“Sono numeri da grandi aziende, a casa mia non cambia niente.” Invece il grosso del 2023 è arrivato proprio nelle case: telefonate di finti poliziotti, finte offerte di lavoro su WhatsApp, email di phishing spedite dalla casella di un conoscente. E quando l’attacco ha colpito le aziende, spesso è passato da un fornitore.
Quante segnalazioni ha ricevuto l’UFCS nel 2023?
49’380 segnalazioni, il 43% in più delle 34’527 del 2022. La crescita si è concentrata nel secondo semestre: 30’331 segnalazioni contro le 16’951 dello stesso periodo dell’anno prima, quasi il doppio. L’88% arrivava da privati, il 12% da imprese, associazioni e autorità.
Nel 2023 il numero complessivo di segnalazioni ricevute dall’NCSC e dall’odierno UFCS è nuovamente cresciuto. Con 49’380 segnalazioni, l’aumento rispetto all’anno scorso (34’527 segnalazioni) è stato significativo. La crescita del secondo semestre è dovuta principalmente alle offerte di lavoro fraudolente e alle chiamate fasulle a nome della polizia.
Una segnalazione non è un attacco riuscito: molte persone segnalano un tentativo che hanno riconosciuto. Il numero dice quanta pressione c’è, e quanta gente ha imparato a segnalare.
Quanti reati digitali ha registrato la polizia svizzera?
43’839 reati con un modus operandi digitale, il 31,5% in più del 2022. Lo dice la statistica criminale di polizia dell’Ufficio federale di statistica (UST). La parte più grande, 40’496 reati, è cybercriminalità economica: truffe, phishing, uso di carte e identità altrui. A crescere di più sono stati il phishing (+69,8%), l’abuso di sistemi di pagamento online o di un’identità altrui per truffare (+66,1%) e la merce pagata ma mai consegnata sulle piattaforme di annunci (+23,1%). I reati sessuali online sono invece scesi del 7,4%.
Con un totale di 522’558 reati ai sensi del Codice penale, nel 2023 la polizia ha registrato il 14,0% di reati in più rispetto all’anno precedente. Salita anche la criminalità digitale (+31,5%). Il comunicato stampa precisa che per quasi l’80% dei reati di truffa è stato registrato un modus operandi digitale.
| Svizzera | 2022 | 2023 | Variazione |
|---|---|---|---|
| Segnalazioni all’UFCS (allora NCSC) | 34’527 | 49’380 | +43% |
| Segnalazioni UFCS, secondo semestre | 16’951 | 30’331 | +79% |
| Segnalazioni di phishing all’UFCS, secondo semestre | 2’179 | 5’536 | +154% |
| Ransomware segnalati all’UFCS da imprese | 103 | 98 | −5% |
| Ransomware segnalati all’UFCS da privati | 56 | 11 | −80% |
| Reati digitali registrati dalla polizia (UST) | 33’345 | 43’839 | +31,5% |
| di cui phishing (UST) | 2’236 | 3’796 | +69,8% |
| di cui abuso di pagamenti online o di identità altrui (UST) | 6’551 | 10’883 | +66,1% |
| di cui merce pagata e non consegnata, piattaforme di annunci (UST) | 8’483 | 10’443 | +23,1% |
| Reati digitali chiariti dalla polizia (UST) | 34,3% | 23,3% | −11 punti |
Fonti: UFCS, Rapporto semestrale 2023/2 (segnalazioni); UST, statistica criminale di polizia, criminalità digitale (reati e tasso di chiarimento). Le variazioni percentuali delle righe UFCS sono calcolate da noi sui numeri del rapporto.
UST, Criminalità digitale: tabelle per modus operandi e tasso di chiarimentoL’ultima riga è quella che conta di più: meno di un reato digitale su quattro viene chiarito. Vuol dire che, nella maggior parte dei casi, i soldi persi non tornano. La difesa che funziona è quella che fai prima.
E in Italia, quanti attacchi nel 2023?
Secondo il Rapporto Clusit 2024, 310 attacchi gravi noti hanno colpito l’Italia, il 65% in più del 2022. L’Italia ha raccolto l’11% degli attacchi gravi censiti nel mondo, contro il 7,6% dell’anno prima. Nel mondo Clusit ne conta 2’779, il 12% in più. In Italia oltre la metà (56%) ha avuto conseguenze critiche o elevate.
