Cos’è una violazione dei dati e come funziona davvero un cyberattacco

La maggior parte delle violazioni dei dati raggiunge gli individui attraverso una busta familiare: una lettera aziendale, scuse caute e un’offerta di dodici mesi di monitoraggio del credito gratuito. Ciò che la lettera non descrive è tutto ciò che è accaduto prima che venisse inviata. Dal momento in cui un aggressore entra per la prima volta in una rete al momento in cui apprendi che i tuoi dati sono stati coinvolti, passano in media 194 giorni. Comprendere cosa accade in quei mesi e perché rimangono invisibili è più utile del servizio di monitoraggio.

Una violazione dei dati è qualsiasi incidente di sicurezza in cui informazioni protette vengono accessate, copiate o estratte senza autorizzazione. Ciò include registri dei clienti, dati finanziari, file medici, identificativi governativi e informazioni sui dipendenti. I quadri giuridici che le regolano aggiungono un ulteriore strato: secondo il Regolamento generale sulla protezione dei dati europeo, le organizzazioni devono notificare le autorità entro 72 ore dal momento in cui vengono a conoscenza di una violazione. L’espressione chiave è ‘vengono a conoscenza’ e il divario tra quando una violazione inizia e quando un’azienda ne viene a conoscenza è esattamente dove si accumula la maggior parte dei danni.

Gli aggressori trovano la loro strada all’interno attraverso un piccolo numero di metodi affidabili. Nel 2024, lo sfruttamento delle vulnerabilità mirato a falle di sicurezza nei software, in particolare nelle VPN, nei firewall e negli strumenti di accesso remoto che le organizzazioni utilizzano come punti di ingresso sicuri, ha rappresentato il 33% delle violazioni. Le credenziali rubate o compromesse sono state responsabili del 16% e le email di phishing del 14%. La violazione MOVEit, che ha colpito più di 62 milioni di persone in centinaia di organizzazioni in una singola campagna, illustra come una singola vulnerabilità non divulgata in un software di trasferimento file ampiamente utilizzato possa essere armata prima che il fornitore ne abbia conoscenza. Gli attacchi alla supply chain di questo tipo sfruttano la fiducia che le organizzazioni ripongono negli strumenti di terze parti; una volta che il software è compromesso, ogni organizzazione che lo utilizza diventa potenzialmente un bersaglio simultaneamente.

Entrare in una rete è l’inizio, non l’obiettivo. Una volta che un aggressore ha accesso iniziale, inizia il lavoro di muoversi attraverso la rete: raccogliere ulteriori credenziali, aumentare i privilegi e identificare i sistemi che contengono i dati più preziosi. Questa fase, chiamata movimento laterale, richiede tempo ed è progettata per rimanere invisibile. La violazione di Change Healthcare, che alla fine ha colpito circa 100 milioni di americani ed è costata oltre 2,4 miliardi di dollari in costi diretti di risposta, è iniziata con una singola credenziale compromessa per un portale di accesso remoto privo di autenticazione a più fattori. Le lacune di autenticazione al livello di accesso, un secondo fattore mancante o un’interfaccia di login non patchata, si rivelano costantemente più consequenziali di exploit tecnici sofisticati.

La media di 194 giorni per la rilevazione riflette un’asimmetria fondamentale: gli aggressori lavorano al proprio ritmo all’interno di una rete che già controllano, mentre i difensori cercano segnali che l’aggressore sta attivamente nascondendo. Quando le organizzazioni rilevano le violazioni attraverso il proprio monitoraggio, il tempo medio di permanenza scende drasticamente a 16 giorni, suggerendo che le capacità di rilevamento interno, quando esistono e funzionano correttamente, intercettano le intrusioni molto prima. Le aziende che utilizzano intelligence sulle minacce in tempo reale hanno identificato le intrusioni in media 28 giorni più velocemente. Dopo la rilevazione, il contenimento di una violazione richiede in media ulteriori 64 giorni, per un ciclo di vita totale dall’intrusione al contenimento di circa 258 giorni.

Prima che avvenga la rilevazione, l’esfiltrazione è quasi sempre già avvenuta. I dati rubati seguono percorsi prevedibili attraverso i mercati criminali. I record di alto valore, inclusi numeri di Social Security, identificativi medici e dettagli di conti finanziari, vengono venduti in blocco e rivenduti ad acquirenti specializzati. La violazione di National Public Data ha compromesso circa 2,9 miliardi di record, inclusi numeri di Social Security per individui negli Stati Uniti, Regno Unito e Canada, con il set di dati offerto in vendita a 3,5 milioni di dollari prima che l’azienda rilasciasse una dichiarazione pubblica. Gli strumenti automatizzati ora accelerano sia le fasi di sfruttamento che di monetizzazione, il che significa che la finestra tra una violazione riuscita e il primo uso criminale dei dati estratti può essere molto più breve della finestra tra la violazione e la tua notifica.

Gli effetti a valle di una violazione non sono immediati né uniformi. Le perdite per frode d’identità nel 2025 hanno raggiunto 27,3 miliardi di dollari, ma la maggior parte dei conti fraudolenti aperti con identità rubate appaiono mesi o anni dopo la violazione, quando i criminali giudicano il momento vantaggioso. Il furto di identità medica ha la sua tempistica particolare: richieste di risarcimento assicurativo fraudolente presentate con un’identità rubata possono corrompere la storia medica del legittimo titolare, influenzare la copertura futura e richiedere anni per essere identificate e corrette. La consapevolezza di come funziona questa pipeline è tra le difese individuali più efficaci disponibili, non perché la consapevolezza prevenga le violazioni, ma perché il riconoscimento precoce di attività sospette riduce drasticamente il danno finale.

Nessun investimento in sicurezza elimina completamente il rischio di violazione. Le organizzazioni che hanno subito le violazioni più grandi e significative negli ultimi anni non erano negligenti. Gestivano sistemi complessi su larga scala, e gli aggressori hanno trovato le lacune che inevitabilmente esistono nei sistemi complessi su larga scala. Ciò che la spesa per la sicurezza cambia è la velocità di rilevamento e la portata dell’accesso che un aggressore può accumulare prima di essere scoperto. Le violazioni scoperte entro 200 giorni costano alle organizzazioni in media 1,39 milioni di dollari in meno rispetto a quelle rimaste non rilevate più a lungo. L’obiettivo realistico non è l’impermeabilità, ma la reattività.

Se ricevi una notifica di violazione dei dati, tre passi contano più dell’offerta di monitoraggio del credito. Primo, congela il tuo credito presso le principali agenzie: ciò impedisce l’apertura di nuovi conti a tuo nome, e lo sblocco è semplice quando devi richiedere un credito. Secondo, controlla lo strumento gratuito Have I Been Pwned per vedere se il tuo indirizzo email appare in set di dati di violazioni note. Terzo, cambia qualsiasi password condivisa tra il servizio violato e altri account, poiché il credential stuffing si basa su password riutilizzate. La notifica GDPR che potresti ricevere da un’azienda europea rappresenta la finestra di 72 ore dal momento in cui l’organizzazione è venuta a conoscenza, non da quando è iniziata la violazione. Il dettaglio più utile in qualsiasi lettera di notifica è il tipo specifico di dati coinvolti: sapere se i tuoi documenti medici, credenziali finanziarie o identificativi governativi sono stati esposti determina con quanta urgenza agire.

Tag: cybersicurezza, GDPR, ransomware, furto di identità, phishing, privacy digitale