Andrea Innocenti Il dark web richiama l’immagine di un luogo occulto dove si trattano solo attività illegali, ma la sua struttura è più simile a un normale negozio online. Una password salvata in modo sconsiderato o un messaggio SMS che sembra provenire dal corriere possono far finire la tua identità digitale in vendita a prezzo di caffè.
Capire come nasce questa catena è fondamentale per non diventare una merce sul mercato nero.
Web di superficie, deep web e dark web: i tre livelli della rete
La rete si divide in tre strati distinti. Il web di superficie comprende le pagine indicizzate da Google, Bing e gli altri motori di ricerca, quelle che trovi con una ricerca comune.
Sotto questo livello si colloca il deep web, una porzione molto più ampia che include e-mail, home banking, fascicoli sanitari e intranet aziendali: non è illegale, è semplicemente protetto da password. Il dark web è un sottoinsieme del deep web; l’accesso richiede software appositi, come il browser Tor, che nasconde l’identità di chi visita e di chi pubblica contenuti, grazie a un percorso di rimbalzo attraverso server volontari e a una cifratura a più strati, simile a una cipolla.
Tor: dalle origini militari alle applicazioni civili
Il progetto Tor nasce negli anni ’90 nella Marina degli Stati Uniti, con l’obiettivo di proteggere le comunicazioni governative. Oggi è gestito dal Tor Project, un’organizzazione no-profit. L’anonimato non è di per sé un reato: giornalisti, attivisti e testate internazionali come la BBC e il New York Times utilizzano versioni .onion per raggiungere lettori in paesi censurati. Tuttavia, la stessa invisibilità lo rende il terreno ideale per mercati illegali.
Le vie d’accesso ai tuoi dati: violazioni, ransomware, infostealer e phishing
I dati che appaiono sul dark web non nascono lì. La maggior parte arriva da quattro canali principali. Le violazioni di database consentono a criminali di prelevare milioni di record da aziende, ospedali o enti pubblici, senza che le vittime se ne accorgano. Il ransomware a doppia estorsione cripta file e minaccia di divulgarli, mentre gli infostealer – malware installati in silenzio tramite aggiornamenti falsi o allegati – rubano password, cookie, numeri di carte e portafogli di criptovalute. Tra gennaio e giugno 2026, secondo Flashpoint, sono state raccolte 1,7 miliardi di credenziali da 7,4 milioni di dispositivi infetti. Infine, le truffe phishing tramite e-mail, SMS o telefonate fingono di essere banche o corrieri per sottrarre codici di sicurezza.
Il mercato clandestino: prezzi delle identità e caso BreachForums
Una volta trafugati, i dati entrano in una filiera che ricorda il commercio elettronico legale: mercati, forum, siti di “leak” gestiti da gruppi ransomware e gruppi su Telegram. Il più famoso è stato BreachForums, che nel ottobre 2025 è stato chiuso dall’FBI. A gennaio 2026, il sito ha diffuso i dati di circa 324.000 utenti, dimostrando che la chiusura di un mercato non lo estingue, ma lo sposta e lo frammenta. Il Dark Web Price Index 2026, pubblicato a luglio, indica che un’intera identità può essere acquistata per pochi dollari, poiché l’offerta supera la domanda. Una cartella clinica vale circa dieci volte una carta di credito, perché la prima è difficile da revocare.
Impatto in Italia: numeri dell’Osservatorio Cyber di CRIF e del CSIRT
L’Italia è uno dei principali bersagli. Nell’intero 2026, l’Osservatorio Cyber di CRIF ha rilevato 2,5 miliardi di dati univoci in circolazione sul dark web, posizionandosi al terzo posto al mondo dopo Stati Uniti e Francia. Il 32,3 % degli utenti monitorati ha ricevuto almeno un avviso di esposizione. Le informazioni più spesso trovate sono password, e-mail, nomi utente, numeri di telefono e cognomi. Gli account più a rischio appartengono a portali di annunci di lavoro (26,6 %), seguiti da social network (20,8 %) e forum (16,3 %). Le regioni con più segnalazioni sono Lombardia, Lazio e Sicilia. Dal lato delle indagini, il CSIRT Italia ha segnalato che nel 2025 l’infostealer LummaC2 ha sottratto oltre 940.000 credenziali italiane, seguito da RedLine con 634.000 e DcRat con 470.000.
Una volta che le informazioni sono state caricate su una piattaforma oscura, cancellarle diventa quasi impossibile: i pacchetti si duplicano e continuano a riapparire in nuove vendite per anni. Per verificare la propria esposizione è consigliabile controllare l’e-mail su Have I Been Pwned o richiedere un report ai servizi di informazione creditizia.