“Sono numeri da grandi aziende, a me non riguarda.” I numeri del 2021 dicono un’altra cosa: la parte più grande dei reati digitali denunciati in Svizzera sono truffe online contro persone comuni, come la merce pagata su un sito di annunci e mai arrivata.
A fine dicembre 2021 ne avevo scritto a caldo, nell’articolo «2021 l’anno migliore di sempre… per gli hacker», con l’elenco degli attacchi del mese per mese. Qui faccio il passo successivo: i numeri ufficiali, usciti nella primavera del 2022, e cosa ci dicono ancora oggi.
Quanti attacchi ci sono stati nel 2021 in Svizzera?
21’714 segnalazioni all’NCSC e 30’351 reati digitali denunciati alla polizia: due misure diverse, tutte e due in forte crescita. L’NCSC (dal 2024 Ufficio federale della cibersicurezza, UFCS) conta quello che cittadini e aziende gli segnalano, anche i tentativi falliti. L’Ufficio federale di statistica (UST) conta i reati registrati dalla polizia, cioè le denunce.
Nel 2021 l’NCSC ha ricevuto quasi il doppio delle segnalazioni rispetto all’anno precedente (10’833), arrivando a 21’714. Fra i motivi, lo stesso NCSC indica il nuovo modulo di segnalazione, più semplice e in primo piano sul sito, ma anche una crescita reale di singoli fenomeni.
I reati con una componente digitale sono passati da 24’398 a 30’351, una media di 83 denunce al giorno; quasi l’88% riguarda la «cibercriminalità economica».
Questa è la tabella dell’anno, con il confronto sul 2020. Il 2020 è il primo anno in cui l’UST ha pubblicato i reati digitali: il 2021 è quindi il primo confronto possibile.
| Svizzera | 2020 | 2021 | Variazione |
|---|---|---|---|
| Segnalazioni all’NCSC (oggi UFCS) | 10’833 | 21’714 | +100% |
| Segnalazioni di ransomware all’NCSC | 67 | 161 | +140% |
| Reati digitali registrati dalla polizia | 24’398 | 30’351 | +24,4% |
| di cui cibercriminalità economica (truffe, phishing, ecc.) | 20’544 | 26’671 | +29,8% |
| di cui truffa online | 16’395 | 20’691 | +26,2% |
| Phishing | 642 | 1’210 | +88,5% |
| Sextortion a scopo di denaro | 513 | 1’031 | +101,0% |
| Accesso a un sistema con credenziali altrui | 470 | 653 | +38,9% |
| Ransomware denunciati | 222 | 340 | +53,2% |
| Reati digitali chiariti dalla polizia | 44,1% | 36,4% | -7,7 punti |
Fonti: NCSC, Rapporto semestrale 2021/II (5.5.2022), righe 1-2; UST, Statistica criminale di polizia (SCP), tabelle «Criminalità digitale» pubblicate il 28.3.2022, righe 3-10.
UST, Criminalità digitale: modi operandi e persone imputate, 2020 e 2021Il 2021 è anche il primo anno in cui l’UST ha scomposto la truffa online per tipo. Le due voci più frequenti: 6’884 reati per merce pagata su un sito di piccoli annunci e mai consegnata, e 6’670 per l’abuso di sistemi di pagamento o dell’identità di un’altra persona per truffare. Fra le altre voci: il falso supporto tecnico (1’366), la truffa negli investimenti online (1’231) e la truffa del CEO (412).
E in Italia?
In Italia la Polizia Postale ha trattato 15’068 casi di phishing, smishing e vishing, con 791 persone indagate. Sono le truffe che rubano le credenziali dell’home banking, i codici delle carte, le chiavi dei portafogli di criptovalute. I dati della Polizia Postale sul 2021 sono pubblicati nel Rapporto Clusit di marzo 2022.
Nello stesso capitolo, la Polizia Postale riferisce di aver bloccato e recuperato circa 8 milioni di euro su circa 20 milioni movimentati con truffe del CEO e false email di pagamento (in inglese BEC, business email compromise) ai danni di 131 grandi e medie imprese. Ha trattato inoltre 1’652 casi di truffe sul trading online e 1’122 casi di sextortion.
Rapporto Clusit 2022, capitolo Polizia Postale e delle ComunicazioniSul piano mondiale, il Rapporto Clusit 2022 ha classificato 2’049 attacchi gravi noti nel 2021, contro 1’874 del 2020: il 9,3% in più. L’Europa sale al 21% degli attacchi (dal 16% del 2020) e il 79% degli attacchi ha avuto un impatto «elevato», contro il 50% dell’anno prima.
