ANALIZZIAMO INSIEME IL RAPPORTO CLUSIT 2025

Lo scorso 12 marzo è uscito il rapporto Clusit 2025. Per chi non lo sapesse, Clusit è l'Associazione Italiana per la Sicurezza Informatica, un'organizzazione senza scopo di lucro costituita nel 2000 con lo scopo di aumentare in Italia la consapevolezza sul tema proprio della sicurezza informatica. Ogni anno questa associazione redige un rapporto di centinaia di pagine che fa una panoramica degli incidenti di sicurezza più rilevanti avvenuti nell'anno precedente. Quindi quest'anno è quello del 2024. E approfondisce determinati aspetti sempre legati comunque al tema della cyber security. Andiamo ad analizzare insieme il rapporto di quest'anno. Eccoci qua, questo è il nostro rapporto. Visto che comunque è un documento piuttosto lungo, perché parliamo di un documento di oltre 400 pagine, noi non lo analizzeremo tutto. Ma ci concentreremo su questa parte iniziale che fa un po' una panoramica generale di quello che è successo in Italia e nel mondo nel 2024. Comunque vi invito veramente ad andare a leggervi tutto il rapporto perché fa degli approfondimenti veramente super interessanti, e se lavorate in questi settori può essere veramente utile anche per voi. Guardo ad esempio lo speciale sulla finanza, sull'intelligenza artificiale, sulla sanità, ma vi dico che anche i singoli focus sono veramente belli da leggere. Anche solo quest'ultimo sull'autismo e il rapporto con cybersecurity, perché veramente sono molto interessanti e non scontati anche come contenuto. Quindi magari vi lascio poi nella descrizione del video anche il link per andare a scaricare il rapporto, così potete andare a leggerlo direttamente voi. Noi adesso faremo proprio giusto una panoramica ampia su quello che è successo l'anno scorso appoggiandoci proprio al rapporto Clusit. Troviamo innanzitutto la prefazione che è scritta dal presidente del Clusit, che attualmente è l'ingegnere Anna Vaccarelli, come vediamo qui in fondo, che è una donna incredibile, definita una vera e propria pioniera della cyber security. Ha vinto tra l'altro il premio come migliore informatica d'Italia dalla Italian Computer Society e fra l'altro fa parte del comitato direttivo della Women for Security, quindi in assoluto è la persona più adatta a ricoprire questo ruolo. Troviamo poi una panoramica molto rapida, un'introduzione al rapporto che fa una cernita di tutti gli incidenti, tutti gli attacchi avvenuti nel 2024. E l'analisi in realtà è abbastanza allarmante, perché già da questa prima analisi si vede che, come dice qui, l'Italia è nel mirino. Vediamo ad esempio che gli incidenti di sicurezza sono cresciuti del 15% rispetto al 23%, che vediamo è un po' meno del 27% a livello globale, ma comunque veramente noi abbiamo il 15% degli attacchi in più rispetto all'anno scorso. Troviamo poi un'analisi di quello che verrà trattato all'interno del rapporto e di come sono stati raccolti i dati e quello che verrà trattato nei singoli momenti. Nella sezione ad esempio dei focus, qui ci sono tutti gli approfondimenti che vengono fatti e anche chi li ha scritti. E poi troviamo una prima analisi dei principali incidenti cyber noti del 2024 a livello globale. In realtà la situazione è abbastanza allarmante, lo vediamo già da questa primissima panoramica. Se consideriamo che il numero attacchi è aumentato quasi del 30%. Siamo ovviamente al 27,4%, non è propriamente il 30%, ma ci andiamo vicino. Soprattutto la cosa grave è che non sono aumentati solo dal punto di vista della frequenza, ma anche dal punto di vista proprio della gravità degli attacchi. Nel senso che rispetto all'anno scorso ci sono stati non solo più incidenti di sicurezza, ma proprio anche la gravità del singolo incidente a livello di conseguenze è peggiore rispetto all'anno scorso. Infatti vediamo che nel 2024 gli incidenti classificati come critici o gravi hanno rappresentato l'80% del totale. Dal 2020 ad oggi, quindi nel giro di 5 anni sostanzialmente, siamo passati dal 50% all'80%. Quindi ad oggi, prendendo 100 incidenti successi, l'80% è di gravità alta, alta o addirittura critica. Il lato positivo, come dice poi qui, è che in realtà, per fortuna, gli attacchi che hanno avuto una gravità alta e quelli che hanno avuto una gravità critica hanno un rapporto diverso, cioè sono aumentati quelli con gravità alta ma sono diminuiti quelli con gravità critica. Quindi da un certo punto di vista diciamo che a livello di frequenza sono tantissimi quelli di gravità alta oppure critica, però guardando a questa singola sezione in realtà tutto sommato la situazione di confronto fra gli attacchi di gravità alta e quelli di gravità critica non è una situazione disperata. Dal punto di vista di quello che viene individuato come fattore critico come elemento, diciamo, che può contribuire ad aumentare la cyberinsicurezza, come viene definita qui, sono stati individuati, diciamo, due aspetti che sicuramente hanno inciso. La prima è l'inizio della guerra in Ucraina, che ovviamente non è iniziata nel 2024, è iniziata nel 2022, ma è una dinamica che dal 2022 ad oggi continua ad andare avanti. Basta pensare, anche se questa è una notizia più del 2025, alla quantità di attacchi che sono stati effettuati in Italia da hacker filorussi, quindi in realtà vediamo proprio che la guerra, anche dal punto di vista della sicurezza informatica, sta avendo una conseguenza veramente diretta, tanto che entriamo quasi in una fase di guerra cibernetica diffusa, come viene definito