Punti chiave
- Si verifica una violazione dei dati quando si accede o si divulgano informazioni sensibili o riservate senza autorizzazione.
- Le violazioni avvengono tramite exploit, attacchi SQL injection, spyware, phishing e controlli di accesso configurati in modo errato, consentendo agli hacker di sottrarre dati.
- I dati rubati comprendono spesso password, informazioni personali e dati finanziari, che i criminali possono decifrare se viene utilizzato un algoritmo di hash debole (come SHA-1).
- I dati rubati vengono solitamente venduti o scambiati sul Dark Web, alimentando truffe, estorsioni e attacchi di tipo "credential stuffing".
- Anche i dati rubati “vecchi” conservano il loro valore, consentendo attacchi di phishing, truffe di sextortion e violazioni degli account quando gli utenti riutilizzano le password.
Facci sapere cosa ne pensi di BizChat
Che cos'è una violazione dei dati?
Una violazione dei dati è un incidente che comporta l'esposizione non autorizzata di informazioni riservate, private, protette o sensibili. Queste violazioni possono verificarsi accidentalmente o intenzionalmente, coinvolgendo aggressori esterni o interni a un'organizzazione. Le informazioni rubate possono essere sfruttate a fini di lucro o utilizzate per ulteriori attacchi, rendendo le violazioni di dati una minaccia significativa sia per i singoli che per le aziende.
"Una violazione dei dati si verifica a seguito di un attacco informatico che permette ai criminali informatici di accedere in modo non autorizzato a un sistema o una rete informatica e rubare dati personali, sensibili o riservati e finanziari dei clienti o utenti contenuti al loro interno."
Come avvengono le violazioni dei dati?
Un exploit è un tipo di attacco che sfrutta bug o vulnerabilità software, che i criminali informatici usano per ottenere accesso non autorizzato a un sistema e ai suoi dati. Queste vulnerabilità sono nascoste nel codice del sistema e c'è una corsa tra i criminali e i ricercatori di sicurezza informatica per vedere chi le trova per primo.
I criminali, da un lato, vogliono sfruttare le falle mentre i ricercatori, d'altro canto, vogliono segnalare queste vulnerabilità ai produttori di software per correggere i bug. Il software comunemente sfruttato include il sistema operativo stesso, i browser Internet, le applicazioni Adobe e le applicazioni Microsoft Office. I gruppi di criminali informatici a volte confezionano exploit multipli in exploit kit automatizzati che facilitano l'operazione a criminali con scarse o nessuna conoscenza tecnica.
Una iniezione SQL (SQLI) è un tipo di attacco che sfrutta le debolezze nel software di gestione dei database SQL dei siti web insicuri per ottenere informazioni dal database che non dovrebbero essere divulgate. Ecco come funziona. Un cybercriminale inserisce codice dannoso nel campo di ricerca di un sito di vendita al dettaglio, ad esempio, dove i clienti normalmente inseriscono ricerche come "cuffie wireless più votate" o "sneakers più vendute".
Invece di restituire una lista di cuffie o sneakers, il sito web darà all'hacker una lista di clienti e i loro numeri di carta di credito. L'SQLI è uno degli attacchi meno sofisticati da effettuare, richiedendo conoscenze tecniche minime. Malwarebytes Labs ha classificato l'SQLI al terzo posto in I 5 peggiori attacchi informatici che funzionano comunque. Gli attaccanti possono anche usare programmi automatici per effettuare l'attacco per loro. Tutto ciò che devono fare è inserire l'URL del sito target e poi rilassarsi mentre il software fa il resto.
Spyware è un tipo di malware che infetta il tuo computer o rete e ruba informazioni su di te, il tuo utilizzo di Internet e qualsiasi altro dato prezioso a cui può accedere. Potresti installare spyware come parte di un download apparentemente innocuo (noto anche come bundleware). In alternativa, lo spyware può infiltrarsi nel tuo computer come infezione secondaria tramite un Trojan come Emotet.
