La notizia è recente e ha scosso il mondo digitale: Discord, una delle piattaforme di comunicazione più popolari al mondo, ha confermato una grave violazione dei dati che ha esposto informazioni personali di alcuni utenti. A essere colpiti non sono stati i sistemi centrali di Discord, ma un fornitore esterno che gestiva il servizio di assistenza clienti. La violazione resta comunque importante.
Per molti imprenditori, questa potrebbe sembrare una vicenda lontana — qualcosa che riguarda giganti della tecnologia e non la loro piccola o media impresa. In realtà, questa storia dovrebbe suonare come un campanello d’allarme per chiunque gestisca dati di clienti o collaboratori, anche (e soprattutto) se si affida a partner o fornitori per farlo.
Cosa è successo a Discord
All’inizio di ottobre 2025, Discord ha reso noto di aver subito una violazione dei dati attraverso un attacco a un fornitore terzo responsabile della gestione dei ticket di assistenza.
Gli attaccanti, dopo aver compromesso le credenziali di alcuni dipendenti del fornitore, hanno avuto accesso a record di supporto contenenti informazioni sensibili degli utenti, come:
- nome e cognome,
- indirizzo e-mail,
- messaggi e allegati scambiati con l’assistenza,
- indirizzi IP utilizzati durante le interazioni,
- e, in alcuni casi, copie di documenti di identità (carte d’identità, passaporti, patenti).
Già, hai letto bene: documenti di identità. Questo perchè Discord ha avviato un esperimento per la verifica dell’età degli utenti in Regno Unito e Australia, dove per accedere a contenuti sensibili gli utenti devono effettuare la verifica tramite scansione del volto o caricando un documento d’identità. La scansione del volto avviene direttamente sul dispositivo senza inviare dati biometrici ai server, mentre il documento viene eliminato subito dopo la verifica. Nessun dato personale viene archiviato a lungo termine da Discord o dai suoi fornitori. Questa misura è stata introdotta in risposta a normative locali per la protezione dei minori online ed è attualmente limitata a quei Paesi, non essendo una pratica globale obbligatoria su Discord in altri luoghi fino ad oggi. Evidentemente, qualcosa deve essere andato storto che documenti di identità sono coinvolti nel breach.
Discord ha precisato che le password, i messaggi privati e i dati di pagamento completi non sono stati violati, ma il danno potenziale rimane significativo, soprattutto per gli utenti che avevano fornito documenti ufficiali per verifiche d’identità.
L’azienda ha reagito rapidamente: ha revocato l’accesso al fornitore, avviato un’indagine forense e notificato le autorità di protezione dei dati come previsto dal Regolamento europeo GDPR e dalle normative statunitensi in materia di privacy. Ma il punto cruciale di questa vicenda non è la rapidità della risposta di Discord — quanto il modo in cui la violazione si è verificata.
Il problema non è (solo) la sicurezza interna, ma quella dei tuoi fornitori
Il caso Discord evidenzia una verità scomoda: non basta proteggere i propri server o implementare un buon sistema di sicurezza interno. Se i dati dei tuoi clienti passano, anche solo temporaneamente, attraverso un fornitore — un software in cloud, un consulente esterno, una piattaforma di marketing, un call center — la tua sicurezza è legata alla loro.
In gergo, si parla di rischio della supply chain, rischio dei fornitori terzi o semplicemente gestione della sicurezza nella catena di fornitura. Secondo un rapporto IBM del 2024, oltre il 60% delle violazioni dei dati coinvolge un soggetto terzo, spesso un partner tecnico o un fornitore di servizi.
Molte aziende, anche medio-piccole, oggi utilizzano decine di servizi esterni: piattaforme CRM, gestionali in cloud, software di email marketing, sistemi di ticketing, agenzie di comunicazione, sviluppatori freelance. Ogni collegamento di questo tipo rappresenta un potenziale punto d’ingresso per un attaccante.
La realtà è che una catena è forte solo quanto il suo anello più debole.
E spesso l’anello più debole non è quello che gestisci direttamente.
Perché gli imprenditori dovrebbero preoccuparsi
Un errore comune tra gli imprenditori italiani è pensare che, se i dati “sono in mano a un fornitore”, allora la responsabilità sia sua. Ma il GDPR è molto chiaro: il titolare del trattamento (cioè la tua azienda, se raccoglie e gestisce dati personali dei clienti) rimane responsabile anche per le attività affidate a terzi.
In altre parole, se un tuo fornitore subisce una violazione e i dati dei tuoi clienti vengono esposti, le autorità possono chiamare in causa anche te. Non solo: i tuoi clienti potrebbero chiederti conto del danno subito, e la tua reputazione potrebbe risentirne pesantemente.
Immagina, per esempio, che un’azienda di e-commerce affidi la gestione delle newsletter a un servizio esterno. Se quel servizio viene violato e gli indirizzi e-mail dei clienti finiscono in mani sbagliate, l’azienda titolare resta comunque coinvolta, perché è lei ad aver deciso di utilizzare quel fornitore e a doverne verificare l’affidabilità.
Gli errori più frequenti (e pericolosi)
Molte PMI italiane, purtroppo, non applicano alcuna vera procedura di valutazione dei fornitori.
Ecco alcuni errori comuni che aumentano enormemente il rischio:
- Scegliere fornitori solo in base al prezzo o alla funzionalità, senza verificare come gestiscono la sicurezza dei dati.
