Operazione First Light: 5.811 arresti e una lezione per ogni azienda
INTERPOL ha intercettato 293 milioni di dollari e bloccato oltre 31.000 conti. Ma il dato più importante non è economico: il cybercrime continua a sfruttare fiducia, urgenza e processi aziendali fragili.
Alchimie DigitaliCybersecurityAggiornato ad agosto 2026Tempo di lettura: 9 minuti
Quando leggiamo di migliaia di arresti e centinaia di milioni di dollari sequestrati, la prima reazione può essere quella di pensare che sia stato inferto un colpo definitivo al cybercrime. L’operazione First Light racconta invece quanto le frodi digitali siano diventate attività transnazionali organizzate, sostenute da infrastrutture tecnologiche, reti finanziarie e procedure operative strutturate.
INTERPOL ha pubblicato i risultati dell’operazione First Light 2026, condotta tra il 15 gennaio e il 30 aprile con la collaborazione delle forze di polizia di 97 Paesi e territori. L’attività si è concentrata sulle frodi basate sul social engineeringTecniche di manipolazione che sfruttano fiducia, urgenza, paura o autorevolezza per indurre una persona a compiere un’azione. e sulle successive operazioni di riciclaggio.
5.811persone arrestate
97Paesi e territori
$293 mlnbeni intercettati
31.014conti bloccati
142.000+vittime identificate
Non è soltanto cybercrime: è un’economia criminale organizzata
Dietro molte campagne esistono strutture che gestiscono acquisizione delle vittime, costruzione di identità false, comunicazioni, trasferimento del denaro, riciclaggio e conversione degli importi in criptovalute.
Business Email Compromise: alterazione o imitazione delle comunicazioni tra aziende, fornitori e dirigenti.
Truffe sugli investimenti: piattaforme apparentemente affidabili, rendimenti promessi e pressioni a investire rapidamente.
Romance scam e sextortion: costruzione di relazioni emotive o minaccia di diffondere contenuti personali.
Impersonificazione: falsi rappresentanti di banche, enti pubblici, forze dell’ordine o società conosciute.
Money mule e riciclaggio: uso di conti bancari, wallet ed exchange per disperdere rapidamente i fondi.
Insight di Alchimie Digitali
Molte frodi non iniziano con la violazione tecnica di un sistema, ma con la violazione di un processo decisionale. Le persone diventano vulnerabili quando vengono lasciate sole davanti a richieste ambigue, senza procedure, formazione e possibilità di verifica.
Il cybercrime attacca la fiducia
Il social engineering sfrutta meccanismi umani ricorrenti: fretta, paura, autorevolezza, curiosità, desiderio di aiutare e difficoltà nel contraddire un superiore. Una comunicazione fraudolenta può apparire perfettamente coerente con il contesto aziendale.
Un esempio concreto: una fattura autentica viene replicata, l’IBAN viene sostituito e il documento viene inviato nuovamente all’amministrazione. La fattura esiste, il fornitore esiste, l’importo è corretto e la scadenza è plausibile. L’unico elemento modificato è il conto sul quale viene effettuato il pagamento.
Business Email Compromise: la frode entra nei processi amministrativi
Il Business Email CompromiseFrode nella quale un criminale impersona un dirigente, un fornitore o un partner per ottenere pagamenti o informazioni., spesso abbreviato in BEC, è una delle tecniche più rilevanti per le imprese. Gli attaccanti raccolgono informazioni sull’organizzazione, sui fornitori, sui responsabili e sulle abitudini di pagamento.
La sequenza dell’operazione
15 gennaio 2026Avvio dell’operazione coordinata a livello internazionale.
Gennaio–aprile 2026Analisi dei casi, identificazione dei sospettati, blocco dei conti e cooperazione tra le forze di polizia.
30 aprile 2026Conclusione della fase operativa.
9 luglio 2026INTERPOL pubblica i risultati ufficiali dell’operazione.
I-GRIP: nel contrasto alle frodi il tempo è decisivo
Uno degli strumenti utilizzati durante l’operazione è I-GRIPGlobal Rapid Intervention of Payments: meccanismo INTERPOL per facilitare il blocco rapido di flussi finanziari illeciti.. Dopo l’esecuzione di un pagamento fraudolento, il denaro può essere spostato rapidamente attraverso conti, società intermediarie, money mule, exchange e conversioni tra differenti criptovalute.
In caso di frode finanziaria, riconoscere immediatamente l’incidente e attivare una procedura di risposta può essere importante quanto la prevenzione.
Cosa dovrebbe fare concretamente un’azienda
Verificare gli IBAN
Ogni variazione bancaria dovrebbe essere confermata attraverso un canale diverso da quello usato per comunicarla.
Doppia autorizzazione
I pagamenti rilevanti o anomali dovrebbero richiedere il controllo di una seconda persona.
Proteggere le e-mail
MFA, controllo degli accessi, DMARC, DKIM e SPF riducono il rischio di compromissione e impersonificazione.
Formare il personale
La formazione deve utilizzare esempi realistici e coerenti con le mansioni effettive.
Gestire gli incidenti
Le persone devono sapere chi contattare immediatamente quando rilevano una possibile frode.
Conservare le evidenze
Messaggi, header e-mail, log, ricevute e riferimenti bancari possono risultare essenziali.
Domande frequenti
Che cos’è l’operazione First Light di INTERPOL?
È un’operazione internazionale contro le frodi basate sul social engineering e le attività di riciclaggio collegate. L’edizione 2026 ha coinvolto 97 Paesi e territori.
Che cos’è il Business Email Compromise?
È una frode nella quale i criminali impersonano un dirigente, un fornitore o un soggetto attendibile per indurre un’azienda a effettuare pagamenti o comunicare informazioni riservate.
Che cos’è I-GRIP?
I-GRIP, Global Rapid Intervention of Payments, è il meccanismo di INTERPOL che facilita il blocco rapido dei flussi finanziari illeciti.
Come può proteggersi un’azienda dalle frodi BEC?
Con procedure indipendenti di verifica degli IBAN, autenticazione multifattore, doppia autorizzazione dei pagamenti, formazione, monitoraggio degli account e un piano di risposta agli incidenti.
La tua azienda saprebbe riconoscere e gestire una frode digitale?
Alchimie Digitali affianca imprese e organizzazioni nella valutazione del rischio cyber, nella protezione dei sistemi, nella formazione del personale e nella definizione di procedure concrete per prevenire e gestire gli incidenti.
Contenuto editoriale elaborato a partire da fonti pubbliche e istituzionali. I dati numerici riportati fanno riferimento al comunicato INTERPOL sull’operazione First Light 2026.
Aggiornato al 17 luglio 2026 — Tempo di lettura stimato: 8 minuti
Sovranità dei dati nel cloud: perché passare a OneDrive non basta
No, passare da Google Drive a OneDrive non risolve il problema della sovranità dei dati nel cloudIl principio secondo cui i dati di un'azienda o di una persona restano soggetti alla giurisdizione e alla legge del Paese in cui vengono trattati, indipendentemente da dove sono fisicamente conservati i server.: Microsoft, come Google, è una società americana soggetta al CLOUD Act, quindi la giurisdizione a cui i tuoi dati sono esposti resta la stessa, cambia solo il fornitore.
Questo articolo nasce da una notizia molto concreta. Dal 7 luglio 2026 Google conta anche SMS, cronologia chiamate e impostazioni del dispositivo nei suoi 15GB gratuiti, non solo foto, video e MMS come accadeva finora.
L'aumento medio dichiarato da Google è di circa 40MB per utente. Quindi, per la maggior parte delle persone, l'impatto pratico è minimo. Proprio per questo, però, in questi giorni circola un consiglio molto diffuso: se paghi già Microsoft 365, sposta il backup di foto e video su OneDrive, che include 1TB di spazio. È un consiglio ragionevole sul piano economico. Ma, come anticipato, non risolve il problema di fondo, ed è questo il punto che vale la pena chiarire.
40MBaumento medio del backup Android
15GBspazio gratuito Google Account
1TBspazio incluso in Microsoft 365 Personal
2018anno di entrata in vigore del CLOUD Act
Cosa cambia davvero nel backup Android di Google
Fino a pochi giorni fa, il backup Android salvava foto, video, SMS, cronologia chiamate e impostazioni del dispositivo. Ma solo le prime due categorie, insieme agli allegati MMS, venivano conteggiate nello spazio da 15GB. Con il nuovo aggiornamento, invece, tutte le categorie iniziano a contare nello stesso spazio condiviso con Gmail e Google Photos.
In parallelo, Google ha introdotto anche nuovi interruttori granulari. Si trovano in Impostazioni, poi Account e backup, poi Backup Google. Da lì puoi scegliere se includere SMS e MMS, cronologia chiamate e impostazioni del dispositivo, oltre al controllo già esistente per singola app.
Per chi si occupa di analisi forense su dispositivi Android, questo secondo aspetto conta più del primo. Infatti, se un utente può escludere selettivamente intere categorie dal backup, allora in fase di acquisizione non si può più dare per scontato che tutto il contenuto del telefono sia recuperabile anche da remoto.
Il consiglio pratico: spostare i backup su OneDrive
Chi paga già Microsoft 365 Personal ha già incluso 1TB di spazio OneDrive nel prezzo dell'abbonamento. Il confronto con i 15GB gratuiti di Google, ora condivisi anche col backup Android, è netto. Per questo, disattivare il backup foto su Google Photos e spostarlo su OneDrive è una scelta sensata sul piano economico, soprattutto se l'account è personale e quello spazio è già pagato e sottoutilizzato.
Google Account
15 GB
OneDrive (M365)
1024 GB
Spazio gratuito Google Account confrontato con lo spazio incluso in Microsoft 365 Personal, in scala reale: la differenza è di oltre 68 volte.
Detto questo, vale la pena essere precisi: cosa risolve davvero questo spostamento, e cosa no?
Il nodo che nessun cambio di provider americano risolve
Microsoft, esattamente come Google, è una società soggetta alla giurisdizione statunitense. Di conseguenza, entrambe rientrano nel campo di applicazione del CLOUD ActLegge federale USA del 2018 che obbliga qualunque provider cloud americano a consegnare alle autorità USA i dati richiesti, indipendentemente dal Paese in cui quei dati sono fisicamente archiviati., la legge federale del 2018 che obbliga i provider cloud americani a consegnare dati alle autorità USA. Non importa dove questi dati siano fisicamente conservati. Un file su OneDrive salvato in un datacenter europeo resta quindi nella disponibilità di una società americana, tanto quanto lo stesso file su Google Drive.