2’779 incidenti gravi analizzati a livello globale nel 2023, +12% sul 2022. In Italia 310 attacchi, l’11% del totale mondiale, +65% rispetto al 2022.
La Polizia Postale, con dati al 21 dicembre 2023, ha trattato 16’325 casi di truffa online (+6%), con oltre 137 milioni di euro sottratti (+20%), e 10’606 casi di frode informatica legati a phishing, smishing e vishing (+15%). Il falso trading online da solo conta 3’360 casi e oltre 109 milioni di euro. Le truffe del CEO e le frodi via email aziendale (BEC) hanno colpito 65 imprese, per oltre 19 milioni di euro: 6 milioni sono stati recuperati grazie all’intervento della Polizia Postale.
Polizia Postale, Resoconto attività 2023Quali sono state le tre minacce dominanti del 2023?
Truffe, phishing e ransomware che ruba i dati passando dai fornitori. Sono le tre che ritornano nelle fonti ufficiali dei due paesi, con accenti diversi.
1. Le truffe, con la voce di un’autorità
Nel 2023 le truffe sono state di gran lunga il fenomeno più segnalato all’UFCS, con oltre 30’000 segnalazioni. Due novità hanno spinto il secondo semestre:
- le chiamate dei finti poliziotti: una voce registrata dice che il tuo conto è coinvolto in un reato e ti chiede di premere 1; l‘“operatore” ti fa installare un programma di accesso remoto e svuota l’e-banking. Nella settimana 44 l’UFCS ha registrato il record di 2059 segnalazioni, 914 delle quali per queste telefonate;
- le finte offerte di lavoro su WhatsApp: piccoli compensi per scrivere recensioni, poi la richiesta di pagare per “sbloccare” nuovi incarichi e, alla fine, tasse inventate per ritirare un guadagno che non esiste.
In Italia la Polizia Postale segnala la crescita del falso trading online, con piattaforme che promettono guadagni facili e contattano le vittime con tecniche sempre più curate.
2. Il phishing, anche dalla casella di chi conosci
In Svizzera le segnalazioni di phishing sono più che raddoppiate nel secondo semestre, da 2179 a 5536. Sempre gli stessi pretesti (un pacco in consegna, un rimborso delle FFS o delle imposte), ma con una novità: il phishing a catena. Gli aggressori violano una casella aziendale e scrivono a tutti i contatti a nome della vittima. Il mittente è vero e conosciuto, quindi ci si fida.
L’UFCS ha visto anche tornare il phishing telefonico: finti impiegati di banca, con il numero della banca vera falsificato sul display, che parlano di un addebito sospetto.
Nelle aziende continua a crescere soprattutto la pressione sui dati di accesso alla posta elettronica e in particolare sugli account di Office365. In molti casi si affermava che vi fosse un addebito per l’acquisto di uno schermo piatto: la banca, però, vede gli importi addebitati, non il prodotto acquistato.
In Italia, secondo Clusit, il phishing e l’ingegneria sociale sono il 9% degli attacchi gravi del 2023, ma in crescita dell’87% in valore assoluto.
3. Il ransomware che ruba i dati, spesso attraverso un fornitore
Le segnalazioni di ransomware sono calate fra i privati, non fra le imprese. In Svizzera sono state 109 in tutto il 2023: 98 da imprese (103 nel 2022), solo 11 da privati (56 nel 2022). L’UFCS nota che gli attacchi sono quasi sempre accompagnati da un furto di dati, che aggrava il danno. I due casi più pesanti dell’anno, in Svizzera e in Italia, hanno colpito un fornitore e, attraverso di lui, molti clienti.
UFCS, Rapporto semestrale 2023/2, cap. 2.4Quali casi hanno fatto notizia nel 2023?
Xplain e gli attacchi DDoS di giugno in Svizzera, Westpole e PA Digitale in Italia. Tre casi diversi, una lezione comune: spesso non vieni colpito tu direttamente, ma qualcuno che lavora per te.
Xplain: i dati della Confederazione pubblicati nel darknet
A maggio 2023 il gruppo ransomware Play ha colpito Xplain, azienda informatica che lavora anche per Confederazione e Cantoni. Il 14 giugno 2023 gli hacker hanno pubblicato nel darknet un pacchetto di circa 1,3 milioni di file. Circa 65’000 documenti riguardavano l’Amministrazione federale; fra quelli di sua proprietà, 5182 contenevano dati sensibili: 4779 dati personali, 278 informazioni tecniche, 121 informazioni classificate, 4 password. Il Consiglio federale ha istituito uno stato maggiore di crisi il 28 giugno e un’inchiesta amministrativa il 23 agosto 2023.
