L’analisi dei dati rappresenta oggi il fulcro delle moderne strategie di intelligence digitale. Questo articolo fa parte di una serie di approfondimenti dedicati all’Open Source Intelligence (OSINT) e all’Advertising Intelligence (ADINT), esplorando le loro applicazioni innovative e gli impatti significativi in ambito industriale, civile e dell’intelligence europea.

Il presente contenuto esamina in dettaglio l’approccio OSINT, analizzando come l’utilizzo di fonti pubblicamente accessibili – dai social media agli archivi web – possa fornire informazioni cruciali per la sicurezza digitale. Viene inoltre presentato l’innovativo approccio ADINT, che sfrutta i dati del tracking pubblicitario per scopi investigativi, aprendo nuove frontiere nell’intelligence moderna.

L’approccio OSINT

Fonti pubbliche e social media

L’OSINT (Open Source Intelligence) si basa sull’analisi di dati provenienti da fonti pubblicamente accessibili. Come evidenziato da Yadav et al. (2023), l’utilizzo crescente di Internet e del World Wide Web ha portato ad una crescita esponenziale delle informazioni disponibili, con particolare rilevanza per i professionisti della cybersecurity. Le fonti OSINT includono principalmente archivi web, database pubblici, indirizzi e-mail e social network come Facebook, X, LinkedIn.

La rilevanza dell’OSINT è cresciuta significativamente negli ultimi anni, portando ad un dibattito sulle modalità di raccolta dei dati tra il settore militare, governativo e commerciale. Le sfide principali riguardano l’acquisizione di dati rilevanti, il loro sfruttamento e la loro successiva condivisione per soddisfare specifici requisiti di intelligence (Nouh et al., 2019).

I dati raccolti da piattaforme come X e Facebook includono immagini, video, post testuali e metadati, che possono essere analizzati per identificare pattern comportamentali o geolocalizzazioni. Ad esempio, l’uso di hashtag specifici su X (all’epoca Twitter) ha permesso agli analisti OSINT di seguire il movimento di manifestanti durante eventi come le proteste di Hong Kong del 2019 (Clarke & Knake, 2020). Tuttavia, l’analisi dei social media presenta sfide significative. Ad esempio, la grande quantità di dati disponibili può causare la cosiddetta “information overload”[1], mentre la presenza di fake news e bot richiede un’attenta verifica delle fonti. Strumenti come “Hoaxy”[2] e “Botometer”[3] sono stati sviluppati per affrontare queste problematiche, migliorando la capacità degli analisti di distinguere tra contenuti autentici e manipolati.

Hoaxy è uno strumento progettato per tracciare la diffusione di contenuti online, come notizie false o informazioni manipolate, attraverso i social network. Funziona analizzando le condivisioni e le interazioni relative a specifici articoli o argomenti, mostrando visivamente come si propagano nei social network (come ad esempio X). Questo strumento consente agli analisti di identificare i nodi principali, analizzare i percorsi di propagazione e infine di rilevare potenziali segnali di manipolazione (un esempio può essere quello di un’alta frequenza di condivisione in tempi molto brevi, che potrebbe indicare l’utilizzo di bot).

Botometer invece è uno strumento che valuta la probabilità che un account su X (ex Twitter) sia controllato da un bot anziché da un essere umano. Utilizza algoritmi di apprendimento automatico per analizzare diversi aspetti dell’attività di un account, tra cui i metadati, le caratteristiche linguistiche, la connettività e infine l’attività temporale. Inoltre, questo strumento assegna un punteggio che indica la probabilità che un account sia automatizzato e ciò è particolarmente utile per rilevare campagne di manipolazione che utilizzano reti di bot per amplificare contenuti specifici o distorcere il dibattito pubblico.

Tecniche di aggregazione

Le tecniche di aggregazione sono fondamentali per gestire l’enorme volume di dati disponibili attraverso l’OSINT. Come descritto da Vasilaras et al. (2024), l’efficacia degli strumenti OSINT dipende fortemente dalla loro capacità di automatizzare la raccolta e l’analisi dei dati e con l’aiuto di software specializzati è possibile estrarre informazioni da diverse fonti, inclusi metadati delle immagini (i sopracitati EXIF), dati di geolocalizzazione e informazioni sui dispositivi. Un aspetto cruciale evidenziato dalla ricerca è l’importanza della validazione delle fonti e della verifica dell’autenticità delle informazioni raccolte, e per questo motivo gli strumenti OSINT moderni integrano sempre più spesso funzionalità di machine learning e di IA per migliorare l’accuratezza dell’analisi e ridurre i falsi positivi.

Un esempio interessante di utilizzo di tecniche di aggregazione è stato descritto da Kaplan (2021), il quale ha mostrato come l’analisi incrociata di dati provenienti da social media e registri pubblici possa rivelare connessioni nascoste tra individui, reti criminali oppure imprese di vario tipo. Tuttavia, nonostante l’efficienza garantita dall’automazione, rimane essenziale l’intervento umano per garantire la contestualizzazione e l’interpretazione dei risultati.

Framework normativi e considerazioni etiche

L’utilizzo dell’OSINT nell’Unione Europea è soggetto ad un quadro normativo particolarmente stringente, con il GDPR che pone limiti significativi alla raccolta e all’analisi dei dati personali, anche se pubblicamente disponibili. A differenza degli Stati Uniti, dove l’approccio è generalmente più permissivo, l’UE richiede che qualsiasi attività di intelligence basata su fonti aperte rispetti i principi fondamentali di necessità e proporzionalità. La Direttiva (UE) 2016/680 fornisce ulteriori linee guida specifiche per le attività di law enforcement, stabilendo un equilibrio tra le esigenze investigative e la protezione dei diritti fondamentali. Questo approccio si differenzia significativamente da quello statunitense, dove il Fourth Amendment (quarto emendamento della Costituzione statunitense) offre protezioni più limitate per i dati condivisi pubblicamente.

Strumenti e metodologie avanzate

Gli strumenti OSINT moderni integrano sempre più frequentemente tecnologie di intelligenza artificiale e machine learning. Piattaforme come “IBM i2 Analyst’s Notebook” e “Palantir Gotham” e software come “Maltego”, “The Harvester” e “SpiderFoot” permettono di centralizzare informazioni provenienti da più fonti, creando una visione d’insieme coerente e facilmente consultabile. Questi strumenti automatizzano processi che altrimenti richiederebbero un impegno manuale significativo, come la raccolta di indirizzi e-mail, numeri di telefono e nomi di dominio. Dunque, le principali funzionalità di questi strumenti sono:

• Automatizzare la raccolta di informazioni da più fonti;
• Identificare pattern e correlazioni non evidenti;
• Generare visualizzazioni interattive delle reti di relazioni;
• Produrre report analitici dettagliati.

L’approccio ADINT

L’ADINT rappresenta un approccio innovativo all’intelligence, focalizzato sull’analisi dei dati raccolti attraverso il tracciamento pubblicitario. Originariamente concepito per finalità di marketing, questo metodo è stato adattato per scopi investigativi, sfruttando la mole di dati comportamentali generati dagli utenti durante la loro attività online.

Tracking pubblicitario e intelligence

Come dettagliato da Hayes e Cappa (2018), l’ADINT (Advertising Intelligence) rappresenta un approccio innovativo che sfrutta i dati generati dal tracking pubblicitario per scopi di intelligence. Gli autori evidenziano come gli sviluppi nell’IT abbiano portato ad una crescita significativa delle problematiche di sicurezza per le aziende, con circa l’80% dei dirigenti IT che nel 2011 riportava di essere stato oggetto di attacchi.

L’ADINT si basa su tecnologie come cookie, pixel di tracciamento[4] e identificatori di dispositivi mobili per monitorare le interazioni degli utenti. Questi strumenti permettono di raccogliere informazioni dettagliate su preferenze, interessi e comportamenti degli utenti, creando profili molto precisi.

Inferenza comportamentale

La ricerca di Hayes e Cappa (2018) ha dimostrato come l’ADINT possa essere utilizzato per identificare vulnerabilità significative nei sistemi di sicurezza aziendali. Gli autori hanno condotto uno studio su un’azienda operante nel settore delle infrastrutture critiche statunitensi, rivelando come grazie all’utilizzo dell’ADINT sia possibile:

• Profilare l’infrastruttura di rete di un’organizzazione;
• Identificare software e hardware in uso;
• Raccogliere informazioni sul personale IT chiave.

Questo tipo di informazioni può essere usato sia per scopi difensivi che offensivi, evidenziando l’importanza di una comprensione approfondita delle capacità e dei limiti dell’ADINT nel contesto della cybersecurity moderna.

Implicazioni per la privacy e la protezione dei dati

L’ADINT solleva questioni particolarmente delicate all’interno degli Stati membri dell’UE, dove il GDPR richiede un consenso esplicito per il tracciamento pubblicitario e limita significativamente l’uso secondario dei dati raccolti. La recente approvazione del Digital Services Act (DSA) e del Digital Markets Act (DMA) da parte del Parlamento europeo ha ulteriormente rafforzato questi vincoli, imponendo maggiore trasparenza e controllo sulle pratiche di tracciamento.

Ulteriori approfondimenti su Mobile e Network Forensics per l’analisi dei dati

Mobile Forensics

La mobile forensics è una disciplina in rapida crescita che si occupa dell’analisi dei dispositivi mobili come smartphone e tablet. Questi dispositivi contengono una quantità significativa di informazioni personali, come ad esempio la cronologia di navigazione, i registri di chiamate, i messaggi, le immagini e i dati GPS. Strumenti come “Cellebrite” e “Magnet AXIOM” permettono di recuperare questi dati anche in condizioni di accesso limitato, come nel caso di dispositivi protetti da password.

Un esempio pratico dell’uso della mobile forensics riguarda l’indagine sull’attentato di San Bernardino del 2015, in cui l’FBI ha utilizzato tecniche avanzate per sbloccare l’iPhone di uno degli autori della strage (Carrier, 2019). Questo episodio ha sollevato un acceso dibattito sull’equilibrio tra la sicurezza nazionale e la privacy dei cittadini.

Network Forensics

La network forensics si concentra sull’analisi del traffico di rete per identificare attività sospette o dannose. Tecniche come il “Deep Packet Inspection (DPI)”[5] e l’analisi dei log consentono di monitorare le comunicazioni digitali e di individuare anomalie che potrebbero indicare tentativi di intrusione o violazioni della sicurezza.

Strumenti come “Wireshark” e “Zeek” sono ampiamente utilizzati in questo campo, offrendo funzionalità avanzate per l’analisi dei pacchetti di dati e la rilevazione di pattern insoliti. Ad esempio, in ambito aziendale, la network forensics può essere impiegata per prevenire attacchi ransomware, monitorando i comportamenti anomali nelle reti interne (Miller, 2020).

Evoluzione delle tecniche forensi

Le tecniche di mobile e network forensics sono in continua evoluzione, spinte dalla necessità di tenere il passo con l’innovazione tecnologica e con le crescenti esigenze di sicurezza. Sia il 5G che l’Internet of Things (IoT) hanno trasformato il panorama dell’investigazione digitale, introducendo sfide senza precedenti e, contemporaneamente, nuove opportunità per gli investigatori.

Un’area di sviluppo chiave riguarda le tecniche avanzate di recupero dati, che consentono di estrarre informazioni critiche anche da dispositivi danneggiati o deliberatamente compromessi, utilizzando strumenti sofisticati che possono recuperare dati da memorie flash corrotte o dispositivi bloccati. Ciò è particolarmente utile in scenari di indagini penali o di sicurezza aziendale, dove l’accesso ai dati contenuti in un dispositivo può risultare essenziale per l’indagine.

Un altro fronte in espansione è rappresentato dall’analisi forense delle applicazioni cloud, divenuta centrale con la crescente migrazione di dati verso infrastrutture remote. La capacità di tracciare, analizzare e verificare le attività eseguite su piattaforme cloud richiede strumenti e competenze specializzate, che includono l’estrazione di log, l’analisi delle istantanee virtuali e il monitoraggio delle comunicazioni tra dispositivi e server remoti.

L’arrivo delle reti 5G ha introdotto ulteriori complessità nell’ambito delle indagini di rete data la maggiore velocità e la ridotta latenza di queste reti che, amplificando il flusso di dati, rendono di conseguenza più complesso il monitoraggio e l’analisi del traffico. Gli investigatori stanno sviluppando metodologie specifiche per esaminare le architetture di rete 5G, che includono funzionalità come il c.d. “slicing di rete”[6], per comprendere meglio come le risorse vengano utilizzate e distribuite.

Infine, il mondo dell’IoT presenta sfide uniche per la digital forensics. La proliferazione negli ultimi anni di dispositivi connessi, come sensori, elettrodomestici intelligenti e i c.d. “wearable” (smartwatch, smartband etc.), implica che un’ampia gamma di dati potenzialmente rilevanti sia distribuita in modo frammentato su molteplici sistemi. Gli investigatori devono affrontare problemi legati alla diversità delle piattaforme, alla mancanza di standardizzazione e alla volatilità dei dati, sviluppando dunque approcci specifici per l’acquisizione e l’analisi di questi dati.

Questi progressi tecnologici, se da un lato ampliano le capacità operative degli investigatori digitali, dall’altro sottolineano la necessità di competenze sempre più avanzate e di strumenti altamente specializzati per rispondere alle nuove sfide poste dall’evoluzione del panorama digitale.

Standard e certificazioni

Nell’Unione Europea gli standard ISO/IEC 27037:2012 e ISO/IEC 27042:2015 offrono linee guida che assicurano rigore metodologico e conformità alle normative vigenti, e rappresentano dunque pilastri fondamentali per la gestione delle prove digitali.

L’ISO/IEC 27037:2012 si concentra sugli aspetti operativi dell’identificazione, della raccolta, dell’acquisizione e infine della conservazione delle prove digitali, fornendo un framework per garantire che tali processi siano condotti in modo affidabile e documentato. L’aderenza a questo standard è fondamentale per preservare l’integrità e l’autenticità delle prove, fattori cruciali per la loro ammissibilità in un contesto legale.

L’ISO/IEC 27042:2015, invece, si concentra sull’analisi e la valutazione delle prove digitali, delineando metodologie per interpretare i dati raccolti e formulare conclusioni solide. Questo standard sottolinea l’importanza della documentazione dettagliata e della replicabilità delle analisi, che sono prerequisiti per garantire la trasparenza e la credibilità del processo investigativo.

Entrambi gli standard assumono particolare rilevanza nell’era del GDPR, poiché impongono che le prove digitali siano trattate nel rispetto dei diritti degli individui, tra cui il diritto alla privacy e alla protezione dei dati personali. Per esempio, durante la raccolta di dati da dispositivi o account personali, gli investigatori devono adottare misure per minimizzare l’acquisizione di informazioni non pertinenti, in linea con il principio di minimizzazione dei dati sancito dal GDPR. Allo stesso modo, la conservazione delle prove deve avvenire in ambienti sicuri e protetti, rispettando i requisiti di integrità e riservatezza previsti dalla normativa.

Questi standard sono quindi strumenti fondamentali per armonizzare le procedure investigative con le esigenze legali e normative, contribuendo di conseguenza a ridurre il rischio di contestazioni giudiziarie e a rafforzare la validità delle prove in ambito processuale. Inoltre, rappresentano una guida importante per professionisti della digital forensics, aiutandoli a navigare nelle complessità di un panorama tecnologico e giuridico in continua evoluzione.

Integrazione e sinergie tra approcci

Convergenza metodologica

L’integrazione tra OSINT, ADINT e tecniche forensi tradizionali sta creando nuove opportunità significative nel campo dell’investigazione digitale. La convergenza di questi approcci permette agli investigatori di sviluppare metodologie più robuste e affidabili, e la verifica incrociata delle informazioni provenienti da fonti diverse rappresenta uno dei principali vantaggi di questo approccio integrato. Difatti, quando un’informazione viene confermata attraverso molteplici fonti indipendenti, ciò permette di aumentare considerevolmente la sua affidabilità.

La ricostruzione dettagliata degli eventi rappresenta un altro ambito in cui la convergenza metodologica mostra la sua importanza, visto che l’integrazione di dati provenienti da fonti OSINT con informazioni estratte attraverso tecniche forensi permette di ricostruire sequenze di eventi con un livello di precisione precedentemente molto difficile da raggiungere. Ciò è particolarmente rilevante nelle indagini complesse che coinvolgono multiple giurisdizioni o si estendono su lunghi periodi. Inoltre, l’identificazione di connessioni non immediatamente evidenti tra diversi elementi probatori costituisce un ulteriore vantaggio dell’approccio integrato, visto che l’utilizzo di tecniche diverse può rivelare pattern e correlazioni che potrebbero sfuggire ad un’analisi condotta con un singolo approccio. Ciò risulta particolarmente utile nelle indagini su reti criminali complesse o su attività fraudolente sofisticate.

Sfide tecniche e operative

L’implementazione di un approccio integrato all’intelligence digitale comporta diverse sfide che richiedono particolare attenzione, e una delle questioni più pressanti riguarda la standardizzazione delle procedure, soprattutto negli stati membri dell’UE dove la conformità con il GDPR e altre normative sulla protezione dei dati deve essere garantita in ogni fase del processo investigativo.

La gestione di volumi crescenti di dati eterogenei costituisce una sfida tecnica considerevole e gli investigatori si trovano infatti a dover analizzare informazioni provenienti da molteplici fonti, ciascuna con le proprie caratteristiche e formati specifici. Ciò richiede lo sviluppo di competenze specialistiche e l’utilizzo di strumenti avanzati per l’analisi dei dati.

La formazione degli analisti rappresenta un ulteriore aspetto cruciale ed essi devono possedere competenze diversificate, dall’analisi forense tradizionale alle più recenti tecniche di OSINT e ADINT. La continua evoluzione delle tecnologie e delle metodologie richiede inoltre un aggiornamento costante delle competenze.

Prospettive future

Tendenze emergenti

Il futuro dell’intelligence digitale appare caratterizzato da una crescente integrazione dell’intelligenza artificiale nei processi investigativi e l’automazione di determinate attività analitiche permetterà agli investigatori di concentrarsi sugli aspetti più complessi e strategici delle indagini. Inoltre, l’analisi in tempo reale di grandi volumi di dati sta diventando sempre più importante, soprattutto in scenari che richiedono risposte rapide a minacce emergenti.

