Attacchi hacker, l'esperta Vaccarelli: "Siamo tutti nel mirino dei cyber criminali | Ogni oggetto in rete può essere vittima di agguato"

Non solo banche, istituzioni finanziarie e non, aziende. Anche i comuni cittadini sono potenzialmente nel mirino degli hacker. Il motivo? Principalmente i dati, "il petrolio di oggi". A spiegarlo a Tgcom24 è Anna Vaccarelli, presidente del Clusit (Associazione Italiana per la Sicurezza Informatica) e componente del comitato direttivo delle Women For Security. Viviamo in un quadro tutt'altro che facile: gli attacchi hacker, tra il 2024 e il 2025, hanno subito un'impennata, i cyber criminali sono molto organizzati e tutto ciò che è collegato alla rete è potenzialmente vittima di attacco. Ma i rimedi per proteggerci non mancano: attenzione massima, cultura e consapevolezza. Qualcosa che può servirci per non cadere in trappola, come successo alla grande distribuzione in Francia.

Ci sono dei fornitori che hanno dato sistemi di refrigerazione a diverse catene di supermercati. Questi frigoriferi sono controllati da remoto, con un operatore che controlla il loro stato, le temperature, gli allarmi, e sono collegati in rete. Hanno quello che si chiama firmware: una struttura con una parte di elettronica fisica e una parte di software. Quest'ultima parte è soggetta a essere aggiornata periodicamente per evitare eventuali vulnerabilità o semplicemente per migliorare il funzionamento. Pare che una delle ditte che ha fornito questi frigoriferi abbia segnalato già l'anno scorso alcune vulnerabilità che dovevano essere messe a posto, risolte con degli aggiornamenti di sistema. Ma sembra che questi aggiornamenti non siano stati fatti da queste aziende, lasciando quindi scoperte le vulnerabilità che sono diventate note a chi ha deciso di attaccare. Le lacune, pare, che si basassero sulla possibilità di superare in qualche modo la barriera delle credenziali per poter entrare nel sistema. Anche se resta tutto da capire, c'è un'indagine in corso.

Piangere sul latte versato (ride, ndr). Quello che dovrebbe fare è cercare, a seconda del problema in atto, di evitare che ci siano danni ulteriori. Cercare di trovare la maniera per risolvere prima possibile le vulnerabilità in modo tale che non ci siano altri episodi. Quello che manca generalmente spesso nelle aziende è un piano di azione in caso di incidente. Un attacco come quello ai supermercati francesi si chiama di OT security, Operational Technology Security, e si sta diffondendo sempre di più. Fino a un po' di tempo fa si verificano più attacchi ai sistemi IT, Information Technology: quindi ai software, ai server, cose di questo genere. Adesso invece sta succedendo sempre più spesso che ci siano attacchi agli oggetti collegati in rete. Bisogna cambiare mentalità e capire che l'Operational Technology Security non è più un ambiente separato dalla rete, non è immune dai rischi.

Per questo tipo d'attacco basta un computer e un nucleo di persone organizzate. Sistemi simili hanno delle vulnerabilità che sono note da anni e sono generalmente datati, non vengono aggiornati con la stessa costanza di altri software. Non è servita neanche l'intelligenza artificiale per mettere a segno il colpo. Questa è una cosa che accomuna molti dei sistemi industriali.

Hanno i dati, che sono il petrolio di oggi. È una frase fatta, ma è vera. I dati hanno un valore sul mercato. Un dato legato a una carta di credito ha un valore. Blocchi di dati, con nome e cognome di persone e gli indirizzi ne hanno un altro. E non parliamo dei dati sanitari: quanto fanno gola alle assicurazioni.

Gli attacchi sono effettuati per il 90% dai cyber criminali, che agiscono per avere soldi. La parte minima, invece, riguarda attacchi di tipo dimostrativo, di attivismo. Ma gli incidenti dovuti ai cyber criminali restano la stragrande maggioranza rispetto agli altri. Che poi vengano utilizzati malware, vulnerabilità o altri sistemi, non importa. Si agisce quasi sempre per soldi. Addirittura, ci sono gruppi così ben organizzati che proprio vendono gli attacchi: esistono kit già pronti con tutte le istruzioni.