Dall’analisi risulta che i documenti di rilievo per quanto concerne la Confederazione sono circa 65’000, pari a circa il 5 per cento dei dati sottratti. Oltre il 70 per cento dei documenti determinanti per l’Amministrazione federale sono di proprietà della società Xplain.
Il dettaglio che deve far riflettere ogni PMI: la maggior parte dei documenti era nelle mani del fornitore, non dell’amministrazione. Ne ho parlato anche nell’articolo sul ransomware negli studi professionali.
Giugno 2023: gli attacchi DDoS contro Parlamento, FFS e Posta
Il 7 giugno 2023 il gruppo filorusso NoName057(16) ha reso inaccessibile il sito del Parlamento svizzero con un attacco DDoS, cioè sommergendolo di richieste. Il motivo dichiarato era una decisione del Consiglio degli Stati sulla legge sul materiale bellico. Nei giorni successivi, anche in vista del discorso del presidente ucraino all’Assemblea federale, sono finiti nel mirino aeroporti, FFS, la Posta, l’Associazione svizzera dei banchieri, città, Cantoni e uffici federali. La trasmissione del discorso ha funzionato senza interferenze e dopo una settimana gli attacchi si sono interrotti.
Le ripercussioni degli attacchi ransomware contro aziende e autorità rimangono in ogni caso nettamente più gravi rispetto agli attacchi DDoS.
Anche in Italia il DDoS è stato protagonista: secondo Clusit nel 2023 è diventato la prima tecnica d’attacco nel paese, con il 36% degli attacchi gravi, legato soprattutto alle campagne di hacktivismo. Fa rumore e finisce sui giornali, ma blocca un sito per qualche ora: non ruba dati e non svuota conti.
AGI, anteprima del Rapporto Clusit 2024Westpole e PA Digitale: un attacco, centinaia di enti pubblici fermi
L’8 dicembre 2023 un ransomware del gruppo LockBit 3.0 ha colpito Westpole, fornitore di servizi informatici, e con lui PA Digitale, che fornisce software gestionali alla pubblica amministrazione. L’Agenzia per la cybersicurezza nazionale (ACN) ha seguito il ripristino: il 18 dicembre servizi e dati erano stati recuperati per più di 700 enti pubblici; per le altre amministrazioni legate a PA Digitale (l’ACN parla di circa 1000 soggetti pubblici) restavano da recuperare i dati dei tre giorni precedenti l’attacco. Si temeva il mancato pagamento di stipendi e tredicesime in alcuni Comuni, poi scongiurato.
L’attività svolta ha consentito il ripristino di tutti i servizi impattati, nonché il recupero dei dati oggetto dell’attacco per più di 700 dei soggetti pubblici nazionali e locali, legati alla catena di approvvigionamento di PA Digitale S.p.A.
Cosa è cambiato rispetto al 2022?
Tre cose: più volume, più telefono, e i primi tentativi con l’intelligenza artificiale.
- Il volume è cresciuto ovunque: +43% di segnalazioni all’UFCS, +31,5% di reati digitali in Svizzera, +65% di attacchi gravi in Italia secondo Clusit.
- La truffa è tornata al telefono: finti poliziotti con voce registrata, finti impiegati di banca con il numero falsificato. È più faticoso per il truffatore, ma convince di più.
- Sono comparsi i primi tentativi con l’IA: l’UFCS ha ricevuto segnalazioni di sextortion con immagini create dall’intelligenza artificiale, di truffe agli investimenti con video falsi di personaggi famosi e, da alcune imprese, di telefonate con la voce di un dipendente imitata. L’UFCS li considerava ancora tentativi, non un uso sistematico.
C’è anche una buona notizia: il ransomware contro i privati è crollato, anche perché i dischi di rete casalinghi (NAS) sono stati attaccati solo di rado.
Come riconosco le truffe tipiche del 2023?
Dai segnali che si ripetono in quasi tutti i casi segnalati.
- Un’autorità che chiama (polizia, dogana, banca) e chiede di premere un tasto, installare un programma o spostare soldi “al sicuro”.
- Il numero giusto sul display: si può falsificare, non prova niente.
- Un lavoro facile offerto su WhatsApp da qualcuno che non conosci, che a un certo punto ti chiede di pagare.
