Dati aziendali esposti: sette vie d’uscita che il perimetro non vede

La sottrazione di dati può passare inosservata: spesso sfrutta accessi autorizzati e attività che i sistemi considerano ordinarie. Per capire il rischio, bisogna guardare a dove finiscono le informazioni.

Esfiltrazione dei dati: quando le informazioni escono dall’azienda

Con esfiltrazione si intende l’uscita non autorizzata di dati da un’organizzazione: un archivio copiato, un file caricato su un servizio esterno, informazioni che lasciano i sistemi aziendali e finiscono dove non dovrebbero.

Il termine descrive il risultato, non la via che i dati prendono per uscire. Ed è quella via a sorprendere, perché nella maggioranza dei casi il dato non viene strappato forzando una difesa: esce attraverso un accesso che i sistemi riconoscono come legittimo.

Le rilevazioni dell’ENISA, l’agenzia dell’Unione europea per la cybersicurezza, aiutano a misurare quanto sia diffuso questo schema. Nel Threat Landscape 2025 l’agenzia attribuisce al phishing il 60% delle intrusioni andate a segno in Europa: il primo passo, quasi sempre, è farsi consegnare una credenziale valida. Una volta ottenuta, chi attacca si muove all’interno dei sistemi con i permessi di un utente autorizzato, senza dover superare altre barriere. Nel suo panorama delle minacce la stessa agenzia colloca stabilmente gli attacchi ai dati tra le categorie principali per le organizzazioni europee.

Esfiltrazione dei dati: le credenziali valgono più di un exploit

Per anni nelle strategie di difesa il presupposto era che la minaccia fosse sempre esterna al perimetro dell’organizzazione, che venisse da fuori e che il compito fosse tenerla fuori. I dati recenti raccontano una dinamica diversa. Chi esfiltra raramente combatte contro le difese perimetrali. Le aggira presentandosi come utente autorizzato, perché a quel punto firewall, VPN e sistemi di monitoraggio del traffico vedono un’attività ordinaria. L’Europol, nel rapporto IOCTA 2025, descrive un mercato ormai maturo in cui le credenziali rubate sono una merce: gli initial access broker le raccolgono con infostealer e campagne di phishing e le rivendono a chi porterà l’attacco vero e proprio. La chiave della porta si compra prima, e spesso da qualcun altro.

Le sette cause di esfiltrazione dei dati nelle grandi imprese italiane

Nelle organizzazioni complesse il rischio di esfiltrazione si addensa attorno a un numero limitato di fattori. Si ripresentano, con pesi diversi, in quasi ogni incidente.

• Credenziali compromesse. Password riutilizzate, sottratte con il phishing o rivendute dagli infostealer sul mercato nero. Sono la porta d’ingresso più battuta e l’inizio del movimento laterale che porta ai dati.
• Insider legittimo. Il dipendente o il collaboratore che ha accesso ai dati e ne fa un uso improprio, per dolo o per disattenzione. Secondo il Cost of a Data Breach Report 2025 di IBM è il vettore più costoso, con 4,92 milioni di dollari a violazione.
• Terze parti e supply chain. Un fornitore con difese meno mature diventa il punto debole della catena, e la sua utenza vale quanto quella di un dipendente interno.
• Condivisione insicura. File inviati al destinatario sbagliato, link pubblici lasciati aperti, allegati che viaggiano in chiaro fuori dai canali aziendali.
• Errori di configurazione dei permessi. Cartelle condivise con più persone del necessario, autorizzazioni ereditate e mai riviste, spazi cloud esposti per una svista.
• Shadow IT. Strumenti scelti dai reparti senza passare dall’IT, comodi e veloci, ma fuori da ogni policy e da ogni log.
• Shadow AI. Assistenti di intelligenza artificiale pubblici in cui i dipendenti incollano documenti riservati, e in quell’istante il dato lascia il controllo dell’azienda.

Il tratto comune è semplice. Nessuno di questi fattori richiede di forzare una difesa. Ognuno sfrutta un permesso che esiste già.

Shadow IT e Shadow AI espongono i dati aziendali

Tra i sette fattori, due si stanno espandendo a una velocità che i piani di sicurezza faticano a seguire. Lo Shadow IT esiste da quando esiste il cloud: reparti che adottano strumenti più efficaci di quelli forniti dall’azienda e che, così facendo, spostano dati critici in ambienti non presidiati. La Shadow AI ne è la versione recente e più insidiosa, come mostra proprio il caso Samsung.

I numeri iniziano a misurarla. Secondo IBM, nel 2025 il 20% delle organizzazioni ha subìto una violazione collegata alla Shadow AI, e dove l’uso non governato era diffuso il costo medio dell’incidente è salito di 670.000 dollari. Ancora più indicativo il fatto che, tra le aziende con violazioni ai propri sistemi di AI, il 97% non disponeva di controlli adeguati sugli accessi. Vietare questi strumenti serve a poco, perché rispondono a un bisogno reale di produttività. Il lavoro utile sta a monte, nel governare il dato prima che entri nel modello.