qua. Il secondo fattore che ha un impatto è l'intelligenza artificiale generativa, che al di là del fatto che è uno strumento sicuramente molto utile, è uno strumento che ha tante cose belle, come dice poi il rapporto, eh, può essere utilizzato dagli attaccanti come moltiplicatore di forza, cioè può andare andare a riempire le lacune dal punto di vista di infrastruttura e dal punto di vista di conoscenza di cui c'era bisogno per portare a termine un attacco di un certo tipo. Quindi sicuramente anche questo vediamo che è un elemento che può andare in qualche modo a peggiorare la situazione. Tra l'altro, da questa prima parte del rapporto si evince già quanto l'Italia sia stata colpita dall'aumento della cybercriminalità. Una cosa che mi stupisce sempre è come alla fine gli enti e le aziende tendano a pensare che gli attacchi hacker o gli incidenti di sicurezza siano quelle cose che capitano in America, quando in realtà l'Italia da sola, adesso lo vediamo nel rapporto, ha registrato il 10% degli attacchi compiuti in tutto il mondo. E fa specie perché comunque non siamo un paese così grande da giustificare questo divario. Non a caso infatti il rapporto dice proprio che l'Italia è nel mirino, ed è così purtroppo. Siamo fra i paesi più colpiti al mondo. Fa specie anche vedere il confronto con paesi che ci possono in qualche modo assomigliare, ad esempio la Francia, la Germania. E guardiamo un attimo: l'Italia da sola rappresenta lo 0,7% della popolazione, l'1,8% del PIL, ma ha registrato il 10% di tutti gli attacchi registrati a livello globale. La Francia è al 4%, la Germania è al 3% e anche il Regno Unito. Volendo fare sostanzialmente un confronto, possiamo dire che la Francia, la Germania e il Regno Unito insieme hanno registrato la stessa quantità di attacchi che abbiamo subito noi da soli. Il rapporto poi prosegue, fa un confronto anche a livello globale di tutti gli incidenti cyber con delle immagini. Vediamo che comunque è un aumento considerevole. Se considerate che questa linea tratteggiata grigia è la previsione della quantità di attacchi, vediamo che nel 2024 siamo stati sopra alle previsioni. Quindi ci si poteva aspettare questo numero di attacchi qua e l'abbiamo superato, mentre negli anni precedenti bene o male eravamo in linea o addirittura al di sotto delle previsioni. Invece quest'anno, o meglio l'anno scorso, è stato particolarmente grave. Confrontando ovviamente anche rispetto ad anni scorsi, al 2011, diciamo che ci si è resi conto che veramente c'è la possibilità tramite gli attacchi cyber di fare dei danni. E questa è stata una cosa scoperta ovviamente non solo dai criminali, ma anche dagli attivisti. Sono sempre più in crescita anche il numero proprio di activisti, quindi di persone che perseguono i loro ideali di attivismo tramite attacchi cyber. È diventata proprio una nuova arma in qualche modo che viene utilizzata per raggiungere determinati scopi. Comunque direi che prima di entrare nel vivo del tipo e della descrizione proprio degli attacchi che sono stati compiuti, Andiamo un attimo a vedere l'appendice metodologica che ci spiega come sono stati raccolti e analizzati i dati. L'appendice metodologica è a pagina 46. Eccoci qua, qui siamo appunto nell'appendice metodologica che dice come sono stati raccolti i dati. E una cosa che ovviamente viene chiarita fin da subito è che l'analisi degli incidenti cyber per forza si scontra con la disponibilità di un campione parziale. Che cosa vuol dire questo? Non conosciamo tutti gli attacchi computer effettivamente Quello che viene analizzato è solo un campione degli attacchi che, uno, sono stati scoperti, perché non tutti vengono scoperti dalle aziende, dagli enti. Se c'è un furto di dati, non per forza lo vengono a sapere nel momento in cui viene compiuto. E due, non tutti gli incidenti sono stati rivelati. È vero che grazie comunque alle ultime normative, in realtà sono aumentati, è aumentata un po' la consapevolezza, sicuramente è aumentata anche l'obbligatorietà della diffusione delle notizie riguardanti gli attacchi, però per cui abbiamo sicuramente più dati rispetto a qualche anno fa. C'è anche da dire che dove non è obbligatorio denunciare o comunque portare all'attenzione del pubblico il fatto che si sia verificato un attacco, tendenzialmente le aziende e gli enti, anche solo per motivi di reputazione, cercheranno di evitare di comunicarlo se non è strettamente necessario. I dati riportati sono ovviamente riferiti a incidenti reperibili in fonti di informazioni pubbliche e, come dice lo stesso rapporto, il numero di fonti utilizzate è molto aumentato, anche perché c'è stata attenzione e più diffusione di questi dati. Il rapporto comunque chiarisce che gli incidenti dove ci sono magari obblighi di notifica, ma che non sono stati resi noti proprio dalle autorità— quindi l'azienda subisce un attacco, lo notifica alle autorità, non è detto che l'autorità lo diffonda, a meno che non sia strettamente necessario. Lo stesso vale per le denunce alla polizia, all'assicurazione e così via. Quindi chiaramente fa capire, diciamo, questa parte del rapporto che non si può considerare finito questo elenco. È un elenco che comunque è per forza di cose parziale. Non si può pensare che questi siano tutti gli incidenti che si sono effettivamente verificati. Sono tutti gli incidenti che sono stati resi pubblici, questo sì. Chiaramente non sono stati inclusi tutti, sono stati esclusi ad esempio quelli meno rilevanti, perché non