Ma come fanno? Che software e app usano per fregarti? Vediamo le varie modalità con le quali si possono fare, tecnicamente. Ci sono i Malicious insiders (dipendenti infedeli di un’azienda – o anche fornitori – che aprono le porte al nemico, vendendosi le credenziali d’accesso al sistema informatico) ed i Denial of services (qui l’azione offensiva interrompe l’erogazione di un servizio, che so, un servizio di pagamento on line, o Skype; con la variante del D-dos, Distribuited Denial of Service, in cui una moltitudine di attaccanti si coordina per ottenere lo stesso scopo con più energia), che insieme coprono, secondo alcuni studi, la maggior parte degli attacchi. C’è tutta la famiglia dei Malware (worm, trojan…) e dei Botnet, centinaia di migliaia di computer infettati da organizzazioni criminali a scapito dei legittimi proprietari e coinvolti in attività illecite. E aumentano gli Zero Day, vulnerabilità non conosciute dal produttore e per le quali quindi non esiste contromisura. Questi i tipi di attacco, ma la percentuale sul totale dell’uno o dell’altro varia, da nazione a nazione. “Purtroppo che una buona parte dei malware in circolazione non è individuata dai comuni antivirus, in una statistica dello scorso anno si riferiva di un 40% di codici malevoli“, spiega Pierluigi Paganini, uno dei massimi esperti italiani di sicurezza informatica.
Quanto costa il cyber crime ad un’azienda? I costi sono quelli legali, (notifiche, parcelle, esposti, denunce), i danni dovuti all’ interruzione dell’attività, quelli tecnici per scovare l’attacco, salvare i dati, riparare il sistema. Qualche cifra per il 2014 ce la fornisce l’autorevole Rapporto Ponemon che monitora ogni anno che succede negli Usa, Regno Unito, Germania, Australia, Giappone Francia e Russia. Vediamo. Il costo del cyber crime è in aumento, se confrontiamo 2014 e 2013, ma ogni nazione ne risente in modo diverso. Si va dai 12.7 milioni di dollari di costi degli Usa agli 8.13 dei tedeschi, ai 6.9 giapponesi ai 3.99 milioni dell’Australia. Come mai queste differenze, Pierluigi? “Vi è una profonda differenza nella consapevolezza della minaccia da governo a governo. Alcuni stati sono più attenti alla divulgazione delle informazioni sulle principali minacce informatiche. Mi duole dirlo, ma qui da noi tanto è ancora da fare. La popolazione è completamente all’oscuro circa i possibili effetti di un attacco informatico su larga scala. Quasi tutti in Italia disponiamo di più smartphone, ma pochi li proteggono adeguatamente! Se consideriamo poi l’effetto del crimine sulle piccole e medie imprese allora c’è da mettersi le mani nei capelli. I danni sono devastanti e la sicurezza è ancora considerata come un costo da ridurre, tutto a vantaggio degli attaccanti”.
C’è di più. Le aziende più piccole pagano costi proporzionalmente più alti, rispetto a quelle più grandi, per quanto concerne certi tipi di attacchi web-based, come virus, worms, trojans. Le grandi organizzazioni invece pagano costi maggiori sui Denial of Services e sui Malicious insiders. Come si spiega questa differenza di attacchi? “Come spiegavo prima, le piccole e medie imprese, a differenza delle multinazionali, percepiscono l’investimento in sicurezza come un costo e sono completamente impreparate ad attacchi informatici. Oggi l’economia dell’attacco propende sempre più per chi attacca che per chi deve riparare, nel senso che costa meno organizzare l’attacco che organizzare un difesa idonea a mitigare potenziali incursioni informatiche. Ci sono dei malware che costano 150 dollari e che consentono di colpire medie e piccole imprese causando danni per milioni di dollari. Vuoi un caso reale? Secondo dati divulgati dal Commercial Crime Bureau della polizia di Hong Kong, l’attività criminale basata su malware come “Predator Pain” e “Limitless keyloggers” ha fruttato alla malavita circa 75 milioni di dollari nel primo semestre del 2014. Parliamo solo di un singolo stato in un semestre: fate le dovute proporzioni e vi renderete conto dei possibili danni causati da un malware che costa circa 50 dollari.”
La verità è che non esistono dati precisi su quanto questi attacchi siano costati alla collettività. Paganini: “Molto difficile dirlo, quello che emerge è la punta dell’iceberg…tante aziende ancora non divulgano informazioni relative agli attacchi che subiscono. Esistono poi operazioni di alto profilo condotte da governi che restano nascosti per anni…difficile quantificare il danno economico per le vittime, dopo anni di attività dell’agente malevolo all’ interno dei loro sistemi”.
I tempi per risolvere un attacco. Se non vengono risolti subito i crimes comportano costi ancora più alti. Il problema è che, mediamente, occorre un mese per risolvere l’attacco, sostiene il Ponemon, con un costo medio di circa 640.000 dollari per azienda, metà dei quali sono rappresentati dalle spese di detection e recovery, vale a dire solo per capire che l’attacco ha avuto luogo e salvare i dati salvabili. (continua)
di Fabio Sanvitale