L’adozione di varie tecnologie per la validazione delle fonti offre nuove possibilità per garantire l’integrità e la tracciabilità delle informazioni raccolte, aspetto particolarmente rilevante nel contesto forense e investigativo. L’utilizzo di approcci basati sul “federated learning”[7] sta emergendo come soluzione promettente per la condivisione sicura dei dati tra diverse agenzie e organizzazioni, permettendo di sfruttare il potenziale di dataset distribuiti mantenendo al contempo elevati standard di sicurezza e privacy.

Sfide future

Le sfide che il settore dovrà affrontare nei prossimi anni sono molteplici e complesse. Il bilanciamento tra esigenze di sicurezza e tutela della privacy rappresenta una questione centrale, particolarmente sentita nel contesto europeo dove il quadro normativo sulla protezione dei dati è molto stringente.

Il contrasto alla disinformazione sta emergendo come una delle priorità più urgenti e a gestione del c.d. “information overload” continua a rappresentare una sfida significativa, nonostante i progressi nelle tecnologie di analisi automatizzata. La capacità di verificare l’autenticità delle informazioni e di identificare contenuti manipolati diventa sempre più cruciale in un contesto caratterizzato dalla proliferazione di fake news e deep fake. L’adattamento a nuove normative, infine, richiede una continua evoluzione delle metodologie e degli strumenti utilizzati soprattutto per quanto riguarda l’Unione Europea, dove il quadro normativo sulla protezione dei dati e sulla sicurezza digitale è in costante evoluzione.

La capacità di affrontare queste sfide in modo efficace determinerà in larga misura l’evoluzione futura del settore dell’intelligence digitale, con implicazioni significative per la sicurezza e la privacy dei cittadini europei.

L’articolo ha illustrato come OSINT e ADINT rappresentino pilastri fondamentali dell’intelligence digitale moderna, offrendo metodologie sofisticate per l’analisi di dati provenienti da fonti aperte e dal tracking pubblicitario. L’integrazione di questi approcci con le tecniche forensi tradizionali sta creando nuove opportunità nel campo dell’investigazione digitale, permettendo agli analisti di sviluppare metodologie più robuste e affidabili. Nel prossimo articolo della serie approfondiremo il tema legato alle agenzie di intelligence e il delicato equilibrio tra sicurezza e privacy.

Scarica gratuitamente il white paper completo di Sergiu Deaconu, “Open Source Intelligence e Advertising Intelligence: applicazioni e impatti in ambito industriale, civile e dell’intelligence europea”, per accedere ad un’analisi approfondita su come OSINT e ADINT stiano trasformando il settore dell’intelligence digitale.

Fonti:

[1]Condizione che si verifica quando la quantità di informazioni disponibili supera la capacità di un individuo o di un sistema di elaborarle in maniera efficace. Questo fenomeno può causare confusione, rallentare il processo decisionale e ridurre la capacità di identificare dati rilevanti, soprattutto in contesti ad alta complessità informativa.

[2] https://hoaxy.osome.iu.edu

[3]https://botometer.osome.iu.edu

[4] Sono immagini minuscole, spesso di dimensioni pari ad un singolo pixel, integrate nelle pagine web o nelle e-mail per raccogliere dati sull’attività degli utenti. Quando un utente visualizza il contenuto, il pixel viene caricato dal server, consentendo di monitorare comportamenti come l’apertura di e-mail, il tempo trascorso su una pagina e le interazioni effettuate. Sono strumenti comuni per analisi di marketing e campagne pubblicitarie;

[5]La DPI è una tecnica avanzata per l’analisi e la gestione del traffico di rete. Si tratta di una forma di filtraggio dei pacchetti che permette di individuare, identificare, classificare, reindirizzare o bloccare pacchetti contenenti dati o codici specifici, superando i limiti del filtraggio tradizionale, che si limita a esaminare solo gli header dei pacchetti.

[6]Questa è una tecnica utilizzata nelle reti 5G per creare più “slice” virtuali, ossia porzioni logiche della rete, ciascuna progettata per soddisfare requisiti specifici di prestazioni, latenza o capacità. Ogni slice opera come una rete indipendente, ottimizzata per applicazioni diverse, come IoT, streaming video o comunicazioni critiche, pur condividendo la stessa infrastruttura fisica.

[7]Si tratta di una metodologia di apprendimento automatico che consente di addestrare modelli su dati distribuiti direttamente sui dispositivi locali, senza trasferire i dati ad un server centrale. Questo approccio preserva la privacy dei dati e riduce il rischio di esposizione, condividendo solo aggiornamenti del modello anziché i dati grezzi.

https://www.ictsecuritymagazine.com/articoli/analisi-dei-dati/

A un anno dalla scadenza di recepimento della Direttiva NIS2 (17 ottobre 2024), il panorama normativo europeo presenta un quadro paradossale: solo quattro Stati membri – Belgio, Croazia, Italia e Lituania – avevano pienamente trasposto la direttiva entro il termine secondo la valutazione della Commissione Europea, costringendo la Commissione ad avviare il 28 novembre 2024 procedure d’infrazione contro ventitré Paesi.

Questo articolo esamina criticamente lo stato dell’implementazione della Direttiva (UE) 2022/2555, analizzando dati da fonti istituzionali (ENISA, Commissione Europea, autorità nazionali competenti) e ricerca accademica recente. L’analisi integra i risultati del NIS Investments Report 2024 di ENISA – la quinta edizione che estende per la prima volta il campionamento ai settori che rientrano nello scope di NIS2, basata su dati di 1.350 organizzazioni da tutti gli Stati membri e coprendo tutti i settori NIS2 di alta criticità oltre al manufacturing, con evidenze qualitative sui principali ostacoli implementativi: divergenze interpretative nazionali, pressioni economiche sulle PMI, carenze di personale qualificato e complessità della supply chain security.

L’articolo identifica pattern emergenti e propone raccomandazioni operative evidence-based per stakeholder pubblici e privati, delineando una roadmap pragmatica verso una cybersecurity resiliente e conforme.

Introduzione e quadro teorico

Dal NIS1 al NIS2: l’evoluzione del framework europeo

La Direttiva NIS2 (2022/2555) rappresenta un’evoluzione sostanziale rispetto alla sua predecessora del 2016, ampliando significativamente lo scope applicativo, introducendo regole più chiare e strumenti di supervisione più robusti per affrontare l’accresciuta esposizione dell’Europa alle minacce cyber. Il contesto che ha reso necessaria questa revisione è stato analizzato sistematicamente da Jukka Ruohonen (2024) in una systematic literature review che evidenzia come la trasformazione digitale accelerata dalla pandemia COVID-19 abbia espanso il panorama delle minacce con attacchi più sofisticati e frequenti.

L’obiettivo dichiarato della NIS2 è rimuovere le divergenze nei requisiti di cybersecurity e nelle misure implementative tra Stati membri, stabilendo regole minime comuni per un framework regolatorio armonizzato e meccanismi di cooperazione efficace tra autorità competenti. Vale la pena soffermarsi su questa ambizione armonizzatrice, perché rappresenta simultaneamente il punto di forza teorico e la principale criticità pratica emersa nel primo anno.

Innovazioni strutturali e ampliamento dello scope

Il passaggio da NIS1 a NIS2 introduce cambiamenti paradigmatici che meritano un’analisi granulare. La NIS2 stabilisce un framework legale unificato per mantenere la cybersecurity in diciotto settori critici attraverso l’UE, richiedendo agli Stati membri di definire strategie nazionali di cybersecurity e collaborare per reazione e enforcement transfrontalieri.

L’aspetto più innovativo riguarda il criterio di identificazione dei soggetti obbligati. Mentre sotto NIS1 gli Stati membri erano responsabili di determinare quali entità qualificare come operatori di servizi essenziali, NIS2 introduce la “size-cap rule”: tutte le medie e grandi imprese operanti nei settori coperti rientrano automaticamente nello scope. Questa transizione da un approccio discrezionale a uno basato su criteri oggettivi (dimensione e settore) rappresenta un tentativo di garantire uniformità applicativa – tentativo che, come vedremo, ha prodotto risultati contrastanti.

La direttiva introduce inoltre la responsabilità diretta del top management per la non conformità con le misure di gestione dei rischi cybersecurity, portando la cybersecurity all’attenzione del boardroom. Questo shift di accountability da livello operativo a strategico ha profonde implicazioni sulla governance aziendale e sulla cultura organizzativa.

Il complesso ecosistema normativo europeo

Un elemento di complessità spesso sottovalutato riguarda l’interazione tra NIS2 e altre normative europee. La NIS2 deve coordinarsi con legislazioni settoriali, in particolare il Digital Operational Resilience Act (DORA) per il settore finanziario e la Critical Entities Resilience Directive (CER), per garantire chiarezza legale e coerenza. La ricerca accademica ha evidenziato che molti studi sulla NIS2 la inquadrano proprio nel contesto delle altre leggi europee sulla cybersecurity, analizzando sovrapposizioni e potenziali conflitti normativi.

Questa stratificazione regolamentare crea sia opportunità (approccio olistico alla resilienza) sia sfide (complessità compliance, rischio di over-regulation). La questione diventa particolarmente delicata per entità operanti in settori multipli o in contesti cross-border, dove l’intersezione tra diversi framework può generare ambiguità interpretative e oneri amministrativi significativi.

Analisi critica multidimensionale

A. Stato del recepimento: l’evidenza della frammentazione

Dati quantitativi: un mosaico disomogeneo

Al momento della scadenza del 17 ottobre 2024, solamente quattro Paesi – Belgio, Croazia, Italia e Lituania – avevano completato pienamente il recepimento secondo la valutazione della Commissione Europea, che considera completa la transposition solo quando sia la legislazione primaria che tutti gli atti di implementazione sono in vigore. Altri Stati, tra cui Ungheria, Lettonia e Grecia, avevano adottato primary legislation ma non avevano completato tutti gli atti secondari necessari.

Come risultato, il 28 novembre 2024, la Commissione Europea ha aperto procedure d’infrazione contro ventitré Stati membri. Il numero di Paesi che hanno trasposto la Direttiva nella legislazione nazionale è cresciuto da quattro a nove entro metà febbraio 2025, sebbene con livelli variabili di completezza implementativa.

La Commissione ha inviato lettere di formal notice ai ventitré Stati membri, concedendo due mesi per completare la trasposizione e notificare le misure adottate.

Questa frammentazione temporale crea un paradosso operativo: mentre la direttiva mira all’armonizzazione, la realtà è quella di un patchwork di implementazioni nazionali in fasi diverse, con conseguente incertezza giuridica per le organizzazioni operanti cross-border. Una mappatura condotta da Wavestone a ottobre 2024 classificava gli Stati membri in quattro livelli di maturità: dal livello 1 (scarso progresso) che includeva Spagna e Regno Unito, al livello 4 (legge approvata) con sei Paesi compliance.

È interessante notare come Stati tradizionalmente all’avanguardia in ambito digitale – come Germania, Francia, Paesi Bassi – si trovassero ancora in fase di analisi parlamentare di bozze legislative a ottobre 2024, mentre Paesi come Belgio, Croazia, Italia, Lettonia e Lituania avevano adottato legislazione nazionale per trasporre la direttiva. Questo suggerisce che fattori oltre alla capacità tecnica influenzano i tempi di recepimento: complessità istituzionale, priorità politiche, necessità di consultazioni stakeholder estese.

Il caso Italia: un’implementazione anticipata ma graduale

L’Italia ha recepito la direttiva con il Decreto Legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. Il decreto conferma l’Agenzia per la Cybersicurezza Nazionale (ACN) come Autorità competente NIS e Punto di contatto unico ai sensi della Direttiva.

L’approccio italiano si caratterizza per una particolare attenzione alla gradualità implementativa. Secondo le stime dell’Agenzia per la Cybersicurezza Nazionale, circa 50.000 nuovi soggetti sono coinvolti. La prima fase di registrazione, obbligatoria dal 1° dicembre 2024 al 28 febbraio 2025 (con eccezione del 17 gennaio 2025 per fornitori di domini, cloud computing e data center), rappresenta il primo step di un percorso condiviso di rafforzamento della sicurezza informatica.

Un elemento distintivo del recepimento italiano riguarda l’estensione dello scope. Il campo di applicazione è ampliato a 18 settori (di cui 11 altamente critici e 7 critici), interessando oltre 80 tipologie di soggetti pubblici e privati, incluse numerose pubbliche amministrazioni elencate negli allegati I, II, III e IV del decreto. Questa scelta di includere esplicitamente la PA rappresenta una peculiarità italiana che va oltre i requisiti minimi della direttiva.

Tuttavia, anche l’implementazione italiana non è esente da criticità. Il decreto non entra nel merito delle misure di sicurezza specifiche da adottare: il dettaglio sarà definito dall’ACN sulla base di parametri ancora da specificare. Questa strategia “a cascata” – prima identificazione soggetti, poi definizione requisiti tecnici – riflette un approccio pragmatico ma genera incertezza per le organizzazioni che devono pianificare investimenti.

Divergenze nazionali e sfide di armonizzazione

Sebbene la maggioranza dei Paesi abbia introdotto una classificazione di entità essenziali e importanti comparabile alle disposizioni NIS2, diversi Stati hanno proposto sistemi a tre livelli (ad esempio Germania e Portogallo) con requisiti di sicurezza variabili in base al tier di appartenenza. La Finlandia ha introdotto gli stessi obblighi di sicurezza per entità essenziali e importanti, differenziando solo su supervisione ex-ante (essenziali) ed ex-post (importanti) e sanzioni massime, in allineamento con NIS2.

Queste divergenze implementative sollevano interrogativi fondamentali sull’effettiva capacità della direttiva di raggiungere l’obiettivo armonizzatore. Se ogni Stato membro interpreta e applica i requisiti con variazioni sostanziali, l’obiettivo di un level playing field europeo rimane parzialmente disatteso. Per le multinazionali operanti in più giurisdizioni, questo si traduce in costi di compliance moltiplicati e necessità di adattare policies e procedure a specificità nazionali.

B. Impatti economici e organizzativi: l’evidenza empirica

Costi di compliance: una sfida particolare per le PMI

Il NIS Investments Report 2024 di ENISA – la quinta edizione che estende per la prima volta il campionamento ai settori che rientrano nello scope di NIS2 – ha raccolto dati da 1.350 organizzazioni da tutti gli Stati membri EU coprendo tutti i settori NIS2 di alta criticità oltre al manufacturing, fornendo uno snapshot pre-implementazione cruciale per valutare l’impatto economico. I dati rivelano pattern significativi e preoccupanti.

La spesa per information security rappresenta ora il 9% degli investimenti IT nell’UE, con un aumento significativo di 1,9 punti percentuali rispetto al 2022, segnando il secondo anno consecutivo di crescita degli investimenti cybersecurity post-pandemia. Nel 2023, la spesa IT mediana per le organizzazioni è salita a €15 milioni, con la spesa per information security raddoppiata da €0,7 milioni a €1,4 milioni.

Tuttavia, questi aggregati nascondono disparità significative. Il costo medio per raggiungere la piena compliance NIS2 per una media impresa è stimato tra €200.000 e €500.000. La maggioranza delle organizzazioni anticipa un aumento one-off o permanente dei budget cybersecurity per la compliance NIS2, ma dato allarmante, una percentuale sostanziale di entità non sarà in grado di richiedere il budget aggiuntivo necessario, percentuale particolarmente alta per le PMI (34%).

Questa evidenza empirica solleva questioni di equità e sostenibilità. Mentre i nuovi settori NIS2 mostrano livelli di spesa cybersecurity comparabili alle entità già coperte dalla NIS Directive, con investimenti focalizzati principalmente sullo sviluppo e mantenimento di capacità cybersecurity baseline, esiste un gap strutturale tra grandi organizzazioni regolamentate (che hanno dimostrato progressi nella resilienza cyber) e PMI meno regolamentate. Questo crea una crescente cyber-inequity: organizzazioni più piccole sono sempre più incapaci di prevenire disruption operativa critica da incidenti cyber, spesso subiscono perdite finanziarie maggiori nel recovery, e trovano molto difficile la compliance con obblighi contrattuali verso clienti.

Il paradosso del personale: servono competenze che non ci sono

Un’altra criticità sistemica emersa riguarda le risorse umane. Per il quarto anno consecutivo, la percentuale di Full Time Equivalent IT dedicati all’information security è diminuita dall’11,9% all’11,1%. Questa riduzione può riflettere sfide di recruitment, con il 32% delle organizzazioni – e il 59% delle PMI – in difficoltà nel coprire ruoli cybersecurity, particolarmente quelli che richiedono expertise tecnica. Questo trend è specialmente notevole dato che l’89% delle organizzazioni si aspetta di dover assumere personale cybersecurity aggiuntivo per compliance NIS2.

Il dato diventa particolarmente preoccupante se incrociato con le aspettative di formazione: il 76% dello staff cybersecurity manca di training certificato che aiuterebbe le imprese a raggiungere e mantenere la compliance NIS2.

ENISA ha pubblicato guide specifiche su skills e ruoli dei professionisti cybersecurity necessari per implementare efficacemente i requisiti NIS2, mappando le obbligazioni NIS2 sui role profile del European Cybersecurity Skills Framework (ECSF). Tuttavia, la disponibilità di guide non risolve il problema strutturale: c’è un mismatch tra domanda e offerta di talenti cyber, aggravato dalla competizione internazionale per queste figure e dalla velocità con cui evolvono le competenze richieste.

Investimenti tecnologici: dove (non) si investe

Un dato particolarmente interessante riguarda le aree emergenti: tecnologie come la post-quantum cryptography ricevono attenzione limitata, con solo il 4% delle entità intervistate che investe e il 14% che pianifica investimenti futuri. Questo suggerisce un focus su compliance baseline piuttosto che su preparazione a minacce emergenti, un pattern problematico dato che la NIS2 richiede un approccio risk-based che dovrebbe considerare l’evoluzione del threat landscape.

La questione diventa più sfumata quando si considerano le infrastrutture legacy. La systematic literature review evidenzia che molte infrastrutture critiche sono legacy systems o dipendono da essi, aumentando i rischi cybersecurity e tipicamente limitando l’adozione di nuove tecnologie, incluse soluzioni AI. Nonostante la NIS2, nei recital 51 e 89, incoraggi gli Stati membri ad adottare tecnologie innovative inclusa l’AI per affrontare minacce cyber, è necessaria ulteriore ricerca sull’interazione presumibilmente difficile tra infrastrutture critiche, sistemi legacy e nuove tecnologie.

