A maggio del 2024 sono stati individuati 283 eventi cyber, in aumento del 148% rispetto al mese precedente. Gli incidenti con impatto confermato sono stati 45, contro i 27 segnalati in aprile.

I dati emergono dall’Operational Summary, nuova pubblicazione mensile dell’Agenzia per la Cybersicurezza Nazionale pubblicato ieri, che riporta numeri e indicatori utili per caratterizzare lo stato della minaccia cyber in Italia. Nel rapporto c’é anche una stima della tendenza nei prossimi tre mesi: ci si aspetta un calo degli eventi cyber a giugno e luglio ma un nuovo balzo in agosto. Si stima, invece, un calo degli incidenti con impatto confermato nei prossimi tre mesi.

Tornando agli ‘eventi cyber’, si legge che questi ultimi hanno avuto un impatto su 175 soggetti nazionali: 121 appartenenti alla constituency, ossia l’insieme dei soggetti nei confronti dei quali il Csirt Italia (articolazione tecnica dell’Acn che riceve le segnalazioni obbligatorie e volontarie) offre servizi di prevenzione, rilevamento, analisi e risposta al fine di prevenire e gestire gli eventi cibernetici.

Gli altri eventi cyber invece hanno riguardato cittadini e società private operanti in settori non critici. La pubblica amministrazione centrale è quella di gran lunga la più colpita da eventi cyber, si legge, seguita da trasporti, telecomunicazioni e settore tecnologico.

Al quinto posto c’è il settore dell’aerospazio seguito da quello dei servizi finanziari. Per quanto riguarda le rivendicazioni ransomware, ossia i tentativi di estorsione attraverso il blocco dei dispositivi di un soggetto attaccato, la pubblicazione dell’Agenzia per la Cybersicurezza nazionale afferma che dal monitoraggio di fonti aperte è emerso che a maggio l’Italia è risultato il nono paese al mondo per numero di rivendicazioni e il quarto nella Ue. In aprile l’Italia era al sesto posto al mondo nella non invidiabile classifica e il secondo nella Ue. I gruppi più attivi sono stati Blackbasta e Lockbit. Il grafico in Figura 13 mostra il numero di rivendicazioni ransomware per Paese (top 10).

Per approfondire scarica il report di ACN

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/acn-a-maggio-del-2024-eventi-cyber-in-aumento-del-148-rispetto-al-mese-precedente/496129/

La videointervista a Salvatore Gesuele, AD di NETGROUP, in occasione del “NEXT Corporate Summer Party”, in cui abbiamo presentato il nostro Gruppo editoriale, composto dalle tre testate Key4biz, Cybersecurity Italia, EnergiaItaliaNews, e i nostri prossimi eventi. L’evento si è tenuto presso Casina Valadier a Roma, il punto più alto e panoramico del Pincio, il 26 giugno 2024.

Leggi le altre notizie sull’home page di Key4biz

https://www.key4biz.it/salvatore-gesuele-netgroup-con-nostro-osservatorio-monitoriamo-in-tempo-reale-minacce-cyber/495727/

A causa di un cyberattacco ransomware, i principali ospedali londinesi sono stati indotti a cancellare – rimandandoli – alcuni interventi chirurgici. L’attacco informatico contro il fornitore di servizi strategici Synnovis (società che si occupa di analisi di laboratorio) ha impattato, tra gli altri, sul King’s College Hospital NHS (in una nota pubblicata online circoscrive l’accaduto) e sul Guy’s and St Thomas NHS Foundation Trust (attraverso un comunicato rende noto quanto è avvenuto). “Posso confermare che il nostro partner ha subìto un grave cyberattacco, che è ancora in corso”, il commento laconico di Ian Abbs, Ceo di “Guy’s e St Thomas”. I responsabili – scrive la Bbc – non sono stati al momento individuati.

Impatto sulla fornitura dei servizi ospedalieri

In tema di cybersecurity, l’attacco informatico agli ospedali londinesi ha avuto un “rilevante impatto” sulla fornitura dei servizi erogati, soprattutto per quanto riguarda le trasfusioni di sangue. Alcune attività sono state riprogrammate. E, il condizionale è d’obbligo, potrebbero occorrere settimane per accedere ai risultati delle analisi di laboratorio affidate a Synnovis. Impatto notevole anche sui referti degli esami clinici.

Entrando più nel dettaglio, il portale Health Service Journal (HSJ) riferisce che il sistema informatico è stato vittima di un attacco ransomware. La stessa tipologia malevola che, nei mesi scorsi, aveva colpito la British Library provocando danni per 8 milioni di euro. In quel caso i computer sono andati in tilt dopo il cyberattacco condotto dal gruppo Rhysida – tra i responsabili anche di una serie di campagne malevole contro istituzioni governative in Portogallo, Cile e Kuwait nonché di operazioni di Ransomware-as-a-service (RaaS) – che ha “infettato” i sistemi dell’enorme biblioteca della capitale britannica.

Sanità sotto scacco dei criminali informatici

Restando in Italia, tra i casi recenti c’è l’attacco ransomware ai sistemi sanitari della Basilicata, che ha causato la pubblicazione sul dark web di una serie di dati personali. Sul tema, a febbraio, l’Aoui di Verona ha inviato un sms agli utenti colpiti dal cyberattacco del 22 ottobre 2023.

E ancora, il cyberattacco a Synlab Italia, compiuto dal ransomware Black Basta, che ha esfiltrato 1,5 terabyte di dati sensibili. Nell’occasione sono stati colpiti i sistemi informatici del network nazionale impegnato nella diagnostica medica, e che – come nel caso di Londra – si è dovuto confrontare con le impattanti interruzioni di alcuni suoi servizi (dai prelievi alle visite al ritiro dei referti degli esami di laboratorio).

https://www.key4biz.it/cybersecurity-ospedali-londinesi-nel-mirino-dei-criminali-informatici-interventi-annullati-e-pazienti-trasferiti/493224/

Oltre a non aver disciplinato in dettaglio il processo di digital forensics ma avendo scelto, come visto, di lasciare libero ingresso nell’ordinamento alle c.d. best practices, il legislatore non si è nemmeno preoccupato di fare riferimento a conseguenze specifiche in caso di violazione delle medesime durante il trattamento del reperto informatico.

Infatti mancano, tra le novità apportate dalla legge del 2008, delle previsioni specifiche concernenti le conseguenze in caso di violazione delle misure tecniche cui il codice fa riferimento al fine di garantire la protezione e l’integrità delle digital evidence. Norme peraltro non rinvenibili nemmeno all’interno di interventi legislativi successivi.

Di conseguenza la dottrina, sin dal primo momento, si è posta il problema della validità processuale delle evidenze digitali trattate in violazione delle best practices comunemente accettate dalla comunità di settore. Nello specifico ci si è domandati quale potesse essere la sanzione da applicare nei confronti di elementi probatori ottenuti mediante “malpractices”.

Un primo filone di pensiero ipotizza, al riguardo, la sanzione giuridica della nullità a norma dell’art. 178, lett. c) c.p.p.^[1] in quanto l’impiego di evidenze estratte o conservate in difformità rispetto ai canoni standardizzati dalle “migliori procedure” arrecherebbe un grave pregiudizio alle garanzie difensive del soggetto sottoposto a processo.

Secondo una visione più “morbida”, in questi casi non andrebbero automaticamente applicate delle sanzioni processuali ma il giudizio sulla validità della prova informatica andrebbe lasciato all’apprezzamento dell’organo giudicante, in sede di valutazione della prova ex art. 192 c.p.p.^[2] Posizione nei confronti della quale è stata mossa la netta opposizione per cui, in caso di malpractices, il libero convincimento del giudice verrebbe influenzato da una raccolta probatoria eseguita non correttamente e che, dunque, sottoporrebbe al suo vaglio decisionale degli elementi probatori erronei^[3].

