Microsoft, quando si fermò la posta del mondo. La lezione per l’Italia

Giovedì 12 novembre, poco dopo le 18.30 ora italiana, la posta elettronica di mezzo mondo ha smesso di funzionare. Outlook, Teams, Copilot e il resto della suite Microsoft 365 sono diventati irraggiungibili per decine di milioni di persone: nel giro di un’ora le segnalazioni arrivavano da 74 Paesi e territori.[1] Nel Regno Unito il servizio sanitario nazionale ha rinviato alcuni interventi, a Toronto un grande ospedale ha dichiarato il «codice grigio», l’allerta riservata al collasso delle infrastrutture critiche, negli Stati Uniti uffici di polizia e tribunali hanno perso le comunicazioni interne, in Australia, Giappone e Filippine si sono inceppati servizi governativi. In Europa il problema si è sentito soprattutto venerdì mattina, quando uffici e amministrazioni hanno acceso i computer e trovato le caselle mute.[2]

Microsoft si è scusata e ha escluso l’attacco informatico: all’origine ci sarebbe un errore introdotto durante un potenziamento della rete ed emerso dopo una modifica successiva.[3] Un incidente tecnico, dunque. Ma un incidente che, secondo una prima stima dell’Anderson Economic Group, potrebbe costare almeno 7 miliardi di dollari di produttività perduta.[4] È qui che la cronaca smette di essere una notizia di tecnologia e diventa una questione di sicurezza nazionale.

Non un’eccezione, ma una serie

Sarebbe un errore archiviare l’episodio come una sfortunata eccezione. Nel luglio 2024 un aggiornamento difettoso del software di sicurezza CrowdStrike bloccò 8,5 milioni di computer Windows: meno dell’1% del totale, ma concentrati proprio in compagnie aeree, banche e ospedali.[5] Nell’ottobre 2025 un guasto in una sola regione di Amazon Web Services, in Virginia, ha fermato per quindici ore applicazioni e servizi in decine di Paesi; pochi giorni dopo è toccato ad Azure, con ricadute anche su Poste Italiane; poi a Cloudflare; e nel 2026 a Microsoft 365, già in gennaio e in luglio.[6]

Le cause cambiano, la dinamica no: un errore piccolo, spesso un’operazione di manutenzione automatizzata, si propaga in pochi minuti su scala planetaria. Va detto con chiarezza che questi non sono attacchi. Casi come SolarWinds o Colonial Pipeline, spesso citati nello stesso elenco, appartengono a un’altra famiglia, quella delle aggressioni deliberate.[7] Ma la distinzione, sul piano della sicurezza, rassicura meno di quanto sembri: se un errore involontario produce effetti simili, un’azione ostile mirata sullo stesso punto potrebbe produrne di peggiori.

Il paradosso dell’efficienza

Il cuore del problema è la concentrazione. Tre aziende americane, Amazon, Microsoft e Google, controllano circa il 60% del mercato mondiale delle infrastrutture cloud, e in Europa la proporzione non è diversa.[8] Non è di per sé un male: i grandi fornitori investono in sicurezza e continuità somme che nessuna amministrazione o impresa media potrebbe permettersi, e nella stragrande maggioranza dei giorni offrono un servizio più affidabile di qualsiasi sala server di casa. Ma oltre una certa soglia l’efficienza si rovescia nel suo contrario. Quando milioni di organizzazioni dipendono dallo stesso fornitore, dalla stessa rete e dagli stessi processi di aggiornamento, quel fornitore diventa ciò che gli ingegneri chiamano un «punto singolo di fallimento»: se cede lui, cedono tutti insieme, e nessuna difesa locale può compensare.