C. Supply chain security: il nodo più complesso

L’estensione degli obblighi alla catena di fornitura

Una delle innovazioni più significative – e controverse – della NIS2 riguarda la supply chain security. L’Articolo 21(2)(d) della NIS2 delinea le responsabilità delle organizzazioni nell’assicurare la supply chain security attraverso tre aree: valutazione del rischio a livello EU per valutare il livello di rischio di una supply chain specifica; valutazione del rischio nazionale dove gli Stati membri possono espandere lo scope della direttiva per includere entità originariamente escluse; e valutazione interna del rischio dove le entità coperte devono considerare vulnerabilità e pratiche cybersecurity di ciascun fornitore diretto/service provider/vendor.

La Direttiva NIS2 indica che i soggetti coperti dagli obblighi NIS2 dovrebbero considerare le vulnerabilità specifiche di ciascun fornitore e service provider diretto e la qualità complessiva dei prodotti e delle pratiche cybersecurity dei loro fornitori, incluse le procedure di sviluppo sicuro. Questo richiede capacità di assessment sofisticate e processi di due diligence continui.

Sebbene la direttiva NIS2 escluda micro e piccole imprese dall’obbligo di conformarsi, la necessità di supply chain security e il requisito per le entità coperte di assicurare che le loro catene di fornitura e service provider siano cybersecurity-compliant potrebbero portare le piccole e micro imprese a dover dimostrare compliance per mantenere relazioni business. Questo “effetto a cascata” estende de facto lo scope della NIS2 ben oltre i soggetti formalmente obbligati.

Complessità operativa e coordinated risk assessment

Un obbligo particolarmente controverso riguarda la necessità di tenere conto dei risultati delle valutazioni coordinate di rischio di sicurezza di supply chain critiche condotte secondo l’Articolo 22(1) della NIS2. La valutazione coordinata è controversa per lo scope dei criteri, che include aspetti non-tecnici nella valutazione.

Anche se un’entità assicura compliance con la NIS2, potrebbe comunque essere considerata non-compliant solamente perché non ha tenuto conto dei risultati delle procedure di coordinated assessment. Questo può comportare l’imposizione di sanzioni finanziarie NIS2. Sarà quindi cruciale per le imprese monitorare il lavoro ongoing verso ulteriori coordinated risk assessments.

Per le organizzazioni, questo si traduce in una sfida multilivello: devono condurre assessment interni dei fornitori, incorporare guidance nazionali e settoriali, e simultaneamente monitorare e integrare i risultati di valutazioni coordinate a livello EU che sono ancora in fase di finalizzazione. Il NIS Cooperation Group ha già alcune pubblicazioni da includere nei risk assessment, come la coordinated security risk assessment della rete 5G.

Best practices emergenti

Nonostante le sfide, stanno emergendo best practices. L’approccio raccomandato include: identificare e valutare rischi associati a ciascun supplier; implementare misure di sicurezza appropriate basate sui risk assessment dei fornitori; e continuous monitoring per monitorare e rispondere regolarmente ai rischi supplier ongoing.

Le organizzazioni devono focalizzarsi su aree chiave per compliance NIS2 e rafforzamento supply chain security: comprehensive supply chain risk management con valutazione delle pratiche cybersecurity dei fornitori e implementazione di misure appropriate basate su risk assessment; supplier accountability attraverso chiare obbligazioni contrattuali inclusi standard di sicurezza definiti, audit regolari e processi di incident reporting; e protocolli di incident reporting e response tempestivi con canali di comunicazione chiari e meccanismi di risposta rapida.

Un elemento tecnologico chiave emergente è l’adozione di Software Bill of Materials (SBOMs). La NIS2 enfatizza supply chain security e gestione componenti fornitori terzi. Gli SBOMs forniscono la fondazione per una supply chain software sicura, abilitando la trasparenza, vulnerability management e capacità di risposta rapida agli incidenti che NIS2 richiede.

D. Accountability manageriale e governance

Il ruolo (e la responsabilità) del top management

La NIS2 introduce responsabilità del top management per non-compliance con misure di gestione dei rischi cybersecurity, portando quindi la cybersecurity all’attenzione del boardroom. Le sanzioni previste includono la possibilità di disporre misure di incapacità temporanea per i dirigenti che non rispettano le normative.

Questo shift di accountability ha implicazioni profonde. CEOs e board members devono collaborare con senior executives e altri stakeholder per sviluppare e implementare strategie che assicurino compliance NIS2. Non è più sufficiente delegare la cybersecurity al CISO o all’IT department: è richiesto engagement diretto e ownership da parte degli organi di governo.

Il cambiamento più notevole in NIS2 è lo shift di liability da corporate a personal. Questo significa che executive team e board of directors sono ora personalmente responsabili per compliance e le conseguenze della non-compliance – un deterrente significativo per executive aziendali.

Formazione e cultural change

NIS2 richiede al management aziendale di supervisionare, approvare ed essere formato sulle misure cybersecurity dell’entità e di affrontare i rischi cyber. Violazioni possono risultare in penalità per il management, inclusa liability e potenziale ban temporaneo da ruoli manageriali.

Questa enfasi sulla formazione del management rappresenta un riconoscimento implicito che la cybersecurity non è solo una questione tecnica ma culturale e strategica. Le organizzazioni più mature stanno integrando la cyber risk governance nei framework di enterprise risk management, creando linee di reporting dirette tra CISO e board, e incorporando metriche di resilienza cyber nelle valutazioni di performance manageriale.

Riflessioni e insights originali

Il paradosso dell’armonizzazione: quando l’uniformità genera divergenza

Emerge un paradosso affascinante: la NIS2, progettata esplicitamente per “rimuovere divergenze” tra Stati membri, sta producendo – almeno in questa fase transitoria – una frammentazione ancor più accentuata rispetto a NIS1. Questo non è necessariamente un fallimento normativo, ma riflette piuttosto una tensione intrinseca tra due logiche: quella dell’armonizzazione top-down attraverso criteri oggettivi e standard comuni, e quella della sussidiarietà che riconosce specificità nazionali, capacità istituzionali diverse e priorità politiche variegate.

La questione interessante diventa: è possibile – o persino desiderabile – una vera armonizzazione in materia di cybersecurity? Le minacce sono globali, ma le vulnerabilità sono contestuali. Un approccio uniforme rischia di essere o troppo generico (inefficace per contesti specifici) o troppo prescrittivo (inadatto a realtà diverse). La NIS2 tenta di navigare questa tensione attraverso un framework basato su principi piuttosto che regole dettagliate, ma la traduzione di principi in azioni concrete inevitabilmente introduce variabilità.

Supply chain security: dalla compliance alla resilienza ecosistemica

La complessità della supply chain security sotto NIS2 solleva una domanda più profonda: stiamo affrontando il problema al livello giusto? L’approccio attuale si concentra su due diligence, contractual obligations e assessment dei fornitori diretti. Ma nelle supply chain moderne, caratterizzate da interdipendenze multiple e dinamiche, la sicurezza è una proprietà emergente dell’ecosistema, non la somma delle sicurezze individuali dei nodi.

Consideriamo uno scenario controfattuale: cosa succederebbe se invece di imporre obblighi “a cascata” da entità NIS2 verso fornitori, si creassero meccanismi di condivisione dei costi e delle capability per rafforzare l’intero ecosistema? Ad esempio, consorzi settoriali dove le grandi organizzazioni contribuiscono a fondi comuni per supportare l’upgrading cybersecurity di fornitori critici ma under-resourced. Questo approccio collaborativo potrebbe essere più efficace della logica “comply or lose business” che rischia di escludere fornitori piccoli ma specializzati.

La questione delle metriche: cosa misuriamo realmente?

Un tema sorprendentemente poco discusso riguarda le metriche di success per l’implementazione NIS2. Come valutiamo se la direttiva sta funzionando? Il numero di incident reports ricevuti? La percentuale di organizzazioni certificate compliant? La riduzione di successful breaches?

Ognuna di queste metriche è problematica. Un aumento dei report potrebbe indicare sia più incidenti sia migliore detection e willingness to report. La certificazione di compliance misura aderenza formale, non resilienza effettiva. La riduzione di breaches è difficile da attribuire causalmente alla NIS2 vs altri fattori (miglioramenti tecnologici, azioni law enforcement, etc.).

Forse abbiamo bisogno di ripensare le metriche di success non in termini di compliance binaria ma di “cyber maturity journey” – valutando progression piuttosto che posizione assoluta, recognizing che organizzazioni partono da baseline diverse e hanno capacità di avanzamento diverse. Il NIS360 di ENISA rappresenta un primo tentativo in questa direzione, valutando la maturità e criticità dei settori NIS2 e fornendo sia overview comparativa sia analisi più approfondita di ciascun settore.

L’elefante nella stanza: la sostenibilità economica per le PMI

Il dato che una percentuale sostanziale di entità non sarà in grado di richiedere il budget aggiuntivo necessario, particolarmente alto per le PMI (34%) dovrebbe essere un allarme rosso per i policymaker. Non stiamo parlando di un piccolo subset: le PMI rappresentano il 99% delle imprese europee e sono integrate profondamente nelle supply chain di settori critici.

Se una porzione significativa di PMI non può permettersi la compliance, abbiamo tre scenari possibili, tutti problematici:

1. Queste PMI falsano o minimizzano gli sforzi di compliance, creando vulnerabilità reali mascherate da compliance apparente
2. Queste PMI vengono escluse dalle supply chain, riducendo competizione e concentrando rischio su fornitori più grandi
3. Queste PMI cessano operazioni, con impatti economici e occupazionali

La soluzione non può essere semplicemente “esentare le PMI” – questo creerebbe un massive blind spot nelle supply chain. Servono meccanismi di supporto concreti: fondi europei o nazionali per subsidize cybersecurity upgrades; shared service models dove PMI possono accedere a expertise cyber su base consortile; guidance ultra-practical e tools open-source specificamente per organizzazioni resource-constrained.

Implementazioni operative e raccomandazioni

Per entità essenziali e importanti

1. Prioritizzare assessment di gap e roadmap pragmatica

Livello: Strategico
Stakeholder: Board, alta direzione, CISO, ufficio legale
Risorse: Assessment esterno (€30k-100k), team interno multifunzionale (20-40 giorni/persona)
Timeline: Immediata (Q1-Q2 2025)
KPI: % di lacune identificate; completezza mappatura risorse e processi critici
Barriere: Sottovalutazione della complessità; mancanza di budget pre-allocato
Risultati rapidi: Identificare obiettivi facilmente raggiungibili (es. politiche già esistenti che richiedono solo revisione formale; controlli tecnici già implementati che necessitano documentazione)

Azione concreta: Non aspettare linee guida tecniche dettagliate da autorità nazionali. Utilizzare standard internazionali già consolidati come linea di base: il mapping ENISA correla ogni requisito NIS2 con standard europei e internazionali (ISO/IEC 27001:2022, ISO/IEC 27002:2022, NIST Cybersecurity Framework 2.0). Questo permette di iniziare l’implementazione anche in assenza di specifiche nazionali dettagliate.

2. Implementare supply chain risk management program

Livello: Tattico-Operativo
Stakeholder: Approvvigionamento, ufficio legale, security IT, unità di business
Risorse: Piattaforma/strumento di gestione del rischio di terze parti (€50k-200k/anno); personale dedicato (2-5 equivalenti a tempo pieno a seconda della complessità della catena di fornitura)
Timeline: Medio termine (6-12 mesi per la configurazione, continuo per l’operatività)
KPI: % fornitori critici valutati; tempo medio per valutare nuovo fornitore; numero di vulnerabilità identificate e risolte nella supply chain
Barriere: Resistenza fornitori a divulgare informazioni; complessità di catene di fornitura multi-livello; costi di valutazione se esteso a tutti i fornitori
Risultati rapidi: Iniziare con fornitori critici di primo livello (top 20-50 per criticità, non solo per spesa); utilizzare questionari standardizzati; richiedere evidenze di certificazioni esistenti (ISO 27001, SOC 2) piuttosto che condurre valutazioni da zero

Approccio raccomandato: Identificare e valutare rischi associati a ciascun fornitore; implementare processo di monitoraggio continuo non solo valutazione una tantum; stabilire obblighi contrattuali chiari includendo standard di sicurezza, diritti di verifica, obblighi di notifica degli incidenti; utilizzare automazione dove possibile per scalare le valutazioni.

3. Potenziare capacità di rilevamento, risposta e notifica degli incidenti

Livello: Operativo
Stakeholder: Centro Operativo di Sicurezza (SOC), team di risposta agli incidenti interno/esterno, ufficio legale, comunicazione
Risorse: Piattaforma SIEM/XDR se non già presente (€100k-500k); manuali operativi di risposta agli incidenti e formazione (€20k-50k); contratto di consulenza con società di risposta agli incidenti esterna (€30k-100k/anno)
Timeline: Breve-medio termine (3-6 mesi)
KPI: Tempo medio di rilevamento (MTTD); tempo medio di risposta (MTTR); % di notifiche di incidenti conformi alle tempistiche NIS2 (24h allerta precoce, 72h rapporto dettagliato, rapporto finale)
Barriere: Difficoltà nel determinare la soglia di “incidente significativo”; complessità di notifica a più autorità se operazioni transfrontaliere; paura di danno reputazionale
Risultati rapidi: Implementare modelli precompilati per la notifica degli incidenti; condurre esercitazioni su tavolo per testare il processo; stabilire percorso di escalation chiaro dal SOC al management all’autorità competente

Le entità essenziali e importanti devono avere processi per la notifica tempestiva di incidenti di sicurezza con impatto significativo sulla fornitura di servizi o sui destinatari. È cruciale definire chiaramente cosa costituisca “impatto significativo” nel proprio contesto operativo.

4. Formalizzare governance e responsabilità del management

Livello: Strategico
Stakeholder: Board, CEO, organi direttivi
Risorse: Formazione per il board (€10k-30k); ristrutturazione delle linee di reporting se necessario; consulenza esterna per framework di governance (€50k-150k)
Timeline: Immediata
KPI: Frequenza di discussioni sul rischio informatico a livello di board; % dirigenti con formazione NIS2 completata; esistenza di deleghe formali e responsabilità definite
Barriere: Percezione che la cybersecurity sia “questione tecnica” non di livello board; mancanza di alfabetizzazione informatica a livello direttivo; resistenza a responsabilità personale
Risultati rapidi: Programmare almeno briefing informatici trimestrali a livello di board; designare un membro del board come referente per la sicurezza informatica; formalizzare approvazione annuale della strategia informatica da parte del board

Gli organi di amministrazione devono supervisionare l’implementazione delle misure e rispondere di eventuali violazioni, con possibilità di incapacità temporanea per dirigenti che non rispettano le normative.

Per PMI e organizzazioni con risorse limitate

1. Adottare framework semplificati e proporzionati

Livello: Strategico-Tattico
Stakeholder: Direzione, IT
Risorse: Investimento finanziario minimo; investimento di tempo significativo (10-30 giorni persona)
Timeline: Breve termine (2-4 mesi)
KPI: Completamento controlli di sicurezza di base; documentazione di politiche essenziali
Barriere: Mancanza di competenze interne; difficoltà interpretare requisiti tecnici complessi
Risultati rapidi: Utilizzare risorse gratuite e linee guida: l’ACN in Italia fornirà supporto attraverso la piattaforma di registrazione già a partire dalla prima fase. Sfruttare framework progettati per le PMI come Cyber Essentials (UK) o CyFun (Belgio).

Azione concreta: Concentrarsi sui “controlli minimi vitali”: autenticazione forte (MFA), backup regolari e testati, gestione delle patch, protezione degli endpoint, segmentazione della rete, sensibilizzazione dei dipendenti. Questi controlli coprono una porzione significativa del rischio e sono relativamente a basso costo.

2. Considerare servizi condivisi e modelli consortili

Livello: Strategico
Stakeholder: Direzione, associazioni di categoria
Risorse: Contributo a consorzio (€5k-20k/anno, tipicamente inferiore all’assunzione di risorse dedicate)
Timeline: Variabile a seconda della disponibilità di modelli già esistenti nel settore
KPI: Risparmi sui costi rispetto all’assunzione; accesso a competenze altrimenti non accessibili; miglioramento della postura di sicurezza misurato
Barriere: Riluttanza a condividere informazioni con concorrenti; mancanza di organizzatore fidato; preoccupazioni sulla sensibilità dei dati
Risultati rapidi: Partecipare a centri di condivisione e analisi delle informazioni (Information Sharing and Analysis Centers) settoriali dove disponibili; considerare servizi di sicurezza gestiti che offrono economie di scala

Le pubblicazioni scientifiche suggeriscono l’importanza di infrastrutture di condivisione delle informazioni su larga scala e di consapevolezza situazionale, riconoscendo però ostacoli tecnici legati a standardizzazione, interoperabilità e fiducia. Le PMI dovrebbero sfruttare meccanismi di condivisione esistenti piuttosto che tentare di costruire capacità in isolamento.

3. Negoziare supporto da clienti enterprise

Livello: Tattico
Stakeholder: Vendite, direzione
Risorse: Principalmente relazionali e contrattuali
Timeline: Continuo
KPI: % contratti con clausole di supporto alla cybersecurity; ammontare di supporto ricevuto
Barriere: Squilibrio di potere nelle negoziazioni; riluttanza a “chiedere aiuto”
Risultati rapidi: Proporre condivisione di strumenti/piattaforme di sicurezza che i clienti grandi già utilizzano; richiedere accesso a materiali di formazione o sensibilizzazione; negoziare compliance graduale piuttosto che conformità completa immediata

Le entità essenziali e importanti dovrebbero assicurare di avere termini e condizioni contrattuali adeguati per aiutare l’entità con la conformità. Un buon esempio sarebbe l’aderenza ai nuovi requisiti di notifica delle violazioni e reporting. Questa logica può essere invertita: le PMI possono richiedere ai propri clienti enterprise clausole di supporto.