Un’ultima prospettiva dottrinale ha ravvisato nell’inutilizzabilità processuale ex art. 191 c.p.p. la sanzione maggiormente adeguata, giacché le modifiche apportate con l. 48/2008 non andrebbero considerate «mere indicazioni operative prive di alcuna sanzione, ma veri e propri divieti impliciti presidiati dalla sanzione dell’inutilizzabilità»^[4].

Di tutt’altro avviso la giurisprudenza, dove si è registrata una tendenza favorevole al riconoscimento della piena validità e utilizzabilità, “fino a prova contraria”, del dato informatico seppure ricavato con procedure che non collimano con quelle enunciate dagli standard internazionali.

Per chiarire meglio, secondo la giurisprudenza prevalente i dati acquisiti e conservati con l’utilizzo di metodologie non indicate in protocolli riconosciuti possono comunque avere una piena validità processuale, fintanto che non siano portati all’attenzione del giudice elementi idonei a dimostrare come dette procedure abbiano compromesso in qualche modo l’integrità della prova informatica. In buona sostanza, l’unico modo per inficiare il valore probatorio delle evidenze digitali sarebbe provare che le attività degli inquirenti, per come svoltesi, abbiano concretamente potuto alterare la genuinità del reperto digitale. Ovviamente, in questa visione prospettica, il compito di scovare eventuali falle nell’operato degli inquirenti spetterebbe alla difesa, la quale fisiologicamente interviene (quasi sempre) a operazioni già concluse.

Per la giurisprudenza, dunque, almeno in linea teorica, non sono gli organi inquirenti a dover dimostrare di aver agito correttamente seppure senza aver seguito le prassi indicate dalle best practices, bensì, mediante una sorta di inversione dell’onere della prova, spetta all’imputato, ex post, il compito di far emergere eventuali errori nell’operato dell’accusa, oppure direttamente al giudice medesimo in fase di valutazione della prova. Tali errori, peraltro, devono “concretamente” aver inciso negativamente sull’evidenza informatica, dovendosi palesare il rischio di una sua avvenuta adulterazione.

In tal senso appaiono emblematiche le pronunce relative alla vicenda processuale del noto caso Vierika, con riguardo sia al primo grado^[5] che al relativo appello^[6]: entrambe antecedenti (anche se di soli pochi giorni per la sentenza di appello) all’effettiva entrata in vigore della legge n. 48/2008 ma contenenti soluzioni giuridiche che hanno segnato un punto di riferimento per la giurisprudenza successiva.

Il caso in esame verteva sulle modalità con cui era stata condotta l’estrazione di dati informatici dai supporti interessati dall’indagine, in un procedimento penale concernente un’ipotesi di accesso abusivo a sistema informatico o telematico ex art. 615 ter c.p. e per danneggiamento di sistema informatico o telematico ex art. 615 quinquies c.p., mediante l’utilizzo di un virus informatico che sarebbe stato creato dall’imputato e denominato per l’appunto “Vierika”.

L’acquisizione dei dati era stata effettuata mediante estrazione di copia degli stessi, direttamente sul luogo ove i supporti erano ubicati, ad opera del soggetto indagato, sotto la sorveglianza degli operanti di polizia giudiziaria che avevano accordato tale modalità assecondando la richiesta dell’indagato.

È proprio sulla peculiarità di tale modalità procedurale che si fondavano le tesi difensive. Per la difesa, infatti, questa modalità non sarebbe stata tale da garantire la genuinità delle informazioni copiate e portate in dibattimento per sostenere gli assunti dell’accusa, trattandosi di una procedura connotata da spiccata singolarità, tale da lasciare dubbi sull’integrità dei dati acquisiti e svolta in assenza di un reale contraddittorio con gli esponenti della difesa. Veniva pertanto richiesto l’espletamento di ulteriori accertamenti peritali; richiesta disattesa dal giudice, che valutava il materiale probatorio così reperito come attendibile e pienamente utilizzabile.

In particolare, usando le parole della sentenza «non è compito di questo Tribunale determinare un protocollo relativo alle procedure informatiche forensi, ma semmai verificare se il metodo utilizzato dalla p.g. nel caso in esame abbia concretamente alterato alcuni dei dati ricercati».

Altrettanto significativo il passaggio in cui il magistrato, riferendosi alle affermazioni della difesa circa l’esistenza di procedure migliori rispetto a quelle adottate, chiariva che «non è permesso al Tribunale escludere a priori i risultati di una tecnica informatica utilizzata a fini forensi solo perché alcune fonti ritengono ve ne siano di più scientificamente corrette, in assenza della allegazione di fatti che suggeriscano che si possa essere astrattamente verificata nel caso concreto una qualsiasi forma di alterazione dei dati e senza che venga indicata la fase delle procedure durante la quale si ritiene essere avvenuta la possibile alterazione».

In estrema sintesi, stando alla pronuncia, in assenza della prova che i dati repertati abbiano subito effettivamente delle alterazioni i medesimi sono pienamente utilizzabili e devono essere lasciati alla valutazione del giudice, anche qualora il metodo di acquisizione adottato non sia stato tra i migliori.

In termini più generali, quindi, il materiale probatorio raccolto dagli inquirenti è da considerarsi valido anche in caso di discostamento dalle best practices, a meno che, in qualche modo, non si riesca a dimostrarne l’adulterazione. Ciò poiché il giudice è esclusivamente tenuto a verificare che durante l’acquisizione non si siano prodotte alterazioni, non dovendo invece sindacare sulla procedura materialmente adottata. Ragionamento che, per estensione, potrebbe essere applicato a tutte le fasi del processo di digital forensics.

La tesi accolta nel primo grado di giudizio veniva sostanzialmente accolta anche nel relativo appello, attivato su ricorso presentato dalla difesa, ove il collegio, oltre a rigettare la richiesta di nuova perizia e a pronunciarsi in senso favorevole alla corretta formazione del contraddittorio giacché «con l’accordo delle parti, sono state acquisite ex art. 493, c.3, c.p.p., e dichiarate utilizzabili per la decisione le annotazioni di polizia giudiziaria», ribadiva che «non è compito del giudicante determinare una sorta di protocollo delle procedure informatiche forensi, ma solo verificare se nella fattispecie l’acquisizione probatoria sia fidefaciente, o se abbia subito alterazioni».

Come anticipato, l’interpretazione fornita dalle pronunce relative al caso Vierika ha rappresentato un punto di riferimento anche per la giurisprudenza successiva.

Vista con sguardo critico tale posizione lascerebbe trasparire la non necessità, nello svolgimento delle varie fasi della digital forensics, di attenersi forzatamente alle pratiche migliori tracciate dagli standard internazionalmente riconosciuti, così riducendo la rilevanza delle best practices all’interno dell’ordinamento nazionale. Per altri versi, invece (come già paventato da parte della dottrina^[7]), si rischierebbe di far penetrare all’interno del giudizio degli elementi di prova che potrebbero essere frutto di una raccolta erronea, difficilmente verificabile e di conseguenza tale da poter influenzare il convincimento del giudice, anche in considerazione delle conoscenze tecniche, spesso aliene alle competenze di figure esterne al settore digitale, che servono per poter valutare il corretto svolgimento di procedure informatiche.

Note

^[1] A. VITALE, “La nuova disciplina delle ispezioni e delle perquisizioni in ambiente informatico o telematico”, in Dir. Internet, 2008, p. 509, come citato in F. CAJANI, “Il vaglio dibattimentale della digital evidence”, in Archivio Penale, settembre-dicembre 2013, fasc. 3, anno LXV, pp. 838 e 839, dove l’autore osserva che la sanzione della nullità in una simile situazione sarebbe stata già propugnata prima dell’entrata in vigore della legge n. 48 del 2008 dal Tribunale di Vigevano in merito al caso Garlasco.

