Che cosa è l’esfiltrazione e perché il perimetro non basta più

Con esfiltrazione si intende l’uscita non autorizzata di dati da un’organizzazione: un archivio copiato, un file caricato su un servizio esterno, informazioni che lasciano i sistemi aziendali e finiscono dove non dovrebbero.

Il termine descrive il risultato, non la via che i dati prendono per uscire. Nella maggioranza dei casi il dato non viene strappato forzando una difesa: esce attraverso un accesso che i sistemi riconoscono come legittimo.

Le rilevazioni dell’ENISA nel Threat Landscape 2025 attribuiscono all’alphishing il 60 % delle intrusioni andate a segno in Europa. Il primo passo è farsi consegnare una credenziale valida; una volta ottenuta, l’attaccante si muove all’interno dei sistemi con i permessi di un utente autorizzato, senza dover superare altre barriere.

Il cambiamento di paradigma

Per anni la difesa si è basata sull’assunto che la minaccia fosse esterna al perimetro, da tenere fuori con firewall, VPN e sistemi di monitoraggio. I dati recenti mostrano una dinamica diversa: chi esfiltra raramente combatte contro le difese perimetrali, ma le aggira presentandosi come utente autorizzato.

L’Europol, nel rapporto IOCTA 2025, descrive un mercato maturo in cui le credenziali rubate sono una merce. Gli “initial access broker” le raccolgono con infostealer e campagne di phishing e le rivendono a chi eseguirà l’attacco vero e proprio. La chiave della porta si compra prima, spesso da un soggetto terzo.

Le sette cause ricorrenti di esfiltrazione

Le organizzazioni complesse vedono il rischio di esfiltrazione addensarsi attorno a un numero limitato di fattori, che ricompaiono in quasi ogni incidente. Il tratto comune è semplice: nessuno di questi fattori richiede di forzare una difesa, ma sfrutta permessi già esistenti.

    • Phishing e credenziali rubate: la via più frequente per ottenere accessi legittimi.
    • Insider volontari o involontari: dipendenti o collaboratori che, per negligenza o motivazione, espongono dati.
    • Fornitori e partner: accessi estesi concessi a terze parti non sempre controllati.
    • Shadow IT: strumenti cloud adottati dai reparti senza l’approvazione dell’IT, spostando dati in ambienti non presidiati.
    • Shadow AI: l’uso non governato di modelli di intelligenza artificiale che elaborano dati sensibili senza controlli.
    • Dispositivi personali e BYOD: laptop, tablet o smartphone che si collegano a reti aziendali e sincronizzano dati su servizi personali.
    • Configurazioni errate: errori di configurazione in cloud, permessi eccessivi o mancate policy di cifratura.

Tra queste, due fattori si stanno espandendo a velocità che i piani di sicurezza faticano a seguire: Shadow IT e Shadow AI.

Shadow IT e Shadow AI: dati in fuga dal cloud

Lo Shadow IT esiste da quando esiste il cloud: reparti che adottano strumenti più efficaci di quelli forniti dall’azienda e che, così facendo, spostano dati critici in ambienti non presidiati. La Shadow AI è la versione recente e più insidiosa, come mostra il caso Samsung.

Secondo IBM, nel 2025 il 20 % delle organizzazioni ha subito una violazione collegata alla Shadow AI, e dove l’uso non governato era diffuso il costo medio dell’incidente è salito di 670 000 dollari. Il 97 % delle aziende con violazioni ai propri sistemi di AI non disponeva di controlli adeguati sugli accessi.

Perché le difese tradizionali falliscono

Le difese che la maggior parte delle grandi imprese ha stratificato negli anni – firewall, sistemi di Data Loss Prevention (DLP) – nascono dallo stesso presupposto: i dati vivono dentro il perimetro e vanno intercettati quando provano a uscirne. Era un’ipotesi solida quando i file risiedevano su server interni e le vie di fuga erano poche e sorvegliabili.

