Violazioni scoperte tardi: perché serve guardare fuori dal perimetro

Quanto tempo passa prima che un’azienda si accorga di una violazione? Dipende soprattutto da chi se ne accorge. Secondo il rapporto M-Trends 2026 di Mandiant, nel 2025 quasi un’intrusione su due (48%) è stata scoperta da qualcuno esterno all’organizzazione colpita, e il rapporto Cost of a Data Breach 2026 di IBM calcola in media 247 giorni per individuare e contenere una violazione. Spesso le prime tracce compaiono fuori dall’azienda: password aziendali in vendita, un dominio che imita il marchio, un fornitore che annuncia di essere stato colpito. Controllarle con metodo accorcia il tempo tra «è successo» e «lo sappiamo».

Quanto resta nascosta una violazione?

I numeri che circolano sono diversi perché misurano cose diverse. Il tempo di permanenza (in inglese dwell time) è il periodo tra l’ingresso dell’attaccante e la sua scoperta.

La differenza tra i due rapporti si spiega. Nella mediana di Mandiant pesano anche gli attacchi ransomware, che si fanno notare da soli con la richiesta di riscatto; la media di IBM comprende anche il tempo per chiudere l’incidente e, come ogni media, cresce con i casi più lunghi. Le intrusioni silenziose, quelle che non chiedono nulla e sottraggono dati nel tempo, possono durare mesi: tre mesi non sono una regola, ma per questi casi sono un’ipotesi realistica.

Quali tracce lascia un attacco fuori dall’azienda?

• Credenziali rubate. I programmi chiamati infostealer rubano le password salvate nel browser, spesso da computer personali usati anche per lavoro, e le rivendono in raccolte. Il rapporto DBIR 2025 di Verizon ha incrociato queste raccolte con le vittime di ransomware rese note nel 2024: nel 54% dei casi il dominio dell’azienda compariva tra le credenziali rubate, nel 40% c’erano indirizzi email aziendali. Tra i dispositivi infetti che contenevano accessi aziendali, il 46% non era gestito dall’azienda.
• Domini che imitano il marchio. Registrare un nome quasi identico a quello aziendale, con una lettera cambiata o un trattino in più, si chiama typosquatting: serve a mandare email false a clienti e dipendenti. Questi domini si vedono nelle nuove registrazioni e nei registri pubblici dei certificati di sicurezza (Certificate Transparency).
• Segreti pubblicati per errore. Chiavi di accesso e password finiscono nei repository di codice pubblici. Secondo lo stesso rapporto Verizon, per correggere i segreti esposti su GitHub sono serviti in mediana 94 giorni.
• Fornitori colpiti. Secondo il DBIR 2026, un terzo soggetto era coinvolto nel 48% delle violazioni analizzate, contro il 30% dell’anno precedente. Quando un fornitore con accesso ai sistemi annuncia un incidente, il problema diventa anche dei suoi clienti.
• Rivendicazioni. Molti gruppi criminali pubblicano nome e campioni di dati delle aziende colpite su siti dedicati, a volte prima che la vittima abbia capito che cosa è successo.

Quali segnali controllare, e che cosa fare quando compaiono?

Un segnale esterno va sempre confrontato con i registri interni: gli accessi di quell’account, i trasferimenti di dati, le modifiche ai permessi. È lì che si capisce se una password rubata è stata usata davvero, come spiega Sherlock Holmes e il file di log. E può bastare una sola password usata su più servizi, come mostra il caso della password riciclata che apre tutte le porte.

Come si fa, restando nella legalità?

Il metodo si chiama OSINT (open source intelligence): raccogliere e valutare informazioni da fonti pubbliche. Leggere ciò che è pubblico sull’azienda, sui suoi domini e sui suoi fornitori è lecito, nel rispetto delle regole sui dati personali. Diverso è indagare su persone per conto di terzi, che in Italia richiede la licenza prevista dall’articolo 134 del TULPS, e diverso è comprare archivi rubati per vedere se contengono i propri dati: alimenta il mercato criminale e crea problemi legali.

Gli strumenti di base sono accessibili:

• servizi di notifica delle violazioni, come Have I Been Pwned, che dopo la verifica del dominio avvisano quando indirizzi aziendali compaiono in nuove raccolte;
• registri dei certificati e delle nuove registrazioni, per individuare i domini che imitano il marchio;
• avvisi dei fornitori e delle autorità, dal CSIRT Italia agli allarmi dei produttori di software;
• controlli sui repository di codice dell’azienda e dei suoi sviluppatori esterni.

Non serve guardare ogni minuto. Servono una cadenza decisa per ogni fonte, un responsabile che riceve gli avvisi e una tabella come quella sopra, che dice che cosa fare. Per molte aziende la parte più difficile non è trovare il segnale, ma sapere chi deve agire e con quale autorità.

Che cosa c’entrano la NIS2 e il GDPR?

