Star Metro - Microsoft 365: primi segnali di ripresa dopo oltre 20 ore di disservizio globale

Microsoft ha iniziato a segnalare i primi miglioramenti nella disponibilità dei suoi servizi cloud dopo oltre ventiquattro ore di disservizio globale che ha colpito Microsoft 365, Teams e altre piattaforme aziendali. Sebbene l'accesso alle caselle di posta stia tornando alla normalità in alcune regioni, la compagnia ha ammesso che la situazione non è ancora completamente risolta e che restano code di messaggi da elaborare.

L'interruzione, iniziata alle 16:17 UTC del 12 novembre (le 17:17 in Italia), ha superato le 20 ore di inattività, una durata ben oltre la soglia di accettabilità per un servizio fondamentale su cui fanno affidamento aziende e organizzazioni in tutto il mondo. Secondo i dati forniti da Microsoft, questo periodo di indisponibilità equivale a oltre 33 volte il tempo massimo di disservizio mensile previsto dall'accordo sul livello di servizio (SLA), indicando che si tratta di un incidente tutt'altro che ordinario per un'infrastruttura critica.

I primi segnali di recupero sono emersi nella mattinata del giorno successivo, con miglioramenti nell'accesso alle caselle di posta e nello smaltimento delle email arretrate. Tuttavia, Microsoft ha precisato che la situazione non è ancora tornata alla normalità completa. Nell'ultimo aggiornamento pubblicato sul centro di amministrazione Microsoft 365 e sul sito status.cloud.microsoft, l'azienda ha descritto "segnali incoraggianti di ripresa", con un aumento della disponibilità dei servizi e delle prestazioni di consegna in una porzione sempre più ampia dell'infrastruttura colpita.

"Alcuni utenti potrebbero tuttavia continuare a riscontrare interruzioni intermittenti mentre proseguono le operazioni di ripristino. La nostra priorità è completare il ripristino degli ambienti ancora interessati, concentrandoci parallelamente sulla riduzione delle code e degli arretrati nella consegna della posta elettronica", ha affermato Microsoft. Per proteggere i messaggi in ritardo durante il recupero della capacità di consegna normale, è stata estesa a 48 ore la finestra di timeout delle email.

La cronologia dell'incidente rivela una serie di errori diagnostici iniziali. Secondo la dashboard della salute del servizio, l'impatto è iniziato negli Stati Uniti, dove gli utenti non riuscivano ad accedere alle caselle di posta tramite Outlook Web, Outlook desktop, client mobile o API. Nel giro di due ore, Microsoft ha riconosciuto che il problema riguardava qualsiasi "regione" dei suoi nodi cloud e coinvolgeva decine di altri servizi aziendali, tra cui SharePoint Online, Copilot, Defender e Intune.

Inizialmente, Microsoft ha parlato di un carico anomalo sull'infrastruttura e della possibilità che una modifica recente avesse contribuito al problema. Successivamente ha precisato che l'aumento del carico non dipendeva da un aumento del traffico. Alla fine, è emerso che la causa era legata a un gran numero di server diventati improvvisamente non disponibili. Questo ha portato il sistema di bilanciamento del carico a spostare tutti i lavori sulla parte dell'infrastruttura che era rimasta operativa, creando un effetto a cascata: milioni di task sono stati dirottati su server che non potevano gestirli.

Dopo poche ore, Microsoft ha affermato di aver individuato il "colpevole": il processo responsabile dell'instaurazione delle connessioni sicure sembrava andare in sovraccarico, smettendo di elaborare le richieste. Alcune ipotesi hanno suggerito che si potesse trattare di un servizio riscritto da strumenti di intelligenza artificiale e caricato senza sufficienti controlli, ma non ci sono conferme al riguardo.

Nella notte, Microsoft ha preparato una modifica alla configurazione dei server, testandola su un piccolo gruppo di macchine prima di distribuirla. Allo stesso tempo, ha iniziato a revertire la modifica alla configurazione di rete che era stata caricata all'inizio del disservizio. Inizialmente si pensava che il problema fosse rientrato e che la strategia scelta dai sistemisti fosse corretta: limitare parte del traffico, reintrodurre gradualmente le connessioni e verificare che i server reggessero il carico.

Tuttavia, non è stato così. Alcuni server sono tornati a non rispondere dopo il ripristino del traffico e, in uno degli aggiornamenti pubblicati sulla pagina di status, Microsoft ha dato la colpa a un picco di chiamate in uscita dai servizi. Il problema era che quel picco era provocato proprio dalle azioni di mitigazione e dal ribilanciamento del traffico. Questo "effetto boomerang" ha costretto Microsoft ad aumentare il numero di macchine virtuali, e quindi la capacità disponibile, per far fronte alla mole di richieste.

Solo nella prima mattinata di oggi Microsoft ha iniziato a vedere risultati positivi in termini di stabilità e capacità, annunciando di voler estendere tutte le modifiche fatte anche alle regioni coinvolte dal down. Dopo poche ore ha parlato di una prima stabilizzazione, con miglioramenti su diversi servizi, sebbene la situazione non sia ancora tornata alla normalità.

Nell'aggiornamento più recente, Microsoft dice di aver completato le azioni di ripristino su una parte dell'infrastruttura colpita e che su quella parte il traffico viene reintrodoto gradualmente. Le prime cose che ha cercato di ripristinare, vista l'urgenza, sono l'accesso alle caselle email e l'elaborazione delle mail in ritardo.

Ora l'obiettivo è estendere gli interventi al resto dell'infrastruttura. Quando Microsoft dice "continuando a stabilizzare e ad aggiungere capacità per rendere il servizio più affidabile", si capisce che c'è qualcosa che non torna. Che bisogno c'è di aggiungere capacità, se l'infrastruttura ha funzionato perfettamente fino a oggi con i server che aveva?

Microsoft ha comunque precisato di non avere evidenze di attività malevola legata all'incidente, ma questo non vuol dire che la cosa sia del tutto esclusa, così come non si può escludere il deploy di una configurazione sbagliata da parte degli agenti IA. L'azienda ha promesso che pubblicherà un Post-Incident Report completo, con la causa e con tutte le azioni intraprese per risolvere il problema, solo a problema risolto.

Se ci vorranno ancora minuti o ore non lo sappiamo, ma è evidente che questo episodio, gravissimo per chi si è appoggiato ad un servizio che dovrebbe essere strutturato per garantire il 99,9% di uptime, dovrebbe spingere Microsoft a ripensare la gestione dei suoi nodi cloud. Questi, così strutturati, concentrano i rischi anziché ridurli.

Non è la prima volta che qualcuno fa notare che, quando posta, collaborazione e sicurezza vivono nello stesso ecosistema cloud, c'è una concentrazione del rischio che al giorno d'oggi, con le minacce informatiche legati anche alle abilità degli agenti IA, non può passare in secondo piano. E soprattutto è assurdo che non esista una strategia di fallback almeno per garantire servizi essenziali come la posta elettronica.

L.Girard--SMC