In Russia sono trapelati più database che in quattro regioni del mondo insieme
Una società russa di intelligence sulle minacce ha contato i database emersi pubblicamente in diciotto mesi ed è arrivata a due numeri che hanno viaggiato in fretta: 326 database russi trapelati e circa 1,18 miliardi di righe di dati. Entrambi sono veri. Misurano meno di quanto promettano i titoli, e la differenza vale la pena capirla ovunque si viva, perché gli stessi problemi di conteggio stanno in ogni rapporto sulle fughe di dati.
In breve
- F6 ha contato 326 pubblicazioni di database di aziende russe fra il 2025 e il primo semestre 2026, per circa 1,175 miliardi di righe.
- È quasi il doppio dei 164 casi registrati in America Latina, Medio Oriente e Africa, Asia-Pacifico e negli altri stati della CSI messi insieme.
- Europa e Nord America non compaiono nel confronto pubblicato, quindi «primo posto al mondo» è la formula dei titoli e non una classifica omogenea.
- Una riga non è una persona. La stessa persona compare in molte righe, e le righe vanno da un indirizzo email ai dati del passaporto e a una password di servizio.
Che cosa è stato contato
L'unità qui è una pubblicazione, non una violazione. F6 conta i database apparsi pubblicamente, su forum e canali dove si scaricano dati rubati, nel corso del 2025 e dei primi sei mesi del 2026. Un'azienda violata in silenzio i cui dati non sono mai stati pubblicati non entra affatto in questo conteggio. Il numero segue dunque ciò che è finito allo scoperto, non ciò che è stato rubato.
Mettete da parte i numeri russi e il resto del mondo studiato si distribuisce così: America Latina 33 per cento dei casi rilevati, Medio Oriente e Africa 29 per cento, Asia-Pacifico 8 per cento, restanti paesi della CSI 4 per cento. Ma il volume maggiore di righe non arriva dalla regione con più incidenti. All'Asia centrale spettano 257 milioni di righe, più di un terzo del totale mondiale, e quasi tutto da un solo paese: il Tagikistan vale circa 217 milioni di righe, l'84 per cento del totale centroasiatico, davanti al Kazakistan con 25 milioni e all'Uzbekistan con 15 milioni.
Tre cose che questi numeri non dicono
Questo pesa più della classifica e vale per qualunque statistica sulle fughe di dati leggerete quest'anno.
- Una riga non è una persona. Lo stesso individuo compare molte volte dentro un database e di nuovo in ogni altro che lo contenga. Sommare righe fra fughe diverse significa contare le stesse persone più volte.
- Le righe non valgono uguale. Una può contenere solo un indirizzo email, un'altra nome e cognome, un numero di passaporto e una password di servizio. Il totale non dice nulla di questa composizione.
- Le regioni non sono confrontate ad armi pari. La ripartizione pubblicata copre America Latina, Medio Oriente e Africa, Asia-Pacifico e paesi della CSI. Europa e Nord America non ci sono, quindi un primato mondiale con questi numeri non si stabilisce.
A che cosa lo attribuiscono i ricercatori
F6 collega la concentrazione di incidenti all'intensificarsi, durante il conflitto geopolitico, degli attacchi ad aziende e organizzazioni statali, con l'obiettivo di arrecare il massimo danno alle società e ai loro clienti più che di guadagnare sui dati. L'azienda segnala anche ciò che i numeri grandi coprono: nel primo semestre 2026 il numero di database russi pubblicati è calato, mentre l'intensità degli attacchi è rimasta, per sua stessa definizione, a un livello senza precedenti.
C'è una seconda spiegazione, che con gli attaccanti non c'entra, emersa nella copertura russa del rapporto e da tenere presente. Il volume dei dati trapelati segue il volume dei dati raccolti. Un paese in cui servizi pubblici, banche, telemedicina, consegne e car sharing sono tutti digitali e di uso diffuso conserva semplicemente più registrazioni personali di uno in cui quei servizi sono più rari, e c'è più da perdere in ogni direzione.
Che farsene di un numero così
Da fare
- Controllare i propri indirizzi con un servizio di ricerca nelle fughe, e ripeterlo ogni tanto anziché una volta sola.
- Cambiare qualsiasi password riutilizzata, a partire da email e banca: è esattamente a questo che servono le righe trapelate.
- Attivare l'autenticazione a due fattori ovunque esista, preferendo un'app o una chiave hardware all'SMS.
- Considerare definitivo un numero di passaporto finito in una fuga. A differenza di una password non si cambia, quindi resta solo sorvegliare i tentativi di uso.
Da non fare
- Leggere un numero di righe come un numero di persone, o sommare totali di rapporti diversi.
- Dare per scontato che un paese con cifre basse sia più sicuro. Forse ha solo meno servizi digitali o meno gente che conta.
- Aspettarsi che qui serva una VPN. I dati escono dal server di un'azienda, non dalla vostra connessione.
- Allarmarsi per una fuga anteriore alle password che usate oggi. Le righe vecchie pesano poco quando le credenziali dentro sono morte.
Alla questione VPN spetta una frase e non di più, perché la tentazione di allungarla è evidente. Un tunnel protegge il traffico in transito e nasconde su quale rete siete. Contro un database che sta sul server di un'azienda e contiene già il vostro nome non fa nulla, e qualunque servizio suggerisca il contrario vi sta vendendo qualcosa.
La lettura utile
In senso stretto il rapporto dice che i database russi hanno dominato le pubblicazioni pubbliche per diciotto mesi fra le regioni studiate, e che l'Asia centrale ha fornito una quota sproporzionata del volume grezzo partendo da pochi incidenti. In senso ampio ricorda che la dimensione di una fuga la decide quanto è stato raccolto prima. Ogni servizio che chiede la scansione del passaporto per verificare un account aggiunge righe al futuro totale di qualcuno, ed è su questo che vale la pena discutere finché resta una scelta progettuale e non ancora una notizia.
