Dinamica dell’attacco: modalità, obiettivi e attori coinvolti
L’attacco subito da Sistemi Informativi si distingue per le sue caratteristiche di Advanced Persistent Threat (APT): una presenza silenziosa e prolungata all’interno dei sistemi informatici, durata circa due-tre settimane. Questa modalità riflette tecniche avanzate di spionaggio informatico, differenti dai più noti ransomware poiché mirano a raccogliere informazioni sensibili senza alterare l’operatività immediata delle reti colpite.
Le ricostruzioni investigative suggeriscono il coinvolgimento di gruppi organizzati di matrice internazionale, potenzialmente legati allo spionaggio di stati esteri, sebbene l’attribuzione formalmente non sia stata confermata da IBM o dalle autorità competenti. La difficoltà nell’accertare la responsabilità è dovuta alla natura sfuggente degli attacchi cyber e alla necessità di prove forensi approfondite.
L’azione è stata possibile grazie alla presenza di una vulnerabilità nella catena di fornitura. Colpendo Sistemi Informativi, punto nevralgico per il funzionamento di ministeri, enti e servizi essenziali (come INPS, INAIL, sanità digitale), gli aggressori hanno amplificato la potenziale portata dell’intrusione accedendo indirettamente a dati e infrastrutture di numerosi enti pubblici e imprese collegate. La finestra temporale dell’attacco, particolarmente lunga, ha consentito ai malintenzionati di muoversi inosservati, effettuare ricognizioni approfondite e, solo in seguito, essere scoperti dai sistemi di monitoraggio e dalle attività di auditing interno.
Impatto concreto su cittadini, imprese e istituzioni
L’incursione nei sistemi di Sistemi Informativi comporta rischi significativi e trasversali per l’intero ecosistema nazionale. Sebbene non siano state confermate esfiltrazioni massicce di dati, rimangono consistenti le minacce residuali, tanto sul breve quanto sul medio periodo. Gli scenari analizzati dagli esperti riguardano:
- Cittadini: l’accesso a dati anagrafici, sanitari, contributivi e amministrativi amplia la possibilità di furti di identità, ricatti e frodi. Le informazioni gestite dagli enti pubblici rappresentano una risorsa ambita per gruppi criminali e di cyber spionaggio.
- Imprese: dipendenza da fornitori unici nella gestione dei dati e nelle infrastrutture digitali esponendo a rischi sistemici i processi produttivi, la sicurezza industriale e la continuità operativa. Una compromissione a monte potrebbe causare fermi operativi, perdita di dati strategici e danni reputazionali.
- Istituzioni: la fiducia nei servizi pubblici digitali è messa alla prova dalla possibilità che dati strategici e processi regolati dallo Stato siano interferiti o manipolati. Incidenti di questa portata minano la percezione di affidabilità della macchina amministrativa e la tenuta della sicurezza nazionale.
L’effetto domino di simili incidenti rischia di coinvolgere, anche in modo indiretto, categorie che non sono direttamente clienti della società colpita, alimentando un senso diffuso di incertezza e la necessità di rafforzare le misure di vigilanza sull’intero perimetro pubblico e privato.
La vulnerabilità della supply chain e il ruolo dei fornitori IT
Uno degli aspetti emersi con maggiore evidenza riguarda la vulnerabilità della catena di approvvigionamento digitale. Nel caso analizzato, l’attacco non si è diretto contro i singoli enti pubblici, ma contro un unico operatore strategico in grado di garantire accesso indiretto a numerose strutture pubbliche e private. Questo modello, ormai tipico degli attacchi di supply chain, espone a rischi accentuati per la natura centralizzata dei servizi offerti.
Le principali criticità rilevate includono:
- Interconnessione elevata: un unico punto di accesso digitalmente strategico può mettere a rischio una moltitudine di organizzazioni simultaneamente.
- Lock-in operativo: la dipendenza da fornitori unici limita la reattività e la possibilità di sostituzione rapida in caso di incidente.
- Segregazione carente: infrastrutture condivise possono facilitare l’espansione dei danni tra clienti diversi, accentuando le vulnerabilità anche tra comparti eterogenei.