Per autorità competenti e decisori politici

1. Fornire linee guida tecniche granulari e specifiche per settore

Livello: Strategico
Stakeholder: Autorità NIS nazionali, ENISA, gruppo di cooperazione NIS
Risorse: Risorse significative per lo sviluppo (team multidisciplinari, consultazioni con le parti interessate)
Timeline: Urgente (Q1-Q2 2025 per linee guida iniziali; iterazioni successive)
KPI: % organizzazioni che riferiscono linee guida come “attuabili” e “chiare”; riduzione delle richieste relative ad ambiguità
Barriere: Bilanciamento tra specificità e flessibilità; tempo richiesto per consenso tra Stati membri; competenza settoriale profonda necessaria
Risultati rapidi: ENISA sta sviluppando linee guida specifiche per settore su come implementare i requisiti chiave NIS2 in ciascun settore, come evidenziato nel report NIS360. Prioritizzare settori con maggior complessità o maggior numero di entità impattate.

2. Istituire meccanismi di supporto economico per PMI

Livello: Strategico (politica)
Stakeholder: Commissione UE, governi nazionali, fondi strutturali
Risorse: Finanziamenti significativi (programmi nell’ordine di centinaia di milioni di euro a livello UE, scalato a livello nazionale)
Timeline: Medio-lungo termine per programmi strutturati; possibile breve termine attraverso riassegnazione fondi esistenti
KPI: % PMI che accede a supporto; miglioramento della maturità informatica delle PMI beneficiarie; riduzione del divario di equità informatica
Barriere: Vincoli di bilancio pubblico; complessità nell’allocazione equa; rischio di azzardo morale
Risultati rapidi: Espandere programmi esistenti (es. Digital Europe Programme) con focus specifico NIS2; creare schemi di voucher per valutazioni e acquisizione strumenti; incentivare assicuratori a offrire assicurazioni informatiche più accessibili a PMI conformi a NIS2

Fornire linee guida, formazione e supporto finanziario per organizzazioni più piccole può aumentare la conformità senza imporre costi eccessivi.

3. Facilitare cooperazione transfrontaliera e ridurre divergenze interpretative

Livello: Strategico
Stakeholder: Gruppo di cooperazione NIS, Commissione UE, autorità competenti nazionali
Risorse: Principalmente coordinamento e dialogo
Timeline: Continuo
KPI: Riduzione di interpretazioni contrastanti tra Stati membri; aumento del riconoscimento reciproco delle valutazioni di conformità; efficacia della risposta agli incidenti transfrontalieri
Barriere: Preoccupazioni sulla sovranità nazionale; diverse strutture istituzionali e capacità; priorità politiche variegate
Risultati rapidi: Il gruppo di cooperazione deve stabilire, entro il 17 gennaio 2025, con assistenza della Commissione e di ENISA, la metodologia e gli aspetti organizzativi delle revisioni tra pari per imparare da esperienze condivise, rafforzare la fiducia reciproca e raggiungere un livello comune elevato di cybersecurity. Prioritizzare revisioni tra pari e identificare best practices replicabili.

4. Investire nello sviluppo delle competenze informatiche a livello sistemico

Livello: Strategico (politica)
Stakeholder: Ministeri dell’educazione, università, enti di formazione, industria
Risorse: Investimenti significativi in infrastrutture educative e programmi
Timeline: Lungo termine per cambiamento strutturale; risultati a breve termine possibili con programmi di riqualificazione
KPI: Aumento dei laureati in cybersecurity; riduzione del divario di competenze informatiche; % forza lavoro con formazione sulla consapevolezza informatica
Barriere: Ritardo temporale tra investimento in istruzione e disponibilità di forza lavoro; evoluzione rapida delle competenze richieste; competizione internazionale per talenti
Risultati rapidi: Accelerare programmi di riqualificazione per professionisti IT verso la cybersecurity; incentivare apprendistati e programmi di studio-lavoro; supportare micro-credenziali e programmi di certificazione che forniscono competenze mirate e rapide

Con l’89% delle organizzazioni che si aspetta di necessitare personale informatico aggiuntivo per NIS2 e il 76% del personale informatico senza formazione certificata, questo è un collo di bottiglia critico che richiede azione coordinata a livello sistemico.

Conclusioni e direzioni future

Dove siamo: un bilancio critico ma non pessimista

A un anno dalla scadenza di recepimento della Direttiva NIS2, il bilancio è necessariamente misto. L’implementazione è in ritardo nella maggioranza degli Stati membri, le divergenze interpretative persistono, i costi di compliance pesano soprattutto su organizzazioni più piccole, e il divario di talenti in cybersecurity rimane una sfida significativa. Questi sono dati di fatto, non opinioni.

Tuttavia, sarebbe miope concentrarsi solo sugli aspetti problematici. La NIS2 ha innescato un dibattito pan-europeo sulla cybersecurity che è senza precedenti per ampiezza e profondità. Il NIS360 di ENISA identifica aree per miglioramento e monitoraggio del progresso attraverso i settori NIS2, fornendo sia panoramica comparativa sia analisi approfondita. La spesa per sicurezza delle informazioni è cresciuta significativamente, con la maggioranza delle organizzazioni che anticipa un aumento una tantum o permanente dei budget per la cybersecurity. La consapevolezza complessiva tra entità nello scopo di applicazione è incoraggiante, con il 92% consapevole dello scopo generale o delle disposizioni specifiche della Direttiva NIS2.

La domanda giusta non è “la NIS2 sta funzionando?” ma piuttosto “come possiamo accelerare il percorso verso una cybersecurity resiliente minimizzando attriti e disuguaglianze?” La risposta richiede pragmatismo, collaborazione e disponibilità a iterare.

Implicazioni più ampie: oltre la compliance

La NIS2 va intesa non come punto di arrivo ma come catalizzatore per una trasformazione più profonda. Il vero obiettivo non è “essere conformi” ma “essere resilienti”. La compliance è necessaria ma non sufficiente. Organizzazioni che approcciano NIS2 come puro esercizio di conformità – mentalità da lista di controllo – perderanno l’opportunità di trasformare realmente la propria postura di sicurezza e cultura informatica.

L’opportunità è quella di utilizzare NIS2 come impulso per integrare la cybersecurity nei processi aziendali principali, non come aggiunta. Per elevare la cybersecurity da preoccupazione tecnica a priorità strategica. Per promuovere una cultura dove la consapevolezza del rischio informatico è diffusa a tutti i livelli organizzativi.

Inoltre, NIS2 rappresenta un’opportunità per l’Europa di posizionarsi come leader globale nella governance della cybersecurity. Altre regioni stanno osservando l’esperienza europea. I successi e i fallimenti dell’implementazione della NIS2 informeranno quadri normativi in altre giurisdizioni. L’Europa ha l’opportunità – e la responsabilità – di dimostrare che è possibile bilanciare sicurezza, innovazione e diritti fondamentali.

Agenda di ricerca futura

Dal punto di vista accademico e di ricerca, numerose domande rimangono aperte e richiedono indagine empirica rigorosa:

Misurazione dell’efficacia: Come possiamo sviluppare metriche robuste per misurare l’impatto effettivo della NIS2 sulla resilienza informatica delle organizzazioni e sulla riduzione di incidenti riusciti? Servono studi longitudinali che monitorino organizzazioni prima e dopo l’implementazione.

Valutazione dell’impatto economico: Quali sono i costi-benefici reali della NIS2? Gli investimenti in compliance generano ritorni misurabili in termini di costi di incidenti ridotti e continuità aziendale? O comportano principalmente costi opportunità (risorse dirottate da altre priorità)?

Dinamiche della supply chain: Come evolve realmente il comportamento della catena di fornitura sotto pressione NIS2? Assistiamo a consolidamento (esclusione di piccoli fornitori), a miglioramento collaborativo (grandi organizzazioni che aiutano i fornitori a migliorare), o a escamotage (conformità superficiale senza reale miglioramento della sicurezza)?

Capacità istituzionale: Quali fattori spiegano differenze nei tempi di recepimento tra Stati membri? È una questione di capacità amministrativa, priorità politiche, specificità istituzionali, o altri fattori? Comprendere questo può informare future iniziative normative dell’UE.

Interazione con intelligenza artificiale e tecnologie emergenti: Come evidenziato nella revisione sistematica, serve ricerca sull’interazione difficile tra infrastrutture critiche, sistemi legacy e nuove tecnologie come l’intelligenza artificiale. Come può il framework NIS2 adattarsi all’evoluzione rapida del panorama tecnologico senza diventare obsoleto?

Appello all’azione: un approccio multi-stakeholder

Per realizzare il potenziale della Direttiva NIS2, serve un approccio veramente collaborativo che coinvolga tutti gli interessati:

Le organizzazioni devono passare da una mentalità di “conformità minima” a “resilienza proattiva”, investendo non solo in tecnologia ma in persone e processi.

I decisori politici e le autorità competenti devono fornire linee guida chiare e attuabili, ridurre incertezze interpretative e istituire meccanismi di supporto per organizzazioni con risorse limitate.

I ricercatori e il mondo accademico devono produrre evidenza empirica sull’efficacia e sulle conseguenze indesiderate, informare le politiche attraverso ricerca rigorosa e indipendente.

I fornitori di tecnologia e servizi hanno l’opportunità – e la responsabilità – di sviluppare soluzioni accessibili e convenienti che democratizzino le capacità di cybersecurity.

Le associazioni di categoria e i gruppi industriali possono giocare un ruolo cruciale nel facilitare la condivisione delle informazioni, sviluppare linee guida specifiche per settore e rappresentare preoccupazioni collettive ai decisori politici.

La cybersecurity è un bene pubblico. La sua protezione richiede uno sforzo collettivo, che trascende confini organizzativi e nazionali. La Direttiva NIS2, con tutti i suoi limiti e le sue sfide, rappresenta un framework per questo sforzo collettivo. Sta a tutti noi – esperti, professionisti, decisori politici, organizzazioni – rendere questo framework efficace e sostenibile.

Il percorso è iniziato. La destinazione è un’Europa digitale resiliente, sicura e prospera. Il cammino non sarà lineare, ma con pragmatismo, collaborazione e apprendimento continuo, è un obiettivo raggiungibile.

https://www.ictsecuritymagazine.com/notizie/implementazione-nis2/

Nov 13, 2025 Marina Londei Approfondimenti, Attacchi, Attacchi, In evidenza, Minacce, Minacce, News, Phishing, RSS 0

---

I consumatori continuano a essere colpiti molto duramente dalle truffe informatiche e quelle basate su IA sono le più preoccupanti: a dirlo è il Consumer Cyber Security Survey 2025, report di Bitdefender che ha analizzato le abitudini e le preoccupazioni di oltre 7.000 consumatori in Australia, Francia, Germania, Italia, Spagna, Regno Unito e Stati Uniti.

Nel dettaglio, il 14% degli utenti coinvolti ha affermato di aver subito una truffa lo scorso anno e un altro 4% non ne è sicuro. Gli Stati Uniti contano il maggior numero di vittime di truffe con il 17%, seguiti dal Regno Unito (16%) e dall’Australia (16%). L’Italia ha registrato invece il 12%; infine, la Francia conta il tasso più basso con l’11%. Il report evidenzia che, basandosi su una perdita media di 545 dollari (circa 470 euro), lo scorso anno i consumatori hanno perso oltre 534.000 dollari (circa 460.000 euro), considerando solo gli utenti coinvolti nel sondaggio.

I consumatori sono particolarmente preoccupati dall’uso dell’IA nelle truffe: gli utenti temono soprattutto i deepfake (37%), seguiti dalla perdita di lavoro (30%) e dalla diffusione di disinformazione. L’analisi di Bitdefender evidenzia però una differenza generazionale riguardo i timori legati all’IA: quasi la metà delle persone con più di 55 anni (46%) è preoccupata dalle truffe ottimizzate dall’IA rispetto a solo un terzo dei millenial (34%).

Dal report emerge che i social media sono il canale principale utilizzato dai criminali informatici per le truffe (34%) ai danni dei consumatori, superando le email (28%), le telefonate (25%), gli SMS (24%) e le pubblicità online (21%). Il dato è strettamente legato al numero di account online che gestiscono i consumatori: secondo quanto riportato da Bitdefender, in media gli utenti gestiscono cinque account, con quasi due terzi degli intervistati che ne gestiscono almeno tre. Circa un terzo (32,8%) dispone di 3–5 account, mentre il 32,4% ha 6–9 account.

L’analisi di Bitdefender mette anche in luce delle criticità dal punto di vista della sicurezza che mettono ancora più a rischio i consumatori. È emerso per esempio che il 37% degli intervistati tiene una copia scritta delle proprie password e il 32% utilizza la stessa password per diversi account. A livello di Paesi, gli intervistati italiani (41,6%) sono tra i più propensi a tenere copia scritta delle password.

Parallelamente, solo il 27% utilizza un gestore delle password, il 16% si affida all’inserimento automatico del browser e il 13,6% utilizza la funzione di inserimento automatico della password di Apple.

Un altro aspetto critico è che quasi la metà (48%) degli intervistati accetta tutti i cookie in automatico, mentre solo il 36% li gestisce manualmente; il 16%, invece, li rifiuta tutti. Il 75% ha affermato di non leggere o di leggere solo superficialmente i termini di privacy prima di accettarli. “Tali comportamenti espongono i consumatori a rischi per la privacy e la sicurezza, poiché i cookie possono consentire la profilazione, lo sfruttamento dei dati e persino la violazione delle sessioni” si legge nel report.

Infine, dall’analisi emerge che la sicurezza mobile e dei dispositivi viene spesso trascurata: il 48% dei consumatori intervistati non usa una soluzione di sicurezza di una terza parte sul proprio smartphone, pur eseguendo transazioni sensibili.  La situazione non migliora con altri dispositivi: il 58% non protegge i propri computer e l’82% afferma lo stesso per i propri tablet. Quasi il 10% degli intervistati, inoltre, ha ammesso di utilizzare i dispositivi aziendali per transazioni finanziarie personali.

“I risultati del sondaggio mettono in luce la crescente importanza della sensibilizzazione alla sicurezza informatica a fronte dell’aumento della frequenza e della complessità degli attacchi contro i consumatori nell’era dell’IA” ha affermato Ciprian Istrate, senior vice president of operations, Consumer Solutions Group di Bitdefender. “Bitdefender è stata tra le prime a utilizzare l’IA per contrastare la criminalità informatica, ma oggi i pirati informatici la sfruttano a loro volta per rendere gli attacchi ancora più sofisticati. Password efficaci, gestione consapevole dei cookie e soluzioni di sicurezza affidabili possono contribuire notevolmente a ridurre i rischi. I criminali informatici sono inesorabili, ma la sensibilizzazione e gli strumenti giusti permettono ai consumatori di difendersi“.

---

---

---

https://www.securityinfo.it/2025/11/13/crescono-le-truffe-ai-danni-dei-consumatori-preoccupano-quelle-basate-su-ia-il-report-di-bitdefender/?utm_source=rss&utm_medium=rss&utm_campaign=crescono-le-truffe-ai-danni-dei-consumatori-preoccupano-quelle-basate-su-ia-il-report-di-bitdefender

Cyber risk is no longer a technical problem, it’s a board-level conversation. Yet, even as ransomware attacks dominate headlines and the costs of breaches climb, the global cyber insurance market is still maturing, uneven in its reach, and sometimes misunderstood in its value.

A Market Growing Up Quickly

Cyber insurance is now estimated to be a $17 billion global industry and projected to nearly double to $40 billion by 2030. But the next phase of growth won’t come from the Fortune 500. Large corporations already understand their exposure and have the internal expertise to evaluate and transfer risk. The untapped market lies with the lower end of the middle market and small enterprises (SMEs), organizations that face the same cyber threats but often lack the resources, knowledge or guidance to act.

In many regions, particularly across Europe and emerging markets, the value proposition of cyber insurance still isn’t fully understood. Brokers play an essential role in education, helping clients see that cyber risk is not just an IT issue, but a financial, operational, and reputational one. Yet, outreach remains fragmented. The conversation about cyber risk simply hasn’t reached every corner of the business world.

Why Companies Still Hesitate

Despite growing awareness, some companies remain hesitant to purchase cyber coverage. The reasons are multi-layered:

• Education gaps: Many organizations still assume traditional property or general liability policies cover digital risks. They rarely do.
• Cost pressures: Premiums rose sharply during the ransomware surge of recent years, leading some firms, particularly in the mid-market, to invest instead in strengthening their cybersecurity posture rather than transferring the risk.
• Perceived complexity: Cyber policies can be intricate, with evolving terms, technical questionnaires, and exclusions that may intimidate first-time buyers.

But the reality is this: while the cost of coverage may have climbed, the cost of a breach has escalated even faster. The financial and reputational damage from an unmitigated ransomware event can be devastating, especially for smaller organizations.

The Evolving Relationship Between Risk and Security

One of the most striking changes in the past decade has been the growing collaboration between the Chief Information Security Officer (CISO) and the risk manager.

A decade ago, cyber insurance decisions lived squarely in the risk management office. Today, underwriters expect to hear from the CISO, the person who understands the organization’s actual security posture, from multi-factor authentication to network segmentation. This partnership is not just procedural; it reflects a deeper shift. Risk transfer and risk mitigation are now inseparable.

In fact, many insurers now embed value-added services into their policies, from tabletop exercises to proactive vulnerability assessments. These offerings help clients strengthen their defenses and understand where their real weaknesses lie before an attack happens.

Innovation and the Rise of InsurTech

The industry itself is innovating rapidly. A new generation of InsurTech carriers has emerged, companies that lead with technology first and insurance second. These firms leverage continuous monitoring, external scans and data analytics to assess cyber risk dynamically, not just at renewal time.

Traditional carriers are following suit, expanding their questionnaires and deepening their pre-underwriting technical skills and diligence. What was once a one-page application has evolved into a comprehensive risk assessment with hundreds of technical questions, a process that, while more demanding, creates better alignment between risk reality and risk pricing.

Myth vs. Reality: The Truth About Exclusions

Much has been made of exclusions and disputes — especially around the classification of cyberattacks as “acts of war.” While those headlines draw attention, they don’t tell the full story. In practice, claims are paid every day. The majority of insurers operate with fairness and diligence, recognizing that the sustainability of the market depends on trust.

Most coverage disputes arise not from bad faith but from misunderstandings, such as using non-panel vendors or failing to disclose material information during underwriting. The key to avoiding these pitfalls is education and communication: knowing how the policy works before it’s needed.

A Maturing Industry, A Shared Responsibility

Cyber insurance is no longer in its infancy, but it’s still a teenager. Two decades in, the industry continues to evolve, finding the right balance between risk transfer, risk management, and risk understanding.

The next wave of progress will depend on collaboration:

• Between insurers and brokers, to demystify coverage and reach underserved markets.
• Between CISOs and risk managers, to align security investment with financial protection.
• And between policyholders and insurers, to create a transparent, data-driven partnership against a common threat.