Rapporto Clusit 2022, edizione di marzoQuali sono state le minacce dominanti del 2021?
Truffe, SMS del finto pacco e ransomware: tre minacce diverse, con lo stesso punto d’ingresso, una persona che si fida del messaggio sbagliato.
- Le truffe. In Svizzera oltre 11’300 segnalazioni all’NCSC hanno riguardato tentativi di truffa: finta sextortion nella prima metà dell’anno, poi da ottobre le false email della polizia che chiedono una multa o una cauzione. Seguono la truffa dell’anticipo (2’704 segnalazioni), le truffe sugli annunci (820), la truffa dell’investimento (397) e la truffa del CEO (394).
- Il phishing del pacco. Email e SMS di sedicenti corrieri o dell’Amministrazione federale delle dogane: “il tuo pacco non è stato consegnato, paga una piccola commissione”. Nel primo semestre le segnalazioni di phishing all’NCSC sono passate da 497 a 2’439, quasi cinque volte tanto.
- Il ransomware, il programma che cifra i dati e chiede un riscatto. All’NCSC le segnalazioni sono salite da 67 a 161. Sempre più spesso gli autori copiano i dati prima di cifrarli e minacciano di pubblicarli: è la doppia estorsione.
C’è poi una tendenza che l’NCSC mette nero su bianco: gli attacchi diventano più mirati. Prima di colpire, i truffatori dedicano tempo alla vittima per guadagnarne la fiducia. È il motivo per cui i consigli generici (“non aprire gli allegati”) non bastano più.
Quali casi hanno fatto notizia?
Un portale svizzero, un comune vodese, una regione italiana e un’app falsa che arrivava per SMS.
Comparis, luglio 2021
Il portale svizzero di confronto prezzi è stato bloccato da un ransomware. Gli autori hanno chiesto 400’000 dollari (circa CHF 370’000) in criptovaluta. L’azienda ha dichiarato di non aver pagato e il sito è tornato online in pochi giorni. Una settimana dopo la polizia cantonale di Zurigo ha comunicato che gli autori avevano avuto accesso a dati interni dei clienti.
swissinfo.ch swissinfo.chIl comune di Rolle e gli altri enti
Nel secondo semestre del 2021 l’NCSC elenca ransomware contro diversi comuni, una banca, una clinica privata, la Cineteca svizzera e MCH Fiera Svizzera. Nel caso del comune di Rolle, i dati degli abitanti rubati dagli autori sono finiti nel dark web. Fra le vittime anche alcune fiduciarie, con dati fiscali venduti o pubblicati nel dark web.
NCSC, Rapporto semestrale 2021/II, n. 4.2.2Regione Lazio, agosto 2021
Nella notte del 1° agosto un ransomware ha bloccato il centro elaborazione dati della Regione: fuori uso quasi tutti i portali, compreso quello per prenotare i vaccini contro il Covid. Secondo l’assessore alla Sanità, l’attacco è partito dalla violazione dell’account di un dipendente in smart working ed è arrivato a cifrare anche le copie di backup.
AGIFluBot, l’SMS che installava un’app spia
In Svizzera e in Italia è circolato lo stesso inganno: un SMS su un pacco o un messaggio vocale, con un link per scaricare un’app Android. L’app era FluBot, che ruba i dati del telefono e può leggere i codici di accesso ricevuti via SMS. In Svizzera è stata la famiglia di malware più diffusa nel 2021 e nell’ottobre 2021 ha prodotto la settimana con più segnalazioni dell’anno. In Italia il CERT-AgID ha contato 14 campagne FluBot nel 2021, tutte via SMS.
NCSC, Rapporto semestrale 2021/II, n. 4.2.1 CERT-AgIDCosa è cambiato rispetto al 2020?
Tre cose: le segnalazioni sono raddoppiate, il phishing è quasi raddoppiato e la polizia ha chiarito una quota minore di reati. Il tasso di chiarimento dei reati digitali è sceso dal 44,1% al 36,4%. Per il phishing è al 7,4%, per il ransomware sotto l’1%: su 340 casi denunciati, 3 chiariti.
Detto in parole semplici: chi subisce una truffa online o un ransomware raramente rivede i soldi o trova un colpevole. La prevenzione costa molto meno della cura, e spesso è l’unica cura che c’è.
