“Tanto gli hacker colpiscono le grandi aziende.” I numeri del 2022 dicono un’altra cosa: in Svizzera l’85% delle segnalazioni all’NCSC è arrivato da privati. La maggior parte dei reati non richiede nessuna abilità tecnica: basta un’email convincente e una persona che ha fretta.
Nella retrospettiva del 2021 avevo scritto che gli hacker non vanno mai in vacanza. Il 2022 lo ha confermato, con una differenza: per la prima volta abbiamo numeri ufficiali solidi su entrambi i lati del confine, e raccontano la stessa storia.
Quanti attacchi ci sono stati nel 2022 in Svizzera?
34’527 segnalazioni all’NCSC e 33’345 reati digitali denunciati alla polizia: due misure diverse, entrambe in crescita. L’NCSC (dal 2024 Ufficio federale della cibersicurezza, UFCS) conta quello che cittadini e aziende gli segnalano, anche i tentativi falliti. L’Ufficio federale di statistica (UST) conta i reati registrati dalla polizia, cioè le denunce.
Nel 2022 l’NCSC ha ricevuto 34’527 segnalazioni, contro le 21’714 del 2021. L’85% è arrivato da privati, il 15% da imprese, associazioni e autorità. Il secondo semestre (17’341) è stato praticamente uguale al primo: secondo l’NCSC la crescita non continuerà allo stesso ritmo degli ultimi tre anni.
Nel 2022 sono stati denunciati 33’345 reati con una componente di criminalità digitale, il 9,9% in più. Per la maggior parte si tratta di cibercriminalità economica; aumentano in particolare il phishing (+84,8%), la sextortion a scopo di denaro (+54,0%) e la truffa dell’investimento online (+29,2%).
| Svizzera | 2021 | 2022 | Variazione |
|---|---|---|---|
| Segnalazioni all’NCSC (oggi UFCS) | 21’714 | 34’527 | +59% |
| Reati digitali registrati dalla polizia | 30’351 | 33’345 | +9,9% |
| di cui cibercriminalità economica (truffe, phishing, ecc.) | 26’671 | 29’677 | +11,3% |
| Phishing | 1’210 | 2’236 | +84,8% |
| Sextortion a scopo di denaro | 1’031 | 1’588 | +54,0% |
| Truffa dell’investimento online | 1’231 | 1’590 | +29,2% |
| Accesso a un sistema con credenziali altrui | 653 | 796 | +21,9% |
| Truffa del CEO / BEC | 412 | 401 | -2,7% |
| Ransomware denunciati | 340 | 307 | -9,7% |
| Reati digitali chiariti dalla polizia | 36,4% | 34,3% | -2,1 punti |
Fonti: NCSC, Rapporto semestrale 2022/II (prima riga); UST, Statistica criminale di polizia, tabelle della criminalità digitale per modus operandi (altre righe). Le variazioni sono calcolate sui valori pubblicati.
E in Italia?
In Italia il Rapporto Clusit 2023 ha contato 188 attacchi gravi contro bersagli italiani nel 2022, il 169% in più dell’anno prima. L’Italia è passata dal 3,4% al 7,6% degli attacchi gravi censiti nel mondo, che sono stati 2’489 (+21%). Clusit conta solo gli incidenti gravi diventati pubblici: è la punta dell’iceberg, non il totale.
Secondo il Rapporto Clusit 2023, nel 2022 gli attacchi gravi nel mondo sono stati 2’489, il 21% in più del 2021; quelli contro l’Italia 188, il 169% in più.
Nel 2022 il cybercrime è all’origine dell’82% degli attacchi gravi; il malware è la tecnica più usata (37%), gli attacchi DDoS crescono del 258%. L’Italia subisce il 7,6% degli attacchi censiti nel mondo, contro il 3,4% del 2021.
Sul fronte delle persone, la Polizia Postale ha trattato 15’508 casi di truffa online (+3%), con oltre 115 milioni di euro sottratti (+58%). Per phishing, smishing e vishing (le truffe via email, SMS e telefono) ha indagato 853 persone, per quasi 39 milioni di euro sottratti. E 156 imprese, grandi, medie e piccole, sono state truffate con false richieste di pagamento (truffa del CEO e simili) per oltre 20 milioni di euro.
Truffe online: 15’508 casi trattati (15’083 nel 2021), 3’541 persone indagate, 115’457’921 euro sottratti (+58%). Attacchi rilevati a infrastrutture critiche, istituzioni, aziende e privati: 12’947 contro 5’434 del 2021 (+138%). Dati rilevati al 27.12.2022.
Italia e Svizzera non si confrontano in valore assoluto: Clusit censisce incidenti gravi resi pubblici, l’NCSC segnalazioni, l’UST e la Polizia Postale denunce e indagini. Quello che si confronta è la direzione, ed è la stessa: su.
