di Erika Noschese
In Italia, il rischio di attacchi informatici è aumentato del 120%. A lanciare l’allarme è La Rubino Legal Tech che si pone come un punto di riferimento nel settore della consulenza strategica aziendale, concentrandosi principalmente sui settori Difesa, Intelligence, Sicurezza e Cybersicurezza.
Aumento degli attacchi informatici, nello specifico di cosa si parla?
«Nel 2022 gli attacchi informatici sono aumentati in tutto il mondo ma nel nostro caso, in Italia, in modo preoccupante. Secondo il Rapporto Clusit 2023, l’Associazione Italiana per la Sicurezza Informatica, gli attacchi cyber nel globo sono aumentati del 21% nel corso del 2022. In Italia si parla del 169%. Nello specifico il maggior numero di attacchi ha come obiettivo il cyber crime, il sabotaggio o lo spionaggio. Allo stesso modo è cresciuto anche il numero di azioni criminali legate all’attivismo e all’information warfare, una tattica impiegata all’interno di strategie belliche cresciuto anche a causa della guerra tra Russia e Ucraina. Secondo i dati come target degli hacker al primo posto c’è il comparto multiple target, a seguire il settore della sanità a pari merito con il comparto governativo/militare e il settore ICT. Negli ultimi 10 giorni l’Italia è stata completamente sotto attacco il gruppo NoName057 il quale ha effettuato una serie di attacchi di Distributed Denial of Service ad obiettivi come: Carabinieri Italiani, Ministero degli Esteri, Corte Costituzionale, Ministero delle infrastrutture e dei trasporti, Ministero della Difesa, Ministero dell’Interno, Autorità regolamentazione trasporti, Metropolitana di Milano, Generali, Unipol, Sace, Sella, Mediobanca, MEF, Banca Popolare di Sondrio, ATM Milano, ATAC Roma, Ministero del Lavoro, Consiglio Superiore della Magistratura, Banca Credito Cooperativo, Marina Militare Italiana, Banca BPER, AMAT Azienda Municipalizzata Trasporti Palermo, AmiGO Car Sharing Palermo. Ma sono solo alcuni esempi. Il malware continua a confermarsi la modalità d’attacco preferita dai criminali informatici, poi c’è e il phisihing, il social engineering e gli attacchi DDoS».
Qual è il compito de La Rubino Legal Tech?
«La Rubino Legal tech ha come mission la pianificazione delle misure operative al fine di rendere le società e gli enti pubblici resilienti agendo sul piano fisico, su quello logico e su quello organizzativo. Per piano fisico si intende quello strettamente connesso al dato statico, depositato, parliamo ad esempio dei sistemi di antintrusione, delle separazioni delle aree, accessi o delle cifrature. Per piano logico si intende invece quello legato al dato nel suo momento dinamico, la sequenza di operazioni svolte dalle applicazioni, che all’occorrenza interrogano il piano fisico per ottenere le informazioni, pensiamo ad esempio agli IDS, agli antivirus, ai firewall, al penetration test. Per quanto riguarda il piano organizzativo facciamo riferimento alla sicurezza organizzativa, “il prmo firewall siamo noi!”, quindi pensiamo alla formazione del personale, alla documentazione, alle policies, le informative e le sanzioni e incarichi. Il nostro obiettivo è quello di cambiare il mindset aziendale, sviluppando in seguito la relativa architettura informatica a supporto».
In una società fatta di social e influencer quanto è importante, per chi svolge questo mestiere, tutelarsi dagli attacchi informatici?
«Gli attacchi ai canali degli influencer sono in aumento, soprattutto a causa del crescente rilievo di questa figura professionale: un fenomeno sottovalutato, che potrebbe avere impatti anche sulla reputazione dei brand aziendali costruiti proprio grazie alla visibilità dell’influencer. Le tipologie di attacco più comune fanno leva o su vulnerabilità delle piattaforme su cui navigano gli influencer quali ad esempio bug e errori di configurazione o sul fattore umano.
Un attacco di phishing, ad esempio, andrà ad impiegare metodi di social engineering per ottenere informazioni di accesso del canale o per installare un malware nei sistemi spesso grazie ad un clic di troppo. Un attacco human-based è infatti in grado di sfruttare l’inconsapevolezza o la poca preparazione degli operatori facendo leva sul senso d’urgenza per indurre, ad esempio, ad aprire un allegato malevolo, cliccare un link o compilare un modulo su una landing page contraffatta per carpire determinate informazioni. I follower potranno essere coinvolti a loro volta in successive campagne di phishing su larga scala che realizzeranno maggiore successo grazie al canale compromesso dell’influencer. È sufficiente immaginare in questo caso l’impatto della pubblicazione di un link malevolo all’interno di una storia di Instagram, per cui l’utente del social andrà a confidare dell’affidabilità della fonte inserendo, ad esempio, i propri dati personali o i dati di pagamento per ottenere un voucher o uno sconto.
In alcuni casi, è prevista anche l’esfiltrazione dei dati esponendo così ad un pericolo concreto tanto i follower quanto i committenti, con violazione di dati personali e di informazioni riservate la cui divulgazione è in grado di produrre un considerevole impatto negativo sulle strategie del brand compromettendo – fra l’altro – segreti industriali e diritti di privativa. Uno dei principali punti su cui riflettere è sicuramente l’impatto che questi attacchi hanno sull’autenticità di entrambe le figure di corporate e Influencer. Per molti esperti, e per i consumatori a livello inconscio, è chiaro che l’Influencer marketing si basa sulla fiducia. Fiducia che i possibili clienti o già tali ripongono nelle opinioni degli Influencer. Se il loro pensiero cessa di essere autentico e in linea con quello aziendale, l’intero castello è preso d’assalto. Questo porta ad una crisi di reputazione poiché il consumatore si sente tradito e preso in giro da chi sta rappresentando il brand nel contesto. È importante sottolineare anche che l’attacco può andare a ledere in prima istanza lo storytelling dell’influencer. Se viene a mancare la corrispondenza col il pubblico e con il brand, gli epiloghi risultano in un finale negativo per l’attore della campagna. I risultati possono essere molteplici; ad esempio, la perdita di fiducia nelle proposte che l’attore della campagna offre. Queste vengono identificate quindi solo come un mero strumento di vendita. O ancora i fruitori dei social possono essere indotti a credere che l’influencer stia divulgando una nuova immagine. I danni poi, possono essere più o meno rilevanti a seconda della forza dell’influencer stesso e delle azioni perpetrate durante l’attacco. Quindi la crisi reputazione può estendersi a macchia d’olio in maniera più o meno radicale».
A quanto ammonta ipoteticamente il danno per una vittima?
«Non essere compliant al Regolamento Europeo 2016/679, Gdpr, può arrecare un danno economico, di reputazione di vulnerabilità devastante perle organizzazioni di ogni dimensione. Basti pensare che le sanzioni in caso di inadempienze possono arrivare fino a 20 milioni di euro o al 4% del fatturato a livello globale. Bisogna poi aggiungere le sanzioni penali (in Italia, fino a cinque anni di reclusione) e risarcimenti eventuali richiesti dalle vittime delle violazioni, se reputano di aver subito danni di qualsiasi natura (economici e non solo).
Orientarsi non è semplice e spesso servono degli strumenti che possano fare da guida, come ad esempio Gdpr Assessment, che permette alle imprese di verificare e misurare il proprio livello di compliance al regolamento Ue, indicando eventuali azioni correttive a livello di organizzazioni, policy, personale, tecnologia e sistemi di controllo. In gioco non ci sono solo perdite economiche immediate e sanzioni. C’è molto di più: la propria reputazione».