Abbiamo ricostruito questo conflitto nel dettaglio nel nostro approfondimento su Big Tech e accesso governativo USA ai dati nei datacenter europei. In sintesi: il CLOUD Act prevale sulla localizzazione fisica del dato. L'articolo 48 del GDPRRegolamento europeo sulla protezione dei dati personali. L'articolo 48 stabilisce che le richieste di un'autorità di un Paese terzo sono eseguibili solo se basate su un accordo internazionale riconosciuto, come un trattato di mutua assistenza giudiziaria., invece, richiede che qualunque richiesta di un'autorità di un Paese terzo si basi su un accordo internazionale riconosciuto. Un accordo di questo tipo tra USA e UE, però, non esiste ancora. Perciò il provider americano resta stretto tra due obblighi che si contraddicono a vicenda, che si chiami Google, Microsoft o Amazon.
In altre parole: cambiare da Google Drive a OneDrive sposta un problema reale, quello di costo e di spazio disponibile. Ma lascia intatto il problema giuridico di fondo, che riguarda la giurisdizione del fornitore, non il marchio del servizio scelto.
Aspetto
Google Drive
OneDrive (Microsoft 365)
Cloud sovrano europeo
Spazio incluso
15GB gratuiti, condivisi con Gmail e backup Android
1TB con Microsoft 365 Personal
Variabile, dipende dal fornitore
Giurisdizione della società
Stati Uniti
Stati Uniti
Unione Europea
Soggetto al CLOUD Act
Sì
Sì
No, se l'entità è realmente separata dalla casa madre USA
Esempi concreti
Google Drive, Google Workspace
OneDrive, Microsoft 365
S3NS (Thales, Francia), T-Systems (Germania)
Adatto per
Uso personale, dati non sensibili
Uso personale o aziendale, dati non sensibili
Dati aziendali sensibili, obblighi di compliance
Quando la differenza conta davvero
Per l'uso personale, foto delle vacanze, video di famiglia, backup del telefono, questa distinzione ha un peso limitato. Nessuna delle due aziende, infatti, prende di mira un utente privato senza una ragione specifica, e il rischio concreto resta basso per la maggior parte delle persone.
Cambia molto, invece, per chi gestisce dati aziendali: documenti contrattuali, informazioni di clienti, materiale rilevante ai fini GDPR. In questi casi la domanda giusta non è quanto spazio costa un servizio cloud. È sotto quale giurisdizione opera davvero il fornitore, e se esistono misure contrattuali aggiuntive, come la cifratura lato client con chiavi gestite dal cliente, che riducono l'esposizione anche restando su un provider americano. Per i dati più sensibili, esistono anche alternative europee certificate, come la joint venture S3NS tra Thales e Google in Francia, con qualifica ANSSI SecNumCloud, o la partnership tra T-Systems e Google in Germania: entità legalmente separate dalla casa madre americana, pensate proprio per rimuovere il criterio del controllo su cui si basa il CLOUD Act.
Domande frequenti
Passare da Google Drive a OneDrive risolve il problema del CLOUD Act?
No. Microsoft, come Google, è una società soggetta alla giurisdizione statunitense, quindi rientra nel campo di applicazione del CLOUD Act indipendentemente da dove siano fisicamente i suoi datacenter. Cambiare provider americano non cambia la giurisdizione a cui il fornitore è soggetto.
Ha senso comunque spostare i backup su OneDrive?
Per l'uso personale sì, se si paga già un abbonamento Microsoft 365 che include 1TB di spazio altrimenti inutilizzato: è una scelta economicamente sensata. Non è invece una misura di compliance per chi tratta dati aziendali sensibili.
Quali dati Android sono ora conteggiati nello spazio Google?
Dal 7 luglio 2026 tutte le categorie visibili nelle impostazioni di backup Android contano nello spazio cloud: oltre a foto, video e MMS già conteggiati in precedenza, si aggiungono SMS, cronologia chiamate e impostazioni del dispositivo.
Cosa può fare un'azienda per ridurre davvero il rischio, indipendentemente dal provider?
Valutare soluzioni con cifratura lato client e gestione delle chiavi affidata al cliente, considerare fornitori con qualifiche di cloud sovrano europeo per i dati più sensibili, come S3NS in Francia o T-Systems in Germania, e in generale condurre una valutazione del rischio specifica per la propria attività prima di scegliere dove archiviare i dati aziendali.
Le persone chiedono anche
Il backup Android su OneDrive esiste come opzione nativa?
No, il backup di sistema Android integrato resta legato all'Account Google. Su OneDrive si possono spostare manualmente foto e video tramite l'app OneDrive, disattivando il backup automatico di Google Photos, ma SMS, chiamate e impostazioni di sistema restano gestiti dal meccanismo di backup nativo Android, quindi da Google.
Anche i dati già in cifratura client-side restano soggetti al CLOUD Act?
Il CLOUD Act stesso non impone la decifratura dei dati, ma resta comunque applicabile alla società fornitrice. Con una cifratura lato client dove il provider non detiene le chiavi, il fornitore può ricevere l'ordine ma non è nella condizione tecnica di consegnare dati leggibili, il che riduce concretamente l'esposizione pur non eliminando la questione giurisdizionale di fondo.
Servizi correlati
Se la tua azienda sta valutando l'esposizione dei propri dati cloud, questi sono i percorsi con cui Alchimie Digitali può aiutarti concretamente.
La tua azienda sta valutando dove archiviare davvero i propri dati? Alchimie Digitali supporta le imprese nella valutazione del rischio cloud e nell'adeguamento GDPR, indipendentemente dal fornitore scelto.
Ransomware e intelligenza artificiale: cosa insegna il caso JADEPUFFER
Cybersecurity aziendaleLettura: 10 minutiAggiornato: 14 luglio 2026
Il 1° luglio 2026 la società di sicurezza Sysdig ha documentato JADEPUFFER, il primo caso conosciuto di ransomware condotto interamente da un agente di intelligenza artificiale, dalla ricognizione iniziale fino all'estorsione, senza un operatore umano al comando delle singole fasi. Non è uno scenario ipotetico né un titolo gonfiato per fare clic: è un'analisi tecnica con codice, timestamp e indicatori di compromissione verificabili, e probabilmente il caso di ransomware intelligenza artificiale più discusso del 2026 finora.
In breve
Un agente AI ha sfruttato una falla nota in un server aziendale esposto su internet, ha rubato credenziali, si è spostato lateralmente nella rete e ha cifrato oltre mille voci di configurazione di un database, il tutto in modo autonomo e in una manciata di ore. Non riguarda solo le grandi multinazionali: il bersaglio finale aveva una vulnerabilità del 2021 mai corretta, lo stesso profilo di rischio comune a molte PMI italiane.
Il caso JADEPUFFER, documentato da Sysdig, è il primo ransomware condotto in autonomia da un agente AI.
Cosa è successo, in sintesi
Il gruppo di ricerca di Sysdig ha ricostruito un'operazione che ha soprannominato JADEPUFFER. Il punto di accesso è stato Langflow, un framework open source molto diffuso per costruire applicazioni basate su modelli linguistici, esposto su internet e vulnerabile a una falla nota (CVE-2025-3248) che permette l'esecuzione di codice da remoto senza autenticazione.
Da lì, l'agente AI ha agito in autonomia. Ha raccolto credenziali e chiavi API dal server compromesso, si è spostato lateralmente nella rete e ha individuato un secondo server di produzione con un database MySQL e un servizio di configurazione Nacos. Ha quindi sfruttato una vulnerabilità di autenticazione del 2021 rimasta senza patch, ha creato un account amministratore fasullo, ha cifrato 1.342 elementi di configurazione e infine ha cancellato le tabelle originali, lasciando una richiesta di riscatto in Bitcoin. Tutto questo, riporta Sysdig, senza intervento umano nelle singole azioni operative.
Come si è svolto l'attacco, passo dopo passo
1Accesso via falla in Langflow esposto su internet
2Furto di credenziali e chiavi API
3Spostamento laterale verso un secondo server
4Falla di autenticazione su Nacos del 2021
5Cifratura di 1.342 configurazioni
6Cancellazione dati e richiesta di riscatto
Perché questo caso è diverso dai ransomware che conosciamo
Le tecniche usate da JADEPUFFER non sono nuove: sfruttare vulnerabilità note, rubare credenziali, muoversi lateralmente in una rete sono comportamenti già visti molte volte. Ciò che cambia è chi le ha eseguite e quanto in fretta. Sysdig porta quattro elementi a sostegno della sua valutazione.
Il codice si spiega da solo
I payload catturati contengono commenti in linguaggio naturale che spiegano il ragionamento dietro ogni azione, la priorità assegnata ai bersagli, la scelta di quale database "vale di più" da colpire. Un operatore umano difficilmente annota così un comando usa e getta: è invece un comportamento tipico del codice generato da un modello linguistico.
Corregge gli errori in pochi secondi
Il dato più concreto riguarda la velocità di adattamento. In una sequenza documentata, un tentativo di creare un account amministratore fallisce; trentuno secondi dopo, senza alcun intervento umano, arriva un payload correttivo che individua la causa del problema, la risolve e ricrea l'account con successo.
31 sec.Il tempo impiegato dall'agente AI per diagnosticare un errore di accesso, correggerlo e riuscire ad autenticarsi, senza alcun intervento umano.
La sequenza in dettaglio
Orario (UTC)
Cosa succede
19:34:24
Viene creato un account amministratore con una password cifrata
19:34:36
Il tentativo di accesso fallisce
19:34:48
Il sistema prova in parallelo due possibili cause del problema
19:35:07
Arriva la correzione: causa identificata e risolta
19:35:18
L'accesso riesce
Fonte: Sysdig Threat Research Team, report JADEPUFFER, 1° luglio 2026.
Capisce il contesto, non solo i comandi
Nel corso dell'operazione l'agente ha dimostrato di comprendere informazioni testuali libere trovate durante l'esplorazione dei sistemi, agendo di conseguenza in un modo che, secondo Sysdig, ha senso solo se quel testo è stato effettivamente letto e interpretato, non semplicemente riconosciuto da uno scanner automatico.
Seicento azioni coerenti in una finestra compressa
Complessivamente sono stati eseguiti oltre 600 payload distinti e mirati in un lasso di tempo ristretto: una coerenza e un volume che, secondo Sysdig, difficilmente sono compatibili con uno script fisso o con un operatore umano che digita in tempo reale.
Ransomware tradizionale
Ransomware guidato da un agente AI
Serve un operatore che scriva e adatti manualmente lo script
Il codice viene generato e corretto in autonomia durante l'attacco
Il "sapere fare" è nel modello, non nella persona che lo aziona
Costo operativo legato al tempo umano impiegato
Costo che si avvicina a quello del solo utilizzo dell'agente
Volume di azioni limitato dalla velocità umana
Oltre 600 payload distinti in una finestra compressa
Il parallelo con il phishing generato dall'AI che vediamo già oggi
Non è la prima volta che l'intelligenza artificiale entra in un attacco informatico, e su questo vale la pena essere precisi per non creare confusione. Le email di phishing sempre più credibili che riceviamo, spesso scritte in un italiano corretto e senza gli errori grossolani che un tempo le tradivano, sono quasi certamente generate con l'aiuto di un modello linguistico. In quel caso, però, l'AI resta uno strumento nelle mani di una persona: qualcuno sceglie il bersaglio, prepara la campagna, decide quando lanciarla.
