Il ricorso al Digitale nel mondo finanziario è sempre stato ampio e diversificato, e questo da un lato ha portato a grandi vantaggi, a una riduzione dei costi e contestualmente a nuove opportunità di business e di relazione con i clienti per banche e assicurazioni. Dall’altro lato, però, ha reso il mondo finanziario molto esposto ai rischi di cybersecurity, rendendolo potenzialmente vulnerabile ad attacchi massivi, oltre che oggetto di frodi e attacchi mirati sofisticati da parte del cyber crime organizzato.

Come ha spiegato Ezio Viola, Co-founder di The Innovation Group aprendo i lavori del Workshop online “Cybersecurity in Financial Services” dello scorso 25 ottobre 2020, durante la recente esperienza della pandemia Covid-19 la superfice d’attacco nel mondo finance si è ulteriormente estesa.

In questo settore, le motivazioni che spingono a investire in cybersecurity sono: la compliance alle numerose norme che regolano il settore; il bisogno essenziale di questi operatori di preservare il Trust dei propri clienti e quindi di evitare qualsiasi danno reputazionale; la possibile perdita di operatività e soprattutto il rischio di danno finanziario se un attacco va a segno.

Nell’ultimo periodo, il ricorso molto esteso allo smart working per la propria forza lavoro ha portato gli operatori del settore finanziario a doversi confrontare con un numero maggior di tentativi di intrusioni informatiche. Per questo motivo, come è stato più volte sottolineato durante il Workshop, il fattore umano è diventato oggi un fattore chiave per la tenuta della cybersecurity: le persone possono effettivamente costituire l’anello più debole, ma non va dimenticato che, se opportunamente preparate ad affrontare questi rischi, le persone hanno un ruolo fondamentale anche nella prevenzione di attacchi.

Come ha spiegato intervenendo durante l’evento Riccardo Croce, Commissario Capo del Servizio di Polizia Postale e Dirigente della sezione Financial Cybercrime della Polizia di Stato, considerando tutto lo scenario delle minacce cyber, in questo momento la matrice criminale è quella maggioritaria, ossia, la maggior parte delle azioni sono motivate da scopi di profitto economico.

La Polizia Postale italiana ha osservato che negli ultimi mesi il livello di allerta dietro le minacce cyber è molto cresciuto. A fronte di un numero massivo e in continua espansione di attacchi, alcune grandi ondate sono riconducibili a poche organizzazioni criminali. Le statistiche dell’ultimo periodo sono molto allarmanti: per ransomware, attacchi DDoS, Phishing e attacchi APT il trend è quello di incrementi a 3 cifre.

“Considerando gli attacchi alle infrastrutture strategiche nazionali, registriamo un duplice scopo criminale – ha commentato Riccardo Croce – da un lato i tentativi di danneggiamento delle infrastrutture, a scopo estorsivo, dall’altro lato gli attacchi volti all’esfiltrazione di dati, che come sappiamo sono elemento pregiato per le organizzazioni criminali, che possono rivenderli sui circuiti illegali dei darkmarket”.

Se negli attacchi diretti contro l’integrità dell’infrastruttura troviamo DDoS, APT e soprattutto ransomware, tutta la seconda parte vede varie tipologie di attacchi phishing related, per l’inoculazione di virus o l’assunzione di controllo da remoto, la disabilitazione di firewall, l’indirizzamento delle persone su siti clone al fine di rubare credenziali e accedere così a dati riservati.

La Polizia Postale italiana ha registrato, come altri operatori attivi in ambito Threat Intelligence, un incremento notevole degli attacchi “a tema Covid” tra febbraio e aprile 2020 – campagne di intrusioni illecite in grado anche di paralizzare le attività di centri sanitari a scopo di estorsione. Parlando poi dell’attività di monitoraggio svolta dal CNAIPIC sulle infrastrutture critiche del Paese, sono state individuate nel periodo 58 minacce gravi, e di queste il ransomware ha continuato a rappresentare la voce preponderante, seguita da furto di credenziali, phishing, malware, siti compromessi e attacchi DDoS.