Cyber insurance is not a substitute for good security — it’s an amplifier of it. The organizations that recognize this synergy will not only be better prepared to withstand the next wave of attacks, but will also emerge stronger, smarter, and more resilient.

https://www.securitymagazine.com/articles/102007-cyber-insurance-comes-of-age-from-niche-policy-to-strategic-risk-tool

La polizia giudiziaria italiana si trova oggi a operare in uno spazio ibrido dove la materialità fisica del reato si dissolve progressivamente in flussi di dati, tracce volatili e infrastrutture cloud distribuite su più giurisdizioni. Questa trasformazione non rappresenta semplicemente un’evoluzione degli strumenti investigativi, ma impone una ridefinizione epistemologica del concetto stesso di accertamento del fatto-reato. Quando un attacco ransomware paralizza un’infrastruttura critica, quando una frode finanziaria si consuma attraverso smart contract anonimi, quando un’operazione di spionaggio industriale avviene tramite malware persistente, gli investigatori si confrontano con una criminalità che non lascia impronte digitali nel senso tradizionale, ma genera piuttosto costellazioni di artefatti digitali la cui interpretazione richiede competenze che trascendono la formazione giuridica classica.

L’articolo 55 del Codice di Procedura Penale definisce la polizia giudiziaria come l’insieme degli ufficiali e agenti che svolgono funzioni di prevenzione e repressione dei reati, dovendo prendere notizia dei reati, impedire che vengano portati a conseguenze ulteriori, ricercarne gli autori e compiere gli atti necessari per assicurare le fonti di prova. Questa definizione, cristallizzata in un’epoca in cui il crimine aveva ancora coordinate spaziotemporali definite, oggi si scontra con realtà investigative dove l’autore del reato può trovarsi in una giurisdizione, i server utilizzati in un’altra, i dati compromessi in una terza, e le conseguenze dannose manifestarsi in una quarta. La polizia giudiziaria deve quindi operare simultaneamente su piani giuridici, tecnici e geopolitici che si intersecano in modi imprevedibili.

L’asimmetria tra velocità dell’attacco e tempi dell’accertamento

Una delle contraddizioni più acute che caratterizza l’attività della polizia giudiziaria in ambito cyber riguarda la discrasia temporale tra la rapidità con cui si consumano i crimini informatici e la necessaria ponderazione dell’azione investigativa vincolata al rispetto delle garanzie procedurali. Un attacco DDoS può saturare un’infrastruttura in pochi minuti, un data breach può estrarre terabyte di informazioni in ore, ma l’acquisizione probatoria di questi eventi deve seguire protocolli forensi che garantiscano l’integrità della prova, la catena di custodia, l’irripetibilità degli atti quando necessario.

Questa tensione tra urgenza operativa e rigore procedurale non è risolvibile attraverso scorciatoie normative, ma richiede piuttosto una profonda comprensione tecnica che permetta agli investigatori di identificare quali dati sono volatili e quindi da cristallizzare immediatamente, e quali invece possono essere oggetto di successive analisi più approfondite.

La memoria RAM di un sistema compromesso, i log temporanei dei firewall, le sessioni attive nelle connessioni di rete rappresentano elementi probatori che esistono in una finestra temporale ristretta. La polizia giudiziaria deve quindi sviluppare capacità di triage investigativo che permettano di prioritizzare le attività di acquisizione sulla base non solo della rilevanza penale, ma anche della persistenza tecnica delle evidenze digitali. Questo approccio richiede una formazione che integri la conoscenza del diritto processuale penale con competenze sistemistiche profonde su architetture di rete, sistemi operativi, protocolli di comunicazione e tecniche di persistence del malware.

Il nodo gordiano della giurisdizione digitale

La dimensione transnazionale del cybercrime pone alla polizia giudiziaria sfide che non trovano facile risoluzione nel framework normativo tradizionale. La Convenzione del Consiglio d’Europa sulla criminalità informatica, firmata a Budapest il 23 novembre 2001 e ratificata dall’Italia con la legge 18 marzo 2008, n. 48, ha rappresentato il primo tentativo organico di armonizzazione delle norme penali sostanziali e delle procedure investigative in materia di crimini informatici. Tuttavia, l’applicazione pratica di questi strumenti cooperativi si scontra con tempi di risposta alle rogatorie internazionali spesso incompatibili con la volatilità delle prove digitali. Un server utilizzato per un attacco può essere dismesso e riconfigurato in ore, vanificando qualsiasi tentativo di acquisizione probatoria che richieda il passaggio attraverso canali diplomatici tradizionali.

In questo contesto, emergono pratiche investigative ibride che cercano di bilanciare la sovranità territoriale con l’efficacia dell’azione di contrasto. L’accesso transfrontaliero ai dati conservati in cloud, la cooperazione diretta tra forze di polizia bypassando parzialmente i canali diplomatici, l’utilizzo di strumenti di hacking legale per accedere a sistemi ubicati in altre giurisdizioni rappresentano tutte strategie che sollevano complessi interrogativi di legittimità costituzionale e compatibilità con i diritti fondamentali. La polizia giudiziaria italiana, operando nel perimetro della Procura Europea (EPPO) – divenuta operativa il 1° giugno 2021 – e nel framework della cooperazione Europol, deve navigare tra questi strumenti con consapevolezza dei rischi di invalidità probatoria e delle implicazioni geopolitiche delle proprie azioni.

Digital forensics: quando la tecnica diventa diritto

L’attività di digital forensics rappresenta il momento cruciale in cui competenza tecnica e rilevanza giuridica si fondono indissolubilmente. L’acquisizione forense di un sistema informatico non è un’operazione neutra di mera copia di dati, ma un’attività investigativa che deve garantire simultaneamente l’integrità informatica dell’evidenza e la sua utilizzabilità processuale. La metodologia forense richiede la generazione di hash crittografici che certifichino l’immodificabilità dei dati acquisiti, la documentazione completa di ogni passaggio della catena di custodia, l’utilizzo di strumenti validati dalla comunità scientifica, la produzione di report che siano comprensibili anche a giudici privi di formazione tecnica specifica.

Questa convergenza tra rigore scientifico e utilizzabilità processuale si manifesta in modo particolare nella gestione delle prove informatiche irripetibili. L’articolo 360 del Codice di Procedura Penale prevede che quando gli accertamenti riguardano persone, cose o luoghi il cui stato è soggetto a modificazione, il pubblico ministero avvisa senza ritardo la persona sottoposta alle indagini, la persona offesa dal reato e i difensori del giorno, dell’ora e del luogo fissati per il conferimento dell’incarico e della facoltà di nominare consulenti tecnici.

Nel contesto digitale, la qualificazione di un’attività come irripetibile diventa questione di estrema delicatezza tecnica. L’accesso a un sistema crittografato potrebbe essere irripetibile se l’autore del reato, avvisato dell’indagine, modificasse le credenziali. L’analisi della memoria volatile di un sistema è per definizione irripetibile. Ma l’acquisizione di un hard disk è irripetibile o può essere oggetto di successive perizie? La risposta dipende dalla comprensione tecnica delle modalità di acquisizione utilizzate e delle garanzie di integrità implementate.

L’intelligenza artificiale come sfida epistemologica

L’ingresso dell’intelligenza artificiale sia come strumento investigativo che come vettore di attacco introduce un ulteriore livello di complessità nell’attività della polizia giudiziaria. L’utilizzo di algoritmi di machine learning per l’analisi di grandi volumi di dati sequestrati, per l’identificazione di pattern comportamentali sospetti, per la correlazione di informazioni provenienti da fonti eterogenee solleva interrogativi fondamentali sulla spiegabilità delle decisioni investigative. Quando un sistema di AI suggerisce una connessione tra eventi apparentemente non correlati, sulla base di quali parametri la polizia giudiziaria può considerare questa indicazione come elemento indiziario utilizzabile? La «black box» algoritmica è compatibile con il principio di verificabilità e contestabilità della prova tipico del processo penale?

Parallelamente, la criminalità organizzata e gli attori di minaccia avanzata (APT) stanno integrando nelle proprie operazioni strumenti di AI generativa per la creazione di malware polimorfico, per la produzione di contenuti deepfake utilizzati in truffe sofisticate, per l’automazione di attacchi di social engineering su larga scala. La polizia giudiziaria deve quindi sviluppare capacità di riconoscimento e analisi di questi artefatti sintetici, comprendendo i limiti tecnici degli attuali strumenti di detection e le implicazioni probatorie dell’attribuzione di contenuti generati artificialmente.

La formazione continua come imperativo categorico

La velocità di evoluzione tecnologica impone alla polizia giudiziaria un ripensamento radicale dei modelli di formazione. Non è più sufficiente formare specialisti cyber che affiancano gli investigatori tradizionali. È necessario che ogni operatore di polizia giudiziaria possieda una literacy digitale di base che gli permetta di riconoscere la rilevanza investigativa di evidenze digitali anche in contesti apparentemente tradizionali. Un’indagine per omicidio può richiedere l’analisi dei metadati di geolocalizzazione degli smartphone. Un’indagine per corruzione può necessitare l’esame di wallet di criptovalute. Un’indagine per traffico di stupefacenti può coinvolgere l’analisi di comunicazioni su piattaforme crittografate.

Questa formazione non può limitarsi agli aspetti tecnici, ma deve integrare la comprensione delle implicazioni giuridiche delle tecnologie investigative. L’utilizzo di trojan di Stato per l’intercettazione di comunicazioni informatiche, disciplinato in Italia dall’articolo 266-bis del Codice di Procedura Penale, richiede agli investigatori la comprensione non solo delle modalità tecniche di deployment del captatore informatico, ma anche dei limiti costituzionali di utilizzo di tali strumenti, delle garanzie richieste per la loro attivazione, delle modalità di verbalizzazione delle attività svolte. La formazione deve quindi essere interdisciplinare, coinvolgendo giuristi, informatici, esperti di intelligence e accademici in un dialogo costante.

Il bilanciamento tra sicurezza e diritti fondamentali

La polizia giudiziaria opera in una tensione permanente tra l’esigenza di efficacia investigativa e il rispetto dei diritti fondamentali garantiti dalla Costituzione e dalla Carta dei diritti fondamentali dell’Unione Europea. Nel contesto digitale, questa tensione assume connotazioni particolarmente acute. La data retention, la conservazione generalizzata dei dati di traffico telefonico e telematico per finalità investigative, è stata oggetto di ripetute censure da parte della Corte di Giustizia dell’Unione Europea che, con sentenze del 2014, del 2020 e del 2022, ha ritenuto tale pratica – quando generalizzata e indiscriminata – incompatibile con i principi di proporzionalità e necessità. Eppure, l’accesso ai tabulati telefonici e ai log di connessione rappresenta spesso l’unico strumento investigativo efficace per ricostruire la dinamica di crimini informatici complessi.

La cifratura end-to-end delle comunicazioni, sempre più diffusa nelle piattaforme di messaggistica, pone interrogativi sulla sostenibilità del modello investigativo tradizionale basato sull’intercettazione. Le proposte normative che ipotizzano l’introduzione di backdoor crittografiche per consentire l’accesso lawful alle comunicazioni cifrate vengono contestate dalla comunità scientifica come intrinsecamente insicure e suscettibili di abuso. La polizia giudiziaria si trova quindi a dover operare in un ecosistema digitale dove ampie porzioni di comunicazioni e transazioni sono tecnicamente inaccessibili, richiedendo lo sviluppo di strategie investigative alternative basate sull’analisi dei metadati, sull’infiltrazione sotto copertura, sull’utilizzo di fonti umane.

Prospettive: verso una polizia giudiziaria 5.0

L’evoluzione della polizia giudiziaria nell’era digitale non può essere concepita come un semplice aggiornamento tecnologico dell’apparato investigativo esistente, ma richiede una trasformazione culturale e organizzativa profonda. La specializzazione settoriale, che ha caratterizzato storicamente l’organizzazione delle forze di polizia, deve essere integrata da capacità trasversali di comprensione dei fenomeni tecnologici che permeano ogni tipologia di reato. Le sezioni di polizia giudiziaria specializzate in crimini informatici non possono più essere percepite come reparti specialistici separati, ma devono diventare hub di competenza che irradiano conoscenza e supporto a tutte le articolazioni investigative.

La cooperazione pubblico-privato diventa elemento strategico irrinunciabile. Le infrastrutture digitali critiche sono prevalentemente gestite da operatori privati, i fornitori di servizi cloud detengono dati essenziali per le indagini, le aziende di cybersecurity producono intelligence sulle minacce che può essere cruciale per le attività investigative. La polizia giudiziaria deve quindi sviluppare protocolli di collaborazione che garantiscano la tempestività dell’accesso alle informazioni rispettando i vincoli di riservatezza investigativa e i limiti normativi alla condivisione di dati personali.

La dimensione predittiva e preventiva acquista rilevanza crescente. L’analisi di big data provenienti da fonti aperte, il monitoraggio di indicatori di compromissione nelle reti, l’intelligence su gruppi criminali emergenti permettono alla polizia giudiziaria di anticipare fenomeni criminali prima che producano danni irreparabili. Questo shift da un modello puramente reattivo a uno proattivo solleva ulteriori questioni etiche e giuridiche sulla legittimità di interventi basati su probabilità statistiche piuttosto che su fatti-reato già consumati.

Conclusioni: il diritto alla prova nell’era dell’immaterialità

La sfida fondamentale che la polizia giudiziaria deve affrontare nell’era digitale riguarda la preservazione del diritto alla prova in un ecosistema tecnologico sempre più complesso, distribuito e inaccessibile. La legitimacy del sistema penale si fonda sulla possibilità di accertare i fatti attraverso un contraddittorio probatorio dove accusa e difesa possano confrontarsi su evidenze verificabili e contestabili. Quando le prove diventano artefatti digitali la cui interpretazione richiede competenze specialistiche raramente disponibili anche nelle difese tecnicamente attrezzate, quando le tecniche investigative si basano su strumenti proprietari non verificabili indipendentemente, quando le decisioni algoritmiche influenzano le direzioni investigative senza essere pienamente comprensibili, il rischio è quello di un’erosione della parità delle armi processuali.

La polizia giudiziaria ha quindi la responsabilità non solo di sviluppare efficaci capacità investigative tecnologiche, ma anche di garantire che queste capacità siano esercitate in modo trasparente, verificabile, sottoposto a controllo giurisdizionale effettivo. La documentazione completa delle metodologie utilizzate, la validazione scientifica degli strumenti forensi, la formazione dei magistrati sui limiti e le potenzialità delle prove digitali, la disponibilità di perizie difensive realmente contrapponibili non sono accessori tecnici ma garanzie costituzionali essenziali. Solo preservando questi equilibri la polizia giudiziaria può continuare a svolgere la sua funzione di accertamento della verità processuale in un mondo dove la materialità fisica del crimine è sempre più un’eccezione che una regola.

https://www.ictsecuritymagazine.com/articoli/polizia-giudiziaria/

Nov 12, 2025 Marina Londei Attacchi, In evidenza, Malware, News, RSS 0

---

I ricercatori di zImperium zLabs hanno individuato Fantasy Hub, un RAT per Android venduto su canali Telegram russi come Malware-as-a-Service.

Il RAT viene usato principalmente per colpire istituti finanziari (tra i quali Alfa, PSB, Tbank e Sber) implementando pagine di phishing per rubare le credenziali bancarie degli utenti. È possibile sia creare pagine custom che usare quelle pre-impostate presenti nel pacchetto iniziale. Colui (o coloro) che hanno messo in vendita il malware mettono a disposizione dei propri clienti anche delle istruzioni su come creare applicazioni e pagine fake.

Fantasy Hub viene infatti generalmente distribuito tramite finte pagine Google Play Store, complete di recensioni. Il malware viene camuffato da aggiornamento di Google Play o da altra applicazione legittima.

Il malware presenta numerose capacità di cyberspionaggio, a partire dall’accesso completo agli SMS e all’intercettazione degli stessi. Il RAT consente anche di manipolare le notifiche push per renderle invisibili agli utenti e rispondere direttamente ai messaggi, attivare la videocamera e il microfono per la registrazione e lo streaming di video e audio, scattare foto e accedere alla galleria e ai contatti.

Gli acquirenti di Fantasy Hub gestiscono il funzionamento del RAT tramite un pannello dedicato; qui accedono alle informazioni sullo stato dei dispositivi infetti, sul modello e sull’ID utente, sul numero di telefono e sulla scadenza dell’abbonamento al malware. Gli attaccanti hanno a disposizione una guida con tutti i comandi disponibili che possono far eseguire al RAT, per esempio per accedere ai messaggi, attivare la fotocamera e così via.

“La rapida diffusione delle operazioni Malware-as-a-Service (Maas) come Fantasy Hub dimostrano che gli attaccanti possono facilmente trasformare componenti Android legittime in armi per ottenere la totale compromissione dei dispositivi” affermano i ricercatori.

La minaccia di Fantasy Hub è significativa per due motivi: in primo luogo, è un prodotto che viene venduto con tanto di documentazione che lo rende accessibile anche agli attaccanti meno esperti; inoltre, poiché colpisce i flussi bancari e sfrutta l’handler degli SMS, è altamente pericoloso per i dipendenti che utilizzano applicazioni di home banking e che gestiscono informazioni sensibili.

“Con la continua evoluzione dell’offerta MaaS, le organizzazioni devono trattare ogni dispositivo mobile come un potenziale entry point” concludono i ricercatori.

---

---

---

https://www.securityinfo.it/2025/11/12/fantasy-hub-scoperto-un-nuovo-rat-android-che-prende-il-controllo-totale-del-dispositivo/?utm_source=rss&utm_medium=rss&utm_campaign=fantasy-hub-scoperto-un-nuovo-rat-android-che-prende-il-controllo-totale-del-dispositivo

L’età media degli hacker arrestati negli Stati Uniti è precipitata a 19 anni, rispetto ai 37 anni per tutti gli altri crimini, secondo il Supervisory Special Agent William McKeen dell’FBI (maggio 2024), e il 61% dei giovani coinvolti nel cybercrime ha iniziato a sperimentare con tecnologie prima dei 16 anni secondo la UK National Crime Agency.

Questa drammatica inversione generazionale non è un semplice dato statistico, ma il sintomo di una trasformazione radicale nel panorama della sicurezza informatica. I crimini informatici sempre più sofisticati vengono perpetrati da individui “sempre più giovani”, una tendenza definita “terrificante” da McKeen alla RSA Conference 2024.

