Abbiamo chiesto cosa succede con questi attacchi hacker a chi cerca di fermarli: intervista ad ACN

Apparecchi mandati in tilt da remoto, archivi anagrafici violati e dati personali finiti nelle mani sbagliate. Gli attacchi informatici non sono più soltanto una minaccia confinata nei server di aziende e istituzioni, ma possono paralizzare servizi e compromettere infrastrutture strategiche, con conseguenze che impattano fortemente sulla vita quotidiana dei cittadini. Negli ultimi mesi i casi critici sono stati parecchi. Soltanto un paio di giorni fa, un attacco hacker ha mandato i tilt centinaia di frigoriferi in tutta Europa, Italia inclusa. Una strategia di attacco che tre settimane prima aveva colpito diverse catene di supermercati in Francia, provocando danni per milioni di euro. Ancora più clamoroso il recente attacco al sistema informatico Camera dei Deputati dove, tra le altre cose, sono state violate le mail di Andrea Delmastro, Paolo Formentini e, soprattutto, la presidente Giorgia Meloni. Vi lasciamo qui il nostro approfondimento. A rendere il quadro ancora più complesso c'è poi l'intelligenza artificiale, con episodi sempre più frequenti di modelli che sfuggono al controllo degli sviluppatori per aggredire siti e piattaforme esterne.

Perché le minacce informatiche sembrano moltiplicarsi e quali sono i bersagli più esposti? E soprattutto, quanto sono al sicuro i nostri dati personali e le infrastrutture strategiche italiane, dalla sanità all'energia, fino ai sistemi finanziari e alle grandi banche dati pubbliche? Fanpage.it ne ha parlato con l'ammiraglio Gianluca Galasso, capo del Servizio Operazioni e Gestione Crisi Cyber dell'Agenzia per la Cybersicurezza Nazionale (ACN).

In questi giorni abbiamo assistito a un attacco ai sistemi di refrigerazione della grande distribuzione che hanno coinvolto anche l'Italia. Quali criticità sono emerse?
Le principali criticità emerse dai recenti attacchi ai sistemi della catena del freddo riguardano la presenza di apparati OT/SCADA obsoleti, interfacce di amministrazione esposte direttamente su Internet, carenze nei meccanismi di autenticazione (incluse credenziali deboli o predefinite), insufficiente segregazione tra reti IT e OT e accessi remoti non adeguatamente controllati. Tali vulnerabilità hanno consentito agli attaccanti di modificare parametri operativi degli impianti di refrigerazione, alterare cicli di sbrinamento e temperature causando interruzioni della catena del freddo.

La recente violazione è solo l'ultimo di una serie di incidenti che hanno coinvolto sistemi informatici di tutto il mondo, Italia inclusa. Stiamo assistendo a un aumento delle minacce informatiche per i sistemi più strategici?
Sì, stiamo effettivamente assistendo a un aumento generalizzato delle minacce informatiche su scala globale che interessano l'intero ecosistema digitale. Non solo sistemi strategici accuratamente selezionati, come amministrazioni pubbliche e grandi aziende, ma anche piccole o medie imprese e singoli cittadini. Il continuo incremento di questi attacchi si riflette anche sugli assetti strategici di ciascun Paese, con conseguente aumento dei rischi per i servizi essenziali. Va anche detto, però, che negli ultimi anni si è contestualmente registrata una spinta verso un deciso miglioramento dei livelli di sicurezza del sistema Paese.

A quali provvedimenti si riferisce?
Se guardiamo all'Europa penso, ad esempio, all'adozione di regolamenti di settore avvenuta nell'ultimo triennio, inclusa la costituzione dell'Agenzia per la Cybersicurezza Nazionale, che porta oggi il nostro Paese a misurarsi alla pari con quelli europei già da tempo attrezzati per far fronte alle minacce cibernetiche.

