Dagli allarmi bomba nelle scuole alle minacce sugli aerei, fino agli attacchi informatici ai sistemi di refrigerazione dei supermercati: episodi diversi che evidenziano quanto la sicurezza informatica sia ormai una questione che riguarda tutti, con possibili ripercussioni sulla vita quotidiana, sui servizi pubblici e sulle attività economiche.
Le minacce inviate via email a numerosi istituti scolastici italiani nella giornata di oggi, mercoledì 11 novembre, riportano al centro una domanda: quanto siamo davvero preparati ad affrontare i rischi legati alla criminalità informatica? E quanto sono vulnerabili scuole, enti pubblici, aziende e infrastrutture?
Ne abbiamo parlato con Alessandro Cocco, ferentinese, CTO del Gruppo Galagant con oltre dieci anni di esperienza nel settore IT, specializzato in sicurezza informatica, progettazione di infrastrutture resilienti e piani di Disaster Recovery. Nel corso della sua attività ha seguito progetti per la Pubblica Amministrazione, la sanità, le università e il settore energetico, occupandosi anche di network security, cloud e conformità normativa. È inoltre relatore in incontri di sensibilizzazione sulla cybersecurity rivolti alle piccole e medie imprese.
Alessandro, partiamo da quello che è accaduto oggi nelle scuole italiane, dagli attacchi ai frigoriferi e agli allarmi bomba sugli aerei. Migliaia di istituti hanno ricevuto comunicazioni minatorie e in molti casi si è proceduto all’evacuazione. Dal punto di vista informatico, che cosa può esserci dietro un’operazione di questo genere? È sufficiente una semplice campagna di email massive oppure siamo di fronte a qualcosa di più complesso?
Prima di tutto bisogna distinguere, altrimenti finisce tutto nello stesso calderone.
Nei supermercati qualcuno è entrato davvero nei sistemi. Ha preso il controllo delle centraline che gestiscono la refrigerazione. Erano esposte su internet, spesso con le password di fabbrica e un software mai aggiornato. Il produttore aveva segnalato il problema e chiesto di aggiornare già anni fa. Chi doveva farlo non l’ha fatto.
Nelle scuole stamattina e sugli aerei nei giorni scorsi, da quello che sappiamo finora, nessuno ha dovuto violare niente. È bastata una mail. A chi la manda non costa nulla, eppure ha fatto evacuare migliaia di studenti, ha mobilitato le forze dell’ordine e ha fatto deviare voli scortati dai caccia. È questa sproporzione che deve preoccuparci: chi attacca spende pochi euro, noi paghiamo in ore di lavoro perse, in panico e in credibilità.
Il filo che lega tutto è uno solo. Qualcuno sta misurando quanto siamo fragili e come reagiamo. E oggi reagiamo male, perché non ci siamo preparati prima.
Una scuola che riceve una minaccia via mail ha una procedura per valutarla? Esiste qualcuno che in dieci minuti può dire “questa mail è arrivata identica a migliaia di istituti, è una molestia, non una minaccia”?
Quasi sempre la risposta è no. L’informatica delle scuole è spesso affidata al docente volenteroso o al fornitore più economico. Se non hai gli strumenti per distinguere una minaccia credibile da una provocazione, l’unica scelta che ti resta è evacuare tutto. E chi ha mandato quella mail lo sa benissimo.
Smettiamo di parlare di disgrazie. Sono scelte: firewall con licenze scadute, switch accesi e mai configurati, router con il firmware fermo a dieci anni fa, macchine industriali in rete senza nessuna separazione, nessuna procedura di risposta agli incidenti. Tutto funziona, fino al giorno peggiore. Si risparmia un euro oggi per spenderne un milione domani.
Le scuole e gli aerei ci stanno dicendo che il giorno peggiore non è più un tema da convegno. Quando al posto di una mail arriverà un attacco tecnico vero, evacuare non basterà.
Quanto è facile oggi inviare migliaia di comunicazioni anonime, apparentemente credibili, a istituzioni, scuole o aziende? Quali strumenti può utilizzare un soggetto che vuole creare un’emergenza?
Assolutamente facile, con tecnologie degli anni 2000 per di più, le email delle scuole sono pubbliche. Basta uno script di poche righe per “scraparle” tutte. Con Claude o ChatGpt puoi farlo in due minuti. Una mail anonima si crea su internet in 30 secondi.
Addirittura è possibile, visto lo stato delle difese informatiche di molte aziende o istituzioni, mandare una email in cui ci si spaccia per qualcun altro. Immaginate se, come nel caso Revolut, la mail fosse arrivata da un Comune o da una Questura.
Un istituto scolastico medio dispone generalmente di competenze e strumenti adeguati per difendersi da un attacco informatico? Oppure la sicurezza digitale è ancora considerata un aspetto secondario rispetto alle altre esigenze organizzative?
Per mia esperienza diretta no o non come dovrebbe essere. Molti professori sono preparati in materia e potrebbero essere parte attiva ma una scuola ha enormi spese e normalmente pochi fondi da destinare ad altri aspetti molto importanti. Tranne qualche raro e virtuoso caso. Molti dirigenti non hanno la concezione del rischio reale, vedono la cosa più da un punto di vista legale
Esistono protocolli che i dirigenti scolastici dovrebbero conoscere per gestire correttamente una minaccia ricevuta via email? Quali sono i primi comportamenti da adottare e, soprattutto, quali errori evitare?
