Gli attacchi del 2026 mostrano i limiti della sicurezza basata soltanto sul perimetro aziendale: la cifratura dei file diventa un secondo livello di difesa per proteggere le informazioni
A cura di Valerio Pastore, Co-founder di CyberGrant Inc.
Revolut, Booking.com, Trenitalia, Eataly e perfino l’FBI. Gli episodi di cybersecurity emersi negli ultimi mesi raccontano, pur con dinamiche differenti, una stessa realtà: nessun perimetro digitale può essere considerato invalicabile.
È con questo scenario che si è aperta la quindicesima edizione dello European Cybersecurity Month, la campagna promossa dalla Commissione europea e da ENISA. Quindici edizioni rappresentano quasi un’era geologica nel campo della sicurezza informatica. Nel frattempo sono cambiati il modo e gli strumenti con cui gli hacker attaccano e, di conseguenza, deve evolvere anche il modo in cui aziende e organizzazioni proteggono i propri dati.
Per anni la cybersecurity è stata costruita attorno a un principio apparentemente semplice: impedire a chi non è autorizzato di entrare nel perimetro aziendale. Firewall, antivirus, autenticazione e sistemi di monitoraggio hanno creato barriere intorno alle organizzazioni con l’obiettivo di tenere fuori gli intrusi.
Oggi questo approccio, da solo, non è più sufficiente. Il perimetro aziendale si è progressivamente dilatato attraverso cloud, software esterni, piattaforme collaborative, fornitori, identità digitali e servizi che comunicano continuamente tra loro. E più aumenta la superficie da proteggere, più crescono i potenziali punti di vulnerabilità.
Il 2026 Data Breach Investigations Report di Verizon fotografa con precisione il cambiamento: per la prima volta nei 19 anni di pubblicazione del rapporto, lo sfruttamento delle vulnerabilità software ha superato le credenziali rubate come principale punto di ingresso nelle violazioni, arrivando a rappresentare il 31% dei casi analizzati.
Da FBI a Revolut: il vero bersaglio sono le informazioni
Gli esempi di questa nuova generazione di violazioni non mancano.
Il 22 settembre il gruppo ShinyHunters ha rivendicato un attacco che avrebbe interessato il portale di reclutamento FBIJobs.gov. Secondo quanto sostenuto dal gruppo, l’accesso sarebbe avvenuto attraverso una vulnerabilità di Oracle PeopleSoft e avrebbe successivamente consentito un movimento laterale verso infrastrutture AWS GovCloud del Bureau, con la sottrazione di dati relativi a dipendenti e candidati. Alcuni dettagli tecnici e l’effettiva portata dell’attacco restano tuttavia oggetto di verifica.
Poco prima era toccato a Revolut. Un soggetto non autorizzato era riuscito a ottenere informazioni sensibili di alcuni clienti attraverso richieste fraudolente provenienti da un dominio email governativo legittimo. Tra i dati potenzialmente esposti figuravano documenti di identità, selfie di verifica, estratti conto e altre informazioni personali.
Ad aprile Booking.com aveva comunicato un accesso non autorizzato a informazioni relative alle prenotazioni. A giugno Trenitalia ha informato alcuni clienti di un accesso non autorizzato a dati personali collegati ai titoli di viaggio. Sempre a giugno Eataly ha comunicato un attacco all’infrastruttura che ospita il proprio e-commerce.
Nei casi di Booking.com, Trenitalia ed Eataly non risultavano coinvolte le informazioni finanziarie complete dei clienti, ma diverse tipologie di PII, le Personally Identifiable Information: informazioni in grado di ricondurre direttamente o indirettamente all’identità di una persona.
Il patrimonio informativo di un’azienda, tuttavia, va molto oltre le sole PII.
Dentro i documenti aziendali ci sono contratti, brevetti, progetti industriali, strategie commerciali, piani finanziari e informazioni su clienti e dipendenti. Contenuti che, una volta sottratti, non possono essere semplicemente “ripristinati”. Un server può essere recuperato da un backup. Un brevetto, una strategia commerciale o un database finiti nelle mani sbagliate no.
Per proteggere questi dati, soprattutto in un contesto in cui il luogo fisico in cui risiedono diventa sempre meno rilevante, la sicurezza deve quindi cambiare prospettiva.