Le soluzioni più avanzate in ambito europeo (ad esempio, le direttive NIS2) pongono l’accento sulla necessità di accrescere i livelli di audit indipendente, segregazione dei dati e implementazione di procedure di disaster recovery, rendendo tali aspetti imprescindibili per la continuità e affidabilità dei servizi pubblici.
La risposta delle autorità e le misure di contenimento adottate
La rilevazione tempestiva dell’anomalia nei sistemi di Sistemi Informativi ha attivato una catena di risposta coordinata tra azienda, enti pubblici e autorità competenti. I protocolli di gestione dell’emergenza hanno incluso:
- Isolamento delle infrastrutture colpite per arginare l’espansione dell’incidente e prevenire ulteriori compromissioni.
- Coinvolgimento dell’Agenzia per la Cybersicurezza Nazionale (ACN), chiamata a supervisionare le indagini tecniche e a supportare gli enti potenzialmente impattati.
- Comunicazione trasparente degli aggiornamenti alle istituzioni e ai soggetti coinvolti, in linea con le normative vigenti come GDPR e regolamenti europei per la notifica obbligatoria degli incidenti.
IBM e Sistemi Informativi hanno sottolineato il monitoraggio continuo e il rafforzamento delle difese cyber in seguito alla scoperta della compromissione. Nonostante l’operatività dei servizi sia stata rapidamente ripristinata, il caso ha evidenziato la necessità di migliorare sia la prevenzione sia le strategie di rilevamento precoce per incidenti sofisticati e ad alto potenziale di rischio sistemico.
Il contesto europeo e la posizione dell’Italia in tema di cybersicurezza
L’attacco registrato si inserisce in uno scenario europeo teso, in cui l’Italia si conferma tra i Paesi maggiormente bersagliati da campagne di cyber spionaggio e criminalità digitale. Nel 2025, secondo il Rapporto Clusit, le amministrazioni pubbliche italiane sono state vittime del 10% degli incidenti globali più gravi. A livello di perimetro istituzionale, comparti come sanità, manifatturiero e servizi finanziari risultano ripetutamente colpiti, con conseguenze che vanno ben oltre i soli danni economici.
Le direttive europee, come la nuova NIS2 (recepita in Italia nel 2024), introducono standard più rigorosi in materia di gestione del rischio cyber, estendendo gli obblighi di notifica e alzando il livello di responsabilità per soggetti pubblici e privati.
Un confronto con Francia e Germania mostra che il nostro Paese mantiene una maggiore incidenza di attacchi rispetto alla propria popolazione e al PIL, complici la velocità della digitalizzazione e una governance non sempre armonizzata. La necessità di rafforzare il coordinamento europeo e di aumentare gli investimenti strutturali in personale e tecnologie è tema costantemente all’attenzione dei policy maker.
Le sfide aperte e raccomandazioni per rafforzare la resilienza digitale italiana
L’episodio recente sottolinea come rafforzare la resilienza digitale rappresenti una priorità nazionale. Permangono sfide rilevanti:
- Sottovalutazione dei rischi di supply chain IT e carenza di contratti di outsourcing adeguatamente rigorosi.
- Necessità di audit indipendenti sulle infrastrutture digitali condivise fra pubblico e privato.
- Gestione efficace delle notifiche di incidente, assicurando tempestività e trasparenza verso cittadini ed enti interessati.
- Incremento delle competenze in cybersecurity sia nel settore pubblico che privato, per ridurre il gap rispetto ai gruppi criminali organizzati.
Secondo le raccomandazioni dei principali rapporti tecnici, la PA e le aziende strategiche dovrebbero:
- Prevedere procedure robuste di segregazione dati per ogni cliente e ambiente digitale.
- Rafforzare le clausole contrattuali di notifica immediata e disaster recovery nei contratti con i fornitori tecnologici.
- Promuovere cultura della cybersecurity a livello sociale ed educativo, affiancando alle misure tecniche anche la consapevolezza diffusa dei rischi digitali.
Solo così sarà possibile costruire un sistema digitale resiliente e affidabile, in grado di tutelare dati sensibili e processi vitali sia per i cittadini che per le imprese.