C’è poi una fragilità meno visibile. I sistemi moderni non poggiano solo sui centri dati, ma su una lunga catena di componenti: sistemi operativi, servizi di autenticazione, software di sicurezza, librerie di codice, aggiornamenti automatici. Il caso CrowdStrike lo ha mostrato bene: non è crollato un server, è arrivato un file sbagliato. La vulnerabilità si è spostata dall’hardware alla complessità del software interconnesso, una catena di dipendenze che spesso nessuno, nemmeno chi la usa, conosce per intero.[9]

Il cloud, in altre parole, è diventato per l’economia di questo secolo ciò che le reti elettriche, ferroviarie e telefoniche sono state per quella del Novecento: un’infrastruttura di base, invisibile finché funziona. E come per l’energia, un’interruzione non resta confinata a chi la subisce direttamente, ma corre lungo le filiere: un’agenda ospedaliera che salta, un volo che non parte, un pagamento che non viene registrato, un contratto che non si firma. Delta Air Lines, la compagnia più colpita dal caso CrowdStrike, ha dichiarato perdite per circa mezzo miliardo di dollari in cinque giorni. La vulnerabilità digitale diventa subito un costo economico, e il costo economico un problema politico.

Uno stress test gratuito per chi ci osserva

Per chi si occupa di sicurezza c’è un aspetto ulteriore. Non serve immaginare regie ostili dietro questi guasti, e sarebbe sbagliato farlo senza prove. Ma ogni blackout di questo tipo è uno stress test involontario condotto in pubblico: chiunque, Stati compresi, può osservare in tempo reale quali servizi si fermano, quanto tempo serve a ripristinarli, quali amministrazioni hanno un piano B e quali no. È una mappa delle nostre vulnerabilità che regaliamo a chi ci studia.

E c’è una dimensione cognitiva. Nelle ore in cui nemmeno Microsoft sapeva spiegare che cosa stesse accadendo, il vuoto informativo si è riempito di ipotesi e speculazioni, mentre le banche avvertivano i clienti del rischio di truffe e messaggi fraudolenti che sfruttavano la confusione.[10] In una crisi vera, magari provocata deliberatamente, quel vuoto sarebbe il terreno ideale per operazioni di disinformazione capaci di moltiplicare il danno tecnico con il panico.

Che cosa vuol dire sovranità digitale

L’episodio riapre il dibattito sulla sovranità digitale, che però rischia di ridursi a uno slogan. Sovranità non significa avere i server sul territorio nazionale, né sostituire per decreto i colossi americani con alternative europee che oggi non esistono alla stessa scala. Significa poter garantire che le funzioni essenziali dello Stato continuino anche quando un fornitore si ferma; poter controllare le regole a cui quel fornitore è sottoposto; poter spostare dati e servizi altrove senza restare prigionieri di un contratto. Continuità, controllo, reversibilità.

Su questo l’Europa si è mossa più di quanto si dica. Con il regolamento DORA, da un anno Amazon, Google e Microsoft sono sotto la vigilanza diretta delle autorità finanziarie europee in quanto fornitori critici di banche e assicurazioni.[11] La direttiva NIS2, recepita in Italia nel 2024, estende obblighi di sicurezza e notifica a migliaia di soggetti essenziali; il Cyber Resilience Act impone requisiti di sicurezza ai prodotti digitali.[12] E a giugno la Commissione ha proposto il Cloud and AI Development Act, che introduce una scala europea unica per misurare la sovranità dei servizi cloud e orientare gli acquisti pubblici.[13] Il problema, come spesso in Europa, non è la norma ma la sua attuazione: un primato regolatorio che non diventa capacità operativa resta sulla carta.

Le lezioni per l’Italia

Per l’Italia la lezione si riassume in una domanda che cambia il modo stesso di pensare la sicurezza. Non più «come evitiamo che il sistema si fermi?», perché prima o poi si fermerà, ma «siamo in grado di svolgere le funzioni essenziali mentre è fermo?». È il concetto di resilienza: la capacità di prepararsi, adattarsi, resistere e riprendersi rapidamente.[14]

