Cyber-rischi (2023/1)

I media riferiscono regolarmente di cyber-attacchi messi a segno ai danni di imprese affermate. Per esempio, di recente un gruppo di hacker ha utilizzato la falla di sicurezza del programma di scambio di dati MOVEit per sottrarre dati e ricattare le società. Per molti assoggettati alla vigilanza è difficile riconoscere questi cosiddetti attacchi zero-day (a tutt’oggi una vulnerabilità sconosciuta, sfruttata dai cyber-criminali e non ancora risolta), che non possono essere individuati con strumenti tradizionali, come gli scanner di vulnerabilità, e poi eliminati.

Continuano a essere perpetrati con elevata frequenza anche i cosiddetti attacchi distributed denial of service (attacchi DDoS) (cfr. grafico «Ripartizione in base alle notifiche di cyber-attacchi pervenute alla FINMA negli ultimi dodici mesi»), che provocano un sovraccarico dei sistemi (p. es. di un sito internet) con un numero elevato di richieste. Questo metodo è stato recentemente utilizzato da collettivi politici per mettere sotto attacco i siti internet dell’Amministrazione federale e di altre autorità. Sono stati presi di mira anche istituti finanziari assoggettati alla vigilanza, che sono però riusciti a resistere agli attacchi. Rispetto agli attacchi DDoS di fine 2020, che avevano provocato gravi interruzioni e irraggiungibilità dei sistemi, gli istituti hanno dimostrato di essere ottimamente preparati, tuttavia la minaccia si aggrava a causa dei cyber-attacchi condotti per motivi politici.

Le notifiche pervenute alla FINMA da parte degli assoggettati alla vigilanza confermano la tendenza a una maggiore frequenza degli attacchi nei confronti degli istituti più piccoli (cfr. grafico «Numero di notifiche di cyber-attacchi suddivise per categoria di vigilanza»). Rispetto al passato, l’enfasi si è spostata dalle banche alle imprese di assicurazione (30% circa) e ai gestori patrimoniali (20% circa), diventati in misura crescente bersagli degli attacchi. È proseguita la tendenza alle intrusioni tramite fornitori esterni di servizi (cfr. grafico «Vettore dell’attacco»). Per esempio, in due diversi attacchi ransomware perpetrati a danno di fornitori esterni di servizi gli hacker hanno compromesso i dati di oltre una decina di istituti. Non sono presi necessariamente di mira solo i dati dei clienti, ma anche altri dati classificati come critici dalle imprese, tra cui quelli concernenti i dipendenti, i segreti d’affari, le strategie d’investimento, ecc.

(Dal Monitoraggio dei rischi 2023)