Sono soprattutto le PMI, il cuore dell’economia italiana, con un fatturato inferiore a 250 milioni di euro a essere quelle prese più di mira dai criminali informatici: un’azienda di piccole dimensioni investe meno nella cybersecurity, non ha le giuste tecnologie né il personale dedicato, e di conseguenza è molto meno protetta. Inoltre, potrebbe non aver configurato correttamente i sistemi di backup, e in caso di un attacco ransomware si ritroverebbe costretta a pagare un riscatto per poter riprendere l’attività.
Insomma, un livello di rischio in costante crescita, anche perché, secondo tutte le proiezioni, i criminali diventeranno sempre più abili nel trovare nuove modalità per entrare nei sistemi informatici, anche grazie alla diffusione massiva di applicazioni e programmi di intelligenza artificiale, come l’ormai nota ChatGPT.
Un rischio che si può limitare partendo innanzitutto dalla trasformazione del comportamento delle persone.
Il cybercrime potenziato dall’IA generativa
Uno strumento, ChatGPT, dalle enormi potenzialità, che aiuta a lavorare più velocemente, ma che potrebbe trasformarsi in un alleato molto pericoloso se lasciato nelle mani sbagliate: basti pensare che permette di scrivere malware, o e-mail di phishing, di qualità molto superiore rispetto alla maggior parte di quelli che un vero hacker potrebbe creare.
Per fare un esempio, un malintenzionato potrebbe utilizzare ChatGPT o piattaforme simili per generare e-mail di phishing molto realistiche, prive di tutti quegli indizi che ci costringevano a dubitare, come gli errori ortografici.
Inoltre, chi ha competenze più avanzate, potrebbe recuperare diverse informazioni da una casella di posta elettronica aziendale compromessa, e usarle per addestrare un modello di AI personalizzato. Il risultato sarebbe uno strumento di intelligenza artificiale generativa in grado di comporre interi paragrafi e riscrivere frasi complicate.
Senza considerare i danni reputazionali nel caso in cui tale modello venisse utilizzato per generare notizie e comunicati stampa fake, piuttosto che false recensioni dei clienti e altro ancora. Tutti rischi già esistenti, ma che oggi richiedono tempo e denaro.
Al netto delle opportunità che riservano, le AI come ChatGPT apriranno sicuramente la porta a nuovi e infiniti modi di fare crimine online, davanti ai quali non potremo farci trovare impreparati.
Per questo un’efficace cultura di awareness aziendale sarà sempre più determinante, così come una formazione permanente di addestramento continuo.
I numeri del fenomeno cybercrime
È l’Autorità Garante per la protezione dei dati personali a diffondere i dati sulla sicurezza informatica, a seguito di una collaborazione stretta con l’Agenzia Nazionale per la cybersicurezza. I dati sono stati presentati lo scorso 6 luglio alla Camera, e ci parlano di 1.351 data breach notificati nel 2022 al Garante da soggetti pubblici e privati. Nel settore pubblico (31,2% dei casi), le violazioni hanno riguardato soprattutto comuni, istituti scolastici e strutture sanitarie. Nel settore privato (68,8% dei casi) sono stati coinvolte sia PMI che grandi società del settore delle telecomunicazioni, energetico, bancario e dei servizi. Nei casi più gravi sono stati adottati dall’Autorità Garante dei provvedimenti di tipo sanzionatorio.
Un’ulteriore conferma, semmai ce ne fosse bisogno, di quanto il problema della sicurezza sia grave e incida in modo preoccupante sul fronte della tutela dei dati personali.
È stato lo stesso Garante, Pasquale Stanzone, a ricordare i dati Clusit, che hanno registrato nel 2022 il valore più alto di attacchi cyber a livello globale, con un impatto critico nell’80% dei casi. E l’Italia è risultata, secondo l’Agenzia per la cybersicurezza nazionale, tra i Paesi maggiormente interessati dalla diffusione di malware e da attacchi cibernetici mirati.
Tra i settori più colpiti, al primo posto quello governativo con il 20% degli attacchi; quello manufatturiero con il 19% delle azioni criminali e quello sanitario, che, secondo IBM, ha registrato il costo medio più alto per violazione. Parliamo di un settore, quest’ultimo, particolarmente delicato per quello che riguarda le violazioni dei dati sensibili.
Anche il settore privato non si sottrae agli attacchi ransomware: tra le più colpite le aziende della grande distribuzione organizzata, della moda e del sistema bancario e finanziario.
Riconoscere il cybercrime per combatterlo
Oggi bisogna essere consapevoli dell’evolversi dei rischi del mondo cibernetico, esercitarsi nella pratica per riconoscerli, e addestrarsi continuamente sulle tecniche di difesa e sui loro continui aggiornamenti.
Creare barriere di sicurezza sempre più forti per proteggere le aziende è dunque una priorità assoluta. Non solo implementando tutte le misure di sicurezza tecnologica necessarie, ma avvalendosi di una piattaforma di security awareness avanzata, che consenta a ogni dipendente, a prescindere dal ruolo che svolge, di trasformarsi nella prima barriera antihacker. Una barriera in grado di riconoscere immediatamente l’elemento di rischio, grazie all’esercizio continuo, e fermarlo in tempo.
Solo in questo modo sarà possibile proteggere i dati aziendali, ed evitare i danni di eventuali attacchi che, come è facile immaginare, diventeranno sempre più subdoli e pericolosi.
Il fattore umano
Il fattore umano è e resterà, il primo e più importante ostacolo per difendersi dagli attacchi cyber, ma solo se si lavora per trasformarlo in una barriera inaccessibile anche ai più sofisticati e astuti malintenzionati.
Trasformare il comportamento delle persone è fondamentale, per questo le aziende devono affidarsi a programmi formativi realmente efficaci che non basano l’addestramento su trappole di phishing conosciute da tutti, come l’uso di testo sgrammaticato o di argomenti sospetti.
Ad esempio, è possibile utilizzare modello di Machine Learning in grado di offrire un approccio personalizzato e, soprattutto, adattivo, che rende il training molto più efficace e adatto ad affrontare le nuove tecniche di attacco cyber, come quelle che derivano da un utilizzo malevolo dell’AI.
La grande sensibilizzazione e la consapevolezza dei rischi, diffusa tra tutti i dipendenti, nonché una capacità di risposta alle diverse tipologie di attacco tarata su ogni individuo è l’unica risposta per creare una barriera inattaccabile per qualsiasi hacker.
