Esfiltrazione dei dati: come gli aggressori rubano i dati aziendali e come fermarli

La maggior parte dei consigli per prevenire le violazioni, inclusa la nostra guida per prevenire le violazioni dei dati, si concentra sul tenere i malintenzionati fuori dalla rete aziendale. L’uso di credenziali più complesse, la resistenza al phishing, sistemi aggiornati con patch e fornitori verificati sono tutti elementi chiave di questa pratica. Sono tutte misure essenziali, ma non possono essere le tue uniche tattiche di protezione dalle violazioni dei dati: non ti saranno di alcun supporto se un aggressore riesce a violare la tua rete.

Ottenere l’accesso e il furto di dati sono due cose diverse. Un malintenzionato che compromette una casella di posta in arrivo, un laptop o la connessione di un fornitore non ha ancora rubato nulla. Ha ottenuto un punto d’appoggio, e ciò che accade tra questo punto d’appoggio e il momento in cui i dati lasciano l’edificio è una fase che la maggior parte delle guide di sicurezza per le PMI ignora completamente, perché non si tratta solo di proteggere la tua rete, ma anche di notare che i dati vengono trasferiti all’esterno.

Questa fase è chiamata esfiltrazione e in genere dura giorni o addirittura mesi senza essere rilevata. Ciò accade grazie a strumenti e canali che appaiono del tutto ordinari a chiunque non li stia monitorando nello specifico. Le notifiche di violazione arrivano spesso in ritardo non perché le organizzazioni siano state negligenti riguardo alla compromissione iniziale, ma perché l’aggressore non è stato rilevato all’interno della rete aziendale.

La fase di esfiltrazione: cosa accade tra l’accesso e il furto

Come si presenta l’esfiltrazione dei dati

Perché l’esfiltrazione è difficile da individuare?

Cosa dovrebbero monitorare le aziende

In che modo il rilevamento tempestivo può cambiare la tua posizione legale

Cosa succede ai dati aziendali esfiltrati?

Limitare ciò che un aggressore può raggiungere

La fase di esfiltrazione: cosa accade tra l’accesso e il furto

Una volta ottenuto l’accesso iniziale, che sia tramite un’email di phishing, credenziali rubate o la connessione compromessa di un fornitore, un malintenzionato passa raramente subito al furto di dati. Agire immediatamente rischia di attivare un avviso prima di aver trovato qualcosa che valga la pena sottrarre, quindi la strategia più comune è la pazienza.

L’aggressore dedica tempo alla mappatura dell’ambiente, inclusi:

• Dove sono archiviati i documenti finanziari
• Valutare quali strumenti SaaS contengono dati dei clienti
• Individuare gli account con i privilegi di accesso più ampi
• Verificare se è attivo un monitoraggio delle attività.

Questa fase di ricognizione può essere lenta. Alcuni aggressori agiscono nel giro di poche ore, in particolare in casi opportunistici di ransomware in cui la velocità conta più della furtività. Altri, soprattutto nei casi incentrati sul furto di dati a lungo termine o sullo spionaggio, restano annidati per settimane o mesi, imparando i normali schemi di attività abbastanza a fondo da mimetizzarsi al loro interno.

In ogni caso, quando l’aggressore inizia a trasferire i dati all’esterno, di solito sa già esattamente cosa vuole e quale account o sistema gli consentirà di sottrarlo senza far scattare alcun allarme.

Come si presenta l’esfiltrazione dei dati

L’esfiltrazione dannosa è difficile da individuare perché assomiglia a un’attività quotidiana. Gli amministratori IT non sono alla ricerca di trasferimenti di file leggermente più grandi del solito o di cartelle sincronizzate dove non dovrebbero essere.

Trasferimenti di dati ingenti o insoliti

Questa è la forma più diretta di esfiltrazione. Ad esempio, un account può improvvisamente scaricare gigabyte da un file server o da un database a cui normalmente accede solo occasionalmente, oppure eseguire un’esportazione massiva da una piattaforma CRM o HR.

Negli ambienti ad alto utilizzo di SaaS, l’esfiltrazione avviene spesso tramite le stesse funzionalità di esportazione della piattaforma: download massivi di CSV, esportazioni in PDF di record dei clienti o una sequenza di screenshot acquisiti da un pannello di controllo che non dispone affatto di un pulsante di esportazione.

Un caso tipico potrebbe presentarsi così: un account HR compromesso viene utilizzato, nel corso di diverse settimane, per eseguire piccole esportazioni scaglionate di record dei dipendenti anziché un unico evidente download massivo. Ogni singola esportazione sembra di per sé del tutto normale, perfettamente in linea con ciò che una piattaforma HR prevede per chi ricopre quel ruolo.

È solo il pattern nell’arco di settimane, ovvero lo stesso account che esporta dati simili a intervalli insoliti, a rivelare ciò che sta accadendo, e tale schema diventa visibile solo a un’azienda che lo sta cercando attivamente.

