Zero Days

Quanto è davvero sicura un'organizzazione se non sono sicuri i soggetti e le tecnologie da cui dipende?

Oggi un'impresa, un'università, un ospedale o una pubblica amministrazione possono avere ottimi sistemi di cybersecurity e continuare a essere vulnerabili attraverso un fornitore, un servizio cloud, una libreria open source, un aggiornamento software o una piattaforma esterna.

La superficie di attacco, infatti, non finisce più dove finisce la nostra rete.

In questo quarto episodio di REC analizziamo perché la supply chain sia diventata uno dei punti più delicati della cybersecurity contemporanea. Casi come SolarWinds, Log4Shell e MOVEit hanno mostrato una logica particolarmente efficace per gli attaccanti: invece di colpire direttamente cento organizzazioni, può essere molto più conveniente compromettere un unico soggetto del quale quelle cento organizzazioni si fidano.

Il cybercrime ha scoperto le economie di scala.

Ma oggi non abbiamo più nemmeno una semplice catena di fornitori. Abbiamo un vero ecosistema di dipendenze fatto di software, cloud, API, componenti open source, subfornitori, sistemi di identità e infrastrutture globali.

Per questo diventa fondamentale sapere da che cosa dipendiamo. La Software Bill of Materials (SBOM), la gestione del rischio dei fornitori, il principio del least privilege, Zero Trust, segmentazione, monitoraggio e continuità operativa diventano elementi di una strategia che deve puntare non alla sicurezza assoluta, ma alla resilienza.

Anche il diritto europeo sta seguendo questa trasformazione: NIS2, DORA, Cyber Resilience Act e GDPR, da prospettive differenti, mostrano quanto la sicurezza di fornitori, prodotti e servizi sia ormai parte integrante della sicurezza dell'organizzazione.

E la questione arriva fino alla geopolitica: cloud, semiconduttori, telecomunicazioni, software e infrastrutture digitali sono anche problemi di dipendenza tecnologica e autonomia strategica.

La domanda decisiva, quindi, non è più soltanto:

«Quanto siamo sicuri?»

Dobbiamo chiederci:

«Da chi dipendiamo? E che cosa accadrebbe se uno dei soggetti di cui ci fidiamo venisse compromesso?»

Perché la cybersecurity contemporanea non è più soltanto protezione.

È soprattutto gestione delle dipendenze.

I

Negli ultimi anni molti Stati democratici stanno cercando di aumentare la propria capacità di accedere alle comunicazioni, ai dispositivi e ai dati dei cittadini. Le ragioni invocate sono serie e spesso indiscutibilmente legittime: terrorismo, criminalità organizzata, abusi sessuali sui minori, cybercrime, spionaggio, minacce ibride e sicurezza nazionale.

Ma dietro provvedimenti, tecnologie e proposte legislative apparentemente differenti emerge una domanda molto più profonda:

quanto deve essere ancora possibile, in una società digitale, comunicare in uno spazio nel quale neppure lo Stato possa entrare?

In questo secondo episodio di REC parto da questa domanda per analizzare una delle tensioni più importanti delle democrazie contemporanee: il rapporto tra sicurezza, sorveglianza e libertà.

La digitalizzazione ha infatti modificato radicalmente la natura stessa della sorveglianza. Accedere a uno smartphone non significa più soltanto intercettare una conversazione: significa potenzialmente conoscere relazioni, fotografie, spostamenti, documenti, ricerche, interessi e una parte considerevole della memoria di una persona. E l'intelligenza artificiale aggiunge un ulteriore salto di scala, perché rende possibile correlare e analizzare automaticamente quantità di informazioni che in passato sarebbe stato quasi impossibile esaminare.

Al centro dell'episodio c'è il grande conflitto attorno alla crittografia end-to-end. Le autorità denunciano da anni il problema del going dark: che cosa accade quando una comunicazione rimane tecnicamente inaccessibile anche in presenza di un provvedimento legittimo dell'autorità giudiziaria?

Da qui nascono le proposte di accesso eccezionale, le discussioni sulle backdoor, il client-side scanning e il controverso dibattito europeo conosciuto come Chat Control.

Ma una vulnerabilità creata per consentire l'accesso ai soggetti legittimati può diventare una vulnerabilità utilizzabile anche da Stati ostili, servizi di intelligence, gruppi criminali e attaccanti informatici.

Perché la crittografia non protegge soltanto la privacy: la crittografia è essa stessa sicurezza.

