Giovedì sera, poco prima delle 19:30, Outlook ha smesso di ricevere email. Poi si sono fermati Teams, Copilot, SharePoint. In un’ora le segnalazioni su Downdetector arrivavano da 74 Paesi. Stamattina in Giappone il ministero delle Finanze comunicava con i giornalisti attaccando fogli di carta in ufficio, e in Nuova Zelanda l’ufficio immigrazione aveva sospeso l’esame di tutte le domande di visto.
Mentre scrivo, più di quattordici ore dopo, Microsoft parla di un ripristino parziale e di una correzione che sta estendendo poco alla volta. Non è stato un attacco hacker: è stato un problema dei suoi server, e per tutta la notte i tentativi di sistemarlo non hanno funzionato.
Cosa è successo al down di Microsoft 365
In ordine, con l’ora italiana:
- giovedì, 15:45: un primo incidente su Teams, con messaggi in ritardo o persi soprattutto nelle Americhe. Rientra in un’ora; Microsoft non ha detto se sia collegato al resto;
- giovedì, 19:26: si apre l’incidente MO1550821. Exchange Online, cioè la posta, Teams, SharePoint, Copilot e Defender non rispondono (BleepingComputer). Diventano irraggiungibili anche Intune e il centro di amministrazione, cioè gli strumenti che servirebbero agli amministratori per capire cosa sta succedendo (The Register);
- giovedì sera: Microsoft parla prima di “carico elevato” su parte dell’infrastruttura, poi corregge: il traffico non è aumentato, alcuni server sono diventati di colpo non disponibili e il loro lavoro si è riversato sugli altri, che non hanno retto;
- venerdì, 01:35: alcuni server tornano su, ma secondo Microsoft possono smettere di rispondere di nuovo appena ricevono traffico. Le misure prese fino a quel momento non hanno dato il sollievo atteso;
- venerdì, 08:25: una patch migliora la stabilità di una parte dei server e Microsoft la estende alle regioni ancora ferme. Outlook e Teams cominciano a tornare, a macchia di leopardo (Quotidiano Nazionale).
Su Downdetector le segnalazioni sono arrivate a circa 200.000. Una data per il ripristino completo, Microsoft non l’ha data.
Chi si è fermato
La lista dice più di qualsiasi numero:
- Giappone: il ministero delle Finanze senza email per gran parte della giornata, con avvisi di carta per orari e appuntamenti (MilanoFinanza);
- Australia: diversi reparti della banca centrale bloccati, anche se le attività critiche sono andate avanti;
- Nuova Zelanda: visti sospesi, e il ministero degli Esteri senza posta in ambasciate e consolati (Sky TG24);
- Singapore: colpite le email del governo;
- Stati Uniti: la Camera dei Rappresentanti ha confermato di essere stata colpita, e scuole, università e ospedali hanno avvisato che le comunicazioni potevano saltare;
- aziende: Workhorse e Richemont hanno rinviato la pubblicazione dei conti, e PVH, il gruppo di Calvin Klein e Tommy Hilfiger, non ha potuto fare alcuni dei colloqui in cui doveva comunicare dei licenziamenti in Asia;
- intelligenza artificiale: OpenAI e Anthropic hanno segnalato errori nei connettori Microsoft 365 di ChatGPT e Claude. Con il connettore di Claude, la maggior parte delle richieste su email, calendario e ricerca falliva (Cointelegraph).
Non è un attacco hacker
Lo dico subito perché è la prima domanda che viene in mente: no, a quanto si sa non c’è nessun attacco. Microsoft dice di non avere elementi che colleghino il guasto ad attività malevole, e Charles Lamanna, uno dei suoi dirigenti, l’ha ripetuto su X. È la stessa distinzione che facevo pochi giorni fa con gli allarmi bomba nelle scuole: non tutto quello che si rompe online è opera di un hacker.
