Attacchi DDoS mettono fuori uso Threema per ore

Threema, il servizio svizzero di messaggistica a pagamento orientato alla privacy, ha subito una serie di attacchi DDoS che hanno causato un’interruzione completa di circa quattro ore e ulteriori problemi intermittenti.

La notizia è stata pubblicata il 16 agosto 2026. Gli utenti avevano iniziato a segnalare malfunzionamenti durante la serata di martedì. In una prima fase Threema aveva collegato il disservizio a un problema di rete presso il proprio fornitore di colocation, ma in seguito ha confermato il coinvolgimento di un attacco distribuito.

Quattro ore di indisponibilità e nuovi disservizi

Il servizio è rimasto indisponibile dalle 19:30 alle 23:30 CEST di martedì. Il ripristino, però, non è stato immediatamente stabile: nella mattinata di mercoledì diversi utenti hanno continuato a riportare interruzioni e difficoltà di accesso.

Le segnalazioni sono arrivate da più Paesi, anche dopo che la pagina ufficiale di stato aveva indicato il ritorno alla normalità. Le condizioni operative sono state ristabilite alle 12:23 CEST.

La durata e la distribuzione geografica dei problemi mostrano un impatto significativo sulla disponibilità della piattaforma. Non sono stati resi noti né il volume complessivo del traffico malevolo né il numero di utenti coinvolti.

L’attacco ha interessato anche Nine, il partner di colocation di Threema. Non è stato stabilito se Threema fosse il bersaglio principale oppure uno degli obiettivi di un’operazione più ampia contro l’infrastruttura del fornitore.

Un attacco DDoS adattivo e difficile da filtrare

Un attacco DDoS, cioè Distributed Denial of Service, punta a saturare o sovraccaricare i sistemi con richieste e traffico provenienti da numerose origini.

In questo caso, secondo la ricostruzione disponibile, gli aggressori hanno modificato ripetutamente:

• le origini del traffico;
• i metodi utilizzati;
• gli schemi delle richieste;
• i pattern complessivi dell’operazione.

Questa variabilità rende poco efficace il semplice blocco di un singolo indirizzo o di una singola sorgente. I difensori devono invece riconfigurare continuamente i filtri, distinguendo il traffico ostile dalle connessioni legittime degli utenti.

Threema ha descritto l’attività come prolungata e caratterizzata da cambiamenti continui. La combinazione tra durata, ampiezza geografica e variazione dei pattern ha complicato le attività di mitigazione.

L’incidente riguarda la disponibilità del servizio. Non è stato associato a una specifica vulnerabilità software, non sono stati indicati identificativi CVE e non sono stati forniti indicatori di compromissione.

Chi ha subito le conseguenze

Gli utenti delle normali applicazioni Threema hanno incontrato problemi nell’accesso e nella continuità delle comunicazioni durante l’interruzione e nelle ore successive.

Anche i clienti aziendali di Threema Work sono stati interessati. L’azienda ha inviato loro comunicazioni via email durante la mattinata di mercoledì, mentre gli account manager hanno fornito ulteriori informazioni in risposta alle richieste.

Una situazione diversa riguarda Threema On-Prem. Le organizzazioni che utilizzano questa modalità non hanno subito gli effetti dell’attacco, perché le installazioni operano su infrastrutture proprie e non dipendono dall’ambiente di colocation colpito.

La separazione infrastrutturale ha quindi limitato l’impatto per le aziende che necessitano di un maggiore isolamento operativo. Non elimina ogni possibile rischio legato alla connettività delle singole organizzazioni, ma evita la dipendenza dall’infrastruttura centrale coinvolta nell’incidente.

La pagina di stato ha complicato le verifiche

Durante l’incidente, la pagina dedicata allo stato dei sistemi non è stata aggiornata inizialmente a causa di un problema tecnico indipendente dall’attacco DDoS. Il servizio è stato quindi temporaneamente disattivato.

L’assenza di quel canale ha reso più difficile per utenti e amministratori verificare il reale andamento dell’emergenza. Questo spiega perché siano continuate le segnalazioni discordanti anche quando la piattaforma risultava formalmente ripristinata.

Threema ha utilizzato i social media per distribuire gli aggiornamenti progressivi. Per i clienti Threema Work, invece, il principale canale di comunicazione è stato quello email, affiancato dal contatto diretto con gli account manager.

Le contromisure introdotte da Threema

Il 14 agosto Threema ha aggiunto una protezione DDoS specializzata a monte della propria infrastruttura. Il sistema dovrebbe filtrare il traffico malevolo prima che raggiunga i sistemi aziendali, riducendo il carico e l’esposizione diretta dell’ambiente produttivo.

La misura non garantisce che futuri attacchi siano impossibili, ma sposta una parte della capacità di rilevamento e assorbimento al di fuori dell’infrastruttura principale. È un approccio particolarmente rilevante quando gli attacchi cambiano rapidamente origine e caratteristiche.

L’azienda ha inoltre pianificato un potenziamento della pagina di stato con:

• una cronologia degli incidenti;
• un feed RSS;
• un canale indipendente per ricevere aggiornamenti sul servizio;
• la possibilità di abbonamento per utenti e amministratori Threema Work.

Per le organizzazioni che non possono accettare la dipendenza dall’infrastruttura condivisa, resta disponibile Threema On-Prem, che non è stata coinvolta nel disservizio descritto.

Cosa non è noto sull’operazione

Non sono stati attribuiti gli attacchi a un gruppo specifico e non è stata indicata una motivazione. Non è noto neppure se l’obiettivo fosse direttamente Threema, Nine o entrambe le infrastrutture.

Non risultano dettagli pubblici su eventuali accessi non autorizzati ai dati o sui sistemi compromessi. Gli elementi disponibili descrivono un incidente di disponibilità, non una violazione legata a una falla software.

Per la stessa ragione, non si tratta di un caso da ricondurre al catalogo KEV della CISA: non è stata segnalata alcuna vulnerabilità sfruttata né un relativo identificativo. Le azioni immediate per gli utenti consistono quindi nel verificare gli aggiornamenti ufficiali del servizio, utilizzare i canali alternativi indicati da Threema e, per le organizzazioni con requisiti più stringenti, valutare un’architettura On-Prem.