Gazzetta di Reggio

Spiano i profili social dei dipendenti, si infilano nei loro computer aziendali tramite una mail malevola e ti bloccano le macchine finché non paghi un riscatto magari per centinaia di migliaia di euro. Uno schema che si ripete ormai anche in Italia, Pmi comprese, finite sotto attacco da hacker introvabili, che si fanno pagare profumatamente altrimenti l’azienda, il pagamento piuttosto che la spedizione, viene bloccata mettendo così a repentaglio la continuità aziendale. Fantascienza? No purtroppo, è realtà di tutti i giorni, raccontata però solo in parte. In Emilia nel 2019 a dirlo apertamente fu ad esempio la famiglia Bonfiglioli di Bologna, che decise però di non pagare il riscatto da 2,4 milioni. «Una mosca bianca però», come ci racconta il professor Michele Colajanni, docente del dipartimento di informatica all’università di Bologna, Fondatore della Cyber Academy per la formazione di hacker etici e del Centro di Ricerca Interdipartimentale sulla Sicurezza e Prevenzione dei Rischi (Cris) all’Università di Modena e Reggio Emilia. «Il cybercrime ormai è un’industria. Difendersi è difficile ma necessario. Servono conoscenza e risorse contro questi criminali che sono organizzati e specializzati».

Professor Colajanni, dal piccolo correntista in banca alla grande impresa, nessuno si salva dagli attacchi informatici. Perché non c’è sosta?

«Come cittadini siamo noi a offrire dati gratis in giro. Abbiamo questa tendenza sociale ed esibizionistica. Poi c’è il tema aziende, che hanno diversi livelli di maturità informatica e quindi sulla cybersicurezza. Dobbiamo capire che dall’altra parte abbiamo dei criminali che si muovono come tali e hanno come scopo il fare soldi nel minor tempo possibile».

Non ci sono solo ragazzini perditempo che giocano al computer quindi?

«Diciamo che i ragazzini sono cresciuti e hanno capito che si potevano fare tanti soldi. Il crimine informatico è diventato infatti un’industria matura che come tale ha diverse specializzazioni».

Ma sparano al buio o hanno obiettivi precisi?

«Ci sono i criminali che puntano a guadagnare pochi soldi da tanta gente, quindi piccole truffe o ricatti ma con migliaia di obiettivi. Magari chiedono 500 euro a 500 aziende. Diventa redditizio con poco sforzo. Colgono, come si dice, i frutti bassi. Sono crimini tipicamente automatizzati e che vanno a cercare le aziende non difese. Avendo 4 milioni di aziende in Italia, si immagini che platea. Poi ci sono i crimini organizzati e mirati, che puntano a una specifica azienda. I marchi più noti alle volte finiscono sui giornali. Gli hacker si muovono come nei film in cui si assalta una banca senza essere presenti. Fanno intelligence ma al posto del monitoraggio fisico dell’obiettivo usano il web e i social, soprattutto il “pericolosissimo” LinkedIn. Un social professionale diventato anche la sorgente informativa più utile per questi criminali perché vedono i dipendenti dove lavorano e che ruolo hanno. Li agganciano, quasi sempre via mail, per indurli a visitare un sito o scaricare un allegato. Chiaramente il sito è malevolo e l’allegato contiene un virus. Da lì conquistano poi il computer di un qualsiasi dipendente e quando hanno un piede in azienda raggiungono l’obiettivo».

Quindi il cavallo di troia sono i dipendenti?

«Dire che in più del 90% dei casi succede così. C’è un caso di un’azienda famosa dove hanno attaccato il manutentore dell’aria condizionata per poter poi mandare mail credibili all’azienda cliente che si fidava ciecamente».

I virus degli anni ’90 a confronto sono un raffreddore?

«Oggi abbiamo bande organizzate di persone molto determinate e competenti. Questa è gente che tramite automazioni informatiche oggi produce 200-300mila virus al giorno».

Usano quindi anche l’intelligenza artificiale per produrre minacce su scala industriale?

«Sì. Per questo parlo di industria matura. E c’è chi è bravo a produrre un virus ma non è detto che abbia competenza per riciclare il denaro di un ricatto».

Quando sei stato attaccato ti puoi difendere o ormai è troppo tardi?

«L’unica persona che ha parlato chiaramente è stata Sonia Bonfiglioli che io ho ringraziato tantissimo quando è venuta in Confindustria. Devo dire che purtroppo oggi si tende a pagare cercando un compromesso. Questi sono criminali e devono fare soldi. Ci sono degli esperti negoziatori che chiedono 3 milioni però sanno qual è la cifra minima a cui devono arrivare. Tipicamente con 500mila si risolve. Ci sono poi pseudo aziende straniere che in realtà sono complici: le paghi, risolvono il problema ma perché sono in combutta. Inoltre un’azienda italiana non può pagare un riscatto. Può semmai pagare un servizio informatico. Quindi siamo di fronte a una situazione molto sofisticata».

Oltre il danno, la beffa. Ma si capisce cos’è lecito o illecito?

«Per questo la prevenzione resta fondamentale e l’Italia non ha questa cultura nel Dna. Non ci piace spendere prima. L’altra cosa è la cultura della mitigazione del danno: se succede qualcosa, si va in panico. Bisogna investire».

Si può sperare in un’offensiva dello Stato?

«C’è un problema enorme: il 99% di questi criminali risiede all’estero e le nostre autorità hanno giurisdizione fino al confine. La Russia ha una tradizione sugli hacker già dalla fine del blocco sovietico. Ma sono bravi anche in Brasile».

Far migrare e concentrare i nostri archivi sul cloud non significa esporci agli attacchi?

«Servono difese forti. Nel 2021 si stimano furti e danni per mille miliardi di dollari nel mondo».

Con il Covid e lo smartworking com’è andata?

«Il lavoro da casa è stato disastroso. Con lo stesso pc con cui tuo figlio gioca o va su certi siti è dura. Infatti la raccomandazione minima per chi fa smart è che usi un computer per fare solo quello. Serve poi una persona che in azienda si occupi davvero di cybersicurezza». —