La Prealpina - Quotidiano storico di Varese, Altomilanese e Vco.

Dal pubblico al privato. Dalle aziende che producono alle strutture che si occupano di servizi alle persone. Dalle banche ai municipi. Dagli aeroporti agli ospedali. Per scendere in questa allarmante spirale fino al cittadino comune che deve respingere fenomeni come il phishing e le truffe digitali. Il dizionario della criminalità informatica è in continuo aggiornamento: ransomware e malware, spuntano nuovi - per noi - vocaboli come funghi. Oggi, in un modo o nell’altro siamo tutti sotto attacco.

Chi ci protegge? Edgardo Fantazzini è il fondatore di Fortgale, azienda leader in tema di cyber security, specializzata in cyber defence, cyber threat intelligence e incident response. La sede è a Milano, lui fa tappa spesso a Varese e nel Varesotto. Fortgale assiste aziende di ogni dimensione, strutture, enti. Fantazzini racconta in esclusiva alla Prealpina il mondo oscuro dei “pirati”.

Partiamo dal concetto di difesa cyber...

«In un ambito molto ampio come quello della sicurezza informatica, il nostro focus è chiaro: proteggere aziende e organizzazioni da attacchi informatici che possono provenire sia da gruppi criminali, sia da attori altamente strutturati, talvolta collegati a contesti statali».

Ingaggiati anche da Stati?

«Esattamente»

Come intervenite?
«Oltre alla prevenzione, ci occupiamo anche di incident response, ovvero della gestione degli attacchi nel momento in cui si verificano: identificarli, contenerli e neutralizzarli, riducendo al minimo l’impatto sull’operatività del cliente. Una componente fondamentale del nostro lavoro è la cyber threat intelligence, lo studio approfondito delle minacce e degli attaccanti. Questa attività consente di conoscere in anticipo chi potrebbe colpire un’organizzazione, con quali modalità e con quali obiettivi. Non si tratta solo di un supporto operativo, ma anche strategico: forniamo infatti elementi utili anche a livello decisionale, aiutando il management e i consigli di amministrazione a comprendere il livello di rischio e a orientare in modo consapevole gli investimenti in ambito cyber».

In quali settori privati operano i vostri assistiti?

«Banche, assicurazioni, industria, trasporti, aerospazio, manifattura e molti altri settori critici. In generale, qualunque organizzazione che utilizzi tecnologia e possieda informazioni di valore, in ambiti industriali, commerciali o strategici. Ma anche una rilevanza economica significativa può diventare un potenziale obiettivo.

L’interesse di chi attacca...

«Gli attacchi più sofisticati sono spesso guidati da interessi economici o strategici: sottrazione di dati, spionaggio industriale o accesso a risorse finanziarie».

I più frequenti?

«Statisticamente, sono quelli a scopo economico diretto, come il ransomware: l’attaccante blocca l’operatività dell’azienda e richiede un riscatto per ripristinare l’accesso ai dati. Questi attacchi sono molto visibili, perché l’azienda si ferma. Diverso è il caso degli attacchi, molto più subdoli, il cui obiettivo è raccogliere informazioni senza essere rilevati».

Presenze oscure non rilevate?

«Sì, in questi casi l’azienda può continuare a operare normalmente senza accorgersi di nulla. Non è raro che gli attaccanti rimangano all’interno di un’infrastruttura per lungo tempo. In un caso reale, abbiamo individuato addirittura due gruppi criminali presenti contemporaneamente nella stessa azienda, in competizione tra loro, mentre l’organizzazione non aveva alcuna percezione di quanto stesse accadendo, fino a quando siamo stati noi a rilevarlo».

Come funziona il ransomware?

«Quando viene richiesto un riscatto, l’attaccante apre una comunicazione, spesso nel dark web, e avvia una vera e propria negoziazione. Il pagamento avviene in criptovalute e può arrivare anche a percentuali rilevanti del fatturato aziendale. Dietro questi attacchi esiste un vero e proprio ecosistema criminale organizzato, dove diversi attori criminali si dividono le attività quali lo sviluppo di malware di attacco, l’ottenimento dell’accesso iniziale, la creazione del ransomware, la distribuzione del ransomware e la gestione del riscatto. Sono figure diverse, che collaborano tra loro in un mercato strutturato, con logiche di reputazione e modelli “as-a-service” di servizi e strumenti avanzati, affittati anche per decine di migliaia di euro al mese».

Da dove operano gli attaccanti?

«Gli attori sono distribuiti a livello globale. Esistono specializzazioni e livelli diversi di competenza, e in alcuni contesti si osservano relazioni, più o meno dirette, con apparati statali esteri. Queste attività in alcuni casi vengono tollerate o addirittura incentivate, soprattutto se non colpiscono interessi interni o se generano vantaggi economici o informativi».

Complici degli Stati. Coordinate geografiche?

«Alcuni attacchi informatici sono caratteristici di certe regioni geografiche, ma attribuire con certezza la provenienza di un'azione ostile rimane uno degli esercizi più complessi nell'intero campo della sicurezza informatica. È un ecosistema fluido, fatto di obiettivi divergenti, legami intricati e identità volutamente opache, dove i confini geografici sfumano e le sovrapposizioni tra crimine, hacktivismo e intelligence di stato si moltiplicano. Un contesto che rende la cyber threat intelligence non un'opzione, ma una necessità strutturale.

E a rischio siamo anche noi comuni mortali...

«Sì, ma in modo diverso. Le singole persone, non legate ad organizzazioni, sono più spesso vittime di attacchi opportunistici, su larga scala: phishing, truffe via messaggio, link malevoli. Il punto critico è che anche figure apicali di aziende possono essere colpite nella loro sfera personale. Un attacco che parte, ad esempio, da un familiare può diventare il punto di accesso a un’organizzazione. Per questo, oltre alla tecnologia, è fondamentale il comportamento individuale: consapevolezza e attenzione restano una prima linea di difesa imprescindibile.

Il vostro intervento è efficace sempre o anche voi dovete a volte arrendervi?

«Sarebbe pericoloso pensare di essere completamente al sicuro. L’obiettivo non è rendere un sistema impenetrabile, ma ridurre al minimo l’impatto di un attacco. Le normative più recenti come Nis2 e Dora parlano chiaramente di approccio basato sul rischio. Chi pensa di affidarsi alle sole tecnologie corre un rischio che può essere fatale, in quanto l’attaccante sofisticato è preparato a confrontarsi con queste difese e può avere tempo e risorse per superarle».

Una lotta senza confini...

«Un attaccante può sempre trovare un punto di ingresso. Ciò che fa la differenza è la capacità di rilevarlo e fermarlo prima che provochi danni. Noi abbiamo un track record di eccellenza nella gestione di attacchi particolarmente sofisticati e volti a compromettere realtà critiche. È una sfida continua, una dinamica tra attacco e difesa in cui innovazione, competenza, visione a lungo termine e tempestività fanno tutta la differenza».

Pasquale Martinoli

© Riproduzione Riservata