nello stesso semestre l’UFCS ha individuato almeno 191 siti svizzeri WordPress compromessi con codice dannoso.
Il messaggio per chi vende online, in Ticino come in Lombardia, è lo stesso: il tuo negozio è un bersaglio per due motivi. Perché il software può avere falle, e perché il tuo nome, il tuo logo e la fiducia dei tuoi clienti valgono qualcosa anche per chi li vuole imitare.
Come faccio a sapere se il mio negozio usa Magento?
Chiedilo a chi te l’ha fatto: è la risposta più sicura e più veloce. Molti titolari non sanno su che piattaforma gira il proprio negozio, ed è normale: l’hanno scelta l’agenzia o il consulente. Controlla anche:
- Il contratto o il preventivo dell’agenzia: spesso la piattaforma è scritta lì (“sviluppo e-commerce su Magento”, “Adobe Commerce”).
- Le fatture ricorrenti: una licenza Adobe Commerce, un hosting “ottimizzato per Magento”.
- La pagina di amministrazione da cui gestisci ordini e prodotti: se in alto o in fondo compare la scritta “Magento” o “Adobe Commerce”.
Se il tuo negozio è su Shopify, WooCommerce, PrestaShop o un’altra piattaforma, questa falla non ti riguarda. Ma le domande qui sotto valgono lo stesso: cambiano solo i nomi.
Cosa chiedo all’agenzia o al fornitore?
Una domanda precisa riceve una risposta precisa. Mandala per email e conserva la risposta. Ecco un testo che puoi copiare:
- “Il nostro negozio gira su Adobe Commerce o Magento Open Source? Che versione?”
- “La correzione di sicurezza APSB26-92 di Adobe (falla CVE-2026-71362) è installata? In che data?”
- “Avete controllato se ci sono stati accessi anomali agli account dei clienti prima dell’installazione della correzione?”
- “Nel contratto, chi ha il compito di installare gli aggiornamenti di sicurezza, ed entro quanto tempo?”
- “Se scoprite una violazione dei dati dei clienti, come e in quanto tempo me lo comunicate?”
Un consiglio generale: un negozio fermo da anni agli aggiornamenti non si sistema in cinque minuti. Se la risposta dell’agenzia è “dobbiamo prima aggiornare tutto”, non è per forza una scusa: spesso è il conto degli aggiornamenti rimandati.
Se i dati dei clienti sono usciti, cosa devo fare?
Il responsabile verso i clienti sei tu, titolare del negozio, anche se il sito lo gestisce un’agenzia. L’agenzia lavora per conto tuo e deve avvisarti se scopre una violazione; ma gli obblighi verso i clienti e verso l’autorità restano in capo a te.
- In Svizzera vale la nuova legge federale sulla protezione dei dati (nLPD). Se una violazione può comportare un rischio elevato per le persone, va notificata il prima possibile all’Incaricato federale della protezione dei dati e della trasparenza (IFPDT). Le persone coinvolte si informano quando serve a proteggerle, o se lo chiede l’IFPDT.
- In Italia vale il GDPR, il regolamento europeo sulla protezione dei dati. La violazione va notificata al Garante per la protezione dei dati personali entro 72 ore da quando ne sei venuto a conoscenza, salvo che sia improbabile un rischio per le persone. Se il rischio è elevato, vanno avvisati anche i clienti.
- Se vendi dalla Svizzera a clienti in Italia, o viceversa, possono valere entrambe: chiedilo al tuo consulente.
Le notifiche si fanno sui siti ufficiali: IFPDT per la Svizzera, Garante per l’Italia. L’attacco informatico si segnala anche all’UFCS (report.ncsc.admin.ch) in Svizzera e alla Polizia Postale (commissariatodips.it) in Italia.
Il Metodo 3V applicato alla manutenzione del negozio
Le tre domande del Metodo 3V valgono anche per gli aggiornamenti del tuo e-commerce. Il metodo viene dal libro «Sicurezza informatica per professionisti» ed è spiegato nella guida al social engineering.
| Domanda | Applicata al tuo negozio online |
|---|---|
| Verifica: sai cosa usi e chi ha accesso? | Sai su che piattaforma gira il negozio, chi ha le chiavi del server e dell’amministrazione, e chi ha il compito di aggiornarlo? |
| Validazione: hai una conferma, non una supposizione? | «Sì, è tutto aggiornato» non basta: chiedi il nome della correzione (APSB26-92) e la data di installazione, per iscritto. |
| Velocità controllata: quando conviene aspettare? | Di solito un aggiornamento si pianifica. Una falla che qualcuno sta già provando a sfruttare è l’eccezione: qui la fretta è giusta, anche a costo di un’ora di negozio chiuso. |
Domande frequenti
Domande frequenti
Il mio negozio è su Shopify o WooCommerce: mi riguarda?
Questa falla no: riguarda solo Adobe Commerce e Magento Open Source. Le domande da fare al tuo fornitore però sono le stesse: chi aggiorna, entro quanto tempo, e come ti avvisa se qualcosa va storto. Ogni piattaforma ha le sue falle, prima o poi.
L'agenzia mi dice che è tutto a posto: basta?
Chiedi due dettagli: il nome della correzione installata (APSB26-92) e la data. Se l'installazione è avvenuta dopo l'11 agosto, chiedi anche se hanno controllato gli accessi agli account dei clienti nel frattempo. Una risposta scritta e precisa vale più di una rassicurazione a voce.
Sono un piccolo artigiano, chi vuoi che attacchi proprio me?
Questi attacchi non scelgono il negozio per nome: cercano in automatico tutti i siti con la stessa versione vulnerabile. Un piccolo negozio non aggiornato è più facile da colpire di un grande, non meno. E i dati dei tuoi clienti valgono quanto quelli di chiunque altro.
Devo avvisare i miei clienti?
Solo se c'è stata davvero una violazione dei loro dati, e dipende dal rischio. In Svizzera la nLPD chiede di informarli quando serve a proteggerli; in Italia il GDPR quando il rischio è elevato. Nel dubbio fatti aiutare da un consulente sulla protezione dei dati prima di scrivere.
Se nel tuo negozio nessuno sa dire chi aggiorna cosa, è il primo punto da sistemare: trovi da dove partire nella pagina per le PMI. La correzione c’è dall’11 agosto e ci sono già tentativi di sfruttarla: la domanda all’agenzia costa una email.
