Dic 19, 2025 Marina Londei Attacchi, In evidenza, Minacce, News, RSS, Vulnerabilità 0

---

Una vecchia vulnerabilità di ASUS Live Update è ancora tutt’altro che “morta”: pochi giorni fa la CISA ha aggiunto il bug al catalogo delle vulnerabilità sfruttate attivamente, rivelando che il rischio è tutt’altro che risolto.

Come riporta MalwareBytes, il caso è scoppiato nel 2019 con l’operazione ShadowHammer a opera del gruppo APT41. I cybercriminali riuscirono a iniettare codice malevolo nell’utility ASUS Live Update sfruttando questa falla e compromettendo i server di aggiornamento.

Il file malevolo era firmato con certificati digitali autentici ASUS, il che lo rendeva invisibile alla maggior parte degli antivirus. L’aggiornamento malevolo è stato inviato sui server ufficiali di ASUS, rendendo l’infezione indistinguibile da un normale aggiornamento di sistema.

Quello che sembrava un incubo ormai concluso è invece tornato prepotentemente alla carica con l’aggiornamento del catalogo CISA. La vulnerabilità, ora tracciata come CVE-2025-59374, viene ancora sfruttata attivamente dagli attaccanti dopo sette anni dalla sua individuazione.

Il problema principale sta nella longevità dell’hardware: molti laptop e PC ASUS vecchi sono ancora in funzione in ambienti domestici o uffici meno aggiornati. Poiché l’utility ASUS Live Update è stata ufficialmente dichiarata End-of-Support il 4 dicembre 2025, non riceverà più patch di sicurezza, lasciando chiunque utilizzi versioni precedenti alla 3.6.8 (o l’ultima 3.6.15) esposto a potenziali attacchi.

L’inclusione nel catalogo della CISA implica che le agenzie governative americane (e per riflesso molte aziende europee che seguono gli stessi standard) sono obbligate a rimuovere o aggiornare il software entro tempi molto brevi. La minaccia non è più limitata a ShadowHammer e APT41, ma è altamente probabile che altri gruppi continuino a sfruttare la stessa falla per distribuire ransomware o sottrarre dati sensibili.

Per proteggersi occorre innanzitutto verificare la versione di ASUS Live Update installata, controllando che sia almeno alla 3.6.8. Considerando che si tratta di un software a fine vita, il consiglio migliore è, se possibile, di disinstallare l’utility e passare a MyASUS, il tool più moderno e supportato dall’azienda per la gestione dei driver.

---

---

---

https://www.securityinfo.it/2025/12/19/una-vulnerabilita-di-asus-live-update-di-sette-anni-fa-viene-ancora-sfruttata/?utm_source=rss&utm_medium=rss&utm_campaign=una-vulnerabilita-di-asus-live-update-di-sette-anni-fa-viene-ancora-sfruttata

La DORA compliance è diventata realtà operativa per il settore finanziario europeo dal 17 gennaio 2025, data di applicazione del Digital Operational Resilience Act. Migliaia di entità finanziarie si confrontano oggi non più con l’eventualità di un adeguamento normativo, ma con la concretezza di un regime di vigilanza che ridefinisce il rapporto tra tecnologia, rischio e governance nel sistema finanziario.

Nonostante mesi di preparazione, molte organizzazioni stanno scoprendo che il vero banco di prova della DORA compliance non è stato superare l’audit di conformità, ma trasformare principi regolamentari in prassi operative efficaci. La distanza tra il documento di compliance e la resilienza effettiva è il territorio dove oggi si gioca la partita più significativa.

Il paradosso dell’implementazione della DORA compliance

C’è un paradosso interessante nell’implementazione della DORA compliance che emerge con particolare chiarezza nelle conversazioni con i responsabili delle financial entities. Da un lato, il Regolamento (UE) 2022/2554 è stato accolto come strumento necessario per standardizzare approcci frammentati alla gestione del rischio ICT. Dall’altro, la sua natura principle-based lascia ampi margini interpretativi che generano incertezza operativa, soprattutto nelle organizzazioni di dimensioni medio-piccole.

Prendiamo l’articolo 6 del regolamento DORA, che impone l’implementazione di un framework di gestione del rischio ICT “completo, solido ed efficace”. Questi tre aggettivi, apparentemente semplici, racchiudono in realtà una complessità implementativa notevole. Cosa rende un framework “completo” nel contesto specifico di una banca regionale con un’infrastruttura legacy complessa? Come si misura la “solidità” di un sistema di classificazione degli incidenti? E soprattutto, come si dimostra l’efficacia quando molti scenari di rischio sono per loro natura probabilistici e difficilmente quantificabili ex ante?

La risposta che sta emergendo dalla pratica della DORA compliance è che il regolamento richiede un cambio di paradigma culturale prima ancora che tecnologico. Non si tratta di implementare nuovi tool o aggiornare policy esistenti, ma di ripensare il modo in cui l’intera organizzazione percepisce e gestisce il rischio tecnologico.

Governance e ruolo dell’organo direttivo nella DORA compliance

Un elemento distintivo della DORA compliance riguarda il coinvolgimento diretto dell’organo direttivo nella gestione del rischio ICT. L’articolo 5 del regolamento stabilisce responsabilità precise e non delegabili per il board, segnando un cambio di paradigma rispetto al passato quando la cybersecurity era spesso relegata a questione puramente tecnica.

L’organo di gestione delle entità finanziarie deve ora approvare, supervisionare e assumersi la responsabilità finale del framework di gestione del rischio ICT. Questo significa che i membri del board devono possedere conoscenze sufficienti per comprendere e valutare criticamente i rischi informatici e il loro impatto potenziale sull’organizzazione. Nella DORA compliance, non è più accettabile che il consiglio di amministrazione si limiti ad approvare formalmente documenti preparati dai dipartimenti tecnici senza comprenderli realmente.

Le organizzazioni più avanzate stanno implementando programmi di board education specifici, con sessioni di formazione dedicate che vanno oltre le presentazioni generiche sulla cybersecurity. Questi programmi includono simulazioni di scenari di crisi cyber, analisi di casi reali di incidenti nel settore finanziario, e sessioni di war gaming che mettono il board di fronte a decisioni strategiche in condizioni di stress e incertezza.

La funzione di controllo ICT: architettura organizzativa della DORA compliance

L’articolo 6, paragrafo 4, del regolamento introduce un requisito organizzativo specifico: le entità finanziarie diverse dalle microimprese devono attribuire la responsabilità della gestione dei rischi informatici a una funzione di controllo indipendente. Questo rappresenta una delle questioni più dibattute nell’implementazione della DORA compliance.

Il regolamento non prescrive una collocazione organizzativa specifica, lasciando alle entità la flessibilità di adattare la funzione alle proprie strutture di governance. Tuttavia, la Banca d’Italia nella sua comunicazione del 30 dicembre 2024 ha chiarito che la scelta sulla collocazione organizzativa non deve pregiudicare l’efficace svolgimento di tutti i compiti attribuiti alla funzione di controllo ICT.

Nella pratica della DORA compliance, si stanno delineando diversi modelli organizzativi. Alcune organizzazioni istituiscono una funzione autonoma dedicata, altre integrano i compiti nella funzione di risk management, altre ancora nella funzione di compliance. Il criterio discriminante non è tanto la collocazione formale quanto l’effettiva indipendenza, le competenze disponibili e la capacità di dialogare efficacemente sia con i team tecnici sia con il vertice aziendale.

È importante notare che la funzione di controllo ICT non può essere affidata alla struttura che svolge la funzione di internal audit, per evitare conflitti di interesse. Questo aspetto della DORA compliance richiede una chiara separazione dei ruoli all’interno dell’organizzazione.

Test di resilienza operativa digitale: dall’adempimento formale alla sostanza

Se c’è un ambito in cui il divario tra forma e sostanza della DORA compliance rischia di essere più evidente, è quello dei test di resilienza operativa digitale previsti dall’articolo 25. Molte financial entities hanno dovuto ammettere che i penetration test condotti negli anni precedenti, pur formalmente corretti, erano spesso esercizi circoscritti che poco rivelavano sulla capacità complessiva dell’organizzazione di resistere e reagire a stress tecnologici significativi.

La tassonomia dei test DORA

Il Regolamento DORA introduce una tassonomia articolata che prevede:

• Test di vulnerabilità e scansioni;
• Analisi open source;
• Valutazioni della sicurezza di rete;
• Gap analysis;
• Esami di sicurezza fisica;
• Questionari e soluzioni software di scansione;
• Penetration test basati su sorgenti;
• Threat-Led Penetration Testing (TLPT).

Quest’ultimo, obbligatorio per le entità finanziarie di maggiori dimensioni e da condurre almeno ogni tre anni, rappresenta un salto qualitativo rispetto alle pratiche convenzionali della DORA compliance.

Caratteristiche del threat-led penetration testing

Il TLPT, disciplinato dagli articoli 26 e 27 del regolamento DORA, non è un semplice test tecnico, ma una simulazione avanzata che mima le tattiche, le tecniche e le procedure di attori ostili reali. Richiede l’uso di threat intelligence aggiornata, l’impiego di tester qualificati che ragionino come veri avversari, e soprattutto un approccio che testi non solo la tenuta dei sistemi tecnologici, ma anche la capacità di detection, response e recovery dell’intera organizzazione.

Nella pratica della DORA compliance, un TLPT ben condotto può durare settimane, coinvolgere team red che operano senza preavviso sui perimetri di attacco, e generare scenari di stress che mettono alla prova non solo l’infrastruttura ma anche i processi decisionali, le comunicazioni interne, e la capacità di coordinamento tra diverse funzioni aziendali. Il framework segue le linee guida TIBER-EU, garantendo un approccio armonizzato a livello europeo.

Requisiti per i tester e certificazioni

Un aspetto critico della DORA compliance riguarda i requisiti per i soggetti che conducono i TLPT. L’articolo 27 stabilisce che i tester devono:

• Dimostrare il massimo grado di idoneità e reputazione;
• Possedere capacità tecniche e organizzative ed esperienza specifica nel campo delle analisi delle minacce, dei penetration test e dei test red team;
• Essere certificati da un ente di accreditamento in uno Stato membro o aver adottato codici formali di condotta o quadri etici;
• Fornire una garanzia indipendente o una relazione di audit concernente la solida gestione dei rischi derivanti dallo svolgimento di TLPT;
• Essere coperti da un’assicurazione di responsabilità professionale.

Particolare attenzione nella DORA compliance va posta sulla possibilità di utilizzare tester interni. Il regolamento lo consente, ma con condizioni stringenti: l’uso di tester interni deve essere approvato dall’autorità competente, deve essere garantita l’assenza di conflitti di interesse, e in ogni caso ogni terzo test deve essere condotto da tester esterni. Inoltre, la threat intelligence deve sempre essere fornita da un soggetto esterno, anche quando il team red è interno.

I sei criteri di classificazione degli incidenti ICT

Un aspetto fondamentale della DORA compliance riguarda la capacità di classificare correttamente gli incidenti ICT. L’articolo 18 del regolamento stabilisce sei criteri specifici che le entità finanziarie devono utilizzare per determinare se un incidente debba essere classificato come major e quindi segnalato alle autorità competenti.

I sei criteri di classificazione sono:

1. Numero di clienti o controparti finanziarie interessate: soglie quantitative specifiche determinano quando l’impatto è considerato significativo;
2. Durata dell’incidente: la persistenza nel tempo dell’interruzione o del malfunzionamento è un indicatore chiave;
3. Distribuzione geografica: l’estensione territoriale dell’impatto viene valutata in relazione alle operazioni dell’entità;
4. Perdite di dati: qualsiasi compromissione dell’integrità, disponibilità, riservatezza o autenticità dei dati, anche una sola violazione di dati sensibili;
5. Criticità dei servizi interessati: l’impatto sulle funzioni essenziali o importanti dell’entità finanziaria;
6. Impatto economico: le perdite effettive o potenziali, inclusi i costi diretti e indiretti dell’incidente.

Nella DORA compliance, questi criteri devono essere applicati in modo combinato, e il superamento anche di una sola soglia può determinare la classificazione come incidente major. Le organizzazioni stanno implementando sistemi di scoring automatizzati che valutano in tempo reale gli incidenti rispetto a questi criteri, consentendo decisioni rapide sulla necessità di segnalazione.

Gestione del rischio di terze parti: il nodo critico della DORA compliance

Forse l’aspetto più dirompente della DORA compliance riguarda il Capo V sulla gestione del rischio derivante dai fornitori terzi di servizi ICT. Il regolamento introduce un regime di oversight che impatta in modo particolare sui fornitori di servizi cloud, che vengono ora sottoposti a un framework di vigilanza diretta da parte delle autorità europee.

Obblighi contrattuali secondo l’articolo 30

Per le financial entities, questo si traduce in obblighi contrattuali stringenti. L’articolo 30 del regolamento DORA richiede che gli accordi con i fornitori ICT includano clausole dettagliate che coprono:

• Descrizione chiara e completa di tutte le funzioni e i servizi ICT da prestare;
• Luoghi di elaborazione e conservazione dei dati, con obbligo di notifica preventiva di eventuali cambiamenti;
• Disposizioni in materia di disponibilità, autenticità, integrità e riservatezza dei dati;
• Garanzie di accesso, ripristino e restituzione dei dati in formato accessibile;
• Livelli di servizio concordati con obiettivi quantitativi e qualitativi precisi;
• Termini di preavviso e obblighi di segnalazione;
• Diritti di accesso, ispezione e audit, inclusi quelli delle autorità competenti;
• Strategie di uscita (exit strategy) con periodo di transizione obbligatorio.

Il punto più delicato della DORA compliance riguarda i diritti di accesso, ispezione e audit che l’entità finanziaria deve potersi riservare, incluso il diritto delle autorità competenti di condurre ispezioni dirette presso i locali del fornitore.

Questo ha generato tensioni significative nelle negoziazioni contrattuali, soprattutto con i grandi provider cloud internazionali abituati a modelli contrattuali standardizzati. Giganti tecnologici come Google Cloud e Microsoft hanno dovuto adattare i propri termini contrattuali per rispondere ai requisiti della DORA compliance, offrendo mappature specifiche dell’articolo 30 e documentazione di supporto per i clienti del settore finanziario.

Il registro dei contratti e la valutazione del rischio di concentrazione

Il registro dei contratti con fornitori terzi di servizi ICT, previsto dall’articolo 28, è diventato uno strumento di governance essenziale nella DORA compliance. Le Autorità di Vigilanza Europee hanno pubblicato gli Implementing Technical Standards (ITS) che definiscono i modelli standard per questo registro.

Le entità finanziarie devono documentare:

• Identificazione dei fornitori di servizi ICT e delle entità che partecipano agli accordi contrattuali;
• Informazioni relative all’identificazione delle funzioni esternalizzate;
• Informazioni sulla catena di fornitura dei servizi ICT;
• Informazioni sulla valutazione dei servizi ICT offerti;
• Cronologia di eventi rilevanti, come interruzioni o incidenti;
• Misure di controllo e monitoraggio delle performance e della sicurezza;
• Informazioni sulla conformità normativa;
• Dettagli sui piani di exit e strategie di transizione.

Un aspetto cruciale della DORA compliance è la valutazione del rischio di concentrazione, disciplinata dall’articolo 29. Le entità finanziarie devono analizzare se dipendono in modo eccessivo da un singolo fornitore o da un gruppo ristretto di fornitori, valutando i potenziali meccanismi di lock-in tecnologico e contrattuale. Questa analisi deve essere condotta sia a livello individuale sia, quando applicabile, su base consolidata.

