Analisi CSIRT di ACN: PA, servizi e catene di fornitura italiani nel mirino di attori malevoli

Secondo il primo Operational summary dell’Agenzia per la Cybersicurezza Nazionale (ACN), a maggio sono stati registrati 283 eventi cyber, in crescita a tripla cifra.

“Il panorama della cyber sicurezza in Italia si è fatto sempre più complesso e minaccioso, come evidenziato dal recente report di maggio 2024 dell’Agenzia per la Cybersicurezza Nazionale (ACN)”, commenta Pierguido Iezzi, Strategic Business Director di Tinexta Cyber: “Questo documento, appena diffuso, offre una visione dettagliata delle minacce informatiche che incombono sul nostro Paese”.

L'”Operational Summary, Maggio 2024”, il primo report condotto dal Computer Security Incident Response Team (CSIRT Italia) dell’ACN, mette al microscopio anche le vulnerabilità, registrando 53 alert sulle falle più gravi.

“Trovo importante e utile che l’Agenzia abbia finalmente deciso di istituire un documento mensile di aggiornamento sullo stato della minaccia“, evidenzia Corrado Giustozzi, Founding Partner & Chief Strategist, Rexilience, componente del Consiglio Direttivo di Clusit, “come fanno da sempre le altre strutture analoghe nel mondo, nell’ambito del servizio pubblico che erogano. L’Agenzia, infatti, è l’unica struttura a conoscenza dei dati veri del fenomeno nel nostro Paese, in quanto destinataria delle notifiche obbligatorie di incidenti da parte dei soggetti sottoposti a specifiche normative di sicurezza. Ed è quindi in posizione privilegiata per effettuarne l’analisi e fornire statistiche significative. Speriamo quindi che la pubblicazione continui regolarmente”.

Ecco quali sono i rischi cyber che corrono maggiormente i soggetti interessati, suddivisi per settori merceologici.

Operational summary di maggio: ACN fotografa uno scenario cyber minaccioso

Per la prima volta, ACN pubblica i dati e le metriche mensili sull’analisi e l’evoluzione delle cyber minacce, concentrandosi sui settori economici che hanno subito l’impatto e facendo luce sulle tipologie più frequenti, in Italia e in Europa, tra cui spiccano malware, DDoS e ransomware.

“L’Operational Summary, elaborato dal CSIRT Italia e reso pubblico per la prima volta dall’ACN nel mese corrente, fornisce un punto di vista privilegiato sul dominio cibernetico nazionale”, dice a CyberSecurity360 Gianluca Galasso, direttore del Servizio Operazioni dell’Agenzia per la cybersicurezza nazionale. “I dati, provenienti dalle notifiche di incidenti previste per legge, dal monitoraggio della constituency e dagli scambi informativi in essere con le altre organizzazioni omologhe nazionali e internazionali, vengono analizzati mese per mese e trasformati in informazioni utili a capire l’andamento e i settori più impattati dalla minaccia cyber. La metodologia utilizzata permette di correlare tutti quegli aspetti che trasversalmente collegano il tessuto produttivo italiano (numeri, indicatori, KPI eccetera) e conseguentemente avere una visione integrata sullo stato della minaccia”.

“Il report dell’Agenzia per la Cybersicurezza Nazionale di maggio 2024, appena diffuso, fornisce a tutti gli operatori del settore e all’opinione pubblica un prezioso strumento per comprendere il panorama delle minacce cyber che incombono sull’Italia”, spiega Pierguido Iezzi, sottolineando l’importanza di tale report.

I dettagli

“Il rapporto mostra un aumento del 148% degli eventi cyber rispetto al mese di aprile, con 283 casi registrati, di cui 175 hanno avuto un impatto significativo su soggetti nazionali. Questo incremento dimostra quanto l’Italia sia un obiettivo privilegiato per organizzazioni criminali e gruppi sponsorizzati da Stati ostili. Particolarmente colpito è stato il settore delle tecnologie dell’informazione e della comunicazione (ICT), evidenziando come il mondo dei servizi e la catena di fornitura siano un target di riferimento per gli attori malevoli”.

Italia, uno dei Paesi più colpito al mondo

“I numeri confermano quanto già evidenziato da dati ed analisi di altre fonti (per esempio il Clusit) che l’Italia è uno dei Paesi più colpiti al mondo“, evidenzia Corrado Giustozzi: “Si conferma anche il fatto che la maggior parte degli attacchi rilevati è di tipo DDoS, quindi di natura dimostrativa (ideologico-politica), associabile ad attività di supporto o fiancheggiamento delle parti coinvolte nei conflitti russo-ucraino e israelo-palestinese. Si conferma anche che, tra tutti i soggetti vigilati, la Pubblica Amministrazione è quello che riceve più attacchi“.

Le vulnerabilità analizzate nell’Operational summary di Acn

A maggio scorso la pubblicazione di 5.026 nuove CVE registra una crescita (+1.355) rispetto ad aprile. Di queste, 831 offrono almeno un Proof of Concept (PoC), in calo (-196), e per 14 CVE l’agenzia ha rilevato lo sfruttamento attivo, exploit in aumento (+4) rispetto ad aprile.