^[2] Si vedano M. DANIELE, op. cit., pp. 288 nonché ss., F. CAJANI, op. cit. e G. BRAGHÒ, “L’ispezione e la perquisizione di dati, informazioni e programmi informatici”, in L. LUPARIA, op. cit., p. 190, come citati in A. COLAIOCCO, op. cit., p. 3.

^[3] Si vedano L. MARAFIOTI, op. cit., p. 4517 nonché E. LORENZETTO, “Le attività urgenti di investigazione informatica e telematica”, in L. LUPARIA, op. cit., p. 162, come citati in A. COLAIOCCO, op. cit., p. 3.

^[4] M. PITTIRUTI, op. cit., p. 159 come citato in A. COLAIOCCO, op. cit., p. 4.

^[5] Tribunale di Bologna, Sent. n. 1823 del 22 dicembre 2005.

^[6] Corte di Appello di Bologna, Sent. n. 369 del 27 marzo 2008.

^[7] Si vedano L. MARAFIOTI, op. cit., p. 4517 e E. LORENZETTO, op. cit., p. 162, come citati in A. COLAIOCCO, op. cit., p. 3.

Articolo a cura di Francesco Lazzini

Profilo Autore

Laureato in giurisprudenza con successivo conseguimento dei master in Scienze Forensi (Criminologia-Investigazione-Security-Intelligence) e in Informatica giuridica, nuove tecnologie e diritto dell’informatica. Attività di studio postuniversitario focalizzata in materia di indagini con l’utilizzo del captatore informatico e digital forensics.

https://www.ictsecuritymagazine.com/articoli/conseguenze-in-caso-di-violazione-delle-best-practices-la-sentenza-vierika/

“Spegnere lo smartphone almeno una volta a settimana limita i pericoli informatici, in particolare quelli legati alle vulnerabilità zero-day”.

Da qualche giorno sui principali quotidiani italiani è rimbalzata questa notizia, presa dalle linee guida rilasciate dalla National Security Agency (NSA) degli Stati Uniti su come migliorare la sicurezza informatica dei propri smartphone.

I consigli della Nsa, l’agenzia che mise in piedi il gigantesco di intercettazioni su scala globale denunciate da Edward Snowden, sono contenuti nel report Mobile Devices Best Pratices (ovvero le migliori buone abitudini per i dispositivi mobile) pubblicato negli scorsi giorni, che mira a limitare quanto più possibile l’esposizione a pericoli e minacce informatiche.

Tra questi ci sono malware e spyware che si possono installare involontariamente se si utilizzano software di dubbia provenienza o si visitano siti non affidabili. In primo piano, però, ci sono gli exploit zero-day, ovvero le vulnerabilità ancora sconosciute ai produttori del dispositivo o agli sviluppatori del software, ma ben noti ai cybercriminali, che possono dunque averli già utilizzati lasciando “zero giorni” per creare aggiornamenti di sicurezza.

Ed è proprio in questo caso che lo spegnimento settimanale (entro almeno 168 ore di uso ininterrotto) è davvero la soluzione definitiva?

Come si può facilmente notare dall’immagine sopra, l’azione di accendere o spegnere il proprio smartphone una volta a settimana è un suggerimento utile per prevenire, ogni tanto, due delle sedici minacce individuate come tipiche per gli smartphone. Infatti l’azione dal grafico sotto è indicata come Sometimes Prevents.

Le indicazioni della National Security Agency

Qui di seguito troviamo tutte le indicazioni che l’NSA ha rilasciato per

• Aggiornare le proprie app
• Usare solo app dagli store ufficiali
• Non cliccare su link sospetti
• Accedere ai Wi-Fi pubblici solo con una VPN
• Togliere il Bluetooth quando non si usano dispositivi associati
• Usare delle password sicure
• Togliere la geolocalizzazione quando non ci serve
• Usare accessori originali o comunque certificati
• Scegliere come metodo di sblocco i fattori biometrici, dal riconoscimento facciale alle impronte digitali.
• Non cliccare sui pop up che compaiono sullo schermo
• Infine come ultima azione, spegnere il cellulare una volta a settimana

Molto più importanti sono suggerimenti come evitare di avere conversazioni riservate vicini al proprio dispositivo, oppure quando si sottolinea l’importanza di spegnere le connessioni WiFi e bluetooth quando non servono.

Quindi riavviare il proprio smartphone una volta a settimana non serve anzi, alcuni malware se installati all’interno di un device per poter essere attivati hanno necessità il dispositivo venga riavviato. La sicurezza informatica è roba seria.

https://www.key4biz.it/no-spegnere-il-cellulare-una-volta-a-settimana-non-migliora-la-sicurezza/493192/

Gli utenti di WhatsApp potrebbero essere esposti alla sorveglianza dei governi. Non è una fake news né tantomeno una supposizione dato che la notizia arriva direttamente dal team di sicurezza interno dell’app di messaggistica più utilizzata al mondo.

Secondo quanto riportato da The Intercept, lo scorso marzo il team di Meta avrebbe lanciato un avvertimento interno: “Una vulnerabilità della crittografia potrebbe essere sfruttata per carpire informazioni molto sensibili. Come chi comunica e con chi, l’appartenenza a gruppi privati, chi sta effettuando chiamate e a chi e forse anche la posizione. I contenuti dei messaggi scambiati sarebbero quindi sempre al sicuro, ma certe informazioni potrebbero essere ancora più preziose e utilizzate anche per prendere di mira una minoranza o una comunità o un gruppo di individui”.

A marzo, il team di sicurezza di WhatsApp ha emesso un avvertimento interno ai loro colleghi: nonostante la potente crittografia del software, gli utenti restano vulnerabili a una pericolosa forma di sorveglianza governativa. Secondo la valutazione delle minacce, ottenuta in precedenza da The Intercept, il contenuto delle conversazioni tra i 2 miliardi di utenti dell’app rimane sicuro. Tuttavia, gli enti governativi, hanno scritto gli ingegneri, stanno cercando di “aggirare la nostra crittografia” per scoprire quali utenti comunicano tra loro, l’appartenenza a gruppi privati e forse persino le loro posizioni.

La falla sfruttata dalle agenzie e il ruolo di Israele

La vulnerabilità si basa su una tecnica di monitoraggio della rete chiamata “analisi del traffico”, che esiste da decenni, e si basa sulla sorveglianza del traffico Internet su vasta scala nazionale. Il documento chiarisce che WhatsApp non è l’unica piattaforma di messaggistica a rischio. Ma sostiene che il proprietario di WhatsApp, Meta, deve decidere rapidamente se dare priorità alla funzionalità della sua app di chat o alla sicurezza di un piccolo ma vulnerabile segmento dei suoi utenti.

“WhatsApp dovrebbe mitigare lo sfruttamento in corso delle vulnerabilità dell’analisi del traffico che permettono agli stati nazionali di determinare chi sta parlando con chi”, ha sottolineato la valutazione. “I nostri utenti a rischio hanno bisogno di protezioni robuste e valide contro l’analisi del traffico”.

In un contesto di guerra in corso a Gaza, l’avvertimento delle minacce ha sollevato una preoccupazione inquietante tra alcuni dipendenti di Meta. Il personale di WhatsApp ha ipotizzato che Israele potrebbe sfruttare questa vulnerabilità come parte del suo programma di sorveglianza dei palestinesi in un momento in cui la sorveglianza digitale sta aiutando a decidere chi uccidere in tutta la Striscia di Gaza, hanno riferito quattro dipendenti a The Intercept.

