Cybercrime, tra false multe e AI: gli alert della Polizia Postale

Marcello La Bella, Dirigente Centro Operativo Sicurezza Cibernetica Sicilia Orientale della Polizia di Stato spiega come truffe online, intelligenza artificiale e quishing (una nuova forma di phishing che colpisce tramite QR code) colpiscono imprese e cittadini e cosa bisogna fare per difendersi

 

Negli ultimi mesi diversi enti pubblici italiani – dai Comuni alle aziende sanitarie – sono stati bersaglio di attacchi hacker che hanno paralizzato servizi e messo a rischio dati sensibili. Un panorama in continua evoluzione, dove accanto a ransomware e phishing sempre più sofisticati. Non ultime emergono le nuove truffe locali, come le false multe che sembrano provenire dal Comune di Catania.

A lanciare l’allarme e a spiegare le possibili contromisure è Marcello La Bella, Dirigente Centro Operativo Sicurezza Cibernetica Sicilia Orientale della Polizia di Stato, che analizza le minacce e sottolinea l’importanza di un concetto semplice ma efficace: «La prudenza resta l’arma migliore per difendersi».

• Dott. La Bella come si è evoluto il panorama dei cyber attacchi in Italia dal 2023 a oggi e quali sono le principali minacce che avete riscontrato a carico di aziende e privati?

«Gli ultimi due anni si caratterizzano per una sensibile crescita di casi con un aumento sia in numero che in sofisticazione degli attacchi informatici. L’Italia è uno tra i Paesi più colpiti in Europa e nel mondo, con settori particolarmente nel mirino come quello della sanità, delle aziende commerciali, della pubblica amministrazione e delle telecomunicazioni. Basti pensare al riguardo che, solo nel 2024, il CNAIPIC (Centro nazionale anticrimine informatico per la protezione delle infrastrutture critiche), organo del nostro Servizio Polizia Postale e per la Sicurezza Cibernetica, ha gestito circa 12.000 attacchi informatici significativi, diramando oltre 59.000 alert per prevenire e contrastare attacchi ai sistemi informatizzati di interesse nazionale.

«Le minacce principali e più pericolose sono sicuramente quelle riferibili ai ransomware, con gruppi criminali che utilizzano strategie sempre più aggressive e decentralizzate, alla diffusione di virus/malware polimorfici potenziati dall’Intelligenza Artificiale che mutano per evitare i sistemi di difesa, agli attacchi con Remote Access Trojan per il controllo totale dei dispositivi infettati nonché ai phishing sempre più sofisticati, spesso realizzati con intelligenza artificiale».

• Tra le diverse tipologie di frode informatica (come Phishing, Smishing, Ransomware, truffe tramite Fake Invoice o Business Email Compromise), quali rappresentano la maggiore preoccupazione per la Polizia Postale oggi?

«Tutte le tipologie di frodi elencate rappresentano un potenziale pericolo per gli utenti: un ransomware può portare alla perdita di dati importanti spesso essenziali per l’azienda, l’ente o il singolo che viene colpito. Un attacco B.E.C. (Business Email Compromise) – prosegue La Bella – può comportare un danno per parecchie migliaia di euro e un phishing può condurre all’accesso a nostri dati personali importanti o al nostro conto corrente. A queste se ne aggiungono sempre di nuove come il quishing, ovvero una forma di attacco di phishing che sfrutta i codici QR per ingannare gli utenti e indirizzarli verso siti web dannosi o al download di malware».

• Quali consigli pratici potete dare a cittadini e imprese per difendersi efficacemente da queste minacce?

«Per una efficace prevenzione sono necessari, ma non bastevoli, protezioni dei dispositivi e dei computer quali anti virus (che bisogna frequentemente aggiornare), firewall e costanti aggiornamenti dei sistemi operativi e dei programmi ma è soprattutto il comportamento umano che deve costituire un efficace difesa. Considerato che molti attacchi originano da negligenze o errori umani bisogna quanto mai promuovere una cultura della sicurezza. L’utente deve essere consapevole dei rischi, essere opportunamente formato e informato, e sapere che la prudenza rimane sempre l’arma migliore.

«È fondamentale – aggiunge La Bella – che aziende e pubblica amministrazione implementino i piani specifici di gestione del rischio informatico, che definiscano ruoli e responsabilità per la sicurezza di dati, sistemi e infrastrutture critiche, con una formazione adeguata del personale. Come Polizia di Stato da tempo realizziamo campagne di informazione, partendo dalle scuole primarie fino alla partecipazione a seminari e incontri formativi presso strutture ospedaliere e associazioni di categoria, con cui abbiamo stipulato protocolli di sicurezza».

• Le Multe Non Riconducibili. Recentemente, abbiamo assistito a un aumento delle segnalazioni relative a multe false o non riconducibili, come quelle che sembrano provenire dal Comune di Catania. Quali sono le caratteristiche principali di questa nuova tipologia di truffa e quali misure preventive e di denuncia consigliate ai cittadini che dovessero riceverle?

«Conosciamo la vicenda e stiamo effettuando gli opportuni approfondimenti investigativi. Chi riceve queste false multe, finalizzate alla consumazione di una truffa, oltre a un’attenta analisi visiva, che già di per sé basterebbe a fare emergere anche grossolani errori nella stessa, nonché ad accorgersi di sistemi di pagamento impropri che vengono indicati, può sempre rivolgersi direttamente all’ente interessato per confermare l’autenticità».

• L’intelligenza artificiale (AI) sta diventando sempre più diffusa, e viene usata sia per potenziare gli strumenti di cyber sicurezza sia per lanciare attacchi più sofisticati. In che modo l’AI sta cambiando le strategie dei criminali informatici e quali sono le sfide che la Polizia Postale sta affrontando in questo nuovo contesto?

«L’intelligenza artificiale non rappresenta solo una delle più importanti rivoluzioni tecnologiche del nostro tempo ma è anche terreno fertile per la criminalità. Infatti, da tempo si parla di M.U.A.I. Malicious Use of Artificial Intelligence. È ovvio che il cyber- crime continuerà ad evolvere e a trasformarsi di pari passo con il progresso tecnologico. I campi di applicazione in ambito criminale sono svariati: dalla pornografia minorile virtuale al Revenge porn e al sextortion, dall’utilizzo di voci clonate per le frodi a un phishing potenziato ovvero la possibilità, con algoritmi di apprendimento automatico, di analizzare grandi quantità di dati – conclude La Bella – per creare messaggi personalizzati e convincenti che aggirano le misure di sicurezza tradizionali».

Il decalogo del Clusit

A completare i consigli, vale la pena ricordare il Decalogo del Clusit (Associazione Italiana per la Sicurezza Informatica), che ha sintetizzato le regole base per la sicurezza digitale in un manuale per gli utenti:

1. Informati e formati sulle minacce ai tuoi dati e alla tua identità.
2. Proteggi la tua identità online: mantieni il controllo dei tuoi dati.
3. Proteggi l’accesso ai tuoi account, usando l’autenticazione a più fattori.
4. Proteggi i tuoi dati personali sui social, condividendo solo l’indispensabile.
5. Blocca i tuoi dispositivi quando ti allontani.
6. Abilita la cancellazione dati da remoto in caso di furto o smarrimento.
7. Aggiorna costantemente il software e installa un antimalware.
8. Effettua backup periodici dei tuoi dati.
9. Lavora in sicurezza da remoto usando sempre una VPN.
10. Non fidarti mai, verifica sempre: anche gli account apparentemente affidabili possono nascondere truffe.