I criminali sono un passo avanti, ma ci sono tendenze positive. Intervista alla presidente di Clusit Anna Vaccarelli

Tempo di lettura stimato: 5 minuti

Come sta evolvendo il mondo del cybercrimine? Quali sono le conseguenze per i cittadini e come ci si può proteggere? Per rispondere a tutte queste domande, abbiamo intervistato la nuova Presidente di Clusit – Associazione Italiana per la Sicurezza Informatica – Anna Vaccarelli.

L'ultimo rapporto Clusit parla di un mondo del cybercrimine sempre più attivo, con gli attacchi che crescono sia in termini di numero che di gravità. E l'Italia è un bersaglio tra i più presi di mira. Perché?

Ci sono almeno un paio di ragioni. La prima è di tipo generale: la cybersecurity è ancora considerata un elemento accessorio e non centrale, a tutti i livelli. Dai cittadini per le operazioni online quotidiane e per la navigazione sul web e dalle imprese e organizzazioni, anche pubbliche. La considerazione prevalente è (ancora): perché un attacco informatico dovrebbe capitare proprio a me, che non possiedo né informazioni interessanti né importanti? Questa però è una visione del tutto parziale degli obiettivi degli hacker.
La seconda considerazione è che il tessuto imprenditoriale italiano è costituito prevalentemente da micro imprese per le quali investire nella cybersecurity non è una priorità rispetto al settore principale dei propri affari, ma un obiettivo marginale, che si tende a posticipare! Per queste ragioni le imprese risultano particolarmente indifese e pertanto prede appetibili per i cybercriminali, che non trovano quasi nessun ostacolo ai loro tentativi di attacchi. Nei paesi dove la sensibilità verso la sicurezza informatica è più evoluta, gli incidenti sono in numero minore o con conseguenze meno gravi.

Cosa significa questo per i comuni cittadini?

I cittadini corrono dei rischi "indiretti": se la loro banca, la Asl di riferimento, il comune di residenza o un sito di acquisti online da cui si servono vengono attaccati, i loro dati personali (bancari, di salute, carte di credito, ecc...) sono in mano ai cybercriminali che, tipicamente, li rivendono nel dark web ad altri criminali che li useranno per contraffare documenti, entrare nei conti correnti, rivelare alle assicurazioni eventuali problemi di salute di un potenziale cliente, ecc... .
I danni quindi arrivano a colpire anche i cittadini comuni e, generalmente, con numeri importanti.

Quali sono le sfide maggiori per la cybersicurezza oggi?

Nel presente l'intelligenza artificiale semplifica molto la vita dei cybercriminali, aiutandoli per esempio a sviluppare codice malevolo per realizzare gli attacchi o a elaborare i dati raccolti. Può, in realtà, anche aiutare in positivo i difensori, che finalmente cominciano ad usarla, ma con una velocità inferiore a quella degli attaccanti. In questa rincorsa tra guardie e ladri, i ladri sono ancora un po' in vantaggio.
In uno scenario futuro ma non lontanissimo la sfida è basata sul quantum computing, una tecnologia che renderà insicura la crittografia che usiamo oggi e che è considerata al presente pressoché inviolabile. Questo ci costringerà a rivedere gli algoritmi di cifratura per renderli resistenti alla potenza dei computer quantici.
Le sfide non sono destinate ad esaurirsi, ma si evolvono; sembra quasi un videogioco: superato un livello di difficoltà ecco che una nuova tecnologia ne propone un altro, generalmente più difficile da risolvere. Purtroppo si tratta della realtà e non di un videogioco e va presa molto sul serio.

Cosa possono fare le persone comuni per proteggersi?

La raccomandazione di base è di usare password robuste: se ne parla da almeno un paio di decenni ma in testa alle classifiche delle password più usate al mondo c'è ancora “123456” e, subito dopo, "password" e "admin". Ci sono molti modi oggi per generare password complesse e custodirle in modo sicuro in app specifiche senza doverle ricordare. Anche per i comuni cittadini l'IA è una sfida: le email truffa di phishing sono oggi praticamente irriconoscibili, scritte senza errori di ortografia e con riferimenti a particolari realistici (se non reali). La stessa tecnica viene usata per i messaggi vocali o tramite Whatsapp (o applicazioni analoghe). Una delle truffe più ricorrenti recente è quella della ballerina: arriva un messaggio da uno dei nostri contatti che ci chiede di votare in un concorso per una fantomatica nipote ballerina, ma chi clicca per votare si espone al rischio di furto di dati. In generale, bisogna essere diffidenti e cercare di non perdere lucidità, non farsi coinvolgere dalla fretta che quasi sempre l'attaccante ci mette per fare delle scelte e prendere delle decisioni. È il modo migliore per prendere la decisione sbagliata!