Quali sono state le tre minacce dominanti del 2022?
Truffe online, phishing e ransomware contro le aziende. Sono le tre che compaiono in tutte le fonti, svizzere e italiane.
1. Le truffe, a partire dalla falsa email della polizia
La truffa è stata il tipo di incidente più segnalato in Svizzera, e la variante regina è stata la “fake extortion”: una finta email della polizia. L’email accusa la vittima di un reato grave (di solito legato alla pedopornografia) e chiede soldi per “chiudere il caso”. Nel 2022 l’NCSC ne ha ricevute oltre 11’000 segnalazioni, circa un terzo del totale. Nella settimana record dell’anno, la 36, erano 418 su 954.
I truffatori assemblano a caso nomi e loghi di autorità svizzere ed estere, e in alcune email usano abusivamente anche il nome dell’NCSC. Nello stesso semestre la truffa dell’investimento ha prodotto 219 segnalazioni e un danno dichiarato di oltre 4 milioni di franchi.
In Italia il quadro è lo stesso con altri numeri: le truffe online sono la voce più grande del resoconto della Polizia Postale, con il trading online fasullo in forte crescita (3’020 casi). Ne ho scritto in truffe di investimento online e falso trading.
2. Il phishing, che entra in azienda
In Svizzera il phishing denunciato è quasi raddoppiato (da 1’210 a 2’236 casi), e non riguarda più solo i privati. L’NCSC segnala che i tentativi puntano sempre più spesso ai collaboratori delle aziende, soprattutto per rubare le credenziali di Microsoft 365. Con quelle credenziali si entra nella posta, si leggono le fatture e si prepara la truffa successiva. Le denunce per accesso con credenziali altrui sono salite da 653 a 796.
3. Il ransomware contro le imprese
Il ransomware, il programma che cifra i dati e chiede un riscatto, è rimasto stabile come numero ma ha colpito soprattutto le aziende. Delle 76 segnalazioni ricevute dall’NCSC nel secondo semestre, circa due terzi venivano da imprese. Sempre più spesso è una doppia estorsione: i criminali cifrano i dati e minacciano di pubblicarli, perché molte aziende hanno imparato a ripartire dai backup. Secondo l’NCSC la prima infezione arriva spesso da una falla non corretta, una configurazione sbagliata o un allegato in un’email.
Sullo sfondo c’è la guerra in Ucraina, iniziata a febbraio: il rapporto NCSC del primo semestre è dedicato all’informatica nei conflitti armati, e il Clusit registra la forte crescita degli attacchi DDoS, quelli che rendono irraggiungibile un sito inondandolo di traffico.
Quali casi hanno fatto notizia?
Tre casi, due svizzeri e uno italiano, che insegnano qualcosa anche a chi non è un grande ente.
Trasporti pubblici di Lucerna (maggio 2022). Nella notte del 14 maggio l’azienda dei trasporti pubblici di Lucerna (VBL) subisce un attacco mirato. I sistemi vengono staccati da Internet, si convoca lo stato maggiore di crisi, si avvisano polizia e NCSC, e i sistemi si ripristinano passo dopo passo dall’ultimo backup. I passeggeri non se ne accorgono: si spengono solo i monitor delle partenze. È il caso di un’organizzazione preparata, raccontata dal suo responsabile informatico nel rapporto NCSC.
Un fornitore di cloud nel Canton Berna (fine novembre 2022). Un attacco ransomware, probabilmente del gruppo Play, costringe il fornitore a chiudere i suoi centri di calcolo. I backup di quattro giorni prima salvano una parte dei dati, ma alcuni clienti non riescono più ad accedere al servizio, a emettere fatture o a calcolare e pagare gli stipendi. La lezione per una PMI: anche se non vieni attaccato tu, puoi fermarti perché è stato attaccato il tuo fornitore.
Il rapporto descrive anche l’attacco del 5 settembre 2022 a una fabbrica di cioccolato svizzera: produzione e logistica ferme, ripresa dopo due settimane, e un mese dopo il gruppo BianLian che pubblica nel dark web file dell’azienda.
I siti istituzionali italiani sotto DDoS (maggio 2022). La sera del 19 maggio il gruppo filorusso Legion, legato a Killnet, rivendica attacchi DDoS contro siti italiani: Senato, Ministero della Difesa, Ministero degli Esteri, Consiglio superiore della magistratura, poi diversi aeroporti. Disservizi temporanei e rallentamenti, ma il CSIRT italiano emette bollettini di allerta per tutti i soggetti nazionali.
Cybersecurity360Cosa è cambiato rispetto al 2021?