L'episodio affronta anche un'altra trasformazione fondamentale: il ricorso dello Stato a government trojan, captatori informatici e lawful hacking. Se una comunicazione non può essere intercettata perché cifrata, diventa possibile tentare di acquisirla direttamente dal dispositivo.

Nasce così un paradosso: lo Stato può trovarsi contemporaneamente nella posizione di dover eliminare le vulnerabilità per proteggere i cittadini e di volerle conservare per poterle utilizzare nelle investigazioni.

E poi ci sono gli spyware commerciali, l'intelligenza artificiale applicata alla sorveglianza, la possibilità di ricostruire automaticamente reti di relazioni e comportamenti, l'espansione progressiva delle finalità per cui gli strumenti investigativi vengono utilizzati e il rischio del chilling effect: modificare il proprio comportamento semplicemente perché si percepisce la possibilità di essere osservati.

Il punto non è sostenere che ogni aumento dei poteri investigativi trasformi automaticamente una democrazia in uno Stato autoritario. Il problema è comprendere quando una legittima esigenza di sicurezza comincia a modificare strutturalmente l'equilibrio tra cittadino e potere pubblico.

Per questo, davanti a ogni nuova tecnologia di sorveglianza, le domande decisive non sono soltanto se sia utile a combattere il crimine, ma se sia necessaria, proporzionata, controllabile, circoscritta e reversibile.

Il vero conflitto dei prossimi anni potrebbe allora non essere semplicemente tra privacy e sicurezza, ma tra due diverse concezioni della sicurezza: quella dello Stato, che deve poter investigare e prevenire, e quella del cittadino, che deve poter proteggere i propri dispositivi, le proprie comunicazioni e lo spazio privato nel quale esercita la propria libertà.

Una democrazia ha bisogno di entrambe.

La questione non è scegliere tra uno Stato cieco e uno Stato onnisciente. La questione è decidere quanto deve poter vedere uno Stato democratico senza smettere, proprio per questo, di essere democratico.

La domanda può sembrare un po' surreale, ma riguarda una trasformazione tecnologica già in corso: il passaggio dall’intelligenza artificiale generativa agli agenti di intelligenza artificiale, sistemi ai quali non chiediamo più soltanto di produrre una risposta, ma ai quali assegniamo obiettivi, strumenti e una certa autonomia nella scelta delle azioni da compiere.

Ed è proprio qui che cambia radicalmente il problema.

Un agente AI può navigare sul web, utilizzare un terminale, scrivere ed eseguire codice, interrogare database, utilizzare API, osservare il risultato delle proprie azioni e modificare la strategia. Nel campo della cybersecurity, capacità di questo tipo possono essere impiegate per individuare vulnerabilità e difendere sistemi informatici, ma possono anche creare nuove capacità offensive.

Che cosa accade se un agente supera il perimetro entro il quale era autorizzato a operare? Chi risponde se accede a un sistema senza autorizzazione, acquisisce informazioni o provoca un danno? È sufficiente mantenere un essere umano in the loop oppure dobbiamo iniziare a distinguere tra semplice presenza umana e controllo umano significativo?

In questo primo episodio di REC analizzo il problema dell’autonomia operativa dell’intelligenza artificiale dal punto di vista della cybersecurity, del diritto penale dell’informatica e della governance tecnologica. Dalla responsabilità di sviluppatori, utilizzatori e organizzazioni al principio del least privilege, dal logging al sandboxing, fino alla necessità di incorporare i limiti giuridici direttamente nell’architettura tecnica degli agenti.

Ma il tema va ancora oltre. L’AI agentica potrebbe modificare profondamente anche la cyberwarfare, riducendo il costo umano delle operazioni, aumentando la loro velocità e consentendo a gruppi relativamente piccoli di dirigere attività offensive o difensive su una scala prima difficilmente immaginabile.

È la natura dual use dell’intelligenza artificiale: la stessa tecnologia che può aiutare un’organizzazione a scoprire una vulnerabilità prima dell’attaccante può contribuire ad aumentare le capacità di chi quella vulnerabilità vuole sfruttarla.

Con l’intelligenza artificiale generativa ci siamo abituati a domandarci:

«Posso fidarmi di quello che la macchina mi dice?»

Con l’intelligenza artificiale agentica dobbiamo aggiungere una domanda ancora più importante:

«Posso controllare quello che la macchina fa?»

Perché un’allucinazione dentro una chat può produrre un’informazione sbagliata. Un errore di un agente collegato a sistemi reali può trasformarsi immediatamente in un’azione reale.

