Il tuo provider cloud fa parte della superficie d'attacco, violato o no

Chi è esattamente responsabile della sicurezza del server che affitti? La maggior parte dei team risponderebbe "noi, soprattutto", per poi dare per scontato, in silenzio, che l'azienda proprietaria dell'hardware, dell'hypervisor e del pannello di controllo abbia messo in ordine casa propria. Questo presupposto silenzioso è la vera storia dietro i recenti avvisi di sicurezza di Linode.

Siamo precisi, perché l'impostazione da titolo di giornale può trarre in inganno. La documentazione a nostra disposizione non descrive una violazione confermata di Linode, che fa parte di Akamai. Mostra invece due avvisi di sicurezza per i clienti sulla pagina di stato. Il primo, su vulnerabilità di esecuzione di codice remoto in PHP, è iniziato il 21 ottobre 2026. Il successivo, su falle critiche di F5/NGINX rilasciate fuori ciclo, è arrivato il 22 ottobre. In quest'ultimo, Akamai ha dichiarato che i suoi team stavano "indagando attivamente" sull'impatto potenziale di tre CVE sulla propria piattaforma e infrastruttura.

La fiducia per default è la vera vulnerabilità

Non è uno scandalo. Pubblicare avvisi è ciò che un provider deve fare. Ma nota la formulazione: l'azienda stessa stava ancora cercando di capire quanto fosse esposta la propria piattaforma. Se chi gestisce le macchine ha bisogno di tempo per scoprirlo, anche il cliente che ne affitta una fetta dovrebbe farsi delle domande.

La maggior parte di noi valuta un hosting una volta sola, all'iscrizione, in base a prezzo, regione e uptime. Dopo, diventa un pezzo d'arredamento. Aggiorniamo la nostra applicazione, ruotiamo le nostre chiavi e consideriamo tutto ciò che sta sotto come un problema di qualcun altro. A nostro avviso, è il contrario di ciò che andrebbe fatto. I server web del tuo provider, la sua API di gestione, gli strumenti di supporto e gli accessi del personale sono tutte strade verso i tuoi carichi di lavoro, e non ne controlli nessuna.

Questo schema non vale solo per l'hosting. Coinbase ha dichiarato che i fondi dei clienti erano al sicuro dopo un incidente presso un fornitore di analisi che riguardava dati di contatto, stando al titolo di quell'articolo. Altro livello, stessa lezione: la tua esposizione comprende ogni fornitore a cui hai affidato dati o privilegi, che tu ricordi o meno di averlo attivato.

La trasparenza è il prodotto da cercare

Quando si verifica un incidente, la qualità della comunicazione del provider conta quasi quanto la correzione. Confronta due comportamenti. L'avviso su F5/NGINX cita le CVE specifiche e dice che cosa è sotto indagine. Contrapponilo ad Applebee's, dove, secondo TechCrunch, un ricercatore non è riuscito a trovare alcun modo per segnalare un problema di sicurezza e l'azienda non ha voluto dire se avesse dei log per verificare accessi non autorizzati. Applebee's non è un fornitore di hosting, ma il contrasto è istruttivo: un'organizzazione ti dice ciò che sa, l'altra ti lascia a indovinare.

Quindi fai al tuo provider le domande noiose prima di aver bisogno delle risposte:

• Esiste un contatto di sicurezza pubblico e un processo di divulgazione?
• Con quale rapidità escono gli avvisi e citano le falle specifiche?
• A cosa può accedere il provider nel tuo ambiente e quell'accesso viene registrato?
• Verrai avvisato se un incidente interno tocca i tuoi dati, ed entro quando?

Se le risposte sono vaghe, anche questa è un'informazione. Le daremmo almeno lo stesso peso del prezzo mensile.

Presumi che il provider possa essere violato, poi progetta di conseguenza

Il nostro consiglio non è fuggire dal cloud. L'self-hosting ha le sue modalità di guasto e la maggior parte dei piccoli team probabilmente farebbe peggio. Si tratta di adottare un atteggiamento: presumere che il livello sotto di te possa cedere e limitare quanto costa quel cedimento.

In pratica significa cifrare i dati con chiavi che il provider non possiede mai, tenere i backup altrove e trattare token API e chiavi SSH come cose che puoi ruotare in un pomeriggio. Significa anche seguire i canali di stato e sicurezza del provider come segui le tue dipendenze. Una falla in NGINX o PHP non riguarda solo le tue istanze; può riguardare anche l'infrastruttura che le ospita. Nulla di tutto ciò richiede paranoia. Richiede di spostare il provider da "fidato" a "fidato, verificato e sostituibile".

Il nostro verdetto: non leggere gli avvisi di Linode come un motivo per farsi prendere dal panico o per cambiare fornitore. Leggili come un'esercitazione antincendio gratuita. Se un avviso come questo ti ha fatto capire che non sai cosa può vedere il tuo hosting, chi contatteresti o come ricostruiresti tutto altrove, quella lacuna è la scoperta. Colmala in questo trimestre, finché è una voce della to-do list e non un rapporto d'incidente.