JADEPUFFER mostra qualcosa di diverso: oggi è tecnicamente possibile togliere anche quella persona dall'equazione, lasciando che sia l'agente stesso a decidere bersaglio, strategia e correzioni in corsa. Non significa che da domani ogni attacco funzionerà così. Significa che la strada è stata percorsa almeno una volta, documentata, e che il costo per ripeterla è sceso quasi a zero per chi ha accesso a un agente AI e a credenziali rubate.
Perché riguarda anche le aziende italiane, non solo le multinazionali
Un dettaglio del caso JADEPUFFER è particolarmente rilevante per le PMI: il bersaglio finale non era un colosso tecnologico, ma un server esposto su internet con un software di configurazione (Nacos) che aveva una vulnerabilità nota dal 2021 e una chiave di firma di default mai cambiata. Non serviva una tecnica sofisticata, serviva solo che nessuno avesse aggiornato o messo in sicurezza quel sistema.
È esattamente il profilo di rischio più comune tra le aziende italiane di medie e piccole dimensioni: sistemi esposti per comodità operativa, credenziali di default mai sostituite, server AI o applicativi montati in fretta senza controlli di rete. Un agente capace di automatizzare la scansione e lo sfruttamento dell'intero catalogo storico delle vulnerabilità note rende quel tipo di esposizione, prima trascurabile perché "tanto nessuno se ne accorge", improvvisamente molto più concreta. Vale anche la pena ricordare che episodi come questo rientrano tra gli incidenti che, per un soggetto NIS2, vanno notificati al CSIRT Italia entro tempistiche precise: pre-notifica entro 24 ore, rapporto completo entro 72.
Il tempo medio per sfruttare una vulnerabilità nota si è ridotto drasticamente
2018-2019
63 giorni
2021-2022
32 giorni
2023-2024
5 giorni
Fonte: Vectra AI, dati aggregati sul tempo medio di weaponizzazione delle vulnerabilità divulgate. Nel primo trimestre 2025, secondo VulnCheck, il 28,3% delle vulnerabilità sfruttate lo è stato entro 24 ore dalla divulgazione pubblica.
Il livello minimo di competenza per condurre un ransomware si è ridotto a quanto costa far girare un agente AI: se quell'agente opera con credenziali rubate, il costo per l'attaccante si avvicina allo zero.
Parafrasi della valutazione di Michael Clark, Director of Threat Research, Sysdig
Cosa fare, concretamente
Aggiornare senza rimandare i sistemi esposti su internet, in particolare framework AI come Langflow e servizi di configurazione come Nacos, spesso installati rapidamente e poi dimenticati
Non lasciare mai credenziali di default attive su servizi raggiungibili dall'esterno
Non tenere chiavi API di provider AI o credenziali cloud nello stesso ambiente di un server applicativo esposto
Limitare l'accesso amministrativo dei database ai soli sistemi che ne hanno reale necessità, mai da internet
Predisporre controlli di uscita (egress) che impediscano a un host compromesso di comunicare liberamente con l'esterno
Avere già pronto, prima che serva, un piano di risposta agli incidenti con ruoli e referenti chiari, tecnici e legali
Vuoi sapere se la tua azienda sarebbe pronta a gestire un incidente come questo?
Se succede comunque: la parte che spesso si dimentica
C'è un aspetto di JADEPUFFER che vale la pena sottolineare anche a prevenzione avvenuta. Il fatto che l'agente AI lasci un codice che "racconta" le proprie intenzioni, con commenti che spiegano perché ha scelto un bersaglio o come ha valutato il valore di un database, è una miniera di elementi utili in fase di ricostruzione dell'incidente. Ma solo se log e dati vengono raccolti e conservati correttamente, prima che vengano sovrascritti o persi nel panico della gestione dell'emergenza.
Lo stesso report Sysdig segnala per esempio che l'agente ha dichiarato di aver già copiato alcuni dati su un server esterno prima di cancellarli, ma quella affermazione non è stata confermata da prove indipendenti: è un'informazione scritta dall'attaccante stesso nel codice, non un fatto verificato. Distinguere quello che un attaccante dichiara da quello che è realmente accaduto richiede una ricostruzione tecnica rigorosa, il tipo di lavoro che serve quando la questione rischia di finire in sede legale o assicurativa: è il campo di Periti Digitali, la nostra business unit dedicata all'informatica forense.
La conformità NIS2 si costruisce prima dell'incidente, non dopo
Alchimie Digitali affianca le aziende nella valutazione del rischio cyber, nella gestione delle vulnerabilità e nell'adeguamento a GDPR e NIS2, con strumenti concreti e non solo documentali.
È il nome che Sysdig ha dato a un'operazione ransomware documentata come la prima condotta interamente da un agente di intelligenza artificiale, dall'accesso iniziale fino all'estorsione, senza un operatore umano a gestire le singole fasi dell'attacco.
L'intelligenza artificiale ha agito davvero da sola, senza nessun essere umano coinvolto?
Secondo l'analisi di Sysdig, le azioni operative dell'attacco, come ricognizione, furto di credenziali, movimento laterale, cifratura e distruzione dei dati, sono state eseguite in autonomia dall'agente AI. Resta però un umano dietro alla configurazione iniziale dell'agente e all'infrastruttura usata per riceverne i risultati: quello che è cambiato è l'assenza di un operatore che digiti comando per comando durante l'attacco vero e proprio.
Le aziende italiane sono davvero a rischio, oppure è un problema solo per le grandi multinazionali?
Il bersaglio finale di JADEPUFFER era un server con un software di configurazione la cui vulnerabilità era nota dal 2021 e mai corretta. È un profilo di rischio molto comune anche tra PMI italiane, che spesso espongono servizi con credenziali di default o senza aggiornamenti recenti.
Come si collega questo caso al phishing generato con l'intelligenza artificiale che riceviamo già oggi?
Il phishing assistito da AI che vediamo oggi resta comunque guidato da una persona, che decide bersaglio e tempistiche. JADEPUFFER mostra che tecnicamente è possibile automatizzare anche quella parte decisionale: non è detto che diventi la norma, ma la possibilità concreta esiste già.
Un attacco come JADEPUFFER rientra tra gli incidenti da notificare secondo la NIS2?
Se colpisce un soggetto essenziale o importante ai sensi del D.Lgs. 138/2024, un incidente con queste caratteristiche, compromissione di sistemi e cifratura di dati, rientra tipicamente tra gli incidenti significativi da notificare al CSIRT Italia: pre-notifica entro 24 ore, rapporto completo entro 72, relazione finale entro un mese.
Articolo a cura di Pietro Suffritti, CEO di Alchimie Digitali, esperto di sicurezza informatica e Data Protection Officer certificato.
Fonte principale: Sysdig Threat Research Team, "JADEPUFFER: Agentic ransomware for automated database extortion", pubblicato il 1° luglio 2026 su sysdig.com. Riscontri incrociati su BleepingComputer, CSO Online, Dark Reading e Security Affairs.
🖥️ Azienda Informatica a Modena: Come Scegliere il Partner IT Giusto
Trovare un fornitore IT affidabile a Modena non è mai stato semplice come sembra. Tra offerte generiche, promesse di "soluzioni complete" e prezzi che non tornano, capire chi ha davvero le competenze giuste richiede criteri concreti, non slogan. 👇
📌 In sintesi
Per scegliere un'azienda informatica affidabile a Modena servono quattro elementi verificabili. Primo, competenze verticali dimostrabili in cybersecurity, sviluppo e compliance. Secondo, referenze locali reali. Terzo, esperienza operativa su normative come GDPR e NIS2. Quarto, certificazioni di qualità riconosciute come ISO 9001 e ISO 27001, rilasciate da un ente accreditato. Alchimie Digitali è un'azienda informatica di Modena attiva dal 2005. L'8 giugno 2026 ha avviato il percorso di certificazione ISO 9001:2015 e ISO 27001:2022 con l'ente Complaion, con traguardo previsto entro settembre 2026.
Mentre decidi se siamo il partner giusto per te...
ADIGITALI ATTACK
SCORE 0BEST 0
ADIGITALI ATTACK
Abbatti le minacce prima che ti raggiungano
Muoviti · SPAZIO Spara
GAME OVER
SCORE 0
Desktop: ← → per muoverti, SPAZIO per sparare
⚠️ Cosa serve davvero da un partner IT oggi
Scegliere un fornitore informatico nel 2026 non significa più solo trovare chi installa un software o gestisce un sito web. Le aziende modenesi, soprattutto quelle piccole e medie, devono affrontare oggi una pressione normativa crescente. C'è il GDPR sulla protezione dei dati personali. C'è la Direttiva NIS2 sulla sicurezza delle reti e dei sistemi informativi. E c'è il Cyber Resilience Act sui requisiti di sicurezza dei prodotti digitali. Un partner IT che si limita allo sviluppo software o all'assistenza tecnica di base rischia di lasciare scoperta l'azienda. Proprio dove il rischio è più concreto.
Questo vale ancora di più per chi lavora con la pubblica amministrazione o con grandi aziende. Sempre più spesso i capitolati di gara richiedono ai fornitori IT certificazioni di qualità riconosciute a livello internazionale.
✅ Come riconoscere un partner IT affidabile: i criteri concreti
Prima di firmare un contratto con un'azienda informatica, ci sono alcuni elementi verificabili che permettono di distinguere un partner solido da chi promette tutto e mantiene poco.
Competenze verticali dimostrabili
Non genericamente "informatica", ma sviluppo software, cybersecurity, networking, compliance normativa: aree specifiche con referenze verificabili.
Esperienza su normative correnti
Conoscenza operativa, non solo teorica, di NIS2, GDPR e Cyber Resilience Act, dimostrata da audit e consulenze già erogate.
Referenze locali verificabili
Aziende del territorio modenese ed emiliano-romagnolo che possono confermare qualità del lavoro svolto.
Certificazioni di qualità e sicurezza
Standard come ISO 9001 e ISO 27001, che certificano processi verificati da un ente terzo accreditato, non solo dichiarati.
🚦 Il semaforo del partner IT: come valutarlo in un colpo d'occhio
Per capire rapidamente se il fornitore che stai valutando è affidabile, basta osservare come si comporta su questi sei punti. Se prevalgono i segnali verdi, sei probabilmente davanti a un partner solido. Se prevalgono i rossi, conviene approfondire prima di firmare.