Si può, anzi si deve, andare oltre. Nassim Nicholas Taleb, il saggista che aveva reso celebre il «cigno nero», ha proposto in Antifragile una distinzione utile anche ai governi. Fragile è ciò che si rompe sotto gli urti; robusto ciò che li sopporta restando uguale a sé stesso; antifragile ciò che dagli urti trae vantaggio e ne esce rafforzato. La sua immagine è mitologica: la fenice risorge dalle proprie ceneri identica a prima, l’Idra di Lerna per ogni testa tagliata ne fa crescere due.[15] La resilienza intesa come semplice ritorno alla normalità è ancora la fenice. Un sistema antifragile, invece, usa ogni guasto come informazione: scopre le dipendenze che ignorava, corregge le procedure, elimina il punto singolo di fallimento che l’incidente ha rivelato. Taleb avverte anche che la ricerca ossessiva dell’efficienza cancella proprio le ridondanze che ai contabili sembrano sprechi e che nelle crisi fanno la differenza, e che chi sopprime ogni piccola perturbazione prepara il terreno a quella grande. Nel digitale la lezione vale doppio: i piccoli blackout sono il prezzo, tutto sommato contenuto, che paghiamo per scoprire dove si annida quello vero. Sprecarli significa scegliere la fragilità.

Ne discendono alcune scelte concrete. La prima riguarda il Polo Strategico Nazionale, che ha già accolto centinaia di amministrazioni centrali e aziende sanitarie, superando gli obiettivi del Pnrr. Il Polo, però, offre anche servizi costruiti sulle tecnologie dei grandi fornitori americani: la sua forza non sta nell’evitarli, ma nel garantire allo Stato il controllo operativo, la possibilità di uscire e, per i servizi davvero critici, architetture che non dipendano da un solo fornitore.[16] La seconda riguarda gli aggiornamenti automatici: l’Agenzia per la Cybersicurezza Nazionale può fissare regole perché in sanità, energia e trasporti gli aggiornamenti dei fornitori arrivino in modo graduale e verificabile, non simultaneamente su tutti i sistemi.[17] La terza è la più semplice e la più trascurata: ospedali, aeroporti, reti idriche ed elettriche devono avere procedure manuali di emergenza provate davvero, e canali di comunicazione alternativi indipendenti dal fornitore principale.[18] La quarta riguarda le esercitazioni: simulazioni nazionali periodiche, coordinate dall’Acn, che mettano insieme telecomunicazioni, banche, grandi imprese e amministrazioni per verificare come un blocco si propaga da un settore all’altro.[19]

Lo stesso vale fuori dal perimetro pubblico. Gran parte del tessuto produttivo italiano, fatto di piccole e medie imprese, e migliaia di comuni usano gli stessi servizi senza alcun piano alternativo. Per loro la resilienza non passa da architetture sofisticate, ma da accorgimenti elementari: un secondo canale di comunicazione presso un fornitore diverso, copie dei documenti e dei contatti essenziali consultabili anche senza rete, un contratto letto con attenzione, sapendo che i rimborsi previsti per i disservizi raramente valgono il costo di una giornata persa. Sono cose banali, ma è proprio la loro assenza a trasformare un guasto tecnico in una paralisi.

Per decenni la sicurezza delle nazioni si è misurata in divisioni, navi e alleanze. Oggi dipende anche da poche righe di codice e da un pugno di centri dati sparsi per il mondo. Il blackout di questa settimana non è stato un attacco, ma ci ha indicato con precisione dove un attacco farebbe più male. Sarebbe imperdonabile non approfittarne. L’efficienza resta un valore; ma uno Stato che non sa funzionare per un giorno senza la propria posta elettronica non è uno Stato efficiente. È uno Stato fragile. La sfida, per l’Italia e per l’Europa, è fare di ogni blackout una testa in più dell’Idra.

