471 milioni di notifiche di breach, ma solo il 24% dice come è successo

Nel primo semestre 2026 gli statunitensi hanno ricevuto 471.200.000 notifiche di data breach, superando le 297.500.000 di tutto il 2025. Secondo l'Identity Theft Resource Center (ITRC), solo il 24% di queste comunicazioni indica come l'attacco sia avvenuto: il minimo storico da quando l'organizzazione traccia il fenomeno. Il risultato è un volume crescente di avvisi legalmente corretti ma operativamente inutili, che lascia i destinatari senza gli elementi per valutare il rischio concreto e agire.

Il linguaggio del vuoto: perché "accessed" non significa "rubato"

Le notifiche di breach seguono regole formali ma non standard di contenuto. Secondo l'analisi di ESET su welivesecurity.com, il linguaggio usato è spesso tecnicamente corretto e simultaneamente deliberatamente opaco. "Accessed" non equivale a "exfiltrated": un sistema può essere consultato senza che i dati lascino l'infrastruttura. "No evidence of misuse" non garantisce l'assenza di abuso, solo che l'ente non lo ha rilevato. "May have been affected" introduce un'incertezza che rende impossibile qualsiasi calcolo del rischio.

Come riporta ESET, "what they see and what's actually happening on the cybercrime underground can be two very different things". Il divario tra percezione aziendale e realtà del mercato illegale dei dati non è una semplice distorsione informativa: è una caratteristica sistemica del modello di disclosure attuale. Tre quarti delle vittime, secondo i dati dell'ITRC citati da ESET, chiedono esplicitamente un elenco in linguaggio chiaro di quali dati sono stati compromessi. La richiesta resta largamente insoddisfatta.

"Data breach notifications are telling victims less than ever. What the company leaves out can still shape what you do next." — ESET, welivesecurity.com

I numeri del silenzio: chi notifica e perché

I dati dell'ITRC H1 2026 disegnano una concentrazione estrema. Le aziende pubblicamente quotate rappresentano solo il 10,3% delle entità compromesse ma generano l'83,4% di tutte le notifiche alle vittime. Questa disproporzione non è casuale: le corporation quotate operano sotto pressione regolatoria e di mercato maggiore, con un'esposizione reputazionale che le spinge a comunicare rapidamente, anche quando i dettagli mancano.

Parallelamente, gli attacchi supply chain hanno dimostrato una capacità di moltiplicazione senza precedenti. Nel primo semestre 2026, 38 eventi iniziali hanno generato 280,6 milioni di notifiche. Il meccanismo è noto — un fornitore compromesso si riversa sui clienti — ma la scala del fenomeno evidenzia come la struttura dell'ecosistema digitale amplifichi l'impatto della scarsa trasparenza: migliaia di aziende ricevono notifiche da un breach che non hanno subito direttamente, spesso senza informazioni sufficienti per valutare la propria esposizione.

Tra le motivazioni della scarsa disclosure, ESET elenca indagini in corso, il rischio di fornire intelligence a threat actor, e fattori economici: reputazione aziendale e reazione dei mercati finanziari. Nessuna di queste ragioni è tecnicamente neutrale. La scelta di quanto rivelare è un calcolo strategico, non un vincolo oggettivo.

Blackbaud 2020: il manuale di come non comunicare

Il caso Blackbaud del 2020 resta emblematico. La notifica inviata agli interessati — inclusa l'Università di York — raccomandava di "non fare nulla" e di "rimanere vigili", offrendo monitoraggio dell'identità solo su richiesta esplicita. La formulazione non violava necessariamente normative vigenti all'epoca, ma svuotava la notifica di qualsiasi utilità operativa. L'interessato non apprendeva cosa fosse stato compromesso, con quali modalità, né quali azioni concrete intraprendere.

Il paradosso è che una notifica tecnicamente conforme può produrre un effetto peggiore dell'assenza di notifica: genera ansia senza strumenti, richiede attenzione senza offrire risposte. L'esperienza Blackbaud non è un caso isolato di cattiva gestione comunicativa: è il caso-limite di un sistema che premia la forma sulla sostanza.

La truffa che si nutre del pattern: notifiche false e AI

La scarsa qualità delle notifiche autentiche ha creato un habitat per le comunicazioni fraudolente. Secondo l'analisi ESET sui rischi di scam, i truffatori utilizzano kit di phishing e strumenti di intelligenza artificiale per automatizzare e migliorare la creazione di notifiche false. Il tono, il branding e la struttura delle comunicazioni legittime vengono replicati con precisione crescente, rendendo difficile per il destinatario distinguere l'avviso reale da quello malevolo.

Il meccanismo funziona perché il pubblico è ormai condizionato a ricevere notifiche vaghe, generiche e frequenti. Quando un messaggio autentico non fornisce dettagli utili, il destinatario perde la capacità di calibrare la propria attenzione: ogni notifica diventa equivalentemente opaca, e la soglia di risposta si appiattisce. In questo contesto, una notifica falsa che imita perfettamente il formato standardizzato trova terreno fertile. Non è quantificabile il tasso di conversione di queste campagne in frodi effettive: il dossier non fornisce dati in questo senso.

Cosa fare adesso

ESET propone azioni concrete per chi riceve una notifica di breach, specialmente quando questa manca di dettagli tecnici:

• Non fidarsi del "nessuna azione necessaria": una notifica che esonera l'interessato dall'agire va trattata con cautela, non come conferma di rischio assente.
• Verificare il mittente attraverso canali indipendenti: contattare l'azienda direttamente via sito ufficiale o numero di assistenza, non rispondendo al messaggio ricevuto.
• Cercare conferme esterne: fonti come l'ITRC, i comunicati stampa ufficiali o le segnalazioni regolatorie possono integrare informazioni omesse.
• Monitorare attivamente i propri account: anche in assenza di dettagli sulla tipologia di dati compromessi, verificare estratti creditizi, movimenti bancari e configurazioni di sicurezza degli account personali.

Perché il sistema non cambierà da solo

L'asimmetria informativa descritta nei dati ITRC e nell'analisi ESET non è un difetto temporaneo né un effetto di competenze insufficienti. È strutturale: le notifiche obbligatorie sono progettate per soddisfare requisiti regolatori, non per fornire utility operativa al destinatario. Il gap tra disclosure al regolatore, spesso dettagliata, e notifica alla vittima, sistematicamente vaga, riflette incentivi economici e di rischio legale, non limitazioni tecniche.

La conseguenza va oltre il singolo interessato. La threat intelligence collettiva — la capacità del settore di tracciare vettori, attributire attacchi e prevenire escalation — dipende dalla qualità dei dati condivisi. Quando il 76% delle notifiche tace sull'attack vector, quel tessuto informativo si deteriora. Le 471,2 milioni di comunicazioni del primo semestre 2026 non sono solo un record di volume: sono una misura del distacco tra trasparenza formale e trasparenza reale.

Fonti

• https://www.welivesecurity.com/en/how-to/what-to-do-when-a-data-breach-notice-tells-you-almost-nothing/
• https://www.welivesecurity.com/2020/08/06/blackbaud-data-breach-what-you-should-know/
• https://www.welivesecurity.com/en/scams/data-breach-alert-might-be-trap/
• https://www.idtheftcenter.org/publication/2025-data-breach-report/
• https://www.idtheftcenter.org/podcast/weekly-breach-breakdown-itrc-h1-2026-data-breach-report/