Il nome di una minorenne che ha una grave malattia psichiatrica a sfondo sessuale. I dati di un bambino con autismo. L’identità di donne che hanno abortito. La cartella clinica di pazienti con Hiv e di altri che hanno subìto trapianti. Mille vite squadernate su Internet, rivelate a chiunque, per colpa di un attacco informatico compiuto da cyber-criminali filo-Putin. Uno dei più gravi avvenuti in Itala nel 2023, secondo le autorità di settore.

È quello che ha colpito l’Asl 1 Abruzzo, che pure è in buona, sfortunata, compagnia. Vari rapporti confermano che l’Italia è uno dei principali Paesi vittime di attacchi cyber, compiuti per scopi economici e spesso anche politici. Motivo: le nostre difese informatiche inadeguate.

Si vedano i dati degli osservatori del Politecnico di Milano, nel rapporto 2023 (pubblicato a febbraio 2024) sulla sicurezza informatica, e quelli del Clusit (associazione della cyber italiana): l’Italia è ancora ultimo dei Paesi del G7 per investimenti in sicurezza informatica (in rapporto al Pil) e continua a registrare una continua crescita degli attacchi.

Ma è rivelatore anche il rapporto 2023 dell’intelligence, uscito a fine febbraio: i servizi segreti italiani segnalano, allarmati, la sempre più grave minaccia che viene degli attacchi cyber. Qui comprese le campagne di disinformazione su Internet: sono parte di quella guerra “ibrida” ingaggiata con crescente determinazione dalle potenze nemiche dell’Occidente – Russia, Cina, Iran, Corea del Nord.

È quanto emerge anche nel caso dell’Asl 1 Abruzzo. I criminali hanno infettato i computer con un ransomware, un file che li blocca e ne ruba i dati; inclusi – in questo caso – quelli sensibili dei pazienti. Hanno poi pubblicato i dati su Internet.

Poco tempo dopo, a fine 2023, un attacco simile ha colpito tre Asl di Modena. Lo scopo degli attacchi ransomware è, al solito, economico: i criminali chiedono un riscatto per sbloccare i computer e per non pubblicare i dati. Ma spesso c’è anche lo “zampino” del Cremlino: vari rapporti, dell’Fbi ad esempio, segnalano che i servizi segreti russi collaborano con, o fiancheggiano in qualche modo, alcune di queste gang criminali. Non a caso: quelli che hanno attaccato l’Asl abruzzese hanno pubblicato, nel rivendicare l’attacco, un messaggio contro il governo italiano; accusato di non fare abbastanza per difendere i dati dei cittadini. Insomma, c’è anche l’obiettivo di seminare sfiducia nelle istituzioni del Paese nemico, proprio come avviene con le campagne di disinformazione orchestrate dalle potenze straniere. Era così anche durante la guerra fredda tra Usa e Urss e ora lo si fa con altri mezzi.

«Nel 2023 la spesa delle aziende italiane in cybersecurity ha raggiunto un record: 2,15 miliardi di dollari; peccato però che nelle piccole e medie imprese continuiamo a vedere un aumento degli attacchi cyber andati a segno», dice Gabriele Faggioli, responsabile dell’osservatorio del Politecnico di Milano e presidente del Clusit, associazione della cyber italiana. Un paradosso che forse si spiega con lo storico nanismo del nostro tessuto industriale, fatto di pmi, «dove manca proprio la strategia di base per fronteggiare il rischio cyber, la formazione necessaria delle persone per riconoscerlo e affrontarlo», aggiunge Faggioli. Ecco quindi che «viene il dubbio: la spesa cyber cresce, sì, nell’azienda tipica italiana, ma forse non è ben direzionata, poiché manca la strategia giusta», continua.