[1]Dati Downdetector riportati da CNN e Northeastern Global News (13 novembre 2026). L’interruzione è iniziata alle 12.30 ora della costa orientale statunitense (18.30 in Italia) e Microsoft l’ha tracciata con gli identificativi EX1550543 (Exchange Online) e MO1550821 (Microsoft 365). Nelle ore successive il guasto è stato circoscritto essenzialmente a Exchange Online, il servizio che alimenta la posta Outlook, Teams e le altre applicazioni che ne dipendono; anche alcuni strumenti di ChatGPT, appoggiati a infrastruttura Microsoft, hanno avuto malfunzionamenti. Microsoft ha esteso a 48 ore la finestra di ritentata consegna delle email per evitare la perdita dei messaggi in coda.

[2]Fonti: Insurance Business (13 novembre 2026) per il «code grey» dichiarato dal St. Michael’s Hospital di Toronto e per l’impatto su uffici statali, tribunali e ospedali nordamericani; voce «2026 Microsoft outage» di Wikipedia per NHS, forze dell’ordine statunitensi e servizi pubblici in Australia, Giappone e Filippine; Northeastern Global News per l’impatto in Europa nella mattinata di venerdì 13. Alla data di stesura non sono disponibili ricostruzioni sistematiche dell’impatto sulle amministrazioni italiane.

[3]La formula usata da Microsoft è: «The incident was introduced by an issue during an earlier network capacity upgrade that surfaced following a recent network change». In un messaggio su X del 13 novembre l’azienda ha precisato che si è trattato di «a technical issue not related to cyber or AI / agents». Il rapporto definitivo sull’incidente (Post Incident Review) non era ancora pubblicato al momento della stesura; ogni ricostruzione tecnica va quindi considerata provvisoria.

[4]Stima dell’Anderson Economic Group riportata da CNN (13 novembre 2026). Si tratta di produttività perduta stimata, non di perdite contabilizzate; Microsoft non ha diffuso cifre. I crediti di servizio previsti dai contratti (SLA) coprono di norma solo una frazione minima di questi costi.

[5]Il 19 luglio 2024 un aggiornamento di contenuto del sensore Falcon di CrowdStrike provocò l’arresto (la cosiddetta «schermata blu») di circa 8,5 milioni di dispositivi Windows, secondo la stima di Microsoft. L’assicuratore Parametrix ha quantificato in circa 5,4 miliardi di dollari le perdite delle sole società statunitensi della Fortune 500 (esclusa Microsoft). Delta Air Lines, la compagnia più colpita, ha dichiarato per bocca del suo amministratore delegato perdite per circa 500 milioni di dollari e migliaia di voli cancellati in cinque giorni, con il ripristino manuale di 40.000 server; la cifra è oggetto di contenzioso con CrowdStrike e Microsoft, che ne contestano l’imputazione.

[6]AWS, 20 ottobre 2025: una «race condition» nel sistema automatizzato di gestione DNS di DynamoDB nella regione us-east-1 (Virginia settentrionale) ha lasciato vuoto il record dell’endpoint regionale, con effetti a cascata su EC2 e sui Network Load Balancer; l’interruzione è durata circa 15 ore e ha coinvolto oltre 140 servizi AWS. Azure, 29 ottobre 2025: guasto globale della piattaforma con ricadute, segnalate dalla stampa, anche sui servizi di Poste Italiane. Cloudflare: interruzioni globali nel novembre 2025 e nel febbraio 2026. Microsoft 365: circa dieci ore di disservizio il 22 gennaio 2026 (soprattutto in Nord America) e, il 23 luglio 2026, un errore del sistema automatizzato di manutenzione nella regione West US di Azure, che ha rimosso rotte IP da più apparati di rete del previsto.

[7]SolarWinds (2020) fu una compromissione della catena di fornitura del software Orion a fini di spionaggio, attribuita dal governo statunitense ai servizi russi; Colonial Pipeline (2021) un attacco ransomware che portò alla chiusura precauzionale del principale oleodotto della costa orientale USA. Mettere sullo stesso piano guasti accidentali e aggressioni deliberate è un errore analitico frequente: i primi chiamano in causa l’ingegneria della resilienza, le seconde anche deterrenza, attribuzione e risposta. Il punto comune è il bersaglio: la concentrazione delle dipendenze.

