AGI - Il Dark Web, il cui nome evoca un film di spionaggio, in realtà funziona come un normale negozio online. Una password salvata nel browser. Un programma scaricato dal sito sbagliato. Un SMS che sembrava arrivare dal corriere. Basta questo perché la nostra identità digitale finisca in vendita, insieme a quella di milioni di altre persone, al prezzo di un caffè, ma capire come è fatto è il primo passo per non diventarne la merce.
Il dark web è una porzione di internet raggiungibile solo con software dedicati, che rendono anonimi sia chi naviga sia chi pubblica. Per capirlo conviene immaginare la rete su tre livelli. Il primo è il web di superficie: le pagine che Google e gli altri motori di ricerca indicizzano e che troviamo con una normale ricerca. Sotto c'è il deep web, cioè tutto ciò che i motori non vedono: la casella di posta, l'home banking, il fascicolo sanitario, le intranet aziendali. È molto più vasto della superficie e non ha nulla di illecito. È semplicemente la parte di internet chiusa da una password.
Il dark web è un sottoinsieme del deep web, e qui le regole cambiano. Per entrarci serve un browser come Tor, acronimo di The Onion Router. Il traffico rimbalza attraverso più server gestiti da volontari, avvolto in strati di cifratura come gli strati di una cipolla, e nessun nodo conosce insieme mittente e destinazione. I siti hanno indirizzi che finiscono in .onion: stringhe di caratteri impossibili da ricordare, assenti dai motori di ricerca tradizionali.
La tecnologia nasce negli anni Novanta da una ricerca del Naval Research Laboratory della Marina statunitense, pensata per proteggere le comunicazioni governative. Oggi la gestisce un'organizzazione no profit, il Tor Project. L'anonimato, di per sé, non è un reato. Tor lo usano giornalisti, attivisti e dissidenti nei Paesi che censurano la rete, e testate come la BBC e il New York Times hanno una versione .onion proprio per raggiungere quei lettori.
Lo stesso anonimato, però, ha reso il dark web il luogo ideale per i mercati illegali. Droga, armi, documenti falsi e, sempre più spesso, una merce che riguarda tutti: i nostri dati personali.
I dati che circolano nel dark web non nascono lì. Vengono sottratti altrove, quasi sempre attraverso quattro strade che sono la violazione dei database, dove in pratica qualcuno entra nei sistemi di un'azienda, di un ospedale o di un ente pubblico e copia gli archivi dei clienti: nomi, indirizzi, telefoni, a volte documenti e dati sanitari. Una sola violazione può riguardare milioni di persone che non hanno commesso alcun errore.
Poi il ransomware a doppia estorsione. Gli infostealer sono la porta più trafficata. Sono malware che si installano in silenzio, spesso insieme a un programma craccato, a un falso aggiornamento o a un allegato, e copiano ciò che il browser conserva: password salvate, cookie di sessione, carte di pagamento, portafogli di criptovalute. Il bottino diventa un "log", un pacchetto con la vita digitale di una persona. Secondo Flashpoint, tra gennaio e giugno 2026 ne sono state raccolte così 1,7 miliardi di credenziali, da 7,4 milioni di dispositivi infetti.
E infine il phishing con email, SMS e telefonate che imitano banche, corrieri o uffici pubblici per farsi consegnare credenziali e codici.
Una volta sottratti, i dati entrano in una filiera che somiglia in modo inquietante al commercio elettronico legale. Le vetrine principali sono quattro: i mercati, i forum, i leak site delle gang ransomware e Telegram e le altre app di messaggistica che non sono dark web, ma ne sono diventati l'estensione naturale.
Chiudere un mercato non basta a spegnerlo. La parabola di BreachForums, il forum più noto per la compravendita di database, lo dimostra. Dopo il sequestro dei domini da parte dell'FBI nell'ottobre 2025, a gennaio 2026 sono finiti online i dati di circa 324.000 suoi utenti. Il mercato non scompare: si frammenta e si sposta.
Il dato più sorprendente è il prezzo. Secondo il Dark Web Price Index 2026 pubblicato a luglio, un'identità si compra per pochi dollari, perché l'offerta supera di gran lunga la domanda. Le cifre si riferiscono soprattutto al mercato statunitense e cambiano con la freschezza e la completezza del pacchetto. Una cartella clinica vale dieci volte una carta di credito per una ragione semplice: la carta si blocca e si sostituisce, la storia sanitaria no.
L'Italia è tra i bersagli preferiti di questo mercato. Secondo l’Osservatorio Cyber di CRIF, nel primo semestre 2026 nel dark web sono circolati 2,5 miliardi di dati univoci. Il nostro Paese è risultato terzo al mondo, dopo Stati Uniti e Francia, per numero di account sottratti dagli infostealer, e sesto per email e password compromesse. Tra gli utenti italiani seguiti dai servizi di protezione CRIF, quasi uno su tre (32,3%) ha ricevuto almeno un avviso per dati comparsi nel dark web.
Le informazioni trovate più spesso sono, nell'ordine, password, indirizzi email, nomi utente, numeri di telefono, nomi e cognomi. Gli account più esposti appartengono a portali di annunci di lavoro e siti di informazione (26,6%), seguiti dai social network (20,8%) e da forum e siti web (16,3%). Le regioni con più segnalazioni sono Lombardia, Lazio e Sicilia.
I numeri istituzionali vanno nella stessa direzione. Nel 2025, secondo il CSIRT Italia dell'Agenzia per la Cybersicurezza Nazionale, il solo LummaC2, l'infostealer più diffuso, ha sottratto oltre 940.000 credenziali appartenenti a soggetti italiani; seguono RedLine con 634.000 e DcRat con 470.000.
Un indirizzo email venduto a un dollaro sembra innocuo. Il valore nasce dalla combinazione: email, telefono, data di nascita e una vecchia password, incrociati tra più archivi, diventano il kit per colpire una persona precisa. Gli usi più frequenti sono il furto di account, la truffa su misura, il furto di identità e le frodi con le carte.
C'è poi il danno che non si vede. Un dato finito nel dark web non si può più cancellare perché viene copiato da un archivio all'altro e rimesso in vendita in nuove raccolte, anche a distanza di anni.
Togliere un dato dal dark web è impossibile. Si può però renderlo inutile e accorgersi in tempo di un abuso verificando, per esempio, il proprio indirizzo email su Have I Been Pwned, servizio gratuito che indica in quali violazioni note compare, o chiedere il proprio report ai sistemi di informazioni creditizie.