Data breach: «non sensibili» per chi?

Venerdì sera, alle 22:14 ora italiana, Chainalysis ha pubblicato sul suo blog una pagina dal titolo asciutto: informazioni su un incidente di sicurezza. Dentro c’era il testo della mail mandata ai clienti colpiti. Qualcuno era entrato nei suoi sistemi e nei suoi strumenti interni usando, parole loro, «tecniche agentiche offensive». Tradotto: agenti di intelligenza artificiale, cioè programmi che eseguono da soli compiti in più passaggi, usati per attaccare.

Chainalysis è un’azienda americana che analizza la blockchain, il registro pubblico delle transazioni in criptovaluta. I suoi strumenti li usano forze dell’ordine, agenzie governative, piattaforme di scambio di criptovalute e istituzioni finanziarie per seguire i soldi e indagare su frodi, riciclaggio e ransomware, i programmi che bloccano i dati di un’azienda per chiedere un riscatto.

Vorrei raccontarti come è avvenuto l’attacco. Non posso: Chainalysis non l’ha detto. Posso fare un’altra cosa, più utile per te: leggere la mail. Perché una mail così può arrivare anche nella tua casella, da un fornitore che quasi ti eri dimenticato di avere. E ogni parola, lì dentro, è stata scelta.

Cosa è successo

La pagina pubblicata il 30 ottobre ha due parti. In cima, un’introduzione per tutti: Chainalysis è stata di recente il bersaglio di un incidente informatico, «come molte altre piattaforme tecnologiche nelle ultime settimane», e sulla base dell’indagine fatta fin qui non ha trovato prove di accesso ai contenuti delle indagini, alle credenziali di accesso o ai token di sessione. Aggiunge di aver avvisato tutti i clienti e che l’incidente non c’entra con il recente furto di criptovalute subito da Binance.

Sotto, il testo integrale della mail ai clienti colpiti. Qui i dettagli sono di più. «Questo mese», scrive Chainalysis nella mail pubblicata il 30 ottobre, ha scoperto «un attore esterno» che usava tecniche agentiche offensive per entrare senza autorizzazione nei suoi sistemi e strumenti interni. Da allora i suoi gruppi lavorano giorno e notte per indagare, chiudere le falle e rinforzare le difese.

Cosa è stato letto: «alcuni dati non sensibili dei clienti», come identificativi degli utenti, nomi completi, indirizzi email ed etichette con il ruolo nell’organizzazione, per gli utenti registrati sulla piattaforma. Cosa, secondo le prove disponibili finora, non risulta letto: i contenuti delle indagini (grafici, note, casi), i risultati delle transazioni e delle ricerche, le password in chiaro, i segreti della verifica in due passaggi, i token di sessione. Chainalysis sta ancora stabilendo quali record di ogni organizzazione siano stati letti, e promette un dettaglio appena l’analisi sarà finita.

Poi le contromisure: esperti esterni, che la mail chiama «di livello mondiale», e «sofisticati modelli linguistici», cioè sistemi di intelligenza artificiale che leggono e scrivono testo, usati per una revisione più ampia della sicurezza della piattaforma. Infine le richieste ai clienti: restare «iper-vigili» davanti a richieste inattese di cambio password o di conferma dell’accesso, e attivare la verifica in due passaggi, se non l’hanno già fatto.

Un portavoce ha confermato l’incidente a BleepingComputer, testata specializzata in sicurezza informatica, che ha aggiunto un avviso per i clienti: diffidare di chi si spaccia per Chainalysis, soprattutto se offre di recuperare fondi o propone un lavoro. La notizia l’ha ripresa anche The Hacker News. Nessuna delle due ha potuto dire di più su come sono entrati: Chainalysis non ha detto quali vulnerabilità sono state sfruttate, quali strumenti interni sono stati raggiunti, per quanto tempo.

Chi segue le tracce dei criminali ne ha trovate di estranee in casa propria. Ha comunicato alcuni elementi; i dettagli tecnici dell’intrusione, per ora, restano fuori dalla pagina.

Cosa sono le «tecniche agentiche offensive»

Un agente AI è un’intelligenza artificiale che non si limita a rispondere: esegue compiti in più passaggi, con poco intervento umano. Cerca, prova, guarda il risultato, decide il passo dopo. Nelle mani di chi attacca, vuol dire automatizzare pezzi di un’intrusione che prima richiedevano una persona alla tastiera.

