Domenica 25 ottobre i servizi che monitorano i siti di leak hanno registrato il nome di AB InBev, il gruppo belga che produce tra le altre Budweiser, Corona e Stella Artois, nella lista delle vittime di Emperador, un gruppo ransomware attivo con questo nome solo da agosto. La rivendicazione parla di 3,9 GB: 3,2 GB di file prelevati dall’archivio cloud aziendale su Azure, circa 2.500 indirizzi email interni, 19.000 registri di accesso, record di un portale interno, certificati della PKI aziendale e oltre 329.000 alert di social listening. La richiesta di riscatto, inizialmente di un milione di dollari in bitcoin, è stata poi portata a dieci milioni, con un conto alla rovescia già avviato sul sito del gruppo (Het Nieuwsblad).
Partiamo da ciò che sappiamo davvero. Un portavoce di AB InBev ha fatto sapere di non poter commentare, per ora, e l’azienda non ha confermato la violazione. Una verifica a campione della stampa belga indica che gli indirizzi pubblicati appartengono a persone che lavorano o hanno lavorato per il gruppo; resta da capire se tra i file ci siano dati davvero sensibili. Un esperto di sicurezza belga, sentito dallo stesso quotidiano, fa notare che 3,9 GB sono pochi e che fughe di queste dimensioni sono spesso opera di ex dipendenti che copiano un archivio prima di andarsene e poi provano a rivenderlo. Se sia andata così anche in questo caso, per ora non si sa.
Il danno si misura su ciò che i dati permettono di fare
Pochi gigabyte, in effetti, se il metro è quello classico, fatto di impianti fermi e sistemi bloccati. Guardo però l’elenco dei file e vedo un’altra cosa. Una lista di 2.500 indirizzi interni, con nome, cognome e data di creazione dell’account, è la base per campagne di phishing mirate, perché dice chi lavora in azienda e come raggiungerlo. Il registro di chi usa un portale interno riporta nomi e indirizzi senza password, ed è comunque la mappa che serve per scegliere chi colpire la volta successiva.
Per chi non lavora nel settore, i certificati della PKI (l’infrastruttura a chiave pubblica) sono i documenti d’identità digitali con cui server e applicazioni di un’azienda si riconoscono tra loro e dimostrano di essere autentici. Ogni certificato lavora insieme a una chiave privata, che va custodita come una firma originale. Se insieme ai certificati fossero uscite anche le chiavi, chi le possiede potrebbe presentarsi come un sistema interno legittimo, e l’unica risposta sarebbe revocare e riemettere tutto.
Questi file servono a preparare l’attacco successivo, contro l’azienda o contro i suoi partner, e lo fanno tanto meglio quanto più sono leggibili. Un dato in chiaro pubblicato su un sito di leak resta in circolazione e torna utile mesi dopo, magari incrociato con altri archivi.
Dopo AB InBev (Budweiser, Corona, Stella Artois) ed Eataly: cosa rischiano davvero le aziende del food quando i dati escono. L’analisi di Valerio Pastore (CyberGrant)
L’ipotesi dell’ex dipendente, se trovasse conferma, renderebbe il caso ancora più istruttivo. Contro chi ha un accesso legittimo e lo usa per copiare dati prima di andarsene, le difese perimetrali servono a poco. In quello scenario conta se il file copiato resta leggibile fuori dall’azienda e se l’accesso si può revocare quando il rapporto di lavoro finisce.
Nel retail il bersaglio si è spostato dalle carte ai dati interni
AB InBev è un produttore, ma vive nello stesso ecosistema del commercio, fatto di distributori, aziende, agenzie e operatori logistici. È un ecosistema sotto pressione: in un anno le violazioni confermate nel retail sono quasi raddoppiate, e in quattro casi su dieci l’ingresso è avvenuto sfruttando una vulnerabilità. Il dato che mi colpisce di più riguarda cosa viene preso. I dati interni, a partire da piani e strategie, compaiono nell’84% delle violazioni, contro il 65% dell’anno precedente; le credenziali nel 26%, chiavi e codici di accesso nel 20%. Un tempo il settore perdeva soprattutto i dati delle carte di pagamento, mentre oggi gli attaccanti prendono qualunque cosa si possa monetizzare, e le violazioni a scopo di spionaggio sono salite dal 9% al 19% (Verizon DBIR 2026).
Non credo sia un caso. Il dato di pagamento è l’unico che il retail ha imparato a proteggere in modo strutturale, con le regole di cifratura imposte dallo standard internazionale delle carte (PCI DSS). Listini, accordi con i fornitori, calendari promozionali, estrazioni dai CRM sono rimasti leggibili per chiunque superi il perimetro. Gli attaccanti si sono spostati dove il valore era ancora accessibile.
