Ciberattacchi: cosa possono fare le aziende per proteggersi efficacemente

L’attacco ransomware alla società informatica Xplain con sede a Berna, avvenuto nel maggio 2023, è considerato uno dei ciberattacchi di più ampia portata. In quell’occasione, sono stati rubati circa 1,3 milioni di oggetti di dati, tra cui oltre 9000 dell’Amministrazione federale. Più della metà contenevano informazioni sensibili. Vittime dell’attacco sono stati, tra gli altri, l’Ufficio federale di polizia (Fedpol), l’Ufficio federale della dogana e della sicurezza dei confini (UDSC), diverse forze di polizia cantonali, le Ferrovie federali svizzere (FFS) e il Canton Argovia.

Anche le grandi aziende svizzere e le agenzie federali non sono immuni da ciberattacchi professionali.

Un ciberattacco può assumere forme diverse, a seconda dell’obiettivo dei criminali. Negli attacchi ransomware, gli aggressori criptano prima i dati e i sistemi aziendali importanti e poi chiedono un riscatto per la decodificazione. Spesso i dati vengono anche rubati, minacciando di pubblicarli.

Negli attacchi di phishing, i criminali ottengono i dati di accesso tramite e-mail o siti web falsi e possono poi entrare nella rete aziendale. La truffa del CEO e la truffa della fattura prendono di mira direttamente i pagamenti inducendo i dipendenti a trasferire denaro su conti falsi. Gli attacchi di vishing utilizzano telefonate per convincere le vittime a installare un software remoto che consente ai criminali di avere pieno accesso al sistema.

Le conseguenze vanno dalla perdita di dati e interruzioni dell’attività a ingenti danni finanziari fino al danno di reputazione. Un aspetto particolarmente critico è che, inizialmente, molti attacchi passano inosservati e nel frattempo i malintenzionati analizzano sistematicamente la rete.

La durata di un ciberattacco varia notevolmente. L’effettiva compromissione di un sistema può avvenire in pochi minuti o ore, ad esempio quando un dipendente clicca su un link di phishing o rivela i dati di accesso. Tuttavia, gli aggressori professionisti spesso rimangono inosservati nella rete per settimane prima di colpire. Utilizzano questa fase per ottenere i diritti di amministratore, infiltrarsi in altri sistemi e identificare dati preziosi. Nel caso degli attacchi ransomware, la crittografia avviene all’improvviso, spesso di notte o durante il fine settimana, quando nessuno può reagire.

Il ripristino dei sistemi dopo un attacco richiede in genere giorni o settimane. Il tempo di rilevamento è fondamentale in questo caso: prima si identifica l’attacco, meno danni provoca. L’UFCS raccomanda pertanto un monitoraggio continuo e meccanismi di risposta rapida.

In Svizzera, non è l’azienda a essere responsabile per le violazioni dei dati, ma la persona fisica responsabile: si tratta di una differenza importante rispetto al GDPR dell’UE. La Legge federale sulla protezione dei dati (LPD) rivista prevede multe fino a 250 000 franchi svizzeri, che vengono comminate ai responsabili dell’organizzazione, in genere la direzione o il consiglio di amministrazione. Il presupposto è l’azione intenzionale, per cui è sufficiente anche il dolo eventuale (l’accettazione del rischio).

Un errore frequente è credere che i ciberattacchi vengano considerati automaticamente «forza maggiore». Infatti, se mancano misure di protezione di base come l’autenticazione a due fattori o i firewall, l’attacco viene spesso classificato come evitabile. Dall’aprile 2025, i gestori di infrastrutture critiche devono segnalare i ciberattacchi all’UFCS entro 24 ore. In caso di infrazione possono essere comminate multe fino a 100 000 franchi svizzeri. Oltre alla responsabilità penale, sono possibili richieste di risarcimento danni da parte dei clienti o dei partner commerciali interessati. Le aziende devono quindi implementare misure tecniche e organizzative adeguate e documentarle.

I ciberattacchi hanno due obiettivi principali: in primo luogo, il guadagno finanziario attraverso il ricatto (ransomware), la truffa (truffa del CEO, truffa della fattura) o il furto di informazioni di pagamento. In secondo luogo, il furto di dati e lo spionaggio, ad esempio di segreti aziendali, dati dei clienti o informazioni strategiche. A volte questi due obiettivi sono combinati: i dati vengono rubati e l’azienda viene ricattata.

La responsabilità della cibersicurezza è condivisa: la dirigenza ha la responsabilità strategica e deve fornire misure e budget adeguati. Il reparto IT implementa misure di sicurezza tecnica come firewall, software antivirus e controlli degli accessi. Tuttavia, la linea di difesa più importante è costituita dai dipendenti stessi: dato che oltre il 90% degli attacchi riusciti è il risultato di un errore umano (cliccare sui link di phishing, rivelare le password), è essenziale prevedere misure di sensibilizzazione e formazione continue. La cibersicurezza non è quindi solo un compito dell’IT, ma una responsabilità aziendale globale che può funzionare solo se tutte le parti coinvolte collaborano.