sono— che sono stati inclusi solo in testate minori, o che sono incidenti appunto di lieve entità o riguardanti aziende di minori dimensioni. Quindi ovviamente si cerca di analizzare principalmente la quantità di incidenti gravi. E anche questo probabilmente comunque il motivo per cui la gravità tendenzialmente del tipo di attacco è aumentata, cioè noi stiamo tenendo in considerazione gli attacchi più gravi. È chiaro che a livello percentuale aumenta anche la gravità dei singoli attacchi, cioè è chiaro che oggi su 100 incidenti analizzati 80 saranno di gravità alta o critica, ma semplicemente perché quelli più lievi, di gravità che possiamo ritenere zero o comunque a un valore basso non sono stati proprio inclusi nel rapporto. E infatti è il rapporto stesso che analizza questa cosa, dice che nel tempo l'impatto medio degli incidenti è aumentato. Questa comunque è una cosa che resta ferma, cioè ad oggi il singolo incidente che normalmente avrebbe provocato un'entità magari più lieve tende ad avere un impatto proprio più elevato. Come conseguenza gli incidenti di impatto basso stanno diventando marginali, cioè è raro che un attacco non provochi danni o provochi danni lievi che possiamo considerare di impatto low. E il rapporto giustamente dice: per mantenere la significatività di questo tipo di analisi sarà necessario nel tempo rivedere la scala e i parametri su cui si basa, in modo da dare di nuovo significatività a una statistica. Ma perché questo? Quando ho letto questa parte del rapporto, mi è venuta un po' in mente la scala di gravità degli incendi in Australia, che vi metto qui. Ora, non so se avete notato che abbiamo direttamente al punto più basso la gravità gravità bassa/media. Lo scalino immediatamente successivo è una gravità già alta. Chiaramente quando siamo poi a metà scala siamo già a una gravità critica e addirittura poi arriviamo alla catastrofe. Allora è chiaro che una scala di questo tipo, soprattutto rapportata alla cyber security, è poco utile perché non ha nemmeno senso considerare, diciamo, il livello basso e medio. Dovremmo spostare l'asticella nel senso di iniziare a ritenere, a cambiare proprio i fattori di calcolo del rischio per valutare in modo medio quelli che oggi sarebbero di gravità alta. Perché in questo modo, abbassando l'asticella, riusciamo ad avere un quadro più ampio e soprattutto a granulare meglio anche la gravità degli attacchi. Perché se non cambiamo mai il modo di calcolare l'impatto dei singoli attacchi, in realtà probabilmente arriveremo a un punto in cui tutti i danni sono nell'ultima parte della scala e le parti incidenti non contano quasi più. Questo almeno è stato il trend degli ultimi anni, aggiungendo a questo il fatto che, come vi dicevo prima, gli incidenti di lieve entità non vengono proprio considerati a livello di analisi perché non fanno statistica, o comunque non sono così rilevanti da dover essere considerati. Anche perché altrimenti arriviamo a dover considerare dei numeri elevatissimi di attacchi. Alla luce di questo, infatti, il rapporto dice che quest'anno la scala di criticità non è stata rivista, ma lo sarà quasi certamente al prossimo anno o più tardi, fra 2 anni. Ma questo proprio perché mi viene un po' in mente anche quando sono cambiate le classi di efficienza energetica. Nel momento in cui si cambiano i parametri alla base, quindi parametri con cui si valuta l'impatto di un singolo attacco, ci sarà un momento di discontinuità. Cioè, l'anno prossimo magari, se viene cambiata questa scala, arriviamo a dire: oh, che bello, gli attacchi sono tutti di gravità media. Non vale se l'anno scorso quello stesso tipo di attacco con quell'impatto lì aveva una gravità considerata alta. Quindi giustamente il rapporto dice: quest'anno l'abbiamo lasciato così, ci sarà un momento di discontinuità per forza. Detto questo sull'appendice metodologica, torniamo al nostro rapporto, ecco qua, all'analisi dei principali incidenti cyber noti a livello globale. Innanzitutto, appunto, come vi dicevo prima, abbiamo un aumento in linea generale degli incidenti proprio a livello globale. Dal 2023 al 2024 gli incidenti sono aumentati del 27%. Questo ovviamente sulla base di quello che abbiamo detto prima e che è riportato nell'appendice metodologica. Negli ultimi 5 anni ci sono stati 12.732 incidenti, di cui fra l'altro 3.541 solo nell'ultimo anno. Quindi ovviamente abbiamo visto che la linea tende ad aumentare. Se vediamo, nel 2020 c'erano 1.800 attacchi, poco più. Nel 2024 ne abbiamo circa il doppio. Tra l'altro, il rapporto prosegue analizzando la situazione pre-pandemia, perché la pandemia ha portato a una grandissima spinta alla digitalizzazione. E infatti nel 2019 avevamo 1.667 incidenti, quest'anno sono, abbiamo detto, 3.541. Quindi c'è un aumento del 112%, crescita che vediamo anche proprio a livello mensile, perché passiamo da 139 incidenti al mese a 295 del 2024. Questo ovviamente a livello globale, comunque non stiamo analizzando l'Italia in questo momento, ma gli attacchi avvenuti un po' in tutto il mondo. E poi qua vediamo una cosa veramente molto interessante: 9 attacchi su 10 sono di matrice cybercriminale, quindi sono proprio compiuti con fini criminali. Ma questo anche per un motivo ben preciso, cioè la resa dei reati informatici ha ormai superato quella di molte attività criminali tradizionali grazie ai modelli as a service. Quello che sta dicendo qua è molto più preoccupante di quello che sembra. Il fatto che esistano