La designazione dei fornitori critici e il framework di vigilanza

Un elemento innovativo della DORA compliance è il framework di oversight sui fornitori terzi critici di servizi ICT (Critical Third-Party Providers – CTPP), disciplinato dagli articoli 31-44 del regolamento.

Le Autorità di Vigilanza Europee (EBA, EIOPA, ESMA) hanno la responsabilità di identificare e designare come critici quei fornitori di servizi ICT il cui malfunzionamento potrebbe avere impatti sistemici sul settore finanziario europeo. Il processo di designazione segue una roadmap precisa:

1. Valutazioni di criticità: le autorità conducono valutazioni basate su criteri quali l’importanza sistemica, il numero e la tipologia di entità finanziarie servite, la concentrazione di mercato
2. Notifica ai fornitori: entro luglio 2025 per la prima designazione, con un periodo di sei settimane durante il quale i fornitori possono presentare obiezioni motivate
3. Designazione finale: dopo la valutazione delle eventuali obiezioni, pubblicazione della lista dei CTPP
4. Avvio della vigilanza: i fornitori critici entrano nel perimetro di vigilanza diretta delle autorità europee

Una volta designati come critici, i fornitori ICT sono soggetti a un regime di vigilanza che include ispezioni generali e sul posto, richieste di informazioni, raccomandazioni e, in caso di inosservanza, sanzioni pecuniarie che possono raggiungere l’1% del fatturato mondiale medio giornaliero dell’anno precedente.

Questo aspetto della DORA compliance rappresenta un cambiamento significativo nel rapporto tra autorità di vigilanza finanziaria e fornitori tecnologici, tradizionalmente soggetti a regimi di supervisione diversi o inesistenti.

Framework di gestione degli incidenti ICT nella DORA compliance

Il framework di gestione degli incidenti ICT stabilito dal Capo III introduce tempistiche di notifica stringenti che hanno costretto molte organizzazioni a ripensare i propri processi di incident response. La classificazione degli incidenti come major, basata sui sei criteri precedentemente illustrati, richiede capacità di assessment rapido che non tutte le entità avevano sviluppato.

Tempistiche di segnalazione

Nell’ambito della DORA compliance, le tempistiche di segnalazione sono rigide:

• Segnalazione iniziale: entro 4 ore dalla classificazione dell’incidente, e comunque non oltre 24 ore dalla sua identificazione;
• Relazione intermedia: entro 72 ore dalla prima notifica, per aggiornare le informazioni disponibili;
• Relazione finale: entro un mese dalla risoluzione dell’incidente, contenente l’analisi delle cause, l’impatto finale e le misure correttive adottate.

Tutti i report devono essere trasmessi tramite i canali indicati dalle autorità di vigilanza competenti, in formato standardizzato secondo quanto previsto dagli ITS. In Italia, le entità finanziarie si rivolgono a Banca d’Italia per il settore bancario, IVASS per quello assicurativo, Consob per i mercati finanziari e COVIP per la previdenza complementare.

Cultura dell’apprendimento post-incident

Ma al di là degli aspetti procedurali della DORA compliance, c’è una dimensione più profonda che merita attenzione. Il regolamento spinge verso una cultura dell’apprendimento post-incident che vada oltre la semplice remediation tecnica. I report intermedi e finali richiesti devono includere analisi delle cause radice, valutazioni dell’efficacia della risposta, e identificazione delle lezioni apprese.

Le organizzazioni più mature nella DORA compliance stanno adottando approcci strutturati di post-incident review che coinvolgono non solo i team tecnici ma anche il management, utilizzando framework consolidati come i blameless postmortem mutuati dall’ingegneria del software. L’obiettivo non è individuare responsabili, ma comprendere i fattori sistemici che hanno permesso l’incidente e migliorare la resilienza complessiva dell’organizzazione.

Il regolamento richiede esplicitamente che le entità finanziarie conducano verifiche tecniche approfondite, che possono includere attività di digital forensic, collaudi sui sistemi colpiti, analisi dei registri di log, e valutazione delle debolezze organizzative o di processo che hanno favorito l’incidente. I risultati di queste analisi devono essere formalizzati in report interni e condivisi con gli organi di governance, in particolare con la funzione di gestione del rischio ICT, al fine di integrare le misure correttive nelle policy e procedure adottate.

Competenze e consapevolezza: il fattore umano nella DORA compliance

Un aspetto spesso sottovalutato nelle discussioni sulla DORA compliance riguarda i requisiti in termini di competenze e consapevolezza. L’articolo 9 del regolamento stabilisce che le entità finanziarie devono disporre di personale con competenze e conoscenze sufficienti nel campo ICT, e che il management deve possedere una comprensione adeguata dei rischi legati al digitale.

Nella pratica della DORA compliance, questo si traduce in programmi di formazione articolati che devono raggiungere diversi livelli organizzativi. Non è sufficiente che i team tecnici conoscano le best practice di cybersecurity; è necessario che il board comprenda realmente le implicazioni strategiche delle scelte tecnologiche, che i risk manager sappiano dialogare efficacemente con i responsabili IT, e che le prime linee operative possano riconoscere e segnalare tempestivamente anomalie potenzialmente rilevanti.

Alcune financial entities stanno sperimentando approcci innovativi per la DORA compliance, come simulation game che mettono il management in scenari di crisi cyber realistici, costringendoli a prendere decisioni con informazioni parziali e sotto pressione temporale. Questi esercizi rivelano spesso gap significativi nella comprensione dei processi di incident response e nella capacità di coordinamento tra diverse funzioni aziendali.

Il regolamento non prescrive modalità specifiche di formazione, ma stabilisce il principio che le competenze devono essere proporzionate alla complessità, al profilo di rischio e alle dimensioni dell’entità finanziaria. Le organizzazioni più avanzate stanno implementando programmi di cyber awareness continui, che vanno oltre le tradizionali sessioni annuali di formazione obbligatoria, includendo simulazioni di phishing, newsletter periodiche su minacce emergenti, e meccanismi di gamification per mantenere alta l’attenzione del personale.

RTS e ITS: il completamento del quadro normativo DORA

Sebbene il Regolamento (UE) 2022/2554 sia direttamente applicabile dal 17 gennaio 2025, il quadro normativo della DORA compliance non è ancora del tutto completo. Il regolamento ha conferito alle Autorità di Vigilanza Europee (ESA) il mandato di elaborare Regulatory Technical Standards (RTS) e Implementing Technical Standards (ITS) per specificare e armonizzare aspetti tecnici dell’implementazione.

Il 17 gennaio 2025, le ESA hanno pubblicato il primo set di RTS e ITS, attualmente al vaglio della Commissione Europea. Tra i documenti più rilevanti per la DORA compliance:

• RTS sulla gestione del rischio ICT: specifiche su politiche, procedure, protocolli e strumenti per la sicurezza ICT;
• RTS sul TLPT: criteri per identificare le entità tenute a condurre test guidati dalla minaccia, requisiti per i tester interni, metodologia e approccio per ogni fase del testing;
• ITS sui modelli di segnalazione: template standardizzati per la notifica degli incidenti ICT alle autorità competenti;
• ITS sul registro dei contratti: modelli standard per documentare gli accordi con fornitori terzi di servizi ICT;
• Regolamento delegato (UE) 2024/1774: che delinea le policy di risk management per l’identificazione e valutazione dei rischi ICT.

Le entità finanziarie impegnate nella DORA compliance devono monitorare costantemente l’evoluzione di questi standard tecnici, poiché introducono requisiti operativi specifici che vanno oltre i principi generali del regolamento. La procedura di approvazione degli RTS e ITS prevede che la Commissione Europea possa sollevare obiezioni entro tre mesi dalla ricezione; in assenza di obiezioni, gli standard sono considerati adottati.

Sanzioni e meccanismi di enforcement della DORA compliance

Un aspetto che conferisce concretezza alla DORA compliance è il regime sanzionatorio previsto dal regolamento. Le autorità competenti di ciascuno Stato membro hanno il potere di imporre sanzioni amministrative alle entità finanziarie che non rispettano gli obblighi del regolamento.

Sebbene DORA non specifichi importi sanzionatori fissi lasciando questa determinazione agli Stati membri, il regolamento stabilisce che le sanzioni devono essere effettive, proporzionate e dissuasive. Le autorità competenti possono:

• Richiedere alle entità finanziarie di adottare misure di sicurezza specifiche e di correggere vulnerabilità;
• Imporre la cessazione di determinati comportamenti;
• Sospendere l’esercizio di alcune attività;
• Richiedere la sostituzione di membri dell’organo di gestione;
• Applicare sanzioni pecuniarie amministrative.

Per i fornitori terzi critici di servizi ICT, il regolamento è più specifico: l’articolo 35 prevede che l’autorità di sorveglianza capofila possa imporre sanzioni fino all’1% del fatturato mondiale medio giornaliero dell’anno precedente in caso di inosservanza delle misure richieste.

Un elemento importante della DORA compliance è che le sanzioni non si applicano solo in caso di incidenti effettivi, ma anche per inadeguatezze nei framework preventivi, carenze nei test di resilienza, o mancato rispetto degli obblighi di segnalazione e documentazione. Questo sottolinea come il regolamento premi un approccio proattivo alla gestione del rischio piuttosto che reattivo agli incidenti.

DORA compliance e convergenza normativa: NIS2, GDPR, CER

Un aspetto cruciale nell’implementazione della DORA compliance riguarda la necessità di coordinare gli adempimenti con altre normative europee che intersecano il dominio della sicurezza ICT. Le entità finanziarie si trovano oggi a dover gestire un ecosistema normativo complesso dove diversi regolamenti e direttive si sovrappongono parzialmente.

DORA e NIS2

La Direttiva NIS2 sulla sicurezza delle reti e dei sistemi informativi presenta numerosi punti di contatto con DORA, ma con un ambito di applicazione più ampio che include tutti i settori critici. Per le entità finanziarie che rientrano in entrambi i perimetri, è fondamentale comprendere come i requisiti si intersechino.

DORA, essendo un regolamento specifico per il settore finanziario, prevale sulla NIS2 per le entità finanziarie (lex specialis). Tuttavia, alcuni aspetti della NIS2 possono essere complementari, in particolare per quanto riguarda la cooperazione transfrontaliera e la condivisione di informazioni sulle minacce. Le organizzazioni più efficienti nella DORA compliance stanno adottando un approccio integrato che considera entrambi i framework normativi come parti di una strategia di sicurezza complessiva.

DORA e GDPR

Il rapporto tra DORA compliance e GDPR è particolarmente rilevante per quanto riguarda la gestione degli incidenti che coinvolgono dati personali. Un incidente ICT che comporti una violazione di dati personali (data breach) richiede adempimenti sia ai sensi di DORA sia ai sensi del GDPR.

Le tempistiche di notifica sono diverse: DORA prevede 4 ore per la notifica iniziale degli incidenti major, mentre il GDPR richiede 72 ore per la notifica delle violazioni di dati personali all’autorità di protezione dati. Inoltre, DORA richiede la notifica all’autorità di vigilanza finanziaria, mentre il GDPR richiede la notifica al Garante per la Protezione dei Dati Personali.

Le organizzazioni impegnate nella DORA compliance devono predisporre procedure che gestiscano in parallelo entrambi gli obblighi di notifica, evitando duplicazioni inutili ma garantendo che tutte le autorità competenti ricevano le informazioni necessarie nei termini previsti. Molte entità stanno adattando le procedure di notifica dei data breach già esistenti per integrarle con i nuovi requisiti DORA.

DORA e Direttiva CER

La Direttiva sulla resilienza dei soggetti critici (CER) introduce obblighi di resilienza fisica e operativa per le entità considerate critiche, includendo potenzialmente anche entità del settore finanziario. La DORA compliance si concentra sulla resilienza operativa digitale, mentre la CER ha un approccio più ampio che include anche aspetti di sicurezza fisica.

Le entità finanziarie che rientrano in entrambi i perimetri devono integrare i requisiti di resilienza digitale di DORA con quelli più ampi di resilienza fisica e operativa della CER. Questo richiede un coordinamento tra diverse funzioni aziendali (IT, sicurezza fisica, business continuity, risk management) e la predisposizione di piani di resilienza integrati che considerino sia le minacce cyber sia quelle fisiche.

Prospettive evolutive: verso una resilienza adattiva nella DORA compliance

Guardando oltre l’immediato orizzonte della DORA compliance, emerge una domanda fondamentale: il regolamento riuscirà a trasformare realmente la resilienza operativa del settore finanziario europeo, o rimarrà un ulteriore strato di adempimenti burocratici?

La risposta dipenderà in larga misura da come le organizzazioni sceglieranno di interpretare e implementare la DORA compliance. Se l’approccio sarà puramente difensivo e formalistico, il rischio è di creare sistemi di conformità rigidi che non si traducono in miglioramenti sostanziali della capacità di resistere a shock operativi. Se invece DORA verrà utilizzato come catalizzatore per ripensare in profondità la governance del rischio tecnologico, potrebbe effettivamente contribuire a costruire un sistema finanziario più robusto.

Il concetto di adaptive resilience

Un segnale interessante nella DORA compliance viene dall’attenzione crescente verso concetti come l’adaptive resilience: l’idea che i sistemi complessi non possano essere resi resilienti attraverso controlli statici, ma debbano sviluppare capacità dinamiche di sensing, adaptation e learning. In quest’ottica, i test di resilienza non sono momenti circoscritti di verifica, ma occasioni continue di apprendimento; le policy non sono documenti da aggiornare periodicamente, ma framework viventi che evolvono in risposta a nuove minacce e vulnerabilità; e la DORA compliance non è uno stato da raggiungere, ma un processo di miglioramento continuo.

Alcune organizzazioni all’avanguardia stanno sperimentando l’uso di digital twin e dati sintetici per condurre assessment continui delle infrastrutture, riducendo i tempi di valutazione e aumentando la confidenza nei risultati. Piattaforme automatizzate di emulazione delle minacce consentono di testare continuamente la resilienza dei sistemi senza impattare sugli ambienti di produzione, offrendo una risposta più dinamica alle minacce in evoluzione rispetto ai test triennali previsti dal regolamento.

L’evoluzione delle minacce e la necessità di agilità

Un aspetto critico della DORA compliance che emerge dalle discussioni tra esperti riguarda la rapidità con cui evolvono le minacce informatiche. Il white paper su DORA, LOTL e Threat Shifting evidenzia come le tecniche Living Off the Land (LOTL), che permettono agli attaccanti di utilizzare strumenti già presenti nei sistemi target, stiano rendendo le intrusioni sempre più rapide e difficili da rilevare.

In questo contesto, test di resilienza condotti ogni tre anni rischiano di diventare obsoleti molto rapidamente. La DORA compliance più efficace sarà quella che interpreta i requisiti minimi del regolamento come punto di partenza, non come punto di arrivo, implementando meccanismi di assessment e adattamento continui che permettano di mantenere un livello di preparazione adeguato rispetto a un panorama di minacce in costante evoluzione.

Il ruolo dell’intelligenza artificiale

L’intelligenza artificiale sta emergendo come elemento chiave sia nelle strategie di attacco sia in quelle di difesa. Le organizzazioni impegnate nella DORA compliance stanno esplorando l’uso dell’AI per migliorare la capacità di detection precoce delle anomalie, automatizzare le risposte agli incidenti, e ottimizzare l’allocazione delle risorse di sicurezza.