UST, Criminalità digitale: modi operandi e persone imputateIl Metodo 3V applicato alle minacce del 2021
Gli inganni del 2021 si fermano con le stesse tre domande. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | SMS del pacco (famiglie) | Email con un IBAN nuovo (PMI) | |
|---|---|---|---|
| Verifica | Chi mi scrive è davvero chi dice di essere? | Il nome del corriere si copia in un secondo. Controlla la spedizione dall’app o dal sito che usi sempre, non dal link. | Richiama il fornitore sul numero che hai già in rubrica, non su quello scritto nell’email. |
| Validazione | Anche se fosse vero, la richiesta ha senso? | Nessun corriere ti chiede di installare un’app da un link per ascoltare un messaggio o ritirare un pacco. | Un fornitore che cambia conto all’improvviso, per email, è un segnale da controllare sempre. |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Ultimo tentativo di consegna”: la fretta serve a farti cliccare senza pensare. | ”Il pagamento va fatto oggi”: la fretta serve a saltare i controlli. |
Cosa fare oggi, a partire da questi numeri?
Le minacce del 2021 girano ancora, con nomi nuovi: le difese sono le stesse.
- Installa le app solo dagli store ufficiali, mai da un link ricevuto per SMS o in chat. Se l’hai già fatto, non usare il telefono per banca e acquisti finché non è stato controllato: l’NCSC indica il ripristino alle impostazioni di fabbrica come unico modo per eliminare FluBot definitivamente.
- Attiva la verifica in due passaggi su email, banca e social, preferendo un’app o una chiave al codice via SMS, che un’app spia può leggere. Le differenze sono in SMS, app o chiave: quale scegliere.
- Fai una copia dei dati scollegata dalla rete e prova a ripristinarla: un backup sempre collegato viene cifrato insieme al resto. Il metodo è in backup 3-2-1 e prova di ripristino.
- Per i pagamenti, richiama sempre su un numero che conosci già quando cambia un IBAN o arriva una richiesta urgente.
- Controlla i link prima di cliccare su sito-ok.com e verifica se la tua email è finita in una violazione di dati su passwordrubata.com.
- Segnala: in Svizzera all’UFCS e, se c’è un danno, alla polizia cantonale; in Italia alla Polizia Postale. Ogni segnalazione aiuta a riconoscere le ondate e ad avvisare gli altri.
Domande frequenti
Quanti attacchi informatici ci sono stati in Svizzera nel 2021?
L'NCSC (oggi UFCS) ha ricevuto 21'714 segnalazioni, il doppio del 2020. La polizia ha registrato 30'351 reati digitali, il 24% in più, cioè 83 al giorno in media. Sono due misure diverse: le segnalazioni comprendono anche i tentativi falliti, i reati sono le denunce. I casi reali sono di più, perché molte vittime non denunciano.
Quali erano le truffe online più diffuse nel 2021?
In Svizzera, fra i reati denunciati, la merce pagata su un sito di annunci e mai consegnata (6'884 casi) e l'abuso di sistemi di pagamento o dell'identità altrui (6'670). Fra le segnalazioni all'NCSC dominavano la finta sextortion, le false email della polizia e la truffa dell'anticipo. In Italia la Polizia Postale ha trattato 15'068 casi di phishing, smishing e vishing.
Il 2021 è stato davvero l'anno peggiore per la sicurezza informatica?
Rispetto al 2020 quasi tutti gli indicatori sono saliti: segnalazioni all'NCSC raddoppiate, phishing denunciato in Svizzera +88,5%, attacchi gravi nel mondo +9,3% secondo il Rapporto Clusit. Ma il 2021 è anche il primo anno con numeri ufficiali confrontabili in Svizzera, e una parte della crescita delle segnalazioni viene dal nuovo modulo dell'NCSC. Più che il record conta la direzione: tutte le fonti salgono insieme.
Ho installato un'app da un link ricevuto per SMS: cosa faccio?
Non usare il telefono per la banca, gli acquisti o per inserire password. Chiama la banca da un altro telefono per bloccare carte e accessi, poi fai controllare il dispositivo: per FluBot l'NCSC indicava il ripristino alle impostazioni di fabbrica come unico rimedio sicuro. Cambia le password da un dispositivo pulito e segnala il caso all'UFCS o alla Polizia Postale.
Per l’anno dopo c’è la retrospettiva del 2022, con i numeri dell’anno dopo. I trucchi del 2021, il pacco da sbloccare e la finta email della polizia, arrivano ancora oggi nelle caselle e sui telefoni: riconoscerli adesso costa cinque minuti, subirli molto di più.