L’utilizzo dell’analisi del traffico tuttavia non è utilizzata solo da Israele, ma anche da paesi di tutto il mondo. A rilevarlo il New York Times e Amnesty International nei rispettivi rapporti. E non solo WhatsApp, ma anche altri sistemi di messaggistica istantanea. Nel caso dell’app di Mark Zuckerberg, i dipendenti hanno diverse richieste, tra cui il termine della censura delle parole dei dipendenti internamente. Tuttavia Andy Stone, portavoce di Meta, ha additato come le discussioni sulla guerra sul posto di lavoro è soggetta alle regole generali di condotta sul posto di lavoro.

A Meta conoscerebbero questa vulnerabilità già dallo scorso anno. Benché l’azienda garantisca di fare tutto il possibile per tenersi aggiornata e risolvere tempestivamente le vulnerabilità, niente sarebbe stato fatto per chiudere questa falla. Gli ingegneri di WhatsApp sarebbero anche disposti a rendere più sicura l’app, ma la parte più difficile non è lo sviluppo delle soluzioni, ma convincere i vertici ad implementarle. Anche perché certe modifiche andrebbero a compromettere alcune delle funzioni per cui WhatsApp è tra le più utilizzate al mondo ed è difficile individuare un compromesso tra prestazioni e protezione della privacy. In particolare, le fonti riferiscono che il tempo che intercorre tra l’invio di un messaggio e la ricezione, potrebbe tramite i metadati far risalire alla geolocalizzazione dei due (o più) soggetti. Eliminare un problema simile potrebbe avere come soluzione l’arrivo posticipato dei messaggi, ma ne risentirebbero 2 miliardi di persone, con conseguenze sugli introiti dell’azienda quotata in Borsa. Allo stesso modo, far confluire dati fittizi potrebbe disorientare i tentativi di sorveglianza di terzi, ma potrebbe avere conseguenze sugli utenti come un maggior drenaggio della batteria.

“I servizi di messaggistica di oggi non sono stati progettati per nascondere questi metadati a un avversario che può vedere tutti i lati della connessione” ha affermato a The Intercept il Professore di crittografia della Università John Hopkins, Matthew Green. “Proteggere i contenuti è solo metà dell’opera. Con chi comunichi e quando è l’altra metà”.

Le forze di polizia europee unite contro i messaggini crittografati

Recentemente Europol e le forze di polizia nazionali di tutta l’Unione europea si sono schierate contro la crittografia end-to-end, presente in molte piattaforme di messaggistica, perché temono che le ampie protezioni della privacy consentano ai criminali di operare liberamente.

In una dichiarazione congiunta diffusa lo scorso 21 aprile, dopo una riunione tenutasi a Londra il 18 aprile scorso alla quale erano invitati i capi di tutte le forze di polizia dell’Ue, hanno criticato le severe misure di privacy che aziende tecnologiche come Meta stanno implementando per i loro servizi di messaggistica. La crittografia end-to-end, in sostanza impedisce a chiunque sia esterno alla conversazione di leggere i testi, piattaforme comprese.

“Le misure sulla privacy attualmente in fase di implementazione, come la crittografia end-to-end, impediranno alle aziende tecnologiche di vedere qualsiasi reato che si verifica sulle loro piattaforme – affermano i capi delle polizie europee -. Inoltre, impediranno alle forze dell’ordine di ottenere e utilizzare queste prove nelle indagini per prevenire e perseguire i reati più gravi, come gli abusi sessuali sui minori, il traffico di esseri umani, il contrabbando di droga, gli omicidi, la criminalità economica e i reati di terrorismo”.

“Non saremo più in grado di garantire la sicurezza pubblica”, affermano allarmati. “Mai prima d’ora le nostre società hanno tollerato spazi che sfuggono alle forze dell’ordine, permettendo ai criminali di comunicare in sicurezza e agli abusi sui minori di prosperare”, aggiunge la nota.

Secondo Europol e le altre forze di polizia “le aziende tecnologiche hanno la responsabilità sociale di sviluppare un ambiente più sicuro in cui le forze dell’ordine e la giustizia possano svolgere il loro lavoro“.

Catherine De Bolle, direttore esecutivo di Europol, ha spiegato in una nota che “le nostre case stanno diventando più pericolose delle nostre strade, poiché il crimine si sta spostando online. Per mantenere la nostra società e le persone al sicuro, abbiamo bisogno che questo ambiente digitale sia protetto”. Secondo la poliziotta belga “le aziende tecnologiche hanno la responsabilità sociale di sviluppare un ambiente più sicuro in cui le forze dell’ordine e la giustizia possano svolgere il loro lavoro. Se la polizia perde la capacità di raccogliere prove, la nostra società non sarà in grado di proteggere le persone dal diventare vittime di reati“.

https://www.key4biz.it/whatsapp-il-team-di-sicurezza-di-meta-scopre-vulnerabilita-la-falla-sfruttata-dai-governi-per-spiare-gli-utenti/491813/

L’intervento che Emmanuel Kessler, Head of Prevention & Outreach at EC3, Cybercrime Centre, EUROPOL ha tenuto durante la 12a edizione della Cyber Crime Conference ha descritto varie operazioni condotte dalle Forze dell’Ordine a contrasto di gruppi ransomware e organizzazioni cybercriminali, trattando argomenti come la formazione di task force congiunte, partnership con aziende private, sviluppo di strumenti di decrittazione, smantellamento di infrastrutture criminali, sequestro di criptovalute e arresti effettuati durante queste operazioni. Le attività di contrasto portate avanti da Europol hanno preso di mira gruppi ransomware importanti come REvil, Hive e LockBit, capaci di creare danni finanziari significativi in più paesi. Il relatore ha inoltre messo in evidenza la crescente sofisticazione delle minacce informatiche e la necessità di approcci innovativi, quadri normativi e cooperazione internazionale per combattere efficacemente questo tipo di realtà.

Guarda il video completo dell’intervento:

Centro Europeo per la Lotta contro il Cybercrime (EC3) di Europol

Dal suo istituto nel 2013, il Centro Europeo per la Lotta contro il Crimine Informatico (EC3) ha svolto un ruolo cruciale nella lotta al crimine informatico. Ora vede oltre 100 dipendenti che si occupano di cyber intelligence, operations e supporto alle operazioni, threat assessment e funge da hub centrale contro i crimini transfrontalieri supportando le operazioni degli Stati Membri con analisi, coordinamento e competenze tecniche e offrendo supporto forense e di analisi della cryptocurrencies. Inoltre, facilita la collaborazione tra le Forze dell’Ordine e le Istituzioni UE, contribuisce alla formazione e alla sensibilizzazione e promuove l’interazione con il settore privato e l’accademia.

Un importante contributo è il progetto “No More Ransom” (NMR) che nasce da un’iniziativa congiunta che include il Centro Europeo per la Lotta al Crimine Informatico di Europol, dell’Unità Nazionale per i Crimini Tecnologici della Polizia olandese e di McAfee, creata per aiutare le vittime di ransomware. Lanciata nel luglio 2016, questa risorsa gratuita ha assistito oltre 6 milioni di persone e vede la partecipazione di più di 190 partner tra Forze dell’Ordine, settore privato e mondo accademico. Le risorse sono disponibili in 38 lingue diverse e comprendono più di 140 strumenti capaci di decrittare oltre 170 tipi di ransomware, offrendo così una terza nuova opzione alle vittime di ransomware che non sono più costrette a pagare il riscatto o a perdere i loro file.

Un lavoro fondamentale viene svolto anche dall’International Ransomware Response Model (IRRM), un nuovo modello di intervento internazionale per affrontare le minacce di ransomware sviluppato attraverso l’esperienza accumulata in centinaia di indagini su casi di alto profilo dal 2013 da parte dall’European Cybercrime Centre (EC3) e dal Joint Cybercrime Action Taskforce (J-CAT). Il modello è costruito analizzando la struttura di attacco del ransomware, identificando diverse strategie investigative e implementando le misure di risposta necessarie per contrastarlo efficacemente.

