Gli attacchi informatici sono sempre di più

L’attacco informatico contro la Regione Lazio, che ha bloccato tutti i servizi digitali regionali compresi quelli legati alla campagna vaccinale, ha messo in evidenza un problema che per gli esperti è già noto e grave da tempo: i reati informatici contro istituzioni, aziende e privati sono in forte aumento da diversi anni, e molti paesi, compresa l’Italia, non sono del tutto preparati ad affrontarli.

Martedì la ministra dell’Interno, Luciana Lamorgese, ha riferito al Comitato parlamentare per la sicurezza della Repubblica (COPASIR, cioè il corpo del parlamento che sorveglia le attività dei servizi d’intelligence) a proposito dell’attacco contro la Regione Lazio. In un comunicato diffuso dal presidente del COPASIR, Adolfo Urso, è stato riferito che Lamorgese ha parlato di una «recrudescenza» del fenomeno degli attacchi informatici, che sono aumentati negli ultimi mesi sia nel settore pubblico sia in quello privato. Lamorgese ha aggiunto che il sistema informatico della Regione era «vulnerabile» agli attacchi.

Rilevare l’andamento dei reati e degli attacchi informatici è una faccenda piuttosto complicata, sia perché la casistica è estremamente varia, per tipologia e qualità degli attacchi, sia perché in certi casi non vengono denunciati, soprattutto quando colpiscono privati o piccole aziende. In ogni caso, qualsiasi criterio si voglia utilizzare, è piuttosto chiaro che il loro numero è in forte aumento in Italia e nel mondo.

Nel mondo
Il rapporto Clusit 2021, realizzato tutti gli anni dall’Associazione Italiana per la Sicurezza Informatica, si concentra sugli «attacchi gravi di dominio pubblico», cioè su quelli che, in tutto il mondo, hanno avuto «un impatto sistemico in ogni aspetto della società, della politica, dell’economia e della geopolitica»: in pratica gli attacchi di ampio profilo, come molti di quelli di cui ha parlato la stampa internazionale in questi mesi. Questi attacchi, secondo il rapporto, sono aumentati in tutto il mondo del 12 per cento tra il 2019 e il 2020. L’81 per cento del totale ha avuto scopi criminali, in cui l’obiettivo era estorcere alle vittime denaro o dati che avessero valore economico.

Una delle categorie di attacchi informatici in maggior aumento è quella compiuta attraverso ransomware, cioè dei software malevoli che bloccano i dati e i sistemi della vittima con l’obiettivo di ottenere un riscatto (ransom, in inglese) per sbloccarli: è il tipo di attacco che ha colpito la Regione Lazio.

Chainanalysis, una società di analisi di criptovalute, ha calcolato che tra il 2019 e il 2020 in tutto il mondo la quantità di riscatti pagati a seguito di attacchi con ransomware è aumentata del 341 per cento, passando da 93,4 milioni di dollari nel 2019 a 412 milioni nel 2020. Chainanalysis considera esclusivamente i pagamenti in criptovalute, per cui il dato effettivo potrebbe essere di poco più alto, anche se le criptovalute sono di gran lunga il metodo di pagamento più utilizzato in questi casi.

L’aumento di questo tipo di attacchi preoccupa da tempo le autorità in tutto il mondo. A giugno Christopher Wray, il direttore dell’FBI, ha detto davanti al Congresso che «se si considera soltanto i ransomware, l’ammontare totale dei pagamenti dei riscatti è triplicato nel corso dello scorso anno, e stiamo indagando su 100 diversi tipi di ransomware». Per Wray, la cybersicurezza sta diventando uno dei principali problemi di cui si deve occupare l’FBI: «Pensiamo che le minacce informatiche stiano crescendo quasi esponenzialmente», ha detto.

In Italia
Come ha detto Lamorgese al COPASIR, anche in Italia la quantità – e, come ha fatto notare la direttrice della polizia postale Nunzia Ciardi in una recente audizione al Senato, la qualità – degli attacchi informatici è in forte aumento.

Secondo il Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche (CNAIPIC), un organismo della polizia postale, il numero degli attacchi contro infrastrutture critiche in Italia, cioè per esempio le aziende che erogano servizi, sono più che raddoppiati in un anno, passando dai 239 attacchi del 2019 ai 507 del 2020.

Il Sole 24 Ore mercoledì ha pubblicato dati più recenti che riguardano tutti i tipi di attacchi informatici contro privati e aziende e ha stimato che, considerando il trend della prima metà dal 2021, quest’anno il numero di attacchi potrebbe crescere del 50 per cento rispetto al 2020.

La società di sicurezza informatica VMWare ha invece pubblicato a fine giugno un report in cui ha intervistato 251 esperti di cybersicurezza impiegati presso le aziende italiane: l’85 per cento degli intervistati ha detto che la sua azienda ha subìto una violazione negli ultimi 12 mesi, e il 71 per cento ha detto che gli attacchi sono in aumento.

Cosa si sta facendo
In Italia e in Europa la normativa per la sicurezza informatica è piuttosto avanzata: ancora a dicembre del 2020 la Commissione Europea ha pubblicato una nuova strategia sulla cybersicurezza che mira ad aumentare le capacità dei paesi membri di prevenire e bloccare i futuri attacchi, ed eventualmente di rispondere nel caso in cui provengano da un altro stato.

I problema è che in molti paesi, come l’Italia, la messa in pratica delle norme è lenta e macchinosa, e questo lascia ampio margine d’azione ai criminali informatici, sia a livello pubblico sia a livello privato, dove la presenza di moltissime aziende medio-piccole che non possono permettersi di fare grandi investimenti sulla cybersicurezza complica ulteriormente la situazione.

L’attacco alla Regione Lazio, e l’attenzione mediatica che ha ricevuto, potrebbero contribuire a eliminare alcuni blocchi. Per esempio, martedì il Senato ha approvato in via definitiva la creazione di un’Agenzia per la cybersicurezza nazionale, cioè di un nuovo ente specializzato gestito dal governo in cui confluiranno decine di esperti di cybersicurezza provenienti dal DIS (il Dipartimento per le informazioni di sicurezza) e dall’AISI (l’Agenzia di sicurezza interna). Secondo Repubblica, la nuova agenzia dovrebbe cominciare a lavorare già alla fine di questa settimana: il governo sta lavorando ai regolamenti attuativi della nuova agenzia e nei prossimi giorni potrebbe nominarne il direttore.