Criterio
Segnale affidabile
Segnale d'allarme
Certificazioni
Possiede ISO 9001 e/o ISO 27001 verificabili tramite ente accreditato, o ha comunicato date certe del percorso in corso
Dichiara di essere "certificato" senza indicare l'ente certificatore o il numero di certificato
Referenze
Fornisce casi studio e clienti del territorio verificabili, anche su richiesta
Non fornisce referenze o le mostra solo in forma generica, senza nomi verificabili
Normative
Parla di NIS2, GDPR e Cyber Resilience Act con esempi concreti e applicabili al tuo settore
Liquida la conformità normativa come "un dettaglio da vedere dopo la firma"
Trasparenza
Spiega con chiarezza come gestisce incidenti, backup e sicurezza dei dati
Evita risposte dirette a domande su sicurezza e gestione dei dati
Preventivo
Preventivo dettagliato, voci chiare, proporzionato al servizio offerto
Prezzo "tutto incluso" molto più basso della media, senza spiegare cosa comprende
Continuità
Offre supporto continuativo con tempi di intervento definiti per iscritto
Nessun impegno scritto su tempi di intervento o continuità del supporto
🏆 ISO 9001 e ISO 27001: perché contano quando scegli un fornitore IT
Le certificazioni ISO 9001:2015 e ISO 27001:2022 sono tra gli standard più riconosciuti al mondo per valutare l'affidabilità di un'organizzazione. La prima certifica il Sistema di Gestione della Qualità: processi documentati, controllati e orientati al miglioramento continuo. La seconda certifica il Sistema di Gestione della Sicurezza delle Informazioni. In pratica, la capacità dell'azienda di identificare e gestire i rischi legati alla protezione dei dati.
Per chi deve scegliere un fornitore IT, questo si traduce in un vantaggio molto pratico. Non ci si affida più solo a quello che un'azienda dichiara di sé, ma a quello che un ente certificatore accreditato ha verificato in modo indipendente. È la differenza tra un fornitore che dice di essere sicuro e un fornitore che lo dimostra con un audit esterno.
🚀 Il percorso di Alchimie Digitali verso ISO 9001 e ISO 27001
L'8 giugno 2026 Alchimie Digitali Srl ha formalizzato con Complaion Srl, ente certificatore accreditato, l'avvio del percorso verso le certificazioni ISO 9001:2015 e ISO 27001:2022. L'ottenimento di entrambe è previsto entro settembre 2026.
1Gap analysis iniziale Analisi dello stato attuale dei processi rispetto ai requisiti ISO e definizione del piano di lavoro.
2Implementazione dei requisiti Strutturazione di procedure, controlli e documentazione per soddisfare entrambi gli standard.
3Audit interno Verifica dell'efficacia dei sistemi implementati, con eventuali azioni correttive.
4Audit di certificazione (settembre 2026) Verifica da parte di Complaion Srl e rilascio delle certificazioni ISO 9001:2015 e ISO 27001:2022.
Non è un traguardo fine a se stesso. È la formalizzazione di un modo di lavorare che in Alchimie Digitali è già parte della gestione quotidiana di ogni progetto. Chi ci chiede oggi informazioni su questo percorso, e sono in molti a farlo, riceve la stessa trasparenza che chiediamo a noi stessi. La pagina dedicata al percorso di certificazione riporta anche la lettera ufficiale di avvio lavori rilasciata da Complaion.
🧩 Azienda informatica a Modena: cosa offre Alchimie Digitali
Come si sceglie un'azienda informatica affidabile a Modena?
Valutando competenze verticali dimostrabili (sicurezza, sviluppo, compliance), referenze locali verificabili, esperienza concreta su normative come NIS2 e GDPR, e la presenza di certificazioni di qualità come ISO 9001 e ISO 27001 rilasciate da enti accreditati.
Che differenza c'è tra un'agenzia informatica generica e un partner IT specializzato in sicurezza?
Un'agenzia generica copre bisogni operativi di base come assistenza tecnica o sviluppo. Un partner specializzato in sicurezza integra queste competenze con audit, gestione del rischio, conformità normativa e certificazioni verificate da terze parti, elementi sempre più richiesti da bandi e contratti.
Perché la certificazione ISO conta anche per una PMI e non solo per le grandi aziende?
Perché sempre più spesso anche le PMI vengono coinvolte come fornitori nella supply chain di aziende più grandi o della pubblica amministrazione, dove le certificazioni ISO 9001 e ISO 27001 sono un requisito di accesso al bando o al contratto, non un vezzo.
Alchimie Digitali è già certificata ISO 9001 e ISO 27001?
Alchimie Digitali Srl ha avviato formalmente il percorso di certificazione l'8 giugno 2026 con l'ente Complaion Srl. L'ottenimento di entrambe le certificazioni è previsto entro settembre 2026. Maggiori dettagli nell'articolo dedicato al percorso di certificazione.
Quanto costa affidarsi a un'azienda informatica per la gestione IT e la cybersecurity?
Non esiste una cifra unica: dipende dal numero di postazioni, dal livello di criticità dei sistemi e dai servizi inclusi. Sul mercato italiano i contratti di assistenza gestita partono generalmente da alcune decine di euro a postazione al mese per i pacchetti base, fino a cifre più alte per soluzioni complete con cybersecurity avanzata e monitoraggio H24. Il modo più affidabile per saperlo è richiedere un preventivo scritto e dettagliato, che indichi con chiarezza cosa è incluso.
Meglio un tecnico IT interno o affidarsi a un MSP esterno?
Per la maggior parte delle PMI italiane, soprattutto sotto i 50 dipendenti, affidarsi a un partner esterno risulta più conveniente rispetto ad assumere una figura IT interna: garantisce competenze aggiornate su più fronti (rete, sicurezza, compliance), un costo più prevedibile e continuità del servizio anche in caso di assenze o turnover. Un tecnico interno può avere senso quando l'infrastruttura è molto grande o richiede presidio fisico quotidiano.
Come comprare un SSD davvero affidabile (e non quello che il marketing vuole venderti)
Versione divulgativa — per esseri umani normali, non informatici, che però vogliono capire davvero.
Sintesi ragionata e ampliata di due articoli: "How to buy a reliable SSD" di Vitaliy Mokosiy
(Atola, LinkedIn)
e la replica "How to Buy a Reliable SSD, Continued" di Oleg Afonin
(Elcomsoft, 2 luglio 2026).
Due esperti che maneggiano SSD morti per mestiere, il CTO di un'azienda di hardware forense
e un ricercatore di Elcomsoft, si confrontano pubblicamente su come si compra davvero un
SSD affidabile: il primo propone una checklist, il secondo la mette sotto esame punto per
punto e mostra dove non basta.
Gli SSD, a differenza dei vecchi hard disk, quasi mai permettono di recuperare i dati
dopo un guasto: il backup 3-2-1 testato è l'unico vero paracadute.
La stessa scheda tecnica può nascondere memoria, controller o firmware diversi a seconda
del taglio o del lotto di produzione: verificare il modello specifico conta più del marchio.
Il caso Samsung 990 Pro mostra che anche un disco che rispetta ogni singolo criterio di
una checklist solida può comunque avere un problema serio: nessuna checklist elimina del
tutto il rischio.
Il criterio più utile per scegliere un produttore non è "esiste un tool di aggiornamento
firmware?" ma "quanto tempo impiega, storicamente, a correggere i problemi quando emergono?"
Capitolo 0 — Chi sono questi due, e perché dovresti ascoltarli
Partiamo da qui, perché su internet chiunque ha un'opinione sugli SSD, di solito basata su "a me
il Samsung non si è mai rotto" (campione statistico: uno).
Questi due non sono chiunque.
Vitaliy Mokosiy è il CTO di Atola Technology, un'azienda che
costruisce hardware forense: le macchine che polizie, laboratori di recupero dati e periti di
mezzo mondo usano per fare copie bit-a-bit di dischi, inclusi quelli danneggiati, in modo che il
contenuto regga in tribunale. Quando un disco arriva sul suo banco, di solito è perché qualcosa
è andato molto storto. Atola vede il pronto soccorso dei dischi: sa come muoiono, e in
che compagnia.
Oleg Afonin lavora per Elcomsoft, storica azienda di sicurezza
informatica e strumenti forensi (recupero password, estrazione dati da dispositivi mobili,
analisi di supporti cifrati). Elcomsoft ha una tradizione decennale di articoli che smontano gli
SSD fino al singolo chip — hanno documentato
perché gli SSD muoiono di colpo
e
come identificare cosa c'è davvero dentro un disco
quando l'etichetta non lo dice.
Quindi: quando questi due discutono su come si compra un SSD affidabile, non è una rissa da
forum. È un dibattito tra persone che gli SSD morti li maneggiano per mestiere. Il primo ha
scritto una checklist; il secondo ha risposto — con rispetto, ma con il bisturi — "tutto vero, ma
ti sei tenuto le informazioni migliori in tasca". E leggendo lo scambio con umiltà, si impara più
che da cento recensioni.
Capitolo 1 — Prima di tutto: devi disimparare il disco rigido
Se hai più di trent'anni, la tua idea di "disco del computer" si è formata sui
dischi rotazionali: quelli con dentro dei piatti metallici ricoperti di materiale
magnetico, che girano a 5.400 o 7.200 giri al minuto, con una testina che vola sopra la
superficie a leggere e scrivere. Un giradischi molto nevrotico, in sostanza.
Quel disco lì aveva una proprietà che davamo per scontata, e che non ci siamo mai presi la
briga di ringraziare: si rompeva in modo gentile.
Spesso avvisava: click, ronzii, rallentamenti, settori che cominciavano a dare
errori. Avevi giorni, a volte settimane, per correre ai ripari.
E soprattutto: i dati e l'elettronica abitavano in posti diversi. I dati
stavano sui piatti magnetici; l'elettronica stava su una scheda avvitata sotto. Se moriva la
scheda, i piatti erano quasi sempre intatti: un laboratorio serio trasferiva i piatti in un
disco donatore identico (in camera bianca, con costi non banali, ma con ottime probabilità) e i
tuoi dati tornavano a casa. Il guasto elettronico e la perdita dei dati erano due eventi
separati.
Con gli SSD, questo patto è stato stracciato. E nessuno ce l'ha detto
chiaramente al momento della firma.
In un SSD i dati non stanno "da qualche parte" in modo ordinato e leggibile. Stanno
sparpagliati su decine di chip di memoria, in un ordine che ha senso solo per il
controller — il piccolo processore del disco — e per la sua
mapping table, la mappa segreta che dice "il file che il computer chiama X sta
fisicamente nei pezzetti Y, Z, W, sparsi qua e là". Questa mappa viene riscritta di continuo,
perché l'SSD sposta costantemente i dati per distribuire l'usura delle celle. In più, quasi
tutti gli SSD moderni cifrano tutto internamente sempre e comunque, anche se tu
non hai mai impostato una password: la chiave vive nel controller.
Ora fai morire il controller — che è esattamente il componente che di solito muore. Che cosa
resta? Decine di chip pieni di coriandoli cifrati, senza la mappa per rimetterli in ordine e
senza la chiave per leggerli. Il recupero, quando è possibile, richiede laboratori con
attrezzature da decine di migliaia di euro, competenze rarissime, e spesso finisce comunque con
un "ci dispiace". Non è più "smonto i piatti e li leggo altrove": è un miracolo di quelli buoni,
di una qualche forma di dio dell'informatica, in un giorno di grazia assoluta. E i miracoli,
notoriamente, non si prenotano.