 

In questo episodio ho commentato riga per riga un documento di ACN e CSIRT che ripercorre con molta cura tutti gli aspetti più interessanti relativi al ransomware. Sul mio canale YouTube è presente anche il video, per chi volesse seguire il testo del documento.

In questo episodio potete sentire l'audio del video che ho preparato su YouTube con il commento riga per riga del Report del 2024 della Polizia Postale sui crimini informatici in Italia, aggiornato al 21 dicembre 2024.

In questo podcast potete ascoltare, liberamente, la mia lezione d'inaugurazione del Corso di Perfezionamento in Criminalità Informatica e Investigazioni Digitali che inizia oggi, con quasi 100 iscritti.

 

In questa serie di podcast settimanali ci occupiamo di analizzare con cura, riga per riga, il resoconto del 2023 della Polizia Postale sul quadro dei crimini informatici in Italia.

In questa serie di podcast settimanali ci occupiamo di analizzare con cura, riga per riga, il resoconto del 2023 della Polizia Postale sul quadro dei crimini informatici in Italia.

In questa serie di podcast settimanali ci occupiamo di analizzare con cura, riga per riga, il resoconto del 2023 della Polizia Postale sul quadro dei crimini informatici in Italia.

In questa serie di podcast settimanali ci occupiamo di analizzare con cura, riga per riga, il resoconto del 2023 della Polizia Postale sul quadro dei crimini informatici in Italia.

In questa serie di podcast settimanali ci occupiamo di analizzare con cura, riga per riga, il resoconto del 2023 della Polizia Postale sul quadro dei crimini informatici in Italia.

In questa serie di podcast settimanali ci occupiamo di analizzare con cura, riga per riga, il resoconto del 2023 della Polizia Postale sul quadro dei crimini informatici in Italia.

In questa serie di podcast settimanali ci occupiamo di analizzare con cura, riga per riga, il resoconto del 2023 della Polizia Postale sul quadro dei crimini informatici in Italia.

In questa serie di podcast settimanali ci occupiamo di analizzare con cura, riga per riga, il resoconto del 2023 della Polizia Postale sul quadro dei crimini informatici in Italia.

In questa serie di podcast settimanali ci occupiamo di analizzare con cura, riga per riga, il resoconto del 2023 della Polizia Postale sul quadro dei crimini informatici in Italia.

In questa serie di podcast settimanali ci occupiamo di analizzare con cura, riga per riga, il resoconto del 2023 della Polizia Postale sul quadro dei crimini informatici in Italia.

In questa serie di podcast settimanali ci occupiamo di analizzare con cura, riga per riga, il resoconto del 2023 della Polizia Postale sul quadro dei crimini informatici in Italia.

In questa serie di podcast settimanali ci occupiamo di analizzare con cura, riga per riga, il resoconto del 2023 della Polizia Postale sul quadro dei crimini informatici in Italia.

In questo episodio commento rapidamente un interessante (breve) report di EUROPOL su come i crimini informatici siano cambiati in epoca di pandemia.

La Polizia Postale, sul proprio sito istituzionale, ha pubblicato alcune interessanti indicazioni sull'uso responsabile delle tecnologie da parte dei minori (e sul possibile intervento da parte dei genitori).

In questo podcast illustriamo e commentiamo queste regole, che affontano sia l'aspetto dei comportamenti sia quello, altrettanto importante, della cybersecurity.

I deepfake sono uno dei fenomeni più interessanti nella attuale società digitale, e sollevano preoccupazione tra gli studiosi di investigazioni digitali e multimedia forensics.

In questo episodio ne parliamo con il Professor Sebastiano Battiato dell'Università di Catania, che insieme al suo team di ricerca studia il fenomeno sin dalle sue origini.

Il Garante per la protezione dei dati italiano ha spiegato sul suo sito istituzionale, in sintesi e in maniera molto chiara, che cosa sia un ransomware e come ci si possa proteggere anche in un'ottica di tutela dei propri dati personali.

Sono indicazioni preziose, dal momento che questo tipo di virus è in costante aumento e mutazione.

L'estate è tempo di relax, ma non bisogna abbassare la guardia dal punto di vista della sicurezza informatica.

In questo podcast illustro dieci regole, molto semplici, per evitare incidenti informatici nelle settimane che dovrebbero essere di assoluto relax.

La tragica vicenda di Karl Koch, hacker di Hannover morto tragicamente agli inizi degli anni Novanta, assume particolare importanza nell'evoluzione del quadro della società digitale di quegli anni e si collega, per molti versi, anche al quadro tecnologico attuale.

