I CRIMINI INFORMATICI: UN NUOVO TREND IN COSTANTE ESPANSIONE

Oggi giorno, con l’avvento della tecnologia e la reperibilità in rete di ogni sorta di informazione e dati, ha iniziato a farsi largo e a diffondersi una nuova tipologia di crimini commessi attraverso i computers ed internet tanto che sentiamo sempre più parlare di “cyber attacks”. Ma cosa si intende davvero con questo termine?

La definizione da dizionario sembra suggerire che il cyber attack sia rappresentato da “un attacco, attraverso il cyberspazio, che ha come obiettivo l’uso del cyberspazio da parte di un’azienda allo scopo di interrompere, disattivare, distruggere o controllare maliziosamente un ambiente/infrastruttura informatica; oppure distruggere l’integrità dei dati o rubare informazioni controllate”.

Questi attacchi (cd di hacking o di pirateria informatica), dunque, non sono altro che delle intrusioni in un sistema informatico altrui da parte di uno o più hacker (pirati informatici). Quasi sempre l’accesso al sistema informatico altrui è possibile a causa di una sua lacuna (“leakage”) di sicurezza fino a quel momento ignorata. Una volta che l’hacker sarà entrato nel sistema informatico, sfruttando la vulnerabilità appena menzionata e fintanto che non verrà scoperto l’attacco, avrà la possibilità di agire indisturbato, appropriandosi dei dati, effettuando operazioni e transazioni non autorizzate e realizzando qualsiasi attività criminale si sia prefissato di attuare.

Gli attacchi informatici, tuttavia, non sono tutti uguali dal momento che ne esistono di diversi tipi, i più diffusi dei quali vengono riportati di seguito:

• Phishing and spear Phishing (che spesso consiste in un allegato a un’e-mail che carica un malware sul computer. Potrebbe anche consistere in un link a un sito web illegittimo contenente un malware volto a sottrarre informazioni personali);
• Malware attack (laddove per malware si intende un software “malevolo” capace di mettere a rischio l’intero sistema);
• Password attack (che si realizza attraverso il tentativo di sfruttare la vulnerabilità nell’accesso/autorizzazione dell’utente)
• Ransomware attack (che consiste in una tipologia di malware in grado di limitare l’accesso del dispositivo infettato e che fa leva su un riscatto)
• Birthday attack (si tratta di un attacco criptografico basato su un concetto chiamato “paradosso del compleanno”)

Ma gli attacchi cibernetici non finiscono qui, al contrario sembrano crescere esponenzialmente con la stessa velocità con cui si sviluppano le nuove tecnologie e hanno ormai raggiunto dei livelli sempre più ottimali di funzionamento.

Basti pensare al malaware Escobar il quale è capace di aggirare il doppio fattore di autenticazione a protezione degli account riuscendo a rubare informazioni dagli account bancari delle vittime, trafugare le informazioni e perfino effettuare transazioni non autorizzate. O ancora, si pensi al caso dei così detti Criptojecking, che si sono diffusi a seguito del boom delle criptovalute e della tecnologia blockchain.

Chiarite le modalità dell’attacco informatico, non resta da chiedersi quali siano i moventi alla base di simili e peculiari reati di cui ancora oggi si parla troppo poco.

I moventi alla base di un attacco informatico possono essere e sono i più molteplici, tra i quali ricordiamo i seguenti: l’utilizzo tout court dei dati rubati (es. quelli della carta di credito o delle credenziali di accesso all’online banking), la richiesta di un riscatto a fronte del quale non si procederà alla divulgazione dei dati di cui si è entrati illegittimamente in possesso, l’impossessamento dei dati rubati al fine del compimento di ulteriori attività illecite, attività di spionaggio, e così via. In sintesi, il movente più diffuso degli attacchi cibernetici resta oggi di tipo economico, ma non mancano attacchi che vengono realizzati per motivi diversi, quali ad esempio quelli sovversivo-anarchici, politici o ideologici.

Quanto ai principali targets (vittime) di questi crimini, al primo posto della classifica figurano indubbiamente le piccole medio-imprese (PMI), ma nessuno può ritenersi davvero al sicuro dal momento che gli attacchi si indirizzano anche verso privati cittadini, banche ed istituti di credito, strutture sanitarie, scuole ed istituti di formazione, enti governativi e potenzialmente chiunque utilizzi un dispositivo elettronico e navighi su internet.

Premesso che non è possibile azzerare del tutto il rischio di attacchi informatici (basti pensare al cyberattacco perpetrato nel 2020 ai danni del governo degli Stati Uniti d’America ad opera presumibilmente di hackers russi), è tuttavia senz’altro possibile, nonché auspicabile, adottare varie misure atte a prevenire o a mitigare il rischio di un attacco cibernetico. Tra le varie misure da adottare, nell’ambito delle PMI, se ne menzionano alcune:

• Redazione di un risk assesment relativo a quello specifico segmento di impresa da cui emergano i rischi in caso di un potenziale attacco cyber e le misure atte a prevenirlo e a mitigarlo;
• Implementazione delle misure tecniche volte a prevenire le vulnerabilità nel sistema (uso di firewall per captare e bloccare i malware; introduzione del “Two factor/Multifactor authentication”;  cambiamento sistemico della password al fine di eliminare o attenuare il rischio di furto delle credenziali di accesso e delle passwords; aggiornamento costante del software e del sistema operativo)
• Corsi di formazione per l’azienda al fine di trasmettere l’importanza della salvaguardia e sicurezza dei dati e per individuare gli elementi idonei a riconoscere tempestivamente un attacco cibernetico e le misure volte al suo contenimento.

Infine, occorre tener presente che oggi i crimini informatici non si riducono ai soli attacchi ad opera di hacker.

La rete ha infatti ampliato a dismisura il numero e le categorie di crimini perpetrabili per mezzo telematico (si pensi ad es. al cyberbullismo, alla truffa delle Initial Coin offering (ICO), alle frodi tramite l’opaco e poco regolamentato sistema delle criptovalute).

Purtroppo, dinanzi ad un avanzare così rapido della tecnologia e ai cambiamenti registrati, la stragrande maggioranza dei paesi non è riuscita ad “adeguare il passo” adottando norme in grado di disciplinare queste nuove fattispecie di reato e pertanto in alcuni casi (per es. in quello dei reati concernenti la tecnologia blockchain) si versa in una “zona grigia” in cui la mancanza di legislazione e giurisprudenza in materia continua a determinare dei “vuoti normativi” che impattano enormemente gli operatori del settore.