Non è un’ipotesi da convegno. Il 21 ottobre Microsoft ha descritto una campagna di Storm-0940, un gruppo legato allo Stato cinese, che almeno da settembre 2026 usava ARTEX, un sistema di agenti AI nato per i test di sicurezza, per automatizzare attacchi contro centinaia di organizzazioni nel mondo. In più casi, fra la scelta del bersaglio e l’accesso con privilegi elevati sono passate meno di tre ore. L’ho raccontata qui: Microsoft 365, l’attacco lo guida un agente AI. E a settembre era toccato a un istituto olandese di volontari che dà la caccia alle falle, violato da quello che lo stesso istituto ha descritto come un agente AI: la storia dei cacciatori di falle.

Microsoft, in quel rapporto, scrive una frase che vale la pena tenere a mente: gli agenti non hanno i limiti delle persone, lavorano giorno e notte, nei fine settimana e nei giorni di festa, e provano più strade d’ingresso nello stesso momento.

Nel caso di Chainalysis non si sa se sia stato usato ARTEX o un agente costruito apposta. BleepingComputer lo dice chiaramente: non è noto. L’espressione «tecniche agentiche offensive» descrive lo strumento. Non dice da quale porta è entrato, né chi lo guidava.

L’etichetta indica il tipo di strumento. Il percorso dell’attacco resta da chiarire.

La mail, riga per riga

Una premessa, perché è giusta. È una mail fatta meglio della media: dice che cosa è stato letto, chiede due cose precise, promette aggiornamenti e li lega a un’analisi ancora in corso. Proprio per questo è un buon esercizio: se impari a leggere una mail scritta bene, le altre le leggi da solo.

Una mail di data breach è un testo con due compiti. Informare, e insieme contenere la reazione di chi legge. Il secondo compito lo fanno le parole.

«Dati non sensibili»

Gli attaccanti hanno letto identificativi, nomi, indirizzi email e ruoli. Chainalysis li definisce «non sensibili», senza spiegare il criterio. Restano dati personali: dicono chi sei, dove lavori, cosa fai.

Ora guardali con gli occhi di chi vuole scriverti una mail falsa. Sa come ti chiami. Sa a quale indirizzo scriverti. Sa che lavori con Chainalysis e che ruolo hai nella tua organizzazione. È esattamente il materiale che serve per una mail credibile: il tuo nome giusto, il fornitore giusto, il tono giusto per il tuo ruolo. Interpol, presentando la sua campagna sulle truffe con i deepfake, cioè facce e voci falsificate con l’AI, ha detto che i vecchi segnali delle truffe, gli errori e i loghi storti, stanno sparendo: la truffa del CEO adesso ha la faccia del capo.

E nella stessa mail, poche righe dopo aver parlato di dati non sensibili, Chainalysis chiede di restare iper-vigili davanti alle richieste inattese di cambio password. Le due frasi stanno nello stesso testo. Il legame fra le due è una mia lettura, ma è difficile non vederlo.

«Non sensibile» è una classificazione di chi scrive. Per chi ti vuole ingannare, il tuo nome è un attrezzo: la password apre la porta, il nome convince te ad aprirla.

«Nessuna indicazione», «finora»

Due frasi della pagina cominciano allo stesso modo: «sulla base dell’indagine fatta fin qui», «sulla base delle prove disponibili finora». Quello che segue descrive lo stato dell’indagine, non lo stato delle cose. E la mail lo ammette poco dopo: Chainalysis sta ancora stabilendo quali record di ciascuna organizzazione sono stati letti.

È una formula corretta. Anzi, è l’unica onesta, quando un’indagine è aperta. Il rischio sta in chi legge: «non abbiamo trovato indizi di accesso» si può facilmente scambiare per «nessun accesso». È una scorciatoia comoda, e tocca a chi legge evitarla.

«Finora non risulta» e «non è successo» sono due frasi diverse. Nella mail c’è la prima.

La stessa pagina, due elenchi

C’è un dettaglio che si vede solo leggendo le due parti una accanto all’altra. L’introduzione pubblica dice che non risultano accessi alle «credenziali di accesso». La mail, più precisa, elenca invece le «password in chiaro», i segreti della verifica in due passaggi e i token di sessione.

«In chiaro» vuol dire scritte così come sono, leggibili. La mail cita espressamente le password in chiaro; l’introduzione parla più in generale di credenziali di accesso. La pagina non spiega come stanno insieme le due formulazioni, e da questa differenza non si può dedurre che siano state lette password conservate in altra forma. Può essere solo la precisione di chi scrive per dei tecnici. Ma se ricevi una mail così, chiedere è legittimo.

E un’altra piccola differenza: l’introduzione parla di «un incidente», al singolare; la mail di «questi incidenti», al plurale, e dice che alcuni clienti erano già stati avvisati prima. Il riassunto pubblico è scritto per chi guarda da fuori. La mail per chi ci è dentro.

