Furto dei dati: come funziona il mercato del crimine informatico

Il furto dei dati funziona come una filiera con fornitori, prezzi e clienti. Un malware in abbonamento a poche decine di dollari al mese raccoglie credenziali e documenti, un intermediario li rivende a chi cerca un ingresso in una rete aziendale, e il riscatto finale monetizza il blocco dei sistemi. L'FBI ha registrato nel 2024 perdite segnalate per 16,6 miliardi di dollari, e il ransomware resta il primo rischio per le infrastrutture critiche.

Una filiera, non un colpo isolato

La violazione dei dati si è organizzata come un'industria, con una divisione del lavoro che riduce le competenze necessarie a ogni passaggio. Alcuni gruppi sviluppano e vendono malware in abbonamento. Altri, gli infostealer, raccolgono credenziali, cookie di sessione e documenti dalle macchine infettate. Intermediari specializzati, i broker di accesso, comprano e rivendono l'ingresso nelle reti compromesse. I gruppi ransomware acquistano quell'accesso, cifrano i sistemi e gestiscono la trattativa. Ogni anello vende un pezzo del risultato finale, e nessuno ha bisogno di padroneggiare l'intera catena. Il modello è lo stesso del software commerciale: qualcuno costruisce il prodotto, qualcun altro lo distribuisce, il cliente paga per il servizio.

Il prezzo d'ingresso

Un esempio documentato nel 2023 mostra quanto bassa sia la soglia. Il malware Evil Extractor veniva distribuito in abbonamento a 59 dollari al mese e comprendeva sette moduli: estrazione di credenziali e cookie dai browser, un keylogger, un modulo per attivare la webcam, la raccolta di documenti e file multimediali e un componente ransomware che bloccava i file della vittima. Lo strumento era pubblicizzato come legittimo, ma circolava soprattutto nei forum del crimine informatico. Un singolo strumento a basso costo copriva così più fasi della filiera, dalla raccolta dei dati alla richiesta di riscatto, e la diffusione della minaccia non dipendeva più dalle competenze tecniche dell'aggressore.

I numeri del fenomeno

Il centro di segnalazione dell'FBI ha ricevuto nel 2024 oltre 263.000 denunce e ha registrato perdite per 16,6 miliardi di dollari, il valore più alto rilevato fino a quel momento. Per le infrastrutture critiche il ransomware è rimasto la minaccia più diffusa, con le segnalazioni in aumento del 9% rispetto all'anno precedente, e sono state riconosciute 67 nuove varianti. La contromisura funziona: dal 2022 le chiavi di decifratura fornite hanno evitato riscatti per oltre 800 milioni di dollari. Il quadro del 2026 sposta l'attenzione sui vettori d'ingresso. Nella rilevazione annuale di Verizon le vulnerabilità del software hanno superato le password rubate come prima modalità di accesso, a conferma di uno spostamento dall'inganno verso lo sfruttamento dei sistemi, mentre gli strumenti di intelligenza artificiale generativa accelerano ogni fase dell'attacco, dall'individuazione delle falle alla scrittura del codice malevolo.

Dentro la filiera il riscatto non è l'unica fonte di ricavo. Gli infostealer vendono i dati raccolti anche quando l'azienda sceglie di non pagare: le credenziali alimentano accessi successivi e gli archivi personali finiscono su piattaforme di scambio. La decisione di non pagare, che le rilevazioni recenti registrano in crescita, riduce un ricavo ma non chiude il mercato.

Chi paga il conto

La filiera trova conveniente colpire anche le organizzazioni piccole, perché il costo dell'attacco non dipende dalle dimensioni della vittima. Un'impresa che non aggiorna i sistemi, riutilizza le stesse credenziali su servizi diversi e non verifica le anomalie negli accessi offre un percorso semplice. Nella catena di fornitura l'effetto si moltiplica: un fornitore compromesso apre l'accesso ai suoi clienti, e questo spiega perché il caso dei dati genetici abbia coinvolto quasi sette milioni di persone a partire da poche migliaia di account. I dati raccolti diventano materia prima: più sono sensibili e numerosi, più alto è il prezzo sul mercato delle credenziali e delle informazioni personali.

Cosa cambia per un'azienda

Le contromisure efficaci sono note e non richiedono strumenti esotici. Applicare gli aggiornamenti di sicurezza chiude la strada che nel 2026 risulta la più battuta. Credenziali uniche per ogni servizio e autenticazione a più fattori sugli accessi critici neutralizzano il riutilizzo delle password, il meccanismo su cui poggiano gli infostealer. Backup separati e testati trasformano il ransomware da evento definitivo a incidente gestibile. Il monitoraggio delle attività anomale e delle connessioni in uscita intercetta l'aggressione prima che diventi estorsione. La formazione riduce la superficie esposta sul versante umano, quello ancora più bersagliato sui dispositivi mobili. L'idea che un'impresa di dimensioni contenute non valga l'attacco regge finché non si considera che il costo per chi attacca è quasi nullo.

Cosa resta

La differenza tra un incidente contenuto e una perdita grave non sta nella sofisticazione dell'attacco, ma nella preparazione della difesa. Un abbonamento da poche decine di dollari al mese è sufficiente a innescare un danno da milioni, e la filiera continuerà a cercare i percorsi più semplici. Per un'azienda, la domanda operativa riguarda quali di quegli ingressi sono ancora aperti: sistemi non aggiornati, credenziali riutilizzate, accessi senza secondo fattore.