Tuttavia, l’AI introduce anche nuove sfide. Gli attaccanti utilizzano sistemi di intelligenza artificiale per automatizzare la ricognizione, personalizzare gli attacchi di social engineering, e identificare vulnerabilità più rapidamente. La DORA compliance del futuro dovrà necessariamente includere strategie specifiche per gestire i rischi legati all’AI, sia come vettore di attacco sia come componente critica delle difese.

Sfide operative nell’implementazione della DORA compliance

L’implementazione pratica della DORA compliance presenta sfide operative significative che vanno oltre gli aspetti puramente tecnici o normativi. Le organizzazioni si trovano ad affrontare questioni di allocazione delle risorse, gestione del cambiamento organizzativo, e bilanciamento tra innovazione e sicurezza.

Investimenti necessari

La DORA compliance richiede investimenti significativi in diverse aree:

• Tecnologie avanzate di sicurezza: sistemi di rilevamento delle intrusioni (IDS/IPS), soluzioni di crittografia, strumenti di monitoraggio continuo, piattaforme di threat intelligence
• Formazione continua: programmi strutturati per tutto il personale, dalle prime linee al board
• Consulenze specialistiche: per test di resilienza, gap analysis, implementazione di nuovi framework
• Aggiornamento delle infrastrutture: modernizzazione di sistemi legacy, implementazione di architetture zero-trust, miglioramento delle capacità di backup e disaster recovery

Per le entità finanziarie di dimensioni medio-piccole, questi investimenti possono rappresentare una sfida significativa. Tuttavia, il regolamento prevede un quadro semplificato per le microimprese (articolo 16), riconoscendo la necessità di proporzionalità negli adempimenti.

Gestione del cambiamento culturale

Uno degli aspetti più sottovalutati della DORA compliance riguarda la necessità di un profondo cambiamento culturale all’interno delle organizzazioni. La transizione da un approccio alla sicurezza ICT prevalentemente reattivo e focalizzato sulla conformità a un approccio proattivo e orientato alla resilienza richiede tempo e leadership forte.

Le organizzazioni che hanno maggiore successo nell’implementazione della DORA compliance sono quelle che hanno investito nella creazione di una cultura della sicurezza condivisa, dove ogni dipendente comprende il proprio ruolo nella protezione dell’organizzazione. Questo richiede comunicazione costante, esempi concreti dall’alto, e meccanismi di incentivazione che premino comportamenti virtuosi.

Conclusioni: la DORA compliance come opportunità strategica

Il settore finanziario europeo si trova oggi in una fase di transizione delicata. I prossimi mesi diranno se la DORA compliance avrà contribuito a creare organizzazioni realmente più resilienti, o se avrà semplicemente aggiunto complessità normativa senza benefici tangibili. La sfida è trasformare obblighi regolamentari in capacità organizzative autentiche, e in questo percorso, la differenza la faranno le scelte concrete di implementazione che ogni entità finanziaria sta facendo in queste settimane.

Le organizzazioni che interpreteranno la DORA compliance come mera checklist da completare rischiano di sprecare risorse significative senza ottenere miglioramenti sostanziali nella resilienza. Al contrario, quelle che vedranno in DORA un’opportunità per ripensare profondamente la propria governance del rischio tecnologico, per modernizzare infrastrutture obsolete, e per sviluppare competenze critiche, si troveranno non solo conformi al regolamento ma anche meglio posizionate per competere in un mercato sempre più digitale e interconnesso.

La vera misura del successo della DORA compliance non sarà il numero di audit superati o di documenti prodotti, ma la capacità effettiva delle entità finanziarie europee di resistere, rispondere e riprendersi da eventi avversi che inevitabilmente si verificheranno. In questo senso, DORA rappresenta non tanto un punto di arrivo quanto un punto di partenza per un percorso di miglioramento continuo della resilienza operativa digitale del sistema finanziario europeo.

Risorse utili per approfondire la DORA compliance e l’implementazione pratica del regolamento:

Framework DORA e cybersecurity: analisi 7Layers

DORA come baluardo della cybersicurezza

White paper: DORA, LOTL e Threat Shifting

Testo ufficiale del Regolamento (UE) 2022/2554

Linee guida Banca d’Italia su DORA

European Banking Authority – DORA Resources

https://www.ictsecuritymagazine.com/articoli/dora-compliance/

L’Intelligenza Artificiale Spiegabile (XAI) rappresenta oggi una necessità strategica per la cybersecurity. La crescente adozione di sistemi AI in ambiti critici sta spostando il dibattito dalla pura efficienza prestazionale alla necessità di comprendere come e perché un algoritmo arrivi a una determinata decisione. Nel contesto della sicurezza informatica, questa evoluzione non rappresenta un vezzo accademico ma una necessità operativa e, sempre più spesso, un obbligo normativo.

Quando un sistema di rilevamento delle intrusioni basato su machine learning identifica un’anomalia classificandola come minaccia critica, gli analisti SOC non possono accontentarsi di un responso binario. Devono comprendere quali caratteristiche del traffico di rete hanno innescato l’allerta, quali pattern sono stati riconosciuti, quale livello di confidenza caratterizza quella specifica inferenza. Questa esigenza diventa ancora più stringente quando l’output dell’algoritmo guida decisioni che possono bloccare interi segmenti di rete, isolare sistemi produttivi o innescare procedure di incident response che coinvolgono risorse umane ed economiche significative.

Intelligenza Artificiale Spiegabile (XAI): colmare il divario tra complessità algoritmica e comprensibilità umana

L’Explainable AI nasce per colmare il divario tra la complessità crescente dei modelli di apprendimento automatico e la necessità umana – e spesso legale – di comprenderne il funzionamento. Non si tratta semplicemente di “aprire la scatola nera”, metafora ormai abusata ma ancora efficace: l’obiettivo è costruire sistemi che siano intrinsecamente interpretabili o dotarli di meccanismi che permettano di ricostruire a posteriori il ragionamento algoritmico.

Come evidenziato nell’articolo “Nuovi modelli di IA: Explainable AI e Hybrid AI“, l’opacità dell’AI rappresenta un ostacolo fondamentale: “In ambito scientifico, l’opacità dell’AI si riferisce all’incapacità di comprendere il processo decisionale interno di un sistema di intelligenza artificiale, specialmente quelli basati su algoritmi complessi come il deep learning.”

Nel panorama della digital forensics, questa capacità assume contorni ancora più definiti. Un’evidenza digitale prodotta da un sistema AI può essere contestata in sede giudiziaria se non è possibile dimostrare la tracciabilità del processo decisionale. Il perito deve poter spiegare non solo cosa ha rilevato l’algoritmo, ma attraverso quale logica inferenziale è giunto a quella conclusione. La catena di custodia dell’evidenza digitale si estende così al modello stesso e ai suoi parametri, richiedendo nuove competenze e protocolli di documentazione.

Il quadro normativo europeo: AI Act e NIS2

AI Act e requisiti di trasparenza

Dal punto di vista normativo, il GDPR aveva già introdotto il concetto di diritto alla spiegazione nelle decisioni automatizzate che producono effetti giuridici o incidono significativamente sull’interessato (articolo 22, artt. 13, 14, 15 e considerando 71). L’AI Act europeo (Regolamento UE 2024/1689), entrato in vigore il 1° agosto 2024 e pienamente applicabile dal 2 agosto 2026, rafforza ulteriormente questi requisiti classificando i sistemi AI in base al rischio e imponendo obblighi di trasparenza crescenti.

Per i sistemi ad alto rischio utilizzati in ambito di sicurezza delle infrastrutture critiche, identificazione biometrica o gestione di dati sensibili, la spiegabilità non è più opzionale: è un requisito di conformità. L’articolo 19 dell’AI Act (Automatically Generated Logs) impone agli operatori di sistemi ad alto rischio di mantenere log automatici che registrino le operazioni del sistema durante il suo ciclo di vita, permettendo la tracciabilità delle decisioni prese dal sistema AI, includendo input, output e timestamp.

Direttiva NIS2 e gestione del rischio cyber

La Direttiva NIS2, recepita in Italia con il Decreto Legislativo 138/2024 (entrato in vigore il 16 ottobre 2024), introduce un ulteriore livello di complessità. Gli enti essenziali e importanti sono chiamati a implementare misure tecniche e organizzative adeguate per gestire i rischi legati alla sicurezza di reti e sistemi informativi. Quando queste misure incorporano componenti di AI – dalla detection automatizzata delle minacce alla gestione dinamica degli accessi – la capacità di spiegare il comportamento di questi sistemi diventa parte integrante della dimostrazione di conformità verso le autorità competenti, in Italia rappresentate dall’ACN.

Per i security operation center che integrano strumenti AI, questo significa ripensare l’intera architettura di logging e audit trail, garantendo che ogni decisione automatizzata – dal blocco di un IP alla quarantena di un file sospetto – sia documentata in modo da permettere una ricostruzione ex-post del ragionamento algoritmico.

Framework tecnici e standard emergenti per l’XAI

NIST AI Risk Management Framework

Sul piano operativo, l’industria sta convergendo verso framework standardizzati per l’implementazione dell’XAI. Il NIST AI Risk Management Framework, pubblicato il 26 gennaio 2023, dedica ampio spazio alla trasparenza e alla spiegabilità come elementi fondamentali della gestione del rischio AI. Il framework propone un approccio strutturato che include la documentazione del sistema, la validazione delle performance, il monitoraggio continuo e la gestione degli incidenti legati all’AI.

ISO/IEC 42001: standard per l’AI Management System

A livello europeo, lo standard ISO/IEC 42001 sui sistemi di gestione dell’intelligenza artificiale, pubblicato nel dicembre 2023, fornisce requisiti e linee guida per stabilire, implementare, mantenere e migliorare continuamente un AI Management System. Questo standard, che sarà probabilmente referenziato nei processi di certificazione previsti dall’AI Act, include requisiti specifici sulla tracciabilità e la spiegabilità dei sistemi AI, particolarmente per applicazioni in contesti critici.

MITRE ATT&CK e ATLAS

Nel contesto della cybersecurity, il framework MITRE ATT&CK ha iniziato a integrare considerazioni sui sistemi di AI utilizzati sia dagli attaccanti sia dai difensori. La matrice ATLAS (Adversarial Threat Landscape for Artificial-Intelligence Systems) documenta tattiche e tecniche specifiche per compromettere sistemi di machine learning, includendo attacchi che sfruttano proprio la mancanza di trasparenza per iniettare bias, avvelenare i dataset di training o eludere i meccanismi di detection.

Come spiegato nell’articolo “Il problema del BIAS nei dataset e della XAI“, “Una delle contromisure ed anche un sistema per capire meglio l’output di un algoritmo di IA è quello della XAI (eXplainable Artificial Intelligence), ossia l’intelligenza artificiale spiegabile. Gli algoritmi sono sostanzialmente delle black box, delle scatole nere nelle quali entrano i dati di input, che vengono elaborati per generare degli output, il motivo per cui sia stata generata una risposta rispetto ad un’altra non è facilmente comprensibile.”

La supply chain dell’AI e il rischio di opacità stratificata

Una dimensione spesso trascurata riguarda la supply chain dell’intelligenza artificiale. Molte organizzazioni non sviluppano internamente i propri modelli di AI ma utilizzano API di terze parti, modelli pre-addestrati o soluzioni commerciali proprietarie. Questa dipendenza introduce quello che potremmo definire un “rischio di opacità stratificata“: anche quando il fornitore offre interfacce di spiegabilità, queste possono operare a un livello di astrazione tale da mascherare problematiche più profonde nel modello sottostante.

Il caso dei modelli foundation illustra perfettamente questo dilemma. Quando un’organizzazione utilizza un LLM commerciale per automatizzare l’analisi di log di sicurezza o la correlazione di threat intelligence, si affida a un sistema la cui architettura interna, i dati di training e i processi di fine-tuning sono spesso protetti da segreto industriale. Come possono i CISO garantire che questi sistemi non abbiano appreso bias dai dati di training? Come verificare che non siano suscettibili a prompt injection o data poisoning?

La risposta richiede un approccio contrattuale e tecnico integrato. I contratti di procurement devono includere clausole specifiche sui livelli di trasparenza garantiti, sulle modalità di audit algoritmico, sulla possibilità di testare il modello con dataset controllati. Sul piano tecnico, emergono metodologie di testing adversarial che permettono di sondare i confini comportamentali del modello, identificando potenziali vulnerabilità senza necessariamente accedere ai suoi parametri interni.

XAI e threat intelligence: il caso del ransomware-as-a-service

L’applicazione dell’XAI nella threat intelligence merita un approfondimento specifico. Consideriamo il fenomeno del ransomware-as-a-service, dove gruppi criminali operano con modelli di business strutturati e tattiche in continua evoluzione. I sistemi di AI vengono utilizzati per correlare indicatori di compromissione attraverso fonti eterogenee – dark web, telemetria di rete, rapporti di incident response – identificando pattern emergenti e prevedendo possibili vettori di attacco.

Un sistema XAI efficace in questo contesto non si limita a segnalare che un particolare hash di file è associato a una campagna ransomware. Dovrebbe spiegare perché quella associazione è significativa: quali caratteristiche comportamentali del malware sono state osservate, quale similarità strutturale esiste con campioni noti, quale correlazione temporale emerge con attività di reconnaissance su altri target. Questa ricchezza informativa trasforma il sistema AI da strumento di allerta a moltiplicatore di intelligence, permettendo agli analisti di comprendere non solo la minaccia immediata ma il contesto strategico in cui si inserisce.

Alcuni fornitori di security intelligence stanno sviluppando dashboard di “explainability” che visualizzano graficamente il processo decisionale dell’AI. Grafici di feature importance mostrano quali attributi del malware hanno pesato maggiormente nella classificazione. Mappe di attivazione delle reti neurali evidenziano quali porzioni di codice hanno attirato l’attenzione del modello. Linee temporali correlano l’evento specifico con pattern storici osservati. Questi strumenti trasformano il responso algoritmico in un’esperienza investigativa, dove la macchina non sostituisce l’analista ma ne amplifica le capacità cognitive.

Come descritto nell’articolo “AI offensiva e difensiva: strategie di cybersecurity nel 2025“, “L’AI spiegabile (XAI) offre una soluzione promettente fornendo interpretabilità e trasparenza, permettendo ai professionisti della sicurezza di comprendere meglio, fidarsi e ottimizzare i modelli IDS.”

Il paradosso della spiegabilità nell’era del quantum computing

Un tema emergente, ancora poco esplorato ma destinato ad acquisire rilevanza, riguarda l’intersezione tra XAI e quantum computing. Man mano che algoritmi quantistici vengono integrati in sistemi di AI – sia per accelerare il training di modelli complessi sia per sviluppare nuove architetture di quantum machine learning – la sfida della spiegabilità assume dimensioni ulteriori.

I computer quantistici operano secondo principi che sfuggono all’intuizione classica: sovrapposizione, entanglement, interferenza. Quando questi fenomeni vengono sfruttati per costruire modelli di machine learning, il concetto stesso di “spiegazione” diventa problematico. Come si può spiegare una decisione che emerge da uno stato quantistico collassato al momento della misurazione? Come documentare un processo inferenziale che sfrutta parallelismo quantistico attraverso spazi di Hilbert ad alta dimensionalità?

Paradossalmente, proprio mentre la comunità della cybersecurity si prepara alla transizione post-quantum per proteggere le comunicazioni dalla crittoanalisi quantistica, potremmo trovarci ad affrontare sistemi di AI quantistica intrinsecamente meno spiegabili dei loro predecessori classici. Questa prospettiva rende ancora più urgente lo sviluppo di framework concettuali e metodologie di XAI che possano adattarsi a paradigmi computazionali radicalmente diversi.