E c'è di peggio: l'SSD tende a morire di colpo. Un secondo prima funziona, un
secondo dopo il BIOS non lo vede più. Niente click di avvertimento, niente settimane di
preavviso. A volte, come estrema cortesia, si mette in sola lettura e ti lascia evacuare i dati.
A volte no.
Quindi fissiamo il primo concetto, quello che regge tutto il resto:
Gli SSD ci hanno regalato una velocità meravigliosa, ma non è stata gratis. In cambio
abbiamo lasciato sul tavolo la recuperabilità. Quando compri un SSD risparmiando 50
euro sul modello giusto o mezza giornata di ricerca, stai facendo una scommessa. E se un giorno
passa a trovarti la Totally Fucked Up Fairy — la fatina che non porta monetine ma si
porta via i tuoi dati — quei 50 euro e quella mezza giornata li rimpiangerai con una intensità
difficile da descrivere a chi non c'è passato.
Capitolo 2 — Il backup non è un consiglio. E comunque non ti serve il backup: ti serve il restore
Ogni guida sugli SSD contiene la frase "ricordati di fare il backup", messa lì come "lavati i
denti". Tutti annuiscono, quasi nessuno lo fa, e chi lo fa spesso lo fa male. Quindi mettiamola
giù in modo diverso, perché dopo il Capitolo 1 dovrebbe essere chiaro il contesto:
con gli SSD, il backup non è un consiglio igienico. È l'unico paracadute che hai.
Il piano B "male che vada lo porto in laboratorio" con gli SSD è quasi sempre una fantasia.
Ma c'è un secondo livello, quello che separa gli adulti dai turisti:
a nessuno interessa il backup. Interessa il restore.
Il backup è un mezzo. Quello che vuoi davvero è: quando il disco muore, in quanto tempo e
con quanta completezza torno operativo? E qui succedono cose interessanti:
C'è chi "il backup ce l'ha" — su un disco esterno mai verificato, con un software che ha
smesso silenziosamente di girare otto mesi fa dopo un aggiornamento di Windows.
C'è chi il backup ce l'ha davvero, integro, nel cloud… e scopre il giorno del disastro che
riscaricare 2 TB con la sua connessione richiede dieci giorni. Il backup c'era. Il restore
arriva quando ormai il danno lo hai pagato tutto.
C'è chi ha tutto, ma non ha mai provato la procedura, e la prima prova generale la
fa nel giorno peggiore della sua vita informatica, imparando in diretta che mancava proprio
quella cartella lì.
Da cui la regola, che vale per il privato con le foto dei figli e per l'azienda con il gestionale:
Un backup non testato è una speranza, non un backup. Programma test di restore
periodici: prendi un file a caso, o una cartella, o (per i più seri) un'intera macchina, e
riportala in vita. Cronometra. Se il tempo di restore è incompatibile con quanto puoi
permetterti di stare fermo, il tuo backup è sbagliato anche se funziona — perché stare
fermi è un'attività parecchio costosa, e di solito lo si scopre a tariffa piena.
Lo schema minimo resta il 3-2-1: tre copie dei dati, su due tipi di supporto
diversi, di cui una fuori sede (cloud o fisicamente altrove). Ma il vero indicatore di qualità
non è "quante copie ho": è "quando ho fatto l'ultimo test di restore, e quanto ci ha messo".
Tenete a mente questo capitolo: quando più avanti Afonin liquiderà il punto "fate il backup"
della checklist come vero ma inutile, capirete che non sta dicendo che il backup non
serve. Sta dicendo che scriverlo in fondo a una checklist non ha mai convertito nessuno. Questo
capitolo è il tentativo di convertirvi prima.
Capitolo 3 — Se costa di meno, non sei più furbo tu
Ultimo concetto preliminare, poi apriamo il paziente.
Il mercato degli SSD è maturo, ipercompetitivo, con margini risicati. In un mercato così,
i pasti gratis non esistono. Due dischi che sulla scatola dichiarano gli stessi
numeri, ma costano 89 e 129 euro, non sono "lo stesso disco, uno scontato". Sono due dischi
diversi, e la differenza sta esattamente nei posti che la scatola non menziona: il tipo di
memoria, il processore interno, la presenza o assenza di certi componenti, la cura del
firmware, il controllo qualità dei lotti.
Se costa di meno, non è che tu sei più furbo. È che di solito vale di meno — e tu non
hai (ancora) gli strumenti per capire perché. Il risparmio non sparisce: si trasforma.
In velocità che crolla a metà di una copia grossa, in una lotteria su cosa c'è dentro, in un
firmware che nessuno aggiornerà mai, in un disco che muore a 13 mesi con 12 mesi di garanzia
del negozio.
Attenzione, il teorema non funziona al contrario: spendere tanto non garantisce
niente (lo dimostreremo con un flagship Samsung tra qualche capitolo). Ma spendere poco
garantisce quasi sempre qualcosa: che da qualche parte, qualcuno, ha tagliato. Lo scopo
di questa guida è darti gli occhiali per vedere dove.
Capitolo 4 — L'anatomia di un SSD, spiegata a un essere umano
Ora apriamo il disco. Un SSD è composto da quattro cose che contano, più una manciata di sigle
che il marketing usa per stordirti. Andiamo con calma.
4.1 La NAND flash: dove abitano i tuoi dati
La memoria di un SSD è fatta di miliardi di microscopiche celle, ognuna delle
quali trattiene una carica elettrica. Immagina ogni cella come un minuscolo secchiello d'acqua:
il livello dell'acqua rappresenta l'informazione.
Qui arriva l'idea che ha reso gli SSD economici, e insieme il primo grande compromesso. Nei
primi SSD ogni secchiello memorizzava 1 bit: pieno o vuoto, facilissimo da
leggere anche se un po' d'acqua evapora. Poi qualcuno ha pensato: e se distinguessimo
quattro livelli d'acqua nello stesso secchiello? Ecco 2 bit per cella,
stessa quantità di silicio, doppia capacità. Poi otto livelli (3 bit), poi sedici livelli
(4 bit).
Il problema è intuitivo: distinguere "pieno/vuoto" è facile; distinguere sedici livelli in un
secchiello che perde qualche goccia per usura e temperatura è un lavoro da orefice. Più livelli
significa:
scritture più lente (bisogna dosare l'acqua con precisione crescente);
più errori da correggere in lettura;
celle che si usurano prima, perché ogni scrittura stressa fisicamente la
cella e una cella stressata distingue sempre peggio i livelli.
La tabella che ne esce è questa, ed è la spina dorsale di tutta la guida:
Sigla
Bit per cella
Livelli da distinguere
Cicli di scrittura (ordine di grandezza)
Traduzione
SLC
1
2
~100.000
La nobiltà. Oggi solo industriale (e come "trucco", vedi cache)
MLC
2
4
~10.000
Praticamente estinta nel consumer
TLC
3
8
~1.000–3.000
Lo standard consumer di qualità. Quello che vuoi.
QLC
4
16
~500–1.000
La fascia economica. Più capacità, meno tutto il resto
Nota bene: la QLC non è "rotta". Per un archivio di foto che scrivi una volta e leggi per anni,
va benissimo. Il problema è quando te la vendono senza dirtelo al posto della TLC — e
su questo torneremo, perché è la fregatura numero uno del mercato.
4.2 Il controller: il cervello (e il punto debole)
Il controller è un piccolo processore che sta tra il computer e le celle di
memoria, e fa un lavoro sorprendentemente complicato:
Traduce gli indirizzi. Il sistema operativo crede che il file stia "al
posto 4.512". In realtà il controller lo ha spezzato e sparso su celle diverse, e tiene la
corrispondenza in una mapping table (tabella di mappatura) — l'elenco
telefonico che collega il mondo logico a quello fisico. Senza questa tabella, i dati sono
coriandoli.
Distribuisce l'usura (wear leveling). Poiché ogni cella sopporta
un numero limitato di scritture, il controller sposta continuamente i dati per consumare le
celle in modo uniforme, come un padrone di casa che fa ruotare gli ospiti sulle sedie perché
nessuna si sfondi prima delle altre.
Corregge gli errori. Ricordi i sedici livelli d'acqua? Il controller passa
la vita a correggere letture incerte con algoritmi di correzione d'errore. Più la NAND è densa
e usurata, più lavora.
Cifra tutto, di serie, con una chiave che vive dentro di lui.
Il controller è anche il componente che scalda e quello che statisticamente
muore per primo. E quando muore, muore con la mappa e con la chiave in tasca. Ecco perché il
Capitolo 1 diceva quello che diceva.
4.3 Il firmware: il software segreto che decide tutto
Il controller esegue un programma: il firmware. È il software interno del
disco, quello che implementa tutte le strategie viste sopra. E qui c'è un concetto che il
consumatore medio ignora completamente:
Due dischi con hardware identico e firmware diverso sono due dischi diversi.
Un bug nel firmware può azzoppare o uccidere un disco fisicamente perfetto. Un aggiornamento
può salvarlo. Il firmware è l'anima del disco, e non la vedi da fuori.
Tienilo a mente: il caso più clamoroso degli ultimi anni (il Samsung 990 Pro) è una storia di
firmware, non di hardware. Ci arriviamo.
4.4 La cache pSLC: il trucco di prestidigitazione sulla scatola
Adesso ti spiego da dove viene il numero gigante stampato sulla confezione ("7.400 MB/s!"), e
perché è contemporaneamente vero e fuorviante.
Ricordi che le celle SLC (1 bit, 2 livelli) sono velocissime? I produttori usano un trucco
elegante: prendono una porzione della NAND TLC o QLC del disco e la fanno lavorare
temporaneamente in modalità SLC — un bit per cella, riempimento grezzo, velocità
massima. Si chiama cache pSLC (pseudo-SLC). Quando scrivi, i dati entrano
prima lì, a razzo; poi, con calma, il controller li travasa nella NAND "vera" a 3 o 4 bit per
cella.
Funziona benissimo… finché la cache non si riempie. Copia 10 GB e non te ne accorgi. Copia
100 GB — un backup, un progetto video, una libreria di giochi — e a un certo punto la cache è
piena, il travaso non tiene il passo, e il disco è costretto a scrivere direttamente sulla
NAND nuda. Lì crolla la maschera:
un buon TLC scende a velocità comunque dignitose (spesso 1.000–2.000
MB/s);
un QLC economico può precipitare a 100–400 MB/s — velocità da disco
rotazionale del 2010, su un oggetto che sulla scatola prometteva 70 volte tanto.
La velocità sulla scatola è la velocità della cache. La velocità
sostenuta — quella che conta quando muovi tanti dati — spesso non è nemmeno
dichiarata. Non è un caso.
4.5 DRAM e HMB: la storia della "cache che devi avere" (spoiler: dipende)
Alcuni SSD hanno a bordo un chip di DRAM — memoria RAM velocissima — usata
principalmente per tenere a portata di mano la mapping table (l'elenco telefonico del punto
4.2), così il controller non deve consultarla nella NAND, più lenta.
