Smartbox ha detto ai clienti che cosa non è stato toccato e ha lasciato a loro il compito di capire che cosa, invece, sì: è lì che una crisi tecnica diventa una crisi di fiducia.
Il 3 novembre Smartbox, il marchio dei cofanetti regalo, rileva «un accesso non autorizzato a una delle nostre piattaforme». È la formula che userà in tutto quello che dirà dopo. Il 6 compare sul sito una pagina di domande e risposte. Dal 7, un sabato, i clienti cominciano a ricevere una mail da info@serv.smartbox.com con l’oggetto «Comunicazione su un incidente di sicurezza dei dati». Dentro ci sono quattro cose. Nomi e indirizzi email «potrebbero essere stati consultati». L’autore dell’attacco «non ha avuto accesso ai dati delle carte di pagamento né alle password degli account». Le autorità competenti sono state informate. E bisogna fare attenzione a mail, telefonate e messaggi sospetti, perché Smartbox non chiederà mai credenziali o dati di pagamento. Ad alcuni clienti arriva anche un nuovo codice di conferma per i cofanetti: quello vecchio non vale più.
Sul piano tecnico è una comunicazione corretta. Sul piano della percezione è un piccolo manuale di come si costruisce, frase dopo frase, una distanza. Provo a smontarla in cinque pezzi, nell’ordine in cui il cliente li incontra.
Il primo pezzo è la data. Fra la rilevazione e la mail passano quattro giorni. Il regolamento europeo chiede di avvisare le persone senza ingiustificato ritardo quando il rischio per loro è elevato, e non sono io a poter dire se quattro giorni lo siano: capire che cosa è stato preso, prima di dirlo, richiede tempo, e dirlo male è peggio che dirlo tardi. Ma il cliente non legge la cronologia giuridica. Legge una mail che arriva di sabato, in mezzo alle offerte, che si apre con «il 3 novembre» e gli comunica, senza volerlo, da quanti giorni l’azienda sapeva. Il tempo della risposta è già un messaggio, e qui è il primo.
Il secondo pezzo è la rassicurazione. Niente carte, niente password: è la frase più importante della mail ed è costruita in negativo. Le rassicurazioni in negativo rispondono quasi sempre alla paura di chi le scrive: la responsabilità, le sanzioni, le frodi sui pagamenti. Il cliente di Smartbox, però, non tiene un conto corrente da Smartbox. Tiene un regalo, spesso comprato per qualcun altro. La sua domanda non è se gli svuoteranno la carta, è se quel regalo vale ancora. A questa domanda la frase più importante della mail non risponde.
Il terzo pezzo è il numero che manca. Quanti clienti sono coinvolti? Nessuna delle comunicazioni lo dice, e le testate che le hanno riprese lo annotano tutte. Un numero assente non è neutro. Ognuno che riceve la mail si sente dentro, e chi non la riceve si chiede se arriverà. Dire «non lo sappiamo ancora, lo diremo entro il giorno tale» sarebbe stato a sua volta un’informazione. Il silenzio sul perimetro lascia che il perimetro lo disegnino gli altri.
Il quarto pezzo è il consiglio al cliente. Fare attenzione ai messaggi sospetti è il consiglio giusto. È anche, nei fatti, un trasferimento del rischio. Un nome e un indirizzo email non valgono nulla finché restano in un archivio: il danno arriva con il phishing che verrà, e verrà travestito proprio da Smartbox. Qui c’è un paradosso che chi ha scritto la mail forse non ha visto. La stessa azienda che chiede di diffidare delle mail a suo nome sta mandando, con una mail a suo nome, un codice nuovo da usare al posto del vecchio. Il canale del rimedio coincide con il canale dell’attacco. Il cliente prudente, da oggi, non ha un modo semplice per distinguere l’una dall’altra.
Il quinto pezzo è l’autorità invocata. «Abbiamo informato le autorità competenti», dice la mail italiana, senza nominarle. Dalle informazioni pubblicate dall’azienda si ricava che si tratta delle forze dell’ordine e della Data Protection Commission, l’autorità irlandese per la protezione dei dati. Il richiamo all’autorità è doveroso, e serve anche a collocare l’azienda dalla parte di chi collabora. Ma per un cliente italiano un’autorità senza nome è una formula, non una garanzia: non sa a chi rivolgersi, non sa chi sta controllando che cosa. Lo scudo protegge chi lo regge, non chi sta dietro.