Certificazione e attestazione della spiegabilità

L’AI Act introduce il concetto di “organismi notificati” che avranno il compito di valutare la conformità dei sistemi AI ad alto rischio prima della loro immissione sul mercato. Questo meccanismo, simile a quanto già avviene per dispositivi medici o macchinari industriali, solleva la questione di come certificare la spiegabilità di un sistema AI.

A differenza di requisiti funzionali tradizionali, verificabili attraverso test deterministici, la spiegabilità ha una componente soggettiva: una spiegazione può essere tecnicamente accurata ma incomprensibile per l’utente finale, o viceversa intuitiva ma scientificamente imprecisa. Gli organismi di certificazione dovranno sviluppare metodologie di valutazione che bilancino accuratezza tecnica e comprensibilità contestuale, tenendo conto del profilo degli stakeholder che utilizzeranno le spiegazioni.

Alcune proposte in discussione prevedono l’adozione di “benchmark di spiegabilità” standardizzati, dove il sistema AI viene testato su scenari di riferimento e le sue spiegazioni valutate secondo metriche oggettive: completezza, consistenza, contrastività (capacità di spiegare perché è stata presa una decisione invece di un’altra), continuità (stabilità delle spiegazioni rispetto a variazioni minime dell’input). Tuttavia, il dibattito rimane aperto su quali di queste proprietà dovrebbero essere prescrittive e quali semplicemente raccomandate.

Sovranità digitale e modelli europei di XAI

La dimensione geopolitica dell’AI non può essere ignorata quando si discute di spiegabilità. L’Europa, attraverso l’AI Act e iniziative come il progetto Gaia-X, sta tentando di costruire un ecosistema AI basato su valori di trasparenza, accountability e rispetto dei diritti fondamentali che si differenzia dall’approccio più liberista degli Stati Uniti e da quello più dirigista della Cina.

In questo contesto, l’XAI diventa elemento di differenziazione competitiva. Modelli europei che incorporano trasparenza by-design potrebbero trovare mercato presso organizzazioni e governi che privilegiano compliance normativa e riduzione del rischio reputazionale rispetto alla pura performance predittiva. Iniziative come i progetti Horizon Europe dedicati all’AI trustworthy stanno finanziando ricerca su architetture di XAI specificatamente progettate per soddisfare i requisiti normativi europei.

Per le organizzazioni italiane, questa dinamica crea opportunità ma anche responsabilità. Investire in competenze e soluzioni XAI europee significa contribuire alla costruzione di quella sovranità tecnologica che l’ACN ha identificato come priorità strategica. Significa anche prepararsi a un mercato dove la certificazione di conformità ai requisiti di spiegabilità potrebbe diventare prerequisito per accedere a gare pubbliche o mercati regolamentati.

Verso un’etica operativa dell’AI in sicurezza

Oltre gli aspetti normativi e tecnici, l’XAI solleva questioni etiche che i professionisti della sicurezza non possono eludere. L’utilizzo di AI per decisioni che impattano la privacy, la libertà di movimento in ambienti fisici protetti, l’accesso a risorse critiche richiede non solo conformità legale ma anche legittimazione etica.

Un sistema di videosorveglianza intelligente che utilizza analisi comportamentale per identificare minacce potenziali opera in una zona grigia dove efficienza securitaria e diritti individuali si confrontano. La capacità di spiegare perché un comportamento è stato classificato come anomalo – e quindi potenzialmente minaccioso – non risolve il dilemma etico ma lo rende almeno trasparente, permettendo un dibattito informato e meccanismi di contestazione da parte degli individui interessati.

Alcune organizzazioni stanno adottando “AI ethics boards” interni che valutano l’introduzione di nuovi sistemi AI non solo sotto il profilo della compliance ma anche della sostenibilità etica. In questi comitati, la presenza di esperti di sicurezza è fondamentale per bilanciare l’imperativo della protezione con il rispetto dei diritti, utilizzando l’XAI come strumento di mediazione: sistemi più trasparenti sono anche sistemi più facilmente sottoponibili a scrutinio etico.

Implicazioni pratiche per CISO e team di sicurezza

Per tradurre questi principi in azioni concrete, i responsabili della sicurezza devono integrare l’XAI nei processi decisionali quotidiani. Questo significa innanzitutto sviluppare o acquisire competenze ibride: data scientist che comprendano le minacce cyber, security analyst che sappiano interrogare modelli di machine learning, legal counsel che possano interpretare i requisiti di spiegabilità nel contesto specifico dell’organizzazione.

Sul piano procedurale, è opportuno istituire protocolli di “AI incident response” che definiscano come gestire situazioni in cui un sistema AI produce decisioni errate o inspiegabili. Chi ha l’autorità di disabilitare un sistema automatizzato in caso di comportamento anomalo? Come si documenta un falso positivo prodotto da AI per evitare recidive? Quali meccanismi di escalation si attivano quando le spiegazioni fornite dal sistema risultano insufficienti o contraddittorie?

La formazione continua diventa imperativa. I team SOC devono familiarizzare con i concetti fondamentali di machine learning – non per diventare data scientist, ma per sviluppare quella literacy che permette di distinguere una correlazione spuria da un pattern significativo, di riconoscere quando un modello sta operando fuori dal suo dominio di competenza, di valutare criticamente le confidence score associate alle predizioni.

Scenari futuri e direzioni di ricerca nell’XAI

Guardando avanti, alcune direzioni di sviluppo appaiono particolarmente promettenti. La ricerca su modelli “intrinsecamente interpretabili” – architetture di neural network progettate per essere trasparenti per costruzione anziché richiedere tecniche post-hoc di spiegazione – potrebbe ridurre il trade-off tra performance e spiegabilità. Approcci come le Neural Additive Models o le Concept Bottleneck Networks mostrano che è possibile costruire sistemi potenti mantenendo un livello di interpretabilità umana.

L’integrazione tra XAI e sistemi di knowledge graph rappresenta un’altra frontiera interessante. Mappando le decisioni algoritmiche su grafi di conoscenza esplicita – ontologie di minacce, tassonomie di vulnerabilità, modelli di comportamento normale – si può costruire un ponte tra il ragionamento sub-simbolico delle reti neurali e la logica esplicita comprensibile agli umani.

Infine, l’utilizzo dell’AI per spiegare l’AI – modelli linguistici che traducono output tecnici in linguaggio naturale, sistemi che generano contro-fattuali per illustrare decisioni (“il sistema ha bloccato questa transazione perché, se il parametro X fosse stato diverso, sarebbe stato classificato come legittimo”) – apre possibilità di rendere la spiegabilità accessibile anche a stakeholder non tecnici.

Conclusione: trasparenza come investimento strategico

In definitiva, l’Intelligenza Artificiale Spiegabile non configura una singola tecnologia ma un paradigma progettuale che deve permeare l’intero ciclo di vita dei sistemi AI utilizzati in contesti di sicurezza. Dalla raccolta e selezione dei dati di training, alla scelta dell’architettura del modello, fino al deployment e al monitoraggio continuo, ogni fase deve incorporare considerazioni di interpretabilità.

Per i CISO e i responsabili della sicurezza, questo significa adottare framework di governance che includano requisiti espliciti di spiegabilità nei processi di procurement e sviluppo di soluzioni AI, prevedere meccanismi di audit algoritmico periodico e investire nella formazione dei team affinché sviluppino quella literacy necessaria per interrogare criticamente gli output dei sistemi intelligenti.

La posta in gioco supera la mera conformità normativa: riguarda la costruzione di una fiducia giustificata nei sistemi automatizzati che sempre più frequentemente prendono decisioni che impattano la sicurezza delle organizzazioni e, in ultima analisi, la protezione dei dati personali e dei diritti fondamentali degli individui. Un sistema opaco può funzionare perfettamente fino al momento in cui fallisce, e senza spiegabilità quel fallimento rimane inspiegabile, irreplicabile, e quindi impossibile da prevenire in futuro.

La trasparenza algoritmica diventa così non un vincolo allo sviluppo tecnologico, ma una condizione abilitante per un’innovazione sostenibile e responsabile. Nel contesto italiano ed europeo, dove la cybersecurity si intreccia sempre più strettamente con considerazioni normative, etiche e geopolitiche, l’investimento in XAI rappresenta non un costo ma un vantaggio competitivo: la capacità di dimostrare non solo che i propri sistemi funzionano, ma anche di spiegare come e perché lo fanno.

https://www.ictsecuritymagazine.com/articoli/intelligenza-artificiale-spiegabile-xai/

Dic 18, 2025 Marina Londei Approfondimenti, Campagne malware, In evidenza, Minacce, RSS 0

---

Se c’è una cosa su cui tutti concordano è che l’intelligenza artificiale sta ormai diventando onnipresente nelle cyberminacce grazie alla sua capacità di sviluppare velocemente nuovi malware e automatizzare le campagne. Anche Dmitry Volkov, CEO di Group-IB, condivide questa visione, invitando le aziende a ripensare a fondo le strategie di sicurezza.

Tra le previsioni più preoccupanti per il 2026 condivise dal CEO di Group-IB c’è la rapida diffusione di una nuova categoria di malware auto-propagante grazie all’integrazione con l’IA.

I malware tradizionali di questo tipo esistono da tempo: WannaCry, NoyPetya e Mirai sono tra i nomi più conosciuti e temuti, considerando l’ingente danno economico che hanno provocato in pochi giorni. Con la diffusione dell’ntelligenza artificiale, si prevede un peggioramento significativo: integrando questa tecnologia “questi ceppi di malware si diffonderanno più velocemente, diventeranno adattivi verso obiettivi specifici, ne sfrutteranno le debolezze mirate e sfuggiranno meglio al rilevamento” spiega Volkov.

Gli agenti di IA saranno inoltre in grado di gestire l’intera kill chain, a partire dall’individuazione delle vulnerabilità fino a orchestrare l’attacco su scala. Secondo Volkov, ci sarà una vera e propria “epidemia di worm” basata sull’intelligenza artificiale.

Anche il mondo dei ransomware subirà un’evoluzione importante: Volkov prevede che a partire dal 2026 i gruppi ransomware cominceranno ad adottare agenti IA per accelerare gli attacchi una volta ottenuto l’accesso ai sistemi. Questi agenti diventeranno parte delle offerte RaaS e anche gli affiliati con minori competenze tecniche accederanno ad elevati livelli di automazione.

L’intelligenza artificiale sarà utilizzata anche negli attacchi Adversary-in-the-Middle (AiTM), in particolare per automatizzare il dirottamento delle sessioni e raccogliere credenziali su larga scala. “Ciò renderà inefficaci i nostri sistemi di verifica, poiché le operazioni AiTM gestite dall’IA saranno più adattive delle difese attuali” avverte Volkov.

Con l’adozione da parte delle banche di crypto e stablecoin per transazioni più veloci e trasparenti, aumenteranno anche i rischi legati a nuovi schemi di frode. I truffatori investiranno maggiormente in automazione, layering e offuscamento; Volkov prevede che i sistemi DeFi, kit di exploit per smart contract e l’uso di bot IA per il riciclaggio diventeranno fenomeni comuni.

Nel 2026 gli attacchi gestiti dall’IA prenderanno sempre più di mira anche le API, in particolare nelle infrastrutture cloud. “Poiché il cloud è controllato dal codice (permessi, storage, impostazioni di rete sono definiti tramite API), esso è “leggibile dalle macchine”, il che significa che l’IA può comprendere e modificare le configurazioni cloud tramite le API stesse” specifica Volkov. Gli attaccanti sfrutteranno la logica di automazione per causare interruzioni di servizio e manomettere le configurazioni.

Infine, non mancheranno i rischi legati all’uso dell’IA per lo sviluppo del codice: poiché molti team si affidano totalmente a questi sistemi e trascurano le revisioni, aumenterà il rischio di attacchi alla supply chain; nel dettaglio, gli attaccanti punteranno a inserire backdoor in software legittimi su larga scala manipolando i tool di IA più diffusi.

Non solo intelligenza artificiale

L’intelligenza artificiale, seppur prominente, non sarà l’unica cosa da cui guardarsi nel mondo della cyberminacce. Volkov prevede che i cyberattaccanti continueranno a fare affidamento a tecniche di manipolazione psicologica per spingere le vittime a cedere alla truffa. In alcuni casi, le frodi non si limitano a chiedere i dati della carta o i codici OTP alla vittima, ma la spingono a contrarre prestiti o a vendere proprietà.

Volkov anticipa inoltre un trend piuttosto pericoloso riguardante le misure di localizzazione dei dati adottate da diverse regioni, ovvero la conservazione delle informazioni entro i propri confini. “Questo rallenterà inavvertitamente la collaborazione globale e la condivisione di informazioni sulle minacce” avverte il CEO di Group-IB. “Gli attaccanti operano a livello globale, ma i difensori limitano la loro visibilità a livello regionale“.

Le tendenze della cybersecurity secondo Group-IB

Se le cyberminacce evolvono, dall’altra parte gli esperti di sicurezza non rimangono a guardare. Volkov afferma che anche i SOC stanno investendo nell’IA per rispondere agli attacchi, superando i limiti dei centri di controllo tradizionali. “Il futuro è dei Cyber Fraud Fusion Centers: team ibridi che condividono intelligence in tempo reale tra i domini cyber e frode, utilizzando modelli automatizzati centralizzati per correlare i dati e agire istantaneamente” afferma Volkov.

Il CEO di Group-IB insiste anche sulla necessità di passare all’Explainable IA (XAI) per garantire alle organizzazioni trasparenza sui dati di addestramento, sulle logiche decisionali e sui processi di validazione dei risultati.

Infine, Volkov anticipa un confine sempre più sfumato tra “cybersecurity” e “antifrode”: poiché il fine ultimo delle tecniche di attacco è la monetizzazione tramite frode, sarà necessario considerare i due concetti come un unico campo d’azione per avere visibilità completa sull’intera catena di attacco.

---

---

---

https://www.securityinfo.it/2025/12/18/il-cybercrime-si-evolve-velocemente-e-lia-diventa-protagonista-le-previsioni-di-group-ib-per-il-2026/?utm_source=rss&utm_medium=rss&utm_campaign=il-cybercrime-si-evolve-velocemente-e-lia-diventa-protagonista-le-previsioni-di-group-ib-per-il-2026

Besides ChatGPT, Claude, and Gemini, the extensions harvest all conversations from Copilot, Perplexity, DeepSeek, Grok, and Meta AI. Koi said the full description of the data captured includes:

• Every prompt a user sends to the AI
• Every response received
• Conversation identifiers and timestamps
• Session metadata
• The specific AI platform and model used

The executor script runs independently from the VPN networking, ad blocking, or other core functionality. That means that even when a user toggles off VPN networking, AI protection, ad blocking, or other functions, the conversation collection continues. The only way to stop the harvesting is to disable the extension in the browser settings or to uninstall it.

Koi said it first discovered the conversation harvesting in Urban VPN Proxy, a VPN routing extension that lists “AI protection” as one of its benefits. The data collection began in early July with the release of version 5.5.0.

“Anyone who used ChatGPT, Claude, Gemini, or the other targeted platforms while Urban VPN was installed after July 9, 2025 should assume those conversations are now on Urban VPN’s servers and have been shared with third parties,” the company said. “Medical questions, financial details, proprietary code, personal dilemmas—all of it, sold for ‘marketing analytics purposes.’”

Following that discovery, the security firm uncovered seven additional extensions with identical AI harvesting functionality. Four of the extensions are available in the Chrome Web Store. The other four are on the Edge add-ons page. Collectively, they have been installed more than 8 million times.