ad oggi dei crimini as a service vuol dire che chiunque, anche senza particolari competenze tecnologiche, può entrare nel dark web e acquistare un attacco cyber. Non a caso esistono proprio dei modelli chiamati ad esempio ransomware as a service, DDoS as a service, eccetera. Praticamente si va nel dark web, si dice: ah, sì, vorrei fare un attacco ransomware a questa azienda. Perfetto. Non devi avere necessariamente le competenze per saper fare tu ransomware, si acquista il dizio, diciamo, proprio di un cybercriminale che lo fa al posto tuo e chiaramente perseguendo il tuo interesse. Assomiglia un po', diciamo, all'assoldare un sicario in qualche modo. Ecco, qui stiamo parlando di assoldare qualcuno per fare un attacco cyber. Andando avanti, continuiamo a vedere che appunto il cybercrime è la motivazione principale degli incidenti, con un andamento regolarmente in crescita rispetto alle altre tipologie che oggi sono, diciamo, più riconosciute, più diffuse, che sono activism, che è la volontà perseguire delle finalità non criminali, ma quindi attività per perseguire uno scopo superiore in qualche modo, compiuta attraverso attacchi hacker. Ad esempio, non so, c'è un'azienda che versa petrolio nell'oceano. Bene, posso andare a fare una marcia con i picchetti oppure posso fare un attacco DDoS contro l'azienda per far sentire la mia voce, per dire che non mi sta bene questa cosa. Questo è un esempio, diciamo, di attivismo. Abbiamo poi spionaggio e sabotaggio. Qui entriamo più nel settore militare, militare in qualche modo, perché ovviamente stiamo parlando di attacchi che vengono compiuti proprio avendo ad oggetto e come scopo degli obiettivi militari. E la stessa cosa vale per l'information warfare, che appunto è la guerra, diciamo, dell'informazione. In realtà, come notate, sia spionaggio, sabotaggio che information warfare sono tutte, diciamo, categorie che si potrebbero applicare anche alle aziende. Però, per fortuna, in questo momento ancora attualmente sembra che attacchi proprio volti esclusivamente a sottrarre segreti andali a sottrarre risorse a un competitor non siano così preponderanti rispetto al cybercrime, che rimane sempre ovviamente la matrice principale. Va detto anche comunque che quando si scopre un attacco non sempre si scopre la motivazione, per cui diciamo che il cybercrime è un po' il paniere dentro cui può confluire tutto, anche quando non è nota la finalità ultima del soggetto. Comunque, come dice il rapporto, il fenomeno dell'activism è crescente, e anche di delle information warfare. Quindi rimangono bassi rispetto al cybercrime. Vi dicevo prima che più o meno 9 attacchi su 10 sono di cybercrime, ma comunque stanno aumentando, quindi saranno chiaramente da tenere d'occhio. Solo gli incidenti con finalità di spionaggio e sabotaggio sono in diminuzione, quindi questo è sempre un bene. Tutto quello che diminuisce va sempre bene. Per quanto riguarda le vittime, quasi la metà degli incidenti si concentra sulle prime 3 categorie della nostra classifica, dice qui, no, che sono molte volte targets, gov, mil, and LA, e healthcare. Allora, qui facciamo un attimo un chiarimento. Quando si parla di multiple targets intendiamo target multipli, quindi non un attacco specifico mirato contro qualcuno, ma sono i cosiddetti attacchi indiscriminati, o come lo definisce qua, pesca a strascico. Ad esempio, mando mille mail, poi magari ci casca anche il funzionario governativo, ma il mio obiettivo è che ci cascassero più persone possibile. Quindi questi sono gli incidenti Multiple Target. Gov, mil e la vuol dire obiettivi governativi, militari e law enforcement. Quindi qui stiamo parlando delle forze dell'ordine sostanzialmente, che rappresentano il 13% più o meno del totale. E poi abbiamo healthcare, che è l'ambito della sanità. Vediamo che comunque la situazione è preoccupante, perché al di là dei Multiple Target, che proprio a livello anche statistico sono sicuramente i più frequenti, e in generale quelli che tendono a colpire più nel segno, perché se faccio un attacco singolo contro più persone chiaramente avrò più possibilità che vada a segno. Vediamo che comunque le entità più colpite sono proprio quelle principali di ogni stato, quindi abbiamo governo, militari, law enforcement, e poi abbiamo il settore della sanità. Invece gli altri sono bene o male più in calo. Il rapporto prosegue proprio appunto dicendo che c'è un aumento in linea generale di questi 3 settori, cala invece dopo un tasso di crescita interessante, il settore financial and insurance. Quindi stiamo parlando del settore finanziario e assicurativo, che chiaramente sono in realtà di solito uno dei target privilegiati a livello di cybercrime, dal momento che comunque si va a colpire direttamente qualcuno che lavora proprio nel settore finanziario. La cosa interessante è che probabilmente questo è dovuto anche alla regolamentazione sulla resilienza operativa. Quindi le norme sono servite ad aumentare la consapevolezza in questi settori, e ciò ha fatto sì che il diminuisse, cioè meno dipendenti cliccano sulle mail di phishing o cadono in altri attacchi di ingegneria sociale, le aziende si tutelano di più, adottano delle policy corrette, quindi riescono a far fronte meglio ai danni. Quindi questo è molto, è molto interessante. E poi comunque sicuramente se questo è uno, diciamo, degli elementi che può essere utile per capire perché sta diminuendo la gravità della situazione in questo settore, vediamo anche che