Sempre nel vostro rapporto parlate di un forte incremento delle frodi finanziarie che avvengono tramite manipolazione del pagatore. Può spiegarci di che si tratta e come è possibile prevenirle?

Esistono diversi "modelli" per questo tipo di truffe:

1. Truffa del CEO (o "Business Email Compromise"): un dipendente amministrativo riceve un'email che sembra provenire dal CEO o da un dirigente, con richiesta urgente e riservata di effettuare un bonifico verso un nuovo conto ("acquisizione confidenziale", "fornitore urgente"). Fa leva su autorità, urgenza e riservatezza per bypassare i normali controlli. Una truffa simile è avvenuta a febbraio 2025, quando alcuni importanti imprenditori italiani hanno ricevuto una telefonata apparentemente dal Ministro Crosetto, che chiedeva loro di versare una ingente somma per pagare il riscatto per alcuni giornalisti prigionieri all'estero. La voce era clonata; fortunatamente, un’assistente si è insospettita e la truffa non è andata a buon fine.
2. Truffa del falso fornitore ("invoice fraud"): i truffatori si spacciano per un fornitore reale dell'azienda e comunicano un "cambio di coordinate bancarie" per i pagamenti futuri. Spesso arrivano dopo aver compromesso l'email reale del fornitore o dell'azienda, quindi lo scambio sembra perfettamente legittimo. A dicembre 2025, l'Opera del Duomo di Firenze è stata vittima di questo tipo di attacco.
3. Truffa del falso tecnico bancario / "vishing": una persona riceve una telefonata da chi si finge un operatore della banca, che segnala un "accesso sospetto" e convince la vittima a effettuare un bonifico verso un "conto sicuro" o a fornire codici OTP per "annullare" un'operazione fraudolenta. È facile che accada ai cittadini comuni. Le banche avvisano continuamente di diffidare di queste comunicazioni, che avvengono tramite canali che loro non usano mai: telefono e Whatsapp.
4. Truffa sentimentale ("romance scam"): il truffatore costruisce una relazione sentimentale online nel tempo, poi chiede soldi per emergenze (spese mediche, biglietti aerei, problemi legali), facendo leva sul legame emotivo creato. Molte persone (soprattutto donne nei confronti di sedicenti uomini) ci hanno rimesso decine di migliaia di euro.
5. Truffa del falso erede o "nipote" ("grandparent scam"): un anziano riceve una chiamata da qualcuno che finge di essere un parente in difficoltà (incidente, arresto, ospedale) e chiede un bonifico urgente, facendo leva sul panico e sull'affetto. È chiaro che la componente emotiva gioca il ruolo decisivo nella riuscita di questa truffa. Bisognerebbe avere la lucidità di chiudere la telefonata e richiamare l'interessato, per verificare la condizione di difficoltà.

Il tratto comune a tutte è lo sfruttamento di leve psicologiche: urgenza, autorità, paura, fiducia o affetto, per spingere la vittima ad agire senza verificare.

Vede delle evoluzioni positive nel mondo della cybersicurezza oggi, o i cybercriminali sono sempre un passo avanti?

Dal rapporto Clusit vediamo alcune tendenza incoraggianti. Per esempio, nel settore finanziario, da quando è in vigore il regolamento DORA, che obbliga organizzazioni finanziarie e fornitori di servizi ICT a mettere in atto delle contromisure per prevenire gli attacchi o ridurne le conseguenze, il numero di incidenti è sensibilmente diminuito. È possibile che anche la NIS2 abbia un effetto positivo perché riguarda moltissimi soggetti (oltre ai soggetti "protagonisti" ci sono anche tutti i loro fornitori) che sono obbligati a una serie di contromisure, ma soprattutto a fare formazione e sensibilizzazione al loro interno, anche ai massimi livelli. Questo costringerà moltissime aziende e organizzazioni ad essere proattive in termini di difesa e quindi – ci auguriamo – a risultare per una volta in vantaggio nella corsa tra guardie e ladri.