Violazione in Almaviva, fornitore IT di FS: sottratti 2,3 TB di dati, indagini in corso

Dati riconducibili al gruppo FS Italiane sarebbero finiti online dopo la compromissione di Almaviva, uno dei principali fornitori IT della holding ferroviaria. Un attore malevolo dichiara di aver sottratto 2,3 terabyte di informazioni, poi pubblicati in un forum del dark web. La descrizione parla di documenti confidenziali e dati sensibili aziendali attribuiti a repository interni e aree di condivisione multi-azienda. Almaviva conta oltre 41.000 dipendenti e circa 80 sedi tra Italia ed estero; lo scorso anno ha registrato un fatturato di circa 1,4 miliardi di euro.

Tra il materiale rivendicato vi sarebbe documentazione tecnica, contratti con enti pubblici, archivi HR, dati contabili e dataset completi di diverse società del gruppo FS. Non è però chiaro se tra i file compaiano informazioni relative ai passeggeri o se l’incidente coinvolga anche altri clienti del fornitore.

Dopo un iniziale silenzio, Almaviva ha confermato la violazione con una nota a Cybersecitalia: i sistemi di sicurezza avrebbero identificato e isolato un attacco informatico che ha coinvolto alcune infrastrutture interne, causando il furto di dati. L’azienda afferma di aver attivato immediatamente procedure di sicurezza e contromisure, garantendo la protezione e la piena operatività dei servizi critici.

Almaviva ha inoltre informato le autorità competenti, inclusi polizia, Agenzia per la Cybersicurezza Nazionale e Garante per la protezione dei dati personali, avviando un’indagine con il supporto degli organismi governativi e promettendo aggiornamenti trasparenti man mano che emergono nuovi elementi.

Andrea Draghetti, Head of Cyber Threat Intelligence di D3Lab, ha condiviso una analisi su LinkedIn in cui spiega che i file appaiono recenti e includono documenti del terzo trimestre 2025, elemento che escluderebbe il riciclo di materiale sottratto durante l’attacco ransomware Hive del 2022. L’analista riferisce che il dump sarebbe suddiviso in archivi compressi per dipartimento o società, un approccio tipico dei gruppi ransomware e dei data broker attivi tra il 2024 e il 2025.

Resta da chiarire se l'incidente includa anche informazioni sui passeggeri e se coinvolga altri clienti di Almaviva oltre a FS Italiane.