Come riportato nel blog di Malwarebytes Labs, Emotet, TrickBot e altri Trojan bancari hanno trovato nuova vita come strumenti di distribuzione per spyware e altri tipi di malware. Una volta che il tuo sistema è infettato, lo spyware invia tutti i tuoi dati personali ai server di comando e controllo (C&C) gestiti dai criminali informatici.
Gli attacchi di phishing funzionano inducendoci a condividere informazioni sensibili come i nostri nomi utente e password, spesso andando contro la logica e il buon senso, manipolando le nostre emozioni, come l'avidità e la paura, tramite l'ingegneria sociale. Un attacco di phishing tipico inizierà con un'email contraffatta o falsa, progettata per sembrare proveniente da un'azienda con cui si fa affari o da un collega fidato. Questo messaggio utilizzerà un linguaggio aggressivo o urgente e richiederà di compiere un'azione, come verificare pagamenti o acquisti mai effettuati.
Facendo clic sul link fornito si verrà reindirizzati a una pagina di accesso dannosa progettata per catturare nome utente e password. Se non hai attivato l'autenticazione a più fattori (MFA), i criminali informatici avranno tutto il necessario per violare il tuo account. Sebbene le email siano la forma più comune di attacco di phishing, anche gli SMS e i sistemi di messaggistica dei social media sono popolari tra i truffatori.
I controlli di accesso interrotti o configurati in modo errato possono rendere pubbliche le sezioni private di un determinato sito web quando non dovrebbero esserlo. Ad esempio, un amministratore di un sito web di rivenditori di abbigliamento online farà in modo che certe cartelle back-end del sito restino private, vale a dire le cartelle contenenti dati sensibili su clienti e le informazioni sui pagamenti. Tuttavia, l'amministratore web potrebbe dimenticare di rendere private anche le sottocartelle correlate.
Anche se queste sottocartelle potrebbero non essere immediatamente evidenti all'utente medio, un criminale informatico con qualche ricerca ben mirata potrebbe trovarle e rubare i dati al loro interno. Proprio come un ladro che entra in una casa attraverso una finestra aperta, questo tipo di attacco informatico non richiede molte competenze.
I miei dati rubati sono crittografati?
Dopo una violazione dei dati, le aziende coinvolte cercheranno di calmare la paura e l'indignazione dei loro clienti dicendo qualcosa del tipo "Sì, i criminali hanno ottenuto le tue password, ma sono crittografate." Questo non è molto confortante e ti spiegherò perché. Molte aziende utilizzano la forma più basilare di criptazione delle password possibile: il hashing SHA1 non salato.
Hash e sale? Sembra un delizioso modo per iniziare la giornata. Nell'ambito della crittografia delle password, non è altrettanto appetitoso. Una password crittografata tramite SHA1 si convertirà sempre nello stesso insieme di caratteri, rendendola facile da indovinare. Ad esempio, "password" si convertirà sempre in
"5baa61e4c9b93f3f0682250b6cf8331b7ee68fd8" e "123456" si convertiranno sempre in "7c4a8d09ca3762af61e59520943dc26494f8941b."
Questo non dovrebbe essere un problema, perché sono le due peggiori password possibili e nessuno dovrebbe usarle mai. Ma le persone lo fanno. La lista annuale di SplashData delle password più comuni mostra che le persone non sono così creative con le loro password come dovrebbero. Al vertice della lista per cinque anni consecutivi: "123456" e "password". Complimenti a tutti.
Con questo in mente, i criminali informatici possono confrontare una lista di password rubate e criptate con una lista di password criptate note. Con le password decrittografate e i nomi utente o indirizzi email corrispondenti, i criminali informatici hanno tutto ciò che serve per entrare nei tuoi account.