They are:

Chrome Store

• Urban VPN Proxy: 6 million users
• 1ClickVPN Proxy: 600,000 users
• Urban Browser Guard: 40,000 users
• Urban Ad Blocker: 10,000 users

Edge Add-ons:

• Urban VPN Proxy: 1,32 million users
• 1ClickVPN Proxy: 36,459 users
• Urban Browser Guard – 12,624 users
• Urban Ad Blocker – 6,476 users

Read the fine print

The extensions come with conflicting messages about how they handle bot conversations, which often contain deeply personal information about users’ physical and mental health, finances, personal relationships, and other sensitive information that could be a gold mine for marketers and data brokers. The Urban VPN Proxy in the Chrome Web Store, for instance, lists “AI protection” as a benefit. It goes on to say:

https://arstechnica.com/security/2025/12/browser-extensions-with-8-million-users-collect-extended-ai-conversations/

L’EU Space Act rappresenta una risposta europea a una trasformazione radicale del dominio spaziale. Quando il 24 febbraio 2022, poche ore prima dell’invasione russa dell’Ucraina, un attacco cyber ha compromesso decine di migliaia di modem satellitari della rete KA-SAT di Viasat, il mondo ha assistito alla prima dimostrazione su larga scala di quanto le infrastrutture orbitali siano diventate teatro di conflitto e quanto la loro vulnerabilità possa propagarsi ben oltre i confini del teatro bellico originario. Le turbine eoliche tedesche di Enercon rimaste improvvisamente isolate, i servizi internet interrotti in mezza Europa, le comunicazioni militari ucraine compromesse: l’effetto domino scatenato dal malware AcidRain ha certificato l’urgenza di un ripensamento strategico sulla governance dello spazio.

È proprio in questo contesto che si inserisce l’EU Space Act, la proposta di regolamento presentata dalla Commissione Europea il 25 giugno 2025, che rappresenta il primo tentativo organico di creare un mercato unico europeo per le attività spaziali.

L’iniziativa arriva in un momento cruciale: con oltre undicimila satelliti attualmente attivi in orbita e proiezioni che stimano cinquantamila nuovi lanci entro il 2035, lo spazio extra-atmosferico si configura sempre più come un’infrastruttura critica al pari delle reti elettriche, delle comunicazioni terrestri e dei sistemi finanziari. Non a caso, la Direttiva NIS2 ha inserito per la prima volta le infrastrutture spaziali tra i settori essenziali soggetti a stringenti obblighi di cybersecurity, riconoscendo formalmente l’interdipendenza tra orbita terrestre e continuità dei servizi vitali per economia e società.

Tre pilastri per un ecosistema spaziale resiliente

Il regolamento europeo si articola su tre pilastri fondamentali che riflettono le lezioni apprese dai recenti eventi geopolitici. La sicurezza operativa costituisce il primo asse: introdurre sistemi robusti di tracciamento degli oggetti spaziali, mitigare la proliferazione dei detriti orbitali e garantire lo smaltimento sicuro dei satelliti a fine vita non sono più opzioni ma obblighi vincolanti per gli operatori. Con oltre centoventotto milioni di frammenti di detriti spaziali catalogati, il rischio di collisioni catastrofiche che potrebbero innescare la temuta sindrome di Kessler non è più un’ipotesi accademica ma una minaccia concreta alla sostenibilità dell’ambiente orbitale.

Il secondo pilastro, quello della resilienza, merita un’attenzione particolare da parte dei professionisti della cybersecurity. L’EU Space Act introduce requisiti di sicurezza informatica specifici per l’intero ciclo di vita dei sistemi spaziali, dalla progettazione alla dismissione. Gli operatori dovranno condurre valutazioni di rischio approfondite che considerino non solo il segmento spaziale ma anche le infrastrutture di terra e l’intera catena di fornitura.

L’obbligo di implementare programmi di threat-led penetration testing prima di ogni lancio, con ripetizione almeno triennale, rappresenta una novità significativa mutuata dal Digital Operational Resilience Act applicato al settore finanziario. Particolarmente rilevante è la previsione di notifica degli incidenti di sicurezza entro dodici ore dalla rilevazione, una tempistica ancora più stringente rispetto alle ventiquattro ore previste dalla NIS2, che sottolinea l’urgenza percepita dalle istituzioni europee rispetto alle minacce cyber nel dominio spaziale.

Viasat: l’anatomia di un attacco che ha cambiato tutto

L’analisi del caso Viasat offre uno spaccato illuminante delle vulnerabilità che il nuovo quadro normativo intende affrontare. Gli attaccanti hanno sfruttato una gestione frammentata della rete satellitare: mentre Viasat controllava direttamente alcune partizioni del network KA-SAT, altre erano operate dalla società italiana Skylogic, sussidiaria di Eutelsat.

Questa frammentazione gestionale ha creato superfici di attacco multiple e ha ostacolato l’uniformità delle misure di sicurezza. L’ingresso nel sistema attraverso vulnerabilità nella VPN del centro di gestione di Torino, il movimento laterale verso i server di amministrazione e infine il deployment del wiper AcidRain che ha sovrascritto irreversibilmente la memoria flash di migliaia di modem, costituiscono una sequenza che evidenzia criticità su tutti i livelli dell’architettura spaziale: supply chain, segmento di terra e interfaccia utente.

Il malware condivideva somiglianze non banali con VPNFilter, strumento attribuito al gruppo Sandworm del GRU russo, e l’attacco è stato formalmente attribuito alla Russia da Stati Uniti, Regno Unito e dodici stati membri dell’Unione Europea. Oltre al danno diretto in Ucraina, l’incidente ha interrotto il monitoraggio remoto di circa cinquemilaottocento turbine eoliche in Germania, dimostrando come la compromissione di un’infrastruttura spaziale possa propagarsi in modo imprevedibile attraverso catene di interdipendenza complesse.

L’Italia anticipa l’Europa: la Legge 89/2025

L’Italia ha anticipato questa evoluzione normativa europea con l’adozione della Legge 13 giugno 2025 numero 89, pubblicata in Gazzetta Ufficiale il 24 giugno e immediatamente operativa. La normativa italiana, prima nel suo genere tra i paesi membri dell’Unione, introduce un sistema completo di autorizzazione per tutte le attività spaziali, affidando all’Agenzia Spaziale Italiana funzioni di vigilanza tecnica in coordinamento con il COMINT e la Presidenza del Consiglio.

Ciò che rende particolarmente interessante la legge italiana dal punto di vista della security è l’approccio integrato alla resilienza: l’articolo 5 subordina l’autorizzazione all’esercizio di attività spaziali al possesso di requisiti di idoneità tecnica che includono esplicitamente la resilienza dell’infrastruttura satellitare rispetto a rischi informatici, fisici e di interferenze. Non si tratta di un requisito secondario o accessorio, ma di un prerequisito abilitante il cui mancato rispetto può comportare la sospensione o la decadenza dell’autorizzazione stessa.

La legge italiana ha collocato il paese all’avanguardia in Europa, anticipando Francia e Germania e fornendo un quadro operativo immediato per l’industria nazionale. Tuttavia, come evidenziato da autorevoli analisi dell’Istituto Affari Internazionali, la cybersecurity è affrontata solo marginalmente nell’articolato normativo, mentre sarebbe necessaria una maggiore specificazione dei requisiti tecnici e dei meccanismi di verifica della conformità.

Le controversie sulla base giuridica: regolamento o direttiva?

Una delle questioni più dibattute riguarda la base giuridica dell’EU Space Act. La Commissione ha scelto di fondare la proposta sull’articolo 114 del Trattato sul Funzionamento dell’Unione Europea, relativo alla creazione del mercato interno, piuttosto che sull’articolo 189 specifico per lo spazio. Questa scelta, unitamente alla decisione di utilizzare lo strumento del regolamento invece di una direttiva, ha generato significative resistenze tra gli Stati membri, Italia inclusa.

L’articolo 189 TFEU attribuisce all’Unione competenze per promuovere il progresso scientifico e tecnico, la competitività industriale e l’implementazione delle politiche comunitarie, ma esclude esplicitamente qualsiasi armonizzazione delle disposizioni legislative e regolamentari degli Stati membri. Questa esclusione appare in contraddizione con l’obiettivo dichiarato di armonizzazione del regolamento proposto. Il ricorso all’articolo 114, invece, consentirebbe un allineamento di “intensità variabile”, dalla completa uniformità tecnica a standard minimi comuni, con l’obiettivo di eliminare ostacoli alla creazione di un mercato unico europeo per servizi, prodotti e dati spaziali.

Diversi Stati membri, tra cui l’Italia, hanno richiesto chiarimenti giuridici al Servizio Legale del Consiglio dell’Unione Europea e informazioni su casi di studio specifici di frammentazione del mercato interno che potrebbero giustificare l’invocazione dell’articolo 114. La Commissione dovrebbe sostanziare il ricorso a questa base giuridica con maggiore precisione e profondità, quantificando più chiaramente le distorsioni competitive nell’Allegato 6 della Valutazione d’Impatto.

La forma giuridica scelta – un regolamento di centoventinovesette articoli – presenta vantaggi e criticità. Da un lato, garantisce uniformità di applicazione e certezza del diritto in tutti gli Stati membri. Dall’altro, la sua rigidità intrinseca mal si concilia con un settore caratterizzato da rapida evoluzione tecnologica, cicli di innovazione accelerati e un grado elevato e diffuso di imprevedibilità. Una direttiva, invece, avrebbe offerto quella flessibilità necessaria per gestire un quadro istituzionale complesso sia a livello europeo che nazionale, consentendo agli Stati membri di adattare le disposizioni ai contesti nazionali esistenti e facilitando la transizione per quei paesi che hanno già adottato legislazioni spaziali proprie.

È significativo che l’Unione Europea abbia scelto lo strumento della direttiva per normative analoghe in settori critici comparabili: la Direttiva NIS2 del 2022 per la cybersecurity e la Direttiva CER del 2022 per la resilienza delle entità critiche. Entrambe stabiliscono standard minimi comuni ma consentono agli Stati membri margini di adattamento alle specificità nazionali. Le considerazioni politiche e strategiche che hanno portato a preferire lo strumento della direttiva nei casi di NIS2 e CER potrebbero, a maggior ragione, sostenere il perseguimento dello stesso percorso per lo Space Act, come raccomandato da autorevoli think tank italiani ed europei.

Il nodo della governance: troppe competenze, troppa burocrazia

Il modello di governance proposto dall’EU Space Act solleva interrogativi sulla distribuzione delle competenze e sui confini giuridici tra istituzioni europee e autorità nazionali. Il regolamento non affronta la frammentazione strutturale della governance spaziale europea, pur rafforzando le prerogative della Commissione Europea nel controllo e coordinamento delle attività spaziali. Una situazione simile a quella già osservata nel settore della difesa rischia di ripetersi: nonostante il rafforzamento sostanziale dei poteri della Commissione attraverso la Direzione Generale per l’Industria della Difesa e dello Spazio, la governance rimane ampiamente distribuita, insufficientemente razionalizzata e caratterizzata da tensioni tra istituzioni dell’Unione e Stati membri.

La frammentazione verrebbe ulteriormente accentuata dall’adozione dello Space Act, che prevede la creazione di organismi aggiuntivi. Un Compliance Board articolato in Safety Board, Resilience Board ed Environmental Board, oltre a un Appeal Board, dotati di poteri investigativi e sanzionatori di ampia portata. Il ruolo centrale assegnato alla Commissione solleva interrogativi non solo sull’espansione delle sue competenze nel settore spaziale rispetto agli Stati membri, ma anche sul sostanziale onere amministrativo e burocratico associato all’implementazione del regolamento e all’esercizio dei nuovi poteri.

Particolarmente critico è il rapporto tra l’Agenzia Spaziale Europea e l’Unione. Nella sua forma attuale, lo Space Act consolida il ruolo dell’Agenzia dell’Unione per il Programma Spaziale, assegnandole un ruolo centrale in stretta coordinazione con la Commissione, mentre l’ESA rimane principalmente un braccio tecnico, tecnologico e operativo, senza un ruolo sostanziale di definizione delle politiche.

L’ESA può agire come operatore spaziale per asset di proprietà dell’Unione, condurre valutazioni tecniche, fornire supporto sulle specifiche tecniche necessarie per la standardizzazione sotto la supervisione della Commissione e supportare gli Stati membri nell’esecuzione di valutazioni tecniche. Questa distribuzione dei ruoli non si discosta sostanzialmente dalla situazione attuale e non segue le ambizioni dell’ESA di espandere il proprio ruolo rispetto all’Unione, anche nel campo della sicurezza.

I costi della compliance: un fardello insostenibile?

Una delle preoccupazioni più significative riguarda l’impatto economico del regolamento sugli operatori spaziali. I costi di implementazione sono in larga parte a carico degli operatori, inclusi quelli di paesi terzi e organizzazioni internazionali, mentre il testo rimane vago sull’applicazione del principio di proporzionalità. La proposta menziona costi aggiuntivi che potrebbero portare a un incremento del dieci per cento nei costi di produzione satellitare. Per gli operatori di lancio, il testo cita costi aggiuntivi fino a un milione e mezzo di euro per lanciatori pesanti e fino a duecentomila euro per le PMI. L’istituzione di meccanismi di gestione del rischio comporterebbe inoltre un incremento del dieci per cento nei costi IT.

Secondo la Valutazione d’Impatto della Commissione, la tariffa iniziale di autorizzazione o licenza per ciascuna piattaforma satellitare o linea di servizio è stimata in circa centomila euro. Per i fornitori di servizi di lancio, le tariffe potrebbero variare da circa duecentomila euro per lanciatori più piccoli fino a un milione e mezzo di euro per veicoli di lancio pesanti, riflettendo la complessità e la scala delle valutazioni di sicurezza e conformità associate.

Un elemento di costo non adeguatamente contabilizzato riguarda i poteri di ispezione, sanzionamento e auditing che verrebbero conferiti all’EUSPA. Questi poteri introdurrebbero probabilmente nuovi obblighi di conformità con implicazioni finanziarie potenzialmente significative. Inoltre, il regolamento prevede la possibilità di imporre tariffe agli operatori, proporzionate al loro fatturato, per sostenere i costi operativi dell’EUSPA stessa.

Sebbene il regolamento miri a facilitare gli operatori creando un quadro giuridico armonizzato, il suo onere economico potrebbe rivelarsi problematico non solo per gli attori spaziali consolidati ma anche per i player tecnologici e industriali emergenti, che dovrebbero affrontare costi di ingresso e conformità più elevati. Questo rischia di scoraggiare gli investimenti e rallentare l’innovazione e la competitività nel settore spaziale europeo, che già sconta ritardi rispetto ai grandi player come Cina e Stati Uniti.

Sorgono dubbi fondati sul fatto che i costi di conformità imposti all’industria dallo Space Act saranno compensati dai benefici attesi dalla sua adozione. Il bilancio proposto presuppone che il regolamento genererà benefici per l’industria attraverso una riduzione del cinquanta per cento dei detriti spaziali, standard di cybersecurity più elevati, durata di vita satellitare estesa e procedure amministrative semplificate. Tuttavia, questi benefici attesi appaiono più aspirazionali che garantiti, mentre l’aumento immediato, certo e potenzialmente insostenibile dei costi potrebbe mettere a repentaglio l’economia spaziale dell’Unione.

