Siamo tutti avvisati. Se fino a ieri ricevere una PEC trasportava nel mondo digitale le certezze della raccomandata con ricevuta di ritorno postale, i dati del Rapporto Cert-Agid 2024 ci spiegano che, ormai, gli SMS pericolosi su cui gli esperti ci redarguiscono da un po’, vengono sostituiti, sempre più spesso, anche da ingannevoli messaggi di posta elettronica certificata.
Nello specifico, il documento riporta 1.767 campagne malevole e circa 19mila IoC (Indicatori di Compromissione), dipingendo un panorama sempre più complesso per la sicurezza informatica, tra l’incremento esponenziale delle tecniche di attacco e la velocità di adeguare le modalità operative da parte dei criminal hacker.
Aumenta il ritmo di crescita delle campagne fraudolente, triplicate rispetto all’anno precedente, fino al tetto di 57 diversi attacchi. Di questi, 12 distribuiscono malware come Vidar che mira agli italiani attraverso PEC compromesse, mentre 45 rientrano nella categoria del phishing, dove si punta al rilascio dei dati personali, finanziari o di codici di accesso a conti bancari, spacciandosi per un Ente affidabile e soprattutto preposto a risolvere problemi impellenti, capaci di far precipitare le vittime nel buio della ragione.
Il report rileva, infatti, un numero crescente di domini ingannevoli che richiamano Enti noti come Agenzia delle Entrate, INPS, Polizia di Stato, Poste italiane, utilizzati per truffare gli utenti facendo credere loro di essere su un sito ufficiale e convincendoli così a inserire dati personali e finanziari, la richiesta che resta il primo e il più importante campanello di allarme.
Emergono i tratti di fenomeni sempre più liquidi, con esche digitali che tendono a passare da un canale all’altro prima che gli utenti possano prendere consapevolezza dei rischi che corrono. A questo proposito è significativo il calo del 37% nello smishing, dove gli inviti ad aprire link a meccanismi dannosi corrono ancora via SMS, un meccanismo più volte e a più livelli attenzionato. Quindi, è sempre bene aguzzare la vista, e l’ingegno, prima di aprire agli sconosciuti, che si tratti di un messaggio, di un link o del vecchio portone di casa.
In linea con gli obiettivi del “Piano triennale per l’informatica nella PA”, questa iniziativa CERT-AgID punta a fare chiarezza su trappole digitali dove solo una maggiore consapevolezza può fare da scudo al lato oscuro delle nuove sfide tecnologiche.
Tra i nuovi elementi da imparare a riconoscere velocemente, i dati evidenziano che almeno l’aggancio, nel corpo e nell’oggetto dei messaggi, è rimasto pressoché invariato. Le parole più utilizzate nel corso del 2024 per diffondere i vari malware sono simili a quelle degli anni precedenti. In pole position il richiamo ai “Pagamenti”, su cui hanno puntato 141 campagne malevole.
Nel frattempo, anche le campagne mirate ai dispositivi Android sono più che raddoppiate, passando da 29 a 76 con Irata che è stato il malware più diffuso, seguito da SpyNote. Distribuiti tramite smishing, cercano di convincere le vittime a installare applicazioni dannose attraverso link in messaggi falsi, per rubare credenziali bancarie o, addirittura, intercettare gli SMS per ottenere i codici OTP e completare in tempo reale transazioni fraudolente.
Per contrastare le minacce informatiche Agid si occupa dello sviluppo di servizi di sicurezza preventivi e funzioni di accompagnamento utili per la crescita e la diffusione della cultura della sicurezza informatica, offrendo gratuitamente alla PA italiana due strumenti all’avanguardia: la nuova versione del software Hashr, progettato e aggiornato per l’individuazione dei file malevoli all'interno di un filesystem, e il Feed degli Indicatori di Compromissione (IoC), che elenca e condivide con gli Enti che ne fanno richiesta i dati raccolti dal CERT nei monitoraggi quotidiani, come gli indirizzi IP utilizzati per truffe, URL di siti malevoli, hash di file dannosi e altre informazioni chiave.
Opportunità concrete, in vista anche degli ultimi risultati emersi, per rafforzare la resilienza digitale della Pubblica Amministrazione migliorando la sicurezza dei propri sistemi IT.