«Come molte altre piattaforme»

La pagina si apre così: un incidente di sicurezza, «come molte altre piattaforme tecnologiche nelle ultime settimane». La mail rincara: «stiamo vedendo un aumento in tutto il settore degli attacchi informatici guidati dall’AI».

Probabilmente è vero. Il rapporto di Microsoft va nella stessa direzione, e BleepingComputer racconta la settimana come una sequenza di incidenti senza sosta. Ma in un testo una frase può essere vera e fare anche un altro lavoro. Mettere un incidente dentro un’ondata lo sposta da «quello che è successo a noi» a «quello che sta succedendo a tutti». È una forma di riprova sociale: se succede a tutti, sembra meno grave, e la colpa si spalma. Questa è la mia lettura, non un’intenzione dichiarata da Chainalysis. Ma è il modo in cui funzionano le parole, come ho scritto in Le parole creano la realtà.

Un’ondata è di tutti. Una violazione ha un indirizzo.

«Di livello mondiale», «sofisticati»

Gli esperti esterni sono «di livello mondiale». I modelli linguistici usati per la revisione sono «sofisticati». A mio parere quegli aggettivi lavorano sull’autorevolezza: ti dicono quanto è bravo chi se ne occupa, prima di dirti cosa ha trovato. E davanti a un problema che non si capisce, è facile appoggiarsi a chi sembra capirlo.

C’è anche un ribaltamento curioso. L’attacco è arrivato con l’intelligenza artificiale, e la difesa annunciata passa anche da lì. Agenti da una parte, modelli linguistici dall’altra. Chi legge resta in mezzo, con la sua casella di posta.

Gli aggettivi rassicurano. I numeri informano. Il dettaglio dei dati coinvolti, scrive Chainalysis, arriverà quando l’analisi sarà conclusa.

La stessa mail, da un altro mittente

Forse non hai mai sentito il nome Chainalysis, e va bene così. Pensa ai servizi online che usi per lavorare: il gestionale, il programma delle fatture, quello della newsletter, il CRM dove tieni i contatti. Ognuno conserva più o meno gli stessi dati che sono stati letti qui: il tuo nome, la tua email, il tuo ruolo. A volte quelli dei tuoi clienti.

Se gli agenti AI rendono gli attacchi più veloci e permettono di colpire più organizzazioni insieme, come descrive Microsoft, è ragionevole aspettarsi più violazioni, e quindi più mail come questa. Questa è una mia previsione, non un dato. Uno dei rischi da considerare, dopo, è una mail falsa che sfrutti quei dati, scritta come se arrivasse dall’azienda colpita. L’avviso riportato da BleepingComputer, diffidare di chi si spaccia per Chainalysis, va in quella direzione.

Il meccanismo, per come lo vedo, è semplice. La mail vera dell’azienda crea un’attesa: chi la riceve adesso aspetta aggiornamenti su quell’incidente. Chi truffa potrebbe sfruttare proprio quell’attesa, con una mail che parla dello stesso incidente, usa il tuo nome giusto e offre un link «per verificare il tuo account». La seconda mail, in quello scenario, si appoggia alla prima.

La violazione è il primo atto. Dopo, quei dati possono diventare il copione di un secondo, scritto da qualcun altro.

Come portarlo nel tuo lavoro

Quando una mail di data breach arriva a te, leggila come un testo persuasivo scritto nel momento peggiore. Cinque cose da fare, in quest’ordine.

1. Trasforma l’elenco dei dati letti in una frase: «con questi dati qualcuno può…». Nome, email e ruolo vogliono dire una mail falsa credibile a tuo nome. Un numero di telefono vuol dire una telefonata credibile.
2. Attiva la verifica in due passaggi su quel servizio, se non l’hai già: oltre alla password serve un codice che arriva sul telefono o da un’app. È una delle raccomandazioni esplicite di Chainalysis.
3. Ogni richiesta inattesa di cambio password o di conferma dell’accesso, verificala entrando direttamente nel servizio, con l’indirizzo scritto a mano, o chiedendo a un referente che conosci. I link del messaggio lasciali dove sono.
4. Le mail successive «sull’incidente» verificale con un canale che scegli tu: il numero del referente che hai già in rubrica, l’area clienti a cui entri da solo.
5. Fai per iscritto le domande che la mail lascia aperte. Quali dati della mia organizzazione, esattamente? Da quando a quando? E le password conservate in altra forma? Una risposta scritta vale più di dieci aggettivi.