Per anni la regola dei forum è stata: "senza DRAM non comprarlo". Aveva senso nell'era dei
dischi SATA. Oggi molto meno, perché i dischi NVMe moderni senza DRAM usano l'HMB
(Host Memory Buffer): prendono in prestito una piccola fetta della RAM del tuo computer
per lo stesso scopo. Risultato pratico, per l'uso normale: una differenza che si misura nei
benchmark e non si sente nell'uso. Ne riparliamo nella checklist, perché è uno dei punti dove
il consiglio classico è invecchiato male.
4.6 SMART e TBW: il libretto sanitario e il contachilometri
Due sigle che incontrerai su ogni scheda tecnica:
SMART è il sistema di auto-diagnosi del disco: una serie di contatori
interni (temperatura, errori, percentuale di vita consumata) che puoi leggere con programmi
gratuiti come CrystalDiskInfo. È il libretto sanitario del disco — utile, ma compilato dal
disco stesso, quindi affidabile quanto il firmware che lo scrive. (Anche qui: aspetta di
leggere la storia del 990 Pro.)
TBW (Terabytes Written) è il totale di dati che il produttore
garantisce di poter scrivere sul disco prima che la garanzia decada. Un disco da
"600 TBW" è coperto fino a 600 terabyte scritti. Sembra un indicatore di durata; vedremo che è
soprattutto una clausola legale — e, usato bene, una spia per smascherare fregature.
4.7 Interfacce e formati, in trenta secondi
Per completezza, le sigle di contorno: SATA è l'interfaccia vecchia (max
~550 MB/s), sopravvive negli aggiornamenti di PC datati. NVMe è il protocollo
moderno che viaggia su PCIe (la stessa autostrada delle schede video); le
generazioni PCIe 3.0/4.0/5.0 raddoppiano la banda a ogni salto. Il formato fisico dominante è
M.2 2280, la "stecca di gomma americana" da 8 cm che si avvita sulla scheda
madre. Nulla di tutto ciò determina l'affidabilità: sono i tubi, non l'acqua.
Capitolo 5 — Il duello: la checklist di Mokosiy sotto il bisturi di Afonin
Ora hai tutto il vocabolario. Ecco la checklist originale di Atola, voce per voce, con la
replica di Elcomsoft e — dove serve — le nostre verifiche indipendenti. Il formato è:
consiglio → dov'è la fregatura → come ci si difende davvero.
5.1 "Evita la QLC, preferisci la TLC"
Il consiglio è giusto. Il problema è che non sai cosa stai comprando.
Afonin porta le prove di un fenomeno sistematico: i produttori cambiano tipo di NAND tra un
lotto e l'altro, a metà produzione, oppure — mossa da manuale — mettono TLC sui tagli
piccoli e QLC sul taglio grande, cioè quello che compra chi cerca "un disco capiente".
Il WD Blue SN5000 monta TLC su 500 GB, 1 TB e 2 TB, e QLC sul 4 TB. La trappola era così ben
congegnata che, riferisce Afonin, persino PCWorld dovette correggere pubblicamente la propria
recensione nell'agosto 2025, dopo aver classificato il 4 TB come TLC. Il successore SN5100 è
poi passato interamente a QLC, senza squilli di tromba. Stesso schema sul Patriot Viper VP4300
Lite: TLC ovunque, QLC sul 4 TB.
La domanda retorica di Afonin è la chiave di tutto l'articolo: se sbagliano le testate il
cui mestiere è accorgersene, che possibilità ha il compratore davanti al carrello?
Difesa pratica: verificare cosa c'è dentro, non cosa dice l'etichetta.
Esistono tool gratuiti ("Flash ID") che interrogano il disco e rivelano controller e NAND
reali: SSD utils per Windows,
equivalente per Linux.
In alternativa: recensioni con smontaggio fotografico (TechPowerUp è tra le poche testate che
aprono fisicamente i dischi). E sempre: controllare la scheda tecnica del
taglio specifico che stai comprando, non del modello in generale.
5.2 "Evita i marchi economici: usano componenti scadenti e aggiornano male i firmware"
E quali sarebbero, i marchi economici? Afonin demolisce il criterio con tre
controesempi che vale la pena raccontare per esteso, perché sono un corso accelerato di
scetticismo.
Kingston è un marchio economico? La sua linea budget NV1/NV2 è una lotteria
hardware documentata: sotto lo stesso identico codice prodotto convivono controller diversi
(Phison oppure Silicon Motion), NAND TLC oppure QLC, sempre senza DRAM — e Kingston dichiara
solo le velocità sequenziali che qualunque combinazione raggiunge (grazie alla cache pSLC del
capitolo 4.4, ora sai come fanno). Compri la scatola e non sai cosa c'è dentro. "E allora spendo
di più e prendo il flagship!" Ecco il colpo di teatro: anche il top di gamma
KC3000/Fury Renegade tira i dadi
— alcune unità montano NAND Micron a 176 strati, altre NAND Kioxia più vecchia a 112 strati, e
l'unico modo per saperlo prima di aprire il disco è decifrare la stringa firmware sull'etichetta
(EIFK31.x = Micron, EIFK51.2 = Kioxia). Stesso disco, stesso prezzo, stessa scatola, silicio
diverso.
Western Digital è un buon marchio? Certamente. È anche il marchio che a giugno
2021
sostituì in silenzio la NAND
del suo popolarissimo SN550 — un disco osannato dalle recensioni — con una versione più lenta,
aggiornando furtivamente il datasheet. Risultato: a cache esaurita, la velocità di scrittura
crollava
da ~610 a ~390 MB/s, meno della metà.
Chi comprava sulla base delle recensioni riceveva un disco diverso da quello recensito. WD
ammise e promise
di cambiare numero di modello per le modifiche future — dopo essere stata scoperta. E
non era un caso isolato: negli stessi anni Adata, Crucial, Silicon Power e persino Samsung
(970 EVO Plus) furono colti a spedire componenti diversi da quelli recensiti.
Samsung è un buon marchio? Il migliore, per reputazione. Ed è il protagonista
del caso firmware più clamoroso del decennio, che l'articolo originale cita come esempio horror.
Capitolo dedicato tra poco.
Morale: l'unità di misura della fiducia non è il marchio. È
il modello specifico, nella revisione specifica, del lotto specifico.
"Compra marchi affidabili" è un consiglio vero come "investi in azioni buone".
5.3 "Controlla il TBW: più è alto, meglio è"
Mezzo mito. Ricordi il capitolo 4.6? Il TBW è un tetto di
garanzia, non una previsione di durata: è fissato in modo prudenziale dall'ufficio
legale, e la stragrande maggioranza degli utenti domestici non ci arriverà mai neanche vicino
nell'intera vita del disco. Un utente normale scrive 10–20 TB all'anno; un disco da
600 TBW gli durerebbe, sulla carta, trent'anni. Ordinare i dischi per TBW è ordinare per la
colonna sbagliata.
L'uso furbo, suggerisce Afonin, è come spia: dividi il TBW per
la capacità. Se un taglio della gamma ha un rapporto TBW/TB stranamente più basso dei fratelli,
è un forte indizio che lì dentro c'è QLC non dichiarata — il 4 TB del SN5000, di nuovo, ha
un'endurance che non scala come i tagli TLC della stessa linea. Il TBW non ti dice quanto vivrà
il disco; a volte ti dice quando il produttore sta bluffando.
5.4 "Verifica la presenza di cache DRAM"
Consiglio dell'era SATA con i vestiti moderni, scrive Afonin. Come visto nel
capitolo 4.5, la DRAM serve a tenere la mapping table a portata di mano; era decisiva sui
vecchi dischi e lo è ancora sui controller budget deboli (che però soffrono comunque). Ma sugli
NVMe moderni l'HMB ha ridotto il divario a qualcosa che misuri nei benchmark e non senti
mai nell'uso. Un buon disco DRAM-less recente batte comodamente un disco più vecchio con
DRAM.
La DRAM vince nettamente solo a parità di tutto il resto — stessa generazione, stesso
controller, stessa NAND. È un lusso gradito se avanza budget, non una feature di
affidabilità, e non è la cosa da cui partire. Chi seleziona i dischi col filtro "ha la
DRAM?" sta ottimizzando la variabile sbagliata e ignorando quelle giuste (NAND e controller).
5.5 "Pretendi almeno 4 anni di garanzia"
Afonin corregge al rialzo: i dischi che valgono la pena ne hanno cinque.
Samsung serie Pro, WD Black, Kingston KC3000/Fury, la fascia alta Crucial, SK Hynix Platinum:
tutti 5 anni. La garanzia a 3 anni è il cartello "benvenuto nella fascia lotteria". La soglia
"almeno 4" non seleziona nulla: o cinque, o stai già scendendo di categoria.
(E ricorda dal Capitolo 1: la garanzia ti ridà un disco. I dati no. Sono due problemi
diversi con due soluzioni diverse.)
5.6 "Verifica che esistano tool per aggiornare il firmware"
Domanda giusta, metrica sbagliata. L'esistenza di un programma di
aggiornamento non dice nulla: ci sono modelli con tool ufficiale bellissimo e zero
aggiornamenti rilasciati in tutta la vita commerciale del prodotto, e modelli senza tool che ne
hanno ricevuto uno d'emergenza quando un bug grave ha costretto il produttore.
La domanda vera è: questo produttore, storicamente, rilascia le correzioni quando le
cose si rompono? E in quanto tempo? Il caso che Afonin cita è istruttivo: il flagship
SK Hynix Platinum P41 (e il gemello Solidigm P44 Pro) ha convissuto per anni con un bug della
cache pSLC — in certe condizioni la cache smetteva di svuotarsi e la velocità sostenuta si
dimezzava. Segnalazioni dal 2022; la correzione vera (firmware 51061A20) è arrivata
anni dopo. Il firmware è la rete di sicurezza degli SSD, ma la rete può metterci
settimane ad apparire. O anni. O mai.
5.7 "Se puoi permettertelo, prendi un SSD enterprise"
No — a meno che tu non abbia davvero carichi enterprise. Pagheresti per
condensatori anti-blackout, formati strani e profili di scrittura tarati su un datacenter che
non possiedi. E qui Afonin piazza l'osservazione che manda in cortocircuito la checklist:
una grossa fetta degli SSD enterprise moderni è QLC — proprio i modelli
datacenter ad altissima capacità (la linea Solidigm D5 arriva a decine di TB per disco, su
QLC). "Evita la QLC, però compra enterprise" è un consiglio che litiga con sé stesso.
Fregatura bonus: gli enterprise viaggiano su canali di vendita business. Al privato che li
compra al dettaglio, la garanzia del produttore spesso non viene riconosciuta:
resti con quella del negozio, tipicamente 1–2 anni. Altro che "pretendi 4+".
