Il ransomware ha insegnato alle aziende una lezione costosa: un attacco informatico non termina necessariamente quando i sistemi tornano online. La crescente resistenza al pagamento dei riscatti e una maggiore consapevolezza del rischio estorsivo hanno costretto il cybercrime ad adattare il proprio modello economico. Rubare dati, cifrare server e chiedere denaro continua a essere redditizio, ma non rappresenta più l’unica forma di monetizzazione possibile. C’è una seconda economia, più silenziosa e potenzialmente molto più longeva, costruita sull’accesso ai sistemi compromessi e sulla possibilità di utilizzare le informazioni contenute al loro interno per colpire qualcuno che spesso non sa nemmeno di essere coinvolto: il cliente dell’azienda violata. È quella che può essere definita persistenza criminale. Non necessariamente nel significato tecnico ristretto della persistenza malware, ma come capacità dell’attaccante di trasformare una compromissione iniziale in una presenza economicamente sfruttabile nel tempo. Il criminale non ha bisogno di distruggere il sistema. Anzi, ha interesse a lasciarlo funzionare. Più l’attività procede normalmente, più dati continuano a transitare e più il rapporto di fiducia tra azienda e cliente può essere utilizzato come arma. Gli episodi emersi nel corso dell’estate italiana, soprattutto nel settore turistico, mostrano quanto questo modello possa diventare insidioso.
Cosa leggere
Il criminale non vuole più necessariamente fermare l’azienda
Il paradigma classico del ransomware è semplice: entrare, esfiltrare, cifrare, interrompere e ricattare. Il modello continua a funzionare, ma negli ultimi anni il cybercrime si è industrializzato attraverso Ransomware-as-a-Service, Malware-as-a-Service e soprattutto piattaforme di Phishing-as-a-Service. La trasformazione dell’ingegneria sociale in un servizio criminale consente ormai anche ad attori con competenze tecniche limitate di acquistare infrastrutture, pagine contraffatte, sistemi di raccolta delle credenziali e pannelli per amministrare campagne su larga scala. Matrice Digitale ha già documentato come il PhaaS abbia abbassato drasticamente la soglia tecnica del cybercrime, producendo un mercato nel quale chi sviluppa gli strumenti e chi li utilizza possono essere soggetti completamente diversi. In questo scenario, distruggere il bersaglio può diventare persino controproducente. Una struttura ricettiva che continua ad acquisire prenotazioni genera ogni giorno nomi, numeri di telefono, indirizzi email, date di arrivo, date di partenza, importi, tipologie di camera e informazioni sulle modalità di pagamento. Per un criminale, quel flusso può valere più del server stesso. La compromissione diventa così un punto di osservazione permanente dal quale estrarre contesto sufficiente per costruire frodi estremamente credibili. È lo stesso principio che rende preziosi i dati di viaggio: nel caso del data breach di Trenitalia il problema non era soltanto la presenza o meno di informazioni finanziarie, ma la possibilità di utilizzare tratte, orari e relazioni commerciali reali per costruire successivi attacchi di social engineering. Il cybercrime moderno vive di credibilità prima ancora che di quantità di dati.
Il phishing perfetto arriva quando il cliente sta per partire
Nel settore turistico questa dinamica assume caratteristiche particolarmente efficaci. Il cliente ha prenotato una vacanza, conosce il nome della struttura, aspetta comunicazioni relative al soggiorno e considera perfettamente normale ricevere istruzioni pochi giorni prima dell’arrivo. È precisamente in quel momento che può arrivare il messaggio. Il contenuto non assomiglia al vecchio phishing scritto male, spedito indiscriminatamente a migliaia di persone. Può contenere il nome reale dell’hotel, le date corrette del soggiorno, il nome del cliente e un riferimento plausibile alla prenotazione. La richiesta è altrettanto credibile: completare il check-in anticipato, verificare la carta, confermare una pre-autorizzazione oppure aggiornare alcuni dati necessari all’arrivo. L’efficacia deriva da una sovrapposizione quasi perfetta tra realtà e truffa. Non si chiede alla vittima di credere a un evento improbabile. Le si chiede di completare un’attività che potrebbe realmente aspettarsi. Lo schema rappresenta l’inversione del phishing tradizionale: non è più il criminale a inventare il contesto, è il sistema compromesso a fornirglielo.
