RingCentral, possibile violazione di dati per 1,6 milioni di persone

Dati personali sottratti durante un attacco di social engineering

RingCentral, società che offre servizi cloud per comunicazioni aziendali e contact center, ha comunicato un incidente potenzialmente capace di coinvolgere circa 1,6 milioni di persone.

L’attività non autorizzata si sarebbe verificata a luglio ed è stata ricondotta dall’azienda a una sofisticata campagna di social engineering. RingCentral afferma di avere individuato e bloccato l’intrusione, avviando successivamente un’indagine con il supporto di una società forense indipendente.

La notizia è stata rilevata il 14 agosto 2026. Secondo la ricostruzione fornita dall’azienda, dopo gli interventi di contenimento e remediation non sarebbero state osservate ulteriori attività non autorizzate.

RingCentral sostiene inoltre che l’incidente abbia interessato soltanto una porzione limitata della clientela. Le persone considerate coinvolte sarebbero state contattate direttamente; chi non ha ricevuto una comunicazione dalla società, secondo quanto dichiarato, non dovrebbe rientrare nell’evento.

Quali informazioni potrebbero essere finite online

Il servizio di monitoraggio HaveIBeenPwned ha aggiunto giovedì al proprio database le informazioni contenute nell’archivio pubblicato dagli aggressori.

Il dataset conterrebbe circa 1,6 milioni di indirizzi email unici, associati a:

• nomi;
• indirizzi fisici;
• numeri di telefono.

RingCentral non ha però confermato il numero definitivo delle persone coinvolte. Non è stato nemmeno verificato pubblicamente se l’intero archivio sia autentico o se rappresenti la totalità dei dati sottratti.

La combinazione di email, nomi, numeri telefonici e indirizzi fisici aumenta il rischio di attacchi mirati. Un criminale può usare queste informazioni per costruire messaggi credibili, fingendosi un collega, un fornitore, un responsabile IT o la stessa RingCentral.

Il pericolo non riguarda soltanto il phishing via email. Gli stessi dati possono sostenere telefonate fraudolente, tentativi di impersonificazione, richieste di pagamento alterate e nuove campagne di social engineering contro le organizzazioni interessate.

La rivendicazione di ShinyHunters resta da verificare

RingCentral non ha attribuito ufficialmente l’attacco a uno specifico gruppo criminale. ShinyHunters, tuttavia, ha inserito l’azienda nel proprio sito di leak accessibile tramite rete Tor alla fine di luglio.

Il gruppo ha sostenuto di avere sottratto oltre 623 GB di dati. Circa una settimana dopo, non avendo ricevuto il pagamento richiesto, avrebbe pubblicato un archivio da 280 GB, presentandolo come materiale rubato a RingCentral.

Queste affermazioni non sono state confermate dall’azienda. Restano quindi aperti diversi elementi dell’incidente: l’identità degli aggressori, l’autenticità integrale dei file, il volume complessivo sottratto e la corrispondenza tra il materiale pubblicato e i sistemi di RingCentral.

Anche il numero di 1,6 milioni di individui deve essere letto come una stima potenziale. Il dataset contiene circa 1,6 milioni di indirizzi email unici, ma questo non equivale necessariamente allo stesso numero di persone effettivamente colpite.

Il nucleo della piattaforma non sarebbe stato compromesso

RingCentral fornisce servizi di telefonia aziendale, messaggistica per i team, videoconferenze e strumenti di collaborazione assistiti dall’intelligenza artificiale. La sua offerta comprende anche funzionalità per i contact center e le interazioni con i clienti.

Secondo la società, l’incidente non ha coinvolto il nucleo della piattaforma e non ha causato interruzioni operative. I servizi continuano quindi a funzionare, mentre l’indagine si concentra sull’ambiente da cui sarebbero stati sottratti i dati.

Questa distinzione non riduce automaticamente l’impatto sulla riservatezza. Un attacco può lasciare operativi i servizi principali e, allo stesso tempo, esporre informazioni sufficienti per colpire utenti, dipendenti o clienti con campagne successive.

Non sono state rese note vulnerabilità tecniche, versioni software interessate o identificativi CVE. L’episodio riguarda una compromissione attribuita a social engineering, non una falla software pubblicamente classificata. Di conseguenza, non risultano elementi per collegarlo al catalogo KEV della CISA.

Le misure adottate da RingCentral

RingCentral dichiara di avere interrotto l’attività non autorizzata e di avere avviato un accertamento interno con l’aiuto di una società forense esterna.

Tra le misure indicate dall’azienda figurano:

1. il blocco dell’attività sospetta;
2. l’indagine sull’ambiente interessato;
3. il monitoraggio successivo dei sistemi;
4. la verifica dell’assenza di nuove attività non autorizzate;
5. la notifica diretta alle persone ritenute coinvolte;
6. il mantenimento dei servizi senza interruzioni.

Non è noto se siano state pubblicate ulteriori informazioni tecniche sulla tecnica utilizzata dagli aggressori, sui sistemi raggiunti o sulle modalità con cui il social engineering avrebbe superato i controlli iniziali.

Che cosa devono fare utenti e aziende

Chi utilizza RingCentral dovrebbe controllare le comunicazioni ricevute dall’azienda, verificando però il mittente attraverso canali indipendenti e non usando i link presenti nei messaggi.

È prudente prestare particolare attenzione a:

• email che richiedono il reset della password;
• telefonate con richieste urgenti di verifica;
• messaggi che chiedono pagamenti o dati aziendali;
• inviti a installare software o fornire codici di autenticazione;
• comunicazioni personalizzate con riferimenti a clienti, sedi o colleghi.

Le credenziali potenzialmente esposte non dovrebbero essere riutilizzate su altri servizi. Se una password è stata impiegata anche altrove, va sostituita con una credenziale unica e robusta, attivando l’autenticazione a più fattori quando disponibile.

Le aziende dovrebbero inoltre avvisare i team finanziari, amministrativi e di assistenza clienti del possibile uso fraudolento di dati reali. Ogni richiesta di pagamento, modifica delle coordinate bancarie o accesso a un account dovrebbe essere verificata tramite un secondo canale già noto.

L’assenza di un’interruzione dei servizi non esclude ulteriori tentativi di frode. Per gli utenti che hanno ricevuto una notifica, il rischio principale potrebbe emergere nelle prossime campagne di phishing costruite sui dati pubblicati.