Compromissione della posta in arrivo

Un aggressore che compromette una casella email aziendale può configurare una regola che copia in modo invisibile ogni messaggio, o ogni messaggio contenente determinate parole chiave, verso un indirizzo esterno, ottenendo un flusso continuo di corrispondenza riservata molto tempo dopo che l’email di phishing originaria è stata dimenticata.

Compromissione dello spazio di archiviazione cloud

Lo spazio di archiviazione cloud personale è un’altra via comune. Il laptop compromesso di un dipendente, o un account compromesso con accesso ai file aziendali, può essere utilizzato per copiare documenti in un account personale di Dropbox, Google Drive o un servizio simile, un trasferimento che spesso sembra identico a un backup legittimo di file a meno che qualcuno non controlli dove siano finiti i dati.

Perché l’esfiltrazione è difficile da individuare?

La scomoda verità sull’esfiltrazione è che di solito non richiede alcun malware(nuova finestra). Un aggressore che utilizza un account compromesso per esportare un report, inoltrare alcune email o caricare file su un drive cloud sta usando gli stessi strumenti e le stesse autorizzazioni che un dipendente legittimo usa ogni giorno.

Non c’è alcun file eseguibile sospetto da segnalare per il software antivirus, né processi insoliti da rilevare per la protezione degli endpoint, perché tecnicamente nulla nell’attività è anomalo. Risulta sospetta solo nel contesto, e il contesto è esattamente ciò che la maggior parte degli strumenti di sicurezza per le PMI non è progettata per valutare.

Ecco perché le difese perimetrali, per quanto ben implementate, non sono sufficienti da sole. Un’azienda può fare tutto correttamente al punto di accesso, imporre credenziali complesse, formare i dipendenti contro il phishing, applicare patch a ogni sistema e non avere comunque modo di sapere che un account compromesso sta trasferendo costantemente file verso una destinazione esterna, perché tale attività non è mai stata concepita per apparire sospetta fin dall’inizio.

I ricercatori di sicurezza a volte definiscono questo approccio “living off the land”: utilizzare il software legittimo, le integrazioni cloud e gli strumenti amministrativi del bersaglio anziché usare strumenti che un prodotto antivirus riconoscerebbe come illegittimi.

Un client di sincronizzazione dei file, una funzionalità di esportazione integrata o una normale regola email non sono di per sé strumenti dannosi. Ecco perché un aggressore che fa affidamento su di essi può operare così a lungo senza attivare nulla di ciò che è progettato per rilevare malware.

Cosa dovrebbero monitorare le aziende

Individuare precocemente l’esfiltrazione si riduce al monitoraggio di un numero limitato di segnali specifici, anziché eseguire scansioni generiche alla ricerca di attività sospette.

Traffico ed esportazioni

I volumi o le destinazioni insoliti nei trasferimenti di dati meritano la massima attenzione. La tua organizzazione dovrebbe monitorare picchi nel traffico in uscita, esportazioni massive da sistemi che normalmente non ne registrano, o qualsiasi trasferimento diretto verso una destinazione che non riconosci.

La guida dell’NCSC sulla sicurezza dei dati(nuova finestra) raccomanda nello specifico di registrare i log di accesso ai dati sensibili e di monitorare query insolite o tentativi di esportazione massiva, proprio perché questo schema è un segnale del fatto che qualcosa è andato oltre l’uso normale.

Regole di inoltro email

Vale la pena verificare direttamente le regole di inoltro email, soprattutto per qualsiasi account coinvolto in un sospetto incidente di phishing. Una regola che inoltra silenziosamente i messaggi a un indirizzo sconosciuto può passare inosservata per mesi, ed è una delle cose più semplici da controllare una volta che sai cosa cercare.

Login insoliti

L’attività di login da posizioni o in orari imprevisti è un segnale da prendere sul serio. Un login alle 3 del mattino da un Paese in cui l’azienda non è presente non è di per sé una prova, ma se incrociato con un trasferimento di dati avvenuto nello stesso momento, è un dettaglio che può confermare un incidente.

L’attività degli account amministratore al di fuori dell’orario di lavoro merita un’attenzione particolare, poiché questi account hanno in genere l’accesso più esteso a un sistema e sono un bersaglio privilegiato proprio per questo motivo.

L’attività su questi account a notte fonda, nei fine settimana o durante un periodo in cui si sa che l’amministratore effettivo è assente dal lavoro è uno degli indicatori più affidabili del fatto che un account, e non solo un dispositivo, è stato compromesso.

In che modo il rilevamento tempestivo può cambiare la tua posizione legale

Sia ai sensi del GDPR dell’UE sia di quello del Regno Unito, l’Articolo 33(nuova finestra) concede alle organizzazioni 72 ore per notificare l’autorità di controllo competente una volta venute a conoscenza del verificarsi di una violazione dei dati personali; l’ICO nel Regno Unito(nuova finestra) o l’autorità nazionale per la protezione dei dati in ciascuno Stato membro dell’UE.