Supply chain e dipendenze strategiche: il paradosso della sovranità

Diversi operatori spaziali dell’Unione hanno sviluppato catene di approvvigionamento globali e profondamente interconnesse che coinvolgono attori extra-UE. La doppia procedura di verifica per gli operatori spaziali non appartenenti all’Unione da parte del Compliance Board e della Commissione potrebbe mettere in pericolo queste catene del valore e, paradossalmente, danneggiare gli operatori europei, scoraggiando al contempo le aziende non appartenenti all’Unione che mantengono forti legami con il mercato interno dell’UE.

Una questione analoga si pone per quanto riguarda l’accesso allo spazio, poiché il regolamento richiede che l’utilizzo di lanciatori non appartenenti all’Unione sia giustificato da un’importanza strategica dimostrata. Questo potrebbe rispecchiare la situazione che attualmente colpisce il settore della difesa: se gli operatori non appartenenti all’Unione sono disincentivati dal fornire servizi o investire nell’Unione, gli operatori spaziali dell’UE potrebbero non essere in grado di soddisfare la domanda interna di servizi spaziali in modo tempestivo.

Il regolamento dovrebbe prevedere meccanismi accelerati per le tecnologie strategiche provenienti da paesi partner dell’Unione, in particolare Stati Uniti, Regno Unito, Canada, Giappone e Norvegia, distinti dalle esenzioni ordinarie, al fine di preservare flussi di dati critici e garantire l’interoperabilità, ad esempio nel campo della Space Situational Awareness.

Questa fase è particolarmente delicata per le relazioni transatlantiche, caratterizzate da tensioni intermittenti tra Unione Europea e Stati Uniti. Per gli operatori non appartenenti all’Unione che cercano accesso al mercato europeo, il nuovo regolamento introdurrebbe barriere commerciali non tariffarie. Tali misure rischiano non solo di penalizzare gli attori europei profondamente integrati nelle catene di approvvigionamento globali, come l’Italia, e fortemente dipendenti dalle attività commerciali di esportazione e estero, ma anche di innescare controversie con l’alleato transatlantico.

L’integrazione con NIS2 e CER: coordinamento o sovrapposizione?

Lo Space Act si inserisce in un quadro legislativo e politico dell’Unione in cui diverse direttive e regolamenti già si applicano, ciascuno connesso in vari modi al settore spaziale, dalla Direttiva NIS2 sulla sicurezza delle reti e dell’informazione alla Direttiva CER sulla resilienza delle entità critiche, passando per il Cyber Resilience Act e l’AI Act. Sarà essenziale che lo Space Act si integri in modo coerente, coordinato e complementare all’interno di questo quadro, evitando sovrapposizioni, duplicazioni e incongruenze.

In particolare, è importante mantenere l’allineamento tra i flussi di segnalazione degli incidenti e le funzioni di supervisione di NIS2 e CER attraverso l’EU Space Resilience Network e il Computer Security Incident Response Team, al fine di prevenire doppi requisiti di conformità. Il fatto che lo Space Act preveda che le sue disposizioni in materia di cybersecurity prevalgano sugli obblighi generali della NIS2 per gli operatori spaziali, introducendo un regime di lex specialis, dovrebbe in teoria evitare sovrapposizioni normative. Tuttavia, questa specialità si applica solo quando il regolamento entrerà pienamente in vigore: nella fase transitoria, gli operatori spaziali rimangono integralmente soggetti alla NIS2.

Il dato emerso dal report ENISA sugli investimenti NIS evidenzia una preoccupante impreparazione del settore. Lo spazio si colloca in terzultima posizione per spesa mediana in cybersecurity con seicentomila euro annui, corrispondenti al dieci virgola tre per cento del budget IT. Peggio ancora, il settore presenta il livello più basso di consapevolezza sulla NIS2 con solo il cinquantasette per cento degli operatori informati sugli obblighi, seguito dalle acque reflue al sessanta per cento e dal manifatturiero al sessantadue per cento. Questi numeri fotografano un gap di preparazione significativo che dovrà essere colmato rapidamente.

Le implicazioni operative per i professionisti della security

Per i CISO e i responsabili della security nelle organizzazioni che operano nel settore spaziale o nelle organizzazioni che ne dipendono, questo momento rappresenta sia una sfida che un’opportunità. La natura distribuita e geograficamente dispersa delle infrastrutture satellitari, con segmenti di terra spesso localizzati in giurisdizioni diverse, componenti forniti da supply chain globali e sistemi in orbita inaccessibili per manutenzione o aggiornamento, rende l’applicazione dei tradizionali framework di cybersecurity particolarmente sfidante.

Il principio del “secure by design” deve essere implementato sin dalle prime fasi di progettazione, poiché una volta che un satellite è in orbita, le possibilità di remediation sono estremamente limitate. La gestione delle vulnerabilità assume quindi una dimensione diversa rispetto ai sistemi terrestri: non si tratta solo di applicare tempestivamente le patch alle falle scoperte, ma di progettare sin dall’inizio architetture che possano evolvere e adattarsi a minacce non ancora conosciute.

L’ENISA ha recentemente pubblicato uno Space Threat Landscape che identifica le principali sfide di cybersecurity per i satelliti commerciali. Il report, pubblicato nel marzo 2025, sottolinea come le minacce principali includano i rischi nella supply chain, con il settore spaziale fortemente dipendente da componenti commerciali off-the-shelf globali, i sistemi legacy dovuti alla natura remota e all’inaccessibilità dei sistemi spaziali, la visibilità limitata, le configurazioni deboli caratterizzate dalla mancanza di tecnologie crittografiche robuste, l’errore umano dato l’elevato grado di interazione umana in tutte le fasi del ciclo di vita, e la minaccia di attacchi cyber sofisticati lanciati da attori qualificati e capaci.

La questione della supply chain security emerge con particolare urgenza. Il settore spaziale dipende da catene di fornitura globali estremamente complesse, dove componenti hardware e software provenienti da multiple giurisdizioni vengono integrati in sistemi critici. L’EU Space Act impone che i principi di sicurezza si trasmettano “a cascata” lungo tutta la filiera, con controlli rigorosi implementati durante l’intero ciclo di vita della produzione. Questo approccio richiede non solo clausole contrattuali adeguate con i fornitori, ma anche capacità di auditing tecnico e di verifica della conformità che vanno ben oltre le tradizionali valutazioni documentali.

Il registro URSO e le ambiguità terminologiche

La proposta stabilisce l’obbligo di registrazione presso il Union Register of Space Objects. Tuttavia, il regolamento utilizza una terminologia fuorviante e ambigua quando si riferisce al registro, risultando in un capitolo poco chiaro. Infatti, il registro includerà informazioni sugli operatori spaziali, piuttosto che sugli oggetti spaziali, al fine di rilasciare loro un certificato elettronico. Questa chiarificazione è importante, poiché l’Unione Europea non ha aderito alla Convenzione delle Nazioni Unite sulla registrazione degli oggetti lanciati nello spazio extra-atmosferico del 1975.

L’obbligo di registrazione si applica anche agli operatori di paesi terzi, salvo ristrette esenzioni. Questo requisito potrebbe scoraggiare la fornitura extra-UE di tecnologie e servizi e ritardare missioni che si basano su dati esteri. Il funzionamento dell’URSO dovrebbe evitare duplicazioni o sovrapposizioni con i regimi di registrazione nazionali e internazionali esistenti.

Misure di supporto insufficienti

Le misure di supporto previste dall’Unione per gli operatori spaziali includono la fornitura di linee guida e voucher per facilitare la loro partecipazione a programmi di coaching volti a controbilanciare i nuovi costi, la formulazione di requisiti per settori innovativi come il servicing in orbita e la promozione della condivisione di informazioni, nonché l’istituzione di un portale informativo digitale sul regolamento. Sebbene queste misure siano valide, appaiono piuttosto limitate in portata e di modesta utilità pratica, data la complessità prevista nell’implementazione della proposta e nella pianificazione finanziaria delle imprese.

La Commissione Europea intende co-finanziare progetti congiunti di ricerca e sviluppo e di capacity building per incoraggiare l’industria ad acquisire soluzioni tecnologiche che facilitino la conformità con il regolamento proposto. Sebbene questa misura sia indubbiamente funzionale a una più rapida applicazione della proposta, rimane vaga rispetto all’allocazione di bilancio e al tipo di finanziamento, permanente o temporaneo, impedendo così agli operatori di stimare il grado in cui tale finanziamento potrebbe compensare i costi derivanti dall’implementazione del regolamento.

Per mitigare l’onere economico, i costi previsti dovrebbero essere parzialmente compensati attraverso una modulazione delle tariffe per PMI e startup, unitamente a un aumento sostanziale del budget di sviluppo del programma spaziale dell’Unione e del supporto industriale-tecnologico, con allocazioni concrete a partire dal Quadro Finanziario Pluriennale 2028-2035.

La Space Label: incentivo reputazionale o leva economica?

Riguardo all’istituzione di una Space Label per l’adesione volontaria a standard più elevati di protezione delle attività spaziali, il regolamento proposto non chiarisce quali incentivi concreti siano previsti per gli operatori che scelgono di partecipare e ottenere la Space Label, né specifica quali siano gli standard più elevati o quale obiettivo generale intendano raggiungere. La Space Label potrebbe invece essere collegata a incentivi misurabili, ad esempio attraverso punteggi preferenziali negli inviti a presentare proposte dell’Unione, classifiche più elevate nei processi di appalto o accesso a sandbox regolamentari, trasformando così questo strumento da mera etichetta reputazionale a leva economica efficace.

L’assenza di definizioni operative: dual-use e trattati internazionali

L’assenza di una definizione operativa di “dual-use” o “doppio scopo” pone incertezze in termini di implementazione, in particolare per quanto riguarda gli scambi di dati SSA e i progetti duali con alleati non appartenenti all’Unione. Sarebbe opportuno adottare una definizione riconosciuta a livello dell’Unione per risolvere tali ambiguità e prevenire così sovrapposizioni regolamentari con i domini della sicurezza e della difesa.

La bozza di regolamento fa quasi nessun riferimento ai trattati internazionali di cui gli Stati membri sono parti, Trattato sullo Spazio Extra-atmosferico, Accordo sul Salvataggio degli Astronauti, Convenzione sulla Responsabilità Internazionale per Danni Causati da Oggetti Spaziali, Convenzione sulla Registrazione, ma a cui l’Unione stessa non è parte. Sarebbe quindi opportuno che, in attesa dell’accettazione formale da parte dell’Unione dei diritti e degli obblighi derivanti da questi trattati, il testo dello Space Act includa una clausola di supremazia che affermi che gli obblighi derivanti da questi trattati hanno precedenza per gli Stati membri rispetto a quelli derivanti dal regolamento. È essenziale che lo Space Act non contenga disposizioni in conflitto con i trattati spaziali delle Nazioni Unite.

Verso una soluzione costruttiva: la via della direttiva

Le tre principali criticità dello Space Act, la scelta della base giuridica, il contenuto della proposta in termini di ampiezza e dettaglio operativo, e la decisione di adottare un regolamento, sono strettamente interconnesse e rischiano di rallentare significativamente il processo di approvazione. Sarebbe invece preferibile raggiungere un compromesso tempestivo che possa rafforzare la costruzione di un mercato spaziale europeo efficiente e competitivo, capace di sostenere l’autonomia strategica aperta dell’Europa in questo dominio sensibile.

L’esperienza delle Direttive NIS2 e CER offre un precedente rilevante. La Direttiva NIS2, entrata in vigore nel gennaio 2023, ha sostituito la direttiva del 2016 stabilendo nuovi standard minimi per un quadro regolamentare che governa la gestione del rischio di cybersecurity e meccanismi di cooperazione efficace tra le autorità competenti di ciascuno Stato membro. La Direttiva CER, entrata in vigore nell’ottobre 2024, riguarda la resilienza delle entità critiche con l’obiettivo di ridurre le loro vulnerabilità e rafforzare la loro resilienza nei settori vitali per mantenere le funzioni fondamentali della società, l’attività economica, la salute e la sicurezza pubblica e la tutela dell’ambiente.

Le considerazioni politiche e strategiche che hanno portato, negli anni recenti, a preferire lo strumento della direttiva nei casi di NIS2 e CER potrebbero, a maggior ragione, sostenere il perseguimento dello stesso percorso per lo Space Act.

Una direttiva consentirebbe infatti di gestire più agevolmente un quadro istituzionale altamente complesso, sia a livello europeo che nazionale, offrirebbe la flessibilità necessaria per conciliare i quadri giuridici più avanzati di alcuni Stati membri con l’assenza di tali quadri in altri, applicherebbe una logica evolutiva che potrebbe adattarsi più facilmente ai cambiamenti in un contesto caratterizzato da elevata e diffusa imprevedibilità, ridurrebbe automaticamente l’onere organizzativo, amministrativo, operativo e finanziario della proposta attuale, risolverebbe i dubbi e le riserve sulla base giuridica dell’iniziativa, e favorirebbe un dialogo più costruttivo tra Stati membri e tra le stesse istituzioni dell’Unione, inviando un segnale positivo in un momento particolarmente delicato per l’Unione Europea.

EU Space Act: costruire resilienza senza soffocare l’innovazione

Lo spazio non è più la frontiera remota e inaccessibile che era nell’era delle missioni Apollo. È diventato un’infrastruttura quotidiana, invisibile ma pervasiva, che abilita il funzionamento di sistemi da cui dipendono economia, società e sicurezza nazionale. Il fatto che la comunità internazionale, e l’Europa in particolare, stia finalmente affrontando con strumenti normativi adeguati le sfide di governance e security di questo dominio rappresenta un passo necessario e atteso.

L’attacco a Viasat ha dimostrato con drammatica chiarezza che la vulnerabilità dello spazio è la vulnerabilità di tutti noi. Le infrastrutture satellitari continuano a essere bersaglio di minacce sofisticate. L’obbligo di notifica degli incidenti, rafforzato sia dalla NIS2 che dallo Space Act, dovrebbe migliorare significativamente la comprensione delle minacce effettive e facilitare la condivisione di indicatori di compromissione tra operatori.

Tuttavia, il nuovo paradigma normativo deve trovare un equilibrio delicato tra sicurezza e competitività. I costi di conformità stimati, con incrementi fino al dieci per cento nei costi di produzione satellitare e IT, tariffe di autorizzazione fino a un milione e mezzo di euro per lanciatori pesanti, rischiano di soffocare l’innovazione proprio nel momento in cui l’Europa cerca di recuperare il ritardo rispetto a Stati Uniti e Cina. Le piccole e medie imprese e le startup, che dovrebbero essere il motore dell’innovazione europea nello spazio, potrebbero trovarsi schiacciate da obblighi di conformità progettati per player consolidati.

La legge italiana, con la sua entrata in vigore immediata, offre un laboratorio reale per testare l’efficacia di un approccio nazionale coordinato. L’esperienza italiana, che subordina l’autorizzazione alla resilienza cyber come prerequisito abilitante, potrebbe fornire lezioni preziose per l’implementazione del futuro regolamento europeo. Tuttavia, la marginalità con cui la cybersecurity è trattata nell’articolato italiano evidenzia la necessità di specificazioni tecniche più dettagliate e meccanismi di verifica più robusti.

Il percorso verso uno spazio europeo sicuro, resiliente e sostenibile richiede un cambio di paradigma culturale prima ancora che normativo. I professionisti della cybersecurity devono acquisire competenze ibride che integrino conoscenze di ingegneria aerospaziale, fisica orbitale e comunicazioni satellitari. Le organizzazioni devono passare da un approccio reattivo alla sicurezza a una progettazione “secure by design” che consideri la resilienza cyber sin dalle primissime fasi di concezione di un sistema spaziale. Le istituzioni devono trovare il coraggio di scegliere strumenti normativi flessibili, come le direttive, che consentano quella capacità di adattamento continuo indispensabile in un settore che evolve con cicli di innovazione misurati in mesi, non in anni.