Oggi un documento nasce in cloud, passa da un dispositivo personale, viene condiviso con un fornitore, sincronizzato su servizi che l’IT nemmeno censisce. Quando il contenuto attraversa la barriera e viaggia in chiaro, non resta niente a proteggerlo.

L’efficacia dei controlli di confine non è in discussione; il limite sta nella premessa. Un’esfiltrazione che espone dati leggibili non si chiude con la bonifica dei sistemi, perché quelle informazioni restano utilizzabili per anni.

Nuove linee guida e normative

Nel documento sulla cybersicurezza nell’era della frontier AI (2026), l’ENISA chiede di progettare le architetture partendo dal presupposto che una violazione sia già in corso, trattando ogni ambiente come potenzialmente compromesso. L’ENISA registra una mediana di 72 minuti tra il primo ingresso e l’esfiltrazione.

L’articolo 32 del GDPR cita la cifratura tra le prime misure tecniche adeguate; l’articolo 34 stabilisce che, se i dati esposti sono cifrati e inintelligibili, può venir meno l’obbligo di comunicare la violazione ai singoli interessati.

IBM colloca la crittografia tra i fattori che riducono di più il costo di una violazione, con un risparmio medio superiore ai 200 000 dollari per incidente.

Implicazioni legali e operative in Italia

La Direttiva (UE) 2022/2555, la NIS2, recepita in Italia con il D.Lgs. 138/2024, all’articolo 20 assegna agli organi di gestione una responsabilità diretta sulla sicurezza, con sanzioni personali che possono arrivare alla sospensione dalle funzioni dirigenziali. L’articolo 21 elenca tra le misure di gestione del rischio il controllo degli accessi e la crittografia.

Il Regolamento (UE) 2022/2554, il DORA, prescrive per le entità finanziarie politiche di cifratura per i dati a riposo e in transito e una gestione degli accessi fondata sul privilegio minimo.

La Determinazione ACN del 13 aprile 2026 ha reso operativa la NIS2 in Italia, fissando il metro di giudizio sulla resilienza dimostrabile, con processi reali e dati verificabili. Dal 1° gennaio 2026 i soggetti in perimetro notificano gli incidenti; entro ottobre 2026 devono completare le misure di gestione del rischio e presidiare la sicurezza della catena di approvvigionamento.

Situazione italiana

Secondo il Rapporto Clusit 2026, nel 2025 gli incidenti gravi che hanno colpito realtà italiane sono stati 507, in crescita del 42 % rispetto all’anno precedente, dopo un aumento di circa il 15 % nel 2024. L’Italia pesa per il 9,6 % degli incidenti gravi rilevati nel mondo, una quota sproporzionata rispetto alle dimensioni del Paese.

Questi dati evidenziano l’urgenza di spostare il focus dalla protezione del perimetro alla protezione del dato stesso, indipendentemente da dove si trovi.

Strategie operative per una difesa basata sul dato

La direzione indicata dal settore da tempo è spostare il baricentro sul contenuto: cifrare il file dal momento in cui nasce, così che la protezione lo accompagni ovunque vada e resti attiva anche fuori dai sistemi aziendali.

    • Implementare la crittografia end‑to‑end per tutti i documenti sensibili.
    • Adottare soluzioni DLP basate sul contenuto, non solo sul perimetro.
    • Introdurre policy di “Zero Trust” che verificano ogni richiesta di accesso, anche interna.
    • Monitorare l’attività dei fornitori con controlli di accesso granulari e sessioni registrate.
    • Governare l’uso di strumenti cloud e AI con cataloghi di servizi approvati e audit continui.
    • Formare costantemente dipendenti su phishing, gestione delle credenziali e best practice per il lavoro remoto.

Solo una difesa che accompagna il dato lungo tutto il suo ciclo di vita può contrastare efficacemente le sette vie d’uscita individuate dall’analisi.