[8]Synergy Research Group, terzo trimestre 2026: AWS 26%, Microsoft 19%, Google 16%, per un totale di circa il 61% della spesa mondiale in servizi di infrastruttura cloud (nel secondo trimestre 2026 le quote erano 28%, 20% e 15%). Nel solo segmento del cloud pubblico (IaaS e PaaS) i tre superano i due terzi del mercato. Le quote dei tre maggiori operatori sono in leggera erosione per la crescita dei «neocloud» specializzati in intelligenza artificiale, ma la concentrazione resta strutturale: nessun altro fornitore supera il 4-5%. Sul mercato europeo, secondo i dati citati da Gaia-X nel giugno 2026, i tre hyperscaler statunitensi controllano anch’essi circa il 65% del totale. I dati riportati in alcune analisi correnti (AWS al 30-32%, quota complessiva del 68%) mescolano periodi e perimetri di mercato diversi e vanno aggiornati.

[9]Nel caso CrowdStrike l’aggiornamento difettoso era un file di contenuto («rapid response content») distribuito simultaneamente a tutti i sistemi, senza un rilascio graduale per gruppi successivi di macchine (cosiddetto «canary» o «staged rollout»). Dopo l’incidente l’azienda ha introdotto la distribuzione scaglionata e la possibilità per i clienti di controllare i tempi di adozione. Strumenti come la distinta dei componenti software (SBOM, Software Bill of Materials) servono proprio a rendere visibile questa catena di dipendenze.

[10]CNN, cronaca in diretta del 12-13 novembre 2026, per gli avvisi delle banche alla clientela; Inc. (13 novembre 2026) per il ruolo delle speculazioni in assenza di una causa ufficiale. Il fenomeno è ricorrente: ogni grande interruzione è seguita da campagne di phishing che si presentano come «assistenza tecnica» o «procedure di ripristino».

[11]Regolamento (UE) 2022/2554 (Digital Operational Resilience Act), applicabile dal 17 gennaio 2025. Il 18 novembre 2025 le tre autorità europee di vigilanza (EBA, EIOPA, ESMA) hanno designato i primi 19 fornitori terzi critici di servizi ICT (CTPP), tra cui Amazon Web Services, Google Cloud, Microsoft, Oracle, SAP, IBM, Deutsche Telekom e Orange, sottoponendoli a supervisione diretta. La responsabilità della resilienza operativa resta comunque in capo alle entità finanziarie, che devono gestire anche il rischio di concentrazione sui fornitori.

[12]Direttiva (UE) 2022/2555 (NIS2), recepita con il d.lgs. 4 settembre 2024, n. 138, che individua nell’Agenzia per la Cybersicurezza Nazionale (ACN) l’autorità competente. Regolamento (UE) 2024/2847 (Cyber Resilience Act): dall’11 settembre 2026 i produttori devono notificare le vulnerabilità attivamente sfruttate e gli incidenti gravi tramite la piattaforma unica dell’ENISA; gli altri requisiti di sicurezza «by design» si applicheranno dall’11 dicembre 2027.

[13]Proposta di regolamento presentata il 3 giugno 2026 (procedura 2026/0138(COD)). Il testo prevede quattro livelli di garanzia di sovranità, da scegliere da parte degli enti pubblici in base a una valutazione del rischio (il livello 3 richiede, tra l’altro, proprietà e controllo europei del fornitore), e l’obiettivo di triplicare in cinque-sette anni la capacità dei data center nell’UE. L’approccio non esclude i grandi fornitori extraeuropei, ma ne condiziona l’accesso agli appalti pubblici più sensibili. Quanto a Gaia-X, l’iniziativa federata avviata nel 2019 ha scontato a lungo tempi dilatati e una definizione incerta di «sovranità»; il suo contributo più concreto è oggi uno schema di etichette e standard di fiducia e interoperabilità (Gaia-X Label), più che un’alternativa industriale agli hyperscaler.

