Cybersecurity, infrastrutture critiche e minacce globali

Intervista al criminologo Vincenzo Musacchio: “In un’era in cui la digitalizzazione è il pilastro delle società moderne, la sicurezza informatica non riguarda più soltanto la protezione dei dati aziendali, ma la salvaguardia stessa delle infrastrutture critiche su cui si reggono economie e nazioni”. 

Professor Musacchio, partiamo dalle basi: che cosa si intende esattamente per cybersicurezza nazionale e perché oggi non riguarda più soltanto le singole aziende o organizzazioni? 

La cybersicurezza nazionale ha un compito fondamentale: proteggere la disponibilità, l’integrità e la riservatezza dei sistemi informatici da cui dipendono funzioni essenziali dello Stato, dell’economia, della finanza e della società nel suo complesso. Oggi è necessario ragionare su scala nazionale, superando una visione compartimentata, perché un attacco informatico raramente colpisce un sistema isolato: può invece innescare effetti a catena potenzialmente gravi sui servizi interconnessi. 

Entriamo nel dettaglio delle minacce. Si parla spesso di malware, ma quali sono le tipologie più pericolose e quali obiettivi perseguono? 

Il malware è un software progettato per danneggiare, alterare o spiare un sistema informatico all’insaputa del proprietario. Le minacce, tuttavia, si distinguono nettamente per obiettivi e modalità operative e richiedono, di conseguenza, contromisure specifiche. Il phishing sfrutta soprattutto l’ingegneria sociale, più che le vulnerabilità tecniche. Consiste nell’invio di messaggi ingannevoli che imitano comunicazioni legittime per indurre gli utenti a rivelare le proprie credenziali o a cliccare su link malevoli. I ransomware, invece, realizzano una sorta di sequestro dei dati: cifrano i file della vittima e chiedono un riscatto in cambio della chiave di decifratura, bloccando le attività e spesso minacciando di divulgare le informazioni sottratte. Gli attacchi DDoS (Distributed Denial of Service) generano un sovraccarico artificiale di richieste, provenienti da numerosi dispositivi, con l’obiettivo di rendere un servizio indisponibile agli utenti legittimi. Le APT (Advanced Persistent Threat) sono intrusioni prolungate e mirate, spesso riconducibili ad attori statali. Possono rimanere nascoste per mesi all’interno dei sistemi, allo scopo di sottrarre informazioni riservate o preparare eventuali sabotaggi. 

Dietro questi attacchi operano soggetti molto diversi tra loro. Quali sono i profili più ricorrenti e le loro motivazioni? 

La platea degli hacker è eterogenea per risorse, competenze e finalità. La criminalità organizzata è motivata principalmente da interessi economici e si dedica, tra l’altro, alla vendita di dati e accessi nei mercati illegali. Gli attori statali, invece, dispongono spesso di capacità tecniche molto avanzate e perseguono obiettivi geopolitici, come lo spionaggio, l’influenza o la destabilizzazione. Infine, gli hacker autonomi possono agire per ragioni ideologiche e puntare soprattutto alla visibilità mediatica. 

Per capire meglio come si svolgono questi attacchi, facciamo un esempio concreto: che cosa può accadere in un’operazione di phishing ai danni di una banca? 

Immaginiamo che un dipendente riceva un’e-mail apparentemente inviata da un investitore noto, con un oggetto rassicurante come “Investimento azionario” e un link che invita ad aggiornare le credenziali. Cliccando sul collegamento, l’utente viene reindirizzato a un sito contraffatto, che può acquisire le sue credenziali e, in alcuni casi, avviare il download di un malware. L’esempio illustra la natura dell’ingegneria sociale: l’attacco può fare leva non su una vulnerabilità tecnica del server, ma sulla fiducia e sulla vulnerabilità della persona. 

Un altro tema centrale è quello delle infrastrutture critiche. Che cosa sono e perché il rischio sistemico è così elevato?

Un’infrastruttura critica è un sistema fisico o digitale indispensabile al funzionamento della società. La sua interruzione può avere conseguenze molto gravi per la sicurezza, la salute e l’economia. Basti pensare ai settori, strettamente interdipendenti, dell’energia, dei trasporti, delle telecomunicazioni, della sanità, della finanza e della pubblica amministrazione: l’energia alimenta molti altri servizi, i trasporti e le telecomunicazioni assicurano mobilità e connettività, mentre gli altri settori rispondono a bisogni essenziali e contribuiscono alla sicurezza collettiva. La criticità risiede soprattutto nell’interdipendenza. Una centrale elettrica, per esempio, può dipendere dalle telecomunicazioni e, a sua volta, fornire energia a ospedali e data center. Ne può derivare il cosiddetto effetto domino: un guasto può propagarsi a cascata attraverso più settori, anche quando questi non sono stati colpiti direttamente da un attacco.

