Il colosso belga della produzione di birra AB InBev, titolare di marchi globali come Corona, Budweiser e Stella Artois, si trova al centro di un presunto attacco ransomware con tanto di ricatto. A rivendicare l’operazione è la cybergang Emperador, un gruppo emergente nel panorama del cybercrime. I criminali informatici hanno formulato una richiesta di riscatto pari a dieci milioni di dollari in Bitcoin, corrispondenti a circa 8,9 milioni di euro, minacciando in caso contrario di diffondere circa 3,9 gigabyte di documentazione riservata.
Sebbene l’azienda non abbia rilasciato conferme ufficiali, i dettagli emersi sui siti di leak tracciano un quadro preciso del materiale sottratto. Il bottino comprenderebbe oltre tre gigabyte di file estratti dall’infrastruttura cloud Azure. Con circa 2.500 indirizzi e-mail aziendali, 19.000 registri di accesso a portali interni, i certificati della PKI aziendale e una vasta mole di registrazioni legate alle attività di monitoraggio di rete.
Nonostante la natura mirata dei dati, le dimensioni contenute del pacchetto informativo hanno spinto diversi analisti a ipotizzare che possa trattarsi del gesto di un ex dipendente, inteso a copiare un archivio privato prima dell’uscita dall’organizzazione per poi tentare di monetizzarlo.
Oltre la quantità: la reale pericolosità dei dati leggibili
Se analizzato attraverso i parametri classici dei fermi macchina o della paralisi dei sistemi, un attacco da meno di quattro gigabyte potrebbe sembrare un danno di entità limitata. La reale gravità dell’evento risiede tuttavia nella fruibilità delle informazioni esfiltrate, a partire dalla lista dei contatti interni e dai log di accesso che costituiscono la base perfetta per strutturare successive campagne di social engineering e phishing mirato verso il personale.
Ancora più critica è la potenziale esposizione dei certificati dell’infrastruttura a chiave pubblica, che rappresentano i veri e propri documenti d’identità con cui le applicazioni aziendali si riconoscono tra loro. Se insieme ai certificati fossero state sottratte anche le relative chiavi private, eventuali attori ostili potrebbero impersonare i sistemi legittimi dell’azienda. Azione che costringerebbe l’organizzazione a un’imponente operazione di revoca e riemissione di tutti i titoli di sicurezza. Questo dimostra come le tradizionali barriere perimetriche servano a poco di fronte a chi possiede accessi autorizzati, e come la vera protezione risieda nella capacità di rendere il file del tutto illeggibile una volta uscito dall’ambiente aziendale.
Il nuovo target del retail: dal furto di carte allo spionaggio industriale
Il caso AB InBev rispecchia una trasformazione profonda che sta interessando l’intero ecosistema della grande distribuzione e del largo consumo. I dati del report Verizon DBIR 2026 evidenziano come le violazioni confermate nel settore siano quasi raddoppiate in un solo anno, con quattro intrusioni su dieci veicolate dallo sfruttamento di vulnerabilità informatiche. Più che il blocco della produzione, l’obiettivo primario dei criminali si è progressivamente spostato verso la sottrazione di asset informativi interni come piani commerciali, listini e strategie, che figurano ormai nell’ottantaquattro per cento dei casi di violazione, a fronte di un forte incremento anche delle azioni volte allo spionaggio industriale.
Questo cambio di rotta trova una spiegazione diretta nella sicurezza applicata negli anni passati. Il settore retail ha infatti blindato in modo strutturale le informazioni relative alle carte di pagamento per adeguarsi agli standard internazionali di settore, spingendo gli attaccanti a concentrarsi sulle risorse rimaste leggibili come accordi con i fornitori, estrazioni dai sistemi di gestione clienti e calendari promozionali.
Scenari nazionali e insidie nella catena di fornitura
La medesima dinamica si riscontra nel panorama italiano, dove il Rapporto Clusit 2026 segnala una crescita del quarantadue per cento degli incidenti informatici gravi, con il comparto del commercio che sale al quinto posto tra i settori più colpiti nel Paese. Un esempio emblematico è rappresentato dall’attacco subito da Eataly, che ha visto esposti dati personali e storici d’acquisto dei clienti, lasciando invece protetti i dati di pagamento e le credenziali cifrate.
A complicare il quadro interviene la complessità della supply chain, dove l’interconnessione con fornitori, agenzie ed enti logistici allarga costantemente il perimetro di rischio. Incidenti recenti dimostrano come l’ingresso dei malintenzionati avvenga spesso attraverso soggetti terzi. Era accaduto a Marks & Spencer a causa della compromissione di un profilo utente legato a un fornitore esterno con danni milionari sull’utile operativo. Di recente c’è stato il caso dei supermercati francesi paralizzati da remoto a causa di vulnerabilità presenti nei software di gestione della refrigerazione forniti da terzi.
Cifratura del dato e compliance normativa tra NIS2 e GDPR
Per contrastare questo genere di minacce, l’architettura di sicurezza moderna si sta orientando verso soluzioni di protezione incentrate sul singolo documento, capaci di applicare algoritmi di cifratura avanzati nel momento stesso in cui il file viene generato. Questo approccio garantisce che la protezione segua il documento anche quando viene trasmesso a partner esterni o scaricato su dispositivi personali, permettendo all’azienda di mantenerne il controllo e di revocarne le autorizzazioni di lettura in qualsiasi momento.
Questo cambio di paradigma trova un preciso riscontro anche negli obblighi normativi. La direttiva europea NIS2 e il D.Lgs. 138/2024 includono espressamente la produzione e la distribuzione alimentare tra i settori critici, imponendo entro la scadenza del 31 ottobre 2026 l’adozione di rigorose politiche sulla cifratura dei dati e sulla sicurezza della catena di approvvigionamento, con responsabilità dirette in capo ai consigli di amministrazione. Inoltre, l’articolo 34 del GDPR esonera i titolari dall’obbligo di notifica agli interessati in caso di data breach se le informazioni sottratte erano state rese incomprensibili mediante cifratura, confermando come il furto di un dato protetto non rappresenti di per sé un danno per la riservatezza.
Le domande chiave per la governance aziendale
Di fronte all’evoluzione delle minacce evidenziata dal caso AB InBev, gli organi direttivi delle aziende del settore retail sono chiamati a valutare la propria postura di sicurezza attraverso quesiti molto concreti. I consigli di amministrazione devono chiedersi prima di tutto quali informazioni riservate stiano attualmente risiedendo su archivi cloud in formato leggibile per chiunque riesca a sottrarre una credenziale d’accesso.
In secondo luogo, diventa fondamentale verificare se l’organizzazione disponga degli strumenti per revocare l’accesso a documenti già condivisi con agenzie, distributori o personale uscente. Capire se effettivamente conosca con esattezza dove siano custodite le chiavi private dei certificati d’infrastruttura. In ultima analisi, la misura reale della preparazione aziendale non risiede più soltanto nel conteggio dei giorni di fermo operativo o dei gigabyte sottratti, ma nella consapevolezza di quanti file pubblicati da un gruppo ransomware risulterebbero effettivamente leggibili ed utilizzabili dai criminali.
