Cyber attacchi, a rischio la tenuta della società digitale: le aree più vulnerabili e i consigli per difendersi

I cyber attacchi diventano più temibili per la tenuta della società digitale. Non solo perché aumentano in numero e complessità. Ma anche perché vanno sempre più a colpire gangli nevralgici che rappresentano il modo in cui il digitale si diffonde nella società stessa: la Sanità, aree produttive specifiche per un Paese. E’ la lezione che possiamo ricavare dall’ultimo rapporto Clusit, appena presentato e da un rapporto recente a cura degli specialisti per le Cyber Solutions di Aon.

I numeri chiave del rapporto Clusit

Sono stati 1.552 gli attacchi gravi registrati nel 2018 (contro i 1.127 del 2017), con una media mensile di 129 (contro i 94 del 2017). Gli attacchi più devastanti continuano a crescere senza interruzione dal 2011 a oggi, con un picco del +38% registrato nel mese di novembre dello scorso anno. Numeri impressionanti messi nero su bianco dal nuovo rapporto Clusit 2019 al quale hanno partecipato oltre cento professionisti del settore e che verrà presentato al pubblico il prossimo 12 marzo in occasione dell’undicesima edizione del Security Summit.

Gli esperti del Clusit evidenziano che il cyber crime continua ad essere la principale causa di attacchi gravi: il 79% di questi, con un aumento del 44% rispetto all’anno precedente, aveva lo scopo preciso di estorcere denaro alle vittime o rubare informazioni riservate per ricavarne denaro. La novità più preoccupante è comunque la crescita del 57% dei crimini volti ad attività di spionaggio cyber con finalità geopolitiche o di tipo industriale, a cui va anche ricondotto il furto di proprietà intellettuale.

In calo, invece, le attività di Hacktivism e di Cyber warfare, rispettivamente del 23% e del 10% rispetto all’anno precedente. C’è da dire, però, come sottolineato nel rapporto Clusit, che risulta sempre più difficile distinguere nettamente tra “cyber espionage” e “information warfare”: sommando gli attacchi di entrambe le categorie, nel 2018 si assiste ad un aumento del 35,6% rispetto all’anno precedente.

La sanità nel mirino dei cyber criminali

Analizzando il nuovo rapporto Clusit si scopre un deciso aumento della gravità media degli attacchi rispetto al 2017, il cosiddetto “livello di impatto” di ogni singolo attacco in termini geopolitici, sociali, economici, di immagine e di costo.

Il dato più preoccupante è il 98,8% di attacchi gravi che hanno interessato l’ambito “Healthcare” e quindi, più in generale, della sanità. Nel 96% dei casi gli attacchi a questo settore hanno avuto finalità cyber criminali e di furto di dati personali.

Segue il settore pubblico (ambito “Gov”), con il 41% degli attacchi in più rispetto ai dodici mesi precedenti, e i cosiddetti “multiple targets” – i bersagli multipli – che nel 2018 risultano anche i maggiormente colpiti, con un quinto degli attacchi globali a loro danno, dato in crescita del 37% rispetto al 2017. Completano questo vero e proprio bollettino di guerra i dati riguardanti gli ambiti “Banking / Finance” (+33,3%), “Online Services / Cloud” (+35,8%) e “Research / Education” (+54,9%).

Esaminando queste fredde percentuali si ha la conferma che, non solo tutti gli ambiti della società civile e digitale sono ormai possibili bersagli, ma anche che gli attaccanti sono diventati sempre più aggressivi e sono in grado di condurre operazioni su scala sempre maggiore, con una logica “industriale” che prescinde sia da vincoli territoriali che dalla tipologia delle vittime.

Considerando la gravità dei singoli attacchi nei settori di riferimento, gli esperti Clusit evidenziano che la sanità e le infrastrutture critiche risultano essere i settori per i quali i rischi cyber sono cresciuti maggiormente nel 2018; pur avendo subito in assoluto un numero di attacchi maggiore, il settore pubblico e i “multiple targets” non mostrano invece peggioramenti significativi in termini di gravità.