c'è un maggiore interesse del crimine informatico. Sulle economie di scala, cioè non punto a fregare 1 milione di euro a una banca, punto a fregare 1 euro a 1 milione di persone, per fare l'esempio, perché è più semplice sostanzialmente. Anche perché si tratta di vittime con una minore capacità di difesa, quindi piuttosto che attaccare una singola banca, attacco 10 aziende, cerco di ottenere un decimo da ciascuna di loro, e in questo modo ho fatto lo stesso identico guadagno. Anche il settore ICT, quindi proprio il settore informatico, è l'altro unico caso in cui il numero di incidenti si riduce. E qui Sicuramente dice proprio è perché si è irrobustita la capacità di difesa del settore, cioè c'è più consapevolezza anche nel settore informatico, per cui ci si protegge un po' di più. Quindi abbiamo visto che comunque le vittime, quali sono le vittime, qual è più o meno il numero degli attacchi. Andiamo a vedere come hanno fatto a effettuare gli attacchi, quindi le tecniche di attacco. Le tecniche consolidate sono i malware, malware che ancora sono uno dei maggiori responsabili, sono responsabili di oltre un terzo degli incidenti. Un'altra tecnica tecnica che viene utilizzata è lo sfruttamento delle vulnerabilità, sia note che sconosciute, zero-day. Quindi cosa si intende? Qui si intende che o cercano di farci scaricare qualcosa che va a infettare il nostro computer, il nostro sistema, quindi tramite appunto un malware, oppure si sfrutta una vulnerabilità già esistente in un sistema, nota o sconosciuta. Cioè o si approfitta del fatto che, ad esempio, Microsoft ha detto di avere delle vulnerabilità e ha diffuso anche delle patch quindi degli aggiornamenti che vanno a coprire quella vulnerabilità, gli attaccanti probabilmente proveranno a capire chi è che non ha adottato quelle patch, quindi quegli aggiornamenti che vanno un po' a sanare la situazione. Quindi qui approfittano in questo caso di una vulnerabilità nota. Sia vulnerabilità sconosciute, che cosa si intende qui? Si intende che loro per primi si mettono a cercare delle vulnerabilità e quando le scoprono ne approfittano senza ovviamente diffondere il fatto di aver scoperto queste vulnerabilità. Altre cose sono i codici malevoli, soprattutto ransomware, che approfondiremo magari nei nei prossimi video, che in generale mostrano una crescita dell'11%. E poi abbiamo un aumento di incidenti causati da attacchi di DDoS, che per chi si è tenuto un po' informato sulla situazione del gruppo hacker filorusso di cui parlavo prima, è la loro modalità preferita di attacco. L'attacco di DDoS sostanzialmente è il sovraccaricare un sistema, ad esempio un sito web, di richieste in modo che cresci. In questo modo si blocca in qualche modo l'utilizzabilità del sistema. Chiaramente si può usare per fine, ad esempio, di attivismo, come vi dicevo prima, si può usare anche per bloccare un sistema e nel frattempo attuare un tipo di attacco diverso. La cosa peggiore è vedere l'aumento degli attacchi di phishing e social engineering, perché questi, a differenza degli altri che comunque sfruttano anche componenti tecniche del sistema, quindi può essere non così immediato combatterli, questi si basano proprio sul fattore umano. Quindi in realtà sarebbero tranquillamente combattibili tramite una formazione mirata al personale, quando invece la realtà dei fatti purtroppo gioco è che le aziende non investono molto, ma anche gli enti non investono molto nella formazione del personale, e questo comporta che i dipendenti clicchino un po' sulla qualunque, e è un attimo scaricare un malware che poi si diffonde in tutto il sistema aziendale dell'ente. Quindi è un peccato, perché comunque qua si parla proprio di fattore umano, quando in realtà per adottare delle misure di sicurezza veramente basterebbe un corso di formazione base, quantomeno per partire. Poi chiaro che dopo va implementata anche una serie di misure tecniche di sicurezza, quindi ad esempio tenere aggiornati i sistemi, applicare le patch quando vengono rilasciate e così via. Ma è un peccato vedere proprio che la base, che è quella di formare il personale, è la cosa che viene fatta poco. E qui vediamo appunto un po' la suddivisione dei tipi di attacchi, dove il 25% è undisclosed, nel senso che sono incidenti registrati ma in cui non è stato reso noto in che cosa sia consistito l'attacco e come più che altro sia stato effettuato. Ha fatto, con quale tecnica. Qui vediamo l'analisi della gravità degli incidenti, che è un po' quello che dicevamo prima. Gli incidenti tendono ad avere un impatto in linea generale sempre critical o high per l'80%, il che significa che veramente 8 attacchi su 10 hanno una gravità o alta o critica, motivo per cui si sta ragionando di cambiare la scala. In linea generale aumentano anche gli incidenti con severità media, ma gli impatti bassi sono sostanzialmente scomparsi, cioè ci sono talmente tanti attacchi che quelli bassi non vengono più tenuti in considerazione. Infatti vediamo che qua vengono considerati su uno 0%. Un altro aspetto interessante è che la gravità considerata sul tipo di attaccante mostra che in realtà il cybercrime è il più diffuso, ma tendenzialmente la gravità degli attacchi cybercrime è più bassa rispetto ai danni causati invece da spionaggio, sabotaggio e information warfare. Quindi diciamo che a livello proprio numerico spionaggio, sabotaggio, information warfare sono pochi, ma quei pochi colpiscono parecchio, quindi sono responsabili della maggior