Quando dei dati sensibili vengono sottratti durante un attacco informatico, non scompaiono in un vuoto digitale: entrano in una filiera criminale organizzata, dove i file vengono verificati, confezionati, prezzati e pubblicati sui marketplace del dark web.
In queste piattaforme, i compratori che vanno da gruppi specializzati in frodi fino ad attori statali, acquistano accessi e informazioni per usarli in furti d’identità, estorsioni, frodi finanziarie e ulteriori intrusioni nella privacy individuale. Il tutto con numeri, meccanismi e strutture che non hanno nulla da invidiare a settori commerciali perfettamente legali.
Secondo l’FBI Internet Crime Complaint Center, nel 2025 i danni causati dal furto di dati sensibili hanno superato 20,9 miliardi di dollari, con un incremento del 26% rispetto all’anno precedente.
Un intero sistema economico parallelo
Il dark web è un livello di Internet cifrato, nascosto ai comuni browser. Per accedervi servono strumenti di anonimizzazione, come Tor, che instrada il traffico attraverso relay multipli cifrati e rende visibili indirizzi o non risolvibili dal DNS standard. In questo contesto nebuloso circolano credenziali, dati di carte di pagamento, cartelle cliniche, accessi a reti aziendali, kit ransomware-as-a-service e documenti falsi di ogni tipo
Nel 2025, secondo Flashpoint, più di 23 milioni di host sono stati infettati da infostealer, con 2,1 miliardi di credenziali raccolte. Nello stesso periodo, il Verizon 2025 Data Breach Investigations Report ha rilevato modalità riconducibili al furto di credenziali nel 22% delle violazioni, nel 20% degli exploit di vulnerabilità e nel 16% delle attività di phishing.
Questo sistema economico criminale parallelo funziona come una supply chain specializzata. Vi sono i collector, ovvero operatori di infostealer e gruppi ransomware, estraggono i dati grezzi; gli initial access broker (IAB), che si concentrano sulla fase d’intrusione e vendono accessi verificati invece di eseguire gli attacchi; gli operatori dei marketplace e gli aggregatori gestiscono piattaforme come BreachForums, Russian Market, 2easy e un numero crescente di canali Telegram, pianificando la vendita delle informazioni e infine i buyer, che acquistano pacchetti di dati completi. Inoltre, vi sono anche gruppi ransomware affiliati e attori statali, che si accodano come acquirenti o si collocano in altri livelli della piramide appena descritta.
Il prezzo dei nostri dati
I prezzi del dark web seguono logiche abbastanza stabili, determinate da freschezza, completezza, validità e paese di origine. Secondo un’analisi DeepStrike dell’agosto 2025, basata su Trustwave, SOCRadar e dati di mercato live, codici di carte statunitensi con CVV possono valere da 10 a 40 dollari, mentre una carta con saldo verificato di 5.000 dollari può raggiungere 110-120 dollari.
Le cartelle sanitarie superano spesso i 500 dollari e, a differenza delle carte, non possono essere annullate o “ruotate”. Secondo il report IAB 2025 di Check Point, la maggior parte degli accessi aziendali viene quotata tra i 500 e i 3.000 dollari, mentre credenziali con privilegi domain admin valgono molto di più.
I pagamenti avvengono quasi sempre in criptovaluta: Bitcoin è comune per i trasferimenti ransomware, Monero è preferito nei trade di marketplace grazie all’alto livello di privacy che offre. Secondo quanto accertato dagli esperti, il 63% dei pagamenti in questo ambito sono effettuati attraverso stablecoin.
KELA, nel report State of Cybercrime 2026, ha monitorato 2,86 miliardi di credenziali compromesse in circolazione nei mercati criminali durante il 2025. Dopo l’estrazione, i dati attraversano quattro fasi: aggregazione, quando le credenziali vengono testate contro servizi reali e le coppie verificate guadagnano valore; packaging, quando il materiale viene assemblato in liste, fullz bundle o stealer log, spesso con una cartella per ogni macchina infetta contenente password del browser, cookie, dati di autofill e wallet crypto; listing, quando il pacchetto viene pubblicato sul marketplace (spesso entro poche ore); e distribution and reuse, quando i compratori monetizzano le informazioni i con frodi o altre azioni illegali. Va poi anche considerato come i pacchetti ricompaiono nei circuiti criminali per anni, producendo danni oltre la singola violazione iniziale.
Le pene per i cybercriminali coinvolti nel furto dati
Sul fronte repressivo, la prosecuzione penale resta un evento eccezionale. Molti operatori lavorano da giurisdizioni senza accordi di estradizione con Stati Uniti o Unione Europea.
Chiaro esempio in tal senso è Dmitry Khoroshev, indicato come leader del famigerato gruppo LockBit, che ad oggi resta in Russia nonostante una taglia da 10 milioni di dollari del Dipartimento di Stato USA.
La già citata piattaforma BreachForums è stata sequestrata e ricostruita più volte dal 2023, con l’ultima interruzione nell’ottobre 2025. Ogni takedown dimostra che un colpo all’infrastruttura è possibile, ma le ricostituzioni evidenziano anche i limiti delle azioni di contrasto.
Le azioni coordinate hanno comunque prodotto risultati importanti. Nell’aprile 2023, l’operazione nota come Cookie Monster, guidata dall’FBI contro Genesis Market, ha smantellato una piattaforma dark web che vendeva dati rubati. Il risultato dell’intervento delle forze dell’ordine ha portato all’arresto di ben 119 persone in 17 diversi paesi.
L’operazione Cronos, conclusasi a febbraio 2024, ha visto l’impiego di agenzie come FBI, Europol e del National Crime Agency. In quell’occasione sono stati sequestrati 34 server collegati alle attività di LockBit e sono stati congelati 200 conti in criptovaluta, oltre all’identificazione di Khoroshev.
Nel 2025, l’intervento denominato in codice RapTor, coordinato dall’Europol, ha preso di mira venditori su più piattaforme dark web e ha portato a 270 arresti in 10 Paesi. Nonostante questi numeri incoraggianti, il furto di dati resta comunque una piaga difficile da debellare.
Per i Chief Information Security Officer (CISO), questa economia sotterranea cambia le priorità di monitoraggio e le soglie di rischio. Le credenziali che finiscono nei log dei furti di dati spesso compaiono poco prima che parta una campagna ransomware, mentre gli annunci degli IAB scelgono le vittime in base al settore e alla dimensione dell’azienda.
Inoltre, i siti usati per pubblicare le estorsioni spesso citano anche fornitori e clienti della vittima principale. Per questo, le informazioni raccolte dal dark web possono aiutare il centro di sicurezza a intercettare segnali preoccupanti quasi in tempo reale, evitando (o comunque limitando) l’impatto di offensive da parte dei cybercriminali.
L’importanza della prevenzione
Sul piano della prevenzione, risulta molto importante rafforzare la gestione del rischio attraverso sistemi di autenticazione multi fattore (MFA) per accessi remoti, amministrazione cloud e SSO.
Gli esperti, inoltre, consigliano agli addetti alla sicurezza di aggiornare subito le credenziali quando compaiono in un log e applicare con rigore il principio del minimo privilegio. Infine va sempre considerato come il pericolo non finisce quando il ransomware viene bloccato o quando una carta viene sostituita: i dati rubati possono continuare a circolare per anni.