E se un giorno la mail la devi scrivere tu? Se hai un’impresa in Europa, il GDPR, il regolamento europeo sulla protezione dei dati, ti dà già la scaletta. Non so se e come valga per Chainalysis, e qui non conta: conta per te. Se la tua impresa è titolare del trattamento, cioè decide perché e come usare quei dati, tocca a lei notificare la violazione all’autorità di controllo, in Italia il Garante per la protezione dei dati personali, senza ingiustificato ritardo e, se possibile, entro 72 ore da quando l’ha scoperta, a meno che sia improbabile che comporti rischi per le persone; se la notifica arriva dopo le 72 ore, va accompagnata dai motivi del ritardo. Se invece tratti quei dati per conto di un’altra organizzazione, il tuo compito è avvisare lei, senza ingiustificato ritardo. Se il rischio per le persone è elevato, il titolare deve avvisare anche loro, sempre senza ingiustificato ritardo, salvo alcune eccezioni previste dal regolamento, per esempio se i dati erano cifrati e quindi illeggibili per chi li ha presi.

E il regolamento dice anche come: con «un linguaggio semplice e chiaro», descrivendo la natura della violazione, indicando un contatto a cui chiedere, le misure prese o previste e soprattutto «le probabili conseguenze». Secondo me è la parte più utile per chi legge, e la più facile da lasciare implicita: cosa può succedere, adesso, a chi riceve la mail. Per la notifica al Garante, poi, il regolamento ammette che le informazioni arrivino in più fasi, se non sono tutte pronte, senza ulteriore ingiustificato ritardo. Un «non è ancora noto» detto chiaro vale più di un silenzio elegante.

Scrivila pensando a chi la riceve alle undici di sera, di venerdì. Vorrà sapere cosa rischia e cosa deve fare. Il resto è scenografia.

La cura che metti nelle parole quando vendi serve ancora di più quando devi dare una brutta notizia. Secondo me, una mail ricevuta nel momento peggiore può restare impressa molto più di una promozionale. E le parole piccole contano quanto le grandi: una frase d’informativa che cambia senso con tre parole l’ho raccontata in Gmail e la promessa con il «a meno che». Lì era una promessa, qui una rassicurazione: si leggono allo stesso modo.

Fidarsi è comodo. Leggere è il lavoro.

👉 Leggi anche: Infostealer: il ladro chiede all’AI quanto vali

Domande frequenti

Cos’è un data breach?

È una violazione dei dati personali. Il GDPR la definisce come una violazione di sicurezza che porta, per errore o per un’azione illecita, alla distruzione, alla perdita, alla modifica, alla divulgazione non autorizzata o all’accesso ai dati personali conservati o trattati. Nel caso di Chainalysis si tratta di accessi: qualcuno ha letto dati che non doveva leggere.

Cosa sono le «tecniche agentiche offensive» di cui parla Chainalysis?

Chainalysis non lo ha spiegato. In generale, «agentico» descrive sistemi di intelligenza artificiale che eseguono compiti in più passaggi con poco intervento umano: usati per attaccare, automatizzano parti dell’intrusione. Non si sa se nel caso di Chainalysis sia stato usato un sistema già noto come ARTEX o un agente costruito apposta.

Nome, email e ruolo sono davvero dati non sensibili?

Chainalysis li definisce così, senza spiegare il criterio. Restano dati personali, e per un truffatore possono essere il materiale per scriverti una mail credibile, con il tuo nome, il fornitore giusto e il tono adatto al tuo ruolo. Nella stessa mail Chainalysis chiede ai clienti di restare vigili davanti alle richieste inattese di cambio password.

Cosa devo fare se ricevo una mail di data breach?

Capisci quali dati sono stati letti e cosa si può fare con quelli, attiva la verifica in due passaggi, verifica le richieste inattese di cambio password o di conferma dell’accesso entrando direttamente nel servizio o contattando un referente che conosci, senza usare i link del messaggio, controlla ogni mail successiva con un canale che scegli tu e fai per iscritto le domande che restano aperte.

Chainalysis ha detto come sono entrati?

No. L’azienda non ha indicato quali vulnerabilità siano state sfruttate, quali strumenti interni siano stati raggiunti né per quanto tempo gli attaccanti abbiano avuto accesso. Ha detto che sta lavorando per correggere le vulnerabilità e rafforzare i sistemi, e ha promesso ai clienti aggiornamenti man mano che l’indagine va avanti.

Fonti

• Chainalysis, «Chainalysis Security Incident Information», 30 ottobre 2026
• BleepingComputer, «Chainalysis discloses data breach from “offensive agentic techniques”», 31 ottobre 2026
• The Hacker News, «Chainalysis Confirms Intrusion Into Internal Tools and Exposure of Customer Identity Data», 31 ottobre 2026
• Microsoft Security Blog, campagna di Storm-0940 con ARTEX, 21 ottobre 2026
• Regolamento (UE) 2016/679 (GDPR), articoli 4, 33 e 34, su EUR-Lex