- Un’email da un contatto vero che ti chiede di aprire un documento o fare l’accesso: chiedigli a voce se l’ha mandata davvero.
- Un guadagno sicuro su una piattaforma di investimento consigliata da un video di un personaggio famoso.
Se hai un dubbio su un link, controllalo su sito-ok.com prima di cliccare.
Il Metodo 3V applicato alle minacce del 2023
Le tre domande funzionano contro tutte e tre le minacce dell’anno. È il Metodo 3V del libro «Sicurezza informatica per professionisti», spiegato nella guida al social engineering.
| Cosa chiederti | Nei casi del 2023 | |
|---|---|---|
| Verifica | Chi mi chiede questa cosa è davvero chi dice di essere? | Riaggancia e richiama la polizia o la banca al numero che trovi tu, non a quello che ti danno. L’email del collega: chiedigli a voce. |
| Validazione | Anche se fosse lui, la richiesta ha senso? | La polizia non ti chiede di installare un programma di accesso remoto. Un lavoro vero non ti chiede di pagare per lavorare. La banca, di norma, non sa che cosa hai comprato. |
| Velocità controllata | Chi mi mette fretta, e perché? | ”Premi 1 subito”, “il conto sta per essere svuotato”, “l’offerta scade stasera”: la fretta serve a non farti fare la verifica. |
Per un’azienda c’è una quarta domanda, quella di Xplain e Westpole: quali fornitori hanno i miei dati, e che cosa succede se si fermano?
Cosa fare oggi
- Attiva la verifica in due passaggi su email, e-banking e WhatsApp. È una delle difese più semplici contro il phishing: vedi quale scegliere fra SMS, app e chiave.
- Concorda la regola del richiamo in famiglia e in ufficio: chi chiama a nome di polizia o banca si richiama al numero ufficiale. Qui c’è come funziona la truffa del finto bancario.
- Controlla se la tua email è finita in una violazione su passwordrubata.com: il phishing a catena parte da caselle violate.
- Fai copie dei dati che non si possono cancellare da remoto e prova almeno una volta a ripristinarle: la regola 3-2-1.
- Se è già successo, segnala. In Svizzera all’UFCS e, se c’è un danno, alla polizia cantonale. In Italia alla Polizia Postale. Se hai dato i dati della carta o dell’e-banking, chiama subito la banca al numero che trovi sulla carta.
Domande frequenti
Quanti attacchi informatici ci sono stati in Svizzera nel 2023?
Non esiste un conteggio unico degli attacchi. L'Ufficio federale della cibersicurezza ha ricevuto 49'380 segnalazioni, contro le 34'527 del 2022. La polizia ha registrato 43'839 reati digitali, il 31,5% in più, in gran parte truffe e phishing. Sono due misure diverse: segnalazioni di tentativi e incidenti la prima, denunce la seconda.
Quanti attacchi hacker ci sono stati in Italia nel 2023?
Il Rapporto Clusit 2024 conta 310 attacchi gravi noti contro l'Italia, il 65% in più del 2022, pari all'11% di quelli censiti nel mondo. La Polizia Postale, con dati al 21 dicembre 2023, ha trattato 16'325 casi di truffa online e 10'606 frodi informatiche legate a phishing, smishing e vishing.
Cosa è successo con Xplain?
A maggio 2023 il gruppo ransomware Play ha colpito Xplain, fornitore di software anche per la Confederazione. Il 14 giugno ha pubblicato nel darknet circa 1,3 milioni di file: circa 65'000 riguardavano l'Amministrazione federale, oltre il 70% dei quali era di proprietà di Xplain. Il Consiglio federale ha avviato un'inchiesta amministrativa.
Gli attacchi DDoS sono pericolosi per una famiglia o una piccola azienda?
Di solito no. Un attacco DDoS rende un sito irraggiungibile per qualche ora sommergendolo di richieste, ma non ruba dati e non entra nei conti. Secondo l'UFCS le conseguenze del ransomware sono nettamente più gravi. Per una famiglia o una PMI contano molto di più phishing, truffe telefoniche e copie dei dati.
Per vedere da dove veniamo c’è la retrospettiva del 2022; per vedere come è andata dopo, quella del 2024. Le truffe del 2023 sono ancora in giro oggi, con poche varianti: la regola del richiamo conviene concordarla stasera, a cena, non dopo la prima telefonata.