Le Grandi Operazioni Anti-Ransomware: Successi, Sfide e Strategie Future

Emmanuel Kessler ha presentato alcune delle operazioni più rilevanti nel contrasto ai gruppi ransomware e alle attività cybercriminali. Ha discusso dell’Operazione Dawnbreaker contro il gruppo Hive, l’Operazione Parker rivolta al ransomware DoppelPaymer e l’Operazione Chipmixer, che ha visto lo smantellamento di un servizio di riciclaggio di criptovalute. Ha poi illustrato l’Operazione Qakbot, che ha neutralizzato un botnet impiegato in attacchi ransomware e le operazioni di contrasto ai gruppi ransomware Ragnar Locker (Operazione Talpa) e 5th Element. Il relatore ha inoltre evidenziato l’Operazione Cronos promossa nei confronti di LockBit come un significativo successo contro uno dei gruppi di ransomware-as-a-service più dannosi, che ha portato ad arresti, smantellamento di infrastrutture e confische di criptovalute. La presentazione ha enfatizzato l’elevata professionalità dei cybercriminali, la necessità di cooperazione internazionale, l’importanza dei quadri giuridici, delle adeguate competenze tecniche e di integrare l’innovazione negli sforzi delle Forze dell’Ordine al fine di fornire la giusta risposta al fenomeno ransomware e alla criminalità informatica.

Operazione Dawnbreaker: ha preso di mira il gruppo ransomware Hive, attivo dal 2018, che negli anni aveva colpito grandi multinazionali del settore IT e petrolifero, infrastrutture critiche, governi e aziende di telecomunicazioni. L’operazione ha portato allo smantellamento dell’infrastruttura Hive, alla fornitura delle chiavi di decrittazione alle vittime e a risparmiare ingenti somme legate ai pagamenti di riscatto stimate in 120 milioni di euro.

Operazione Parker: la Polizia Regionale Tedesca (Landeskriminalamt Nordrhein-Westfalen) e la Polizia Nazionale Ucraina, con il supporto di Europol, della Polizia Olandese e dell’FBI, hanno colpito i membri chiave del gruppo criminale responsabile di attacchi su larga scala per mezzo del ransomware DoppelPaymer. Emerso nel 2019 e derivato dal BitPaymer e dalla famiglia di malware Dridex, è stato distribuito tramite email di phishing/spam, il gruppo criminale ha inoltre adottato uno schema di doppia estorsione inaugurando nel 2020 un sito per la fuga di informazioni. Le autorità tedesche hanno identificato 37 vittime aziendali, tra cui l’Università di Düsseldorf. Negli USA, le vittime hanno pagato almeno 40 milioni di euro tra il 2019 e il 2021. Durante le operazioni, sono stati effettuati raid e sequestri in Germania e Ucraina, con Europol che ha fornito supporto nelle operazioni e nelle analisi forensi.

Operazione Atlas: le autorità tedesche e statunitensi, con il supporto di Europol, hanno colpito ChipMixer, un mixer di criptovalute famoso nel mondo cybercriminale come la più grande piattaforma di riciclaggio di denaro nel dark web. L’indagine, supportata anche da Belgio, Polonia e Svizzera, ha portato il 15 marzo al sequestro dell’infrastruttura di ChipMixer, di quattro server, circa 1909.4 Bitcoin in 55 transazioni (valore approssimativo di 44,2 milioni di EUR) e 7 TB di dati. ChipMixer, operativo dal 2017, offriva anonimato completo ai suoi clienti trasformando i fondi in token chiamati “chip” che venivano poi mescolati tra loro per nascondere l’origine dei capitali. Si stima che la piattaforma abbia facilitato il riciclaggio di 152.000 Bitcoin – circa 2,73 miliardi di EUR – provenienti da attività illecite come traffico di droga, armi, ransomware e frodi con carte di pagamento.

Operazione EndGame: l’infrastruttura della botnet Qakbot è stata smantellata grazie a un’operazione internazionale coordinata da Europol, con il supporto di Eurojust. Il malware ha infettato oltre 700.000 computer dal 2007, raccogliendo pagamenti di riscatto per circa 54 milioni di EUR. L’operazione ha coinvolto autorità giudiziarie e di polizia di Francia, Germania, Lettonia, Paesi Bassi, Romania, Regno Unito e Stati Uniti. Qakbot ha mirato a infrastrutture critiche e aziende, rubando dati finanziari e credenziali di accesso. L’indagine ha portato al sequestro di quasi 8 milioni di EUR in criptovalute e ha rivelato che i server infettati da Qakbot erano attivi in quasi 30 paesi tra America, Africa e Asia.

Operazione Talpa: le autorità giudiziarie e di polizia di undici paesi, coordinate da Europol ed Eurojust, hanno inflitto un duro colpo al gruppo Ragnar Locker, una delle più pericolose ransomware gang degli ultimi anni. L’operazione internazionale ha visto perquisizioni in Repubblica Ceca, Spagna e Lettonia, culminando con l’arresto a Parigi del principale sospettato, ritenuto artefice del gruppo e all’interrogazione di cinque sospettati. L’infrastruttura del ransomware è stata smantellata in Olanda, Germania e Svezia e il sito di fuga dati associato è stato disattivato in Svezia. Questa azione segue un’indagine complessa guidata dalla Gendarmerie Nationale Francese, con il supporto di autorità di diversi paesi, tra cui Italia, Giappone e USA.

Operazione Cronos: Questa operazione ha colpito il gruppo di ransomware LockBit, identificato come un attore globale nell’ecosistema del ransomware-as-a-service, responsabile di circa il 25% degli attacchi ransomware dal 2019 e causa di miliardi di euro di danni in 64 paesi. L’operazione, avviata nel 2022, ha portato ad arresti, alla distruzione dell’infrastruttura, all’identificazione di numerosi conti, al congelamento di 10 milioni di euro in criptovalute e al supporto alle vittime. Questo intervento internazionale, orchestrato a livello europeo da Europol e Eurojust nell’ambito dell’Operazione Cronos, ha portato alla disattivazione di 34 server in diverse nazioni, inclusi i Paesi Bassi, Germania, Finlandia, Francia, Svizzera, Australia, Stati Uniti e Regno Unito, all’arresto di due esponenti chiave in Polonia e Ucraina, sono stati inoltre emessi tre mandati di cattura internazionali.

Operazione 5th Element: In un’attività congiunta che ha coinvolto le Forze di Polizia e le Autorità Giudiziarie di otto paesi, 12 cybercriminali responsabili di attacchi ransomware a infrastrutture critiche a livello globale sono stati indagati. Questi attacchi hanno compromesso oltre 1.800 sistemi in 71 paesi. L’intervento è stato effettuato all’alba del 26 ottobre in Ucraina e Svizzera. Durante l’operazione, sono stati sequestrati oltre 52.000 dollari in contanti e 5 auto di alta fascia. Anche numerosi dispositivi elettronici sono stati confiscati per analisi forensi approfondite. Gli indagati avevano ruoli distinti all’interno di reti criminali fortemente strutturate, specializzati nell’attacco alle reti IT mediante tecniche come brute force, SQL injection, furto di credenziali e phishing. Gli hacker hanno inoltre implementato malware avanzati come Trickbot e framework di post-sfruttamento quali Cobalt Strike o PowerShell Empire e hanno utilizzato ransomware come LockerGoga, MegaCortex e Dharma per criptare i dati delle vittime. L’operazione, coordinata da Europol e Eurojust, ha messo in luce l’importanza della cooperazione internazionale nel tracciare e neutralizzare questi attori malevoli.

