Wesco, distributore industriale Fortune 500 con circa 21.000 dipendenti e quasi 24 miliardi di dollari di fatturato annuo, ha confermato l'11 agosto 2026 di indagare su un incidente di sicurezza nel proprio ambiente CRM cloud. Secondo quanto rivendicato dal gruppo di estorsione dati ExfilSquad, il furto avrebbe interessato 2,6 milioni di record. ExfilSquad ha caricato file torrent su reti P2P dopo la scadenza di una deadline negoziale. La ricostruzione si basa principalmente sulla dichiarazione di Wesco a BleepingComputer e su analisi di threat intelligence; la root cause tecnica resta non attribuita.
- Wesco ha confermato l'incidente tramite Jennifer Sniderman, VP Corporate Communications, escludendo la presenza di ransomware o malware sui propri sistemi IT.
- ExfilSquad ha rivendicato 2,6 milioni di record rubati, inclusi PII di clienti e dipendenti, profili utente CRM, identificatori creditizi/business e metadati di autenticazione; Wesco non ha confermato questo claim.
- Il gruppo ha fissato una deadline negoziale al 5 agosto 2026 e ha caricato file torrent il 7 agosto 2026, secondo Resecurity.
- La ricerca di Resecurity e VenariX collega ExfilSquad a pattern di targeting di tabelle dati Microsoft Power Pages mal configurate in incidenti precedenti; Wesco non ha confermato questa root cause.
La conferma di Wesco e i limiti della ricostruzione
Jennifer Sniderman, VP Corporate Communications di Wesco, ha dichiarato a BleepingComputer: "Wesco is aware of a claim of CRM data exfiltration by a third party". La stessa fonte riporta la dichiarazione ufficiale secondo cui "We have worked with our cloud CRM vendor on the matter, and we do not believe that there is a risk to sensitive data".
Wesco ha esplicitamente escluso la presenza di ransomware o altro software malevolo sui propri sistemi IT. L'azienda ha precisato che "We do not believe that payment card information, financial account information or other sensitive customer or employee data is at risk".
Il dossier non identifica il vendor cloud CRM coinvolto. Il riferimento a Microsoft Dynamics 365 emerge dal reporting di BleepingComputer come elemento contestuale, non come conferma aziendale. La natura esatta della compromissione tecnica resta non attribuita: la correlazione con tabelle Microsoft Power Pages mal configurate deriva dall'analisi di ricercatori su pattern storici di ExfilSquad, non da una dichiarazione di Wesco.
Il modus operandi di ExfilSquad: strumenti legittimi, diffusione pubblica
ExfilSquad opera esclusivamente mediante estorsione dati, senza deployment di ransomware. Secondo Resecurity, il gruppo utilizza strumenti dual-use — 7z, rclone, PowerShell, WinSCP, curl — per lo staging e l'esfiltrazione verso storage cloud controllati dagli attaccanti.
La distribuzione avviene via torrent su reti P2P. Resecurity documenta che ExfilSquad ha caricato file torrent per le vittime, incluso Wesco, il 7 agosto 2026, dopo aver fissato la deadline negoziale al 5 agosto 2026. Il metodo di pubblicazione rende irreversibile la disseminazione dei dati, indipendentemente dall'esito di eventuali contatti successivi con la vittima.
Il dominio mallory[.]ai è documentato come IOC associato alle attività del gruppo.
"A lot of teens are drawn to hacking because it feels like a game — you get recognition, a sense of identity, community, and a lot of power" — rappresentante di ExfilSquad, via The Times, riportato da Resecurity
La scalata del rischio supply chain nei CRM cloud
Wesco gestisce oltre 700 strutture di distribuzione, fulfillment e vendita in circa 50 paesi. La sua posizione nodale nella supply chain industriale amplifica l'esposizione del breach: i record CRM contenenti dati di partner, clienti e contatti commerciali rappresentano materiale primario per campagne di phishing mirato e business email compromise (BEC) dirette contro terze parti. Rescana evidenzia "significant third-party risk implications for organizations with data held by Wesco", sottolineando che la compromissione di un distributore di questa scala genera effetti a cascata.
L'asimmetria del rischio è strutturale. Le aziende che affidano dati partner a piattaforme CRM cloud gestite da terzi conservano visibilità limitata sulle configurazioni di sicurezza effettive, sui controlli di accesso e sulle policy di esposizione dati. Quando la superficie di attacco si sposta dal perimeter on-premises a servizi SaaS condivisi, i tradizionali stack di sicurezza endpoint perdono capacità di detection: l'attacco non attraversa firewall aziendali né installa malware rilevabile, ma utilizza strumenti amministrativi nativi.
Cosa cambia
L'incidente Wesco-ExfilSquad documenta tre dinamiche rilevanti per l'analisi del rischio. Primo: la separazione tra conferma aziendale e claim dell'attaccatore. Wesco ha verificato l'incidente ma non ha convalidato il volume né la natura dei dati; questa distanza è tipica dei breach cloud dove il vendor gestisce l'infrastruttura e il cliente detiene visibilità parziale.
Secondo: l'assenza di ransomware non implica assenza di impatto. La pubblicazione torrent rende i dati permanentemente accessibili, eliminando la possibilità di contenimento attraverso negoziazione o intervento giudiziario.
Terzo: la fonte non specifica se Wesco abbia notificato autorità di regolazione o law enforcement, né se il cloud CRM vendor abbia rilasciato indicazioni tecniche ai propri clienti. Questo vuoto informativo lascia le organizzazioni partner senza parametri per valutare l'esposizione propria.
La linea editoriale
Il caso Wesco esemplifica una categoria di incidenti in espansione: il data theft extortion contro ambienti SaaS, dove l'attaccatore non compromette l'infrastruttura del cliente ma estrae valore dai dati ospitati su piattaforme terze. La risposta aziendale — collaborazione con il vendor, esclusione di ransomware, valutazione di rischio su dati sensibili — segue il protocollo standard, ma non chiarisce i termini tecnici della compromissione.
Per le supply chain che transitano su Wesco, il dato rilevante non è la conferma o meno del claim di 2,6 milioni di record, ma la permanenza dei dati su reti P2P. La visibilità su chi ha scaricato i torrent, e con quali intenti, resta fuori dal controllo della vittima e del suo vendor. Questa è l'asimmetria che definisce il rischio.
La ricostruzione si basa principalmente sulla dichiarazione di Wesco a BleepingComputer e su analisi di threat intelligence. La fonte non specifica la root cause tecnica confermata, il vendor CRM coinvolto, né se i dati torrent siano stati autenticati indipendentemente.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.bleepingcomputer.com/news/security/wesco-confirms-security-incident-after-exfilsquad-claims-data-theft/
- https://www.rescana.com/post/wesco-cloud-crm-data-breach-exfilsquad-data-theft-and-supply-chain-risks-analyzed
- https://www.resecurity.com/blog/article/exfilsquad-targets-new-victims-shares-data-via-torrents
- https://blog.rankiteo.com/wes1786569977-wesco-breach-august-2026/
- https://daily.dev/posts/wesco-confirms-security-incident-after-exfilsquad-claims-data-theft-xhz2lerqo
- https://www.teiss.co.uk/news/wesco-investigates-cybersecurity-incident-after-data-extortion-group-claims-breach-17969
- https://www.bleepingcomputer.com/
- https://www.bleepingcomputer.com/tutorials/
- https://www.bleepingcomputer.com/download/