Microsoft attribuisce il disservizio di Microsoft 365 ai propri server, non a un attacco informatico: diversi server di Exchange Online sono diventati indisponibili e il traffico reindirizzato ha saturato parte dell'infrastruttura rimanente. Oltre 18 ore dopo l'inizio dell'interruzione, l'azienda segnalava ancora una capacità inferiore al normale e servizi con un ripristino disomogeneo.
Server guasti e un ripristino irregolare
Il primo avviso di Microsoft è arrivato il 12 novembre alle 8:17, ora del Pacifico: Exchange Online presentava problemi. Alle 10:27, l'azienda ha segnalato disservizi in diverse regioni e avvertito che potevano essere interessati anche Teams, SharePoint e Copilot. Intorno alle 10:58 ha iniziato a deviare il traffico dall'infrastruttura interessata e a riavviare i server per ridurre il carico.
Alle 11:30, Microsoft ha spiegato che alcuni server erano diventati inaspettatamente indisponibili. Il traffico inviato ad altre macchine ha aumentato la pressione sui sistemi ancora operativi. Computer Hoy ha descritto un processo centrale di Exchange Online sottoposto a un carico elevato e che ha smesso di rispondere, provocando un effetto a catena quando le richieste sono state reindirizzate ad altri server. IT Pro ha riferito separatamente che diversi server indisponibili stavano sovraccaricando l'infrastruttura rimanente.
Microsoft non aveva individuato la causa iniziale. Computer Hoy ha riferito che l'azienda stava indagando per capire se il problema potesse essere collegato a un aggiornamento o a una recente modifica della configurazione di rete. IT Pro ha osservato che la causa principale non sarebbe stata resa nota finché l'incidente non fosse stato mitigato e i servizi non fossero tornati alla normalità.
La cronologia di Windows Latest mostra una serie di test e interventi, ma anche delle battute d'arresto. Microsoft ha iniziato a testare una modifica della configurazione alle 11:43 e, alle 12:56, ha applicato un controllo dello stato per ripristinare alcuni server. Alle 14:00 ha riconosciuto di avere ancora difficoltà nonostante avesse distribuito delle correzioni; alle 14:57 ha rilevato un ripristino limitato in alcune regioni.
Un'ora dopo, l'azienda ha avvertito che i server ripristinati potevano smettere nuovamente di rispondere. Alle 23:25 ha segnalato una maggiore stabilità dopo aver applicato una patch alla propria infrastruttura. L'ultimo aggiornamento citato da Windows Latest, pubblicato il 13 novembre all'1:03, descriveva una stabilizzazione graduale, sebbene la capacità non fosse ancora tornata ai livelli normali.
Nessun indizio di attacco, ma i servizi sono ancora interessati
Charles Lamanna, vicepresidente esecutivo di Copilot, agenti e piattaforma di Microsoft, ha escluso la presenza di segnali di intrusione. «Al momento posso confermare che non ci sono indizi che si tratti del risultato di un'attività malevola o informatica», ha dichiarato in un post su X, secondo Computer Hoy. Ha inoltre espresso il rammarico dell'azienda per le interruzioni e affermato che stava lavorando per risolverle.
We regret that today’s outages caused disruptions for our customers, and we are working to address the issue.
— Charles Lamanna, vicepresidente esecutivo di Copilot, agenti e piattaforma di Microsoft
L'aggiornamento di Microsoft riportato da PC Gamer ha precisato che non vi erano prove di attività malevole collegate all'incidente e che l'azienda avrebbe pubblicato un rapporto successivo con la causa principale e le misure di difesa in profondità, una volta completata la mitigazione. IT Pro ha aggiunto che l'aumento del carico non era attribuibile a un eccesso di traffico, uno scenario che avrebbe fatto pensare a un attacco DDoS.
L'elenco dei prodotti interessati era lungo. PC Gamer ha elencato il centro di amministrazione di Microsoft 365, le applicazioni, le funzioni didattiche, Copilot, Defender for Office 365, Defender XDR, Fabric, Graph, Intune, Planner, Power Apps, Purview, alcuni componenti di Teams, To Do, SharePoint Online, Universal Print e Windows 365. IT Pro ha incluso anche Outlook, Calendar ed Exchange Online; ha indicato che Azure e Power Platform Admin Center non erano interessati.
L'impatto non è stato uguale per tutti gli utenti. IT Pro ha segnalato che si sono verificati problemi sia per gli account personali sia per quelli professionali, ma che l'impatto su Business ed Enterprise era maggiore, secondo la pagina di stato di Microsoft. Alcuni clienti di Windows 365 che avevano configurato il proprio ambiente con Microsoft Purview non riuscivano neppure a connettersi ai propri PC virtuali.
Il disservizio ha interessato anche le integrazioni esterne. OpenAI ha comunicato problemi con le nuove connessioni di ChatGPT a Microsoft 365 e con i suoi strumenti; Anthropic ha pubblicato un avviso simile per Claude. Computer Hoy ha riferito di problemi di accesso e connessione a Microsoft 365, pur osservando che i chatbot potevano continuare a funzionare normalmente.
