Attacco informatico a The North Face: rubati dati personali di clienti

Il 23 aprile 2025, The North Face è stata vittima di un attacco informatico attraverso la tecnica del credential stuffing, esponendo dati personali di numerosi clienti, tra cui nomi, indirizzi, email, date di nascita e numeri telefonici. Il credential stuffing sfrutta la pratica comune degli utenti di riutilizzare le stesse combinazioni di username e password su piattaforme diverse.

I cybercriminali, utilizzando credenziali già compromesse in precedenti violazioni, effettuano tentativi automatizzati di accesso a vari account. Nonostante il fatturato annuale di oltre 3 miliardi di dollari, di cui il 42% derivante dall’e-commerce, The North Face non ha ancora reso obbligatoria l’autenticazione a due fattori per tutti gli utenti, motivo per il quale molti account sono stati soggetti a questi rischi. Questa scelta, ormai considerata problematica, ha contribuito alla vulnerabilità dell’azienda.

Una storia di vulnerabilità ricorrenti

Dal 2020, la sicurezza informatica di The North Face è stata messa alla prova più volte. In quattro episodi di credential stuffing, l’azienda ha subito gravi conseguenze. L’attacco più recente, avvenuto nel marzo 2025, ha colpito sia The North Face che Timberland, un altro marchio del gruppo VF Corporation, compromettendo 15.700 account.

Gli attacchi precedenti, nel 2020 e nel 2022, hanno coinvolto oltre 200.000 account, mentre il dicembre 2023 ha segnato un picco negativo con un attacco ransomware che ha esposto i dati di ben 35 milioni di clienti. Questi episodi evidenziano fragilità strutturali nella sicurezza dei dati del marchio americano, che sembrano non essere state affrontate con misure preventive sufficientemente efficaci.

Interventi e prospettive future

In risposta all’ultimo attacco, The North Face ha inviato notifiche ai clienti colpiti, rassicurando che i dati di pagamento sono rimasti protetti grazie alla gestione tramite provider esterni. Tuttavia, la frequenza di questi episodi mette in evidenza l’urgenza di adottare strategie di sicurezza per i dati più robuste. L’implementazione obbligatoria dell’autenticazione a due fattori potrebbe rappresentare un passo fondamentale per prevenire futuri attacchi.