Come sta rispondendo lo Stato a questa complessità? 

Individuando i soggetti essenziali, cioè le organizzazioni pubbliche e private che gestiscono servizi critici e sono tenute a rispettare obblighi di sicurezza più rigorosi. Tra questi rientra l’obbligo di notificare gli incidenti significativi all’autorità nazionale competente, così da favorire una risposta coordinata e la tempestiva condivisione degli indicatori di compromissione con gli altri operatori. 

Oltre agli attacchi esterni, quanto incidono le vulnerabilità tecnologiche, umane e organizzative? 

Incidono profondamente. Da un lato, vi sono vulnerabilità tecnologiche legate all’obsolescenza e alla frammentazione: molte amministrazioni pubbliche e piccole e medie imprese utilizzano software non aggiornati, per mancanza di risorse o di pianificazione. A questo si aggiunge la diffusione di dispositivi IoT, come telecamere e sensori, spesso protetti da password predefinite. Dall’altro lato, pesano i fattori umani e organizzativi. La carenza di competenze e di consapevolezza digitale può rendere il personale meno capace di riconoscere un tentativo di phishing o di gestire correttamente le password. A ciò si aggiunge la frammentazione organizzativa: ogni ente può finire per agire in modo isolato, senza protocolli comuni né un’effettiva condivisione delle informazioni tra settore pubblico e privato. 

Negli ultimi tempi si parla molto anche dei rischi legati alla catena di fornitura, o supply chain. Di che cosa si tratta? 

È una delle minacce più insidiose. La dipendenza tecnologica da fornitori esteri di hardware, software e servizi cloud può esporre a rischi lungo la catena di fornitura, per esempio alla compromissione di un componente durante la produzione o la distribuzione. Se un fornitore viene violato, il codice malevolo può diffondersi rapidamente tra i clienti attraverso aggiornamenti apparentemente legittimi. Per questo, diversificare i fornitori e controllare rigorosamente la filiera è diventato un imperativo strategico. 

Professor Musacchio, guardando al prossimo futuro, quali sono le tendenze e le nuove frontiere del conflitto cibernetico? 

Le tendenze indicano una crescita degli attacchi sia per frequenza sia per impatto economico, alimentata dall’espansione della digitalizzazione. Le tecniche diventano sempre più automatizzate e accessibili, anche grazie a modelli illeciti come il Ransomware as a Service, che consentono di affittare il malware a terzi. Assistiamo inoltre a una pericolosa convergenza tra criminalità informatica e geopolitica. Il perimetro da difendere si è ampliato notevolmente con la diffusione dello smart working, del cloud e del 5G. Siamo nel mezzo di una vera e propria corsa agli armamenti tecnologici: gli hacker usano l’intelligenza artificiale per creare messaggi di phishing più realistici e automatizzare la ricerca di vulnerabilità; chi si occupa di difesa, invece, la impiega per rilevare anomalie in tempo reale. 

In conclusione, come si può affrontare questa sfida? Quale cambiamento culturale e operativo è necessario? 

Sulla base della mia esperienza negli Stati Uniti, ritengo indispensabile adottare un modello strategico proattivo. Dobbiamo superare una logica basata esclusivamente sulla reazione e puntare sulla threat intelligence: la raccolta e l’analisi delle informazioni sulle minacce, anche a fini predittivi, per anticipare le mosse degli attaccanti. Sono inoltre indispensabili esercitazioni nazionali mirate e il potenziamento dei CSIRT, i centri di risposta agli incidenti, per verificare la cooperazione tra i settori critici e ridurre i tempi di ripristino. Nella cybersicurezza moderna, la capacità di trasferire rapidamente le attività su sistemi di riserva è uno dei pilastri della resilienza. Se la prevenzione mira a evitare l’attacco, la continuità operativa garantita da sistemi sostitutivi impedisce che un’interruzione produca conseguenze irreparabili. Attivare un sistema speculare non appena quello primario viene compromesso non è soltanto una misura tecnica di emergenza: è una contromisura strategica, che limita il potere dell’attaccante e tutela la sovranità tecnologica e la sicurezza dei cittadini. 

Vincenzo Musacchio è professore di strategie di contrasto alla criminalità organizzata e associato al Rutgers Institute on Anti-Corruption Studies (R.I.A.C.S.) di Newark, presso la Rutgers University, negli Stati Uniti.