Cos'è il dark web e cosa c'entra con i dati della tua azienda?

Il dark web è la parte di internet che si raggiunge solo con un software apposito, il più diffuso dei quali è Tor: i siti hanno indirizzi che finiscono in .onion e non si aprono con un browser normale. Spesso viene confuso con il deep web, che è un'altra cosa e molto più grande: il deep web è tutto ciò che i motori di ricerca non indicizzano, cioè la casella di posta, l'home banking, l'intranet aziendale, il gestionale in cloud. Quasi tutto internet è deep web ed è perfettamente legittimo. Il dark web ne è una porzione piccola, costruita per rendere anonimi sia chi visita sia chi pubblica. Tor in sé è legale e ha usi rispettabili: il Tor Project elenca fra i siti .onion quelli della BBC e di Amnesty International, utili a chi vive sotto censura o sorveglianza. Lo stesso anonimato, però, lo rende il luogo dove si comprano e vendono dati rubati, anche quelli delle aziende.

Leggi anche: Data breach · Un incidente che espone dati riservati per un attacco esterno o un errore interno, con costi diretti e di reputazione.

Cosa finisce lì di un'azienda

Il rapporto 2025 di Europol sulla criminalità online, Steal, deal and repeat, descrive un mercato organizzato, ospitato soprattutto sul dark web. Tre merci riguardano da vicino un'impresa. Le credenziali raccolte dagli infostealer, programmi malevoli che copiano password e cookie di sessione dal browser di un dipendente, spesso arrivati con un phishing. Gli accessi alla rete aziendale, rivenduti dagli initial access broker, intermediari che entrano e poi cedono la porta a chi attacca: Europol scrive che le credenziali di accesso remoto sono molto usate dai gruppi ransomware. Infine i dati pubblicati sui siti di leak dei ransomware quando il riscatto non viene pagato, che ENISA monitora come fonte stabile del proprio rapporto annuale. Lo stesso Europol nota che le vendite passano sempre più spesso anche da app di messaggistica cifrata, quindi il dark web è solo una delle vetrine. Navigare con Tor è legale; comprare dati rubati è reato.

Cosa fa, e cosa non fa, il dark web monitoring

I servizi di dark web monitoring confrontano il dominio aziendale e gli indirizzi email con le raccolte di dati trapelati e con i mercati che riescono a osservare, e mandano un avviso quando compare una corrispondenza. È un segnale utile, con tre limiti da conoscere prima di pagarlo. La copertura è parziale, perché nessuno vede tutti i forum, i canali chiusi e le vendite private. Non esiste la rimozione: un dato copiato resta copiato. E un avviso arriva per definizione dopo il furto. Quando arriva, conviene cambiare subito le password coinvolte, chiudere le sessioni aperte, passare a un'MFA resistente al phishing e verificare che nessuno stia già usando quell'accesso. Se sono coinvolti dati personali, va valutata anche la notifica della violazione.

Un esempio concreto

Uno studio tecnico di dodici persone riceve dal proprio fornitore IT un avviso: l'indirizzo della contabile compare in un log di infostealer, insieme alla password del portale della banca e a quella della VPN. Il computer infetto è quello di casa, usato una sera per lavorare. La password della banca era già stata cambiata, quella della VPN no ed era identica da tre anni. Lo studio la cambia, attiva un secondo fattore su VPN e posta, controlla nei log della VPN gli accessi delle ultime settimane da indirizzi insoliti e introduce un password manager per non riusare più la stessa password su servizi diversi.

Perché conta per chi decide

La domanda utile è quanto velocemente ci si accorge che una credenziale è uscita e quanto vale da sola. Con un secondo fattore resistente al phishing e un accesso remoto ben chiuso, una password rubata vale poco. Il monitoraggio ha senso come allarme precoce dentro una difesa che già regge per conto suo.