Un dipendente riceve un avviso che cita l’indirizzo email aziendale in una raccolta di credenziali rubate: la prima domanda è se qualcuno sia già entrato nei sistemi. Il deep web comprende pagine non indicizzate, come caselle email e aree riservate, ma trovare un dato in una raccolta online non dimostra da solo che un account sia stato violato: conta che cosa è esposto e se quelle credenziali sono ancora valide.
Un dato non indicizzato non è automaticamente una minaccia
- Deep web: include contenuti legittimi protetti da accesso o non indicizzati.
- Dark web: è una parte distinta, raggiungibile attraverso reti e software specifici.
- Credenziali esposte: vanno verificate rispetto agli account ancora attivi e ai sistemi aziendali.
- Risposta a un incidente: richiede contenimento, raccolta delle prove e valutazione degli obblighi di notifica.
Una pagina non indicizzata può essere del tutto legittima
La cartella condivisa con il commercialista, il portale HR e l’area clienti del gestionale restano fuori dai risultati pubblici, spesso perché richiedono un login o un collegamento diretto. Sono esempi quotidiani di deep web, non indizi di attività clandestine.
Il dark web è invece una porzione accessibile tramite reti specifiche, come Tor. Può ospitare servizi legali e usi orientati alla riservatezza, ma anche mercati illeciti. La distinzione utile per un’azienda riguarda il modo in cui si accede ai contenuti, non una presunta divisione tra aree sicure e pericolose. Io considero fuorviante trattare ogni contenuto non indicizzato come una minaccia: così si rischia di trascurare i problemi reali, come credenziali riutilizzate o accessi lasciati attivi.
Le fughe di dati trasformano account dimenticati in un rischio attuale
Un indirizzo email aziendale comparso in una segnalazione può riferirsi a un vecchio account, a una password già cambiata o a una credenziale tuttora valida. La differenza va verificata sui sistemi interni: l’assenza di una pagina dai motori di ricerca dice poco sull’accesso effettivo.
Nel rapporto ENISA Threat Landscape 2026, relativo agli eventi osservati nell’Unione europea durante il 2025, le violazioni dei dati rappresentano il 31% delle attività finanziariamente motivate analizzate. Il dato invita a trattare la possibile esposizione come un segnale da verificare, non come prova automatica di un accesso riuscito.
Per una piccola impresa, il controllo più utile parte da tre domande: l’account esiste ancora? La password è stata riutilizzata? Quali applicazioni consentiva di raggiungere? Se non si riesce a rispondere alla terza domanda, l’inventario degli accessi è già un punto debole.
Una fuga di credenziali richiede controlli oltre al cambio password
Un caso italiano mostra quanto possa pesare la gestione degli account nel tempo. Nel maggio 2026 il Garante per la protezione dei dati personali ha descritto una violazione che ha coinvolto 61.670 persone: tra i problemi accertati figuravano password conservate in chiaro o con tecniche inadeguate e credenziali relative a sistemi non più in uso.
Il punto operativo è semplice: una password cambiata oggi non chiude da sola tutte le porte, se esistono account dimenticati, sessioni attive o accessi concessi a fornitori. La tabella aiuta a trasformare un avviso generico in verifiche mirate.
| Segnale o condizione | Che cosa può indicare | Che cosa fare |
|---|---|---|
| Email aziendale in una raccolta di credenziali | Possibile esposizione di una password, senza conferma di accesso ai sistemi aziendali | Verificare account e accessi attivi; revocare le sessioni e cambiare la password se è ancora in uso o riutilizzata |
| Account appartenente a un dipendente o fornitore non più attivo | Un accesso potrebbe essere rimasto disponibile dopo la fine del rapporto | Disattivare l’account e controllare eventuali credenziali tecniche collegate |
| Accessi anomali, nuove regole email o file scaricati senza motivo | Possibile uso non autorizzato dell’account | Bloccare o limitare l’account, conservare i log e coinvolgere chi gestisce la sicurezza |
| Dati personali potenzialmente sottratti | Possibile violazione da valutare anche sotto il profilo della protezione dei dati | Coinvolgere il titolare del trattamento e valutare gli obblighi di notifica e comunicazione |
Se l’allarme riguarda dati personali, avvia subito la valutazione
Quando l’avviso è credibile, chi gestisce la sicurezza dovrebbe registrare che cosa è stato segnalato e quando, individuare gli account coinvolti, revocare gli accessi sospetti e conservare i log prima che vengano sovrascritti. Se l’incidente coinvolge un fornitore, l’azienda deve chiedere rapidamente quali dati e sistemi siano stati interessati; aspettare una spiegazione completa può far perdere tempo utile.
La valutazione privacy segue criteri distinti dal semplice controllo tecnico. Il Garante indica che, quando una violazione di dati personali può comportare un rischio per i diritti e le libertà delle persone, il titolare deve notificare l’evento senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza; se il rischio è elevato, può essere necessario informare anche gli interessati. La decisione spetta al titolare del trattamento, che deve documentare l’accaduto anche quando conclude che la notifica non è necessaria.
Perciò, davanti a una credenziale segnalata, non basta chiedersi se provenga dal dark web. Occorre stabilire se sia ancora utilizzabile, quali dati protegga e se esistano tracce di accesso: è così che un avviso vago diventa una risposta proporzionata.
Un inventario degli accessi rende più ordinata anche la crescita digitale
Ogni nuovo strumento cloud può ridurre passaggi manuali e sprechi, ma aggiunge account, permessi e dati da governare. Un inventario aggiornato, la rimozione degli accessi inutilizzati e l’autenticazione a più fattori aiutano a mantenere i processi efficienti senza lasciare porte dimenticate.
Quando arriva un’allerta, partire dagli account e dai dati coinvolti è più utile che immaginare un viaggio in una rete misteriosa. Il rischio si misura su ciò che l’organizzazione espone davvero, e spesso la prima verifica è già nei sistemi che usa ogni giorno.