Quando nessun file viene bloccato, l'incidente può comunque diventare una questione legale

Non tutti i casi di estorsione si annunciano con schermate cifrate e desktop bloccati. In alcuni incidenti, la pressione arriva da una mossa più silenziosa: i dati vengono sottratti, o sembrano esserlo stati, e la minaccia è la pubblicazione anziché la paralisi dei sistemi. Questa differenza conta. Quando la riservatezza diventa il danno principale, l'incidente può passare in una categoria legale e operativa diversa, anche se i servizi aziendali continuano a funzionare.

Fatti rapidi

• L'estorsione senza cifratura sposta l'attenzione dalla disponibilità alla riservatezza.
• La classificazione legale dell'incidente può cambiare anche se non compare alcun cifratore ransomware.
• NIS2 può considerare la perdita di riservatezza una questione di incidente, non solo di interruzione del servizio.
• In Italia, le segnalazioni di cyber e quelle sulla privacy possono seguire percorsi separati.
• Le metriche basate solo sull'uptime possono non cogliere il danno reale nei casi di estorsione basata sui dati.

Il danno reale è spesso invisibile

Dal punto di vista difensivo, l'errore chiave è presumere che "nessuna cifratura" significhi "nessun incidente grave". Le campagne di data-extortion possono lasciare i sistemi online pur creando rischio di esposizione, complessità legale e problemi probatori. La domanda operativa non è più solo se la vittima possa ripristinare i servizi. Diventa se materiale sensibile sia uscito dall'ambiente, che tipo di dati fosse coinvolto e se la minaccia di divulgazione sia credibile.

Ecco perché le metriche standard sugli incidenti possono essere fuorvianti. I dashboard basati sulla disponibilità sono utili quando la crisi è uno spegnimento, ma possono sottostimare il danno quando la questione centrale è una fuga di dati. In questo modello, il vantaggio dell'aggressore deriva dalla perdita di riservatezza, non dal blocco delle macchine. La risposta, quindi, richiede più del solo ripristino: conservazione dei log, revisione delle identità, telemetria di rete e un'attenta delimitazione di ciò che potrebbe essere stato accesso o copiato.

Perché il percorso legale può dividersi

Nel quadro NIS2, la gestione degli incidenti non si limita ai tempi di inattività. Un evento di cybersecurity può avere rilievo anche quando sono compromesse riservatezza, integrità o autenticità. Per questo l'estorsione senza cifratura può comunque rientrare nella logica dell'informazione disponibile che molti team associano solo a interruzioni o cifratura da malware. A seconda dei fatti, l'organizzazione potrebbe dover valutare se l'evento sia sufficientemente significativo da attivare gli obblighi di notifica cyber.

Allo stesso tempo, può emergere una questione separata di privacy se sono coinvolti dati personali. In tal caso, l'organizzazione potrebbe dover valutare se sia necessaria una notifica di data breach all'autorità italiana per la protezione dei dati. La sfida pratica è che questi due percorsi sono correlati ma non identici. Uno riguarda la resilienza cyber e la governance dell'incidente. L'altro riguarda il rischio per i dati personali e i diritti delle persone. Un singolo evento di estorsione può quindi generare due diversi alberi decisionali.

Ciò che i difensori dovrebbero trarne

La lezione strategica è semplice: il threat modeling deve includere percorsi di estorsione che non dipendono dalla cifratura dei sistemi. Il rilevamento dovrebbe cercare segnali di accesso ed esfiltrazione dei dati, non solo comportamenti di blocco dei file. Anche i piani di risposta dovrebbero essere scritti tenendo conto del momento di consapevolezza, perché gli orologi legali spesso iniziano quando l'organizzazione capisce per la prima volta che un incidente potrebbe essere avvenuto.

Per i team di sicurezza, questo significa prepararsi a una definizione più ampia di crisi. L'incidente più pericoloso può essere quello che lascia i servizi intatti, perché può nascondersi nell'uptime normale mentre crea silenziosamente esposizione legale, pressione reputazionale e rischio di divulgazione. L'assenza di cifratura ransomware non è un segnale di via libera.

Conclusione

L'estorsione senza cifratura ricorda che il danno informatico non si misura solo nei sistemi guasti. A volte il danno decisivo è ciò che esce dalla rete, non ciò che smette di funzionare. Per i difensori, la lezione è monitorare la riservatezza con la stessa serietà di solito riservata alle interruzioni. È lì che inizia il vero incidente.

TECHCROOK

Unità esterna cifrata: Utile per archiviare copie offline dei log, note di indagine e altri registri che potrebbero dover essere conservati durante una revisione dell'incidente. L'archiviazione portatile cifrata aggiunge un semplice livello di controllo quando la riservatezza è la preoccupazione principale.

Scheda Techcrook: Unitá esterna cifrata

WIKICROOK

• Esfiltrazione dei dati: Copia o trasferimento non autorizzato di informazioni fuori da un sistema.
• Riservatezza: La proprietà di sicurezza che impedisce ai dati di essere visti da parti non autorizzate.
• NIS2: La direttiva UE sulla cybersecurity che stabilisce obblighi di segnalazione degli incidenti per i soggetti coperti.
• Violazione dei dati personali: Un incidente di sicurezza che coinvolge dati personali e che può richiedere una notifica sulla privacy.
• Definizione dell'ambito dell'incidente: Il processo per determinare cosa è accaduto, quali dati sono stati colpiti e quali obblighi ne derivano.