Siamo nel periodo storico dove TUTTO sta capitando, dove il mondo dell'hacking uscito dalle Università californiane sta perdendo la sua innocenza, dove cominciano i processi contro i primi reati informatici e dove stampa, opinione pubblica, magistratura e legislatore accendono i riflettori su un mondo che inizia a mostrare i suoi lati oscuri.

Il ragazzo, insieme ai suoi amici, si troverà al centro di accadimenti tecnologici, criminali, processuali e investigativi che cambieranno per sempre il corso della sua vita e che porteranno un velo di oscurità sul mondo dell'informatica e sugli equilibri all'interno della società dell'informazione europea che si stava formando.

Diventa sempre più importante impostare una strategia di protezione dal phishing e dalle truffe portate online, e tale sicurezza diventa essenziale in periodi dell'anno in cui tra offerte, festività e campagne di marketing (e sconti) molto aggressive l'attività online dei consumatori aumenta.

In questo nuovo episodio di Zero Days ho elaborato dieci "Comandamenti" che, se correttamente applicati, possono proteggere non solo dal phishing ma anche da tanti altri attacchi informatici. 

Alla base di tutto vi è, ovviamente, la necessità di diffondere una cultura della sicurezza informatica che contribuisca ad alzare sempre di più il livello di attenzione. 

Stefano Mele, avvocato in Milano e studioso attento alle tematiche delle cyberguerre, dei reati informatici e delle battaglie che ruotano attorno agli eserciti elettronici, è un punto di riferimento nazionale e internazionale su questi temi.

Nel primo episodio di Guru Meditations ripercorriamo con lui i concetti essenziali necessari da comprendere quando si parla di guerre dell'informazione, e analizziamo le problematiche più attuali.

Parleremo di attacchi, difese, Stati, virus, intelligence, geopolitica e strategie.

Si sente molto parlare di Industria 4.0, un nuovo sistema di gestione dell'impresa con, al centro, le tecnologie.

Ciò comporta, al contempo, che sia necessario comprendere come difendersi da attacchi esterni e da attacchi interni che potrebbero mettere a rischio non soltanto i dati, ma l'impresa stessa, andando a colpire direttamente, e senza pietà, il suo nucleo.

In questo episodio si analizzano sia gli attacchi tipici che possano provenire dall'interno, sia quelli soltamente provenienti dall'esterno. Il tutto per cercare di elaborare delle strategie che possano servire sia in caso di emergenza, sia per far crescere l'aspetto della sicurezza informatica congiuntamente alla evoluzione dell'azienda.

I crimini informatici hanno una lunga storia. Dagli anni Ottanta sino ai giorni nostri, hanno attraversato l'evoluzione tecnologica e hanno sollevato grandi problemi di politica legislativa.

In questo episodio di "Zero Days" analizzo le origini dei computer crimes in Italia e il loro mutamento nel corso degli anni: dalle prime normative del 1992 e del 1993 sino al quadro recente, dove accanto ai reati informatici "in senso stretto" ci sono tanti casi online che richiamano fattispecie "tradizionali".

Il conoscere la storia della "nascita" dei crimini informatici permette di comprendere meglio il quadro presente e futuro.

In questo episodio di "Zero Days" introdurrò l'argomento del furto di identità, un comportamento, e un reato, che da oltre un decennio è molto diffuso e che ha "cambiato pelle" con l'avvento dei social network.

Inquadrerò il fenomeno sia da un punto di vista dei comportamenti (sia dell'agente, sia della vittima) sia dal punto di vista del diritto, statunitense e italiano. 

Si vedrà come il furto di identità, accanto al lato della truffa ecomomica, sta avendo diffusione sui social network anche come strumento di vendetta o di diffamazione nei confronti delle potenziali vittime.

Il tema dell'hacking e della criminalità informatica ha sempre affascinato scrittori, registi e artisti.

Da "Wargames" a "La Conversazione", da "Nemico Pubblico" a "Black Mirror", dai film su Snowden e Aaron Swartz sino a opere che hanno toccato il Deep Web, Bitcoin e i droni, il panorama è oggi molto affascinante.

In questo sesto episodio di "Zero Days" riflettiamo, partendo da film e serie TV, sui problemi principali della società dell'informazione attuale: controllo del cittadino e dell'utente, sorveglianza globale, morte della privacy, potere della NSA, attivismo, paranoia e nuove forme di hacking. Con opere artistiche che hanno spesso anticipato la realtà...