Insomma si spenderebbe male. Va detto che l’autorità preposta dal governo, l’Agenzia per la Sicurezza nazionale cibernetica, non ha mai confermato (né smentito) questi dati che parlano di una crescente vulnerabilità di aziende e pubblica amministrazione italiane. Può anche essere che la spesa italiana nella cyber abbia un ritardo cronico da colmare; del resto anche nel 2023 abbiamo investito molto meno, in rapporto al Pil, rispetto agli altri Paesi del G7: lo 0,10 per cento contro lo 0,34 per cento degli Stati Uniti, lo 0,29 del Regno Unito; Francia e Germania fanno il doppio di noi, con lo 0,19 per cento.

In generale l’Italia sembra sottovalutare, ancora, il pericolo; nonostante i tanti danni subiti dagli attacchi informatici. Gli attaccanti – criminali o attivisti di potenze straniere – approfittano appunto di questa scarsa sensibilità per colpire le nostre aziende e pubbliche amministrazioni, sanitarie in primis. La nota società di sicurezza digitale Trend Micro ha stimato che l’Italia è stato nel 2023 il Paese europeo più colpito da software malevoli – come appunto i ransomware – e il terzo al mondo.

«In Italia le poche grandissime aziende che abbiamo sono ben protette; il problema sono le pmi e la pubblica amministrazione», conferma Marco Iannucci, amministratore delegato di Boole Server, accreditata azienda di sicurezza informatica. «Le pmi non hanno ancora sviluppato la percezione di quanto sia importante difendersi. E il risultato è che subiscono continuamente, tramite attacchi informatici, il furto di proprietà intellettuale e dati riservati di clienti. Il danno reputazionale è enorme: significa perdere clienti e commesse importanti», aggiunge. Tutto questo senza considerare i soldi sborsati per pagare i riscatti del ransomware e la perdita di produttività causata dal blocco dei computer. Nel caso di Comuni o Sanità c’è un impatto anche su servizi a cittadini, pazienti.

Gli ospedali paralizzati da ransomware subiscono forti rallentamenti, devono rinviare le operazioni non urgenti e ridurre le visite. Tornano, a tutti gli effetti, a lavorare con carta e penna per giorni o settimane. È successo ad esempio nel 2023 a uno dei principali ospedali milanesi, il San Giuseppe, per un attacco subìto dall’azienda Multimedica (che gestisce appunto il San Giuseppe e altri ambulatori lombardi).

«Per fortuna almeno c’è l’Agenzia che sta lavorando tantissimo per rafforzare le difese di aziende e pubbliche amministrazioni; ma lo fa a fatica, a causa del basso livello di competenze di sicurezza informatica presenti nelle nostre organizzazioni pubbliche o private non grandi», aggiunge Iannucci. Un Paese che sottovaluta la minaccia è anche più esposto ad attacchi con finalità geopolitiche, da potenze straniere; quelli evocati dai servizi segreti e temuti anche dall’Agenzia, che non a caso ha alzato lo stato di allerta – con comunicati ufficiali – dopo l’inizio della guerra in Ucraina. Finora gli attacchi filorussi hanno fatto pochi danni in Italia – al massimo hanno rallentato i servizi online di qualche banca o di aziende del trasporto pubblico per un giorno, sempre a scopo di propaganda. Ma non tutti gli attacchi sono manifesti; quelli di spionaggio possono essere scoperti anche mesi dopo che hanno sottratto informazioni riservate.

Nel 2020 si è scoperto che i russi hanno rubato informazioni dalle mail del governo americano. A febbraio scorso, invece, l’Fbi ha comunicato che i russi, tramite virus nascosti, stavano rubando dati di interesse per i servizi segreti, anche di natura militare, da computer di governi e aziende, negli Stati Uniti, in Ucraina e in altri – non rivelati – Paesi.

Di fondo, emerge che chi sottovaluta la minaccia cyber danneggia non solo sé stesso, ma anche i propri clienti, i cittadini e il proprio Paese. Ecco perché l’Europa sta imponendo alla Pa e a una vasta platea di aziende crescenti misure di sicurezza informatica. Lo farà soprattutto con la direttiva “Nis2”, che entra in vigore a ottobre 2024. «La “Nis2” costringerà tanti nuovi soggetti a porsi il problema della cyber security», dice Faggioli: «E sarà impegnativo per chi parte da zero o quasi».