[14]La definizione, nella formulazione «the ability to prepare for and adapt to changing conditions and withstand and recover rapidly from disruptions», risale alla Presidential Policy Directive 21 (2013) ed è ripresa nel glossario del NIST (tra l’altro SP 800-37 Rev. 2 e CNSSI 4009). Essa comprende espressamente la capacità di resistere e riprendersi tanto da attacchi deliberati quanto da incidenti e eventi naturali. La resilienza va distinta dall’affidabilità: quest’ultima misura la probabilità che un sistema funzioni in condizioni normali, la prima il suo comportamento quando quelle condizioni vengono meno.

[15]Nassim Nicholas Taleb, Antifragile. Things That Gain from Disorder, Random House, New York 2012 (trad. it. Antifragile. Prosperare nel disordine, Il Saggiatore, Milano 2013). Nata nell’ambito della teoria del rischio e della finanza, la categoria è estesa da Taleb a organismi biologici, istituzioni politiche e sistemi tecnici. Nel lessico dell’ingegneria dei sistemi l’idea trova corrispondenza nelle analisi post-incidente condotte senza ricerca del colpevole («blameless post-mortem»), finalizzate a correggere le cause strutturali anziché individuare responsabilità individuali, e nell’ingegneria del caos, la pratica adottata da alcuni grandi operatori digitali di provocare deliberatamente guasti controllati nei sistemi in produzione per scoprirne le debolezze prima che lo faccia un incidente reale. Trasposta sul piano della sicurezza nazionale, implica che ogni grande interruzione di un servizio essenziale sia seguita da un’analisi documentata e da obblighi di correzione verificabili dall’autorità competente, e non soltanto dal ripristino del servizio.

[16]Polo Strategico Nazionale S.p.A., costituita il 4 agosto 2022 e partecipata da TIM, Leonardo, CDP Equity e Sogei; dall’aprile 2025 è soggetto essenziale ai sensi della NIS2. L’obiettivo PNRR di 280 amministrazioni centrali e aziende sanitarie migrate entro giugno 2026 è stato raggiunto e, secondo i dati riportati dagli Osservatori del Politecnico di Milano, superato (circa 380). L’offerta del PSN comprende sia un cloud di proprietà sia servizi erogati in modalità controllata sulle tecnologie di fornitori internazionali qualificati (inizialmente Microsoft, Oracle e Google): la dipendenza tecnologica, dunque, non è eliminata, ma governata attraverso gestione operativa nazionale, controllo delle chiavi crittografiche e clausole di reversibilità. Requisiti di ridondanza su più fornitori andrebbero calibrati sulla classificazione dei dati e dei servizi (ordinari, critici, strategici) prevista dalla disciplina ACN, perché imporli indistintamente moltiplicherebbe costi e complessità.

[17]Si tratta di estendere ai fornitori di software critico, in raccordo con gli obblighi NIS2 e CRA, prassi già consolidate: rilascio graduale degli aggiornamenti, ambienti di prova in cui verificarli prima della messa in produzione, possibilità per l’operatore di differire gli aggiornamenti non urgenti e obbligo di prevedere una procedura rapida di ritorno alla versione precedente («rollback»).

[18]Occorre distinguere due soluzioni spesso confuse: le procedure analogiche (moduli cartacei, comunicazioni radio o telefoniche, registri manuali) e i sistemi digitali di riserva isolati dalla rete («air-gapped»), che restano informatici ma non dipendono dalla connettività né dal fornitore principale. Servono entrambe, e servono addestramento ed esercitazione periodica: un piano mai provato non è un piano.

[19]Esistono modelli consolidati, come l’esercitazione Cyber Europe organizzata dall’ENISA e Locked Shields del Centro di eccellenza NATO per la cyberdifesa cooperativa di Tallinn. L’elemento da rafforzare è il carattere intersettoriale: verificare come un’interruzione di un servizio digitale diffuso si propaghi da telecomunicazioni e finanza ai servizi pubblici essenziali, e quali catene decisionali si attivino quando i normali canali di comunicazione sono fuori uso.