Cosa succede quando i tuoi dati sono esposti in una violazione dei dati
I dati rubati finiscono tipicamente sul Dark Web. Come suggerisce il nome, il Dark Web è la parte di Internet che la maggior parte delle persone non vede mai. Non è indicizzato dai motori di ricerca e serve un particolare tipo di browser chiamato Tor Browser per visualizzarlo. Cosa c'è dietro a tutta questa segretezza?
Nella maggior parte dei casi, i criminali utilizzano il Dark Web per trafficare vari beni illegali. Questi mercati del Dark Web sembrano e si percepiscono molto simili al tuo sito di shopping online tipico, ma la familiarità dell'esperienza utente nasconde la natura illecita di ciò che è offerto. I criminali informatici comprano e vendono droghe illegali, armi, pornografia e i tuoi dati personali. I mercati che si specializzano in grandi lotti di informazioni personali raccolte da varie violazioni dei dati sono conosciuti, nel gergo criminale, come "dump shops".
La più vasta collezione di dati rubati trovata online, tutti gli 87GB, fu scoperta nel gennaio del 2019 dal ricercatore di sicurezza informatica Troy Hunt, creatore di Have I Been Pwned (HIBP), un sito che ti permette di controllare se la tua email è stata compromessa in una violazione dei dati. I dati, noti come Collection 1, includevano 773 milioni di email e 21 milioni di password da un'accozzaglia di violazioni di dati note. Tuttavia, circa 140 milioni di email e 10 milioni di password erano nuove per HIBP, non essendo mai state incluse in nessuna violazione di dati precedentemente divulgata.
L'autore di cybersecurity e giornalista investigativo Brian Krebs ha scoperto, parlando con il criminale informatico responsabile di Collection 1, che tutti i dati contenuti nel dump sono vecchi di due o tre anni, almeno.
C'è qualche valore nei dati obsoleti di una vecchia violazione (oltre i .000002 centesimi per password che Collection 1 stava vendendo)? Sì, parecchio.
I criminali informatici possono usare il tuo vecchio accesso per farti credere che il tuo account sia stato violato. Questo trucco può funzionare come parte di un attacco di phishing o, come abbiamo riportato nel 2018, un ricatto a sfondo sessuale. I ricattatori ora inviano email dichiarando di aver hackerato la webcam della vittima e di averla registrata mentre guardava contenuti pornografici. Per aggiungere una parvenza di legittimità alla minaccia, i ricattatori includono le credenziali di accesso di una vecchia violazione dei dati nelle email. Suggerimento pratico: se i truffatori avessero realmente video compromettenti, te lo mostrerebbero.
Se riutilizzi le password su più siti, ti esponi al pericolo. I criminali informatici possono anche utilizzare le tue credenziali rubate da un sito per violare il tuo account su un altro in un tipo di attacco informatico noto come credential stuffing. I criminali utilizzano un elenco di email, nomi utente e password ottenuti da una violazione dei dati per inviare richieste di accesso automatiche ad altri siti popolari in un ciclo infinito di hacking e furti e ulteriori hacking.
Quali sono le violazioni dei dati più grandi?
È il conto alla rovescia delle dieci più grandi violazioni dei dati di cui nessuno vuole far parte. Ecco la nostra classifica delle 10 più grandi violazioni di dati di tutti i tempi. Potresti essere in grado di indovinare molte delle compagnie elencate, ma potrebbero esserci anche alcune sorprese.
Under Armour: circa 193 milioni di dati compromessi (novembre 2025)
Nel 2025, Under Armour è stata vittima di una grave violazione causata da un ransomware, quando il gruppo Everest ha dichiarato di aver ottenuto l'accesso a 343 GB di dati interni e relativi ai clienti. Quasi 193 milioni di record relativi ai clienti — tra cui indirizzi e-mail, nomi completi, numeri di telefono e dati di localizzazione — sono stati successivamente divulgati online dopo che le richieste di riscatto non sono state soddisfatte.
