Dentro il megabreach di ManoMano: come un singolo fornitore ha esposto 38 milioni di acquirenti in tutta Europa

È iniziato in sordina, con un alias in un forum di hacker: “Indra”. Ben presto, la portata è diventata chiara: decine di milioni di appassionati europei del fai-da-te hanno visto i propri dati personali finire nel mirino in una delle più grandi violazioni e-commerce del continente fino ad oggi. Il colpevole? Non un assalto diretto alla fortezza di ManoMano, ma una porta sul retro sbloccata da un fornitore di servizi in subappalto. Per 38 milioni di clienti, le conseguenze sono appena all’inizio.

ManoMano, il marketplace online sinonimo di miglioramento della casa in Francia, Germania, Regno Unito e oltre, è scosso da un incidente informatico che illustra in modo netto i pericoli nascosti delle catene di fornitura digitali. La violazione è stata scoperta a gennaio 2026, ma solo di recente l’azienda ha iniziato a informare i clienti, dopo aver confermato che ben 38 milioni di persone - quasi la popolazione della Polonia - hanno subito il furto dei propri dati.

La violazione non ha avuto origine all’interno dei sistemi di ManoMano. Gli hacker hanno invece infiltrato un subappaltatore tunisino responsabile dell’assistenza clienti, sfruttando una vulnerabilità nella sua piattaforma di ticketing Zendesk. Questa via indiretta ha permesso agli attaccanti di sottrarre silenziosamente informazioni sensibili dei clienti - nome e cognome, indirizzi email, numeri di telefono e trascrizioni delle interazioni con il servizio clienti - senza far scattare allarmi nell’infrastruttura principale di ManoMano.

Nei forum underground, l’hacker “Indra” si è vantato di detenere dati relativi a quasi 38 milioni di account utente, inclusi migliaia di ticket di assistenza e allegati. Sebbene ManoMano sostenga che non siano state consultate password o informazioni di pagamento, l’enorme volume e il livello di dettaglio dei dati esposti rappresentano una miniera d’oro per i criminali informatici specializzati in phishing, social engineering e furto d’identità.

Dopo aver scoperto la violazione, ManoMano afferma di aver revocato immediatamente l’accesso al fornitore compromesso, rafforzato i controlli di sicurezza e informato le autorità francesi (CNIL e ANSSI). I clienti coinvolti hanno ricevuto avvisi e consigli pratici: verificare con attenzione la legittimità delle email, monitorare eventuali attività sospette sugli account ed evitare link o allegati dubbi.

Eppure, mentre le indagini proseguono, ManoMano mantiene il massimo riserbo sulle complessità tecniche della violazione. L’incidente è un duro promemoria: anche i rivenditori online più solidi sono forti solo quanto il loro anello digitale più debole. Per milioni di acquirenti europei, la comodità del fai-da-te online ha avuto un costo inatteso: una lezione sui rischi nascosti di un’assistenza clienti interconnessa e in outsourcing nell’era digitale.

Quando la polvere si posa, ManoMano si trova davanti al compito arduo di riconquistare la fiducia dei clienti e rafforzare le mura digitali che sono state violate dall’esterno. Per il resto del settore e-commerce europeo, il messaggio è chiaro: i tuoi dati sono al sicuro solo quanto lo è ogni partner della tua catena di fornitura digitale.

WIKICROOK

• Third: Un “third” indica una parte esterna i cui sistemi si collegano alla tua organizzazione, potenzialmente aumentando i rischi di cybersicurezza attraverso nuovi percorsi di integrazione.
• Zendesk: Zendesk è un sistema di supporto basato su cloud per gestire ticket di assistenza clienti, chat dal vivo e richieste di fatturazione in un’unica piattaforma.
• Phishing: Il phishing è un crimine informatico in cui gli attaccanti inviano messaggi falsi per indurre gli utenti a rivelare dati sensibili o a cliccare su link malevoli.
• Social engineering: Il social engineering è l’uso dell’inganno da parte degli hacker per spingere le persone a rivelare informazioni riservate o a fornire accesso non autorizzato ai sistemi.
• CNIL: La CNIL è l’autorità francese per la protezione dei dati, che applica le leggi sulla privacy e monitora come le organizzazioni gestiscono i dati personali e la sicurezza.