Revolut, Booking, Trenitalia, perfino l’Fbi. Sono alcuni dei colossi che negli ultimi mesi hanno subito violazioni con fughe di dati sensibili abnormi, con tutto ciò che ne consegue. È con queste notizie poco rassicuranti che si apre il quindicesimo European Cybersecurity Month, la campagna promossa da Commissione europea ed ENISA. Quindici edizioni che sono un’era geologica in campo cybersecurity. Nel frattempo sono cambiati il modo e gli strumenti con cui gli hacker attaccano e, dunque, deve cambiare anche il modo in cui ci si difende.
Per anni la cybersecurity è stata costruita attorno a un’idea semplice: impedire a chi non è autorizzato di entrare nel perimetro dell’azienda. Firewall, antivirus, autenticazione e monitoraggio: barriere intorno all’organizzazione, per tenere fuori l’intruso. Oggi però non basta più. Il perimetro non è più così circoscritto: le aziende lavorano attraverso cloud, software esterni, piattaforme collaborative, fornitori, identità digitali e servizi che comunicano continuamente tra loro. Più il perimetro è esteso, più aumentano i punti di vulnerabilità.
I dati fotografano con precisione questo cambiamento: il 2026 Data Breach Investigations Report di Verizon segnala che, per la prima volta nei 19 anni della sua pubblicazione, lo sfruttamento delle vulnerabilità software ha superato le credenziali rubate come principale punto di ingresso nelle violazioni: riguarda il 31% dei casi analizzati.
Fbi, Revolut, Booking, Trenitalia, Eataly: il vero bersaglio sono le informazioni
E gli esempi di queste violazioni di nuova generazione abbondano nella cronaca. L’ultimo è quello che ha visto coinvolto l’Fbi: il 22 settembre il gruppo ShinyHunters ha rivendicato un’intrusione riuscita grazie a una nuova vulnerabilità zero-day in Oracle PeopleSoft, utilizzato dal portale di reclutamento FBIJobs.gov. Gli hacker si sarebbero poi spostati sull’infrastruttura AWS GovCloud del Bureau e avrebbero portato via dati su dipendenti e candidati. Poco prima era toccato a Revolut: un soggetto non autorizzato aveva ottenuto informazioni sensibili di alcuni clienti attraverso richieste fraudolente provenienti da un dominio email governativo legittimo. Tra i dati esposti figuravano documenti di identità, selfie ed estratti conto. Ad aprile Booking.com aveva comunicato un accesso non autorizzato a informazioni relative alle prenotazioni. A giugno Trenitalia ha informato alcuni clienti di un accesso non autorizzato a dati personali. Sempre a giugno Eataly ha comunicato un attacco alla propria infrastruttura e-commerce. Nei casi di Booking, Trenitalia ed Eataly non sono state coinvolte le informazioni finanziarie dei clienti, ma le PII, le Personally Identifiable Information, informazioni che possono ricondurre all’identità di una persona.
Ma il patrimonio informativo di un’azienda va oltre le sole PII. Dentro i documenti aziendali ci sono contratti, brevetti, progetti industriali, strategie commerciali, piani finanziari e informazioni su clienti e dipendenti. Ci sono cose che, se vengono rubate, non possono essere semplicemente recuperate. Un server si può ripristinare. Un brevetto, una strategia commerciale o un database finiti nelle mani sbagliate no. Per proteggere questi dati, soprattutto se il luogo in cui si trovano è sempre più immateriale, la sicurezza deve cambiare prospettiva.
La sicurezza deve seguire l’informazione
I casi di cronaca ci dicono una cosa: quando un hacker sfrutta uno zero-day (una vulnerabilità non ancora nota al produttore e quindi priva di correzione) anche una multinazionale o un ente governativo con sistemi aggiornati può trovarsi con un intruso dentro un’applicazione, libero di rubare dati e informazioni sensibili. La soluzione però esiste e consiste nel proteggere il file con una cifratura applicata quando il file nasce o entra nel sistema, che resta su ogni copia anche quando viene trasferito o esfiltrato. La chiave necessaria per leggerlo viene gestita separatamente. Così, se un attaccante copia un intero archivio da un server compromesso, si porta via file che, senza le chiavi corrette, restano inutilizzabili.
Questo è ancora più importante perché l’intelligenza artificiale sta aumentando la velocità con cui possono essere individuate e sfruttate le vulnerabilità. ENISA, nel Threat Landscape 2026, segnala l’espansione della superficie d’attacco e il crescente utilizzo dei modelli di AI nelle operazioni malevole. Nel 2025 sono state individuate oltre 48mila nuove vulnerabilità, il 22% in più rispetto all’anno precedente. Il Cost of a Data Breach Report 2026, realizzato dal Ponemon Institute e sponsorizzato e analizzato da IBM, rileva inoltre che più di una violazione malevola su quattro è stata abilitata dall’intelligenza artificiale.
Sicurezza by design
Proteggere il file con la cifratura significa fare security by design: la protezione viene incorporata nell’oggetto che dobbiamo proteggere. Se un documento è protetto soltanto dal perimetro, la sua sicurezza dipende dalla tenuta di quel perimetro. Se invece è protetto a livello di file, anche se qualcuno riesce a sottrarlo non diventa automaticamente leggibile. Il GDPR considera la cifratura tra le misure che possono rendere i dati incomprensibili a chi non è autorizzato e, in determinate circostanze, evitare la comunicazione della violazione agli interessati.
Per noi di CyberGrant è molto chiaro che la cifratura dei file che contengono informazioni di valore per le aziende deve essere alla base della filosofia di ogni operatore del settore. Anzi, va fatto un passaggio ulteriore: portarla direttamente dentro i sistemi che ormai usano tutti, come SharePoint e OneDrive. Tutto questo senza migrare i dati e senza modificare librerie, permessi o abitudini di lavoro. Noi, per esempio, abbiamo sviluppato una tecnologia che protegge il documento a livello di file e, anche quando varca i confini aziendali, ne consente l’apertura soltanto dai dispositivi autorizzati. Se un attaccante riesce a entrare nel tenant e a sottrarre i file, quello che porta fuori è cifrato e quindi illeggibile. Lo stesso vale se un dipendente scarica il file o lo condivide con un fornitore. Non è una sostituzione del perimetro. È qualcosa di diverso: un secondo livello di sicurezza che non finisce quando finisce il perimetro.
Ed è questa la domanda con cui dovrebbe cominciare il Cybersecurity Month di quest’anno. Non: come facciamo a non far entrare l’attaccante? Ma: come evitiamo che legga i nostri dati sensibili una volta che ha avuto accesso ad essi?
