L’Europol, in collaborazione con il settore privato, ha recentemente coordinato un’azione globale per combattere l’abuso di un legittimo strumento di sicurezza da parte di criminali informatici e, durante una settimana di operazioni, dal 24 al 28 giugno, vecchie versioni non autorizzate del tool di sicurezza Cobalt Strike sono state bersagliate per impedire il loro utilizzo malevolo.

Specifiche dell’Operazione MORPHEUS

L’operazione, denominata MORPHEUS, è stata guidata dalla National Crime Agency del Regno Unito e ha coinvolto autorità di vari paesi tra cui Australia, Canada, Germania, Paesi Bassi, Polonia e Stati Uniti. L’Europol ha coordinato le attività internazionali e ha collaborato con partner privati per identificare e disabilitare le versioni non autorizzate dello strumento. Durante la settimana di azione, sono stati segnalati ai fornitori di servizi online 690 indirizzi IP associati ad attività criminali, di cui 593 sono stati disabilitati. Questa operazione è il risultato di un’indagine complessa iniziata nel 2021.

Abuso da Parte dei Cybercriminali

Cobalt Strike è una piattaforma di software di penetration testing prodotta da Fortra utilizzata principalmente dai professionisti della sicurezza informatica per simulare attacchi informatici e valutare la sicurezza delle reti. Sviluppato per fornire una suite di strumenti avanzati, Cobalt Strike permette ai tester di creare scenari realistici di attacco, compresi il phishing, il movimento laterale, l’escalation dei privilegi e il comando e controllo (C2). La piattaforma offre funzionalità come la generazione di payload malevoli, la gestione dei beacon (agenti che comunicano con il server di comando e controllo) e l’automazione degli attacchi, rendendo possibile l’identificazione delle vulnerabilità e la valutazione delle difese di sicurezza. Tuttavia, la potenza e la versatilità di Cobalt Strike lo rendono anche una scelta popolare tra i cybercriminali, che lo utilizzano per eseguire attacchi sofisticati contro le reti bersaglio oggetto di indagine da parte di Europol.

Nonostante Fortra abbia adottato misure significative per prevenire l’abuso del suo software e abbia collaborato con le forze dell’ordine durante questa indagine, in rari casi i criminali sono riusciti a rubare versioni più vecchie di Cobalt Strike, creando copie crackate per ottenere accesso non autorizzato ai sistemi e distribuire malware. Queste versioni non autorizzate sono state collegate a diverse indagini su malware e ransomware, tra cui RYUK, Trickbot e Conti: qui trovi tutte le notizie.

Cooperazione con il Settore Privato

La cooperazione con il settore privato è stata fondamentale per il successo di questa azione. Numerosi partner del settore, tra cui BAE Systems Digital Intelligence, Trellix, Spamhaus, abuse.ch e The Shadowserver Foundation, hanno fornito capacità avanzate di scansione, telemetria e analisi per aiutare a identificare attività malevole.

Grazie al regolamento modificato di Europol, che ha rafforzato la capacità dell’Agenzia di supportare meglio gli Stati membri dell’UE, è stata possibile questa nuova approccio. Europol ha potuto accedere a informazioni in tempo reale sulle minacce e ottenere una prospettiva più ampia sulle tattiche dei cybercriminali. Questa collaborazione ha permesso una risposta più coordinata e completa, migliorando la resilienza complessiva dell’ecosistema digitale in Europa.

Supporto di Europol

Il Centro Europeo per la Criminalità Informatica (EC3) di Europol ha supportato questo caso dal settembre 2021, fornendo supporto analitico e forense e facilitando lo scambio di informazioni tra tutti i partner. Durante l’intera indagine, oltre 730 pezzi di intelligence sulle minacce sono stati condivisi, contenenti quasi 1,2 milioni di indicatori di compromesso. Europol ha organizzato oltre 40 riunioni di coordinamento tra le agenzie di polizia e i partner privati. Durante la settimana di azione, Europol ha istituito un posto di comando virtuale per coordinare le azioni delle forze dell’ordine a livello globale.

L’Autorità Garante per la protezione dei dati personali (Garante Privacy), composta da Pasquale Stanzione, Ginevra Cerrina Feroni, Agostino Ghiglia e Guido Scorza, ha presentato la relazione annuale sull’attività svolta nel 2023. Quest’anno è stato caratterizzato da interventi in ambiti innovativi come la digitalizzazione, l’intelligenza artificiale e il PNRR, oltre a tematiche costanti come il contrasto al telemarketing aggressivo, la tutela dei dati sanitari e la protezione dei soggetti vulnerabili.

Interventi rilevanti

Intelligenza Artificiale

Il 2023 ha visto un aumento significativo nell’uso dell’intelligenza artificiale (IA), con il Garante che ha effettuato importanti interventi. Inizialmente, è stato bloccato l’uso di ChatGPT per raccolta illecita di dati personali e mancanza di sistemi di verifica dell’età. Successivamente, la piattaforma è stata riaperta con più trasparenza e diritti per gli utenti. Il Garante ha anche bloccato il chatbot Replika per i rischi associati ai minori e alle persone emotivamente fragili e avviato un’istruttoria su Sora, un modello di IA che crea brevi video da poche righe di testo.