parte degli attacchi di gravità critica. Vediamo poi che anche l'impatto critico dell'activism si riduce, e questo proprio perché dipende dal tipo di attacco. Cioè, gli attacchi di activism devono essere eclatanti, visibili, ma non devono per forza fare dei danni. Quindi l'importante è che tutti sappiano che c'è stato l'attacco, poi non mi interessa, diciamo, che abbiano delle conseguenze dirette sull'azienda, sull'ente o sulla vittima in generale. Andiamo avanti vedendo appunto sempre la gravità considerata questa volta non per il tipo di attaccante ma per le tecniche di attacco. E diciamo che ci sono molti incidenti che utilizzano proprio tecniche multiple, quindi ad esempio, non so, mando una mail di phishing che poi porta a scaricare un malware che poi porta— quindi in linea generale molto spesso vengono utilizzate proprio tecniche multiple. Gli incidenti basati su malware sono quelli che tendenzialmente fanno più danno, perché in più del 35% dei casi l'impatto è critico. Invece gli attacchi di DDoS, che sono aumentati attentati diminuiscono dal punto di vista della gravità. Questo perché vengono utilizzati sempre di più dagli attivisti, dagli activist, e questo significa che, come dicevo prima, vogliono fare attacchi visibili. Ad esempio, buttare giù un sito, una cosa molto visibile, rendere il sito inagibile agli utenti fa proprio capire che c'è qualcosa che non va. Però dal punto di vista dell'impatto non hanno interesse a causare danni permanenti o conseguenze molto gravi. Questa parte di analisi della situazione globale si chiude con la analisi degli incidenti alle organizzazioni governative, alle pubbliche amministrazioni, che sono in aumento dal punto di vista proprio anche numerico, non solo della gravità. Questo perché gli attivisti, come dicevo prima, molto spesso si rivolgono proprio alla pubblica amministrazione, cercano proprio di andare a infastidire la pubblica amministrazione. Ovviamente questa è una conseguenza quasi diretta, diciamo, della guerra in Ucraina e di quello che viene detto in linea generale dagli enti, dal governo, dei singoli stati che porta a delle rappresaglie da parte proprio degli attivisti. Vediamo come distribuzione geografica che è in crescita il numero di incidenti in Europa, ma lo abbiamo visto in qualche modo anche da com'è la situazione anche solo in Italia. Quindi vediamo che comunque in linea generale c'è un aumento un po' generico nell'ambito di tutta l'Europa. Ma adesso andiamo a vedere la situazione in Italia. In Italia, come abbiamo detto anche prima, la situazione è grave. Ci sono stati tra il 2020 e 2024 973 incidenti noti di particolare gravità che hanno preso di mira delle realtà italiane, di cui il 40% è avvenuto nell'ultimo anno. Il lato positivo è che, al di là del fatto che abbiamo moltissimi attacchi e che rappresentano proprio il 10% del numero di attacchi compiuti a livello globale, abbiamo una crescita minore rispetto all'anno scorso. Quindi, mentre nel mondo gli attacchi sono aumentati del 27%, da noi in Italia rispetto al 2023 sono aumentati del 15%. Le cause possono essere varie. Sicuramente va considerata fra le cause anche la novità normativa che ha portato a un aumento della consapevolezza all'interno delle aziende, degli enti. Quindi le aziende, gli enti hanno iniziato a capire che devono tutelarsi. Dal punto di vista del tipo di attacchi per tipologia, il panorama degli incidenti conferma quanto rilevato in generale negli ultimi anni, cioè che in Italia le due categorie principali di attacco sono di matrice cybercriminale e attivista. Non si considerano nel nostro paese, quantomeno non in modo significativo, incidenti di tipo spionaggio, sabotaggio o information warfare, tanto che anche questo grafico a torta riporta proprio questa realtà qui. Quindi il 78% degli attacchi è di matrice cybercrime, il 22% di matrice attivista, e non abbiamo invece le altre due categorie che a livello mondiale esistono, anche se magari non in maniera significativa dal punto di vista numerico, esistono e hanno un impatto molto grave. Il fatto che ancora ci siano numerosi attacchi di attivismo va ricondotto al conflitto in Ucraina, che come vi dicevo ha portato in linea generale a un aumento di attacchi di tipo attivista. Il fatto che ci siano anche in Italia così tanti attacchi di matrice cybercriminale va collegato alla diffusione di una maggiore facilità di accesso agli strumenti necessari per mettere in atto questi reati, cioè non dobbiamo pensare pensare che in Italia non esista il fenomeno del crime as a service, del cybercrime as a service. Quindi non dobbiamo pensare che qui in Italia non esista il fenomeno per cui io entro nel dark web e assoldo un cybercriminale perché compie un attacco contro un'azienda, un ente italiano. Non dobbiamo assolutamente ragionare in questo modo. Dobbiamo adottare in linea generale un approccio di sfiducia e pensare di essere sotto attacco, nel mirino. In questo modo possiamo tutelarci. Invece tendenzialmente vedo che purtroppo la realtà dei fatti è che si tende a pensare che qui in Italia le cose non succedono, invece succedono anche qui, e come. E qui notiamo, dal punto di vista delle distribuzioni delle vittime per categoria, un aspetto particolare. Cioè, noi non abbiamo al primo posto i multiple target, noi abbiamo news e multimedia. Ma questo dato purtroppo è falsato. È falsato perché lo spiega fra pochissimo. Ecco qua, fa proprio un approfondimento. In sostanza, c'è stato un singolo