La consultazione pubblica sull’EU Space Act, che si è conclusa a novembre 2025, ha rappresentato un’opportunità cruciale per la comunità della security di far sentire la propria voce, portando l’esperienza operativa e le lezioni apprese sul campo. Il processo legislativo ordinario che seguirà, stimato durare almeno uno o due anni, dovrà necessariamente tenere conto delle preoccupazioni legittime sollevate dagli Stati membri e dall’industria, pena il rischio di produrre un framework normativo tecnicamente perfetto ma operativamente inapplicabile.

Il nuovo paradigma normativo che si sta delineando tra Bruxelles e le capitali europee offre gli strumenti per costruire uno spazio più sicuro. Ma saranno l’implementazione concreta, l’enforcement coerente, la disponibilità di risorse adeguate per supportare la transizione e soprattutto la capacità di adattamento continuo a determinare se questa ambizione si tradurrà in realtà operativa o rimarrà un esercizio di ingegneria legislativa destinato a essere rapidamente superato dall’evoluzione tecnologica e dalla dinamica geopolitica. La sfida è aperta, e il tempo per affrontarla è adesso.

https://www.ictsecuritymagazine.com/articoli/eu-space-act/

Dic 17, 2025 Stefano Silvestri Attacchi, Hacking, In evidenza, Intrusione, Leaks, Malware, Minacce, News, Phishing, Tecnologia 0

---

Mezzo milione di nuovi file malevoli al giorno. È questo il “numero dell’anno” indicato da Cesare D’Angelo, General Manager Italia, Francia e Mediterraneo di Kaspersky, per raccontare il 2025 della cybersicurezza.

Un dato che fotografa meglio di qualsiasi slogan la trasformazione del malware in un fenomeno industriale, continuo e automatizzato.

Non si tratta di un picco isolato: il numero medio giornaliero di file dannosi individuati da Kaspersky è cresciuto infatti in modo costante negli ultimi cinque anni, passando da circa 380 mila nel 2021 ai 500 mila del 2025.

Una progressione lineare che racconta un ecosistema criminale ormai strutturato, capace di produrre minacce su scala industriale e di adattarsi rapidamente alle contromisure difensive.

A rendere possibile questa crescita non è solo l’aumento del numero di gruppi criminali, ma anche un uso sempre più esteso di strumenti automatizzati.

Tecniche di analisi, generazione e adattamento del codice, sempre più spesso assistite dall’intelligenza artificiale, consentono oggi di abbassare drasticamente costi e tempi di produzione del malware.

Il risultato è un cybercrime meno artigianale e sempre più vicino a un modello industriale.

Italia nel mirino: le PMI come obiettivo prioritario

In questo scenario mondiale già complesso, l’Italia emerge come uno dei Paesi più esposti.

I dati mostrano infatti che il 25% degli attacchi alle PMI rilevati in Europa ha colpito aziende italiane, spesso sotto forma di PUA, le cosiddette Potentially Unwanted Applications, ossia applicazioni apparentemente legittime che imitano brand conosciuti e vengono sfruttate come vettori di compromissione.

“Le PMI non sono solo nel radar dei cyber criminali, sono tra i loro obiettivi principali”, ha spiegato Cesare D’Angelo.

Una vulnerabilità che s’intreccia con la struttura stessa del tessuto produttivo italiano, fatto di imprese medio-piccole con risorse limitate e una superficie digitale in costante espansione.

Credenziali rubate e accessi silenziosi

Il dato forse più indicativo riguarda la tipologia delle minacce. Nel 2025 si è registrata una forte crescita di password stealer, spyware e backdoor, con un aumento particolarmente marcato in Italia rispetto alla media globale.

È il segnale di un cambio di paradigma: l’obiettivo non è più solo infettare, ma entrare senza farsi notare. “In diversi casi che abbiamo analizzato”, ha osservato D’Angelo, “ci siamo accorti che l’attaccante era rimasto all’interno dei sistemi per mesi, se non per anni, prima di essere individuato”.

Il furto di credenziali consente infatti di accedere con permessi legittimi, trasformando l’intrusione in una presenza silenziosa e persistente, difficile da individuare con strumenti di difesa tradizionali.

Strategie deboli e overload operativo

A rendere il quadro ancora più critico è la fotografia interna delle PMI. Solo il 25% dichiara di avere una strategia di cybersecurity solida, mentre il 68% ammette di affidarsi a piani formali che non si traducono in misure operative concrete.

Il problema non è solo tecnologico, ma organizzativo: il 33% delle aziende segnala di ricevere troppi alert, mentre il 30% considera il monitoraggio delle minacce un’attività che richiederebbe una risorsa dedicata a tempo pieno.

In un contesto in cui la sicurezza ricade spesso su team IT non specializzati, impegnati anche nella gestione quotidiana dei sistemi e del supporto agli utenti, il rischio è che gli avvisi vengano ignorati o sottovalutati.

A questo si aggiunge la carenza di competenze: il 17% delle PMI dichiara di non disporre di personale qualificato e, secondo il 25% degli intervistati, i vertici aziendali non riconoscono ancora pienamente la rilevanza strategica della cybersecurity.

Superficie d’attacco in crescita, difesa che fatica a tenere il passo

Nel complesso, i numeri raccontano una dinamica chiara: il volume, la complessità e l’automazione degli attacchi crescono più rapidamente della capacità di difesa delle aziende.

Windows resta il bersaglio principale, con il 48% degli utenti colpiti da diverse tipologie di minacce nel 2025, contro il 29% su macOS, a conferma che la diffusione resta un fattore determinante nelle scelte degli attaccanti.

Ma il punto centrale è un altro: la superficie d’attacco si espande più velocemente delle contromisure. “È per questo”, ha dichiarato D’Angelo, “che non basta più una difesa reattiva. Serve una visione di medio-lungo termine, capace di adattarsi all’evoluzione delle minacce e di guidare gli investimenti in modo coerente”.

Senza questo cambio di prospettiva, la scoperta dell’attacco rischia di arrivare quando è ormai troppo tardi.

Uno sguardo al 2026: attacchi più mirati e nuove superfici di rischio

Se il 2025 ha confermato la maturità industriale del cybercrime, le analisi di Kaspersky indicano che il 2026 potrebbe spingere questa evoluzione ancora oltre.

In particolare, è atteso un aumento di attacchi in grado di colpire in modo diretto supply chain e logistica globale, con un’attenzione crescente ai settori dell’energia e delle tecnologie avanzate.

Allo stesso tempo, gli attaccanti potrebbero rivolgersi sempre più spesso a obiettivi finora considerati “non classici”, come sistemi di trasporto intelligenti, smart building e infrastrutture satellitari, spesso meno protetti e regolamentati.

Sul piano geografico, l’attenzione potrebbe spostarsi progressivamente verso Asia, Medio Oriente e America Latina, aree in cui stanno crescendo investimenti industriali e digitalizzazione.

A fare da moltiplicatore, ancora una volta, sarà l’uso di tecniche sempre più automatizzate e assistite dall’intelligenza artificiale, capaci di rendere questi attacchi più adattivi, persistenti e difficili da intercettare.

---

---

---

https://www.securityinfo.it/2025/12/17/kaspersky-le-pmi-italiane-sono-un-bersaglio-strutturale-per-il-cybercrime/?utm_source=rss&utm_medium=rss&utm_campaign=kaspersky-le-pmi-italiane-sono-un-bersaglio-strutturale-per-il-cybercrime

Dic 17, 2025 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, RSS, Scenario 0

---

Il secondo semestre del 2025 ha segnato un punto di svolta fondamentale nella sicurezza informatica: l’ultimo report di ESET relativo alle minacce della seconda metà dell’anno ha evidenziato che le previsioni sull’uso dell’intelligenza artificiale per scopi malevoli sono passate da ipotesi a realtà. Al contempo, minacce consolidate come i ransomware e gli infostealer hanno sviluppato una resilienza e una capacità di adattamento sorprendenti, ridefinendo i confini del rischio digitale.

“Il malware co-generato dall’IA è qui” avvertono i ricercatori di ESET: nel report il team porta l’esempio di PromptLock, il primo ransomware noto capace di utilizzare LLM per generare script dannosi “al volo”. “Ciò che distingue PromptLock rispetto alle precedenti scoperte sulle minacce dell’IA è l’uso di un modello OpenAI, tramite l’API Ollama per generare script dannosi dinamicamente e poi eseguirli“. 

Il sistema genera infatti script Lua dinamici per scansionare il file system, esfiltrare dati o crittografarli in base alle istruzioni ricevute dall’IA. Poiché ogni output dell’IA è unico e non deterministico, la rilevazione basata su firme diventa estremamente complessa. 

Oltre a PromptLock, nel report ESET ha sottolineato la presenza di altri malware basati su IA; tra i più significativi ci sono PromptFlux, il quale riscrive il proprio codice per mantenere la persistenza, e QuietVault che usa l’IA per cercare secret nei sistemi compromessi.

Ma quanto impatta effettivamente l’intelligenza artificiale sulla generazione di malware? Se è vero che ancora questa tecnologia viene usata principalmente per migliorare attacchi di phishing, scam e social engineering, i malware basati su IA individuati da ESET nel suo report indicano che le nuove minacce “autogenerative” sono pronte a diffondersi sempre più velocemente. 

La crescita delle minacce NFC

Nel report si approfondiscono anche le minacce NFC: ESET riporta che questi attacchi hanno registrato un incremento dell’87% nel secondo semestre del 2025, evolvendosi verso una complessità tecnica senza precedenti. Il malware NGate, pioniere in questo campo, è stato aggiornato con funzionalità di furto dei contatti, probabilmente in preparazione a futuri attacchi relay e social engineering. 

NGate si è diffuso in particolare in Brasile, dove è stata individuata la variante PhantomCard. Questo malware viene distribuito attraverso siti web che imitano il Google Play Store, offrendo app fraudolente di autenticazione per le principali banche locali.

Tra i nuovi arrivati c’è RatOn, un ibrido che unisce capacità RAT ad attacchi relay NFC e sistemi di trasferimento automatico (ATS). RatOn è in grado di disabilitare la verifica biometrica sugli smartphone, permettendo ai cybercriminali di catturare i codici PIN e svuotare i conti correnti o i wallet di criptovalute delle vittime.

Il mercato degli infostealer non si ferma: i dati del report ESET

Nonostante le massicce operazioni internazionali di smantellamento condotte dalle forze dell’ordine a maggio 2025, il mercato degli infostealer ha dimostrato una notevole capacità di ripresa.

In particolare Lumma Stealer, pur avendo subito un duro colpo con la disattivazione dei suoi server C&C, è riuscito a riorganizzarsi due volte in soli sei mesi. I dati di telemetria raccolti da ESET indicano però che il suo periodo di massimo splendore potrebbe stare per finire: le rilevazioni sono crollate dell’86% nel secondo semestre rispetto ai primi sei mesi dell’anno.

Il “vuoto di potere” ha però permesso l’ascesa di infostealer concorrenti, tra i quali spicca Vidar. Secondo l’analisi della compagnia, il gruppo dietro il malware ha rilasciato un importante aggiornamento proprio per attirare nuovi affiliati in cerca di piattaforme più stabili. Parallelamente si è assistito all’esplosione di CloudEyE (noto anche come GuLoader), un downloader e cryptor la cui attività è aumentata di quasi trenta volte nel secondo semestre dell’anno. Distribuito principalmente tramite script PowerShell in campagne email che simulano fatture o ordini, CloudEyE si presenta come un apripista per ransomware o altri infostealer del calibro di Agent Tesla.

Truffe “Nomani” e deepfake

Un altro fenomeno di notevole interesse è quello delle truffe “HTML/Nomani”, scam di investimento che sfruttano profili falsi sui social media per ingannare le vittime a condividere dati personali e inviare denaro.

Già ampiamente diffuse nel 2024, queste truffe hanno raggiunto nuove vette di sofisticazione grazie a un massiccio impiego di deepfake ad alta risoluzione. Questi video utilizzano volti di personaggi famosi o politici per promuovere piattaforme di trading inesistenti; con gli ultimi miglioramenti tecnologici, i deepfake si presentano con movimenti più naturali e un audio perfettamente sincronizzato, rendendo quasi impossibile per l’utente medio distinguere il vero dal falso.

I cyberattaccanti, inoltre, hanno affinato le loro tattiche per aggirare i controlli delle piattaforme social, utilizzando campagne pubblicitarie lampo che durano solo poche ore e tecniche di cloaking per mostrare contenuti innocui ai revisori. In alcuni casi l’IA viene utilizzata per generare automaticamente il codice delle landing page. Nonostante un lieve calo delle rilevazioni verso la fine dell’anno, le truffe Nomani sono cresciute del 62% su base annua, confermando l’ingegneria sociale come uno dei campi di battaglia principali della difesa informatica moderna.

Report ESET: le vittime dei ransomware superano le cifre del 2024

Nel report di ESET c’è spazio anche per i ransomware: le campagne associate ai principali gruppi ransomware hanno incrementato il proprio numero di vittime, registrando una crescita annua del 40%.

Akira e Qilin dominano il mercato RaaS, mentre Warlock, un nuovo ransomware, sta utilizzando introduce tecniche di evasione che mettono sotto pressione i sistemi di difesa comportamentale. ESET ha inoltre individuato HybridPetya, un inedito derivato di Petya/NotPetya in grado di colpire sistemi UEFI-based moderni

Il report di ESET delinea un futuro in cui sia l’integrazione dell’IA nel cybercrime che l’evoluzione delle minacce “classiche” richiedono una difesa proattiva attraverso una sorveglianza tecnologica e umana costante.

---

---

---

https://www.securityinfo.it/2025/12/17/il-cybercrime-si-evolve-e-si-adatta-integrando-lia-nel-proprio-arsenale-il-report-di-eset/?utm_source=rss&utm_medium=rss&utm_campaign=il-cybercrime-si-evolve-e-si-adatta-integrando-lia-nel-proprio-arsenale-il-report-di-eset

La crescente sofisticazione delle minacce informatiche e la dissoluzione dei perimetri tradizionali impongono un ripensamento radicale delle strategie difensive. Le Security Operations (SecOps) rappresentano oggi molto più di un approccio metodologico: sono il tentativo di tradurre principi difensivi in processi operativi scalabili, misurabili e adattivi, capaci di rispondere a un panorama delle minacce in continua evoluzione.

La convergenza tra Security e Operations: una sfida culturale e strutturale

Quando si parla di SecOps, si fa riferimento a una convergenza strategica tra security e IT operations, nata dalla necessità di superare i silos organizzativi che hanno tradizionalmente separato chi protegge da chi sviluppa. Questa integrazione, apparentemente ovvia sulla carta, si scontra nella pratica con tensioni culturali profonde e sfide strutturali significative.

Il problema non è esclusivamente culturale, sebbene l’attrito tra sviluppatori orientati alla velocità e professionisti della sicurezza focalizzati sui controlli sia tangibile. La questione è architettonica: i cicli di sviluppo moderni, caratterizzati da rilasci continui e pipeline automatizzate, operano a velocità incompatibili con le prassi tradizionali di security assessment. Come evidenziato nel panorama dei Security Operations Center contemporanei, non si tratta di rallentare lo sviluppo per implementare controlli di sicurezza, ma di riprogettare la sicurezza stessa perché diventi parte integrante e nativa dei processi di sviluppo.

