di Anas Awry Asamen
Professor Musacchio*, in che modo il passaggio dall’hacker “solitario” ai cartelli criminali multinazionali ha trasformato la risposta alla criminalità informatica?
La transizione dagli hacker “solitari”, spesso mossi dalla curiosità, dall’ego o dal desiderio di notorietà, ai cartelli criminali multinazionali — organizzati come vere e proprie aziende, con gerarchie, divisione del lavoro e modelli di business come il Ransomware-as-a-Service — ha trasformato radicalmente il paradigma della sicurezza informatica. Questa evoluzione ha costretto il settore ad abbandonare una difesa artigianale e reattiva per adottare un approccio strategico, sistemico e globale.
In passato, la sicurezza informatica si basava sul cosiddetto “castello fortificato”: si proteggeva il perimetro esterno con firewall e antivirus basati su firme statiche, dando per scontato che tutto ciò che si trovava all’interno fosse sicuro. Oggi questo approccio non è più sufficiente. I cartelli criminali ricorrono a tecniche sempre più sofisticate, tra cui l’intermediazione per l’accesso iniziale (Initial Access Brokerage), l’uso di credenziali rubate e gli attacchi alla catena di approvvigionamento, per infiltrarsi senza essere rilevati.
La risposta si è quindi orientata verso il modello Zero Trust — “non fidarti mai, verifica sempre” — in cui ogni utente, dispositivo o transazione viene autenticato e monitorato continuamente, indipendentemente dalla sua posizione rispetto alla rete aziendale.
Approfondimenti
In che misura la protezione offerta da alcuni Stati o la mancanza di cooperazione internazionale ostacolano il contrasto alla criminalità informatica?
La protezione offerta da alcuni Stati e la carenza di cooperazione internazionale costituiscono uno dei principali ostacoli strutturali al contrasto globale della criminalità informatica. Il cybercrime è intrinsecamente transnazionale: l’autore di un attacco può trovarsi in un continente, i server di comando in un secondo e le vittime in un terzo. Di conseguenza, l’efficacia delle forze dell’ordine dipende dalla rapidità e dalla qualità della cooperazione tra gli Stati. Quando questa collaborazione viene interrotta da barriere geopolitiche o da protezioni deliberate, anche i meccanismi tradizionali della giustizia penale rischiano di perdere efficacia.
In che modo i gruppi criminali utilizzano l’intelligenza artificiale per automatizzare gli attacchi, rendere più convincenti i tentativi di phishing o eludere i sistemi di rilevamento?
L’intelligenza artificiale ha trasformato il panorama della cybersecurity, mettendo a disposizione dei gruppi criminali e degli attori statali strumenti avanzati per ottimizzare, ampliare e rendere più sofisticate le proprie operazioni. Il suo impiego non è più una prospettiva futura, ma una realtà che incide su tutte le fasi della catena d’attacco informatico. I criminali informatici sfruttano l’intelligenza artificiale per potenziare il phishing e realizzare attacchi di ingegneria sociale più evoluti.
Questa tecnologia consente di automatizzare attività che in passato richiedevano molto lavoro manuale e competenze tecniche specialistiche, abbassando così la soglia di accesso al cybercrime. Ne sono esempi i modelli di Cybercrime-as-a-Service e strumenti come FraudGPT e WormGPT. L’intelligenza artificiale viene inoltre utilizzata per aggirare i sistemi di difesa basati sul machine learning e sull’analisi comportamentale. I criminali, infatti, possono impiegare queste tecnologie in modo offensivo per eludere i controlli delle autorità preposte.
Perché colpire i fornitori di servizi gestiti o i partner aziendali è diventata una strategia privilegiata per ampliare la portata degli attacchi?
Colpire i fornitori di servizi gestiti (MSP) e i partner aziendali è diventata una delle strategie preferite dai criminali informatici e dagli attori di minaccia sponsorizzati da Stati, perché consente di ottenere un notevole ritorno operativo. Questa tecnica, nota come attacco alla catena di approvvigionamento (supply chain attack) o “effetto moltiplicatore”, capovolge il paradigma tradizionale: anziché colpire direttamente un’azienda ben protetta, gli aggressori prendono di mira un soggetto che gestisce servizi IT per centinaia di clienti. In questo modo, una singola intrusione può raggiungere numerose organizzazioni.
Quali ostacoli continuano a limitare la condivisione tempestiva di informazioni tra aziende private, forze dell’ordine e organismi come Interpol ed Europol?
La condivisione tempestiva di informazioni — in particolare nei campi della cybersecurity, del contrasto alla criminalità finanziaria e della lotta al terrorismo — tra il settore privato, le forze dell’ordine nazionali e le agenzie europee e internazionali come Europol e Interpol è frenata da una combinazione di barriere legali, strutturali, tecniche e culturali. Persistono ostacoli normativi, mancanza di fiducia e asimmetrie informative, problemi di interoperabilità tecnica, impedimenti burocratici e gerarchici, nonché differenze negli obiettivi e nei tempi operativi.
Per affrontare queste criticità, normative come la direttiva europea NIS2 e il Cyber Resilience Act mirano a rafforzare la cooperazione, anche attraverso obblighi di notifica tempestiva degli incidenti alle autorità nazionali e incentivi alla creazione di reti settoriali di condivisione, come gli ISAC (Information Sharing and Analysis Centers). Senza cooperazione internazionale, il contrasto alla criminalità informatica rischia di essere compromesso fin dall’inizio.
*Vincenzo Musacchio è professore di strategie di contrasto alla criminalità organizzata e associato al Rutgers Institute on Anti-Corruption Studies (R.I.A.C.S.) di Newark, presso la Rutgers University, negli Stati Uniti.