Quali soluzioni si offrono per la risposta a queste minacce? “In Italia disponiamo di un ampio sistema di risposta cyber, in risposta alla Direttiva NIS e in seguito alla definizione del Perimetro Nazionale di sicurezza cibernetica – ha detto Riccardo Croce – In particolare la Polizia Postale ha deciso di avvalersi di convenzioni formalizzate con i gestori delle infrastrutture critiche (tra queste anche le Banche, le maggiori sono già collegate), oltre che anche a livello territoriale, con PMI e PA locali, in modo da arrivare a un livello precoce di allerta e infosharing. Perché nel nostro settore agire con tempestività fa la differenza”.

La collaborazione e lo scambio di conoscenze quotidiano e diretto tra esperti ha lo scopo di prevenire gli attacchi, tramite una maggiore consapevolezza condivisa sulle minacce in atto. Parlando di frodi, secondo la Polizia Postale nell’ultimo periodo oltre a quelle tipiche, come phishing e BEC/CEO fraud, sono aumentate le frodi e-commerce, soprattutto quelle collegate alla messa in vendita illegale di beni e servizi fasulli di contrasto dell’epidemia in atto.

“In aggiunta al Phishing – ha detto Riccardo Croce – termine generico che indentifica condotte illecite caratterizzate dall’induzione in errore mediante l’invio di comunicazioni adescatorie, oggi osserviamo un deciso aumento di Smishing, ossia l’invio di SMS con link malevoli, in combinazione con Vishing, chiamate vocali che, attraverso tecnologia VoIP (Voice over IP), simulano numeri telefonici di interlocutori affidabili.

È questa l’ondata criminale del momento: prima ricevo un SMS che sembra arrivare dal mio istituto bancario, e mi segnala che sarò contattato per una particolare esigenza o disfunzione. Poi segue una telefonata a scopo fraudolento, che ancora una volta (sia per i contenuti sia per il mittente) simula l’arrivo di una telefonata da un reale servizio clienti, o reale funzionario, della mia banca”.

Gli attacchi Smishing/Vishing mostrano ancora una volta la capacità del cyber crime di modificare velocemente le proprie tecniche e di prendere quindi alla sprovvista gli utenti. L’SMS che arriva dalla Banca (e quindi viene visualizzato sul cellulare nella lista di tutti quelli precedenti) per molti risulta credibile. Con un livello di attenzione bassa, molti utenti saranno quindi indotti a cliccare sul Link contenuto nel messaggio: i passaggi successivi sono quelli tristemente noti. I criminali accedono a ulteriori dati personali e nelle fasi successive, anche grazie alla telefonata che pure arriva dallo stesso numero del call center bancario, danno alle persone tutte le informazioni e seguono le istruzioni (ad esempio la disinstallazione dell’app bancaria su cui arrivano i token che autorizzano le transazioni) permettendo così agli hacker di prendere pieno possesso del proprio conto bancario, e procedere quindi a svuotarlo.

Anche con riferimento alla classica frode BEC/CEO Fraud, durante il solo periodo Covid la Polizia Postale ha contato frodi totali per 25 milioni di euro con 28 aziende colpite: la buona notizia però è che proprio grazie a una rete internazionale che è stata ora messa in piedi, oltre che alla tempestività nella risposta, 14 milioni di euro sono stati recuperati.

In conclusione, sono 3 gli aspetti fondamentali che rendono i sistemi a cui ci affidiamo estremamente vulnerabili:

• il fattore tecnico, che fa sì che i dati siano estremamente volatili, che possano quindi disperdersi molto facilmente;
• il fattore tempo, per cui un reato si consuma in pochi istanti, mentre i tempi del contrasto, in qualunque forma esso sia, sono necessariamente molto più lunghi;
• il fattore legato alla onnipresente trans-nazionalità del cyber crime e di conseguenza, della necessità di armonizzare le norme di riferimento a livello globale.

Nel frattempo, però le aziende hanno la possibilità di organizzarsi per la difesa, e nel settore finanziario, che rappresenta una parte importante delle infrastrutture critiche a livello Paese, collaborazione, capacità di risposta e reti internazionali già oggi fanno la differenza.