Il cybercrime costa quanto il Pil svizzero

Il cybercrime rappresenta un grosso rischio per la sicurezza di imprese e di intere nazioni. Ne abbiamo parlato con Alessandro Piva, direttore dell’Osservatorio Information Security & Privacy del Politecnico di Milano.

Furti di identità online, clonazioni di carte di credito, violazioni di banche dati. Il crimine nell’era digitale corre sul filo del web e rischia di fare danni enormi, soprattutto dal punto di vista economico. Il giro di affari è da fare saltare sulla sedia il ministro del Tesoro di un Paese come la Svizzera: oggi i cyber criminali ci costano qualcosa come 650 miliardi di dollari ogni anno, pari al Pil della ricca nazione elvetica e se il trend continuerà con questo ritmo, nel 2020 si arriverà a toccare, se non a superare, i 1.000 miliardi di dollari. Per rimanere in tema è come se tutta la ricchezza prodotta dalla Corea del Sud, una delle economie più avanzate dell’Estremo Oriente, andasse in fumo. Si tratta di numeri snocciolati di recente da una ricerca condotta da IDC, società specializzata negli studi sull’information technology. Ma non si tratta dell’unico grido di allarme.

Il Global Economic Crime Survey 2016 di Pwc ha messo in evidenza come il cybercrime sia balzato nel 2016 al secondo posto dei crimini economici maggiormente denunciati dalle aziende. L’ultimo caso in ordine di tempo è stato reso noto nel dicembre 2016: si tratta della violazione di oltre un miliardo di account custoditi nel sistema informatico di Yahoo. Il colosso statunitense aveva subito un altro assalto poche settimane prima: in quel caso erano finiti nelle mani dei criminali informatici qualcosa come 500 milioni di nomi, indirizzi e-mail, numeri di telefono. Basta questo a dimostrare come l’aumento esponenziale dell’uso della Rete da opportunità di crescita possa anche trasformarsi in rischio. E di rischi abbiamo parlato con Alessandro Piva, direttore dell’Osservatorio Information Security & Privacy del Politecnico di Milano che ha anche realizzato un’analisi su questo argomento, prendendo in considerazione aziende di medie e grandi dimensioni.

Secondo lo studio le direttrici di attacco dei nemici informatici sono abbastanza identificabili: le insidie provengono da fonti esterne come le associazioni criminali (58% dei casi) o gli hacktivist (46%), ma sono frequenti anche le minacce interne rappresentate dagli stessi dipendenti (49%) o da consulenti (30%). Che forma possono assumere queste minacce? «Le più varie – spiega il professore Piva –  anche se le più diffuse negli ultimi due anni, secondo la ricerca dell’Osservatorio, sono quelle dei malware, ovvero software studiati per accedere segretamente a un dispositivo senza l’autorizzazione dell’utente (80%), del phishing, che si realizza inviando un’e-mail in cui il criminale si spaccia per una nota società finanziaria o banca per spingere l’utente a fornire dati riservati (70%), ma anche attacchi ransomware. Si tratta di un tipo di malware che limita l’accesso al dispositivo che infetta chiedendo un riscatto per renderlo nuovamente accessibile (37%). Poi ci sono le frodi (37%). Non è un caso se il 95% delle grandi aziende italiane stia già compiendo azioni di sensibilizzazione sui propri dipendenti per limitare i rischi per la sicurezza. Ma non è ancora sufficiente. All’estero le grandi imprese – continua Piva – sono ormai da tempo dotate di figure preposte a contrastare questo tipo di pericoli. Sono i famosi Ciso, ovvero i Chief information security officer, che possono contare su risorse e team dedicati. Nel nostro Paese, invece, spesso il contrasto è demandato a strutture sottoposte all’It: l’ideale sarebbe giocare d’anticipo, ovvero orientarsi verso un approccio di security by design. Le imprese, in sostanza, dovrebbero adottare sistemi informatici con alti standard di sicurezza fin dalla progettazione per non essere costrette a correre ai ripari quando ormai è troppo tardi. Un problema, questo, che riguarda non solo le aziende private, ma anche le istituzioni pubbliche, soprattutto in questo contesto storico nel quale il cyber terrorismo è quanto mai una minaccia da prendere in considerazione».

I cyber risks sono una minaccia attesa

Del resto secondo il Global Economic Crime Survey 2016 il 34% delle aziende ritiene che sarà colpita dal crimine informatico nei prossimi due anni. Tanto vale essere pronti, allora, ma «spesso – continua Piva –  si registra una scarsa consapevolezza in particolare nel top management, della necessità di dotarsi delle armi e delle strutture adatte a prevenire questi rischi».

Eppure per tutelarsi già oggi aziende e privati hanno la possibilità di coprirsi con polizze ad hoc. Secondo il Financial Times il comparto delle assicurazioni a difesa dei crimini informatici è destinato a crescere a un tasso annuo tra il 30 e il 40% fino a raggiungere nel 2020 un volume di premi di 15 miliardi di dollari e anche in Italia il mercato mostra segnali di accelerazione. Il gruppo Unipol, per esempio, nell’ambito del prodotto Unipolsai Commercio & Servizi ​​ha questa protezione tra le Garanzie Facoltative e garantisce oltre all’indennizzo per i danni arrecati da virus o malware, anche uno specifico servizio di assistenza per la risoluzione dei malfunzionamenti software o per la ricostruzione di dati e archivi.

Tanto più che la breccia aperta nei sistemi di Yahoo! dimostra come oggi siamo tutti a rischio di attacco digitale. «Quello che gli utenti possono fare – conclude il ricercatore ​- è porre adeguata attenzione a dei semplici ma fondamentali comportamenti: come cambiare di frequente le password dei propri account, avere estrema cura ai servizi a cui si cedono informazioni personali sul web, non aprire link o scaricare file provenienti da fonti sospette o non verificate».