Cyberwar, l’Ue alza le difese. Le regole ci sono ma vanno attuate

NEI giorni scorsi ha destato particolare attenzione mediatica nel nostro Paese la notizia di una nuova ondata di attacchi cibernetici condotti da hacker filorussi noname057 a siti italiani. Sono stati coinvolti, tra gli altri, i siti del ministero dei Trasporti, degli Esteri, del Governo, dell’Autorità regolatrice dei trasporti e dell’Atac. Altri hacker, rimasti finora anonimi, hanno attaccato i siti di aziende. Una di queste è la Ferrari alla quale sono stati sottratti dati della propria clientela. Per riaverli indietro la fantomatica organizzazione ha richiesto il pagamento di un riscatto. In linea con la propria policy aziendale, Ferrari ha respinto con sdegno “simili richieste” perché altrimenti “finanzierebbe attività criminali e permetterebbe agli autori delle minacce di perpetuare i loro attacchi”. Questi recenti episodi confermano, se ancora ce ne fosse stato bisogno, quanto sia diventata grave e perdurante la minaccia degli attacchi informatici: è evidente che l’attenzione pubblica sul tema è diventata molto alta in questi ultimi tempi, tanto da provocare reazioni sproporzionate e allarmismi spesso ingiustificati che in passato raramente si verificavano.

IL RAPPORTO CLUSIT

Secondo il Rapporto 2023 di Clusit (l’Associazione italiana per la sicurezza informatica) con 2.489 incidenti gravi a livello globale, il 2022 si è rivelato l’anno peggiore da sempre per la cyber security: sono stati 440 gli attacchi in più rispetto al 2021, che segnano una crescita annua del 21%; la media mensile degli incidenti è stata 207, contro i 171 dell’anno precedente. Il picco massimo dell’anno – e di sempre – si è registrato nel mese di marzo, con 238 attacchi. Nel contesto delle crescenti tensioni internazionali tra superpotenze e di un conflitto ad alta intensità combattuto ai confini dell’Europa anche l’Italia appare ormai in maniera evidente nel mirino: nel 2022 nel nostro Paese è andato a segno il 7,6% degli attacchi globali (contro il 3,4% del 2021). In numero assoluto sono stati 188 gli attacchi verso il nostro Paese, dato che segna un incremento del 169% rispetto all’anno precedente. A completare il quadro italiano, la gravità elevata o critica nell’83% dei casi.

IL FENOMENO. NATURA E PORTATA

Sul fenomeno in sé degli attacchi cyber c’è tuttavia ancora poca chiarezza al di fuori dell’ambiente degli “addetti ai lavori”. Sia il pubblico generale che molti osservatori non tecnici stentano infatti a comprenderne correttamente la natura ed a valutarne l’effettiva portata; talvolta addirittura equivocano la situazione scambiando azioni di natura strettamente criminale per attività di disturbo o sabotaggio legate alla sfera della conflittualità internazionale e delle tensioni geopolitiche che caratterizzano questo momento storico. È dunque opportuno cercare di fare il punto sulla situazione, per vedere quali sono le reali vulnerabilità e gli effettivi rischi cui sono esposti oggi i Paesi e le loro infrastrutture strategiche.

WORLD ECONOMIC FORUM: È UN RISCHIO SISTEMICO

Il problema della vulnerabilità delle infrastrutture strategiche nei confronti di attacchi cibernetici, anche se è balzato agli onori delle cronache solo da relativamente poco tempo, non è affatto nuovo: il World Economic Forum aveva infatti inserito i “cyber attacks” come voce autonoma nel suo rapporto annuale sui grandi rischi sistemici sin dalla sua settima edizione, pubblicata nell’oramai lontano 2012. Da allora tuttavia il fenomeno si è fatto sempre più presente e significativo, in quanto la quantità e la qualità degli attacchi effettivamente registrati sul campo sono aumentate costantemente con gli anni.