“Sono molto infastidito ma purtroppo non sorpreso dal numero di attacchi gravi in ambito sanitario e dalla crescita anno su anno in questo delicato settore”, è il commento a caldo di Alessandro Vallega, Information & Cyber Security Advisor P4i e membro del Comitato Direttivo Clusit. “I dati sanitari sono estremamente importanti per i diritti e le libertà delle persone, infatti a livello legislativo vengono imposte delle regolamentazioni molto stringenti. Non penso solo al regolamento europeo sulla protezione dei dati personali, cosiddetto GDPR, ma anche altre precedenti e attuali leggi dello Stato e provvedimenti dell’Autorità Garante. Ci sono dati sanitari che potrebbero permettere di stimare il mio livello di salute futura o la predisposizione a certe malattie mie e dei miei discendenti. Il danno si può quindi propagare attraverso le generazioni. Forse oggi, e forse in Italia, dove la sanità è garantita a tutti i cittadini, questo potrebbe non essere considerato un vero problema ma da una parte la capacità predittiva (si pensi alla genetica) è destinata a migliorare e dall’altra la società cambia, diventa globale e il welfare è in continua riduzione. Sinceramente preferirei che i miei dati siano al sicuro”.

“Perché non sono sorpreso della situazione? Perché conosciamo il settore e le difficoltà economiche e di vision in cui versa. Ne ho scritto anche in un precedente Rapporto Clusit (2017) e sarebbe tempo che l’IT sanitario facesse un salto di qualità e avesse più mezzi. Invece in passato ho assistito attonito a proteste degli operatori del settore che si trovavano costretti a scegliere tra diritto alla cura o diritto alla privacy”, è l’amara considerazione dell’analista.

Così i cyber criminali colpiscono la società digitale

Il malware “semplice”, prodotto industrialmente e a costi sempre decrescenti, continua ad essere il principale vettore di attacco anche nel 2018. I cryptominers, in particolare, sono arrivati a rappresentare il 14% del totale (erano il 7% nel 2017 e pressoché inesistenti prima). Un deciso incremento anche per i cosiddetti malware mobile che negli ultimi dodici hanno rappresentato quasi il 12% del totale.

Da segnalare la crescita del 57% rispetto all’anno precedente degli attacchi sferrati con tecniche di phishing e social engineering su larga scala, ancora a testimonianza della logica sempre più “industriale” degli attaccanti.

L’elevato incremento negli ultimi dodici mesi dell’utilizzo di tecniche sconosciute (+47%) dimostra tuttavia che i cyber criminali sono piuttosto attivi anche nella ricerca di nuove modalità di attacco.

Gli attacchi DDoS rimangono sostanzialmente invariati rispetto al 2017, lo sfruttamento di vulnerabilità note invece è ancora in crescita (+39,4%), così come l’utilizzo di vulnerabilità “0-day”, (+66,7%), per quanto questo dato sia ricavato da un numero di incidenti noti limitato e risulti probabilmente sottostimato. Ritornano a crescere gli attacchi basati su tecniche di “Account Cracking” (+7,7%). Unico dato in calo, le SQL injection, che segnano -85,7% rispetto al 2017.

È a rischio la società digitale

I dati che emergono dall’anteprima del Rapporto Clusit 2019 vanno letti alla luce del “cambiamento di fase nei livelli globali di insicurezza cyber, causata dall’evoluzione rapidissima degli attori, delle modalità e delle finalità degli attacchi”, come afferma Andrea Zapparoli Manzoni, membro del Comitato Direttivo Clusit, tra gli autori del Rapporto.

Di fatto, la nostra società è entrata in una fase di cyber guerriglia permanente, che rischia di minacciare la nostra stessa società digitale: nel corso degli ultimi dodici mesi, infatti, abbiamo assistito al graduale trasferimento dei conflitti sul fronte “cyber” da parte dei singoli Stati, con un innalzamento continuo del livello di scontro in una superficie di attacco di fatto illimitata.