Chi ha amplificato? Le testate, prima di tutto, e con un’operazione precisa. Sky TG24 lo stesso 7 novembre, poi Today, Il Fatto Quotidiano l’8, Open il 9, e decine di siti di tecnologia e di cronaca locale. Nei titoli il condizionale dell’azienda diventa indicativo: «potrebbero essere stati consultati» si trasforma in «dati personali dei clienti a rischio», in «nel mirino degli hacker». Non è malafede, è la grammatica del titolo. E quasi ogni articolo chiude con un paragrafo «cosa fare», ricopiando i consigli della mail. Nei giorni della crisi il servizio clienti di Smartbox, di fatto, lo hanno fatto i giornali.
La storia, però, non cambia natura nei titoli. La cambia nei codici. Smartbox sostituisce «in via precauzionale» i codici di conferma di alcuni assegni regalo, e chi ha comprato il cofanetto per un’altra persona deve comunicare il nuovo codice al destinatario. Non è confermato che i codici siano stati sottratti, e l’azienda parla di precauzione: va detto con chiarezza. Ma la percezione non lavora sui verbali tecnici. Se cambi la serratura, chi abita in casa pensa che qualcuno abbia avuto la chiave. Per un’azienda di cofanetti il codice non è un dato accessorio: è il prodotto, è il regalo stesso. Le rassicurazioni riguardavano le carte; la misura tocca il valore. E sposta lavoro sul cliente, che deve richiamare l’amico, spiegare, scusarsi di una colpa non sua, a sei settimane da Natale.
Che cosa resta alla reputazione è presto per dirlo, e sarebbe scorretto fingere di saperlo. Il danno tecnico potrebbe rivelarsi modesto. Il danno percepito si giocherà su due momenti che non sono ancora arrivati: il primo phishing ben fatto con il marchio Smartbox, e la risposta che l’azienda saprà dare quel giorno. Nei miei studi sulle crisi reputazionali c’è un fattore che più di altri ne aumenta la probabilità: l’evento che colpisce il patto di fiducia fondante, la promessa su cui si regge il rapporto. Un’azienda che vende esperienze da regalare vende, prima di tutto, la certezza che il regalo arriverà intatto. È quella la promessa che la parola «codice» ha sfiorato.
La lezione per chi comunica è meno tecnica di quanto sembri. In un data breach la mail non si misura su ciò che esclude, ma su ciò che consegna. Conviene partire da ciò che tocca il valore per il cliente e solo dopo arrivare a ciò che limita la responsabilità dell’azienda. Conviene dare un numero, anche provvisorio, o dire perché non c’è e quando ci sarà. E se si chiede al cliente di diffidare delle mail che parlano a nome dell’azienda, bisogna dargli un modo per riconoscere quelle vere che non sia un’altra mail.
Smartbox vende esperienze da regalare. In questa storia ha regalato ai suoi clienti una cosa che nessuno aveva chiesto: il compito di capire. Resta una domanda, per chi scriverà la prossima comunicazione di questo tipo, e non riguarda la tecnica. Quando elenchiamo con tanta cura ciò che non è successo, stiamo parlando al cliente o al nostro avvocato?
Fonti
- Carboni S. (2026), «Smartbox e l’avviso via mail ai clienti: “Abbiamo avuto un attacco informatico”», Open, 9 novembre 2026. Leggi la fonte
- Redazione (2026), «Smartbox, attacco informatico: possibili dati esposti e nuovi codici per gli assegni regalo», MedioNews, 7 novembre 2026. Leggi la fonte
- Redazione Cronaca (2026), «Smartbox attacco hacker: dati personali dei clienti a rischio», Il Fatto Quotidiano, 8 novembre 2026. Leggi la fonte
- Chieffi D. (2024), Crisi reputazionali ai tempi dell’Infosfera, FrancoAngeli.