5.8 "Per i PCIe 4.0/5.0, pensa a dissipatore e flusso d'aria"
Riguarda la velocità, non la sopravvivenza. Il componente che scalda è il
controller, e quando scalda troppo il disco fa thermal throttling: rallenta
apposta, per proteggersi. È una feature, non un guasto: costa prestazioni, non
anni di vita. Il surriscaldamento catastrofico e prolungato è un'altra storia — ma se ci arrivi,
è l'intero case che ha un problema di raffreddamento, non il disco. E su un laptop il
dissipatore non ce lo metti comunque, quindi lì il consiglio produce solo ansia. Regola
spiccia: il dissipatore incluso nella scheda madre basta quasi sempre; se compri un Gen5
estremo sai già da solo che serve ferro serio.
Consiglio sano — con un punto cieco che lo rovescia: è quasi inutile proprio per i
dischi appena usciti, che sono esattamente quelli a massimo rischio di sorprese,
perché gli smontaggi indipendenti non esistono ancora. Il prodotto più fresco è quello meno
verificabile.
Corollario operativo: se l'affidabilità ti interessa davvero, non comprare mai un
modello appena lanciato. Lascia che gli entusiasti del day-one facciano da crash test
dummy per sei mesi. Ti perderai l'ebbrezza della novità; ti terrai i dati.
5.10 "Fai sempre il backup"
Vero. Ovvio. E — nota acida di Afonin — sterile come chiusura di checklist: chi legge è già
diviso in due campi, quelli che fanno backup e quelli che non hanno ancora perso dati,
e nessuno cambia campo per una riga in un blog post. Si cambia campo il giorno che succede.
(Dettaglio gustoso: persino la procedura ufficiale Samsung per correggere il 990 Pro
raccomandava di fare un'immagine del disco prima di aggiornare il firmware. Buon
consiglio; anche ammissione implicita.)
Noi il discorso serio lo abbiamo già fatto al Capitolo 2, dove appartiene: prima della
checklist, non in fondo. Backup 3-2-1, e soprattutto: test di restore,
cronometrati.
5.11 "Se compri in blocco, diversifica: controller, generazione NAND, finestra di produzione, firmware"
L'unica idea genuinamente non ovvia dell'articolo originale, e Afonin —
correttissimo — lo riconosce e le rende onore. È l'intuizione sul guasto correlato che
un laboratorio di recovery possiede per esperienza diretta: dischi identici (stesso controller,
stessa NAND, stesso firmware, stesso lotto) tendono a morire insieme, perché
condividono gli stessi difetti latenti. Un NAS o un rack di unità gemelle può spegnersi in
coro, ed è lo scenario in cui anche il RAID ti saluta — il RAID protegge dal guasto
indipendente, non da quello sincronizzato.
Se compri più dischi per la stessa macchina: mescola modelli, o almeno lotti e date di
produzione. Il caveat pratico di Afonin: diversificare significa moltiplicare il lavoro
investigativo per ogni modello in lista — ma se stai comprando a quella scala, è il tuo
mestiere farlo.
5.12 "Chiedi a un'AI di fare deep research sul modello"
Buona idea, a una condizione che decide tutto: l'AI deve cercare sul web
in tempo reale, non rispondere a memoria. Un modello che risponde dai propri dati di
addestramento ti darà risposte fluide, sicure di sé e vecchie: non sa nulla
della fix firmware uscita il mese scorso, dello swap di NAND avvenuto dopo il suo
addestramento, del thread di guasti di ieri. E su un tema dove l'intera partita si gioca su
quale revisione, quale firmware, quale lotto, un'informazione stantia non è neutra: è
attivamente fuorviante, con in più il tono rassicurante. Pretendi le fonti linkate e le date.
Capitolo 6 — Il caso Samsung 990 Pro: la storia che dimostra il contrario di ciò che dovrebbe
Questa storia merita un capitolo suo, perché è il perno logico di tutto il duello — e perché,
capita questa, hai capito il mestiere.
L'uso che ne fa Mokosiy: esempio numero uno della tesi "gli SSD muoiono
all'improvviso e senza preavviso".
Lo smontaggio di Afonin, in quattro colpi:
Il 990 Pro passa l'intera checklist a pieni voti. TLC di punta, DRAM a
bordo, 5 anni di garanzia, tool firmware ufficiale (Samsung Magician), il marchio consumer più
reputato del pianeta. Se la checklist non intercetta nemmeno il proprio caso horror da
copertina, a cosa serve la checklist?
È una storia chiusa da tre anni. Citarla nel 2026 come monito attuale è
come sconsigliare un'auto per un richiamo risolto tre model year fa.
Dimostra l'esatto contrario della "morte silenziosa". Il disco non stava
morendo in silenzio: stava urlando — via SMART, forte, presto e per giunta esagerando.
Il degrado era in gran parte un errore di conteggio, non usura reale. Un caso di
falso allarme rumorosissimo usato come prova del silenzio.
Prova la lezione giusta, che è un'altra: il firmware è l'anima del disco e
la sua rete di sicurezza. Samsung ci ha messo poche settimane a riparare. SK Hynix, sul bug
del P41, anni. Il criterio d'acquisto non è "esiste un tool di aggiornamento?" ma "questo
produttore, quando le cose si rompono, quanto ci mette a sistemarle?"
Capitolo 7 — Il catalogo delle fregature (da tenere sul telefono al momento dell'acquisto)
Il numero grosso sulla scatola è la cache, non il disco. "7.400 MB/s"
vale finché scrivi nella cache pSLC. La velocità sostenuta — quella delle copie grosse —
spesso non è dichiarata affatto.
Stesso nome, hardware diverso. Il cambio di componenti dopo le recensioni
è pratica di settore documentata (WD SN550, Samsung 970 EVO Plus, Kingston NV2, Adata,
Crucial, Patriot…). Le recensioni valgono per il lotto recensito.
La QLC nascosta nel taglio grande. TLC sui tagli piccoli (quelli
recensiti), QLC sul 4 TB (quello che compri). Verifica sempre la scheda del taglio
specifico.
Il TBW come specchietto. Sbandierato quando è alto (ma è solo una
clausola di garanzia), sepolto in un PDF quando è basso (perché tradirebbe la QLC). Usa il
rapporto TBW/TB come rilevatore di bluff.
"Fino a" davanti a ogni numero. Massimi teorici, cache vuota, condizioni
di laboratorio.
Garanzia ≠ dati. La garanzia ti rende un disco vuoto. I dati erano il
punto. E se compri enterprise al dettaglio, forse non hai nemmeno quella.
Se costa di meno, c'è un perché. Non sei più furbo tu (Capitolo 3). Il
risparmio si è trasformato in qualcosa che scoprirai poi.
Capitolo 8 — La procedura d'acquisto, passo per passo
Parti dal tuo uso reale, non dai numeri. Disco di sistema e gaming?
Qualsiasi buon TLC va benissimo, DRAM facoltativa. Video, macchine virtuali, grossi
trasferimenti frequenti? TLC obbligatoria, controller di fascia alta, e guarda i grafici di
scrittura sostenuta nelle recensioni. Archivio che scrivi una volta e leggi per anni?
Va bene anche QLC dichiarata e pagata come tale — con il backup del Capitolo 2, sempre.
Seleziona 2–3 candidati con 5 anni di garanzia. Non quattro: cinque.
Per ciascun candidato, verifica il taglio esatto che comprerai: tipo di
NAND e controller dichiarati per quel taglio; rapporto TBW/TB confrontato con gli
altri tagli della gamma (se crolla, annusa la QLC).
Indaga il modello, non il marchio. Cerca "nome modello + NAND swap", "+
firmware issue", "+ teardown". Fonti che smontano davvero: TechPowerUp; poi Tom's Hardware,
r/buildapc, r/hardware, HDDGuru per i pattern di guasto.
Niente modelli appena usciti. Sei mesi di quarantena: lascia i crash test
agli entusiasti.
Quando il disco arriva, verificalo. CrystalDiskInfo per firmware e SMART;
un tool Flash ID (Windows / Linux) per vedere controller e NAND reali; una copia di file ben
più grande della cache per misurare la velocità sostenuta. Non corrisponde alla pubblicità?
Reso, finché sei nei termini. È l'unico voto che i produttori contano
davvero.
Aggiorna subito il firmware con il tool ufficiale (dopo il backup,
ovviamente), e ricontrolla ogni qualche mese.
Backup 3-2-1 e test di restore cronometrati. È il punto che funziona
anche quando tutti gli altri falliscono. Rileggi il Capitolo 2 finché non fa male.
Più dischi sulla stessa macchina? Diversifica: modelli, controller, o
almeno lotti e date di produzione diversi. I gemelli muoiono insieme.
Epilogo
I due articoli, letti insieme, insegnano una cosa sola detta in due modi. Mokosiy:
l'affidabilità si sceglie con criteri, non con la fortuna. Afonin: i criteri senza
verifica sono fortuna con la giacca buona.
E noi aggiungiamo il fondamento che serve al lettore italiano ancora mentalmente tarato sul
caro vecchio disco che frullava: il mondo è cambiato. Il disco nuovo è
meraviglioso, ma quando muore non lascia quasi mai ostaggi vivi. Quindi l'unità di fiducia non
è il marchio ma il modello-revisione-firmware-lotto; il prezzo basso è un messaggio, non un
regalo; e il vero acquisto che stai facendo non è un disco — è la coppia
disco + strategia di restore. Il primo si sceglie con questa guida. La seconda
si testa con un cronometro, prima che arrivi la fatina sbagliata.
Fonti
Oleg Afonin, How to Buy a Reliable SSD, Continued, Elcomsoft, 02/07/2026 —
blog.elcomsoft.com
Vitaliy Mokosiy, How to buy a reliable SSD, Atola/LinkedIn —
linkedin.com
Nota per la redazione: verificare se pubblicare anche un collegamento incrociato alla
versione sintetica di questo articolo, una volta online, per chi preferisce una lettura più
breve.
Domande frequenti
Qual è la differenza tra la checklist di Mokosiy e la critica di Afonin?
Mokosiy propone una checklist di dodici punti per comprare SSD affidabili. Afonin non la
contraddice, ma mostra che ogni singolo punto, pur essendo vero, nasconde dettagli pratici che
la checklist da sola non copre, come il taglio specifico del disco, il lotto di produzione e la
storia degli aggiornamenti firmware del produttore.
Conviene comprare sempre memoria TLC invece di QLC?
Non sempre. La TLC è preferibile per usi intensivi come video editing o macchine virtuali. La
QLC va benissimo per un archivio che si scrive una volta e si legge nel tempo, purché sia
dichiarata come tale e accompagnata da un backup serio, invece di essere venduta senza
dirlo al posto della TLC.
Quanti anni di garanzia dovrei pretendere da un SSD?
Secondo Afonin, i dischi che valgono davvero la pena offrono cinque anni di garanzia, non
quattro. Una garanzia di tre anni è spesso il segnale di essere entrati nella fascia di prodotti
più soggetta a variazioni impreviste di componenti.