Conclusioni

L’Head of Prevention & Outreach at EC3, Cybercrime Centre di EUROPOL ha evidenziato l’aumento delle capacità dei criminali informatici, spesso potenziato dall’uso dell’intelligenza artificiale, sottolineando l’urgente necessità per le Forze dell’Ordine di adottare nuove strategie, rafforzare i quadri normativi, potenziare le capacità tecniche e incrementare la collaborazione con il settore privato per combattere con efficacia il ransomware così come le altre forme di criminalità informatica. Ha messo in luce i successi conseguiti, condividendo con la platea operazioni specifiche che hanno portato ad arresti, allo smantellamento di infrastrutture criminali complesse, al sequestro di criptovalute e al supporto alle vittime. Ha poi rimarcato l’importanza di un processo continuo di raccolta dati e di processi operativi congiunti al fine di neutralizzare le attività criminali nel settore informatico.

Il programma completo della Cyber Crime Conference 2024 è disponibile al seguente link: https://www.ictsecuritymagazine.com/eventi/cybercrimeconference2024#programma

Iscriviti alla nostra newsletter per rimanere aggiornate sulle nostre iniziative: https://www.ictsecuritymagazine.com/newsletter/

https://www.ictsecuritymagazine.com/cybersecurity-video/from-ragnar-locker-to-lockbit-one-year-of-operations-supported-by-europol-against-ransomwares-emmanuel-kessler/

Il settore delle Telecomunicazioni è stato tra i principali bersagli di minacce e attacchi cibernetici nel 2023. A seguire i trasporti e i servizi finanziari. È quanto emerge dalla Relazione annuale redatta dall’Agenzia per la cybersicurezza nazionale (ACN) relativa alle attività svolte l’anno scorso e presentata al Parlamento questa mattina nella sala stampa di Palazzo Chigi dal direttore generale dell’Agenzia cyber nazionale Bruno Frattasi. Hanno anche partecipato il Sottosegretario alla Presidenza del Consiglio, Alfredo Mantovano, il Presidente del Comitato parlamentare per la sicurezza della Repubblica, Lorenzo Guerini, il Direttore generale dell’ACN, e Marco Camisani Calzolari.

“Rispetto al 2022, nel 2023”, ha detto Mantovano, “i cyber attacchi DDoS sono aumentati del 625%, come per larga parte delle Nazioni occidentali, e più dell’80% scaturiti dall’attuale contesto geopolitico, in particolare dai conflitti in Ucraina e Medio Oriente“.

Più nel dettaglio, sono stati 1.411 gli “eventi” e gli “incidenti cibernetici” registrati dall’ACN l’anno scorso. Ma c’è da precisare subito, per non creare allarmismo, che non tutti questi attacchi informatici sono andati a segno nei confronti del nostro Paese. “Sono solo 300 gli incidenti gravi, andati a buon fine”, ha spiegato ai microfoni di Key4biz Bruno Frattasi. Per incidente si intende, infatti, un evento cyber con impatto impattante su confidenzialità, integrità o disponibilità delle informazioni confermato dalla vittima. Inoltre Frattasi ha annunciato che “con il ministro dell’Interno stiamo già prestando particolare attenzione ai sistemi digitali utilizzati nelle prossime elezioni europee”.

La videointervista: Attacchi cyber, Frattasi (ACN): “Nel 2023 solo 300 andati a buon fine”

Mantovano risponde alla nostra domanda su come contrastare la cybercriminalità: “Con il Ddl Cyber avremo strumenti adeguati”

Durante la conferenza stampa, abbiamo chiesto al Sottosegretario Mantovano come si sta contrastando la cybercriminalità? Citando le parole di Nicola Gratteri, capo della Procura di Napoli: “La camorra è molto forte sul dark web”.
“Lo stiamo facendo”, ci ha risposto, “adeguando le varie fattispecie di reato con il disegno di legge sulla cybersicurezza in esame ora in Parlamento. Questo disegno di legge, su cui registro una significativa convergenza delle opposizioni”, ha aggiunto, “serve ad avere degli strumenti più adeguati e non andare a tentoni sulla base della buona volontà“. “C’è un’interlocuzione tra governo e Parlamento adesso che fa auspicare un’approvazione rapida che non significa superficiale del Ddl. Il governo è disponibile ad accogliere emendamenti della maggioranza e delle opposizione”, ha spiegato il Sottosegretario.“Su questo”, ha concluso la sua risposta Mantovano, “il governo sta intensificando attraverso l’Agenzia risorse e interlocuzione con le varie pubbliche amministrazioni. L’altro piano è quello di non accontentarsi degli strumenti a disposizione ma di renderli più affinati e efficaci”.

La Relazione cyber presentata al Parlamento

La relazione, di 121 pagine, è organizzata in sette sezioni che illustrano il modo in cui l’Agenzia ha operato per il rafforzamento della resilienza cyber del Paese attraverso la protezione degli asset critici nazionali con un approccio sistemico orientato alla prevenzione, gestione e mitigazione del rischio. Tutto questo, anche mediante il man­tenimento di un quadro normativo aggiornato e coerente, e con misure, strumenti e controlli che possano contribuire a favorire una transizione digitale sicura. 

Il primo capitolo, sulla Prevenzione e gestione di eventi e incidenti cyber, raccoglie tutti i numeri del Computer Security Response Team Italia dell’Agenzia: analizza gli eventi cibernetici più rilevanti e mette a fuoco le attività connesse alle tensioni geopolitiche in corso. Questo capitolo presenta un focus sugli interventi di rispristino realizzati dal Csirt a supporto delle vittime degli incidenti di strutture pubbliche e dei soggetti nazionali colpiti da questa peculiare forma di interferenza hacker, con numerosi interventi, 1411 casi trattati, 303 incidenti confermati e oltre 20mila segnalazioni. Una parte è dedicata al tema delle esercitazioni congiunte già realizzate fino alla pianificazione di Cyber Europe 2024 e che coinvolge tutti gli stati membri dell’Unione

Il secondo capitolo è dedicato alla Resilienza delle infrastrutture digitali e alla sicurezza tecnologica con un’analisi dello stato del Perimetro di sicurezza nazionale cibernetica  (PSNC) e un focus sull’attuazione della Direttiva NIS 2, fino ai temi della certificazione nel mondo digitale e dello Scrutinio tecnologico per il PSNC con le attività ispettive e di verifica connesse. In questa sezione sono descritti i contributi dell’Agenzia a temi di rilievo quali l’esercizio del Golden Power, la Crittografia e la transizione al Cloud.

Il terzo capitolo riguarda gli Investimenti PNRR per la cybersicurezza: dal potenziamento della resilienza cyber della Pubblica Amministrazione agli avvisi di finanziamento finalizzati. Il focus è dedicato ai Servizi cyber nazionali e alla costruzione di una rete di CSIRT regionali fino allo stato di avanzamento di HyperSoc, dell’infrastruttura di High Performance Computing, e all’uso di strumenti di IA. Anche i laboratori di scrutinio e certificazione tecnologica sono oggetto della relazione: 134 procedimenti CVCN conclusi hanno visto i tecnici dell’Agenzia impegnati nel loro esame.

Nella relazione viene descritto in dettaglio l’Investimento 1.5 “Cybersecurity”, del PNRR, a titolarità DTD e di cui l’Agenzia è Soggetto attuatore, con una dotazione di 623 milio­ni di euro al fine di migliorare le difese del Paese ponendo la cybersicurezza e la resilienza a fondamento della trasformazione digitale sia della PA, che del settore privato.

Il quarto capitolo, sulla Cooperazione Internazionale, ricostruisce le attività svolte in ambito europeo e internazionale curate dal Servizio Strategie e cooperazione dell’ACN. Sono descritti i numerosi incontri con soggetti omologhi e le attività svolte in costante raccordo con il Mini­stero degli affari esteri e della cooperazione internazionale. Tra gli elementi qualificanti delle attività bilaterali e multilaterali uno riguarda la condivisione con la CISA, l’Agenzia cyber degli Stati Uniti, delle valutazioni sul nesso fra Intelligenza Artificiale e cybersicurezza, in linea con l’indirizzo politico del Presidente del Consiglio dei ministri, che ha consentito l’ade­sione dell’ACN al documento sulle “Linee guida per uno sviluppo sicuro dell’Intelligenza Artificiale”, adottato da agenzie di 18 Paesi. Un tema che sarà trattato nell’ambito del tavolo Gruppo di Lavoro G7 sulla Cybersicurezza del 16 maggio prossimo.

