Scegli l'Assistente
Quando l’attacco non blocca i sistemi
Per anni il ransomware è stato associato a uno scenario ben preciso: computer inutilizzabili, archivi cifrati, attività paralizzate e una richiesta di riscatto per ottenere una chiave di decrittazione.
Oggi, tuttavia, le estorsioni informatiche possono assumere forme differenti.
Un’organizzazione può continuare a operare regolarmente, senza alcuna cifratura dei file, mentre un gruppo criminale è già entrato in possesso di documenti riservati, informazioni commerciali o dati personali.
In questi casi la pressione economica deriva dalla minaccia di divulgare, vendere o utilizzare le informazioni sottratte.
Il fenomeno è indicato come data-only extortion.
Sul piano tecnico va distinto dal ransomware tradizionale e dalla double extortion, che combina cifratura ed esfiltrazione.
La distinzione è sostanziale: quando il ricatto riguarda la diffusione dei dati, il problema centrale può essere la perdita della riservatezza, non l’indisponibilità dei sistemi.
L’evoluzione dell’estorsione informatica
La reportistica di settore segnala che la cifratura non accompagna più necessariamente tutte le operazioni estorsive.
Nel Global Incident Response Report 2026, Unit 42 indica che la cifratura è stata osservata nel 78% degli incidenti estorsivi del campione relativo al 2025, rispetto al 92% del 2024.
Il restante 22% non può essere automaticamente equiparato a episodi di sola esfiltrazione: si tratta di categorie statistiche diverse.
Un esempio concreto è la campagna del 2023 contro MOVEit Transfer.
Lo sfruttamento di vulnerabilità del software per il trasferimento di file ha consentito agli aggressori di sottrarre informazioni da numerose organizzazioni, con effetti estesi anche ai clienti dei fornitori compromessi.
Il caso evidenzia come un incidente nella catena di fornitura possa coinvolgere dati personali detenuti per conto di più titolari.
Il data breach senza interruzione dell’attività
L’articolo 4, punto 12, del Regolamento (UE) 2016/679 definisce la violazione dei dati personali includendo, tra le altre ipotesi, la divulgazione non autorizzata e l’accesso ai dati personali.
La compromissione della riservatezza può quindi costituire un data breach anche in assenza di cifratura, alterazione dei file o interruzione operativa.
Si immagini uno studio professionale nel quale un aggressore sottragga documenti dei clienti, corrispondenza riservata e informazioni relative a procedimenti giudiziari. Lo studio continua a lavorare, ma l’autore dell’attacco minaccia di pubblicare il materiale.
La continuità dell’attività non elimina le possibili conseguenze per gli interessati: il funzionamento dei sistemi non è, da solo, una prova dell’assenza di violazioni della riservatezza.
Il GDPR e la valutazione del rischio per le persone
Il considerando 75 GDPR richiama, tra i possibili pregiudizi, danni materiali e immateriali, discriminazioni, furto d’identità, perdite finanziarie, danni reputazionali e perdita della riservatezza dei dati protetti dal segreto professionale.
Il considerando 76 richiede una valutazione oggettiva della probabilità e della gravità dei rischi, considerando natura, ambito, contesto e finalità del trattamento.
Nella gestione di una violazione occorre esaminare il tipo di compromissione, la natura e il volume dei dati, la possibilità di identificare le persone, le conseguenze potenziali, le caratteristiche degli interessati e del titolare e il numero dei soggetti coinvolti.
Non basta contare i file sottratti: poche informazioni particolarmente delicate possono determinare conseguenze gravi.
L’articolo 33 prevede la notifica all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore dalla conoscenza della violazione, salvo che sia improbabile un rischio per i diritti e le libertà delle persone fisiche.
L’articolo 34 disciplina la comunicazione agli interessati quando la violazione è suscettibile di presentare un rischio elevato, fatte salve le eccezioni previste.
Ogni violazione di dati personali deve inoltre essere documentata ai sensi dell’articolo 33, paragrafo 5.
L’assenza di un danno già manifestatosi non equivale all’assenza di un rischio giuridicamente rilevante.
Il problema della prova: che cosa è stato davvero sottratto?
Una richiesta di riscatto non dimostra automaticamente che l’esfiltrazione sia avvenuta.
Occorre distinguere le dichiarazioni dell’aggressore dagli elementi tecnici: registrazioni di accesso, trasferimenti anomali, attività degli account, tracce di strumenti impiegati e disponibilità di campioni autentici dei dati.
Anche l’assenza di evidenze richiede prudenza.
Non individuare trasferimenti sospetti nei log non significa necessariamente dimostrare che nessun dato sia stato copiato: la conclusione dipende dalla completezza delle registrazioni, dal periodo coperto e dalle effettive capacità di rilevazione.
Cosa prevedono le Guidelines 01/21 di EDPB
Le Guidelines 01/2021 dell’EDPB distinguono gli scenari ransomware dagli attacchi di esfiltrazione e mostrano l’importanza delle circostanze tecniche nella valutazione del rischio.
Va ricordato, inoltre, che l’esfiltrazione non è indispensabile per configurare una violazione della riservatezza: anche un accesso non autorizzato a dati personali può essere sufficiente.
La ricostruzione forense deve separare fatti accertati, inferenze motivate e ipotesi non confermate; la valutazione degli obblighi del titolare deve essere aggiornata quando emergono nuove informazioni.
Il pagamento del riscatto non ripristina la riservatezza
Nel ransomware con cifratura, backup adeguati possono contribuire al ripristino della disponibilità dei sistemi.
Nell’estorsione basata su dati sottratti, invece, il ripristino non elimina le copie eventualmente già acquisite dagli aggressori.
Neppure il pagamento del riscatto offre una garanzia verificabile di cancellazione: le informazioni potrebbero essere state duplicate, cedute o conservate.
La promessa dell’aggressore non equivale alla prova della distruzione delle copie e non fa venir meno automaticamente gli obblighi di protezione dei dati.
Occorre distinguere il contenimento dell’attacco, la bonifica dei sistemi e la gestione delle conseguenze per le persone. Queste attività possono sovrapporsi, ma non coincidono.
Dalla continuità operativa alla protezione delle persone
Backup, resilienza e continuità operativa restano indispensabili, ma devono essere affiancati da misure per prevenire gli accessi abusivi, limitare l’esfiltrazione, monitorare gli eventi e ricostruire gli incidenti.
Una risposta efficace richiede di comprendere quali dati siano stati compromessi, quali persone possano subirne le conseguenze e quali adempimenti siano necessari.
Nel ransomware tradizionale l’aggressore può sottrarre alla vittima la disponibilità delle informazioni.
Nell’estorsione senza cifratura può essere sufficiente sottrarle il controllo sulla loro riservatezza.
La fine dell’attacco non coincide necessariamente con la fine del rischio.
La sicurezza non si misura soltanto dalla capacità di far funzionare i sistemi, ma anche da quella di proteggere le persone alle quali i dati si riferiscono.