Cosa sia successo davvero lo sapremo dal rapporto che Microsoft ha promesso a incidente chiuso. Per ora ha detto questo:
- i server falliscono i controlli automatici di salute, gli health check, e vengono tolti dal servizio;
- il problema sembra nascere da un componente che si occupa proprio di elaborare lo stato di salute dei server, e da un processo centrale che si sovraccarica;
- nei deployment recenti non ha trovato modifiche che coincidano con l’inizio del guasto, ma ha valutato di annullare alcune modifiche di configurazione, ha bloccato tutti i rilasci e alla fine ha corretto un componente di configurazione per l’autenticazione e il routing.
Diversi esperti parlano di un effetto a cascata partito probabilmente da un errore di configurazione. È un’ipotesi ragionevole, ma resta un’ipotesi finché non esce il rapporto.
Il controllo che doveva proteggere i server li ha spenti
Questa è la parte che, da sviluppatore, mi colpisce di più.
Un health check serve a una cosa sola: accorgersi che un server sta male e toglierlo dal giro prima che faccia danni. Qui è successo il contrario. Se le prime analisi sono giuste, è stato il meccanismo di controllo a dichiarare malati server che probabilmente stavano bene. Il carico si è spostato sui server rimasti, che a loro volta sono andati in crisi, e quando gli ingegneri li rimettevano in piedi tornavano giù appena arrivava il traffico. Non era un server rotto, era un sistema che si dava la zappa sui piedi da solo.
L’ho già visto un anno fa, quasi negli stessi giorni, con il down di Cloudflare: un file di configurazione diventato troppo grande e un’automazione che lo ha propagato ovunque in pochi minuti. Le grandi piattaforme sono così automatizzate che il guasto più pericoloso non è più il disco che si rompe, ma la regola che decide da sola di spegnere mezza infrastruttura. E più l’automazione è veloce, più è veloce anche il disastro.
C’è anche un dettaglio che chi lavora nei sistemi conosce bene: gli strumenti per diagnosticare il problema giravano sulla stessa infrastruttura che si era rotta. Gli amministratori dei clienti non potevano nemmeno entrare nel pannello per capire cosa stesse succedendo.
Tutti sulla stessa casella di posta
La seconda cosa è la concentrazione. Un ministero giapponese, una banca centrale, il Congresso americano e la scuola sotto casa usano lo stesso servizio di posta, sugli stessi server, e quando si ferma si fermano tutti insieme. Non è una critica a chi l’ha scelto: Microsoft 365 funziona quasi sempre, costa meno di un sistema fatto in casa e lo sa usare chiunque. Ma “quasi sempre” su scala mondiale vuol dire che ogni tanto un’intera fetta del mondo resta senza email nello stesso momento.
E ora sopra quella posta ci mettiamo anche gli agenti di intelligenza artificiale. Ieri sera chi aveva chiesto a ChatGPT o a Claude di riassumere la casella o fissare una riunione si è trovato con un assistente che non vedeva più niente. Ogni strato che aggiungiamo dipende da quello sotto, e se quello sotto cade si porta dietro tutto.
Cosa puoi fare tu
Poco, onestamente, ma qualcosa sì:
- non è il tuo computer: se Outlook non va, prima di reinstallare o cambiare password guarda la pagina di stato o l’account Microsoft 365 Status su X;
- attenzione alle email “di Microsoft” che nelle prossime ore ti chiederanno di rifare l’accesso o “riattivare” la casella: i grandi guasti sono un’ottima occasione per il phishing;
- un canale di riserva: per un’azienda vuol dire sapere come ci si sente quando la posta e la chat aziendale sono giù, che sia un gruppo telefonico o un numero da chiamare;
- una copia di ciò che conta: contatti, calendario e documenti importanti non dovrebbero esistere solo in un posto.
E tu sei rimasto senza Outlook o Teams? Ti ha bloccato il lavoro o te ne sei accorto stamattina dalle notizie? Scrivimelo.
Fonti: BleepingComputer, The Register, Sky TG24, MilanoFinanza, Quotidiano Nazionale, Cointelegraph, SecurityWeek.