Su alcune piattaforme underground i prezzi sono pubblici e stabili da anni: un accesso RDP con privilegi amministrativi si vende tra 50 e 150 dollari, un log di infostealer con sessioni attive su portali bancari aziendali costa meno di 10, un database di credenziali enterprise può valere centinaia di euro se il dominio appartiene a un settore regolamentato.
Non è il dark web dei film: è un mercato organizzato con offerta, domanda, recensioni e garanzie post-vendita. Quasi sempre, i dati in vendita appartengono ad aziende che non sanno ancora di essere state compromesse. Questo scenario – credenziale sottratta, accesso silenzioso, danni scoperti troppo tardi – è al centro del concetto di rischio informatico esterno. La minaccia non abita più solo dentro il perimetro aziendale: i segnali più precoci emergono altrove, in forum underground, marketplace del dark web, canali Telegram dedicati alla compravendita di accessi, paste site dove i log dei malware vengono scaricati in chiaro, o leak repository dove finiscono database esfiltrati da breach che nessuno ha ancora notificato.
La cybersecurity moderna deve quindi sviluppare occhi fuori dalla rete: una capacità di osservazione continua dell’ecosistema digitale esterno, non come attività supplementare, ma come componente strutturale della gestione del rischio.
| Il mercato del Cybercrime in pillole | |
| Accesso RDP amministrativo | da 50 a 150 dollari |
| Log Infostealer (con sessioni bancarie attive) | meno di 10 dollari |
| Database di credenziali enterprise | fino a centinaia di euro |
| Dwell time medio (tempo di permanenza inosservata dell’attaccante) | ancora decine di giorni |
Il furto di dati è diventato una filiera criminale organizzata
Il cybercrime si è strutturato come una vera e propria filiera produttiva altamente specializzata, in cui ogni attore copre un segmento specifico per massimizzare i profitti. C’è chi sviluppa il malware, chi lo distribuisce attraverso campagne di phishing mirate, chi raccoglie i log degli infostealer e chi, infine, pulisce e cataloga le credenziali valide.
Questi dati (credenziali aziendali, accessi VPN, session token, email interne, dati finanziari e documenti riservati) vengono poi venduti sul mercato a un’ulteriore categoria di criminali, che acquista gli accessi per condurre l’attacco finale, come estorsioni o l’attivazione di ransomware. Il dato più critico è che tra la compromissione iniziale di un endpoint e l’effettivo utilizzo delle credenziali esfiltrate possono passare giorni o settimane: questo intervallo di tempo rappresenta la finestra in cui una detection proattiva può fare la differenza totale tra la prevenzione e il disastro.
Una volta acquisiti, anche i dati apparentemente più limitati possono diventare l’innesco per incidenti di portata enorme. Un account email violato, ad esempio, consente agli attaccanti di studiare ed entrare nel merito di relazioni commerciali, flussi autorizzativi e contatti interni, ponendo le basi per micidiali truffe di tipo Business Email Compromise (BEC).
Allo stesso modo, una singola password aziendale riutilizzata può aprire le porte a intere piattaforme SaaS, portali amministrativi o ambienti cloud sensibili. Capire dove questi dati transitano e dove vengono scambiati è fondamentale per intercettarli prima che si trasformino in uno strumento offensivo.
I limiti del controllo tradizionale: perché il perimetro interno non basta più
Le aziende moderne operano in ecosistemi digitali complessi, interconnessi e fluidi, composti da cloud provider, fornitori, piattaforme SaaS, collaboratori esterni e API distribuite. Di conseguenza, i dati aziendali non risiedono più unicamente all’interno del perimetro dei server locali, ma attraversano costantemente infrastrutture di terze parti.
Questo paradigma rende obsoleta qualsiasi strategia basata esclusivamente su controlli interni. Strumenti classici come firewall e soluzioni di endpoint protection rimangono fondamentali, ma per definizione non sono progettati per vedere cosa accade al di fuori dell’ambiente direttamente controllato.
Un data breach può colpire l’infrastruttura di un fornitore strategico dotato di accessi privilegiati alla rete interna; una credenziale può essere sottratta tramite un malware annidato sul dispositivo personale di un collaboratore in smart working; un intero database può essere esposto pubblicamente per una svista di configurazione su un bucket cloud, così come un dominio esteticamente identico a quello aziendale (typosquatting) può essere registrato all’esterno per trarre in inganno clienti e dipendenti.