- Non stipulare un contratto di nomina a responsabile del trattamento, come previsto dall’art. 28 del GDPR.
- Non controllare periodicamente se il fornitore continua a rispettare gli standard di sicurezza dichiarati.
- Usare strumenti “gratuiti” o non conformi al GDPR, magari basati fuori dall’UE, senza capire dove finiscono i dati.
- Condividere credenziali o dati sensibili via e-mail o chat non cifrate, spesso per comodità.
L’incidente di Discord dimostra quanto questo tipo di leggerezze possa costare caro, anche a chi non è direttamente “attaccato”.
Le conseguenze di una violazione
Le conseguenze di una violazione dei dati non si limitano alle multe (che possono arrivare fino al 4% del fatturato annuo mondiale secondo il GDPR).
Ci sono anche:
- danni reputazionali, che possono minare la fiducia dei clienti,
- interruzioni operative, se si devono sospendere servizi o avviare indagini,
- costi legali e di notifica,
- e potenziali azioni risarcitorie da parte degli interessati.
Nel caso di Discord, l’azienda ha risorse e strutture per gestire una crisi del genere, ma una PMI spesso non avrebbe la stessa capacità di risposta.
Un incidente simile potrebbe tradursi in una perdita irreversibile di fiducia o addirittura nella chiusura dell’attività.
Lezione #1: Conosci i tuoi fornitori (davvero)
Il primo passo per proteggere i dati dei tuoi clienti è sapere chi li tratta.
Sembra banale, ma molte imprese non hanno nemmeno un elenco aggiornato dei propri fornitori che accedono a dati personali.
Ogni volta che affidi un trattamento di dati a un soggetto esterno, chiediti:
- Quali dati può effettivamente vedere o trattare?
- Dove vengono conservati (server in UE o extra UE)?
- Quali misure di sicurezza adotta (MFA, crittografia, audit)?
- Ha certificazioni come ISO/IEC 27001 o SOC 2?
- Cosa prevede il contratto in caso di violazione o perdita dei dati?
Un buon fornitore non si offenderà se chiedi queste informazioni.
Anzi, le aziende serie sono le prime a fornire documentazione di sicurezza e conformità.
Diffida invece di chi ti risponde “non si preoccupi, è tutto sicuro”.
Lezione #2: Prevedi clausole chiare nel contratto
Il contratto con il fornitore è uno strumento fondamentale per tutelarti.
Deve specificare:
- che il fornitore agisce solo su istruzioni documentate del titolare,
- che deve adottare misure tecniche e organizzative adeguate,
- che è tenuto a notificarti immediatamente qualsiasi incidente di sicurezza,
- e che deve collaborare con te per la gestione dell’eventuale violazione (data breach).
In caso contrario, rischi di ritrovarti nella situazione di Discord: dover gestire un incidente partito da un soggetto esterno, senza pieno controllo sulle sue azioni.
Lezione #3: La sicurezza è un processo, non un documento
Molte aziende vedono la “privacy” come una formalità burocratica, da risolvere con qualche informativa e un registro dei trattamenti.
In realtà, la sicurezza dei dati è un processo continuo.
Deve coinvolgere la direzione, il personale, i partner e i fornitori.
Ciò significa:
- aggiornare regolarmente le misure di sicurezza tecniche (antivirus, MFA, backup, crittografia, patch),
- fare formazione interna per riconoscere tentativi di phishing o errori umani,
- mantenere procedure di risposta agli incidenti (chi fa cosa se accade una violazione),
- e soprattutto, verificare periodicamente i fornitori.
Cosa dovresti fare oggi, dopo il caso Discord
Se gestisci un’attività che tratta dati personali dei clienti — anche solo indirizzi e-mail o nominativi — e vuoi evitare di finire in una situazione simile, ecco una lista di azioni pratiche:
- Mappa tutti i tuoi fornitori che accedono a dati personali.
- Valuta i rischi associati a ciascuno (che tipo di dati trattano, dove li conservano, quanto sono sensibili).
- Verifica la conformità contrattuale (esiste un accordo di nomina a responsabile del trattamento?).
- Richiedi documentazione sulle misure di sicurezza adottate.
- Implementa l’autenticazione a più fattori (MFA) per tutti gli accessi ai sistemi condivisi.
- Monitora gli accessi e imposta notifiche automatiche per attività anomale.
- Pianifica una simulazione di data breach almeno una volta l’anno.
- Forma il personale su come riconoscere e segnalare comportamenti sospetti.
- Mantieni backup cifrati dei dati critici.
- Non archiviare dati più a lungo del necessario — meno dati, meno rischio.
Conclusione: la fiducia dei clienti passa anche dai tuoi fornitori
La vicenda Discord è l’ennesima dimostrazione che la sicurezza informatica non è solo una questione tecnica, ma di fiducia e responsabilità.
Gli utenti si fidano delle aziende alle quali affidano i propri dati, e quelle aziende, a loro volta, devono poter fidarsi dei propri partner.
Ma la fiducia non basta: serve verifica, trasparenza e controllo continuo.
Perché anche se la violazione avviene altrove, il danno arriva comunque a casa tua.
In un’epoca in cui i dati sono il cuore di ogni business, la protezione dei dati (personali e non) non è più un costo, ma un investimento essenziale per la sopravvivenza e la reputazione di qualunque impresa.