Esfiltrazione dei dati: perché il perimetro non basta

C’è una ragione strutturale per cui tutte queste cause riescono. Le difese che la maggior parte delle grandi imprese ha stratificato negli anni, dai firewall ai sistemi di Data Loss Prevention, nascono dallo stesso presupposto: i dati vivono dentro il perimetro e vanno intercettati quando provano a uscirne. Era un’ipotesi solida quando i file risiedevano su server interni e le vie di fuga erano poche e sorvegliabili. Quel contesto si è dissolto. Oggi un documento nasce in cloud, passa da un dispositivo personale, viene condiviso con un fornitore, sincronizzato su servizi che l’IT nemmeno censisce.

L’efficacia dei controlli di confine, in sé, non è in discussione. Il limite sta nella premessa. Quando il contenuto attraversa la barriera e viaggia in chiaro, non resta niente a proteggerlo. E un’esfiltrazione che espone dati leggibili non si chiude con la bonifica dei sistemi, perché quelle informazioni restano utilizzabili per anni.

Non è più soltanto la tesi di una parte del settore. Nel documento sulla cybersicurezza nell’era della frontier AI, uscito nel 2026, l’ENISA chiede di progettare le architetture partendo dal presupposto che una violazione sia già in corso, e di trattare ogni ambiente come potenzialmente compromesso. La stessa agenzia descrive gli attacchi che chiama dall’interno: chi colpisce non deve sfondare le difese perimetrali, perché si trova già dentro, e gli basta spostarsi lateralmente per raggiungere i dati e portarli fuori. Con l’accesso in mano i tempi si comprimono, tanto che l’ENISA registra una mediana di 72 minuti tra il primo ingresso e l’esfiltrazione.

La protezione dei dati aziendali deve seguire i file

Ricondotte all’osso, le sette cause raccontano la stessa storia. La protezione è stata affidata all’ambiente che ospita il dato. Al dato in sé, quasi mai. Finché la difesa appartiene alla rete, basta un accesso legittimo per portarla a spasso. La direzione che una parte del settore indica da tempo sposta il baricentro sul contenuto: cifrare il file dal momento in cui nasce, così che la protezione lo accompagni ovunque vada e resti attiva anche fuori dai sistemi aziendali.

Le stesse norme lo suggeriscono. L’articolo 32 del GDPR cita la cifratura tra le prime misure tecniche adeguate, e l’articolo 34 stabilisce che, se i dati esposti sono cifrati e inintelligibili, può venir meno l’obbligo di comunicare la violazione ai singoli interessati. L’analisi economica lo conferma. IBM colloca la crittografia tra i fattori che riducono di più il costo di una violazione, con un risparmio medio superiore ai 200.000 dollari per incidente. Quando la protezione vive nel documento, ciò che viene sottratto resta inutilizzabile.

NIS2 e DORA portano la sicurezza dei dati al vertice

Il quadro normativo europeo spinge nella stessa direzione, e lo fa spostando la responsabilità in alto. La Direttiva (UE) 2022/2555, la NIS2, recepita in Italia con il D.Lgs. 138/2024, all’articolo 20 assegna agli organi di gestione una responsabilità diretta sulla sicurezza, con sanzioni personali che possono arrivare alla sospensione dalle funzioni dirigenziali. All’articolo 21 elenca tra le misure di gestione del rischio il controllo degli accessi e la crittografia. Il Regolamento (UE) 2022/2554, il DORA, prescrive per le entità finanziarie politiche di cifratura per i dati a riposo e in transito e una gestione degli accessi fondata sul privilegio minimo.

La Determinazione ACN del 13 aprile 2026 ha reso operativa la NIS2 in Italia spostando il metro di giudizio dalla dichiarazione alla prova: conta la resilienza dimostrabile, con processi reali e dati verificabili, e la catena di fornitura entra al centro dell’obbligo. Le scadenze scandiscono il percorso. Dal 1° gennaio 2026 i soggetti in perimetro notificano gli incidenti, ed entro ottobre 2026 devono completare le misure di gestione del rischio e presidiare la sicurezza della catena di approvvigionamento.

I dati italiani danno la misura dell’urgenza. Secondo il Rapporto Clusit 2026, nel 2025 gli incidenti gravi che hanno colpito realtà italiane sono stati 507, in crescita del 42% sull’anno precedente, dopo un aumento di circa il 15% nel 2024. L’Italia pesa per il 9,6% degli incidenti gravi rilevati nel mondo, una quota sproporzionata rispetto alle dimensioni del Paese.

La resilienza aziendale parte dalla cifratura del dato

Per anni la sicurezza si è progettata attorno a un confine da tenere sigillato. I casi degli ultimi anni raccontano un’altra realtà: quel confine viene attraversato con credenziali valide, da un dipendente, da un fornitore, da uno strumento di AI, e i sistemi non registrano niente di anomalo. Finché la protezione resta una proprietà della rete, ogni nuovo obbligo normativo troverà le grandi imprese italiane a rincorrere lo stesso perimetro mobile, mentre la superficie di fiducia continua ad allargarsi.

Ciò che decide l’esito di un’esfiltrazione è la condizione in cui si trova il dato nel momento in cui esce. Se nasce e resta cifrato, quello che viene sottratto è materiale illeggibile. Se esce in chiaro, l’incidente non ha una data di chiusura.