La creazione di fake news e la loro amplificazione attraverso i social media, insieme alle infiltrazioni in infrastrutture critiche e ai furti di informazione per finalità geo-politiche, hanno inoltre consentito ai cybercriminali di finanziarsi per poter compiere poi crimini più importanti e amplificare notevolmente i livelli di rischio.

“Saranno le prossime scelte in ambito di sicurezza cibernetica a determinare le probabilità di sopravvivenza della nostra attuale società digitale”, afferma Andrea Zapparoli Manzoni. “Al cuore della questione c’è una criticità che è sia culturale che economica: abbiamo costruito la nostra civiltà digitale senza tenere conto dei costi correlati alla sua tutela e difesa, secondo un modello di business che non li prevede, se non in modo residuale e, ove possibile, li evita o li minimizza. Di conseguenza queste risorse non sono disponibili, e oggi nel mondo si investe per la cyber security un decimo di quanto si dovrebbe ragionevolmente spendere”, conclude Zapparoli Manzoni.

Le aree produttive a maggior rischio da proteggere

Scelte in ambito di sicurezza che, secondo gli specialisti per le Cyber Solutions di Aon, dovrebbero riguardare in particolar modo otto aree di rischio per la sicurezza informatica che le aziende si troveranno ad affrontare nel corso di quest’anno. Nel Cyber Security Risk Report “What’s Now and What’s Next”, in particolare, si mette in evidenza come la tecnologia e il passaggio al digitale delle aziende di tutti i settori abbiano portato con sé grandi opportunità per le imprese, velocizzando il trasferimento di informazioni e creando nuove opportunità di business, ma anche un sensibile aumento dei rischi da presidiare. I rapidi e continui cambiamenti tecnologici hanno portato ad un forte aumento nel numero di touch point ai quali i criminali informatici possono avere accesso all’interno di un’azienda.

“Nel 2018 abbiamo osservato come l’adozione di una pianificazione e preparazione proattiva in ambito informatico abbia dato i suoi frutti alle aziende che hanno investito in tal senso e nel 2019 ci aspettiamo che la necessità di una pianificazione ancora più serrata non potrà che accelerare ulteriormente”, ha dichiarato J. Hogg, CEO di Cyber Solutions di Aon. “I top manager devono lavorare per difendere sempre meglio le loro aziende e i loro processi, identificando al contempo come poter meglio beneficiare delle opportunità offerte dalla tecnologia e dalla trasformazione digitale”.

Ecco dunque le principali aree di rischio da presidiare per mettere al sicuro il perimetro di sicurezza delle aziende:

1. Tecnologia Se è vero che la tecnologia ha rivoluzionato il modo in cui le organizzazioni oggi fanno business, il suo uso più ampio e diffuso porta inevitabilmente con sé anche delle vulnerabilità con tutta una serie di rischi diversi rispetto a quelli già incontrati in passato che le aziende dovranno saper anticipare e gestire mano a mano che proseguirà il processo di trasformazione digitale;
2. Supply Chain Due sono i principali trend nella supply chain che aumenteranno drasticamente i rischi informatici: uno è dovuto alla rapida espansione dei dati operativi esposti agli hacker, dai dispositivi mobili agli hedge device come l’Internet of Things (IoT); l’altra tendenza è la crescente dipendenza delle aziende da fornitori di servizi terzi o addirittura quarti. Entrambi i trend offrono agli hacker nuove falle nelle catene di approvvigionamento e richiedono una gestione del rischio che coinvolga il top management e i consigli di amministrazione, applicando una gestione del rischio lungimirante per promuovere business operation affidabili e redditizie;
3. IoT I dispositivi dell’Internet of Things, come i sistemi di conferenza, le telecamere di sicurezza, le stampanti e i sistemi di automazione degli edifici, sono presenti ovunque e ogni device sul posto di lavoro rappresenta un potenziale rischio per la sicurezza informatica dell’azienda. Molte imprese non presidiano abbastanza questo aspetto, non tenendo nemmeno un inventario di tutti i dispositivi dell’IoT che interessano il loro business, il che si traduce in possibili violazioni;
4. Business operations La connettività a Internet migliora notevolmente le mansioni operative, ma porta anche a nuove vulnerabilità nella sicurezza delle aziende. La superficie di attacco si espande notevolmente con l’aumento del grado di connettività, rendendo più facile per i criminali informatici spostarsi all’interno di un’intera rete. Le infezioni da malware possono portare al blocco dei sistemi manifatturieri e potenzialmente anche di una rete elettrica. Notpeya ha causato miliardi di dollari di danni ad aziende multinazionali appartenenti a diversi settori (dallo shipping al farmaceutico, dalla costruzione al manifatturiero). I ramsomware possono portare al fermo delle operazioni di business criptando i dati dell’azienda, come è successo con WannaCry. Le organizzazioni devono essere più consapevoli e preparate al cyber-impatto derivante dall’accresciuta connettività;
5. Dipendenti I dipendenti rimangono una delle cause più comuni di violazione, anche se spesso essi non si rendono conto dell’entità della minaccia che rappresentano per la sicurezza informatica dell’intera organizzazione. Le aziende sempre più spesso concedono ai loro dipendenti un maggiore accesso ai dati, il che comporta un aumento dei rischi. Poiché la tecnologia continua ad avere un impatto su ogni funzione di lavoro, dal CEO allo stagista entry-level, diventa obbligatorio per le aziende stabilire un approccio globale per ridurre i rischi interni alle organizzazioni, tra i quali una governance dei dati solida, una condivisione delle politiche di sicurezza informatica a tutta l’organizzazione e l’implementazione di controlli di accesso e di protezione dei dati efficaci;
6. Fusioni e acquisizioni (M&A) Secondo le proiezioni fatte dall’IMAA Institute, il valore delle operazioni di M&A supererà i 4 trilioni di dollari nel 2018, il dato più alto registrato negli ultimi quattro anni. Il dilemma in cui si vengono a trovare le aziende che acquisiscono altri business è che, sebbene esse abbiano un chiaro processo di gestione del cyber risk, non hanno alcuna garanzia che l’azienda target avrà lo stesso orientamento. I criminali informatici sempre più spesso prendono di mira le aziende che vengono acquisite da aziende più grandi nel periodo tra l’annuncio del deal e il closing dell’operazione. I professionisti che operano in prima linea nelle operazioni di M&A devono quindi essere pronti a prevedere specifiche policy di sicurezza informatica nei loro piani di M&A per assicurarsi la buona riuscita dei deal;
7. Regolamentazione La maggiore regolamentazione del cyber spazio è volta a proteggere e “isolare” le imprese e i suoi clienti da attacchi informatici. La velocità di applicazione di leggi, regolamenti e standard in ambito cyber è aumentata nel 2018, ponendo le basi per un aumentato rischio di conformità nel 2019. Tuttavia la regolamentazione e la conformità alle normative non possono diventare l’unico obiettivo. Le imprese devono trovare il giusto equilibrio tra le nuove normative e le minacce informatiche in continua evoluzione, che richiederanno un controllo serrato su tutti i fronti;
8. Consigli di amministrazione Il presidio della sicurezza informatica continua ad essere una priorità per i consigli di amministrazione e il top management. Gli ultimi episodi di data breach hanno visto un aumento delle responsabilità a carico dei manager: si sono verificati dei casi in cui gli azionisti di aziende violate hanno fatto causa ai loro manager. I CdA devono continuare ad innalzare la soglia di attenzione per la gestione del rischio cyber, non solo intraprendendo azioni per riparare ai danni conseguenti un incidente informatico, ma anche nell’ambito di una preparazione e pianificazione proattiva della sicurezza informatica.