Tutela dei Minori

L’Autorità ha posto particolare attenzione alla tutela online dei minori, continuando la vigilanza sull’età di iscrizione ai social media. È stato firmato un protocollo d’intesa con Agcom e nuovi protocolli con Co.Re.Com di diverse regioni per combattere il revenge porn e il cyberbullismo. Sono stati organizzati incontri con i giovani e premiate le scuole vincitrici del contest “Ambasciatori della Privacy”.

Digitalizzazione

L’accelerazione del processo di digitalizzazione ha portato a numerosi interventi dell’Autorità, inclusa la gestione centralizzata delle credenziali dell’identità digitale (CIEId), il Single Digital Gateway (SDG) per lo scambio transfrontaliero di prove e la Piattaforma Unica per le Notifiche Digitali di atti amministrativi. Il Garante ha anche lavorato alla realizzazione del Fascicolo Sanitario Elettronico 2.0 e del sistema nazionale di telemedicina, parte della Missione 6 del PNRR.

Cybersecurity

In collaborazione con l’Agenzia per la Cybersicurezza Nazionale (ACN), il Garante ha sviluppato le linee guida per la conservazione delle password. Nel 2023 sono stati notificati 2.037 data breach, con il settore pubblico coinvolto nel 37% dei casi e il settore privato nel 63%.

Telemarketing Aggressivo

Il Garante ha applicato pesanti sanzioni contro il telemarketing aggressivo per l’uso non consensuale dei dati degli abbonati. È stato approvato il Codice di condotta per le attività di telemarketing e teleselling.

Attività Internazionale

Il Garante ha partecipato attivamente a livello internazionale, con 235 riunioni. Ha contribuito all’adozione di linee guida del Comitato europeo per la protezione dei dati (Edpb) su temi complessi come il diritto di accesso, il riconoscimento facciale nel settore della polizia e giustizia e il calcolo delle sanzioni pecuniarie. Importanti sono state anche le attività legate all’euro digitale e al trattamento dei dati in materia di antiriciclaggio.

Le cifre

Nel 2023, il Garante Privacy ha adottato 634 provvedimenti collegiali, risposto a 19.281 reclami e segnalazioni, reso 59 pareri su atti normativi e amministrativi, effettuato 7 comunicazioni di notizie di reato all’autorità giudiziaria e 144 ispezioni. Le sanzioni riscosse ammontano a circa 8 milioni di euro, mentre sono stati notificati 2.037 data breach.

Leggi la relazione in forma integrale

Il Senato italiano ha approvato in via definitiva il Disegno di Legge (DDL) sulla Cybersicurezza, trasformandolo in legge. Questo provvedimento, che introduce nuove misure per rafforzare la sicurezza informatica delle Pubbliche Amministrazioni e degli istituti finanziari, rappresenta un passo significativo nella lotta contro i cyber attacchi e nella protezione delle infrastrutture critiche del paese.

Principali novità del DDL Cybersicurezza

Rafforzamento della Sicurezza Nazionale

Il nuovo DDL prevede l’implementazione di una governance centralizzata degli aspetti di sicurezza informatica, migliorando la capacità di prevenzione, monitoraggio, rilevamento e risposta agli incidenti di sicurezza informatica. La legge rafforza le funzioni dell’Agenzia per la Cybersicurezza Nazionale (ACN) e prevede un maggiore coordinamento con l’autorità giudiziaria.

Obbligo di segnalazione degli incidenti

Uno dei punti chiave della nuova legge è l’obbligo di segnalazione entro 24 ore all’ACN di incidenti che hanno un impatto significativo sulle reti. Questo obbligo si applica a operatori che svolgono funzioni istituzionali o essenziali per gli interessi dello Stato.

Strutture per la Cybersicurezza nelle PA

Il DDL prevede che tutte le Pubbliche Amministrazioni che ancora non l’hanno fatto istituiscano una struttura dedicata alla cybersicurezza con un referente unico per l’ACN. Inoltre, verrà istituito il Centro Nazionale di Crittografia all’interno dell’ACN.

Adempimenti per le Pubbliche Amministrazioni al DDL Cybersicurezza

Soggetti interessati

Le pubbliche amministrazioni obbligate a conformarsi alla legge includono:

• Pubbliche amministrazioni centrali incluse nell’elenco annuale ISTAT.
• Regioni e province autonome di Trento e Bolzano.
• Città metropolitane.
• Comuni con popolazione superiore a 100.000 abitanti.
• Comuni capoluoghi di regione.
• Società di trasporto pubblico urbano ed extraurbano con bacino di utenza significativo.
• Aziende sanitarie locali.
• Società in house che forniscono servizi informatici, di trasporto, gestione delle acque reflue e dei rifiuti.