La cybersecurity deve seguire il dato
I casi degli ultimi mesi evidenziano un problema centrale. Quando un attaccante riesce a sfruttare una vulnerabilità, in particolare uno zero-day, cioè una falla non ancora nota al produttore e quindi priva di una correzione disponibile, anche una grande multinazionale o un ente governativo può ritrovarsi con un intruso all’interno di un’applicazione o di un sistema.
Da quel momento, la barriera perimetrale è già stata superata.
È qui che entra in gioco un secondo livello di protezione: la cifratura applicata direttamente al file. Il documento viene protetto quando nasce o quando entra nel sistema e la cifratura rimane associata alle sue copie anche quando viene trasferito, scaricato o sottratto. La chiave necessaria per leggerlo viene invece gestita separatamente.
In questo modo, se un attaccante riesce a copiare un intero archivio da un server compromesso, ciò che porta con sé può continuare a essere inutilizzabile in assenza delle chiavi e delle autorizzazioni necessarie.
Un concetto che assume ancora più importanza con la diffusione dell’intelligenza artificiale.
Nel Threat Landscape 2026, ENISA segnala sia l’espansione della superficie d’attacco sia il crescente utilizzo dei modelli di AI nelle operazioni malevole. Nel 2025 sono state individuate oltre 48mila nuove vulnerabilità, con una crescita del 22% rispetto all’anno precedente.
Il Cost of a Data Breach Report 2026, realizzato dal Ponemon Institute e sponsorizzato e analizzato da IBM, indica inoltre che una violazione malevola su quattro è stata abilitata dall’intelligenza artificiale.
L’AI, insomma, non modifica soltanto la capacità delle imprese di analizzare dati, automatizzare attività e innovare i propri processi. Sta cambiando anche la velocità con cui le vulnerabilità possono essere individuate e sfruttate dagli attaccanti.
Cifratura dei file e security by design
Proteggere direttamente un file attraverso la cifratura significa applicare concretamente il principio della security by design: la sicurezza viene incorporata nell’oggetto che deve essere protetto.
Se un documento è difeso soltanto dal perimetro, la sua sicurezza dipende dalla capacità di quel perimetro di resistere. Se invece il documento è protetto anche a livello di file, la sua sottrazione non coincide automaticamente con la possibilità di leggerne il contenuto.
Il principio trova un riferimento anche nel GDPR, che considera la cifratura tra le misure tecniche utilizzabili per rendere i dati incomprensibili ai soggetti non autorizzati e che, in determinate condizioni, può incidere anche sugli obblighi di comunicazione di una violazione agli interessati.
Per noi di CyberGrant è molto chiaro che la cifratura dei file contenenti informazioni di valore deve diventare una componente fondamentale della strategia di cybersecurity delle aziende.
Occorre però compiere un ulteriore passo: portare questa protezione direttamente all’interno degli ambienti che le organizzazioni utilizzano quotidianamente, come SharePoint e OneDrive, senza imporre necessariamente migrazioni dei dati o modifiche alle librerie, ai permessi e alle normali modalità di lavoro.
Abbiamo, per esempio, sviluppato una tecnologia che protegge il documento a livello di file e che, anche quando questo supera i confini dell’organizzazione, ne consente l’apertura soltanto dai dispositivi autorizzati. Se un attaccante riesce a entrare nel tenant e a sottrarre i file, ciò che porta all’esterno rimane cifrato e quindi illeggibile. Lo stesso principio continua a valere quando un dipendente scarica un documento o lo condivide con un fornitore.
Non si tratta di sostituire la sicurezza perimetrale. Firewall, gestione delle identità, autenticazione, sistemi di rilevamento e monitoraggio continuano a essere indispensabili.
Si tratta di aggiungere un secondo livello di sicurezza che non finisce quando finisce il perimetro.
Cybersecurity e protezione dei dati: cambiare la domanda
È probabilmente questa una delle riflessioni più importanti da portare con sé durante il Cybersecurity Month.
La domanda non può essere soltanto: come facciamo a non far entrare l’attaccante?
Occorre aggiungerne un’altra, forse ancora più importante: come evitiamo che legga i nostri dati sensibili una volta che ha avuto accesso ad essi?
In un ecosistema digitale distribuito, fatto di cloud, piattaforme collaborative, dispositivi e fornitori esterni, la protezione delle informazioni non può fermarsi sulla soglia dell’azienda. Deve accompagnare il dato ovunque vada.
Per maggiori informazioni: CyberGrant
Ho escluso dal lavoro il file di progetto disponibile perché contiene note relative a un precedente lavoro grafico e non materiale pertinente a questo articolo. Scrivere articolo Book to School