Prima viene colpito l’hotel, poi viene colpito il turista
La catena può svilupparsi su più livelli. Un dipendente può cadere in una prima campagna di phishing. Un account può essere sottratto. Un computer utilizzato per gestire prenotazioni può essere infettato. Un servizio collegato può essere compromesso. Da quel momento l’attaccante può ottenere accesso alle informazioni necessarie per costruire la seconda fase. Il settore hospitality conosce già bene questo schema. Nel caso Phaltblyx, gli aggressori utilizzavano comunicazioni costruite attorno alla normale operatività degli hotel — cancellazioni, reclami, pagamenti e urgenze — proprio perché il personale tende ad aprire rapidamente documenti e collegamenti collegati a una prenotazione. Il criminale studia il processo di lavoro prima ancora della vulnerabilità tecnica. Una volta conquistato l’accesso, la stessa fiducia può essere trasferita dal personale al cliente.
Qui emerge la differenza tra un data breach visibile e una compromissione silenziosa. Nel primo caso l’azienda scopre un incidente, interrompe i sistemi e avvia una procedura di risposta. Nel secondo può continuare a lavorare senza accorgersi che qualcuno osserva o utilizza parte delle informazioni disponibili.
Il danno non appare nel bilancio immediatamente. Appare sul conto corrente del cliente.
Il falso check-in diventa un terminale per rubare la carta
Il collegamento inviato attraverso WhatsApp, SMS o email conduce normalmente a una pagina progettata per sembrare parte del processo di prenotazione. Il cliente trova un’interfaccia coerente con ciò che si aspetta e viene invitato a inserire recapiti, informazioni personali o dati della carta. Il momento psicologico è decisivo. Chi sta per partire non vuole perdere la prenotazione. Se il messaggio sostiene che manca una verifica, che la carta deve essere nuovamente autorizzata o che il check-in deve essere completato entro poche ore, l’urgenza sostituisce la verifica. Lo stesso meccanismo è apparso nella truffa WhatsApp sui falsi pedaggi autostradali: un problema plausibile, una richiesta economica modesta o apparentemente ordinaria e un link che porta verso un’infrastruttura fraudolenta progettata per raccogliere informazioni finanziarie. Nel turismo il livello di personalizzazione è però superiore. Il criminale non deve indovinare se la vittima ha percorso un’autostrada. Sa che quella persona ha una prenotazione.
Più aumenta il valore economico del soggiorno, maggiore può essere inoltre il ritorno dell’operazione. Il cliente di una struttura di lusso può utilizzare carte con capacità di spesa elevate e può essere meno sorpreso da richieste di pre-autorizzazione consistenti. La segmentazione commerciale della struttura diventa indirettamente una segmentazione criminale delle vittime.
WhatsApp riduce lo spazio disponibile per dubitare
Il telefono è un elemento centrale dell’attacco. Lo smartphone viene utilizzato in movimento, con meno attenzione e spesso fuori dagli ambienti protetti sui quali lavorano antivirus, sistemi EDR, filtri DNS aziendali e controlli del traffico. Un collegamento che su una workstation aziendale potrebbe generare un avviso può essere aperto sul telefono personale nel giro di pochi secondi.
Il numero straniero resta un indicatore utile, ma non deve essere trasformato in una regola assoluta. Una struttura italiana può utilizzare servizi internazionali, numerazioni cloud o piattaforme esterne, così come un criminale può utilizzare numerazioni italiane o account apparentemente perfettamente locali. Il prefisso incongruo deve aumentare il sospetto, non sostituire la verifica. Molto più importante è controllare il dominio indicato nel collegamento. Un sito che imita graficamente una struttura alberghiera non può nascondere completamente il nome effettivo utilizzato nella barra degli indirizzi. Il problema è che sui dispositivi mobili l’URL viene spesso visualizzato in modo meno evidente e l’utente concentra l’attenzione sulla pagina.
La grafica può essere copiata. Il dominio è molto più difficile da falsificare senza lasciare tracce.
L’antivirus aiuta, ma non può correggere una relazione di fiducia compromessa
La protezione dell’endpoint rimane importante. Browser con protezione anti-phishing, servizi di reputazione, filtri DNS e prodotti di sicurezza possono bloccare domini già riconosciuti come malevoli. Le soluzioni a pagamento possono aggiungere livelli di controllo utili, soprattutto sui dispositivi personali normalmente meno protetti. Ma nessun prodotto può garantire che ogni dominio venga identificato prima della vittima.
Le infrastrutture criminali possono essere create, utilizzate e abbandonate rapidamente. Alcuni domini vengono sostituiti continuamente e altri sfruttano reputazioni preesistenti. Il problema quindi non può essere ridotto al consiglio di “installare un antivirus”.