Il fenomeno si spiega con la convergenza di tre fattori: il crollo delle barriere tecniche all’ingresso nel cybercrime, l’esplosione di strumenti pronti all’uso accessibili su piattaforme mainstream come Telegram (che ha raggiunto 1 miliardo di utenti attivi mensili nel marzo 2025), e motivazioni psicologiche profondamente radicate nell’ego, nel riconoscimento tra pari e nella ricerca di identità. Questo rapporto analizza il decennio 2015-2025, durante il quale Cybersecurity Ventures ha previsto che il cybercrime potrebbe costare 10,5 trilioni di dollari annui entro il 2025, e l’hacktivismo si è trasformato da movimento anti-establishment in strumento, sempre più spesso, di cyber warfare statale.

La psicologia dei giovani hacker: ego, sfida intellettuale e appartenenza

La ricerca accademica degli ultimi dieci anni ha demolito gli stereotipi romantici sull’hacker solitario spinto dalla pura curiosità intellettuale. Lo studio di Hani et al. pubblicato su Frontiers in Computer Science nell’aprile 2024 è riuscito con accuratezza a predire i tipi di hacker utilizzando i Big Five personality traits, identificando quattro temi motivazionali dominanti: la compulsione ad hackerare, la curiosità, il controllo e l’attrazione per il potere, e il riconoscimento tra pari e l’appartenenza al gruppo. La teoria del flusso psicologico (flow state) di Csikszentmihalyi spiega come gli hacker sperimentino stati di concentrazione intensa e distorsione temporale durante gli attacchi, creando un’esperienza intrinsecamente gratificante che facilita l’escalation verso comportamenti criminali man mano che le competenze si sviluppano.

I black hat hacker presentano profili psicologici distintamente diversi dagli ethical hacker. La ricerca ha identificato nell’apertura all’esperienza il tratto dominante dei black hat, caratterizzati dalla volontà di affrontare sfide creative e spinti da fama, guadagno finanziario, vendetta e auto-gratificazione.

Al contrario, i white hat mostrano livelli più elevati di gradevolezza e coscienziosità. I gray hat, che oscillano tra comportamenti etici e malevoli, presentano come tratto dominante il nevroticismo, spesso essendo ex-black hat in fase di transizione. Questa distinzione non è meramente accademica: lo studio coreano del 2023 che ha analizzato i crimini di hacking attraverso interviste con specialisti di polizia ha rivelato che il 35,71% dei crimini di hacking legati all’integrità erano motivati dal “divertimento”, superando qualsiasi altra motivazione.

Il professor Thomas J. Holt della Michigan State University ha documentato attraverso ricerche pluriennali pubblicate su British Journal of Criminology e Crime and Delinquency come i mercati del cybercrime operino con strutture economiche reali e incentivi chiari.

La sua analisi dei forum russi che facilitano la distribuzione di malware ha rivelato dinamiche sociali che strutturano le relazioni acquirente-venditore e il trasferimento di conoscenze tra hacker esperti e novizi. Il software malevolo è diventato così sofisticato che gli individui ora vendono vari programmi e servizi attraverso mercati elettronici dove i dati possono essere comprati e venduti con la stessa facilità di prodotti legittimi. Questa professionalizzazione ha creato un fenomeno economico reale con impatto e conseguenze economiche tangibili, come sottolineato dallo stesso Holt.

La ricerca di riconoscimento tra pari rappresenta un motore motivazionale particolarmente potente per i giovani. Gli studi dimostrano consistentemente che gli hacker “si associano con altri individui che si impegnano anch’essi in comportamenti di hacking sotto forma di associazioni puramente elettroniche, come sessioni di chat online, o più intimamente attraverso club di hacking come Cult of the Dead Cow e Legion of Doom”.

Le convention come DefCon forniscono luoghi dove gli hacker “condividono le loro competenze, idee e informazioni tecniche” per guadagnare status e riconoscimento. La ricerca di Hani et al. ha identificato che gli individui sviluppano identità di hacker attraverso il “desiderio di esprimere se stessi”, “sperimentare autonomia/libertà” e “sviluppare compagnia tra pari”, servendo così funzioni di costruzione identitaria particolarmente rilevanti durante l’adolescenza.

La meta-analisi del 2023 che ha esaminato 48 articoli e 903 effect sizes sul cybercrime giovanile ha confermato che i fattori legati ai pari sono risultati importanti per tutti e tre i tipi di cybercrime studiati (cyberstalking, sexting, hacking). Per il cyberstalking, la precedente perpetrazione e vittimizzazione online e offline sono risultati fattori di rischio significativi. I tratti oscuri della personalità si sono rivelati significativi per cyberstalking e sexting, mentre l’elevata preoccupazione per il computer è emersa come fattore di rischio per cyberstalking e hacking. Lo studio ha trovato che la pressione dei pari per il sexting e i pari devianti per cyberstalking e hacking giocano ruoli cruciali nell’iniziazione e continuazione dei comportamenti criminali online.

Black hat versus hacktivism: motivazioni divergenti, stesse competenze tecniche

La distinzione tra black hat hacker e hacktivisti non risiede nelle capacità tecniche ma nelle motivazioni fondamentali e nelle strutture comunitarie che li supportano.

Lo studio di Romagna del 2023 pubblicato su Information, Communication & Society, basato su interviste con 28 hacktivisti auto-identificati e analisi di database di defacement, ha identificato le motivazioni primarie degli hacktivisti: esporre la cattiva condotta politica/delle élite (18 su 28 rispondenti), esporre i pedofili (4 su 21 coinvolti in #OpPedo e #OpPedoHunt), difesa della giustizia sociale, trasparenza e responsabilità, e resistenza alla censura. Un partecipante alla ricerca ha dichiarato: “Devo sottolineare che ho sempre avuto una bussola moralmente giusta e questo argomento ha toccato un nervo ed è stata la prima operazione ‘hactivista’ a cui mi sono sentito veramente impegnato”.

Gli hacktivisti mostrano “identità di gruppo politicizzate, convinzioni morali più forti, rabbia, credenze di efficacia di gruppo e partecipativa”, elementi che li distinguono nettamente dai black hat focalizzati sulla sofisticazione tecnica per il profitto. Gli hacktivisti cercano visibilità attraverso la copertura mediatica per amplificare i loro messaggi politici, mentre i black hat preferiscono l’anonimato per proteggere le loro operazioni lucrative. Gli attacchi hacktivisti servono spesso come “protesta simbolica” per sollevare consapevolezza su questioni percepite come ingiustizie, mentre gli attacchi black hat perseguono guadagni tangibili attraverso furto di dati, ransomware e vendita di informazioni rubate.

La professoressa Gabriella Coleman di Harvard, con oltre 7.306 citazioni e riconosciuta come la principale autorità sulle culture hacker e Anonymous, ha teorizzato nel suo libro “Hacker, Hoaxer, Whistleblower, Spy: The Many Faces of Anonymous” (2014) il concetto di “generi di hacker” che contestano l’etica hacker singolare.

Coleman identifica genealogie storiche distinte da cui emergono gli hacker, ciascuna con lezioni etiche uniche: gli hacker del Free/Open Source Software, i collettivi hacktivisti come Anonymous, i ricercatori di sicurezza white hat, ognuno con il proprio “mestiere e astuzia dell’hacking”. La sua descrizione di Anonymous attraverso il motivo del trickster archetipico – “spesso non essendo un personaggio molto pulito e rispettabile, ma forse vitale per il rinnovamento sociale” – cattura l’ambiguità morale che caratterizza l’hacktivismo contemporaneo.

Tuttavia, l’evoluzione 2015-2025 ha visto una trasformazione preoccupante: l’hacktivismo tradizionale anti-establishment è stato cooptato da stati nazionali che mascherano operazioni di cyber warfare come movimenti grassroots. La ricerca di Check Point del 2025 utilizzando modellazione tematica e analisi stilometrica ha confermato connessioni tra APT44 (gruppo russo di minacce avanzate persistenti) e multiple persone hacktiviste apparentemente indipendenti, inclusi Cyber Army of Russia Reborn, Solntsepek e XakNet. L’Orange Cyberdefense Security Navigator 2025 ha documentato tre ere distinte dell’hacktivism: l’Era dell’Utopia Digitale (costruire un internet migliore), l’Era Anti-Establishment (esporre difetti attraverso Anonymous e LulzSec), e l’attuale Era Allineata agli Stati, dove i gruppi servono agende statali mantenendo la negabilità plausibile.

L’equazione socio-economica: disoccupazione giovanile e democratizzazione del cybercrime

Lo studio monumentale della Michigan State University su oltre 66.000 giovani in più di 30 paesi ha identificato tre sottogruppi comportamentali distinti tra gli hacker giovanili.

Gli “hacker opportunistici” combinano basso autocontrollo con accesso tecnologico e mostrano hacking di breve durata; gli “hacker influenzati dai pari” sono pesantemente influenzati da gruppi di pari negativi; gli “hacker isolati/traumatizzati” hanno subito vittimizzazione, abuso o isolamento sociale e trovano conforto nelle comunità online. I fattori di rischio identificati includono basso autocontrollo (indipendentemente dalla probabilità di rilevamento), maggiore accesso tecnologico in ambienti privati (dispositivi propri), coinvolgimento nella pirateria, tempo trascorso con pari, attaccamenti e supervisione genitoriale più deboli. Significativamente, lo status socio-economico è risultato associato a rischio di rilevamento ridotto a causa del maggiore accesso tecnologico.

La correlazione tra disoccupazione giovanile e cybercrime opera attraverso tre meccanismi principali: necessità economica, tempo libero non occupato e mancanza di identificazione con membri conformi della società. L’Office of Justice Programs documenta che i giovani delinquenti costituiscono “gli elementi più marginali del pool di occupazione giovanile” e gli studi mostrano che le opportunità di impiego influenzano i tassi di criminalità giovanile.

L’esempio della Nigeria è paradigmatico: i “Yahoo Boys” – laureati ben istruiti con competenze digitali – sono motivati dalla disoccupazione (salita al 41% nel 2023 dal 14,2% del 2016), corruzione e mancanza di leggi sul cybercrime, secondo la ricerca pubblicata su Nature nel 2023. Il paradosso identificato dalla ricerca cross-nazionale è che sia la povertà che la prosperità possono guidare il cybercrime a seconda del contesto: nei paesi a basso reddito, il cybercrime origina nelle aree più sviluppate con migliore infrastruttura internet, mentre nei paesi ad alto reddito è associato a istruzione e reddito più elevati ma anche a maggiore disuguaglianza.

L’acronimo MEECES sviluppato dall’Australian Institute of Criminology sintetizza i motivatori primari: Money (guadagno monetario, profitti da ransomware), Ego (sfida intellettuale, auto-espressione, riconoscimento tra pari), Entertainment (frivolezza giovanile, malizia, curiosità), Cause (attaccare il “sistema”, hacktivismo), Entrance to social groups (senso di appartenenza nei forum di hacking), e Status (fama, notorietà, infamia nelle comunità underground). Il moderno spostamento 2020-2025 ha visto l’ego emergere come driver primario per i giovani hacker secondo la National Crime Agency britannica, con il “senso di appartenenza attraverso i forum di hacking” e il “desiderio di dimostrare se stessi al gruppo” che superano il guadagno finanziario come motivazioni iniziali. Il guadagno finanziario diventa spesso secondario, amplificando l’infamia piuttosto che essere il fine ultimo.

La falsa percezione di anonimato gioca un ruolo cruciale. I giovani hacker operano in spazi online dove l’applicazione della legge è meno visibile rispetto agli spazi fisici, creando un’illusione di impunità. Questa percezione è rafforzata dal fatto che solo il 4-5% degli hacker viene solitamente arrestato, secondo le stime dell’industria. I social media e la cultura popolare hanno inoltre glamourizzato l’immagine dell’hacker, con film, serie TV e rappresentazioni mediatiche che spesso ritraggono gli hacker come figure antieroiche o geniali ribelli piuttosto che come criminali che causano danni reali. Questa romanticizzazione, combinata con l’assenza di educazione etica integrata nei percorsi di apprendimento informali, crea hackers che sanno “come” fare qualcosa ma non imparano mai “dovrei farlo?”.

L’evoluzione 2015-2025: dalla sottocultura underground all’economia criminale da trilioni

Il decennio 2015-2025 ha testimoniato trasformazioni sistemiche che hanno ridefinito il panorama del cybercrime. Il periodo 2015-2017 ha gettato le fondamenta, con Anonymous che dichiara cyber guerra all’ISIS dopo gli attacchi di Parigi del 2015 (rivendicando la segnalazione di circa 20.000 account Twitter), il breach di Hacking Team che espone strumenti di sorveglianza venduti a governi oppressivi, e la botnet Mirai del 2016 che compromette centinaia di migliaia di dispositivi IoT dimostrando nuove superfici di attacco. WannaCry nel maggio 2017 colpisce oltre 150 paesi secondo il Department of Justice statunitense, marcando l’accelerazione del passaggio da hacker individuali a imprese organizzate e ben finanziate. Le motivazioni dell’hacking transizionano dai diritti di vanteria al guadagno finanziario, spionaggio e attivismo politico.

L’era della professionalizzazione 2018-2020 vede l’ascesa dei modelli di business Ransomware-as-a-Service (RaaS). La pandemia COVID-19 del 2020 crea nuovi vettori di attacco e accelera la trasformazione digitale, con un aumento significativo degli attacchi ransomware secondo Harvard Business Review.

Il cybercrime diventa sempre più sofisticato con attacchi guidati dall’intelligenza artificiale. Il 2021-2023 segna l’emergenza dell’hacktivismo sponsorizzato dagli stati: l’invasione russa dell’Ucraina nel marzo 2022 innesca una mobilitazione hacktivista senza precedenti, con gruppi pro-russi che rivendicano oltre 6.000 attacchi DDoS e la formazione dell’IT Army of Ukraine e gruppi contrapposti. Il takedown di Hydra Market nel 2022 (con 5,2 miliardi di dollari di transazioni in criptovaluta dal 2015 secondo il Department of Justice) spinge i cybercriminali su Telegram, mentre il takedown di Genesis Market nel 2023 vede i gruppi riorganizzarsi rapidamente su piattaforme mainstream.

Il panorama attuale 2024-2025 è caratterizzato da collaborazione intensificata tra gruppi hacktivisti, notevole affidamento sul ransomware per operazioni distruttive, e nuovi livelli di sofisticazione. Kaspersky ha rilevato una media di 467.000 file malevoli al giorno nel 2024, un aumento del 14% rispetto ai 411.000 del 2023 secondo i loro Security Bulletin ufficiali. Il Verizon Data Breach Investigations Report 2025 documenta 12.195 breach confermati da 22.052 incidenti di sicurezza in 139 paesi, con il coinvolgimento di terze parti raddoppiato al 30% dal 15% del 2024, lo sfruttamento di vulnerabilità aumentato del 34% (ora 20% dei breach), e il ransomware presente nel 44% di tutti i breach, in aumento dal 32% del 2024.

La migrazione delle piattaforme ha trasformato radicalmente l’ecosistema criminale. I tradizionali forum del dark web sono stati sostituiti da Telegram, Discord e Signal, con il cybercrime che ora “si nasconde in bella vista” tra 1 miliardo di utenti attivi mensili di Telegram (marzo 2025). Il 2022 vede l’ascesa di Telegram dopo il collasso di Hydra, con canali marchiati Hydra che appaiono “entro settimane” e bot Telegram che automatizzano le vendite replicando l’infrastruttura del mercato. SOCRadar ha identificato gruppi chiave monitorati nel 2025 che includono NoName057(16) pro-russo con oltre 6.000 attacchi rivendicati, RipperSec pro-palestinese con 5.100+ abbonati, Moon Cloud con 20.000+ membri e mercati di stealer logs come Observer Cloud e BidenCash con monitoraggio automatizzato dei dati delle carte.

Discord è emerso come territorio di reclutamento per Scattered Spider, i cui membri avevano 15-20 anni durante i primi attacchi. La community gaming fornisce il crossover critico: “Molte persone nella sicurezza erano gamer che volevano capire come imbrogliare”, secondo Intel 471. Dozzine di community sono state tracciate mentre discutono crimini e tecniche di hacking, con messaggistica anonima e distanza dai siti web principali che attraggono cybercriminali di basso-medio livello. Nonostante l’arresto di Pavel Durov nel settembre 2024 e i cambiamenti di policy abbiano spinto l’esplorazione di alternative (Signal, Matrix, Tox, Session, Simplex, Jabber), Telegram rimane la piattaforma più popolare.

Il crollo delle barriere tecniche: quando l’hacking diventa accessibile

Le barriere tecniche all’ingresso nel cybercrime si sono abbassate drasticamente negli ultimi anni. Questo è supportato dal fatto che il 61% degli hacker inizia prima dei 16 anni secondo la UK National Crime Agency, con l’accesso a internet quasi universale e le risorse di apprendimento “a pochi click di distanza”. Le conversazioni essenziali sull’etica e le conseguenze sono state lasciate indietro mentre la conoscenza tecnica è diventata immediatamente disponibile. I servizi DDoS-for-hire sono ampiamente disponibili, gli strumenti DDoS crowdsourced richiedono competenza tecnica minima, i framework di hacking preconfigurati come Metasploit sono accessibili, e oltre 4.000 strumenti di hacking sono disponibili nelle piattaforme di formazione ethical hacking secondo EC-Council CEH v13.

L’esplosione delle risorse di apprendimento gratuito ha democratizzato la conoscenza dell’hacking in modi senza precedenti. YouTube offre tutorial illimitati dalla ricognizione allo sfruttamento; Udemy fornisce corsi gratuiti e a pagamento di ethical hacking; Coursera offre corsi di livello universitario da Maryland, IBM, ISC2; Great Learning Academy fornisce corsi gratuiti con certificati; Hack The Box vanta una community di oltre 1,7 milioni di membri (2025) con laboratori settimanali e sfide gamificate; TryHackMe offre lezioni interattive adatte ai principianti; Refonte Learning fornisce corsi guidati da esperti.

Le metodologie di apprendimento includono microlearning (moduli bite-sized come scansione Nmap un giorno, SQL injection il successivo), gamification (sfide CTF, competizioni “Hacker del Mese”), disponibilità 24/7 con avanzamento auto-guidato, laboratori virtuali con target, reti e strumenti di attacco preconfigurati, e scenari del mondo reale con impegni di mock hacking e sfide CTF di 4 ore.