La maggior parte di questi attacchi, circa l’80%, è di matrice criminale, con finalità sia immediatamente estorsive (fenomeno del ransomware in costante crescita) che di esfiltrazione di dati delle vittime, da utilizzare a loro volta per condurre nuovi attacchi, perpetrare truffe, o semplicemente rivenderli al mercato nero. Invece gli attacchi specificamente indirizzati allo spionaggio o al sabotaggio delle attività della vittima pesano per circa il 13% del totale, con un aumento significativo nel primo semestre del 2022, verosimilmente legato all’inizio della conflittualità fra Russia e Ucraina. Il principale avversario è senza dubbio la criminalità organizzata, quasi sempre di matrice transnazionale, che ha oramai conquistato la piena consapevolezza del contesto e la padronanza degli strumenti tecnici. È così in grado di sferrare attacchi assai sofisticati e ben condotti, ma puntuali e circoscritti nel tempo, potendo anche avvalersi di tutta la tradizionale filiera di servizi di supporto per svolgere attività collaterali quali il riciclaggio dei proventi del cybercrime.

La sua arma preferita è il malware (programma di disturbo) spesso nella forma specializzata del ransomware, cioè limita l’accesso del dispositivo che infetta, richiedendo un riscatto da pagare per rimuovere la limitazione. Gli attaccanti sponsorizzati dagli Stati svolgono invece attività profondamente differenti, non finalizzate all’immediata monetizzazione ma alla supremazia strategica: queste, dunque, consistono soprattutto nell’infiltrazione silente delle reti avversarie, sia per finalità di spionaggio o sabotaggio a breve termine, sia per costituire teste di ponte da sfruttare in futuro secondo le necessità contingenti. Le vittime preferite sono quindi organizzazioni governative o militari, ma anche infrastrutture civili critiche (energetiche, dei trasporti, dei mercati bancari e finanziari) che possono essere colpite sia per disarticolare l’erogazione di servizi essenziali, sia a fini dimostrativi anche al fine di fiaccare il morale della popolazione civile.

Gli attivisti, infine, mossi da motivazioni ideologiche e/o religiose, ricercano soprattutto azioni clamorose nei confronti delle vittime, finalizzate sia a bloccarne le attività a scopo dimostrativo che a ottenere informazioni riservate da usare poi per danneggiare la credibilità o la reputazione dei soggetti attaccati. La considerazione principale, banale quanto si vuole ma sempre valida, è che ogni sistema è robusto quanto il suo elemento più debole: ecco quindi la grande attenzione posta in tempi recenti anche dal Legislatore europeo verso l’innalzamento della protezione non solo dei grandi soggetti critici ma dell’intera filiera produttiva alla quale appartengono. Una filiera che essendo composta da innumerevoli piccole entità è assai più vulnerabile e purtroppo meno preparata, e quindi molto più difficile da proteggere.

VULNERABILITÀ TECNOLOGICHE E REGOLE NELL’UE

A tal proposito va considerato che la maggior parte degli attacchi avviene sfruttando vulnerabilità tecnologiche ben note e spesso già corrette dai produttori, e va quindi a buon fine soprattutto grazie all’incuria. Impreparazione e sciatteria delle vittime che, non governando accuratamente le proprie infrastrutture di servizio, le lasciano scoperte e vulnerabili nei confronti di tecniche di attacco ben note. Proprio per fronteggiare questa vulnerabilità strutturale, il Legislatore europeo ha emanato alla fine del 2022, dopo una lunga preparazione, ben due norme finalizzate proprio all’innalzamento della consapevolezza e della protezione cibernetica di tutte le filiere di fornitura e servizio della società digitale, anche al di fuori di quelle che comunemente vengono indicate come “infrastrutture critiche”.

Si tratta del Regolamento DORA (Digital Operational Resilience Act) che si rivolge agli operatori del settore bancario e finanziario e la Direttiva NIS2 che si rivolge a tutte le aziende fornitrici di servizi: entrambi prevedono una forte responsabilizzazione dei soggetti “minori” nelle rispettive filiere, e obblighi per gli operatori “forti” (spesso capofila) di farsi carico della postura di sicurezza dei propri fornitori più piccoli. Entrambe le norme sono già in vigore, anche se prevedono lunghi tempi di adeguamento per i soggetti interessati.

Ma, nel momento in cui diventeranno realmente effettive, consentiranno di innalzare significativamente la sicurezza delle infrastrutture strategiche diffuse e delle filiere produttive dell’Unione Europea.