In Italia i numeri sono piccoli, e raddoppiano
A giugno l’attacco all’e-commerce di Eataly, uno dei marchi italiani più conosciuti all’estero, ha messo a rischio nome, data di nascita, codice fiscale, indirizzi e storico degli acquisti dei clienti. Le password erano cifrate e i dati di pagamento non venivano conservati: è la stessa asimmetria che emerge dai numeri globali, con alcune categorie di dati protette e tutte le altre leggibili. Non è un caso isolato. Nel 2025 gli incidenti gravi e di dominio pubblico nel commercio sono passati da 14 a 26, e il settore è salito di quattro posizioni, al quinto posto in Italia con il 5,1% del totale. Nello stesso anno gli incidenti nel Paese sono cresciuti del 42%, fino a 507, pari al 9,6% di quelli censiti nel mondo (Rapporto Clusit 2026). Sono valori bassi in assoluto, da leggere sapendo che contano solo gli attacchi gravi diventati pubblici: il sommerso è con ogni probabilità molto più ampio.
La catena di fornitura è il perimetro reale del commercio
Un’azienda della distribuzione condivide ogni giorno file e accessi con centinaia di soggetti esterni, dal fornitore di merce all’agenzia che gestisce le campagne. Ognuno di questi legami allarga il perimetro ben oltre i sistemi che l’azienda governa direttamente, e i casi più noti del settore sono entrati proprio da lì. Nell’aprile 2025 Marks & Spencer è stata colpita attraverso l’impersonificazione, definita sofisticata, di un utente esterno legato a un fornitore, come ha spiegato il presidente Archie Norman al Parlamento britannico; l’azienda ha stimato l’impatto sull’utile operativo in circa 300 milioni di sterline. Nella notte tra l’11 e il 12 ottobre scorsi centinaia di supermercati francesi si sono ritrovati con i frigoriferi portati da remoto a temperature anomale, attraverso versioni obsolete di un software di gestione della refrigerazione che il produttore aveva chiesto di aggiornare ad agosto.
Il caso francese riguarda impianti e merce, eppure segue lo stesso schema, con un ingresso che passa da un sistema che l’azienda usa senza governarlo del tutto. Per i dati il problema è più sottile. Un file condiviso con un’agenzia o un distributore esce per definizione dal perimetro di chi lo ha creato, e da quel momento la sua riservatezza dipende dalla sicurezza di qualcun altro.
È il principio su cui si basano le piattaforme di protezione centrata sul file, come FileGrant, la piattaforma che abbiamo sviluppato in CyberGrant: i documenti vengono cifrati con algoritmi post-quantum nel momento in cui vengono caricati, e la protezione li segue anche quando arrivano a un fornitore, a un’agenzia o su un dispositivo remoto. L’azienda può revocare i permessi in qualsiasi momento, anche dopo l’invio o quando un dipendente lascia l’azienda, e vedere chi ha aperto ogni documento e da quale dispositivo.
Cosa chiedono già le norme
Il 31 ottobre 2026 è il termine entro cui i soggetti NIS2 inseriti nell’elenco nel 2025 devono avere attuato le misure di sicurezza di base (art. 4 della Determinazione ACN 379907/2025). Il largo consumo è dentro il perimetro, perché la Direttiva (UE) 2022/2555 include nell’Allegato II la produzione industriale e la distribuzione all’ingrosso di alimenti, oltre ai mercati online. L’art. 24 del D.Lgs. 138/2024 mette nello stesso elenco la sicurezza della catena di approvvigionamento e le politiche su crittografia e cifratura, e l’art. 23 chiama gli organi di amministrazione a risponderne.
Il GDPR è ancora più preciso. L’art. 34, par. 3, lett. a) esonera il titolare dal comunicare la violazione agli interessati se aveva applicato ai dati misure che li rendono incomprensibili a chi non è autorizzato ad accedervi, “quali la cifratura”. Il legislatore ha già riconosciuto che il furto di un dato cifrato è un evento diverso.
Dopo un caso come questo, un consiglio di amministrazione del retail ha domande concrete da porre:
• quali dati interni stanno in archivi cloud, leggibili da chiunque ottenga una credenziale valida;
• chi può revocare l’accesso a un file già condiviso con un’agenzia, un distributore o un dipendente che lascia l’azienda;
• dove sono le chiavi private dei certificati interni, e quanto servirebbe per riemetterli tutti;
• quanti dei file che un gruppo ransomware potrebbe pubblicare domani sarebbero leggibili.
Cambiare il metro con cui misuriamo un attacco
Nelle prossime settimane sapremo se la rivendicazione contro AB InBev è fondata e cosa contengono davvero quei 3,9 GB. Qualunque sia l’esito, il caso mostra un limite nel modo in cui valutiamo gli incidenti. Per anni abbiamo contato i giorni di fermo e i gigabyte usciti. Il retail che emerge dai numeri di quest’anno chiede di contare anche quanta parte di ciò che è uscito si può leggere, e per quanto tempo resterà utile a chi l’ha preso. Su questo secondo numero un’azienda può ancora decidere, a patto di farlo prima che l’attacco avvenga.
A cura di Valerio Pastore, Co-founder di CyberGrant Inc