attacco, uno specifico attacco che ha sfruttato una vulnerabilità non conosciuta, quindi una vulnerabilità zero-day, per colpire il CMS più utilizzato dalle organizzazioni operanti nell'ambito dell'informazione. Quindi praticamente gli attaccanti hanno attaccato un singolo software utilizzato da tantissime testate giornalistiche e in generale multimedia. Questo ha portato a schizzare in alto i numeri dei cybercrime in questo settore, ma in realtà è un dato sostanzialmente falsato. Il Il punto è che in realtà questo attacco ha avuto veramente conseguenze gravi, nel senso che abbiamo 77 vittime colpite, di cui 62 in Italia, e 59 delle quali appartenenti al settore news e multimedia, e sono stati rubati i dati personali di 5 milioni di utenti. Quindi parliamo di password, di mail, date di nascita, altre informazioni. E giustamente il rapporto Clusit fa un approfondimento su quello che dobbiamo imparare da questo. E il problema qui qual è? È che tendenzialmente in Italia, o in generale in questi ambiti qua si ha una sola tecnologia informatica, quindi tipicamente un'applicazione, un servizio, che viene utilizzata in modo prevalente e presenta delle criticità di sicurezza. Immaginiamoci ad esempio che venga sferrato un attacco contro Gmail. Ovviamente non sarebbe un attacco rivolto a una singola azienda, ma tutte le aziende che usano Gmail nel loro sistema avrebbero dei gravissimi danni. E questo è quello successo. È un caso di dipendenza tecnologica, cioè io mi affido interamente a un servizio, a un software, a un'applicazione, a un sistema, ma se quell'applicazione, quel sistema subisce un attacco, tutti coloro che si appoggiano a quell'applicazione hanno un danno. E quindi questo è sostanzialmente quello che è successo. Questo attacco è andato talmente a buon fine che il settore news e multimedia è schizzato in cima alla classifica di delle vittime. Non a caso infatti la NIS2 ha introdotto, e questo viene anche un po' riportato qui in fondo, ha introdotto determinate misure di sicurezza per quanto riguarda determinati settori di maggiore criticità. Ma questo è ovvio. Pensiamo se lo stesso attacco fosse stato compiuto non contro un software utilizzato dalle testate giornalistiche, ma contro un software utilizzato dalla distribuzione alimentare, o come dice qui, logistica di beni e servizi ai cittadini. Cioè, i problemi sarebbero stati ancora più gravi. E quindi ovviamente nella NIS2 sono stati previsti determinati obblighi nei confronti di questi soggetti. Per lo stesso motivo, in realtà, e quindi grazie diciamo anche alla NIS2, vediamo che i settori finanziario e assicurativo tornano allo stesso numero del 2022, cioè abbiamo registrato in un anno 7 eventi, scompaiono dalla top 10. Questa è una notizia buonissima perché vuol dire che effettivamente regolamentare serve, perché nel momento in cui io inserisco degli obblighi che prevedono l'adozione di determinate misure, quelle misure vengono effettivamente adottate e hanno successo, cioè sono sufficienti a diminuire il numero di attacchi contro quel determinato target. Dal punto di vista dei tipi di attacco utilizzati in Italia, vediamo principalmente il malware, il DDoS, ma sempre per motivi magari più di tipo attivistico, e vediamo che iniziano ad aumentare gli incidenti basati sulle vulnerabilità, che prima erano probabilmente meno utilizzate in Italia. Ma questo sempre perché c'è stato quel famoso attacco contro le testate giornalistiche che si è basato proprio sulla vulnerabilità. Quindi anche questo dato è un po' falsato, purtroppo. Vediamo poi che resta una tecnica prediletta anche il social engineering, quindi lo sfruttare il fattore umano, che resta sempre il varco di accesso più facile. Iniziano poi a diminuire gli attacchi con tecniche non classificate, perché comunque adesso ci sono anche più obblighi informativi, per cui c'è più obbligo di dire non solo che si è svolto un attacco, ma anche come si è svolto. Per cui tendenzialmente vediamo che ci sono meno casi in cui un attacco viene reso noto ma senza che vengano rese note le tecniche utilizzate. Vediamo poi che iniziano a fare la loro comparsa anche le multiple technique, che sono indice di attacchi particolarmente sofisticati. Quindi dobbiamo stare attenti, perché veramente non solo sono aumentati gli attacchi a livello numerico, ma iniziano a essere anche più sofisticati. Vediamo poi un ultimo aspetto molto importante, che è che il numero di incidenti dovuti al phishing aumenta del 35%. Quindi siamo ancora alla fase in cui con una mail si può andare a provocare un incidente di sicurezza. Ma il problema è che aumenta anche il numero di incidenti che sfruttano il furto di identità, che rimane trascurabile semplicemente perché non vengono considerati nel campione perché hanno un impatto magari limitato. Il furto di identità tendenzialmente ha impatto su una persona, per cui non può essere considerato a livello di un rapporto che analizza tutti gli attacchi globali. Però aumentano gli incidenti che sfruttano il furto di identità, sono comunque molto pericolosi. Si parla proprio di truffe informatiche rivolte a persone, a piccole imprese. Dal punto di vista della gravità degli incidenti, abbiamo per la maggior parte incidenti di gravità alta, e poi abbiamo un 38% di gravità media e un 9% di gravità critica. E questa è una buona notizia, perché nel resto del mondo gli incidenti con gravità critica sono il 29%, noi solo il 9%. Quindi questa sicuramente è una buona