Il quinto capitolo, dedicato a Ricerca e innovazione, formazione, consapevolezza, presenta i vari programmi industriali, di investimento e di innovazione realizzati, insieme ai Programmi di sostegno alla ricerca e alle imprese in coerenza con l’Agenda per l’Innovazione e la ricerca. Tra le iniziative si segnala in particolare il Cyber Innovation Network, indispensabile produrre innovazione sicura attraverso il supporto alle start up innovative.

Il sesto capitolo descrive lo stato di attuazione della Strategia Nazionale di cybersicurezza 2022-2026 che evidenza come l’Agenzia abbia svolto nel 2023 un ruolo centrale di indirizzo, coordinamento e monitoraggio nell’attuazione del Piano in raccordo con gli altri soggetti coinvolti con un particolare riferimento all’antici­pazione dell’evo­luzione della mi­naccia cyber, alla gestione di pos­sibili scenari di crisi cibernetiche, al conseguimento dell’autonomia strategica nella dimensione cibernetica e al contrasto della disinformazione online.

Infine, vengono illustrate le attività di formazione, consapevolezza, sviluppo della forza lavoro e capacità nazionali e il potenziamento della capacità dell’Agenzia La nota finale del rapporto riguarda il potenziamento delle risorse umane e strumentali dell’Agenzia, che ha visto raddoppiare la propria consistenza organica.

Per approfondire

https://www.key4biz.it/acn-presenta-la-relazione-annuale-sulla-cybersecurity-in-italia-segui-la-diretta-video/487781/

Group-IB è un fornitore, con sede a Singapore, di sistemi ad elevata attendibilità per il tracciamento degli avversari e il rilevamento delle minacce, delle migliori soluzioni anti-APT e di prevenzione delle frodi online. La lotta alla criminalità informatica è nel DNA dell’azienda, che ha plasmato le sue capacità tecnologiche per difendere le imprese, i cittadini e supportare le operazioni delle forze dell’ordine.

La leadership tecnologica di Group-IB si basa su 20 anni di esperienza nelle indagini sulla criminalità informatica in tutto il mondo e su oltre 70.000 ore di Incident Response accumulate nel nostro laboratorio forense e nel CERT-GIB attivo 24 ore al giorno e 7 giorni su 7. Group-IB è partner di INTERPOL ed Europol.

La missione di Group-IB è combattere la criminalità informatica.

PIATTAFORMA DI RISCHIO UNIFICATA DI GROUP-IB

La Unified Risk Platform raccoglie ed elabora diverse fonti di intelligence in tempo reale per fornire le migliori difese possibili contro violazioni, frodi o abusi del brand. Il nostro portafoglio di soluzioni basate sulla Unified Risk Platform dimostra perfettamente il nostro approccio orientato al business nell’ideazione di strategie di cybersecurity.

Threat Intelligence

Sconfiggete le minacce in modo efficiente e identificate gli aggressori in modo proattivo con la rivoluzionaria piattaforma di cyber intelligence di Group-IB.
Per saperne di più

Fraud Protection

Eliminate le frodi su tutti i canali digitali in tempo reale.
Per saperne di più

Digital Risk Protection

Difendete i vostri beni digitali. La migliore soluzione di protezione del brand basata sull’intelligenza artificiale.
Per saperne di più

Managed XDR

Rilevate e neutralizzate le minacce informatiche con una velocità e una precisione senza precedenti per ridurre il rischio tecnologico.
Per saperne di più

Attack Surface Management

Scoprite la vostra superficie di attacco esterna e ricavate informazioni utili per migliorare la sicurezza.
Per saperne di più

Business E-mail Protection

Bloccate le minacce avanzate che arrivano via e-mail. Proteggete le e-mail aziendali on-prem e nel cloud anche dagli attacchi più sofisticati.
Per saperne di più

Come partner attivo nelle indagini globali, Group-IB collabora con le organizzazioni internazionali di contrasto al crimine informatico, come INTERPOL ed EUROPOL, per creare un cyberspazio più sicuro. Group-IB è anche membro del gruppo consultivo sulla sicurezza di Internet dell’European Cybercrime Centre (EC3) di Europol, creato per promuovere una più stretta collaborazione tra Europol e i suoi principali partner non appartenenti alle forze dell’ordine.

• Digital-skimming action: Group-IB contribuisce alla campagna condotta da Europol che porta alla luce 443 commercianti online compromessi.
  Leggi il comunicato stampa
• Group-IB sostiene l’INTERPOL nelle operazioni di smantellamento della gang malware Grandoreiro che ha colpito Brasile e Spagna.
  Leggi il comunicato stampa

https://www.ictsecuritymagazine.com/notizie/lotta-al-crimine-informatico-con-group-ib/

Comprendere il cybercrime

Il cybercrime, noto anche come crimine informatico o crimine digitale, si riferisce a qualsiasi attività criminale che coinvolge l’utilizzo di computer, reti informatiche o dispositivi digitali.

Le principali attività illegali riscontrate fino ad oggi sono l’accesso non autorizzato a sistemi informatici, il furto di dati, la diffusione di virus informatici con conseguente danneggiamento o richiesta estorsiva per la riduzione in pristino, l’intercettazione illegale di comunicazioni, la frode informatica e varie altre forme di violazione della sicurezza informatica.

Quello che si nota nella comune esperienza è che il cyberattack proviene, molto spesso, dall’interno della realtà aziendale.

Questa c.d. insider threat e, cioè, la minaccia proveniente da persone interne all’organizzazione (dipendenti, fornitori, partner economici, soci etc.) si alterna a sistemi di attacco esterno che riescono a prendere il controllo del sistema informatico anche a migliaia di chilometri tramite, ad esempio, il RAT (Remote Administration Tool).

Ad oggi, le società sono chiamate ad affrontare una sfida in termini di prevenzione e persuasione, oltre che di contenimento del danno economico – e non – provocato dal crimine informatico e cibernetico, con un approccio su larga scala che consenta di fronteggiare la criminalità in rete in ogni sua declinazione.

Impatto del cybercrime sulle aziende

Gli effetti del cybercrime sono spesso immediati e devastanti per un’azienda.

Questa può subire perdite finanziarie, sia dirette che indirette, a causa del furto di fondi o di dati finanziari, dovendo mettere in contro anche successivi costi per l’individuazione e la risoluzione della violazione, la riparazione dei sistemi di sicurezza e l’eventuale risarcimento di clienti per le perdite subite.

Il danno economico molto spesso si affianca a quello reputazionale, che si può manifestare in modo incalcolabile: quando la reputazione di un’azienda viene danneggiata da un attacco informatico, si può verificare una perdita di fiducia dei clienti e dei partner commerciali, il che può avere un impatto a lungo termine sulle vendite e sui profitti aziendali.

Di seguito, si ricordano alcuni recenti attacchi informatici che hanno causato un impatto significativo sulle aziende.

L’attacco di ransomware WannaCry del 2017 che ha colpito numerose aziende, inclusi ospedali e istituzioni governative, bloccando l’accesso ai dati e richiedendo un riscatto per sbloccarli.

Il caso Equifax, una delle più grandi agenzie di reporting del credito negli USA. Nel 2017, Equifax ha rivelato che i dati personali di 143 milioni di americani erano stati esposti a causa di una violazione della sicurezza. Questo incidente è costato ad Equifax oltre 1,4 miliardi di dollari in spese legate alla violazione e la reputazione dell’azienda ne è stata gravemente danneggiata.