Il requisito è sostanzialmente lo stesso in tutte le giurisdizioni: per la tua organizzazione il conto alla rovescia parte dal momento in cui ne viene a conoscenza, non dal momento in cui la violazione si è effettivamente verificata. Ecco perché un monitoraggio approfondito dell’esfiltrazione è così importante per la conformità, e non solo per la sicurezza.

Un’azienda che rileva tempestivamente l’esfiltrazione, tramite controlli delle regole di inoltro, il monitoraggio dei trasferimenti o gli avvisi di login insoliti, può effettuare la notifica in modo proattivo, secondo le proprie tempistiche e con un quadro ragionevolmente chiaro di ciò che è stato sottratto.

Un’azienda che scopre una violazione solo settimane o mesi dopo, spesso a seguito del reclamo di un cliente o della comparsa dei dati rubati su un forum di criminali informatici, effettua la notifica in modo reattivo, sotto pressione, spesso con un quadro incompleto dell’entità del problema e con un’autorità di regolamentazione che chiede spiegazioni sui motivi di un ritardo così prolungato nel rilevamento.

La differenza va oltre l’impatto sulla tua reputazione. Determina il modo in cui l’intero incidente viene valutato e il margine di tolleranza che un’autorità di regolamentazione è disposta a concedere.

Cosa succede ai dati aziendali esfiltrati?

Il Data Breach Observatory di Proton traccia ciò che emerge nel dark web una volta avvenuta una violazione, e i dati offrono un utile riscontro pratico su quali siano i veri obiettivi dell’esfiltrazione.

Secondo l’aggiornamento del 2026 del Data Breach Observatory, nomi e indirizzi email compaiono in quasi nove violazioni monitorate su dieci, dettagli di contatto come numeri di telefono e indirizzi fisici sono presenti in circa tre quarti dei casi e le password sono esposte in quasi la metà delle violazioni.

Categorie più sensibili, come documenti di identità rilasciati dal governo, cartelle cliniche e altre informazioni di identificazione personale, compaiono in poco più di un terzo delle violazioni, mentre le informazioni finanziarie dirette riguardano una quota minore, circa una su venti.

Le PMI costituiscono la maggior parte delle violazioni monitorate dall’Osservatorio e sono rappresentate in modo sproporzionato tra gli incidenti che coinvolgono le categorie di dati più sensibili.

Questa combinazione, essere un bersaglio frequente e registrare un alto tasso di esposizione di dati sensibili, è coerente con il tipo di esfiltrazione descritto in questo articolo: gli attacchi prolungati nel tempo all’interno dei sistemi di un’organizzazione più piccola tendono a fruttare di più, perché nessuno sapeva della perdita di dati e gli aggressori hanno potuto sottrarre tutto.

Limitare ciò che un aggressore può raggiungere

Il monitoraggio dell’esfiltrazione intercetta i dati in uscita, ma l’entità del problema si decide prima, ovvero in base a ciò a cui un account compromesso può accedere all’inizio. Un aggressore che ottiene l’accesso a un account con permessi ampi e senza restrizioni può attingere a molti più sistemi rispetto a chi compromette un account limitato rigorosamente a quanto richiesto da quello specifico ruolo.

Credenziali uniche per ogni account, combinate con un accesso limitato a ciò che un ruolo richiede realmente, riducono direttamente la superficie di esfiltrazione. Se un account di marketing compromesso può accedere solo ai sistemi di marketing, lo scenario peggiore è circoscritto a monte, invece di dipendere dalla moderazione di un aggressore o da un sistema di monitoraggio che lo intercetti in tempo.

È la stessa logica di contenimento che limita il raggio d’impatto in una violazione basata sulle credenziali in generale: l’account che viene compromesso dovrebbe poter provocare solo la perdita di ciò a cui era legittimamente autorizzato ad accedere.

Un gestore di password aziendale come Proton Pass for Business rende questa delimitazione sostenibile nel tempo, poiché rimuove la tentazione di riutilizzare lo stesso pratico set di credenziali con privilegi estesi su più strumenti solo perché gestirne di uniche manualmente non è scalabile.

Quando ogni account ha la propria credenziale e l’accesso viene verificato in base a ciò di cui un ruolo ha effettivamente bisogno, un singolo account compromesso smette di essere una via d’accesso a tutti i dati dell’organizzazione e diventa, nel peggiore dei casi, un incidente circoscritto.

Proton Pass for Business può supportare la tua azienda con:

• Policy di team personalizzabili che ti aiutano ad applicare la tua policy sulle password con requisiti per le password, autenticazione a due fattori (2FA) obbligatoria e regole di condivisione dei dati revocate
• Log di utilizzo che ti consentono di visualizzare l’attività all’interno della tua rete, con l’ulteriore supporto del nostro programma di sicurezza avanzato ad alta protezione Proton Sentinel
• Gruppi organizzati per ruolo, progetto o livello di accesso, che semplificano la gestione degli accessi e assicurano che ogni membro del team acceda solo a ciò di cui ha bisogno.

Blocca l’esfiltrazione dei dati basata sulle credenziali con un gestore di password aziendale.