La vera difesa è rompere la catena di fiducia costruita dall’attaccante. Se arriva una richiesta di pagamento relativa a una prenotazione reale, la verifica deve avvenire attraverso un secondo canale: aprire autonomamente il sito ufficiale, utilizzare l’applicazione dalla quale è stata effettuata la prenotazione oppure chiamare la struttura utilizzando un numero recuperato indipendentemente dal messaggio ricevuto. Mai utilizzare per la verifica lo stesso contatto che sta chiedendo di essere verificato.
La persistenza non riguarda soltanto il turismo
Un secondo scenario rende ancora più evidente il problema. Dopo un intervento effettuato presso una concessionaria, un cliente può ricevere una comunicazione apparentemente collegata proprio alla manutenzione appena eseguita, con la richiesta di saldare una fattura.
Anche in questo caso il dato decisivo non è il logo. È il tempo.
Sapere che una determinata persona ha portato l’automobile in officina il giorno precedente trasforma un messaggio generico in una comunicazione credibile. Se il destinatario conosce l’intervento e riconosce l’azienda, può interpretare la richiesta come una normale conseguenza amministrativa. È questo il valore della persistenza criminale: trasformare dati operativi apparentemente banali in strumenti di social engineering. La stessa evoluzione si osserva negli attacchi alle identità aziendali. Le campagne contro Microsoft 365 con phishing AiTM e sessioni persistenti mostrano che l’obiettivo non è più semplicemente rubare una password, ma mantenere capacità operative dentro un ambiente legittimo e sfruttare quella posizione nel momento economicamente più conveniente.
Non pagare il ransomware cambia il mercato criminale, non lo elimina
La crescente cultura del rifiuto del riscatto rappresenta un risultato importante. Pagare finanzia l’ecosistema criminale, non garantisce la cancellazione dei dati e incentiva nuove operazioni. Ma immaginare che la diminuzione della propensione al pagamento faccia automaticamente sparire il problema sarebbe un errore. Il cybercrime si comporta come un mercato. Se un modello rende meno, l’infrastruttura viene riutilizzata per altro. Un accesso aziendale può essere venduto a un Initial Access Broker. Le credenziali possono essere rivendute. Le informazioni possono alimentare phishing. Gli indirizzi possono essere utilizzati per Business Email Compromise. I documenti possono migliorare le impersonificazioni. I clienti possono diventare bersagli diretti. Gli incidenti che hanno coinvolto EY, Abbott e fairlife di Coca-Cola mostrano quanto il perimetro effettivo di un’organizzazione sia ormai composto da identità, applicazioni SaaS, piattaforme di supporto e sistemi collegati, e non soltanto dai server custoditi fisicamente in azienda.
Il dato utile al criminale può trovarsi dove l’azienda stessa non pensa di custodire un patrimonio critico.
La domanda che resta riguarda le aziende compromesse
L’aspetto più delicato della vicenda italiana non riguarda soltanto le modalità con cui i cittadini possono difendersi. Riguarda ciò che è avvenuto prima. Se un criminale conosce informazioni precise su una prenotazione, un intervento tecnico o un rapporto commerciale, occorre capire da dove quelle informazioni siano state ottenute. Non ogni messaggio personalizzato dimostra automaticamente che il sistema dell’azienda citata sia stato violato. I dati possono provenire da servizi terzi, vecchi breach, account compromessi o altre fonti. Attribuire senza prove l’origine dell’informazione sarebbe scorretto. Ma quando le coincidenze diventano estremamente precise, la domanda è inevitabile.
Le aziende interessate hanno verificato i propri sistemi?
Hanno analizzato account, sessioni, caselle email, dispositivi collegati e piattaforme gestionali? Hanno ricostruito il possibile periodo di compromissione?
E, dove previsto dagli obblighi applicabili, gli incidenti sono stati comunicati alle autorità competenti e agli interessati?
È qui che la persistenza criminale smette di essere soltanto un problema di cybersecurity. Diventa un problema di trasparenza. Per anni al cittadino è stato ripetuto di scegliere password robuste, attivare l’autenticazione a due fattori e non cliccare sui link sospetti. Tutto corretto. Ma nel momento in cui il criminale dispone di informazioni generate all’interno di una relazione commerciale legittima, non si può continuare a considerare l’utente l’unico anello debole della catena. La nuova emergenza phishing italiana dimostra esattamente questo: l’attacco più efficace non è quello che inventa meglio una bugia. È quello che prende una verità custodita da qualcun altro e la trasforma nella bugia perfetta.
Iscriviti alla Newsletter
Non perdere le analisi settimanali: Entra nella Matrice Digitale.
Matrice Digitale partecipa al Programma Affiliazione Amazon EU. In qualità di Affiliato Amazon, ricevo un guadagno dagli acquisti idonei. Questo non influenza i prezzi per te.