Recentissimo è il caso truffa finanziaria a danno della multinazionale britannica con sede a Hong Kong che ha spostato “per errore” 200 milioni di dollari da Hong Kong su cinque conti sconosciuti, operazione effettuata da un dipendente truffato tramite una video call dove ha pensato di parlare e prendere ordini dai suoi referenti – che, in realtà, erano un prodotto del deep fake -, disponendo lo spostamento di denaro ancora non ritrovato.

E come non citare il cyberattak subito da Leonardo S.p.A. nel 2017, commesso da un insider, il quale ha causato la fuoriuscita di “oltre 100mila file, riguardano, oltre i dati personali dei dipendenti, la progettazione di componenti di aeromobili civili e di velivoli militari destinati al mercato interno e internazionale”.

Durante le indagini effettuate dalla Polizia di Stato di Napoli e dal C.N.A.I.P.I.C. (Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche), emerse che “per quasi due anni, tra maggio 2015 e gennaio 2017, le strutture informatiche di Leonardo Spa erano state colpite da un attacco informatico mirato e persistente (noto come Advanced Persistent Threat o APT), realizzato con installazione nei sistemi, nelle reti e nelle macchine bersaglio, di un codice malevolo finalizzato alla creazione ed al mantenimento di attivi canali di comunicazione idonei a consentire una perdita di dati lenta e continua di elevati quantitativi di dati e informazioni di importante valore aziendale” [1].

È quindi evidente che per prevenire e mitigare il serio rischio di cybercrime, le aziende devono prendere coscienza del problema ed adottare misure di sicurezza informatica efficienti.

Legislazione e normative sulla cybersecurity

Nel campo penale, il nostro codice prevede numerose – ma non ancora sufficienti – fattispecie criminose che puniscono, tra le altre, l’accesso abusivo a sistemi informatici o telematici (art. 615 ter c.p.), la detenzione di apparecchiatura atta a intercettare, impedire o interrompere comunicazioni o conversazioni telegrafiche o telefoniche (art. 617 bis c.p.), il danneggiamento di informazioni, dati e programmi informatici (art. 635 bis c.p.) o di sistemi informatici o telematici (art. 635 quater c.p.).

Tali reati sono, inoltre, richiamati quali reati presupposto dagli artt. 24 e 24 bis D.Lgs. 231/2001, che puniscono le società (tramite severe sanzioni interdittive e pecuniarie) a vantaggio delle quali è stata commessa una frode informatica o delitto informatico o un trattamento illecito dei dati, di cui agli articoli sopra richiamati del codice penale.

Questo significa che, se un soggetto che ricopre funzioni di rappresentanza, amministrazione o direzione della società o di una sua unità organizzativa dotata di autonomia funzionale e finanziaria, oppure che gestisce o controlla la società, o un suo sottoposto, commette un reato tipico del cybercrime nell’interesse o a vantaggio della società, questa sarà chiamata a rispondere nel procedimento 231 instauratosi a suo carico.

Certo, vi è sempre la possibilità di difendersi nel procedimento 231, anche al fine di dimostrare l’estraneità dell’ente e/o del legale rappresentante dello stesso.

Ma ciò al pesante costo di essere comunque sottoposti al procedimento davanti alle autorità competenti, con anche la possibilità di vedersi applicare eventuali misure cautelari quali sequestri o commissariamenti giudiziari e, dunque, ad una generale perdita economica e reputazionale.

Ecco, quindi, l’importanza della compliance aziendale in materia 231 che non significa solo adottare un modello di organizzazione, gestione e controllo e un codice etico, ma soprattutto renderli concreti e manifesti, anche tramite un efficace processo di adozione di protocolli di gestione della sicurezza informatica, nei quali vi sia una specifica disciplina aziendale in materia di prevenzione, contenimento e risposta al cybercrime.

In merito, si evidenziano quelle che secondo la prassi più diffusa rappresentano le best practices aziendali da seguire per adeguare la società all’attuale normativa:

• Individuazione del bene aziendale da tutelare e dei rischi ai quali è potenzialmente esposto;
• formazione e sensibilizzazione del personale su minacce e misure di sicurezza, anche addestrando a riconoscere messaggi appositamente creati per essere ingannevoli (c.d. phishing);
• adozione di software di sicurezza per proteggere i sistemi aziendali, filesystem di nuova generazione, sistemi criptati di accesso a determinate informazioni sensibili;
• implementazione di politiche di accesso (c.d. least privilege) e controllo ai sistemi aziendali. In particolare, limitazioni dell’accesso al solo personale autorizzato e previsione di una rigorosa separazione dei ruoli nel sistema di logging;
• costante backup e ripristino dei dati;
• monitoraggio dell’ambiente informatico per rilevare potenziali minacce, anche tramite un sistema di segnalazione interna (c.d. whistleblowing);
• implementazione del sistema di prevenzione (sandbox, NIDS, blocco automatico di codici javascript, antivirus e antimalware, etc.);
• predisposizione, implementazione e costante aggiornamento di un documento di security policy.

Conclusioni

Pur se coperti da norme penali, al giorno d’oggi resta ancora molto difficile perseguire i colpevoli di reati informatici e, ancor di più, strutturare un sistema di prevenzione degli stessi.

Questo vulnus, reso ancor più grave dalla scarsità di risorse tecniche disponibili, di forze di polizia e di difficoltà nel coordinamento sul territorio internazionale, si riversa in primis quale rischio reputazionale ed economico per le società e, post factum, rappresenta una distorsione nel sistema processuale penalistico che lo rende sempre meno al passo con i tempi.

La difesa nel processo dell’ente è materia tecnico giuridica da affidare agli esperti del settore, ma la predisposizione di modelli di organizzazione, gestione e controllo che tutelino l’ente dal rischio di commissione di reati anche informatici è di competenza di ciascuna realtà societaria, unitamente alla necessità che suddetto modello venga adottato e aggiornato in concerto con il codice etico e la security policy aziendale.

La società dovrà prendere coscienza dei rischi tecnologici sempre più concreti e della necessità di operare con strutture organizzate ed idonee per prevenirli o, quanto meno, per contenerne i danni.

Note

[1] D. Fioroni, Attacco Hacker a Leonardo Spa, 2 arresti, in www.poliziadistato.it, 5 dicembre 2020

Articolo a cura di Lorenzo Nicolò Meazza e Olivia de Paris

Profilo Autore

Avvocato penalista, titolare dell’omonimo Studio legale sito in Milano e Vicepresidente della Camera Penale di Milano, ove ha costituito la Commissione sull’intelligenza artificiale.
Si occupa prevalentemente di diritto penale d’impresa, con un focus particolare su criminalità informatica, compliance, diritto penale delle nuove tecnologie e digital forensics. Membro e presidente di numerosi Organismi di Vigilanza, il suo studio ha acquisito particolare esperienza nella redazione di Modelli Organizzativi e Regolamenti informatici aziendali.
È stato selezionato dall’Ordine forense di Milano e dal Pool Reati Informatici della Procura milanese tra gli avvocati esperti in diritto dell’informatica, con particolare competenza nella trattazione dei reati informatici.

Profilo Autore

Avvocato penalista dello Studio Legale Meazza, laureata presso l’Università Bocconi, con esperienza consolidata nel diritto penale dell’economia e del diritto penale tributario. Componente di Organismi di Vigilanza, autore di pubblicazioni in materia, focalizzata su delitti informatici e best practice per la sicurezza informatica aziendale, con particolare attenzione ai recenti progressi dei nuovi sistemi di Intelligenza Artificiale.

https://www.ictsecuritymagazine.com/articoli/cybercrime-e-best-practices-per-la-sicurezza-informatica-nelle-aziende/