# Chiavi API e password rubate: cosa insegnano gli attacchi di questa settimana

Fonte: https://www.eligesoft.com/blog/chiavi-api-rubate/
Pubblicato: 2026-11-09 · Autore: Filippo Malafronte, Co-Founder, sviluppatore senior e AI agent engineer
Editore: Eligesoft srl, Nocera Inferiore (SA) – info@eligesoft.com – +39 351 441 6720

> Nella prima settimana di novembre diversi attacchi hanno avuto lo stesso bersaglio: chiavi API, token e password salvati in server e integrazioni. Cosa è successo e quali controlli fare nel software della vostra azienda.

Una chiave API è una password pensata per i programmi: permette a un software di usare un servizio esterno, come un modello di intelligenza artificiale, un archivio in cloud o il sistema di pagamento, senza che una persona debba accedere. Chi la ruba può usare quel servizio a nome vostro, e il conto arriva a voi.

Nella prima settimana di novembre 2026 diversi attacchi hanno avuto questo bersaglio: non i dati dei clienti, ma le chiavi, i token e le password che tengono insieme gestionali, siti, server e servizi in cloud. Sono notizie che riguardano anche le PMI, perché ogni integrazione costruita negli ultimi anni ha almeno una di queste chiavi da qualche parte.

## Cosa è successo a inizio novembre

- Bollette AI pagate da altri (3 novembre): secondo un'analisi di Google Threat Intelligence Group e Mandiant ripresa da Help Net Security, gruppi criminali usano chiavi di accesso rubate per far girare modelli AI a spese delle vittime. In alcuni casi gli addebiti hanno superato i 100.000 dollari in un giorno, e alcune bollette sono arrivate fino a un milione di dollari prima che l'accesso venisse bloccato. In certi casi i servizi AI erano spenti, e sono stati riattivati proprio con le chiavi rubate (fonte).
- Un aggiornamento avvelenato (2 novembre): un attaccante è entrato nei server di aggiornamento di cPGuard, un prodotto di sicurezza per server di hosting Linux, e ha distribuito versioni false. In poco più di 70 minuti circa 2.950 server le hanno installate. Lo script raccoglieva hash delle password, chiavi SSH, password del database e chiavi dei servizi di archiviazione in cloud. Il produttore ha chiesto ai clienti di cambiare tutte le credenziali presenti sui server (fonte).
- Variabili d'ambiente rubate: la piattaforma di hosting Northflank ha comunicato un'intrusione in cui sono state sottratte e decifrate le variabili d'ambiente dei clienti, cioè le impostazioni dove spesso si salvano chiavi e password. Alcuni clienti hanno visto le proprie chiavi AI e API usate da altri (riepilogo della settimana).

Un rapporto di BlueFlag Security, pubblicato il 6 novembre, spiega perché questi attacchi funzionano. Tra i token di accesso ai repository di codice analizzati, il 99% non aveva una data di scadenza e il 47% non veniva usato da più di 90 giorni senza essere stato revocato. In quattro organizzazioni su cinque c'erano account inattivi da oltre 90 giorni che conservavano permessi da amministratore (fonte).

## Perché riguarda anche una piccola azienda?

Le grandi cifre arrivano da aziende grandi, ma il meccanismo è lo stesso ovunque. In una PMI le chiavi stanno spesso in posti come questi:

- il file di configurazione del gestionale, con la password del database e la chiave del corriere;
- lo script che ogni notte importa gli ordini dall'e-commerce;
- il plugin del sito che invia le richieste al CRM;
- l'assistente AI collegato alle email, con la chiave del fornitore del modello;
- il server comprato anni fa, dove ha lavorato un consulente che oggi non c'è più.

Nessuna di queste chiavi è un problema finché resta dov'è. Diventa un problema quando nessuno sa che esiste, non scade mai e ha più permessi di quelli che servono. Con i servizi AI a consumo c'è un rischio in più: una chiave rubata produce una bolletta, e se non c'è un limite di spesa la si scopre solo a fine mese.

## Cinque controlli da fare questo mese

- Fate l'inventario delle chiavi. Per ogni integrazione scrivete quale servizio usa, dove è salvata la chiave, chi l'ha creata e chi può cambiarla. Spesso è il primo momento in cui ci si accorge di integrazioni dimenticate.
- Mettete un limite di spesa e un avviso. Quasi tutti i fornitori di AI e di cloud permettono di fissare un tetto mensile e di ricevere un'email quando i consumi salgono. È il modo più rapido per accorgersi di un abuso in ore invece che a fine mese.
- Una chiave per ogni uso, con i permessi minimi. La chiave che legge gli ordini non deve poter cancellare i prodotti. Se un'integrazione viene compromessa, il danno resta limitato a quella.
- Date una scadenza e chiudete ciò che non serve. Token e account inutilizzati da mesi vanno revocati, a partire da quelli di collaboratori e fornitori che non lavorano più con voi.
- Tenete le chiavi fuori dal codice. Le credenziali vanno in un archivio protetto (un gestore di segreti o almeno variabili d'ambiente cifrate), mai scritte nei file del programma o nei repository.

Controllate oggi la dashboard di fatturazione del vostro fornitore di AI o di cloud. Se non c'è un limite di spesa mensile, impostatelo: richiede pochi minuti e vi avvisa di un abuso prima che diventi una bolletta.

## Come lo gestiamo nel software che sviluppiamo

Nei gestionali su misura che sviluppiamo in Java con Spring Boot le credenziali non stanno nel codice: vengono lette da variabili d'ambiente o da un archivio dei segreti, sono diverse per ogni ambiente (sviluppo, prova, produzione) e ogni integrazione ha la sua chiave con i soli permessi necessari. Quando un collaboratore esce dal progetto, le chiavi che conosceva vengono sostituite.

Lo stesso vale per gli agenti AI: un agente ha un responsabile, permessi limitati al suo compito e un registro delle azioni. Sono le regole di cui abbiamo parlato nell'articolo sugli agenti AI che prenotano, applicate anche alle chiavi che l'agente usa.

Se il vostro software è stato scritto anni fa, l'inventario delle chiavi è un buon punto di partenza anche per capire cosa aggiornare. Possiamo farlo insieme a voi, partendo da quello che c'è già.

Che cos'è una chiave API?È una credenziale che permette a un programma di usare un servizio esterno, come un modello AI, un archivio in cloud o un sistema di pagamento. Funziona come una password: chi la possiede può usare il servizio a nome del titolare.

Cosa succede se qualcuno ruba la chiave del nostro servizio AI?Può usare il modello a vostre spese. Secondo Google e Mandiant, in alcuni casi di inizio novembre 2026 gli addebiti hanno superato i 100.000 dollari in un giorno. Un limite di spesa mensile e gli avvisi sui consumi riducono molto il danno.

Ogni quanto vanno cambiate le chiavi API?Non c'è una regola unica, ma ogni chiave dovrebbe avere una scadenza e va cambiata subito quando un collaboratore o un fornitore che la conosceva smette di lavorare con voi, o quando un servizio collegato subisce un attacco.

Dove vanno salvate le chiavi API?In un gestore di segreti o in variabili d'ambiente protette, separate per ambiente. Non vanno scritte nel codice, nei file condivisi o nei repository.