Esistono. Tengo regolarmente corsi di formazione su come distinguere una mail reale da una fake. La formazione è la prima e più importante difesa. Anche se in questo caso non si tratta di una violazione, la gran parte degli attacchi hacker nasce da errori umani che una formazione di base può evitare. In questo caso la formazione degli operatori, un framework di interpretazione e un piano di risposta avrebbero mitigato il problema.
Sarebbe utile organizzare simulazioni di attacco, esercitazioni di phishing e prove di gestione delle emergenze, proprio come si fa con le esercitazioni antincendio e di evacuazione?
E’ fondamentale. Il caos e l’impreparazione possono fare più danni dell’attacco hacker stesso.
Spostiamo il discorso alle pubbliche amministrazioni. Comuni, Province, aziende sanitarie, ospedali e uffici pubblici gestiscono quotidianamente informazioni e servizi fondamentali. Quanto sono esposti agli attacchi informatici?
Ad oggi ancora enormemente esposti. Ma non per colpa loro ci tengo a specificare, le minacce evolvono giornalmente e l’avvento dell’AI le ha quintuplicate. Da 10 anni mi occupo di infrastrutture e sicurezza informatica, per fortuna tanti passi avanti si stanno compiendo ma non è sufficiente. L’Italia subisce da sola ogni anno il 10% degli attacchi hacker su scala mondiale. E’ una lotta senza quartiere e richiede collaborazione, mentalità e formazione continua oltre che investimenti.
Un attacco a un Comune può bloccare servizi anagrafici, pagamenti, gestione dei tributi, comunicazioni istituzionali e servizi al cittadino. Quali sono le conseguenze più concrete che può subire la popolazione?
Si può arrivare al blocco dei servizi più essenziali come quelli che hai nominato. Lo abbiamo visto a luglio 2021 con l’attacco di LockBit al CED della regione Lazio. Per alcuni giorni gran parte della sanità regionale fu bloccata. Da allora sono cambiate molte cose in positivo ma sono aumentate esponenzialmente anche le minacce.
Le piccole e medie imprese sono sufficientemente consapevoli dei rischi? Spesso si pensa che gli hacker prendano di mira soltanto grandi aziende, banche o multinazionali. È davvero così?
Una delle attività a cui dedico più tempo è proprio questa, comunicare e trasmettere il valore della sicurezza informatica. La consapevolezza nelle PMI aumenta giorno dopo giorno soprattutto in seguito a casi come quelli di oggi.
Gli Hacker non prendono di mira solo banche o multinazionali anzi. Dall’ultimo rapporto del CLUSIT si evince proprio il contrario, le PMI sono il terreno più fertile per le crew di hacker. Primo perché hanno difese minime o inesistenti quindi alzano enormemente il rapporto costo/efficacia di un attacco, secondo perché gli attacchi passano in sordina e non vengono denunciati.
Considerate poi che gli hacker oggi non sono più ragazzini esclusi dalla vita sociale con la felpa nel sottoscala. Sono organizzazioni para-aziendali con un organigramma, degli obiettivi di incasso mensile da raggiungere, hanno dei listini prezzi e degli agenti di commercio. Su Telegram ormai si possono acquistare servizi di Hacking as a Service (HaaS) a prezzi ridicoli. Molte aziende, anzi la gran parte, sono già profilate, sono già “clienti” di un gruppo Hacker anche se non lo sanno. L’attacco arriverà quando ci sarà il momento di convenienza economico.
Quali sono i settori maggiormente esposti? Sanità, trasporti, logistica, industria, energia, distribuzione alimentare: esiste un settore che può considerarsi realmente al riparo?
Sicuramente quelli elencati sono fra i settori più a rischio e sicuramente in questi casi vediamo il più alto impatto sulla società. Ma non ci sono settori al riparo. Con i miei occhi, durante alcune attività tecniche, ho visto sottrarre migliaia di euro da aziende familiari con fatturati al di sotto del milione di euro.
Quanto può costare a un’impresa un attacco informatico? Non soltanto in termini economici, ma anche di perdita di dati, interruzione dell’attività, danno reputazionale e fiducia dei clienti.
Uno degli aspetti più importanti è il danno reputazionale. Aziende che lavorano conto terzi per grandi appaltatori potrebbero vedere i propri contratti annullati. In termini economici dipende da azienda ad azienda. In alcuni casi un fermo può costare milioni al giorno. L’incapacità di ripristinare i sistemi in assenza di una politica di Disaster Recovery ferma può portare alla cessazione dell’azienda come già accaduto cito fra tutti la KNP Logistics fallita dopo 158 anni di storia dopo l’attacco del ransomware AKIRA.
Quanto è realistico lo scenario di un attacco informatico capace di compromettere contemporaneamente più servizi essenziali di un territorio?
E’ una ipotesi di cui si parla da qualche anno ormai. Abbiamo svolto delle simulazioni con importanti Università per capire la portata di un attacco combinato a enti locali, centrali elettriche e sanità. Non voglio creare alcun allarmismo ma è una ipotesi plausibile.
Possiamo davvero fidarci della tecnologia? Abbiamo affidato alla rete una parte enorme della nostra vita: comunicazioni, pagamenti, documenti, servizi pubblici, sicurezza domestica. Stiamo correndo più velocemente della nostra capacità di proteggerci?
Possiamo fidarci della tecnologia come possiamo fidarci delle automobili. Girereste con un’auto con i freni finiti o senza airbag? La differenza sta nella prudenza al volante, nel rispetto delle regole e nel mantenimento delle infrastrutture come già previsto da diverse direttive.