I cyber criminali sono molto più veloci ad assorbire tutte le novità tecnologiche. Loro hanno cominciato a usare l'intelligenza artificiale prima di quanto abbiano fatto i difensori. Sono organizzati molto bene, alla base di questi criminali ci sono delle vere e proprie aziende: con il CEO, quello che fa risorse umane, quello che stabilisce gli stipendi, quello che fa recruiting. Il cyber criminale con il cappuccio in cameretta non esiste. Oggi, ci sono coloro che si fanno aiutare dall'intelligenza artificiale per scrivere il malware. I difensori si stanno organizzando, anche la polizia utilizza questi strumenti ormai. Però c'è un piccolo gap di ritardo.

I dati che raccogliamo noi come Clusit vengono da fonti pubbliche. Dal 2012 i numeri sono in costante crescita, ma tra il 2024 e il 2025 hanno avuto un'impennata. L'Italia poi subisce un numero notevole di attacchi, in particolare nella pubblica amministrazione. Nel solo primo trimestre del 2025 la PA italiana ha subito un numero di incidenti superiore al totale complessivo degli ultimi tre anni. L'idea, ancora molto radicata, è che la cyber sicurezza sia un'opzione.

Siamo tutti nel mirino, potenzialmente. A seconda di dove siamo, possiamo essere veicolo d'ingresso per accedere ad altri sistemi. Esempio. Siamo nel nostro ufficio e stiamo lavorando al computer, ma per qualche motivo abbiamo una parte del nostro software che non è aggiornata. Quindi c'è una vulnerabilità. I cyber criminali fanno un'analisi delle reti e possono arrivare a sfruttare quella lacuna, sferrando semplicemente un attacco di social engineering con cui chiedono le credenziali. Noi, distratti, possiamo dargliele e loro entrano nel nostro computer e poi in tutto il sistema. Il nostro computer può, quindi, anche costituire un ponte per altre funzioni.

Diffidare, sempre. Quando, per esempio, arrivano messaggi dalla banca o da finti nipoti, dovremmo mantenere la lucidità per verificare la comunicazione. Il metodo più semplice è chiamare la banca o il nipote per accertarsi di persona. Il primo punto resta la consapevolezza: dobbiamo sapere che possiamo ricevere messaggi travestiti da attacchi hacker e quindi dobbiamo essere preparati per reagire.

Tutto quello che è in rete è potenzialmente vittima di attacco. Se c'è motivo di interesse, tutto può essere attaccato. Anche dal vicino di casa a cui stiamo antipatici. L'attacco poi può essere un dispetto, fatto da qualcuno che blocca un frigorifero o un televisore, o un qualcosa di più profondo, messo in atto da una persona che sfrutta una vulnerabilità di un elettrodomestico per infiltrarsi nella rete e monitorare i dati che transitano.

Dipende da ciò che si vuole far fare all'intelligenza artificiale. Da quali sono gli obiettivi che deve raggiungere, cosa deve fare. Se le istruzioni che gli vengono date sono incorrette, è possibile che l'Ia compia azioni che non deve fare e che possono diventare pericolose.

Cambia tutto in base ai settori. In quello della pubblica amministrazione, molte delle apparecchiature sono spesso obsolete o mal tenute. Così la vita degli attaccanti è più facile. Nel settore delle piccole medie imprese non esiste la cultura, non c'è attenzione alle questioni di cyber sicurezza e spesso mancano anche le risorse da dedicare. Il settore hospitality è un altro molto attaccato. I punti principali sono la formazione, la cultura, la consapevolezza. Nel 95% dei casi l'attacco hacker va in porto a causa di un errore umano. È importante che le persone siano formate per sapere cosa può accadere e come ci si può difendere.