La NIS2 è una direttiva europea, la (UE) 2022/2555, recepita in Italia con il decreto legislativo 138/2024. Non obbliga a controllare le fonti aperte, ma tra le misure di gestione del rischio chiede la gestione degli incidenti, che la direttiva definisce come l’insieme delle azioni per prevenirli, rilevarli, analizzarli, contenerli e ripristinare i servizi. Chi rientra nella norma deve inviare al CSIRT Italia un primo avviso entro 24 ore da quando viene a conoscenza di un incidente significativo, la notifica entro 72 ore e una relazione finale entro un mese. I termini decorrono dal momento della conoscenza: accorgersi prima non cambia le scadenze, ma permette di arrivarci con più fatti e meno danni.

Il GDPR segue un binario separato e vale per qualunque organizzazione che tratti dati personali. Una violazione che comporta rischi per le persone va notificata al Garante entro 72 ore da quando se ne è venuti a conoscenza, ove possibile; se il rischio è elevato, vanno informate anche le persone coinvolte, senza ingiustificato ritardo. Per le imprese sammarinesi il riferimento sui dati personali è la Legge 21 dicembre 2018, n. 171; il resto va valutato caso per caso.

In sintesi

• Il tempo per scoprire una violazione varia molto: la mediana di Mandiant è di 14 giorni, la media di IBM per individuare e contenere è di 247 giorni.
• Quasi metà delle intrusioni esaminate da Mandiant nel 2025 è stata scoperta da un soggetto esterno.
• Molte tracce compaiono prima fuori dall’azienda: credenziali rubate, domini clone, segreti pubblicati, fornitori colpiti, rivendicazioni.
• Per ogni segnale servono una fonte, una cadenza, un responsabile e un’azione da completare entro 24 ore.
• Si lavora su fonti pubbliche e servizi leciti, senza indagini su persone e senza comprare dati rubati.
• La NIS2 non impone l’OSINT ma chiede di saper rilevare gli incidenti; il GDPR ha termini e destinatari propri.

Domande frequenti

Quanto tempo passa, di solito, prima di scoprire una violazione?

Non c’è un numero unico. Mandiant indica un tempo di permanenza mediano di 14 giorni per le intrusioni esaminate nel 2025, che sale a 122 giorni nei casi di spionaggio; IBM calcola in media 247 giorni per individuare e contenere una violazione. Gli attacchi che chiedono un riscatto si scoprono in fretta, quelli silenziosi possono restare nascosti per mesi.

Che cos’è l’OSINT e a che cosa serve a un’azienda?

È la raccolta e la valutazione di informazioni da fonti pubbliche: siti, registri dei domini, archivi di violazioni già rese note, repository di codice, comunicazioni dei fornitori. Per un’azienda serve a notare in anticipo i segnali di un attacco, come password aziendali in circolazione o domini che imitano il marchio, e a verificarli con i registri interni.

Se troviamo credenziali aziendali in una raccolta di dati violati, dobbiamo notificarlo?

Non automaticamente. Prima si verifica se quelle credenziali sono state usate per entrare nei sistemi o per accedere a dati personali. Se c’è stato un accesso, la valutazione sulla notifica al Garante e, per i soggetti NIS2, al CSIRT Italia si fa subito con il legale e con il responsabile della protezione dei dati, perché i termini decorrono dalla conoscenza.

Si possono cercare i propri dati nei mercati illegali?

Consultare fonti pubbliche e servizi di notifica è lecito. Frequentare mercati criminali, comprare archivi rubati o indagare su persone solleva invece problemi legali ed etici. Chi ha bisogno di verifiche più profonde si rivolge a fornitori specializzati che dichiarano per iscritto metodi e limiti del loro lavoro.

Strategic affianca le aziende su due fronti. Con la divisione Cybersecurity si verificano i sistemi esposti e si prepara il piano che stabilisce chi agisce quando un segnale esterno si accende; con la rassegna delle fonti aperte si legge, a cadenza concordata, ciò che si pubblica sull’azienda e sui suoi marchi.

Fonti

• Mandiant, M-Trends 2026, 23 marzo 2026
• IBM, Cost of a Data Breach Report 2026, luglio 2026
• Verizon, 2025 Data Breach Investigations Report, sintesi
• Verizon, 2026 Data Breach Investigations Report
• Direttiva (UE) 2022/2555 (NIS2), EUR-Lex, artt. 6 e 21
• Decreto legislativo 4 settembre 2024, n. 138, Normattiva, artt. 24 e 25
• Agenzia per la Cybersicurezza Nazionale, Domande frequenti NIS – Misure e notifiche di base
• Regolamento (UE) 2016/679 (GDPR), EUR-Lex, artt. 33 e 34
• R.D. 18 giugno 1931, n. 773 (TULPS), art. 134, Normattiva
• Have I Been Pwned, Domain Search
• Certificate Transparency
• Consiglio Grande e Generale, Legge 21 dicembre 2018, n. 171