Altre violazioni degne di nota:
LinkedIn: 117 milioni
I criminali informatici sono riusciti a sottrarre indirizzi e-mail e password crittografate di 117 milioni LinkedIn in questa violazione dei dati avvenuta nel 2012. Le password erano crittografate, giusto? Niente di grave. Purtroppo, LinkedIn quella maledetta crittografia SHA1 di cui abbiamo parlato prima. E se avete qualche dubbio sul fatto che le vostre password rubate vengano decrittografate, Malwarebytes Labs ha segnalato che LinkedIn hackerati sono stati utilizzati in una campagna di phishing tramite InMail.
Questi messaggi InMail contenevano URL dannosi che collegavano a un sito web fasullo progettato per sembrare una pagina di login di Google Docs, attraverso il quale i cybercriminali rubavano nomi utente e password di Google. Comunque meglio della proposta di lavoro temporanea per scavare fossi che i recruiter continuano a inviarti.
eBay: 145 milioni
All'inizio del 2014, i criminali informatici hanno cliccato su "Rubalo subito" quando sono penetrati nella rete del famoso sito di aste online e hanno sottratto password, indirizzi e-mail, date di nascita e indirizzi postali di 145 milioni di utenti. Un aspetto positivo è che le informazioni finanziarie del sito gemello PayPal archiviate separatamente dai dati degli utenti, grazie a una pratica nota come segmentazione di rete (ne parleremo più avanti). Ciò ha avuto l’effetto di limitare l’attacco e ha impedito ai criminali di accedere alle informazioni di pagamento realmente sensibili.
Equifax: 145,5 milioni
La società di valutazione del merito creditizio Equifax ha subito un duro colpo alla propria reputazione, almeno agli occhi dei consumatori americani, quando ha annunciato di aver subito una violazione dei dati nel 2017. Tutto ciò avrebbe potuto essere evitato se Equifax avesse semplicemente mantenuto aggiornato il proprio software. Invece, hackers riusciti a sfruttare un noto bug del software e a penetrare nel sistema informatico sottostante che gestisce il sito web di Equifax.
Ciò che rende la violazione dei dati Equifax così terribile non è la dimensione, sebbene considerevole; piuttosto, è il valore delle informazioni rubate. I responsabili si sono impossessati di nomi, date di nascita, numeri di previdenza sociale, indirizzi e numeri di patente di guida di 145,5 milioni di americani. A questo si aggiungono circa 200.000 numeri di carta di credito, generando una delle peggiori violazioni di dati in termini di sensibilità dei dati compromessi.
Yahoo: terza base
Yahoo detiene il triste primato di essere l'unica azienda ad essere finita due volte nella nostra classifica delle più gravi violazioni dei dati. Come se non bastasse, Yahoo occupa anche il primo posto. Nell'agosto del 2013, i criminali informatici hanno rubato i dati di tutti gli utenti Yahoo del mondo, ben tre miliardi. È difficile persino immaginare la portata di questa violazione dei dati.
Oltre un terzo della popolazione mondiale è stato colpito. Quando l'attacco è stato rivelato per la prima volta nel 2016, Yahoo affermò che solo un miliardo dei suoi utenti era stato colpito dalla violazione, cambiando successivamente la cifra in "tutti gli account Yahoo" meno di un anno dopo. La tempistica non poteva essere peggiore. Al momento della rivelazione degli aggiornati numeri della violazione, l'azienda era in trattative per essere acquisita da Verizon. Notizie della violazione hanno permesso a Verizon di rilevare Yahoo a un prezzo stracciato. Yahoo è stata acquisita da Verizon nel 2017.
Leggi qui la nostra notizia su «Mother of All Breaches ».
Leggi sulle violazioni dei dati
Sembra che ogni ciclo di notizie ci porti a leggere di un'altra violazione dei dati. Le violazioni dei dati stanno aumentando di frequenza o sta accadendo qualcos'altro? Una possibile ragione per l'aumento delle violazioni dei dati (almeno l'apparenza di un aumento) è la crescita della regolamentazione su come comunichiamo le violazioni.