Quanto siamo al sicuro in Italia?
Nel nostro Paese l'ottimo livello di collaborazione raggiunto tra istituzioni e operatori ci permette di avere una visibilità molto accurata delle fenomenologie cyber. È anche questa ragione che talvolta si ha la percezione di una maggiore frequenza di attacchi in danno di sistemi ritenuti critici. I singoli operatori e l'intero ecosistema nazionale stanno sviluppando la capacità di intercettare per tempo eventi malevoli prima che si trasformino in incidenti, e la condivisione rapida delle informazioni consente di avere un quadro di insieme chiaro. A testimonianza di ciò, gli indicatori delle attività malevole rilevate dall'Agenzia per la Cybersicurezza Nazionale da inizio anno sono cresciuti rispetto al passato, ma non si è registrato un aumento altrettanto marcato degli incidenti gravi. Quindi sì, da un lato crescono la minacce, ma dall'altro sta aumentando anche la capacità di difendersi.

Qual è il ruolo dell'IA in questo processo? Aiuta solo i cyber criminali o può contribuire anche a rafforzare le difese di siti e portali?
L'intelligenza artificiale è una tecnologia dual use: può rafforzare sia le capacità offensive sia quelle difensive. Non determina da sola la crescita della minaccia, ma agisce come un acceleratore di velocità, scalabilità e capacità. Considerandola dal punto di vista "offensivo", l'IA deve essere vista come un moltiplicatore esponenziale di capacità per gli attaccanti. Oggi i LLM (Large Language Model, ndr) più evoluti sono in grado di svolgere autonomamente moltissimi compiti, anche coordinati tra loro, che coprono tutte le diverse fasi operative di un attacco cyber: dalla ricerca di vulnerabilità alla raccolta di informazioni sugli obiettivi e selezione delle vittime in funzione degli scopi, fino all'automazione delle fasi tecniche di attacco. Non solo. Se prima simili operazioni venivano organizzate da gruppi organizzati altamente preparati tecnicamente e ben finanziati, ora grazie all'IA tutte queste attività possono essere svolte anche da pochi individui.

E per quanto riguarda la protezione dei sistemi?
L'IA è fortunatamente una risorsa fondamentale anche per la difesa. Può aiutare tecnici e analisti nella gestione delle vulnerabilità dei sistemi, nella prioritizzazione degli allarmi, nell'esame di grandi quantità di dati, nell'individuazione di correlazioni difficilmente visibili, nell'identificazione di comportamenti anomali e accelerazione delle analisi, nella classificazione degli eventi e automazione dei processi, fino alla risposta ad attacchi. Possiamo dire che è iniziata la corsa all'utilizzo della nuova tecnologia da un lato e dall'altro. E come sempre accade, alla partenza i "buoni" inseguono i "cattivi".

Quali sono le minacce che in questo momento espongono a maggiori pericoli i sistemi strategici italiani?
Il quadro delle minacce è composto da fenomeni diversi che spesso si combinano tra loro. Una delle più rilevanti rimane l'attacco chiamato ransomware – l'esfiltrazione e cifratura dei dati – e la relativa estorsione per riprenderne il controllo. Questa attività può infatti bloccare le attività produttive, sottrarre dati e prolungare gli effetti anche dopo il ripristino dei sistemi. I dati ACN del primo semestre del 2026 pongono l'Italia al sesto posto a livello globale tra i Paesi più colpiti, e al terzo posto a livello europeo. Sicuramente piazzamenti poco edificanti. Il dato interessante, però, sta nel fatto che siamo preceduti da Paesi come Stati Uniti, Canada, Germania, Regno Unito, Francia. Ciò significa che le economie più floride attirano i criminali che hanno come obiettivo la monetizzazione delle proprie attività.

Quali sono le altre minacce rilevanti?
Un'altra area critica è la cosiddetta filiera supply chain, in particolare quella che supporta le infrastrutture strategiche. Le organizzazioni dipendono da fornitori di software, servizi cloud, manutentori e operatori tecnologici. Colpire un nodo della filiera può consentire di raggiungere contemporaneamente più soggetti con effetti amplificati su molteplici settori. Purtroppo, assistiamo spesso ad attacchi di questo tipo, subdoli perché sfruttano la fragilità dell'anello più debole di intere catene con ripercussioni su numerosi operatori.

