L'estorsione informatica ha aggiunto un capitolo. Diversi gruppi ransomware consolidati hanno iniziato a corredare la richiesta di riscatto con un documento nuovo: una valutazione legale, generata con strumenti di intelligenza artificiale, che elenca le sanzioni e le conseguenze normative a cui l'organizzazione colpita andrebbe incontro se la violazione diventasse pubblica.
La tecnica è efficace perché sposta il baricentro della trattativa. Non si tratta più soltanto di recuperare i dati cifrati: si tratta di evitare un'esposizione regolatoria quantificata, con riferimenti a GDPR, NIS2 e normative di settore, presentata in un formato che somiglia a un parere professionale.
La qualità di questi documenti è variabile e spesso deliberatamente esagerata. Ma la generazione automatica consente di produrli su misura per ciascuna vittima, tarati su giurisdizione, settore e tipologia di dati sottratti, con un costo marginale prossimo a zero. È la stessa economia di scala che l'AI porta ovunque, applicata alla pressione psicologica.
La contromisura non è tecnologica. È avere già in casa, prima dell'incidente, una valutazione autonoma e realistica della propria esposizione normativa: quali dati si trattano, dove, con quali basi giuridiche, quali obblighi di notifica scatterebbero e in quali tempi. Un'organizzazione che conosce la propria posizione non può essere ricattata con una stima gonfiata.
Vale anche l'inverso: chi non ha mai fatto quel lavoro si trova a doverlo improvvisare sotto ricatto, con orologio che corre e consulenti da ingaggiare in emergenza. È la condizione in cui questi gruppi contano di trovare le proprie vittime.