Dall'inizio del millennio, i governi di tutto il mondo hanno introdotto leggi che richiedono alle aziende e alle organizzazioni di fare una sorta di divulgazione dopo aver subito una violazione dei dati. In passato le parti compromesse potevano mantenere segreta la conoscenza della violazione per quanto tempo desiderassero.
Negli Stati Uniti non esiste una legge nazionale che vigili sulla divulgazione delle violazioni dei dati. Tuttavia, a partire dal 2018, tutti i 50 Stati americani hanno leggi sulla violazione dei dati. Tali leggi variano da uno Stato all'altro, ma vi sono alcuni punti in comune. In particolare, qualsiasi organizzazione al centro di una violazione di dati deve adottare le seguenti misure:
- Informate le persone coinvolte dalla violazione dei dati il prima possibile su quanto accaduto.
- Avvisate le autorità il prima possibile, di solito significa notificare il procuratore generale dello stato.
- Pagate una qualche forma di multa.
Ad esempio, la California è stato il primo stato a regolare la divulgazione delle violazioni dei dati nel 2003. Le persone o le aziende coinvolte in una violazione devono notificare i soggetti colpiti “senza ritardi ingiustificati” e “immediatamente dopo la scoperta.” Le vittime possono fare causa per fino a $750 mentre il procuratore generale dello stato può imporre multe fino a $7,500 per ciascuna vittima.
Leggi simili sono state approvate nell'Unione Europea e in tutta l'area dell'Asia-Pacifico. Facebook è il primo grande colosso tecnologico che apparentemente ha violato il Regolamento Generale sulla Protezione dei Dati (GDPR) dell'UE dopo che ha annunciato che un bug del software ha dato accesso non autorizzato alle foto degli utenti a 6,8 milioni di utenti. Facebook non ha segnalato la violazione per due mesi - circa 57 giorni di ritardo, secondo il GDPR. Di conseguenza, la società potrebbe dover pagare fino a $1,6 miliardi in multe.
Cosa fare se i tuoi dati sono esposti in una violazione dei dati
Anche se non hai mai usato nessuno dei siti e servizi elencati nella nostra lista delle maggiori violazioni dei dati, ci sono centinaia di violazioni più piccole che non abbiamo menzionato. Prima di entrare nei nostri passaggi per rispondere a una violazione, potresti voler visitare Have I Been Pwned e verificare tu stesso. Tutto ciò che devi fare è inserire il tuo indirizzo email nel box "pwned?" e guardare con orrore mentre il sito ti elenca tutte le violazioni in cui sei stato pwned.
È anche importante notare che i tuoi dati potrebbero far parte di una violazione di cui il pubblico non è ancora a conoscenza. Spesso una violazione non viene scoperta se non dopo anni.
In un modo o nell'altro, c'è una buona probabilità che i tuoi dati siano stati compromessi e un'ottima probabilità che lo saranno ancora.
Ora che sai che i tuoi dati si trovano da qualche parte nel Dark Web, abbiamo creato questa lista passo passo su cosa fare quando i tuoi dati vengono rubati.
- Esegui una scansione gratuita del Digital Footprint usando semplicemente il tuo indirizzo email.
- Reimposta la tua password per l'account compromesso e per gli altri account che condividono la stessa password. Davvero, però, non dovresti riutilizzare le password tra i siti. Usa il nostro generatore di password gratuito password generator per creare password forti e uniche. I gestori di password hanno il vantaggio aggiuntivo di avvertirti quando atterri su un sito web contraffatto. Mentre la pagina di accesso a Google o Facebook potrebbe sembrare reale, il tuo gestore delle password non riconoscerà l'URL e non inserirà per te nome utente e password.
- Monitora i tuoi conti creditizi. Cerca qualsiasi attività sospetta. Ricorda che hai diritto a un rapporto di credito gratuito, uno da ciascuno dei tre principali uffici di credito, ogni anno su annualcreditreport.com. Questo è l'unico sito autorizzato dalla US Federal Trade Commission per ottenere rapporti di credito gratuiti.
