Come leggere una comunicazione di data breach: cosa dicono davvero linguaggio del perimetro, hash delle password e tempistiche
Un comunicato di data breach è un genere strano: scritto da avvocati, pubblicato sotto pressione regolatoria, costruito per confermare il meno possibile. Quando Marks & Spencer ha comunicato ai clienti nel maggio 2025 che nell'attacco, che teneva già chiuso da settimane lo store online, erano stati sottratti alcuni dati personali dei clienti, la frase conteneva più informazioni di quanto la sua lunghezza suggerisca. Ogni comunicato risponde a tre domande: fino a dove è arrivata l'intrusione, quanto sono utilizzabili i dati rubati e da quanto tempo l'organizzazione lo sa.
Il linguaggio del perimetro: sono i verbi a raccontare la storia
La parola più informativa in qualsiasi comunicato è il verbo. Una parte non autorizzata potrebbe aver avuto accesso significa che l'indagine finora non ha confermato nulla. I dati sono stati copiati o esfiltrati significa che la forense ha osservato un movimento. I regolatori si cautelano allo stesso modo: la legge californiana sui breach si attiva quando informazioni personali non crittografate sono state acquisite — o si ha ragione di credere che lo siano state — da una parte non autorizzata. In quel divario tra prova e convinzione vive la maggior parte dei comunicati.La California richiede una notifica quando informazioni personali non crittografate "sono state acquisite, o si ritiene ragionevolmente che siano state acquisite, da una parte non autorizzata" (Office of the Attorney General).La parola breach stessa si allarga più di quanto si pensi. Have I Been Pwned lo definisce un incidente in cui dati vengono esposti inavvertitamente in un sistema vulnerabile, di solito per controlli di accesso insufficienti; non serve un'intrusione. La stessa FAQ distingue i breach non verificati, in cui i dati sembrano genuini ma la loro legittimità non è accertabile, da quelli fabbricati, aggregati da altre fonti. Anche il perimetro cresce. Zacks ha annunciato nel dicembre 2022 un breach che i primi rapporti stimavano in 820.000 clienti; entro giugno 2023 un corpus di quasi 9 milioni di account era comparso su un forum di hacking; a febbraio 2025 un cybercriminale ha pubblicato un dataset riportato come di 12 milioni di record. Nessun comunicato aziendale ha mai confermato le cifre più alte. Trattate il primo numero come un minimo, non come un dato di fatto.
La frase sulla password decide la velocità della tua reazione
Se sono coinvolte password, il formato di archiviazione è il quadrante di urgenza. Gli hash protetti con bcrypt, scrypt o Argon2 sono volutamente lenti da indovinare; con work factor ragionevoli, la maggior parte degli attaccanti va altrove. MD5 senza salt, SHA-1 o un singolo passaggio di SHA-256 cadono davanti a schede video comuni a miliardi di tentativi al secondo. Il testo in chiaro non va nemmeno violato. Il corpus Zacks è il caso da manuale: hash SHA-256 senza salt, nonostante l'azienda avesse rassicurato i clienti dicendo che gli attaccanti avevano acceduto a password crittografate, ma solo in formato crittografato. Crittografata è una parola aziendale preferita. Con salt è quella che protegge voi. Quando un annuncio di leak rivendica testo in chiaro, trattatelo come il caso catastrofico chiedendovi allo stesso tempo se l'annuncio stesso regge. Il presunto scarico di 47,9 milioni di record dell'app coreana di consegne FLY, di cui abbiamo parlato ad agosto, rivendicava password in chiaro e chiavi di pagamento attive ed è rimasto non verificato alla pubblicazione. Non verificato non significa innocuo; significa non provato, e Have I Been Pwned è netto: l'assenza di prove non è prova di assenza. In ogni caso: date la password per compromessa e sostituitela ovunque fosse riutilizzata.Cosa implicano i dati di pagamento e cosa no
Erano coinvolti dati di pagamento suona allarmante e spesso non lo è. L'espressione copre tutto, dai numeri di carta completi con CVV, immediatamente pericolosi, alle cifre mascherate o troncate con cui non si può addebitare nulla. I commercianti spesso non conservano mai il numero completo; lo fanno i processor di pagamento. Quando M&S ha confermato che dati dei clienti erano stati sottratti, ha detto che i dati non includevano dettagli di pagamento o di carta utilizzabili, perché l'azienda non li conserva sui sistemi coinvolti, e nemmeno le password degli account. Letto al contrario: sono state prese informazioni di contatto e storico ordini, carburante per phishing convincente più che per frodi sulla carta. Adattate la risposta alla classe di dati, non alla parola pagamento.Perché il comunicato arriva con settimane di ritardo
Il divario tra scoperta e divulgazione è strutturale, non necessariamente occultamento. La forense richiede tempo, il perimetro cresce man mano che si leggono i log, e i regolatori aggiungono i loro orologi. La ICO britannica richiede alle organizzazioni di notificarle il prima possibile e, ove fattibile, entro 72 ore dal momento in cui ne vengono a conoscenza, con dettagli a seguire. La California richiede di depositare presso lo Stato una copia di ogni avviso ai clienti inviato a più di 500 residenti: così quell'archivio diventa una raccolta pubblica di comunicati veri. La guida del NIST alla risposta agli incidenti, aggiornata nell'aprile 2025, tratta contenimento, conservazione delle prove e ripristino coordinato come un unico processo volutamente lento. M&S teneva già chiuso lo store online da più di tre settimane quando il 13 maggio ha confermato che dati dei clienti erano stati sottratti. Il silenzio era la distanza tra il sospetto e qualcosa che un'azienda possa mettere per iscritto.Cosa fare per primo e cosa ignorare
La prima ora dopo un comunicato pertinente conta più del buono per i servizi di remediazione. In ordine:- Impostate una password unica sull'account interessato e cambiatela ovunque la vecchia fosse riutilizzata.
- Forzate la scadenza delle sessioni: un cambio di password di solito lo fa, ma revocate anche gli accessi collegati e i token API dove è previsto.
- Attivate l'autenticazione a più fattori mentre siete ancora connessi.
- Seguite la classe di dati: numeri di carta completi significa sorvegliate la vostra banca, non il commerciante; dati di contatto significa aspettatevi phishing che cita il vostro storico ordini.