notizia. Il rapporto prosegue poi andando ad analizzare quello che si può fare, sostanzialmente. Quindi abbiamo visto i trend, abbiamo visto i tipi di attacchi, le vittime, via dicendo. Andiamo a capire che cosa possiamo fare. In linea generale, quello che viene considerato e consigliato all'interno del rapporto è di fare queste cose qua, cioè iniziare ad avere delle governance di sicurezza, iniziare ad aumentare la propria capacità di identificare, analizzare, valutare, gestire i rischi con misure preventive e di mitigazione, quindi per ridurre la possibilità che si verifichi un attacco, ma anche per ridurre la possibile gravità di questo attacco. Cosa che ovviamente dice il rapporto Clusit, ma dice anche la NIS2, lo diceva anche il Gdpr, di fatto, perché comunque dava dei generali obblighi di accountability al titolare del trattamento, che assolutamente non vengono meno, anzi diventano più forti con l'aumento della regolamentazione in tema cybersecurity. E ovviamente, quindi, oltre al NIS2 e al GDPR, teniamo conto anche di quello che ad esempio stabilisce la CNIL, l'Agenzia per la Cyber Sicurezza Nazionale, e in generale tutte le novità normative di questo settore. Quindi, senza andare a chiudere gli occhi davanti alle normative precedenti, ma chiaramente anche cercando di capire quali sono le nuove best practice da attuare in questo settore. Così come ovviamente non si può tacere del regolamento sull'intelligenza artificiale, quindi l'AI Act, che come dice il rapporto deve essere l'occasione di partire con una tecnologia sostanzialmente ancora nuova, che è quella dell'intelligenza artificiale, già nei binari giusti. Quindi partiamo già con un'implementazione in azienda, nell'ente, di intelligenza artificiale, partendo già da un percorso che abbia la compliance come punto di partenza. E poi andando avanti chiaramente implementi la tecnologia in sé. Secondo un concetto che tra l'altro è noto a chi si occupa ad esempio di privacy, esisteva la privacy by design, esiste ancora, se ne parla ovviamente, ma dobbiamo iniziare a ragionare anche secondo logiche di security by design. Quindi partiamo avendo la sicurezza come punto di partenza e poi il resto viene a seguire. Da questa velocissima analisi del rapporto Clusit, che comunque vi invito a leggere per intero perché è davvero molto interessante, emergono alcuni spunti di riflessione molto importanti di cui dobbiamo fare tesoro per migliorare la nostra sicurezza. 1. L'Italia è nel mirino. L'Italia resta un obiettivo preferenziale degli attacchi cyber. Nel 2024 ha subito il 10% degli incidenti globali, nonostante rappresenti solo lo 0,7% della popolazione globale. Dobbiamo quindi, è una cosa fondamentale, incrementare le misure di difesa anche nostre e dobbiamo soprattutto smettere di pensare che attacchi siano qualcosa che succede da un'altra parte. Gli attacchi cyber succedono anche qui in Italia. 2. Il cybercrime è in crescita costante. Il cybercrime resta la principale causa degli incidenti di sicurezza e adesso non bisogna nemmeno più essere degli esperti, vista la diffusione degli attacchi venduti as a service. Quindi adesso anche un meno esperto può semplicemente entrare nel dark web e assoldare qualcuno che compia l'attacco al posto suo. 3. Settori più colpiti in Italia. A parte l'eccezionale caso del settore news e multimedia, che come dice anche il rapporto probabilmente non dovrebbe essere considerato un trend quanto un exploit limitato al 2024, restano in pericolo il settore manifatturiero e le pubbliche amministrazioni, così come rimane molto incisiva la quantità di attacchi con target multipli, che quindi non cercano di attaccare una realtà specifica, ma cercano, diciamo, di attaccare in modo indiscriminato, più in realtà cercando di far cascare il maggior numero di persone possibili. Per cui è importante che tutti ci tuteliamo, anche se la nostra azienda non rientra fra le più colpite, quindi non è nel settore news, non è nel settore manifatturiero, non è nella pubblica amministrazione. Teniamo in considerazione che, visto che rimane molto rilevante il settore degli attacchi che hanno target multipli, la nostra azienda è all'interno di quei target multipli. Quindi è importante proteggerci. 4. Aumento significativo degli attacchi di ingegneria sociale. Nel 2024 si è registrato un aumento degli attacchi di phishing in Italia del 33%. Questo è sintomo di una scarsa consapevolezza riguardo alla necessità che il personale sia adeguatamente formato per riconoscere, contrastare queste tecniche di attacco, che sono tecniche che mirano proprio al fattore umano. Quindi aumentiamo la formazione del personale, rendiamo il personale consapevole di quali sono i rischi cyber per diminuire in modo impattante la quantità di attacchi che si possono verificare. 5. Effetto positivo delle nuove normative come la NIST 2. Le nuove normative come la NIST 2 stanno producendo effetti positivi, portando alcune realtà, ad esempio nel settore finanziario, a un'effettiva diminuzione degli incidenti grazie all'obbligo di adottare delle misure adeguate. Questo indica l'importanza della compliance normativa per ridurre i rischi. Bene, spero che la mia riflessione vi sia piaciuta. Vi invito comunque ad approfondire l'argomento e ad andare a leggervi il magari proprio andando ad analizzare più nel dettaglio le realtà che vi toccano da vicino. Noi ci vediamo al prossimo video. Se vi è piaciuto questo video, lasciate un commento e iscrivetevi al canale.