Email trattenute e traffico sotto controllo
Nel suo aggiornamento più recente citato da PC Gamer, Microsoft ha dichiarato che la telemetria globale e le segnalazioni dei clienti mostravano miglioramenti graduali in diversi carichi di lavoro, ma che la situazione continuava a variare e la capacità non era tornata al livello di riferimento. Le misure di rete e di gestione del traffico erano ancora attive. Per proteggere la posta elettronica durante il ripristino, l'azienda ha esteso a 48 ore la finestra di attesa e ha dato priorità all'elaborazione delle code e dei messaggi accumulati.
Il ripristino ha comportato anche complicazioni tecniche. In un altro avviso riportato da The Guardian, Microsoft ha dichiarato che stava aumentando la capacità tramite macchine virtuali e cercando le macchine malfunzionanti per forzare la sincronizzazione di una modifica di rete. Alcune macchine si bloccavano e non ricevevano le modifiche come previsto; l'azienda stava ancora valutando quali interventi applicare.
Secondo Computer Hoy, Microsoft ha chiesto agli amministratori dei sistemi aziendali di non apportare modifiche alla configurazione né riavviare in massa le reti interne mentre proseguivano le attività di mitigazione. La raccomandazione si inserisce in un processo in cui la stessa azienda stava modificando il traffico e ripristinando gradualmente i server.
Governi, ospedali e aziende risentono dell'impatto
Computer Hoy ha collocato l'interruzione in oltre 70 Paesi tra Europa, Asia, America e Oceania. Nel Regno Unito, alcune parti del Governo hanno avuto problemi nell'invio e nella ricezione delle email e il servizio sanitario NHS non riusciva ad accedere alle consultazioni online per i pazienti, secondo PC Gamer. The Guardian ha riferito di un'interruzione ampia e grave nel sistema sanitario britannico: il personale di NHS England ha fatto ricorso ai registri cartacei.
L'impatto si è esteso agli enti pubblici, agli istituti scolastici e ai trasporti. The Guardian ha riportato problemi all'ispettorato scolastico Ofsted e nelle università, avvisi delle scuole di telefonare invece di inviare email, difficoltà per la polizia nel ricevere denunce online e piani di emergenza del Governo britannico. I passeggeri dei treni potevano avere problemi con i biglietti inviati via email.
In Australia, il ministro degli Affari interni e della sicurezza informatica, Tony Burke, ha dichiarato che Microsoft non riteneva di trovarsi di fronte a un incidente informatico, secondo Computer Hoy e The Guardian. Diverse agenzie federali hanno segnalato difficoltà di comunicazione. Il Ministero degli Affari esteri e del commercio ha chiesto che le richieste urgenti sulle sanzioni fossero rivolte telefonicamente all'Ufficio australiano per le sanzioni; il dipartimento dell'agricoltura, della pesca e delle foreste ha avvertito che i suoi clienti potevano non riuscire a ricevere o inviare messaggi ai propri sistemi.
L'impatto ha raggiunto anche aziende esterne all'ecosistema Microsoft. The Guardian ha riferito di problemi nei servizi di assistenza via email di IndiGo e Akasa Air, compagnie aeree indiane. A Taiwan, Downdetector ha registrato oltre cento segnalazioni di interruzione tra le 3:00 e le 9:00 di venerdì; alcuni lavoratori hanno segnalato problemi con Outlook e con il calendario e la pianificazione di Teams.
Alcune operazioni finanziarie hanno dovuto adattarsi. Secondo Bloomberg, citato da The Guardian, i gestori di portafoglio non riuscivano a controllare le email e avevano difficoltà ad accedere alle piattaforme di negoziazione che richiedevano l'autenticazione via email. Anche la conferma delle operazioni era complicata, perciò alcuni operatori hanno fatto ricorso al telefono e ad altri metodi abituali alternativi all'email.
The Guardian ha inoltre riferito di problemi presso società taiwanesi di intermediazione mobiliare, assicurazioni sulla vita e società di investimento. Un'azienda è arrivata ad annullare un'operazione di riacquisto di obbligazioni già programmata, secondo una fonte a conoscenza del caso che non ha voluto rivelare il nome dell'azienda.
Il rapporto di Microsoft è ancora in sospeso
L'azienda ha promesso di pubblicare un rapporto successivo con la causa e le misure adottate per rafforzare la difesa, ma solo dopo aver completato la mitigazione. Fino ad allora, l'origine esatta del guasto restava sotto indagine e il ripristino dipendeva dalla stabilizzazione dei server, dall'aumento della capacità e dall'elaborazione dei messaggi accumulati.
L'interruzione ha inoltre riacceso le domande sulla dipendenza da un unico fornitore. The Guardian ha riportato l'appello dell'Australian Computer Society affinché il Governo esamini quali sistemi critici dipendano da un solo fornitore e dove siano necessarie alternative di riserva. Il suo amministratore delegato, Prins Ralston, ha sostenuto che i crediti di servizio non avrebbero compensato le perdite di una mattinata di attività per le piccole imprese.
Per il momento, Microsoft non aveva dichiarato risolto l'incidente: il suo aggiornamento segnalava miglioramenti parziali, capacità inferiore al normale e lavori urgenti in corso fino al completamento della mitigazione. L'estensione della finestra di attesa mira a evitare che le email trattenute vengano respinte o perse mentre le code vengono elaborate.
Fonti: Windows Latest, PC Gamer, Computer Hoy, the Guardian, IT Pro