Rafforzamento della resilienza in materia di Cybersicurezza

Le pubbliche amministrazioni devono dotarsi di una struttura per la cybersicurezza che preveda:

• Sviluppo di politiche e procedure di sicurezza delle informazioni.
• Produzione e aggiornamento di un piano per il rischio informatico.
• Produzione e aggiornamento di un documento organizzativo per la sicurezza delle informazioni.
• Pianificazione e attuazione di interventi di potenziamento delle capacità di gestione dei rischi informatici.
• Adozione delle misure previste dalle linee guida dell’Agenzia per la Cybersicurezza Nazionale.
• Monitoraggio e valutazione continua delle minacce alla sicurezza.

Segnalazione degli incidenti

Le pubbliche amministrazioni devono notificare gli incidenti informatici entro:

• 24 ore per una prima segnalazione.
• 72 ore per una notifica completa.

Le notifiche devono essere effettuate tramite le procedure disponibili sul sito dell’Agenzia per la Cybersicurezza Nazionale.

Adozione degli interventi risolutivi

In caso di specifiche vulnerabilità segnalate dall’Agenzia per la Cybersicurezza Nazionale, le pubbliche amministrazioni devono adottare gli interventi risolutivi entro 15 giorni. La mancata adozione può comportare sanzioni amministrative pecuniarie.

Adempimenti per le Società Private

Soggetti interessati

La legge si applica anche a soggetti inclusi nel Perimetro di Sicurezza Nazionale Cibernetica, soggetti sottoposti alla Direttiva NIS (e in futuro alla Direttiva NIS2) e in alcuni casi specifici, soggetti Tel.Co.

Obblighi di notifica

Le società private devono notificare gli incidenti informatici osservando i seguenti termini:

• Massimo 24 ore per una prima segnalazione.
• Massimo 72 ore per una notifica completa.

In caso di inosservanza, si applicano sanzioni amministrative pecuniarie.

Verifica delle applicazioni e programmi

Le società devono verificare che le applicazioni e i programmi informatici rispettino le linee guida sulla crittografia e non contengano vulnerabilità note.

Adozione degli interventi risolutivi

Le società devono adottare tempestivamente gli interventi risolutivi indicati dall’Agenzia per la Cybersicurezza Nazionale entro 15 giorni. La mancata adozione comporta sanzioni amministrative pecuniarie.

Novità nei contratti pubblici di Beni e Servizi Informatici

La legge introduce criteri di cybersecurity nei contratti pubblici di beni e servizi informatici per garantire la confidenzialità, l’integrità e la disponibilità dei dati. Un Decreto del Presidente del Consiglio dei Ministri definirà entro 120 giorni gli elementi essenziali di cybersicurezza da considerare nei contratti pubblici.

Responsabilità Amministrativa degli Enti

La legge modifica il Decreto Legislativo 231/2001, aumentando le sanzioni per i reati informatici e introducendo nuove fattispecie di reato legate all’estorsione informatica. Prevede anche sanzioni interdittive per gli enti in caso di condanna per reati informatici.

Preclusioni all’Assunzione di Personale

La legge introduce preclusioni all’assunzione di personale che abbia ricoperto specifici ruoli presso pubbliche amministrazioni centrali o nell’intelligence, per un periodo di due anni successivi alla conclusione di percorsi formativi di specializzazione in cybersicurezza.

Inasprimento delle Sanzioni

Il disegno di legge introduce nuove fattispecie di reati informatici e inasprisce le pene per reati esistenti. Ad esempio, l’accesso abusivo a un sistema informatico ora prevede pene più severe, specialmente se commesso da un pubblico ufficiale. Inoltre, il DDL prevede sanzioni per il delitto di estorsione mediante reati informatici, mirate a contrastare il fenomeno crescente dei ransomware.

Nuove circostanze attenuanti

Il DDL introduce nuove circostanze attenuanti per i reati informatici, consentendo una riduzione delle pene nei casi di lieve entità o quando l’autore del reato collabora con le autorità per prevenire ulteriori danni.

Impatto sulla Responsabilità degli Enti

La legge modifica il Decreto Legislativo 231/2001, ampliando la responsabilità amministrativa degli enti per reati informatici. Le modifiche prevedono un innalzamento delle sanzioni pecuniarie per gli enti coinvolti in reati informatici e introducono la possibilità di applicare sanzioni interdittive.

Prospettive Future

Il DDL rappresenta il primo di tre passaggi parlamentari destinati a cambiare la sicurezza informatica in Italia. I prossimi passaggi includono il Decreto Sicurezza, che prevede una strategia nazionale contro gli attacchi ransomware, e il recepimento delle direttive europee Nis 2 e Cer, che mirano a migliorare la resilienza dei soggetti critici.

Leggi il testo completo sulla Gazzetta Ufficiale