Quali sono gli obiettivi diventati più sensibili?
I potenziali obiettivi sono molti. In generale possiamo dire che i più sensibili sono quelli la cui compromissione può produrre conseguenze che vanno oltre l'organizzazione direttamente colpita. Parliamo quindi dei soggetti che erogano servizi essenziali o gestiscono dati, funzioni e infrastrutture indispensabili per il Paese, quali la sanità, l'energia, i trasporti, le telecomunicazioni, il sistema finanziario e le infrastrutture digitali. Sono sensibili anche i sistemi di gestione identità e autenticazione, gli archivi anagrafici e le grandi basi dati. Un attacco contro questi sistemi, infatti, non determina soltanto una violazione della riservatezza ma può consentire frodi, impersonificazioni e ulteriori campagne mirate, producendo conseguenze che hanno effetti anche molto tempo dopo l'incidente iniziale. C'è però un punto da tenere sempre a mente.

Quale?
Oggi, non viene necessariamente colpito direttamente il sistema più importante o meglio protetto. Spesso l’attaccante cerca il punto più debole dell'ecosistema: una casella di posta, un fornitore, un account privilegiato utilizzato in maniera non corretta, un apparato non aggiornato o una procedura organizzativa priva di adeguati controlli. Per questo ritengo che il concetto di obiettivo strategico debba essere esteso: non comprende soltanto la grande infrastruttura critica, ma anche i soggetti e i servizi digitali dai quali essa dipende. La resilienza di una rete è determinata anche dalla sicurezza dei suoi nodi apparentemente periferici.

Abbiamo visto che ci sono reti, come quelle della sanità pubblica, che si sono rivelate molto facili da penetrare. Penso agli attacchi hacker all'Ulss 6 Euganea. Cosa si sta facendo per bloccare questi attacchi?
Eviterei di definire le reti sanitarie semplicemente "facili da penetrare". Il problema è più complesso. Le strutture sanitarie gestiscono sistemi molto eterogenei, dispositivi medicali con lunghi cicli di vita, grandi quantità di dati sensibili e servizi che non possono essere facilmente sospesi per attività di manutenzione. A ciò si aggiungono l'elevato numero di fornitori e una forte interconnessione tra ospedali, territorio, laboratori e servizi amministrativi e, non ultimo, un deficit di sensibilità verso la materia specifica.

Che ruolo ha l'ACN in questo processo?
Nell'ultimo biennio l'ACN ha intensificato il confronto con le Regioni e con le strutture sanitarie, attraverso incontri territoriali, iniziative formative e occasioni di sensibilizzazione rivolte sia ai responsabili tecnici sia ai livelli dirigenziali. La materia è stata inoltre portata stabilmente all'interno del confronto con il mondo della sanità, anche attraverso una collaborazione con l'Associazione Nazionale dei Medici delle Direzioni Ospedaliere, dove il rischio cyber inizia a beneficiare di sempre maggiore attenzione ed è affrontato come un tema di governance, continuità assistenziale e sicurezza delle cure.

Cosa possono fare i singoli cittadini, nel loro piccolo, per aumentare la sicurezza dei propri dati?
I cittadini possono fare molto, soprattutto per loro stessi. La sicurezza dei dati non dipende soltanto dalle grandi infrastrutture o dalle istituzioni: dipende anche dai comportamenti quotidiani di ciascuno di noi. Comportamenti molto semplici ma estremamente efficaci quali l'utilizzo di password sufficientemente complesse per proteggere i propri account, l'uso di doppi fattori di autenticazione, nonché l'aggiornamento sistematico dei propri dispositivi. In aggiunta, ogni singolo cittadino deve mantenere sempre un alto livello di attenzione riguardo a comunicazioni fraudolente che si ricevono via mail, SMS o sulle piattaforme chat. È altrettanto importante limitare la quantità di informazioni personali pubblicate online, controllare periodicamente le autorizzazioni concesse alle applicazioni e conservare copie di sicurezza dei dati più importanti.

Quali sono gli elementi cui prestare la massima attenzione quando si riceve un messaggio sospetto?
Tutte le comunicazioni che generano urgenza o paura – come un messaggio che chiede di fornire immediatamente una password, comunicare un codice ricevuto sul telefono e non atteso, effettuare un pagamento non conosciuto – sono normalmente indicatori di un tentativo di attacco ai propri dati e alla propria identità. Se si sospetta la compromissione di un account, bisogna cambiare tempestivamente la password, disconnettere le sessioni aperte, controllare le attività recenti e avvisare il gestore del servizio. Non si tratta di diventare tutti esperti di cybersicurezza. Si tratta di adottare poche abitudini costanti che rendono gli attacchi più difficili e riducono sensibilmente le possibili conseguenze.