Cos'è la cache pSLC e perché la velocità sulla scatola può ingannare?
È una porzione di memoria che lavora temporaneamente in modalità più veloce per dare
l'impressione di prestazioni elevate. La velocità dichiarata sulla confezione vale solo finché si
scrive dentro questa cache: una volta esaurita, il disco scrive alla sua velocità reale, che può
essere molto più bassa, soprattutto sui dischi QLC.
Il caso Samsung 990 Pro significa che i dischi Samsung non sono affidabili?
No, è vero il contrario. Il caso dimostra che anche un disco che rispetta ogni singolo criterio
di una checklist solida, marchio reputato compreso, può avere un problema serio. Ma dimostra
anche che Samsung ha risolto il problema in poche settimane con un aggiornamento firmware,
il che è proprio il criterio di affidabilità che conta di più secondo questo articolo.
Qual è l'unico punto della checklist che conta davvero, secondo gli autori?
Il backup 3-2-1 con test di restore cronometrati. È l'unico punto che, come scrivono gli
autori, funziona anche quando tutti gli altri criteri di scelta falliscono o si rivelano
insufficienti.
Le persone chiedono anche
Gli SSD si rompono senza preavviso?
Spesso sì. A differenza dei vecchi dischi rigidi meccanici, che di solito davano segnali come
rumori o rallentamenti prima di guastarsi, un SSD può smettere di funzionare da un momento
all'altro, senza alcun avviso precedente.
È vero che i dati di un SSD rotto non si possono recuperare?
Il recupero è molto più difficile che sui vecchi hard disk. I dati sono cifrati e sparpagliati su
più chip di memoria secondo una mappa gestita dal controller: se il controller si guasta, quella
mappa si perde, e il recupero, quando possibile, richiede laboratori specializzati con costi
elevati e nessuna garanzia di successo.
Cosa significa TBW su un SSD?
TBW sta per Terabytes Written, il totale di dati che il produttore garantisce di poter scrivere
sul disco prima che la garanzia decada. È soprattutto una clausola legale, non una previsione
realistica di quanto durerà il disco nell'uso quotidiano.
Meglio un SSD con o senza DRAM a bordo?
Sui dischi NVMe moderni la differenza è minima, perché la tecnologia HMB permette anche ai
dischi senza DRAM di usare una parte della memoria del computer per lo stesso scopo. La DRAM
resta un vantaggio solo a parità di tutto il resto, non un requisito di affidabilità.
Come faccio a sapere che memoria ha davvero il mio SSD?
Esistono strumenti gratuiti, chiamati Flash ID, che interrogano direttamente il disco e
rivelano il controller e il tipo di memoria reali, indipendentemente da cosa dichiara l'etichetta
o la scheda tecnica generica del modello.
Quanto dura in media un SSD?
Dipende dal tipo di memoria e dall'uso. Per un utente domestico medio, che scrive pochi
terabyte all'anno, la durata teorica di un buon disco si misura in decenni sulla carta. Il vero
rischio non è quasi mai l'usura della memoria, ma un guasto improvviso del controller o un bug
di firmware.
Preferisci non dover verificare tutto questo da solo, ogni volta?
Alchimie Digitali affianca aziende e professionisti nella scelta dell'hardware, nella
progettazione di strategie di backup e disaster recovery davvero testate, e nella valutazione
delle vulnerabilità della propria infrastruttura IT.
Alchimie Digitali avvia il percorso di certificazione ISO 9001 e ISO 27001
Un passo concreto verso standard internazionali di qualità e cybersecurity, per offrire ai nostri clienti e partner un livello di affidabilità misurabile e verificato.
L'8 giugno 2026 Alchimie Digitali Srl ha formalizzato con Complaion Srl l'avvio del percorso di adeguamento alle due certificazioni internazionali più rilevanti per chi opera nell'IT e nella comunicazione digitale: la ISO 9001:2015, dedicata ai sistemi di gestione della qualità, e la ISO 27001:2022, focalizzata sulla sicurezza delle informazioni.
L'ottenimento di entrambe le certificazioni è atteso entro settembre 2026. Non si tratta di un traguardo fine a se stesso: è la formalizzazione di una cultura aziendale che in Alchimie Digitali è già presente nel modo in cui gestiamo ogni progetto, ogni dato e ogni relazione con i clienti.
ISO 9001 e ISO 27001: cosa certificano e perché contano
Entrambi gli standard sono pubblicati dalla International Organization for Standardization (ISO) e riconosciuti a livello mondiale come riferimenti per la valutazione dell'affidabilità di un'organizzazione. Ecco cosa distingue ciascuno dei due percorsi.
Qualità
ISO 9001:2015 — Sistema di Gestione della Qualità
Certifica che l'organizzazione ha implementato processi strutturati per erogare servizi conformi alle aspettative dei clienti, con un approccio sistematico al miglioramento continuo. Copre pianificazione, controllo dei processi, gestione dei rischi e soddisfazione del cliente.
Sicurezza
ISO 27001:2022 — Sistema di Gestione della Sicurezza delle Informazioni
Certifica che l'organizzazione identifica, valuta e gestisce i rischi legati alla sicurezza dei dati, garantendo riservatezza, integrità e disponibilità delle informazioni. È lo standard di riferimento per chi tratta dati sensibili di clienti e partner.
Per i nostri clienti questo significa: lavorare con un partner che non gestisce i vostri dati e i vostri progetti in modo informale, ma secondo procedure documentate, verificate e certificate da un ente terzo accreditato.
Come si svolge il percorso di certificazione
La certificazione ISO non avviene dall'oggi al domani. È un percorso strutturato che richiede analisi, implementazione, verifica interna e audit da parte di un ente certificatore accreditato. Questi sono i passaggi principali che stiamo attraversando con Complaion.
1
Gap analysis inizialeAnalisi dello stato attuale dei processi rispetto ai requisiti ISO, identificazione delle aree di miglioramento e definizione del piano di lavoro.
2
Implementazione dei requisitiStrutturazione delle procedure, dei controlli e della documentazione necessari per soddisfare i requisiti di entrambi gli standard. È la fase più lunga e operativamente densa.
3
Audit internoVerifica interna dell'efficacia dei sistemi implementati, con eventuali azioni correttive prima dell'audit ufficiale.
4
Audit di certificazione (previsto: settembre 2026)Verifica da parte di Complaion Srl, ente certificatore accreditato, con rilascio delle certificazioni ISO 9001:2015 e ISO 27001:2022.
La lettera ufficiale di Complaion: il nostro percorso documentato
Di seguito è disponibile la lettera rilasciata da Complaion Srl (Managing Director Edoardo Tarricone), che attesta formalmente l'avvio del percorso e la conformità al piano di implementazione da parte di Alchimie Digitali Srl.
Documento ufficiale — Lettera di avvio lavori Complaion · 08/06/2026
Anteprima del documento. Clicca per aprire il PDF completo in una nuova scheda.
Perché questo percorso riguarda anche te, come cliente o partner
Molti bandi pubblici, gare d'appalto e contratti con grandi aziende o enti richiedono esplicitamente ai fornitori di servizi IT e digitali il possesso delle certificazioni ISO 9001 e ISO 27001. Con l'avanzare della normativa europea, in particolare del GDPR, della Direttiva NIS2 e del Cyber Resilience Act, la gestione certificata della sicurezza delle informazioni sta diventando un requisito sempre più diffuso anche nelle supply chain delle PMI.
Scegliere oggi un partner che sta percorrendo questo cammino significa scegliere un'azienda che si sta dotando degli strumenti per garantire:
Processi verificabili
Ogni attività viene documentata secondo standard internazionali, non lasciata alla discrezionalità del singolo. Puoi verificare come lavoriamo.
Sicurezza dei tuoi dati
I dati che ci affidi vengono trattati secondo un sistema di gestione del rischio formale, con controlli documentati e responsabilità definite.
Miglioramento continuo
La ISO 9001 impone un ciclo di revisione costante dei processi. Non ci fermiamo a ciò che funziona: lo miglioriamo sistematicamente.
Conformità normativa
Un sistema ISO 27001 è allineato ai requisiti del GDPR e della normativa NIS2, riducendo il tuo rischio di esposizione come cliente o partner.
Domande frequenti sulla certificazione ISO 9001 e ISO 27001
Cos'è la certificazione ISO 9001:2015 e a cosa serve?
La ISO 9001:2015 è lo standard internazionale per i Sistemi di Gestione della Qualità. Certifica che un'organizzazione ha implementato processi strutturati per erogare servizi e prodotti in modo coerente e conforme alle aspettative dei clienti, con un approccio sistematico al miglioramento continuo. È riconosciuta in oltre 170 Paesi e rappresenta uno dei certificati più diffusi al mondo.
Cos'è la certificazione ISO 27001:2022 e a cosa serve?
La ISO 27001:2022 è lo standard internazionale per i Sistemi di Gestione della Sicurezza delle Informazioni (ISMS). Certifica che l'organizzazione ha identificato i rischi relativi alla sicurezza dei dati e ha implementato controlli adeguati per proteggerli, garantendo riservatezza, integrità e disponibilità. È lo standard di riferimento per aziende che gestiscono dati sensibili di clienti, partner o dipendenti.
Alchimie Digitali è già certificata ISO 9001 e ISO 27001?
Alchimie Digitali Srl ha avviato formalmente il percorso di certificazione l'8 giugno 2026 con l'ente Complaion Srl. L'azienda è già in linea con il piano di implementazione dei requisiti e l'ottenimento di entrambe le certificazioni è previsto entro settembre 2026. Il documento ufficiale è disponibile in questa pagina.
Quanto dura il percorso di adeguamento alla ISO 27001?
Il percorso di adeguamento alla ISO 27001 dura tipicamente tra 6 e 18 mesi, a seconda della complessità dell'organizzazione. Comprende una fase di gap analysis, l'implementazione dei controlli di sicurezza previsti dall'Annex A, un audit interno e infine l'audit di certificazione da parte di un ente accreditato.
Perché un'azienda IT dovrebbe avere sia ISO 9001 che ISO 27001?
Le due certificazioni si completano: la ISO 9001 garantisce la qualità dei processi operativi e la soddisfazione del cliente, mentre la ISO 27001 protegge il patrimonio informativo dell'azienda e dei suoi clienti. Per un'azienda che opera nell'IT, nella cybersecurity e nella comunicazione digitale, averle entrambe significa offrire un livello di affidabilità completo e verificabile da terze parti.
Risorse ufficiali per approfondire
Se stai valutando fornitori o partner IT certificati ISO, o vuoi capire meglio cosa implicano questi standard, ecco le fonti ufficiali di riferimento.
Vuoi lavorare con un partner che investe nella qualità e nella sicurezza?
Contattaci per scoprire come Alchimie Digitali può supportare la tua azienda in ambito IT, cybersecurity e comunicazione digitale — con processi certificati e un approccio misurabile.
