Un'Esposizione da Record: 24 Miliardi di Credenziali Trovarono Non Protette

A giugno 2026, i ricercatori di sicurezza si sono imbattuti in qualcosa che ha messo in prospettiva quasi ogni altra fuga di dati dell'anno: un database accessibile pubblicamente contenente più di 24 miliardi di record di credenziali rubate. Non c'era password, nessun muro di accesso e nessuna crittografia a separare internet dai dati. Chiunque avesse trovato il server esposto avrebbe potuto consultarlo liberamente.

Per essere chiari, 24 miliardi di record non significano 24 miliardi di persone uniche. Database come questo sono tipicamente compilazioni, set di credenziali raccolti e combinati da anni di precedenti violazioni, log di malware e dump di password trapelate, tutti aggregati in un unico file enorme. Le voci duplicate sono comuni e lo stesso indirizzo email potrebbe apparire dozzine di volte associato a password diverse rubate in momenti diversi. Tuttavia, la scala stessa dell'esposizione illustra un problema che è diventato routine nel 2026: enormi quantità di dati precedentemente rubati continuano a riemergere, non protetti, in nuove posizioni.

Questo tipo di esposizione è particolarmente pericoloso perché abbassa la barriera all'ingresso per i criminali informatici. Invece di pagare per l'accesso a un dataset di violazioni curato su un forum del dark web, gli aggressori possono semplicemente estrarre credenziali da un database aperto e iniziare a testarle contro siti bancari, provider email e login aziendali attraverso attacchi automatizzati di "credential stuffing".

Kodak Si Aggiunge alla Lista delle Vittime di Violazioni del 2026

Lo stesso mese ha portato un secondo incidente più mirato. Kodak ha confermato una violazione dopo che un gruppo di hacker ha affermato di aver rubato circa 2,2 milioni di record di clienti e aziendali. Il gruppo ha inserito Kodak in un sito di leak sul dark web, una tattica che è diventata pratica standard per i gruppi di hacker orientati all'estorsione che cercano di fare pressione su un'azienda affinché paghi prima che i dati rubati vengano pubblicati o venduti.

Questo approccio rispecchia quanto accaduto in altre organizzazioni durante l'anno. Gruppi come CMD hanno portato il copione dell'estorsione oltre, mettendo all'asta i dati rubati apertamente piuttosto che limitarsi a minacciare di divulgarli, mentre DARK PROJECT ha usato il suo sito di leak per nominare più vittime contemporaneamente come modo per massimizzare la pressione. Che gli aggressori di Kodak abbiano o meno mantenuto la minaccia di pubblicare l'intero dataset, il modello è lo stesso: ruba prima, poi usa l'esposizione pubblica come leva.

Parte di un Modello Più Ampio nel 2026

Né l'esposizione di 24 miliardi di credenziali né la violazione di Kodak sono avvenute in isolamento. Il 2026 ha visto un ritmo costante di incidenti su larga scala in vari settori e aree geografiche. Anche i sistemi governativi non sono stati risparmiati; le violazioni dei dati dei governi del Regno Unito e della Svizzera hanno interrotto le operazioni all'inizio di agosto, dimostrando che le organizzazioni del settore pubblico affrontano gli stessi rischi di esposizione delle aziende private. Sul fronte dei consumatori, una causa legale depositata per una violazione di giugno sostiene che fino a 2,4 miliardi di utenti TikTok hanno avuto i loro dati esposti, un'affermazione che, se accurata, si classificherebbe tra le più grandi violazioni mai segnalate.

Ciò che lega questi incidenti non è una causa unica, ma un insieme condiviso di debolezze sottostanti: database non protetti lasciati aperti su internet, credenziali riutilizzate tra servizi e aggressori che trattano sempre più i dati rubati come una merce da mettere all'asta, divulgare o riscattare piuttosto che semplicemente accumulare.

Cosa Significa Questo Per Te

La maggior parte delle persone non saprà mai con certezza se le proprie credenziali specifiche si trovavano in quel database di 24 miliardi di record, e Kodak non ha pubblicato un elenco completo di chi è stato colpito dalla sua violazione. Questa incertezza è parte del motivo per cui le fughe di dati del 2026 contano per gli utenti comuni, non solo per i reparti IT. Se la tua combinazione email e password è apparsa in qualsiasi violazione precedente, e ce ne sono state molte, c'è una reale possibilità che faccia parte di un dataset aggregato più grande che sta circolando proprio ora.

La risposta pratica non richiede panico. Richiede un'igiene di base che chiuda i percorsi di attacco più comuni: password uniche per ogni account, autenticazione multi-fattore dove offerta e controlli periodici per verificare se il tuo indirizzo email è comparso in violazioni note.

Suggerimenti Azionabili

  • Usa un gestore di password per generare e memorizzare password uniche per ogni account, così una credenziale trapelata da una violazione non può sbloccarne altre.
  • Abilita l'autenticazione multi-fattore su email, servizi bancari e qualsiasi account che contenga informazioni personali o finanziarie sensibili.
  • Controlla periodicamente i servizi di monitoraggio delle violazioni per vedere se il tuo indirizzo email è apparso in una fuga nota, inclusi grandi database aggregati come quello scoperto a giugno.
  • Tratta qualsiasi email di reset password inaspettata o avviso di accesso come un segnale per cambiare immediatamente la tua password, anche se non puoi confermare quale violazione li abbia innescati.
  • Rimani informato sulle fughe di dati in corso nel 2026 che coinvolgono aziende con cui fai affari, poiché le notifiche di violazione spesso arrivano settimane o mesi dopo l'incidente effettivo.

È improbabile che fughe di dati di questa portata rallentino nel 2026. Stare al passo non significa evitare ogni rischio, ma assicurarsi che quando si verifica una fuga, non si trasformi in un account compromesso o in un'identità rubata.