Un SOC tradizionale, con analisti che monitorano dashboard alla ricerca di anomalie, non scala in contesti dove quotidianamente vengono rilasciati centinaia di microservizi. La telemetria deve essere raccolta diversamente, gli alert contestualizzati con maggiore granularità, le risposte orchestrate con automazione intelligente che i playbook statici non possono offrire.

Automazione intelligente: tra efficienza e nuove fragilità

L’automazione rappresenta il mantra degli ultimi anni in ambito cybersecurity, promettendo di trasformare rilevamento, risposta e remediation in processi scalabili. Gli strumenti di Security Orchestration, Automation and Response hanno effettivamente ridotto i tempi di reazione da ore a minuti in molti scenari. Tuttavia, l’automazione è efficace solo quanto sono accurati i modelli su cui si basa.

Il rischio concreto è quello di automatizzare la mediocrità: sistemi che rispondono rapidamente ma in modo inadeguato, che classificano minacce secondo schemi rigidi facilmente aggirabili dagli attaccanti, che generano volumi di alert tali da desensibilizzare gli analisti che dovrebbero supervisionarli. L’intelligenza artificiale e il machine learning, pur promettenti, introducono nuove vulnerabilità: modelli che possono essere ingannati, bias che amplificano errori umani, opacità decisionale che complica la spiegazione delle classificazioni.

Il fattore umano nelle Security Operations

Il vero valore di un Security Operations Center maturo risiede nella capacità degli analisti di andare oltre gli alert automatici, correlare informazioni da fonti eterogenee, intuire pattern che nessun algoritmo ha ancora imparato a riconoscere. È l’analista che identifica una sequenza di accessi apparentemente legittimi che nasconde un living off the land attack – tecnica in cui gli attaccanti utilizzano strumenti legittimi del sistema per condurre attività malevole rimanendo sotto il radar dei controlli tradizionali.

Emerge qui una tensione critica: come mantenere competenze umane di alto livello in un contesto che spinge verso l’automazione massiva? Come trattenere talenti quando la routine quotidiana rischia di ridursi alla gestione di falsi positivi? Le organizzazioni che eccellono nelle SecOps sono quelle che investono non solo in stipendi competitivi, ma in ambienti dove la curiosità intellettuale viene premiata, dove esiste tempo e spazio per approfondire, sperimentare, apprendere.

Il contesto normativo europeo: NIS2 e resilienza operativa

Il quadro normativo europeo, con l’implementazione della Direttiva NIS2 entrata in vigore nel ottobre 2024, sta ridefinendo gli standard di resilienza operativa. La normativa impone requisiti stringenti sulla gestione degli incidenti: le organizzazioni devono notificare gli incidenti significativi entro 24 ore dalla loro rilevazione (early warning), fornire un report dettagliato entro 72 ore e un report finale entro un mese.

Questi obblighi rendono esplicito ciò che molti professionisti della sicurezza sostengono da tempo: non è più accettabile scoprire una compromissione mesi dopo il fatto, non è più sostenibile affidarsi a controlli spot e verifiche annuali. La NIS2, con il suo focus sulla resilienza operativa e sulla capacità di risposta tempestiva, sta di fatto imponendo l’adozione di capacità SecOps anche a organizzazioni che finora le consideravano un lusso per enterprise di grandi dimensioni.

Security Operations modulari per organizzazioni di ogni dimensione

Implementare SecOps efficaci in contesti con risorse limitate richiede pragmatismo e creatività. Non tutte le organizzazioni possono permettersi un SOC attivo 24/7 con team dedicati o le piattaforme più sofisticate. Tuttavia, è possibile costruire capacità operative di sicurezza significative se si hanno chiari gli obiettivi e si è disposti a fare scelte strategiche su dove concentrare gli investimenti.

Le SecOps moderne devono essere pensate come sistemi modulari e componibili, dove diverse organizzazioni possono combinare capacità interne con servizi gestiti, strumenti commerciali con soluzioni open source, competenze specialistiche con formazione continua del personale esistente. L’essenziale è avere una visione d’insieme, una comprensione chiara dei rischi specifici che si affrontano e delle capacità necessarie per gestirli. L’integrazione di threat intelligence e l’adozione di approcci basati sul rischio diventano fattori abilitanti fondamentali.

SIEM e gestione centralizzata degli eventi

I sistemi di Security Information and Event Management (SIEM) costituiscono il cuore tecnologico delle operazioni di sicurezza moderne, aggregando e correlando eventi da fonti eterogenee. Tuttavia, la loro efficacia dipende criticamente dalla qualità della configurazione, dalla capacità di tuning continuo e dall’integrazione con altri strumenti dell’ecosistema di sicurezza.

Un SIEM mal configurato genera più problemi di quanti ne risolva: falsi positivi che saturano i team, falsi negativi che permettono agli attaccanti di operare indisturbati, complessità operativa che richiede competenze specialistiche difficili da trovare e trattenere. L’evoluzione verso piattaforme di Extended Detection and Response (XDR) promette di superare alcune di queste limitazioni attraverso maggiore automazione e correlazione intelligente.

Vulnerability Management e approccio proattivo

La gestione proattiva delle vulnerabilità rappresenta un pilastro fondamentale delle Security Operations efficaci. Non si tratta semplicemente di applicare patch quando disponibili, ma di comprendere il panorama delle vulnerabilità nella propria infrastruttura, prioritizzarle in base al rischio effettivo, e implementare remediation in modo coordinato che non comprometta la continuità operativa.

L’approccio Continuous Threat Exposure Management sta emergendo come paradigma evolutivo, superando i tradizionali vulnerability assessment periodici a favore di una valutazione continua della superficie di attacco e dell’esposizione al rischio.

Il futuro delle Security Operations: resilienza adattiva

Se esiste una caratteristica distintiva delle Security Operations è la loro natura perpetuamente incompiuta. Non si arriva mai a un punto in cui il lavoro è fatto, i processi sono perfetti, la sicurezza è garantita. Ogni miglioramento nelle capacità difensive viene rapidamente incorporato dagli attaccanti nei loro modelli di attacco. Ogni nuova tecnologia adottata introduce nuove superfici di attacco da proteggere.

Il concetto di cyber resilience – la capacità non solo di prevenire gli incidenti ma di resistere, adattarsi e recuperare rapidamente quando si verificano – sta diventando centrale. Le organizzazioni più mature stanno evolvendo da un modello incentrato sulla prevenzione verso uno che bilancia prevenzione, rilevamento rapido, contenimento efficace e recupero resiliente.

Conclusioni: Security Operations come percorso continuo

Forse è proprio in questa tensione continua, in questa necessità di evolvere costantemente, che le Security Operations trovano il loro senso più profondo. Non sono una destinazione ma un percorso, non sono una soluzione ma un approccio per navigare la complessità irriducibile della sicurezza informatica moderna. In un panorama dove le certezze sono sempre più rare e le minacce sempre più sofisticate, l’umiltà operativa e la capacità di apprendimento continuo rappresentano forse le competenze più preziose.

Le organizzazioni che eccellono nelle SecOps non sono quelle che hanno eliminato ogni rischio – obiettivo irrealistico – ma quelle che hanno costruito la capacità di rilevare rapidamente le anomalie, rispondere efficacemente agli incidenti, apprendere da ogni evento e adattare continuamente le proprie difese. In questo senso, le Security Operations rappresentano meno una funzione tecnica e più un paradigma organizzativo che permea cultura, processi e tecnologie.

https://www.ictsecuritymagazine.com/articoli/security-operations/

L’intervento “La Security Convergence per le Enterprise” di Marco Bavazzano, Amministratore Delegato di Axitea, tenutosi durante il 23° Forum ICT Security

Le piccole e medie imprese rappresentano l’ossatura del sistema produttivo italiano, eppure restano spesso ai margini del dibattito sulla sicurezza integrata. È partito da questa constatazione l’intervento di Marco Bavazzano, Amministratore Delegato di Axitea, al 23° Forum ICT Security tenutosi a Roma il 20 novembre 2025: un’analisi lucida e pragmatica su come la convergenza tra sicurezza fisica, digitale e operativa possa trasformare la protezione aziendale da centro di costo a vantaggio competitivo.

Un tema “sexy” di cui nessuno parla

«Chi di voi sa cos’è la Security Convergence?» ha esordito l’AD Bavazzano, rivolgendosi alla platea. La risposta, quasi unanimemente silente, ha confermato un paradosso: si tratta di un argomento strategico, eppure largamente ignorato dall’agenda dei media e dei grandi vendor. Il motivo? Secondo l’esperto, implementare un modello di sicurezza convergente risulta estremamente complesso, soprattutto per le realtà più strutturate.

«Non c’è il vendor che faccia il prodotto per la Security Convergence, non c’è una grande corporate che proponga un’implementazione integrale e strategica della sicurezza che copra sia il mondo fisico che quello cyber» ha spiegato lo speaker, evidenziando come le barriere all’ingresso nel settore della sicurezza fisica – certificazioni ministeriali, infrastrutture operative dedicate – rendano di fatto impossibile per molti operatori del mondo cyber sviluppare un’offerta realmente integrata.

Le PMI come anello strategico delle filiere produttive

Prima di addentrarsi nei tecnicismi, l’intervento ha posto l’accento su un dato spesso sottovalutato: il ruolo critico delle piccole e medie imprese all’interno delle grandi catene del valore. Il relatore ha portato l’esempio concreto di un cliente del Trevigiano, fornitore esclusivo di un grande gruppo navale italiano impegnato nella costruzione di navi da crociera di lusso.

«Quando questo grande gruppo navale indice una gara, molto spesso il nostro cliente è il solo a partecipare, perché nessun altro è in grado di realizzare quel prodotto nei tempi richiesti» ha raccontato l’AD di Axitea. «Questo è un vincolo strategico: se il nostro cliente dovesse subire un attacco informatico, con un impatto sulle propria continuità operativa, ne risentirebbe la resilienza dell’intera organizzazione e dell’intera catena di fornitura, compresa, in questo esempio, l’azienda navale». Un esempio che illumina quanto la sicurezza della supply chain non sia più un optional, ma una necessità sistemica.

I tre pilastri della convergenza

Ma cosa si intende concretamente per Security Convergence? Lo speaker ha delineato un modello basato su tre componenti integrate. La prima è la sicurezza fisica tradizionale: controlli di accesso, videosorveglianza, videoronde, monitoraggio allarmi. La seconda è la cybersecurity, con i suoi pilastri ormai consolidati: Identity e Zero Trust, soluzioni EDR/XDR, segmentazione IT/OT, Security Operations Center. La terza componente, forse la più innovativa, è ciò che l’esperto ha definito Sensing & Operations: il mondo della telemetria di fabbrica, dei dati relativi ai sistemi primari e secondari di produzione, del monitoraggio energetico e del condition monitoring.

«Tutto ciò che riguarda il consumo di energia, i cicli macchina, i parametri di qualità – ha specificato Marco Bavazzano – rappresenta un terzo livello che, integrato ai precedenti, consente di creare un approccio alla Security Convergence mirato ad assicurare la resilienza complessiva dell’azienda».

Il caso dei polimeri: quando la correlazione salva la produzione

Per rendere tangibili i benefici di questo approccio, lo speaker ha illustrato un caso studio particolarmente eloquente: un cliente che produce polimeri per l’industria calzaturiera, materiali utilizzati per incollare la tomaia alle suole o per realizzare le strutture interne delle sneaker più innovative.

Il processo produttivo si svolge a ciclo continuo e richiede la creazione del vuoto all’interno di grandi betoniere industriali. La reazione chimica si innesca solo in condizioni di vuoto ottimali e dura circa dodici ore. Il problema? L’azienda scopre se il prodotto è di qualità adeguata solo al termine di questo lungo ciclo. Se qualcosa ha compromesso le condizioni di vuoto – magari un attacco informatico al PLC che controlla il processo – dodici ore di produzione vengono irrimediabilmente perse.

«La correlazione di eventi sui tre livelli – sicurezza fisica, cyber e sensing operations – consente di rilevare situazioni di questo tipo in modo molto tempestivo» ha spiegato il relatore, «permettendo di interrompere il processo prima che sia troppo tardi».

Efficienza e resilienza: due facce della stessa medaglia

L’intervento ha poi richiamato una ricerca accademica citata in un precedente panel del Forum, secondo cui «lavorare sull’efficienza aumenta la resilienza». Un principio che trova piena applicazione nel modello proposto: l’integrazione delle informazioni provenienti dal mondo sensing & operations permette non solo di prevenire incidenti, ma anche di ottimizzare i cicli produttivi.

«Oggi si comprano macchine per cui si prevede un determinato numero di cicli per la realizzazione di un prodotto – ha osservato l’AD di Axitea. Ma nel momento in cui si osservano le effettive fasi produttive, si scopre che i dati dichiarati erano stati rilevati in condizioni ambientali diverse da quelle del tuo contesto operativo. I valori reali possono essere molto diversi, con un impatto significativo sulla produzione e sulla capacità effettive di rispettare tempi e costi».

L’intelligenza artificiale come consulente esperto

Un passaggio significativo dell’intervento è stato dedicato al ruolo dell’intelligenza artificiale nella gestione della sicurezza integrata. Lo speaker ha preso le distanze dalla retorica imperante: «Oggi sembra che se in una soluzione non sono stati integrati algoritmi di intelligenza artificiale e machine learning, questa sia automaticamente primitiva e senza valore. Io vorrei invece dare enfasi all’impiego dell’intelligenza artificiale integrata in soluzioni già esistenti: è qui che stiamo vedendo il cambio di paradigma più importante».

Axitea ha sviluppato una piattaforma di co-pilot specificamente addestrata per la Security Convergence. «Noi l’abbiamo addestrato per essere l’esperto della Security Convergence – ha raccontato il relatore – poi quando lo portiamo a casa di un cliente, diventa l’esperto dei processi di quel cliente. Acquisisce i suoi dati, si addestra su quelli e diventa il loro esperto personalizzato».

Il risultato? La capacità di fornire risposte che traducono il linguaggio tecnico della sicurezza in termini di business: analisi sintetiche, raccomandazioni prioritizzate, indicazioni concrete sui passi da compiere. «Quando facevo il CISO vent’anni fa – ha ammesso lo speaker – avevo difficoltà a tradurre completamente il linguaggio di sicurezza in linguaggio di business. Oggi questi strumenti consentono di farlo in maniera molto semplice».

Il percorso verso l’implementazione

L’intervento si è concluso delineando una roadmap pragmatica per le aziende che intendano avviarsi verso la Security Convergence. Il percorso parte da un assessment dei rischi e dei processi, prosegue con la definizione di una roadmap di implementazione e approda alla scelta di partner capaci di gestire in modo integrato tutti gli aspetti della sicurezza.

«Il SOC non è fatto di tecnologie, è fatto di processi e competenze» ha ribadito il relatore, richiamando un intervento precedente. «Ma in questo caso i Security Operations Center devono essere in grado di correlare eventi provenienti da tutti e tre i domini: sicurezza fisica, sicurezza logica, sensing & operations. È in questo che si realizza la vera convergenza».

Un messaggio finale rivolto soprattutto alle imprese che costituiscono il tessuto produttivo italiano: la convergenza della sicurezza non è un lusso per grandi corporate, ma una necessità strategica per garantire resilienza e competitività. I percorsi esistono, le aziende che li hanno già implementati ne hanno toccato con mano i risultati. La sfida, ora, è renderli accessibili a tutto il sistema economico nazionale.

Guarda il video completo dell’intervento:

https://www.ictsecuritymagazine.com/articoli/sicurezza-fisica-cyber/