Un’altra settimana, un altro data breach massiccio. Anzi, diversi. Se state pensando ‘ma non succedeva così spesso’, avete ragione: nel 2025 le aziende quotate giapponesi hanno registrato 6 fughe di dati superiori al milione di record. Nel 2026? Siamo a quota 10, e l’anno non è nemmeno finito. Ottobre, giusto per darvi un’idea.
Solo nella prima settimana di ottobre il governo giapponese ha dovuto lanciare allerta su allerta: SkyTicket (14,6 milioni di account), Big Echo (8,7 milioni), Book Off (6,4 milioni), Lawson (2,1 milioni). Servizi che probabilmente usate. O usavate.
I numeri che non vorremmo vedere
Nel 2014 c’è stato Benesse, considerato all’epoca ‘il più grande breach della storia giapponese’. Quella scala — quella che sembrava eccezionale — è diventata la normalità del 2026. Le fughe da oltre 10 milioni di record? Tre casi in quattordici anni fino al 2025. Tre casi solo quest’anno.
E non parliamo solo di email e password. Parliamo di documenti d’identità. Times Car ha perso circa 1,6 milioni di immagini di patenti di guida. Talmente grave che l’agenzia finanziaria giapponese ha chiesto alle banche di smettere di usare le foto dei documenti per la verifica dell’identità.
Cosa esce, esattamente?
Nome, email, telefono: questi li trovate praticamente in ogni breach. Ma nel 2026 la situazione si è fatta più pesante. Carte d’identità, patenti, documenti fiscali — materiale che fino a ieri consideravamo troppo sensibile per finire online. Non lo è più.
Un terzo delle aziende coinvolte non ha nemmeno dichiarato come sia successo. Vulnerabilità dell’app, password rubate, ransomware, fornitori esterni compromessi. Cose su cui voi, come utenti, non avete alcun controllo.
Il puzzle si ricompone
Ogni breach vi toglie un pezzetto di informazione. Email da un lato, numero di telefono dall’altro, indirizzo da un terzo. Ma quando qualcuno inizia a collegare i puntini — stesso indirizzo email, stesso numero — il profilo si completa. Nome completo, data di nascita, indirizzo, numero di carta, datore di lavoro. Tutto.
Fonti diverse, una sola identità ricostruita. E da lì partono le truffe vere.
Come ti fregano (con i tuoi dati)
Arriva un’email. Mittente: il vostro provider internet. Oggetto: ‘Ci scusiamo per la fuga di dati’. Testo formale, loghi giusti, link a un modulo per ‘verificare se siete stati coinvolti’. Peccato che il provider in questione — nel caso di Interlink — non abbia mai subito un breach. Ma voi come fate a saperlo?
Oppure: state aspettando la conferma di una prenotazione su Booking.com. Vi arriva un messaggio WhatsApp. Nome corretto, numero di prenotazione corretto, date corrette. ‘C’è un problema con il pagamento, clicca qui’. Lo cliccate? Il 54% delle persone che hanno creduto a truffe telefoniche della polizia ha detto: ‘Sapevano tutto di me, sembrava vero’.
Volti e voci, tutto falso
Nel 2025 in Cina hanno arrestato un gruppo che usava deepfake video per impersonare agenti di polizia in videochiamate. A Hong Kong, un dipendente ha trasferito 25 milioni di dollari dopo una videoconferenza con il ‘CFO’ e altri ‘colleghi’, tutti generati con AI. In Italia, la voce clonata del ministro della Difesa ha convinto qualcuno a inviare un milione di euro.
L’autore del pezzo originale ha preso una singola foto statica — tipo quella nella pagina ‘il nostro team’ di un sito aziendale — e in 20 secondi ha generato un video realistico di una persona in videochiamata. Venti secondi.
Cosa aspettarsi nei prossimi mesi
Già adesso ci sono casi di chatbot AI di Meta ingannati per rubare account Instagram: almeno 20.000 notifiche inviate, e la vittima vera non riceve nulla. Nessun avviso, nessun alert. Si accorge quando è troppo tardi.
Stanno arrivando assistenti AI personali manipolati tramite prompt nascosti nelle email, chiamate automatizzate su scala industriale con voci sintetiche personalizzate per ogni vittima. Non fantascienza: roba da qui a sei mesi, forse meno.
Cosa potete fare voi (davvero)
Primo: cambiate il modo in cui decidete di fidarvi. Se qualcuno vi contatta — email, telefono, messaggio — e sa tutto di voi, non vuol dire niente. Andate voi sul sito ufficiale, dall’app ufficiale, dal numero sul retro della carta. Mai cliccare link ricevuti, mai usare numeri o QR code che vi mandano.
‘È urgente’, ‘non dica niente a nessuno’, ‘perderà il rimborso’: fermatevi. La polizia non chiama per soldi. Mai. Tantomeno in videochiamata.
Lista di sopravvivenza, in ordine di priorità
- Passkey o autenticazione a due fattori su email e account Google/Apple. Subito.
- Basta riutilizzare password. Usate un password manager, fine.
- Notifiche attive su carta e conto corrente.
- PIN di sicurezza sul contratto telefonico.
- Parola d’ordine segreta con i familiari.
Il caso Meta AI? Colpiti solo account senza autenticazione a due fattori. I punti 1 e 2 da soli vi proteggono dalla maggior parte dei furti d’identità basati su dati rubati.
Vi notificano un breach?
Se hanno preso la password: cambiatela ovunque l’avete usata. Ovunque. Se hanno preso il numero di carta: chiamate la banca. Se hanno preso indirizzo e telefono: ogni comunicazione che cita quella compagnia va trattata come sospetta per default. Se hanno preso documenti d’identità: andate sui siti delle centrali rischi (tipo CIC in Giappone) e registrate un alert antifrode sul vostro nome.
Gli account che non usate più? Cancellateli. I campi opzionali nei moduli? Lasciateli vuoti. Video con la vostra faccia o voce? Controllate chi può vederli.
Cosa fare
Non potete impedire i breach. Quello che potete fare è prepararvi in modo che, quando i vostri dati usciranno — non ‘se’, ‘quando’ — non possano farvi troppo male. Autenticazione forte, password uniche, verifiche manuali. Noia operativa, lo so. Ma è quello che abbiamo.
Ogni messaggio che arriva e sa tutto di voi: verificate da un canale diverso. Sempre. Anche se vi sentite paranoici. Perché dall’altra parte c’è gente che ha tutto il tempo, tutti i dati e, da quest’anno, anche facce e voci finte quanto basta.