“Il mix di cybercriminalità, hacktivisti e attacchi statuali mette a rischio la resilienza non solo delle aziende, ma anche degli stessi Stati” dichiara Iezzi.

“Questo encomiabile report evidenzia l’importanza di conoscere e comprendere le possibili minacce – afferma Iezzi – riferendosi alle direttive DORA e NIS 2“.

Legge Cyber, DORA e NIS2 faranno luce anche sugli altri soggetti sotto attacco

Occorre tuttavia sottolineare, comunque, che “i dati riguardano solo i soggetti ‘critici’ quali gli Operatori di Servizi Essenziali (denominati in passato “infrastrutture critiche”), coloro che erogano servizi critici per lo Stato, e la Pubblica amministrazione centrale“, osserva Corrado Giustozzi: “invece non comprendono gli incidenti occorsi a tutti i soggetti non sottoposti ad obbligo di notifica ovvero le PMI operanti in settori ‘non critici’ (che sono la maggioranza) e la Pubblica Amministrazione locale”.

Inoltre, “la nuova ‘Legge cyber’, uscita proprio oggi in Gazzetta Ufficiale, impone l’obbligo di notifica anche alle Pubbliche amministrazioni medie e locali (per esempio i Comuni); e la normativa europea Direttiva NIS 2, che entrerà in vigore a ottobre, imporrà analogo obbligo a quasi tutte le PMI. Solo allora, quando si avranno dati di prima mano sui reali incidenti occorsi ai soggetti ‘piccoli e non critici’, si avrà una visibilità quasi completa su un fenomeno che ora è in gran parte sommerso e sconosciuto“, avverte Giustozzi.

La protezione delle infrastrutture vitali, delle PMI e dei cittadini italiani dalle minacce sempre più complesse e sofisticate richiede un impegno continuo e il supporto di tutte le parti coinvolte.

“È essenziale che l’ACN continui a ricevere il sostegno necessario per portare avanti la sua missione e garantire la sicurezza del nostro Paese, costruendo allo stesso tempo un ecosistema Cyber Made in Italy che possa essere proiettato verso l’internazionalizzazione“, secondo Iezzi.

Come mitigare il rischio

“La scoperta di 4.500 nuove vulnerabilità nei sistemi informatici solo nel mese di maggio evidenzia la necessità di adottare misure di sicurezza più efficaci e aggiornate”, mette in guardia Iezzi.

Per rispettare i requisiti di resilienza operativa delineati nella direttiva DORA e NIS2, “è essenziale che:

• in linea con quanto previsto da DORA, le entità finanziarie adottino un approccio proattivo e informato nell’analizzare le Tecniche, Tattiche e Procedure (TTP) utilizzate dagli attori di minaccia avanzati (APT);
• le aziende nel perimetro della NIS2 devono prendere consapevolezza dell’importanza di politiche di gestione delle vulnerabilità, early warning e security bulletin, evidenziando la centralità della threat intelligence per una cooperazione dinamica e un information sharing efficace.

Inoltre per le entità finanziarie, questo processo implica una mappatura continua e dettagliata delle TTP degli APT per adattare tempestivamente le misure di sicurezza“, illustra Iezzi: “È fondamentale condurre regolarmente simulazioni di attacco e analisi del rischio che riflettano le TTP identificate per valutare l’efficacia delle strategie di difesa attuali. Anche le politiche e le procedure di sicurezza devono essere costantemente riviste e aggiornate per rispondere efficacemente alle minacce emergenti e agli sviluppi nel comportamento degli APT, garantendo così una solida resilienza digitale“.

“La sovranità dei dati e la tutela delle aziende e delle istituzioni diventano quindi priorità assolute. In risposta a queste crescenti minacce, istituzioni pubbliche e realtà italiane attive nel campo della cybersicurezza si sono riunite alla Farnesina il 2 luglio, per dare vita a un ecosistema di ‘Cyber capacity building’ a favore di Paesi terzi, in attuazione della Strategia nazionale di cybersicurezza.

Questo incontro ha sottolineato la necessità di una maggiore proiezione internazionale dell’Italia, rafforzando la cooperazione tra enti pubblici, privati e associazioni. Il settore privato e le associazioni come Assintel con il suo Cyber Think Tank, sono a piena disposizione delle istituzioni, in particolare dell’ACN, per la tutela dell’interesse nazionale nel cyberspazio, e per affermare il valore, competenza, prodotti Cyber Made in Italy – spiega Iezzi – ribadendo l’importanza di un’azione coordinata e strategica nel settore della cybersicurezza“.

“In questo contesto, la collaborazione tra pubblico, privato e associazioni, insieme a un costante aggiornamento delle misure di sicurezza e alla condivisione di informazioni, rappresenta l’unica strada percorribile per garantire la sicurezza e la resilienza del nostro Paese nel cyberspazio”, conclude Iezzi.