Gli attacchi non sono diventati più sofisticati: sono diventati di più, e si sono spostati sulle persone. Tre cambiamenti si leggono nei numeri:
- la truffa domina: in Svizzera quasi nove reati digitali denunciati su dieci sono cibercriminalità economica (29’677 su 33’345);
- il phishing passa dalla casella privata a quella di lavoro: l’obiettivo diventano le credenziali aziendali, che aprono la porta a fatture modificate e bonifici deviati;
- il ransomware ruba prima di cifrare: un buon backup non basta più a evitare il ricatto, serve anche impedire che i criminali entrino.
Il Metodo 3V applicato alle minacce del 2022
Le due truffe più costose dell’anno, la finta email della polizia e la falsa richiesta di pagamento in azienda, cadono con le stesse tre domande. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Finta email della polizia (famiglie) | Falsa richiesta di pagamento (PMI) | |
|---|---|---|---|
| Verifica | Chi mi scrive è davvero chi dice di essere? | La polizia non manda accuse per email da indirizzi qualsiasi. Il logo si copia in un minuto. | Richiama il capo o il fornitore sul numero che hai già in rubrica, non su quello nell’email. |
| Validazione | Anche se fosse vero, la richiesta ha senso? | Nessuna autorità chiude un procedimento penale in cambio di un pagamento. | Un IBAN che cambia all’improvviso, un pagamento “riservato” fuori dalle procedure: non ha senso. |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Paga entro 72 ore”: la scadenza serve a non farti parlare con nessuno. | ”Va fatto oggi, non dirlo a nessuno”: la fretta serve a saltare i controlli. |
Cosa fare oggi, a partire da questi numeri?
Le tre minacce del 2022 si fermano con poche abitudini, valide ancora oggi.
- Attiva la verifica in due passaggi su posta, banca e social: rende inutile la password rubata con il phishing. Come sceglierla: SMS, app o chiave.
- Controlla i link prima di cliccare su sito-ok.com, e verifica se le tue credenziali sono già in circolazione su passwordrubata.com.
- Fai un backup che regge il ransomware: tre copie, una fuori casa o fuori ufficio, e una prova di ripristino. Il metodo è in backup 3-2-1 e prova di ripristino.
- In azienda, una regola scritta sui pagamenti: doppia approvazione e verifica fuori canale sopra una soglia decisa da voi. Vedi come proteggersi dalla frode del CEO.
- Aggiorna sistemi, router e programmi esposti su Internet: secondo l’NCSC una falla non corretta è una delle porte d’ingresso più comuni del ransomware.
- Se succede, segnala: in Svizzera all’UFCS e, se c’è un danno, alla polizia cantonale; in Italia alla Polizia Postale. Ogni segnalazione aiuta ad avvisare gli altri.
Domande frequenti
Quante segnalazioni di attacchi informatici ci sono state in Svizzera nel 2022?
L'NCSC, oggi Ufficio federale della cibersicurezza (UFCS), ha ricevuto 34'527 segnalazioni nel 2022, contro 21'714 nel 2021: il 59% in più. L'85% veniva da privati. La polizia ha registrato 33'345 reati digitali, il 9,9% in più, quasi nove su dieci di cibercriminalità economica come truffe e phishing.
Nel 2022 gli attacchi informatici in Italia sono aumentati?
Sì. Secondo il Rapporto Clusit 2023 gli attacchi gravi contro bersagli italiani sono stati 188, il 169% in più del 2021, e l'Italia è passata dal 3,4% al 7,6% degli attacchi censiti nel mondo. La Polizia Postale ha trattato 15'508 casi di truffa online, con oltre 115 milioni di euro sottratti.
Qual è stata la truffa più diffusa in Svizzera nel 2022?
La finta email della polizia, la cosiddetta fake extortion: accusa la vittima di un reato grave e chiede soldi per chiudere il caso. L'NCSC ne ha ricevuto oltre 11'000 segnalazioni, circa un terzo del totale. Un'autorità vera non ti chiede di pagare via email per chiudere un'indagine: non rispondere, non pagare, segnala all'UFCS.
Il ransomware nel 2022 era un problema solo per le grandi aziende?
No. L'NCSC ha descritto casi di aziende di trasporto, di produzione e di un fornitore di cloud bernese, il cui blocco ha fermato fatture e stipendi dei clienti. Nessuna fonte pubblica dice quale percentuale colpisca le PMI, ma i casi mostrano che una piccola impresa può fermarsi anche per l'attacco a un fornitore.
Il racconto continua con il 2023 della sicurezza informatica in Svizzera e in Italia. Se di queste abitudini ne hai attivata una sola, comincia dalla verifica in due passaggi: è la più rapida da attivare e rende inutile una password rubata con il phishing.
