OnTrac colpita da un attacco informatico: dati personali dei clienti esposti, ipotesi di pagamento del riscatto

Introduzione

OnTrac, corriere statunitense dell'ultimo miglio nato dalla fusione tra OnTrac Logistics e LaserShip, ha subito un'incursione nella propria rete aziendale. L'intrusione si è consumata tra il 20 e il 22 marzo 2026, ma è stata rilevata soltanto il giorno seguente. Secondo quanto comunicato, un aggressore ha avuto accesso a file contenenti informazioni personali dei clienti. La tipologia completa dei dati rimane incerta perché le notifiche campione inviate alle autorità presentano voci oscurate; si sa con certezza che tra questi figurano i nominativi. Per gestire la crisi, l'azienda ha ingaggiato un consulente esterno e ha dichiarato di aver adottato misure per "ri‑sicurare" i dati, espressione che ha sollevato più di un sospetto su un possibile accordo con il criminale, forse accompagnato da un pagamento.

Analisi tecnica

L'accesso non autorizzato alla rete di OnTrac è durato tre giorni, un lasso di tempo sufficiente per individuare ed esfiltrare documenti sensibili. Non sono stati diffusi dettagli sulla modalità d'attacco – phishing, sfruttamento di vulnerabilità, credenziali compromesse – ma la dinamica ricorda le classiche campagne di doppia estorsione: sottrarre dati e minacciarne la pubblicazione in assenza di un pagamento. Tuttavia, in questo caso non risulta la cifratura di sistemi, né alcun gruppo noto ha rivendicato l'azione. L'assenza di fughe pubbliche e di frodi accertate al momento della notifica rafforza l'ipotesi di una trattativa andata a buon fine. L'ambiguo concetto di "ri‑sicurare" i file lascia intendere che OnTrac abbia negoziato con l'attaccante, probabilmente dietro compenso, per ottenere la promessa di cancellazione o non divulgazione di quanto sottratto, sebbene la trasparenza su questi aspetti sia molto limitata.

Impatto

L'esposizione di dati personali (PII), anche solo parzialmente conosciuta, comporta rischi concreti di furto d'identità e frodi creditizie per i clienti coinvolti. Oltre ai nomi, potrebbero essere stati compromessi indirizzi, recapiti, codici di avviamento postale o informazioni di pagamento, elementi che alimenterebbero campagne di phishing mirate. Sebbene al momento non emergano frodi conclamate, la semplice possibilità che i dati siano ancora in possesso di un criminale – anche a dispetto di un eventuale accordo – lascia aperta la minaccia per il futuro. OnTrac dovrà fare i conti con i costi della risposta all'incidente (indagini, specialisti forensi, notifiche, servizi di protezione per i clienti) e con un prevedibile danno d'immagine, aggravato dall'opacità sulle esatte tipologie di informazioni rubate e sulla condotta tenuta con gli aggressori.

Mitigazione

Dal punto di vista aziendale, OnTrac ha attivato un'indagine interna affiancata da un esperto di terze parti, adottando contromisure per arrestare la diffusione dei dati. I particolari non sono stati resi pubblici, alimentando il riserbo che circonda la vicenda. Per i clienti interessati, la società offre gratuitamente CyberScout, un servizio di identity protection e monitoraggio del credito, per 12 mesi (attivabile entro 90 giorni). Raccomanda inoltre di tenere d'occhio i report creditizi e di valutare l'inserimento di un fraud alert o il congelamento del credito presso le principali agenzie. La prudenza, però, non si esaurisce qui: è essenziale prestare attenzione a qualunque comunicazione anomala che potrebbe sfruttare i dati sottratti, e valutare l'attivazione di ulteriori strumenti di difesa personale.

FAQ

1. Quali dati personali sono stati esposti?
Le notifiche ufficiali confermano l'esposizione almeno dei nomi dei clienti. Altre categorie di dati sono state oscurate nel campione inviato alle autorità, quindi non è noto se includano recapiti, dati di pagamento o altre informazioni sensibili. L'incertezza rimane uno dei punti critici della vicenda.

2. OnTrac ha pagato un riscatto per proteggere i dati?
L'azienda non ha mai dichiarato esplicitamente di aver pagato. Tuttavia, l'uso dell'espressione "ri‑sicurare i dati", unito al fatto che i file non siano mai stati pubblicati e non vi siano rivendicazioni, lascia supporre che sia stato negoziato un accordo, forse anche economico. Si tratta di un'ipotesi non verificabile sulla base delle informazioni pubbliche.

3. Cosa deve fare un cliente coinvolto per tutelarsi?
OnTrac fornisce 12 mesi gratuiti di monitoraggio del credito e protezione dell'identità tramite CyberScout, con iscrizione richiesta entro 90 giorni. È consigliabile controllare periodicamente i propri report creditizi, istituire un fraud alert o bloccare il credito per impedire aperture di conti non autorizzate. Inoltre, è bene diffidare di email, SMS o chiamate sospette che potrebbero sfruttare i dati personali per fini fraudolenti.