Il problema critico è che le competenze tecniche sono acquisite senza responsabilità o consapevolezza delle conseguenze. L’etica e i confini legali non sono integrati nell’apprendimento informale, risultando in competenze tecniche senza framework etico. L’evoluzione dell’ecosistema degli strumenti dal 2015 al 2025 è stata drammatica: il 2015-2020 vedeva Kali Linux diventare piattaforma standard con strumenti specializzati che richiedevano setup e configurazione, e i forum del dark web come canale di distribuzione primario. Il 2020-2025 ha portato deployment one-click dell’infrastruttura di attacco, app mobile per penetration testing, piattaforme di hacking basate su browser, strumenti di attacco potenziati dall’AI (scansione automatizzata delle vulnerabilità, generazione di exploit), con “strumenti di livello professionale” nelle mani di amatori con “esperienza zero” secondo Intercede.

Il paradosso della sofisticazione è che individui meno qualificati sono più incauti, non comprendono l’impatto, prendono di mira organizzazioni più grandi, sono più propensi a essere catturati, e selezionano i target guidati dall’ego. Simultaneamente, strumenti più potenti includono exploit potenziati dall’AI, ricognizione automatizzata, malware sofisticato (prontamente disponibile), Ransomware-as-a-Service e tecniche di amplificazione DDoS. Il risultato è che “mentre gli attaccanti diventano più giovani e meno esperti, i loro target diventano più grandi e le conseguenze più severe” secondo Intercede. Le stime indicano che il cybercrime potrebbe costare tra 10,5 trilioni di dollari (previsione Cybersecurity Ventures per il 2025, fatta nel 2020) e proiezioni di 23 trilioni di dollari entro il 2027 secondo alcune analisi di società di consulenza private.

Casi documentati: dai teenager alle operazioni da centinaia di milioni

I casi documentati attraverso atti giudiziari, comunicati stampa del DOJ e reporting investigativo rivelano pattern preoccupanti. Marcus Hutchins, noto come MalwareTech, creò e distribuì il trojan bancario Kronos tra il 2012 e il 2015 quando aveva circa 18-20 anni, ma guadagnò fama mondiale nel maggio 2017 fermando l’attacco ransomware WannaCry registrando il dominio kill switch.

Arrestato dall’FBI a Las Vegas nell’agosto 2017 dopo la conferenza DEF CON quando aveva 23 anni, Hutchins si dichiarò colpevole delle accuse relative a Kronos ma fu condannato nel luglio 2019 al tempo già scontato più un anno di supervisione. Il giudice accreditò la sua riabilitazione e i contributi alla cybersecurity per fermare WannaCry, evitandogli ulteriore carcere. Il caso Hutchins illustra sia il potenziale distruttivo del talento giovanile sia la possibilità di redenzione attraverso la transizione al lavoro di sicurezza legittimo.

Arion Kurtaj rappresenta un caso più oscuro. Membro centrale del gruppo LAPSUS$ tra i 16 e 18 anni (2021-2022), Kurtaj colpì Rockstar Games (leak di GTA 6), Uber, Nvidia, Microsoft, Samsung, T-Mobile, Okta, Revolut e BT/EE.

Nel settembre 2022, mentre era in libertà su cauzione della polizia con il laptop confiscato, hackerò Rockstar Games usando solo un Amazon Fire Stick, una TV d’albergo e un telefono cellulare, trapelando 90 clip di filmati inediti di GTA 6. Arrestato per la prima volta a gennaio 2022 all’età di 16 anni, arrestato nuovamente a marzo 2022, e arrestato per la terza volta a settembre 2022, Kurtaj fu condannato il 21 dicembre 2023 (ritenuto non idoneo a sostenere il processo a causa dell’autismo grave) a detenzione ospedaliera sicura a tempo indeterminato. Il giudice stabilì che rimaneva “ad alto rischio” a causa delle competenze e del desiderio dichiarato di continuare il cybercrime, avendo esibito violenza in custodia.

Thalha Jubair, noto come “Amtrak” e una dozzina di altri alias, rappresenta l’escalation più seria. All’età di 15-19 anni (2021-2025), Jubair fu membro centrale sia di LAPSUS$ che leader delle operazioni Scattered Spider, condusse attività di SIM-swapping precedenti, gestì il canale Telegram Star Chat per servizi di SIM-swapping, violò T-Mobile oltre 70 volte, fu coinvolto nella campagna di phishing SMS di massa 0ktapus, e guidò gli attacchi ransomware contro MGM Resorts e Caesars Entertainment nel settembre 2023 (Caesars pagò 15 milioni di dollari di riscatto secondo documenti FBI) e l’attacco informatico di Transport for London nell’agosto 2024.

Arrestato nel luglio 2025 nel Regno Unito all’età di 19 anni, Jubair affronta l’estradizione negli Stati Uniti con accuse per oltre 120 intrusioni di rete informatica che colpiscono 47 entità statunitensi. I pubblici ministeri statunitensi hanno sequestrato 36 milioni di dollari in criptovaluta dai server controllati da Jubair. Le vittime hanno pagato almeno 115 milioni di dollari in pagamenti di riscatto secondo il Department of Justice. Se condannato, affronta un massimo di 95 anni di prigione.

Graham Ivan Clark orchestrò all’età di 17 anni il massiccio hijacking degli account Twitter del 15 luglio 2020. Clark compromisse 130 account di alto profilo tra cui Barack Obama, Joe Biden, Elon Musk, Bill Gates, Jeff Bezos, Kim Kardashian, Kanye West, Apple e Uber, utilizzando ingegneria sociale contro i dipendenti Twitter fingendosi l’Help Desk IT.

Pubblicò tweet di truffa Bitcoin “raddoppia i tuoi soldi” e raccolse circa 118.000 dollari in valore di Bitcoin da oltre 415 transazioni secondo il New York State Department of Financial Services Investigation Report, vendendo anche l’accesso a handle Twitter desiderabili sul forum OGUsers. Arrestato il 31 luglio 2020 a casa sua a Northdale, Florida, affrontando 30 accuse penali, Clark si dichiarò colpevole nel marzo 2021 sotto il Florida Youthful Offender Act e fu condannato a 3 anni di prigione più 3 anni di libertà vigilata. Fu rilasciato il 16 febbraio 2023.

Kane Gamble dell’operazione Crackas With Attitude commise le sue offese all’età di 15 anni (2015-2016). Gamble hackerò gli account email AOL del direttore della CIA John Brennan, del direttore dell’Intelligence Nazionale James Clapper, del segretario del DHS Jeh Johnson (hackerò anche la TV di casa, chiamando la moglie dicendo “Ti sto spaventando?”), del vice direttore dell’FBI Mark Giuliano, della consigliera per la sicurezza nazionale vicepresidente di Obama Avril Haines, e del consigliere senior di Obama per scienza e tecnologia John Holdren.

Utilizzò ingegneria sociale chiamando Verizon e AOL fingendosi funzionari per reimpostare le password, accedendo a documenti “estremamente sensibili” sulle operazioni militari in Iraq e Afghanistan, pubblicando alcuni dati su WikiLeaks, accedendo alla rete del Dipartimento di Giustizia degli Stati Uniti e all’FBI Law Enforcement Enterprise Portal, e trapelando dettagli di 20.000 agenti FBI e 9.000 dipendenti DHS. Arrestato a febbraio 2016, si dichiarò colpevole nell’ottobre 2017 e fu condannato nell’aprile 2018 a 2 anni di detenzione giovanile. Dopo il rilascio nel 2019, Gamble partecipò a programmi bug bounty per T-Mobile (5.000 dollari di ricompensa massima), Ministry of Defence e AT&T, scoprendo vulnerabilità nell’app di messaggistica crittografata Wire e in Sitecore (CVE assegnati).

Anonymous e LulzSec: l’ascesa e la caduta dell’hacktivismo idealista

LulzSec rappresenta un capitolo definente nell’evoluzione dell’hacktivismo. Formato nel maggio 2011 come offshoot di Anonymous, LulzSec operò per soli 50 giorni ma lasciò un impatto duraturo, inizialmente operando sotto la filosofia “hacking for the lulz” (intrattenimento).

I sei-sette membri centrali includevano Hector Monsegur (Sabu), leader 29enne disoccupato dal Lower East Side di New York che si trasformò in informatore dell’FBI nell’agosto 2011 dopo l’arresto a giugno 2011, aiutando a identificare 8 co-cospiratori in 7 mesi e ricevendo tempo già scontato più un anno di supervisione nel maggio 2014. Jake Davis (Topiary), 18 anni all’arresto, gestiva le relazioni con i media e gestiva l’account Twitter di LulzSec, precedentemente con Anonymous e noto per aver hackerato la Westboro Baptist Church durante un’intervista in diretta, arrestato il 27 luglio 2011 e condannato nel marzo 2012.

Gli attacchi principali di LulzSec dimostrarono vulnerabilità di sicurezza aziendale su larga scala. Fox.com fu violato trapelando 73.000 dettagli di concorrenti di X Factor; PBS fu attaccato in rappresaglia per una copertura sfavorevole su “Frontline”; Sony Pictures Entertainment subì il furto di oltre 100.000 record utente; Bethesda Softworks perse 200.000+ record utente; i sistemi del Senato degli Stati Uniti furono compromessi; il sito web della CIA fu messo offline; e varie agenzie governative furono violate.

Cody Andrew Kretsinger (Recursion), 25 anni alla condanna, utilizzò SQL injection contro Sony Pictures (fine maggio-inizio giugno 2011), rubando nomi, indirizzi, numeri di telefono, email di decine di migliaia di clienti. Si dichiarò colpevole nell’aprile 2012 a cospirazione e compromissione non autorizzata di computer protetto, ricevendo 1 anno e 1 giorno di prigione federale più 1 anno di detenzione domiciliare più 1.000 ore di servizio comunitario più 605.663 dollari di restituzione nel 2013.

Anonymous rappresenta un fenomeno più complesso e duraturo. Originato nel 2003 sulla imageboard 4chan, Anonymous opera come collettivo decentralizzato e senza leader con filosofia di libertà internet, anti-censura e resistenza all’oppressione governativa. Le operazioni notevoli 2015-2025 includono Operation KKK (ottobre-novembre 2015) rivendicando di aver esposto circa 1.000 membri del KKK attraverso release su Pastebin; supporto alle proteste George Floyd del maggio-giugno 2020 minacciando il Dipartimento di Polizia di Minneapolis e trapelando documenti che esponevano corruzione poliziesca; e la “cyber guerra” dichiarata alla Russia nel febbraio 2022 dopo l’invasione dell’Ucraina, rivendicando responsabilità per attacchi su agenzie governative russe, media statali e società, disabilitando siti web e trapelando dati da entità russe.

L’evoluzione di Anonymous dal 2022 al 2025 rivela frammentazione significativa. L’aprile 2025 ha visto il rilascio di 10 terabyte di dati presumibilmente da insider politici russi e governo; Anonymous VNLBN ha attaccato sistemi governativi vietnamiti, mirando anche a Francia, Israele e Stati Uniti; The Anonymous 71 (Bangladesh) ha deturpato il sito web di una compagnia aerospaziale indiana; Anonymous Italia ha hackerato due siti web russi; la campagna #OpIsrael di giugno ha visto gruppi multipli (Mr Hamza, Arabian Ghosts, Sylhet Gang) mirare all’infrastruttura israeliana.

Lo status 2025 mostra Anonymous altamente frammentato in fazioni regionali (Anonymous VNLBN in Vietnam, The Anonymous 71 in Bangladesh, Anonymous Italia, ecc.) con operazioni più localizzate e simboliche piuttosto che attacchi su larga scala all’infrastruttura. Il movimento continua ma in formato di gruppo splinter decentralizzato, meno coordinato del picco 2010-2015.

L’hacktivismo sponsorizzato dagli stati: quando i governi indossano la maschera di Guy Fawkes

La trasformazione più preoccupante del 2022-2025 è la cooptazione dell’hacktivismo da parte di attori statali. La ricerca di Orange Cyberdefense che documenta NoName057(16), il gruppo pro-russo più attivo, ha tracciato oltre 6.600 target unici dall’agosto 2022 attraverso oltre 3.200 messaggi in 2 anni, con 42 paesi colpiti e il 96% in Europa. I target primari includevano Ucraina, Polonia, Repubblica Ceca, Lituania, Germania, Francia, Finlandia e Moldavia. Le motivazioni dichiarate erano rappresaglia per russofobia, supporto occidentale all’Ucraina e sanzioni. Le tattiche includevano attacchi DDoS su servizi essenziali (finanza, trasporto, istruzione, governo), interferenza elettorale mirando ai sistemi di voto in Francia, Regno Unito, Finlandia, Belgio e Austria, e attacchi innescati da eventi allineati con festività nazionali, conferenze internazionali e scandali politici.

La ricerca pubblicata nel 2025 utilizzando modellazione tematica di migliaia di messaggi da dozzine di gruppi e analisi stilometrica ha rivelato autorialità comune tra gruppi hacktivisti apparentemente indipendenti. Le connessioni confermate da ricercatori come EclecticIQ mostrano APT44 (il gruppo russo Sandworm identificato da Mandiant/Google Cloud nell’aprile 2024) che opera multiple persone (Cyber Army of Russia Reborn, Solntsepek, XakNet); ulteriori sospetti includono JustEvil e NoName057 che mostrano similarità stilistica; un cluster iraniano con gruppi che mirano all’Albania mostra coordinamento; i takeover di account rivelano improvvisi cambi di stile di scrittura indicando account acquistati/riutilizzati.

L’allineamento geopolitico è evidente: i gruppi pro-russi si allineano con le narrative del Cremlino, i gruppi pro-palestinesi spesso hanno legami iraniani, il sostegno statale consente “meno paura delle autorità e della persecuzione”, e i paesi NATO e UE sono target primari (96% degli attacchi) mentre gli Stati Uniti sono notevolmente assenti dai target hacktivisti russi (evitamento intenzionale).

Il caso di OpIsrael illustra la longevità e l’evoluzione delle campagne hacktiviste. Originata nel 2013 da Anonymous alla vigilia del Giorno della Memoria dell’Olocausto, OpIsrael diventa un evento annuale ogni 7 aprile. Nel 2019, oltre 120 siti web furono violati con backdoor installate. La rivitalizzazione 2023-2025 nel mezzo del conflitto di Gaza ha visto la Holy League coordinare DDoS, deturpamenti e data leak, con Arabian Ghosts, Mr Hamza e Sylhet Gang che coordinavano attacchi, oltre 50 gruppi hacktivisti taggati in chiamate coordinate, e target che includevano Israele, Stati Uniti e alleati del Regno Unito. OpJerusalem coincide con il Giorno di Al-Quds dell’Iran (28 marzo), rivelando connessioni geopolitiche più profonde.

L’evoluzione delle tattiche hacktiviste dal 2015 al 2025 mostra sofisticazione crescente. I metodi tradizionali 2015-2018 includevano deturpamenti di siti web, attacchi DDoS (scala più piccola), data leak e azioni simboliche. L’aumento della sofisticazione 2019-2022 ha introdotto attacchi alla supply chain, integrazione ransomware, targeting dell’infrastruttura critica e sistemi Operational Technology (OT). La guerra ibrida 2023-2025 presenta attacchi cognitivi (campagne di disinformazione, propaganda), operazioni di influenza (plasmare la percezione pubblica, minare la fiducia), estorsione multi-strato (minacce DDoS + data leak + danno reputazionale), collaborazione intensificata (il collettivo Five Families: Stormous, GhostSec, DragonForce, ecc.) e adozione del modello RaaS per sostenibilità finanziaria delle operazioni a lungo termine.

Differenze generazionali: dall’hacker nerd al cybercriminale-bambino

Il profilo dell’hacker ha subito un’inversione demografica drammatica. L’hacker storico (1960-2010) aveva tipicamente dai primi ai metà anni venti, possedeva conoscenza tecnica profonda e competenze di coding che richiedevano anni per svilupparsi. Le motivazioni erano curiosità e sfida intellettuale, risolvere puzzle tecnici, guadagnare diritti di vanteria, spingere i confini “per il brivido” e opporsi alla censura promuovendo la libertà. La cultura includeva piccole comunità underground, incontri e conferenze di persona, estetica del terminale verde-su-nero, leetspeak (l33t), immagine “cool-ma-immatura” e percorso di carriera non ufficiale: hacking → cybersecurity (se si evitavano guai legali). La struttura comunitaria enfatizzava mentorship da hacker esperti, sistemi basati sulla reputazione, alte barriere tecniche all’ingresso, canali IRC e forum privati, con componente offline importante.

L’hacker moderno (2020-2025) presenta caratteristiche radicalmente diverse. Demograficamente molto più giovane con il 61% che inizia prima dei 16 anni, i membri di Scattered Spider condussero i primi attacchi all’età di 15, 17, 17 e 18 anni. IntelBroker (Kai West) iniziò a 22 anni e fu arrestato a 25. La diversità geografica è globale, non più concentrata in regioni specifiche. Le motivazioni primarie sono ego, notorietà e riconoscimento tra pari secondo la National Crime Agency britannica, con il guadagno finanziario secondario (per amplificare l’infamia), dimostrare competenze alle comunità online, brivido di causare interruzione, senso di appartenenza, e meno comune l’impegno ideologico, l’etica o gli obiettivi a lungo termine.

I percorsi di apprendimento rivelano il cambiamento più significativo. Tutorial YouTube forniscono guide step-by-step; app mobile offrono app “Impara Ethical Hacking” con corsi gratuiti; piattaforme online come Udemy, Coursera e Great Learning forniscono accesso gratuito; competizioni CTF offrono sfide gamificate; laboratori virtuali come Hack The Box e TryHackMe forniscono ambienti pratici; e non è richiesta educazione formale essendo “a pochi click di distanza”.

Il paradosso del livello di competenza è sorprendente: gli hacker tradizionali pre-2015 richiedevano comprensione profonda di protocolli (TCP/IP, DNS, HTTP), expertise di programmazione (C, Python, Assembly), conoscenza di amministrazione di sistema, comprensione dell’architettura di rete e anni di pratica con alte barriere di competenza. Gli hacker moderni 2020-2025 utilizzano strumenti pronti all’uso con interfacce point-and-click, DDoS-for-hire senza conoscenza tecnica necessaria, exploit pre-scritti con attacchi copy-paste, scanner automatizzati con rilevamento di vulnerabilità potenziato dall’AI, educazione YouTube seguendo senza comprendere i fondamentali, producendo “grandi violazioni, esperienza zero” secondo Intercede e “danno di livello professionale” da amatori.

