Cybersecurity e le insidie di NoName. Matteo Colombo, Privacy Desk Suisse: «Con l’AI gli attacchi diventano più pericolosi»

Nelle scorse settimane, il gruppo di cybercriminali «No Name» ha preso di mira i siti delle autorità cantonali e federali. Dopo che tra il 7 e l’8 giugno aveva mandato in palla il sito web del Parlamento svizzero, rivendicando poi successivamente l’attacco sul proprio canale Telegram. NoName è «noto per aver preso di mira organizzazioni ucraine ed europee, lanciando un cosiddetto attacco DDoS (Distributed Denial-of-Service)», ci spiega Matteo Colombo direttore di Privacy Desk Suisse SA. Per mettere a segno un’incursione del genere, viene utilizzata «un’ampia rete di computer o dispositivi per sovraccaricare un sistema o un servizio online, rendendolo inaccessibile agli utenti legittimi». Sostanzialmente, «durante un attacco DDoS, una grande quantità di traffico viene inviata simultaneamente al sistema di destinazione, saturando le risorse disponibili, come la larghezza di banda o la capacità di elaborazione».

Che conseguenze ci sono?
«Causa un’interruzione del servizio, impedendo agli utenti di accedere al sistema o al sito web target. Questo genere di attacchi possono essere eseguiti utilizzando botnet, ovvero reti di computer compromessi controllati da un attaccante».

Qual è l’obiettivo di un attacco DDos?
«Può essere quello di danneggiare l’immagine di un’organizzazione, causare perdite finanziarie o interrompere le operazioni di un’azienda o di un’istituzione. Per mitigarli, sono necessarie soluzioni di sicurezza specializzate in grado di rilevare e filtrare il traffico dannoso».

Come agisce il gruppo NoName?
«Si è attivato a partire da marzo del 2022, a seguito dell’invasione dell’Ucraina da parte della Russia: nel corso di questi mesi hanno attaccato diverse volte gli enti governativi e le infrastrutture digitali dell’Ucraina e dei Paesi che la sostengono. NoName solitamente il gruppo mette in atto i citati attacchi DDoS.
Per esempio, in Italia, dopo aver attaccato i siti web del ministero del Lavoro e della Difesa, il gruppo in un messaggio su Telegram ha scritto in russo: “Quanti siti italiani pensate che saranno vittime dei nostri disagi oggi?”, lasciando intendere quindi che quello al ministero del Lavoro sarebbe stato il primo di una serie di attacchi informatici.
Dopo la rivendicazione ha fatto seguito un altro messaggio: “La vittoria sarà nostra”, con l’emoji della bandiera russa».

Come si possono prevenire questi attacchi?
«Le misure da adottare sono molteplici, fra queste ricordo: installare un sistema di mitigazione DDoS, come un firewall o un servizio di protezione DDoS; investire in un’infrastruttura che supporti il bilanciamento del carico e la scalabilità e distribuire il carico tra più server o servizi, in modo che un attacco DDoS non riesca a sovraccaricare un singolo punto di ingresso. Utilizzare servizi di content delivery network (CDN), che possono aiutare a mitigare gli attacchi DDoS distribuendo la tua infrastruttura su server geograficamente dispersi. In questo modo, il traffico dannoso viene suddiviso tra più server e l’effetto di un attacco viene ridotto».

Quali altre?
«Filtrare il traffico indesiderato tramite filtri e regole di sicurezza per bloccare o limitare il traffico proveniente da indirizzi IP sospetti o noti per essere associati ad attacchi DDoS. Attuare un monitoraggio costante delle attività del sistema, inclusi i log di accesso e il traffico di rete per individuare tempestivamente eventuali anomalie o segnali di un attacco imminente. Infine è essenziale essere formati e consapevoli: la formazione regolare ai dipendenti o utenti aumenta la consapevolezza sulla sicurezza informatica e sull’importanza di pratiche sicure, come l’utilizzo di password forti e la segnalazione tempestiva di attività sospette».

Con l’introduzione della nuova Legge sulla protezione dei dati (LPD) il 1° settembre 2023 cambierà qualcosa nella Confederazione Elvetica?
«La LPD disciplina il trattamento dei dati personali da parte degli organi federali e del settore privato. Nel contesto delle violazioni dei dati, stabilisce che il Titolare del trattamento è tenuto a prendere misure tecniche e organizzative adeguate per proteggere i dati personali da accesso, divulgazione, alterazione o distruzione non autorizzati. In caso di violazione dei dati personali che potrebbe comportare un rischio elevato per i diritti e le libertà delle persone interessate, le organizzazioni devono notificare l’autorità di protezione dei dati svizzera e, in alcuni casi, anche gli individui interessati. Per esempio, gli attacchi DDoS che rendono non disponibili servizi on line potrebbero ricadere in questa fattispecie: si pensi al blocco di siti web che rilasciano servizi on line per i cittadini».

Sono previste anche delle sanzioni?
«La norma svizzera prevede responsabilità penali in capo ai privati che non rispettino i requisiti minimi di sicurezza dei dati che saranno emanati dal Consiglio federale».

L’Intelligenza artificiale (AI) potrebbe aumentare il grado di severità degli attacchi?
«Potenzialmente sì e in diversi modi. Per esempio potrebbe essere utilizzata per automatizzare e accelerare gli attacchi informatici. Per migliorarne l’efficacia, essendo addestrata a individuare e sfruttare vulnerabilità nei sistemi di sicurezza. Per mettere a segno attacchi molto specifici, destinati a individui o organizzazioni particolari; può infatti analizzare enormi quantità di dati per identificare modelli di comportamento e utilizzare queste informazioni per creare email di phishing altamente credibili».

Gli attacchi diventeranno sempre più sofisticati dunque.
«Man mano che le organizzazioni utilizzano sempre più l’AI per migliorare la loro sicurezza informatica, gli attaccanti possono sviluppare AI progettate specificamente per combattere queste difese. Questo potrebbe portare a una sorta di "corsa agli armamenti" tra attaccanti e difensori».

L’AI potrebbe essere usata anche per migliorare la sicurezza informatica?
«Sì, per rilevare e rispondere agli attacchi in modo più rapido ed efficace rispetto agli esseri umani. Può essere inoltre addestrata a identificare e correggere vulnerabilità nei sistemi di sicurezza; tutto questo nel rispetto però della normativa sulla protezione dei dati».

Come fare per non farsi cogliere impreparati agli attacchi del futuro?
«È importante prevedere l’affiancamento di un consulente della protezione dei dati (DPO) ai soggetti deputati a definire le politiche di difesa dei dati nelle aziende, potrebbe essere una misura opportuna per molte organizzazioni anche nella Confederazione Elvetica; così come avvenuto in Unione Europea dove più di 700.000 organizzazioni hanno individuato un DPO».