Il paradosso del guardiano ladro
Non capita tutti i giorni di vedere un'azienda che vende protezione DDoS trasformarsi, di fatto, in un attore offensivo. Eppure, secondo un'inchiesta di KrebsOnSecurity, è esattamente ciò che ha fatto una società brasiliana il cui nome — per ora — rimane coperto da un velo di discrezione giornalistica. L'azienda, specializzata nella difesa da attacchi di negazione del servizio, è stata trovata al centro di un botnet responsabile di massicci attacchi contro altri operatori di rete brasiliani. In altre parole: vendeva armi per fermare le sparatorie, ma ne stava organizzando una.
La spiegazione del CEO? Un presunto breach interno, probabilmente orchestrato da un competitor. Una narrazione comoda, certo. Ma anche una che apre più domande di quante ne chiuda: come fa un fornitore di sicurezza a non accorgersi che la sua infrastruttura viene usata per attaccare? E soprattutto: come mai nessun controllo di terze parti ha intercettato anomalie di traffico su scala così ampia?
Non si tratta di un caso isolato. L'ecosistema tecnologico brasiliano sta mostrando crepe strutturali. Secondo l'IBM Cost of a Data Breach Report, il costo medio di una violazione dati in Brasile è di 4,44 milioni di dollari — il più alto al mondo, superiore alla media globale. Il 53% delle organizzazioni locali ammette carenze di competenze in cybersecurity. Un dato che non riguarda solo le piccole imprese, ma filtra anche nei fornitori che dovrebbero garantire protezione.
LofyGang e la cultura del malware low-effort
Nello stesso periodo, The Hacker News riporta il ritorno del LofyGang, un gruppo brasiliano noto per attacchi rudimentali ma efficaci. Il loro strumento preferito? LofyStealer, un malware progettato per sfruttare la popolarità di Minecraft tra i più giovani. Attraverso falsi launcher e mod, il malware ruba credenziali, sessioni di gioco e informazioni di pagamento.
Non è sofisticato. Non serve. Il target è un pubblico giovane, poco esperto, spesso su dispositivi non gestiti. Il modello operativo è chiaro: massima diffusione, minimo sforzo. Ma il successo di LofyGang rivela un problema più ampio: l'assenza di una cultura digitale difensiva, anche tra chi dovrebbe insegnarla.
Difendere il guardiano
Il caso dell'azienda DDoS solleva un interrogativo cruciale: possiamo fidarci dei nostri fornitori di sicurezza? E se il rischio non viene da fuori, ma da dentro — magari travestito da incidente — come lo riconosciamo?
I dati sono chiari. Secondo il CrowdStrike Global Threat Report 2026, l'implementazione di un monitoraggio continuo riduce il dwell time medio degli attaccanti dell'80%. Ma questo richiede strumenti, competenze e — soprattutto — volontà di vedere ciò che si preferirebbe ignorare.
La lezione non è solo tecnica. È organizzativa. Le aziende devono condurre valutazioni di rischio approfondite sui fornitori, anche — e soprattutto — su quelli che vendono sicurezza. Un fornitore che non permette audit, che non ha trasparenza sugli incidenti, o che attribuisce ogni anomalia a sabotaggi esterni senza prove, è un campanello d'allarme.
E poi c'è il tema della risposta agli incidenti. Un piano di incident response che non contempla minacce interne, sabotaggi industriali o collusioni con attori esterni è un piano incompleto. Le procedure di escalation devono essere chiare, indipendenti e testate. Non quando succede, ma prima.
Il Brasile non è l'unico Paese con problemi di cybersecurity. Ma sta diventando un laboratorio a cielo aperto di come le fragilità si accumulano quando competenza, regolamentazione e controllo mancano in modo sistematico. E quando il costo di un breach supera i 4 milioni di dollari, forse è il caso di smettere di inseguire quel numero — e iniziare a chiedersi perché continua a salire.