La differenza critica nel percorso etico emerge chiaramente. Il percorso positivo (hacker etici) inizia giovane con interesse ICT, motivazione a rendere i sistemi sicuri, visione del reporting delle vulnerabilità come dovere morale, role model da genitori/pari/membri della comunità, reazioni positive dai proprietari dei sistemi, riconoscimento che stimola lo sviluppo, programmi bug bounty che forniscono reddito legittimo, e transizione a carriere di cybersecurity secondo lo studio di Wiley Online Library.

Il percorso negativo (hacker black hat) inizia giovane senza guida etica, motivazione da ego/appartenenza/interruzione, pressione dei pari da comunità criminali, isolamento sociale o trauma, falsa percezione di anonimato, mancanza di consapevolezza delle conseguenze, glamourizzazione da media/cultura pop e incentivi finanziari dall’economia del cybercrime. La presenza o assenza di educazione etica e mentorship positiva durante il periodo di apprendimento formativo rappresenta il punto di biforcazione.

Implicazioni per i professionisti della cybersecurity

I dati presentati richiedono ripensamento delle strategie di difesa e prevenzione. Il Verizon DBIR 2025 documenta che l’elemento umano è coinvolto nel 60% dei breach, con l’abuso di account validi che rappresenta una porzione significativa degli incidenti, rendendo l’identity and access management prioritario. L’aumento del 34% nello sfruttamento delle vulnerabilità (ora 20% dei breach) con tempi di remediation ancora significativi dimostra l’urgenza di patch management migliorato. Il coinvolgimento di terze parti raddoppiato al 30% dal 15% del 2024 necessita di valutazioni rigorose della sicurezza della supply chain e monitoraggio continuo dei partner.

La professionalizzazione del cybercrime attraverso modelli Crime-as-a-Service richiede approcci di difesa stratificati. Gli attacchi di phishing che consegnano infostealer sono aumentati significativamente, con una porzione sostanziale dei sistemi compromessi identificati come dispositivi con licenza enterprise e molti login aziendali trovati su dispositivi non gestiti (BYOD/personali) secondo varie analisi del settore, richiedendo soluzioni endpoint protection complete che si estendono oltre il perimetro aziendale tradizionale. Il ransomware presente nel 44% di tutti i breach secondo Verizon DBIR 2025, con percentuali ancora più alte per le piccole-medie imprese, suggerisce che le PMI necessitano di supporto specializzato e soluzioni di sicurezza accessibili.

L’età decrescente degli attaccanti presenta sfide uniche. Con l’età media di arresto del cybercriminale a 19 anni versus 37 per tutti gli altri crimini secondo l’FBI (maggio 2024), e il 61% che inizia prima dei 16 anni secondo la UK National Crime Agency, le organizzazioni affrontano avversari che possiedono sofisticazione tecnica ma mancano di maturità giudiziale.

Questi giovani attaccanti sono più incauti, non comprendono completamente l’impatto, mirano a organizzazioni più grandi motivati dall’ego piuttosto che dalla valutazione del rischio razionale, e sono più propensi a essere catturati ma anche più propensi a rioffendere se non adeguatamente riabilitati. La ricerca mostra che solo una piccola percentuale degli hacker viene arrestata (stime dell’industria indicano 4-5%), creando percezione di impunità che incoraggia comportamento rischioso.

L’evoluzione dell’hacktivismo sponsorizzato dagli stati richiede intelligence delle minacce potenziata. I oltre 6.600 target unici documentati di NoName057(16) dall’agosto 2022 con il 96% in Europa (secondo Orange Cyberdefense), gli attacchi innescati da eventi allineati con festività nazionali e conferenze internazionali, e le connessioni confermate tra APT44/Sandworm e multiple persone hacktiviste dimostrano che le organizzazioni devono comprendere il contesto geopolitico del loro profilo di rischio. Le organizzazioni in settori strategici (finanza, trasporto, istruzione, governo) in paesi che supportano l’Ucraina o hanno posizioni su conflitti del Medio Oriente affrontano rischio elevato da collettivi hacktivisti che possono avere supporto statale.

Conclusioni: educare, rilevare, deflettere

La ricerca del decennio 2015-2025 rivela che il cybercrime giovanile non è principalmente problema tecnologico ma fenomeno socio-psicologico abilitato dalla tecnologia. Le barriere tecniche sono crollate mentre le barriere etiche non sono mai state costruite. Il professor Thomas J. Holt (oltre 14.300 citazioni accademiche, settembre 2025) e dozzine di ricercatori peer-reviewed confermano che multiple motivazioni coesistono (sfida intellettuale, guadagno finanziario, ideologia, brivido, riconoscimento), l’apprendimento sociale e l’influenza dei pari emergono consistentemente come predittori più forti, i percorsi giovanili differiscono dai pattern adulti con effetti di maturazione sulla motivazione, i black hat e gli hacktivisti mostrano profili motivazionali distinti nonostante metodi tecnici simili, e le teorie criminologiche tradizionali (RAT, autocontrollo, apprendimento sociale) si applicano ma richiedono modifiche per contesti cyber.

I fattori economici e strutturali correlano con i tassi di cybercrime, con disoccupazione e povertà che spingono alcuni giovani verso alternative criminali mentre altri con privilegio e accesso tecnologico si impegnano per ego e appartenenza. La cultura hacker opera come sottocultura funzionante con norme, gerarchie di status e condivisione di conoscenza, ma l’elemento etico che caratterizzava le generazioni precedenti è stato perso nella transizione da comunità underground esclusive a piattaforme mainstream accessibili. La migrazione da IRC e forum del dark web a Telegram e Discord ha democratizzato l’accesso ma anche eliminato processi di vetting e strutture di mentorship che precedentemente incorporavano l’etica insieme alle competenze tecniche.

Le raccomandazioni per i professionisti della cybersecurity e i responsabili politici emergono chiaramente dalla ricerca. L’intervento precoce è critico: la ricerca Europol identifica percorsi comuni (interesse → attività illegale di basso livello → escalation attraverso rinforzo positivo) che possono essere interrotti. L’educazione integrata che incorpora etica, consapevolezza legale e comprensione delle conseguenze nei materiali di apprendimento dell’hacking è essenziale. Le piattaforme di apprendimento etico (Hack The Box, TryHackMe, Coursera) dovrebbero integrare moduli etici obbligatori prima di consentire l’accesso a contenuti tecnici. I programmi bug bounty e percorsi di carriera legittimi nella cybersecurity dovrebbero essere ampiamente pubblicizzati ai giovani interessati alla tecnologia, fornendo alternative positive.

Il bisogno critico enfatizzato attraverso la ricerca è la prevenzione attraverso l’educazione, la comprensione dei percorsi nel cybercrime e il convogliamento delle competenze tecniche in attività legittime piuttosto che concentrarsi esclusivamente sulla deterrenza e la punizione. I casi di Marcus Hutchins e Kane Gamble dimostrano che i giovani offenditori possono transitare con successo a carriere “white hat”, ma richiede intervento precoce, sentenze clementi che permettano la riabilitazione e volontà dell’industria di assumere hacker riformati. Le organizzazioni affrontano la realtà che previsioni del settore indicano costi del cybercrime che potrebbero raggiungere trilioni di dollari annualmente, e questi costi non possono essere affrontati solo attraverso difese tecniche quando l’offerta di giovani attaccanti tecnicamente competenti ma eticamente non guidati continua ad espandersi.

La trasformazione finale del 2022-2025 – la cooptazione dell’hacktivismo da parte degli stati nazionali – presenta le sfide più complesse. Quando i governi mascherano operazioni di cyber warfare come movimenti hacktivisti grassroots, la distinzione tra protezione dell’infrastruttura critica e risposta agli atti di guerra statali si sfuma. Le organizzazioni devono sviluppare intelligence delle minacce che comprenda non solo capacità tecniche ma contesto geopolitico, motivazioni ideologiche e potenziale supporto statale dietro gli attaccanti apparentemente indipendenti. L’analisi stilometrica e la modellazione tematica condotte da ricercatori come EclecticIQ forniscono metodologie per identificare coordinamento nascosto, ma richiedono sofisticazione analitica oltre le capacità di sicurezza tradizionali.

Il decennio 2015-2025 ha testimoniato non semplicemente l’evoluzione del cybercrime ma la sua trasformazione in fenomeno che interseca psicologia dello sviluppo, sociologia, economia, geopolitica e tecnologia. I professionisti della cybersecurity devono espandere le loro prospettive oltre le difese tecniche per comprendere gli avversari umani – sempre più giovani, sempre più motivati da fattori non finanziari, sempre più abilitati da strumenti potenti senza comprensione proporzionale delle conseguenze.

La speranza risiede nei dati che mostrano che i percorsi nel cybercrime sono identificabili e interrompibili, che alternative legittime esistono e attraggono quando rese visibili, e che la riabilitazione è possibile quando le società scelgono l’educazione sulla punizione. La domanda per il prossimo decennio è se i professionisti della sicurezza, gli educatori e i responsabili politici costruiranno quei ponti prima che la prossima generazione di teenager con competenze di livello APT ma giudizio di livello adolescenziale trovi i forum di Telegram che trasformano la curiosità in crimine.

Bibliografia:

Hani, J., Nashaat, M., Ahmed, M., Emad, Z., Amer, E., & Mohammed, A. (2024). Psychological profiling of hackers via machine learning toward sustainable cybersecurity. Frontiers in Computer Science

Europol (2016, October). Youth Pathways into Cybercrime. White Paper

Romagna, M. (2023). Becoming a hacktivist: Examining the motivations and the processes that prompt an individual to engage in hacktivism. Information, Communication & Society.

S. Department of Justice (2022, April 5). Justice Department Investigation Leads to Shutdown of Largest Online Darknet Marketplace

S. Department of Justice (2025, September 18). United Kingdom National Charged in Connection with Multiple Cyber Attacks, Including on Critical Infrastructure

S. Department of Justice (2018, September 6). North Korea Responsible for WannaCry Ransomware Attack

New York State Department of Financial Services (2020). Twitter Investigation Report.

Cybersecurity and Infrastructure Security Agency (CISA) (2017, May 12). Indicators Associated With WannaCry Ransomware [Alert AA17-132A].

CISA (2023, November 16). Scattered Spider [Cybersecurity Advisory AA23-320a].

Verizon (2025). 2025 Data Breach Investigations Report.

Kaspersky (2024, December). Kaspersky Security Bulletin: The Cyber Surge – 467,000 Malicious Files Detected Daily in 2024

Kaspersky (2023, December). Year in Review: Cybercriminals Unleashed 411,000 Malicious Files Per Day in 2023

Orange Cyberdefense (2024, December). Security Navigator 2025. Analysis of NoName057(16) hacktivist activities.

EclecticIQ (2025, January-February). Sandworm APT Targets Ukrainian Users with Trojanized Microsoft KMS Activation Tools in Cyber Espionage Campaigns

Mandiant/Google Cloud (2024, April). Unearthing APT44: Russia’s Notorious Cyber Sabotage Unit Sandworm

McKeen, W. (2024, May). Presentation at RSA Conference San Francisco. FBI Supervisory Special Agent, quoted on cybercrime age demographics and trends.

EC-Council (n.d.). Certified Ethical Hacker (CEH) v13 Program.

United States District Court, Southern District of New York (2012, March 6). Criminal complaints and indictments against LulzSec members

Florida State Court (2021, March). State of Florida v. Graham Ivan Clark. Florida Youthful Offender Act proceedings.

Old Bailey, London (2018, April 20). Sentencing of Kane Gamble

Cybersecurity Ventures (2020, November). Cybercrime To Cost The World $10.5 Trillion Annually By 2025

Intercede (n.d.). The Rise of the Teen Hacker: Big Breaches, Zero Experience

SOCRadar (2025). Dark Web Profile: Scattered Spider. Cybercrime intelligence report.

Anonymous Collective (2015, November). Operation KKK and Operation ISIS communications via Pastebin and Twitter @Operation_KKK.

https://www.ictsecuritymagazine.com/notizie/giovani-hacker/

A report by Claroty analyzed the effect of economic uncertainty on security risks. The report found that nearly half (49%) of respondents report that supply chain changes caused by shifting global economic policies and geopolitical tensions around the world are creating increased cyber risk to CPS assets and processes. Forty-five percent are also concerned about their ability to reduce risk to key CPS assets, and in their overall understanding of their risk posture. Additionally, 67% said that they are reconsidering the geography of their supply chain to mitigate risks to CPS posed by economic and geopolitical uncertainties. 

A ripple effect of shifting supply chains is the escalation of risks associated with third-party remote access, as organizations re-evaluate their vendors and introduce new remote access tools into already complex and exposed CPS environments. Forty-six percent of respondents said they’ve been breached in the last 12 months because of third-party access and 54% report they’ve discovered security gaps or weaknesses in vendor contracts post-incident. As a result, 73% of respondents said they are re-evaluating third-party remote access to CPS operations. 

Although nearly 70% of respondents said their current CPS security programs adhere to cybersecurity standards, 76% said that emerging regulations — be it government, international or industry-specific — may require their organizations to overhaul their strategies, which could cause massive disruptions to operational efficiency. 

These findings highlight the importance of taking an impact-centric approach to risk reduction that focuses on regulatory outcomes and exposure management, with the top risk mitigation strategies being regular security audits (49%) and process improvements for providing change approvals (45%). This will enhance compliance efforts and uncover vulnerabilities particularly where there may be blind spots among third-party vendors. 

Read the report.

https://www.securitymagazine.com/articles/102000-economic-uncertainty-leads-to-additional-security-risks

A report by Cobalt found that while healthcare organizations have strong security incident protections, they often struggle with remediation after an incident. The report found that 13.3% of healthcare pentest findings qualify as “serious,” ranking 6th-best out of 13 industries. 

Healthcare resolved 57.4% of serious findings, ranking 11th of 13 industries. By comparison, transportation led with 80.2%. Additionally, Healthcare’s median time to resolve serious findings was 58 days, ranking 10th of 13 industries. Hospitality led with 20 days. Healthcare’s half-life, for serious findings was 244 days, ranking 11th of 13 industries, far behind transportation at 43 days. 

These results place healthcare in the “Struggling” quadrant of the comparative framework — an industry with relatively low prevalence of serious findings but consistently slow remediation. This lag leaves vulnerabilities exposed for months, increasing compliance risks and creating dangerous entry points for attackers. 

Despite lagging resolution speed overall, most healthcare organizations succeed in fixing the most critical issues on time. Nearly 40% of healthcare SLAs require serious findings in business-critical assets to be fixed within three days, and another 40% require resolution within four to 14 days. In practice, most organizations meet these deadlines: 

• 43% resolve critical findings in one to three days 
• 37% resolve within four to seven days 
• 14% resolve within eight to 14 days 

Healthcare leaders also cited generative AI (71%) and third-party software (68%) as their top risks, alongside concerns about data exposure, insider threats, and phishing. These concerns highlight the expanding complexity of healthcare’s risk surface, where genAI, software supply chain, and insider threats converge to challenge traditional security programs. 

Learn more about the report 

https://www.securitymagazine.com/articles/102001-healthcare-resolves-less-than-two-thirds-of-serious-security-findings

Nov 11, 2025 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

---

I ricercatori di Koi Security hanno segnalato il ritorno di GlassWorm, il primo worm che colpisce le estensioni di VS Code sul marketplace OpenVSX.

Il worm era stato individuato per la prima volta quasi tre settimane fa dalla compagnia in centinaia di pacchetti software open-source. Una volta installato sui sistemi, il malware si autoreplica in altri progetti modificando i file di configurazione delle estensioni. Il worm è particolarmente difficile da contrastare perché utilizza tecniche di offuscamento avanzate, infettando il codice senza essere individuato.

Per propagarsi nella supply chain, GlassWorm individua e raccoglie le credenziali NPM, Git e GitHub, usandole poi per compromettere altri pacchetti ed estensioni. Tra le capacità più significative del worm ci sono il deploy di server proxy SOCKS sulle macchine infettate e l’installazione di server VCN per l’accesso remoto ai dispositivi.

Il 21 ottobre, pochi giorni dopo la segnalazione, OpenVSX  aveva comunicato che la problematica era stata risolta; il 6 novembre, però, il team di Koi Security ha individuato una nuova ondata di infezioni del worm. Nel dettaglio, il malware è stato individuato in ai-driven-dev.ai-driven-dev, adhamu.history-in-sublime-merge e yasuyuky.transient-emacs. L’impatto stimato è di circa 10.000 infezioni aggiuntive.

I ricercatori di Koi Security sono riusciti a individuare un endpoint esposto sul server degli attaccanti ed esfiltrare dati dalla loro architettura. Dalle informazioni reperite è emerso che le vittime del worm sono diffuse in tutto il mondo; tra queste ci sono sia sviluppatori indipendenti che organizzazioni, compresa un’entità governativa del Medio Oriente.

“Non si tratta di vittime ipotetiche. Si tratta di organizzazioni reali e persone reali le cui credenziali sono state raccolte, i cui computer potrebbero essere utilizzati come infrastruttura proxy criminale e le cui reti interne potrebbero essere già state compromesse” avvertono i ricercatori.

Dai dati trovati nei server il team di Koi Security ha scoperto che gli attaccanti parlano il russo e che usano RedExt, un’estensione browser open-source per il framework C2. I ricercatori sono riusciti inoltre a entrare in possesso degli user ID di diverse piattaforme di messaggistica e di scambio di criptovalute degli attaccanti.

“GlassWorm è un esempio del perché la visibilità e la governance dell’intera catena di fornitura del software non sono più opzionali” sottolineano i ricercatori. “Quando il malware può essere letteralmente invisibile, quando i worm possono auto-propagarsi attraverso credenziali rubate, quando l’infrastruttura di attacco non può essere smantellata, gli strumenti di sicurezza tradizionali non sono sufficienti“.

---

---

---

https://www.securityinfo.it/2025/11/11/torna-glassworm-il-primo-worm-che-colpisce-le-estensioni-di-vs-code/?utm_source=rss&utm_medium=rss&utm_campaign=torna-glassworm-il-primo-worm-che-colpisce-le-estensioni-di-vs-code