La visibilità esterna non è più un’opzione, ma una necessità operativa imposta anche dal nuovo quadro normativo europeo, come il GDPR, la direttiva NIS2 e il regolamento DORA, che esigono dalle organizzazioni una capacità stringente di rilevare, documentare e gestire gli incidenti e i rischi legati alla catena di fornitura in tempi rapidissimi.
Dalla raccolta dati alla Cyber Threat Intelligence: il valore del contesto
Monitorare efficacemente il deep web e il dark web non significa semplicemente accumulare enormi quantità di dati non qualificati, il che rischierebbe solo di generare un inutile rumore di fondo per i team di sicurezza.
Il vero valore della Cyber Threat Intelligence risiede nella capacità di trasformare i segnali grezzi raccolti in informazioni immediatamente utilizzabili per la remediation. Davanti a un alert, le domande operative devono essere estremamente concrete e mirate: l’account compromesso è ancora attivo nei sistemi? Quella password è riutilizzata su altri servizi critici connessi? Il log esfiltrato include session cookie ancora validi in grado di scavalcare persino i sistemi di autenticazione a più fattori (MFA)? O ancora, il dominio esposto appartiene a un fornitore con accessi sensibili?
Le risposte a queste domande determinano la gravità dell’esposizione e la corretta priorità di escalation: dalla revoca immediata all’apertura formale di una procedura di Incident Response, fino alla notifica interna al DPO per gli adempimenti di legge.
Senza una contestualizzazione approfondita, l’alert rimane un dato sterile. Se l’informazione compromessa resta disponibile per giorni o settimane senza che venga compreso il suo potenziale offensivo, la probabilità che venga sfruttata da più attori criminali aumenta esponenzialmente.
È proprio in questa capacità di collegamento tra l’alert esterno e il processo decisionale interno che si misura la reale postura di sicurezza di un’organizzazione.
Dal controllo reattivo alla prevenzione continua: il servizio di Cybersel
Tutti i fattori analizzati – l’organizzazione della filiera criminale, la porosità del perimetro aziendale, la severità normativa e l’esigenza di contestualizzare le minacce – convergono verso un imperativo strategico categorico: è necessario sapere prima.
È esattamente su questo presupposto che Cybersel ha sviluppato il proprio servizio di Indagine sul Rischio Digitale. Progettato specificamente per prevenire il furto di dati aziendali sensibili, il servizio sfrutta sofisticate tecnologie di Cyber Threat Intelligence per mappare costantemente l’esposizione dei dati aziendali prima che i criminali possano sfruttarli come vettore di attacco.
- Monitoraggio continuo dell’intero spazio web (incluso Deep e Dark Web): la copertura si estende capillarmente su forum underground, marketplace illegali, paste site e canali cifrati (come Telegram), intercettando la presenza di riferimenti al brand, ai domini o dati aziendali molto prima che producano un impatto sui sistemi interni.
- Rilevamento in tempo reale delle minacce attive e delle fughe di dati: attraverso sistemi di alert specifici, vengono identificate istantaneamente le esposizioni di credenziali, malware log contenenti sessioni attive, documenti riservati o dati finanziari critici per l’operatività.
- Analisi specialistica della minaccia e indicazione delle soluzioni: ogni singola segnalazione fornita al cliente non è un semplice alert grezzo, ma è arricchita dall’analisi del contesto operativo e corredata da suggerimenti di remediation chiari e azionabili – come il blocco degli accessi, la rotazione delle credenziali, l’hardening dei sistemi o la verifica dei fornitori coinvolti – per governare il rischio in modo definitivo.
Nelle statistiche globali sui data breach, il dwell time medio – il tempo in cui un attaccante si muove indisturbato all’interno di una rete prima di essere scoperto – si misura ancora in decine di giorni. Il servizio di Cybersel interviene chirurgicamente proprio per azzerare questa finestra temporale di vulnerabilità.
La differenza sostanziale tra un incidente tempestivamente contenuto e una crisi operativa devastante non risiede nella quantità di tecnologie difensive installate sul perimetro interno, ma nella capacità proattiva di vedere ciò che circola all’esterno prima che venga utilizzato come chiave d’accesso per violare l’azienda.