- Considera il congelamento del credito. Un congelamento del credito rende più difficile aprire una linea di credito a tuo nome limitando l'accesso al tuo rapporto di credito. Puoi sospendere o interrompere il congelamento in qualsiasi momento. L'unico problema è che devi contattare ciascun ufficio di credito individualmente per attivare o rimuovere il congelamento.
- Controlla attentamente la tua casella di posta. I criminali informatici opportunisti sanno che milioni di vittime di una qualsiasi violazione dei dati si aspettano qualche tipo di comunicazione riguardante gli account compromessi. Questi truffatori coglieranno l'occasione per inviare email di phishing camuffate per sembrare provenienti da quegli account violati nel tentativo di farti fornire informazioni personali. Leggi i nostri consigli su come riconoscere un'email di phishing.
- Valuta i servizi di monitoraggio del credito. Dovresti iscriverti? Spesso, dopo una violazione dei dati, le aziende e le organizzazioni coinvolte offriranno alle vittime servizi di monitoraggio del furto di identità gratuiti. Vale la pena notare che servizi come LifeLock e altri ti avviseranno se qualcuno apre una linea di credito a tuo nome, ma non possono proteggere i tuoi dati dall'essere rubati in primo luogo. In poche parole: se il servizio è gratuito, vai avanti e iscriviti. Altrimenti, pensaci due volte.
- Usa l'autenticazione a più fattori (MFA). L'autenticazione a due fattori è la forma più semplice di MFA, il che significa che hai bisogno della tua password e un'altra forma di autenticazione per provare che sei chi dici di essere e non un criminale informatico che tenta di violare il tuo account. Ad esempio, un sito web potrebbe chiederti di inserire le tue credenziali di accesso e di inserire un codice di autenticazione separato inviato tramite messaggio al tuo telefono.
Come posso prevenire le violazioni dei dati?
Le multe, i costi di riparazione, le spese legali, le cause e persino i pagamenti ransomware associati a una violazione dei dati accumulano una grande quantità di denaro. Lo studio Ponemon del 2018 sul Costo delle Violazioni dei Dati ha calcolato il costo medio di una violazione in circa $3,9 milioni, un aumento del 6,4% rispetto all'anno precedente. Mentre il costo per ciascun record rubato era di $148, un aumento del 4,8% rispetto all'anno precedente. Secondo lo stesso studio, le tue possibilità di subire una violazione dei dati sono alte come una su quattro.
Non ha più senso adottare un approccio proattivo alla sicurezza dei dati ed evitare una violazione in primo luogo? Se hai risposto sì, e speriamo di sì, ecco alcune best practice per tenere sicuri i tuoi affari e i tuoi dati.
Pratica la segmentazione dei dati. Su una rete dati piatta, i criminali informatici sono liberi di muoversi nella rete e rubare ogni byte di dati preziosi. Implementando la segmentazione dei dati, rallenti i criminali, guadagni tempo prezioso durante un attacco e limiti i dati compromessi. La segmentazione dei dati aiuta anche con il nostro prossimo consiglio.
Applica il principio del privilegio minimo (PolP). Il PolP significa che ogni account utente ha solo il livello di accesso necessario per svolgere il proprio lavoro e niente di più. Se un account utente viene compromesso, i criminali informatici non avranno accesso all'intera rete.
Investi in un software di protezione dall'identità. Monitoreremo l'esposizione della tua identità e ti avviseremo di eventuali rischi.
Installa una protezione di sicurezza informatica affidabile, come Malwarebytes Premium. Se hai la sfortuna di cliccare su un link malevolo o aprire un allegato dannoso, un buon programma di sicurezza informatica sarà in grado di rilevare la minaccia, fermare il download e prevenire che il malware entri nella tua rete.