Directa: DDoS del 9 ottobre e giorno senza commissioni

Il resoconto di Finanza Digitale colloca a venerdì 9 ottobre 2026 il blocco delle piattaforme Directa per molti clienti, attribuito dalla società a un attacco DDoS, e a sabato 10 ottobre il ripristino del servizio; per novembre è stata promessa una giornata senza commissioni. Durante il blocco, chi aveva bisogno di intervenire sui mercati non ha potuto contare sull’accesso alla piattaforma.

Nel messaggio di Andrea Busi ai clienti, pubblicato il 13 ottobre, l’amministratore delegato descrive «un volume anomalo di traffico e di richieste» e scrive che le verifiche non hanno evidenziato accessi non autorizzati ai sistemi, né sottrazioni o alterazioni dei dati della clientela. La distinzione è decisiva per i correntisti: l’accesso al trading è stato interrotto, mentre l’esito comunicato dei controlli sui dati riguarda ciò che la società ha rilevato dopo l’incidente.

Dal blocco del trading al ripristino

Il DDoS ha colpito la raggiungibilità del servizio. In un attacco distribuito di negazione del servizio, molte richieste vengono dirette verso i sistemi bersaglio per sovraccaricarli; anche un cliente legittimo può così trovarsi nell’impossibilità di entrare o di usare le funzioni operative. È il meccanismo indicato per il disservizio di Directa e spiega perché il problema si sia manifestato come difficoltà di accesso alle piattaforme.

La sequenza pubblica ha due momenti distinti. Dopo il blocco di venerdì, l’avviso di ripristino è arrivato sabato: i servizi risultavano nuovamente operativi, ma la spiegazione dettagliata della causa è stata diffusa nei giorni successivi. Per chi aveva tentato di negoziare, il ritorno della piattaforma non ricostruiva automaticamente le operazioni che avrebbe voluto effettuare durante l’interruzione.

Il perimetro del disservizio è descritto come un’impossibilità di operare per molti clienti, senza un numero pubblico di conti coinvolti o di ordini rimasti ineseguiti. Neppure l’espressione “servizio ripristinato” permette di stabilire retroattivamente lo stato di una singola istruzione inviata prima del blocco. Un ordine trasmesso, uno rimasto in attesa di conferma e un’operazione soltanto progettata sono situazioni diverse, anche se per il cliente possono apparire parte dello stesso episodio.

Che cosa dicono le verifiche sui dati

La conclusione comunicata sui dati riguarda l’esito delle verifiche svolte: nessun accesso non autorizzato, nessuna sottrazione e nessuna alterazione emersi dai controlli. Un DDoS incide sulla disponibilità del servizio, cioè sulla possibilità di usarlo quando serve; accessi abusivi e modifiche ai dati riguarderebbero invece riservatezza e integrità. La perdita di accesso, da sola, non indica che qualcuno sia entrato nei conti dei clienti.

La formulazione delle verifiche va mantenuta precisa. Dire che non sono stati rilevati accessi non autorizzati descrive un risultato investigativo comunicato dalla società; non è una garanzia assoluta su qualunque circostanza possibile. Al tempo stesso, trasformare il blocco della piattaforma in una violazione accertata dei dati attribuirebbe all’incidente un effetto che le informazioni rese pubbliche non mostrano.

Per il cliente resta un’altra questione, separata dalla sicurezza dei dati: ricostruire la propria operatività. Dopo il ripristino, lo storico degli ordini, gli eseguiti e i movimenti del conto consentono di distinguere ciò che risulta effettivamente trasmesso e negoziato da ciò che non compare. Questa distinzione conta soprattutto quando un tentativo di invio è avvenuto poco prima di perdere l’accesso e non è stato possibile vederne subito l’esito.

CSIRT Italia, DORA e segnalazioni dei clienti

Teleborsa riferisce che l’incidente è stato gestito in raccordo con CSIRT Italia e secondo le procedure previste da DORA, il regolamento europeo sulla resilienza operativa digitale nel settore finanziario; Directa ha inoltre escluso richieste estorsive. Il raccordo con il presidio nazionale riguarda la risposta all’incidente informatico. Non fornisce, di per sé, una valutazione dei possibili effetti economici su ciascun cliente.

Per descrivere un problema individuale servono elementi riferiti alla singola operazione: l’orario del tentativo di accesso, eventuali messaggi di errore, gli identificativi degli ordini già inviati e lo stato che risultava dopo il ripristino. Sono utili anche le comunicazioni ricevute durante il disservizio. Separare queste informazioni dalle intenzioni di investimento permette di formulare una segnalazione circostanziata, senza attribuire alla piattaforma ordini che non risultano trasmessi.

Un’eventuale contestazione sul pregiudizio subito richiede quindi una ricostruzione diversa da quella necessaria a spiegare la causa tecnica del blocco. Il DDoS chiarisce perché il servizio fosse difficilmente raggiungibile; non determina quale prezzo un cliente avrebbe ottenuto, se un ordine sarebbe stato eseguito o quale risultato avrebbe prodotto una scelta non effettuata. I registri della propria operatività sono il punto di partenza per distinguere i fatti documentabili dalle ipotesi.

Il perimetro della giornata senza commissioni

La misura annunciata è rivolta a tutti i clienti Directa, ma la data di novembre e i mercati interessati devono ancora essere precisati. Si tratta di un beneficio sulle commissioni di operazioni future: la sua utilità concreta dipenderà da quali strumenti saranno compresi e dalle operazioni che ciascun cliente effettuerà nel giorno scelto. Senza quelle condizioni, non è possibile attribuirle un valore uguale per tutti.

La giornata promozionale risponde al disagio in modo generale. Non restituisce una seduta di mercato a chi non ha potuto negoziare durante il blocco e non quantifica l’effetto del disservizio su un portafoglio specifico. Anche per questo, il suo annuncio va tenuto distinto dalla ricostruzione di eventuali ordini non eseguiti o di problemi riscontrati sul singolo conto.

Il prossimo passaggio atteso è la comunicazione della data e dei mercati inclusi. Solo allora i clienti potranno sapere quali operazioni rientreranno davvero nella giornata senza commissioni e valutare la portata concreta dell’iniziativa.