(Questo articolo è stato aggiornato il 16 settembre 2024.)
Le Olimpiadi di Parigi del mese scorso – e i Giochi Paralimpici, che si concludono questa settimana – sono state ampiamente considerate un trionfo, non solo per lo scenario da cartolina offerto dalla città, ma anche per le complesse misure di sicurezza informatica che sono rimaste dietro le quinte.
Secondo l’ANSSI, l’agenzia governativa francese per la sicurezza informatica, che ha operato da una sede segreta durante i Giochi, tra il 26 luglio e il 11 agosto si sono verificati oltre 140 attacchi informatici ai Giochi, tra cui 119 “eventi di sicurezza” a basso impatto e 22 violazioni dei sistemi informativi da parte di soggetti malintenzionati. Gli attacchi hanno preso di mira principalmente le organizzazioni governative, oltre alle infrastrutture sportive, dei trasporti e delle telecomunicazioni. Un terzo di questi casi ha comportato tempi di inattività limitati. Nessuno ha interrotto la competizione.
Esperti e analisti si riuniranno per fare il punto sulle Olimpiadi di Parigi nei mesi a venire. Ciò che è già chiaro è che le autorità francesi hanno agito correttamente sotto molti aspetti. Sebbene il loro impegno contribuirà sicuramente a orientare la sicurezza informatica in occasione dei futuri eventi sportivi mondiali (come le Olimpiadi di Los Angeles del 2026), le lezioni apprese possono anche fungere da manuale non ufficiale per qualsiasi impresa.
Certo, la maggior parte delle organizzazioni non può assumere personale come fanno le Olimpiadi. Il team di sicurezza francese comprendeva 15 membri del Comitato Organizzatore di Parigi 2024 (COJOP); circa 100 membri aggiuntivi messi a disposizione dai partner aziendali; oltre 200 penetration tester, cacciatori di bug e altri hacker etici incaricati di testare il sistema tramite esercitazioni «red teaming» e simulazioni teoriche; decine di migliaia di volontari che hanno fornito supporto immediatamente prima e durante l’evento; e un (senza dubbio molto stanco) responsabile della sicurezza informatica.
Il CISO in questione, Franz Regul, ricopre tale incarico da quattro anni, collaborando con il Comitato Olimpico Internazionale (IOC) e con le agenzie governative. Ha incontrato i responsabili della sicurezza delle Olimpiadi estive di Tokyo 2020 e delle Olimpiadi invernali di Pechino 2022 , ha valutato le loro esperienze e ha modificato alcune misure di difesa informatica per stare al passo con l’evoluzione tecnologica. Anziché affidarsi a una rete basata principalmente su data center – una strategia adottata a Tokyo – Regul ha optato per un ambiente basato sul cloud di tipo “ ”.
«Abbiamo inoltre optato per un sistema meno centralizzato, con infrastrutture operative e membri del team dislocati in tutta la Francia», ha spiegato Regul poco prima dei Giochi, in un’intervista rilasciata a Infosecurity Magazine.
Regul e il suo team hanno dovuto affrontare «il panorama delle minacce più complesso, l’ecosistema più vasto di autori di minacce e il massimo grado di facilità con cui questi ultimi potevano sferrare attacchi» rispetto a qualsiasi altra edizione delle Olimpiadi, secondo quanto riportato nel rapporto “ ” () dell’International Data Corporation (IDC), la rinomata società di analisi di mercato. Gli attacchi sono iniziati mesi prima dell’arrivo di atleti e spettatori, con diverse campagne di attacchi DDoS (Distributed Denial of Service) condotte da e tentativi di compromissione delle infrastrutture e dei sistemi amministrativi dei Giochi.
Secondo le stime di IDC , il fatturato derivante dai servizi di sicurezza informatica in Francia aumenterà di 94 milioni di dollari nel 2024 (e di 57 milioni di dollari nel resto d’Europa) grazie alle Olimpiadi, aggiungendo poco più di due punti percentuali alla spesa totale per i servizi di sicurezza informatica.
Quindi sì, sono d’accordo: la maggior parte dei CISO non disporrà mai del budget di Regul né avrà accesso alle risorse governative. Ciononostante, l’approccio su più fronti adottato da Parigi merita di essere preso a modello ed è possibile farlo, indipendentemente dalla portata del vostro programma di sicurezza informatica.
In questa sede analizziamo gli elementi chiave di una difesa informatica degna di una medaglia, tenendo presente la cantante francese Yseult, che ha cantato “My Way” durante la cerimonia di chiusura di Parigi. Per quanto riguarda la sicurezza informatica, almeno, seguire la strada indicata da e non è affatto una cattiva idea.
1. Affidatevi al monitoraggio delle minacce in tempo reale
Durante le Olimpiadi, un attacco ransomware di grande risonanza, denominato “ ” , ai danni del Grand Palais (una sede olimpica) e di circa altri 40 musei francesi ha conquistato i titoli dei giornali . In una richiesta di riscatto, i criminali informatici hanno affermato di aver sottratto informazioni finanziarie dei clienti dai negozi di souvenir e da altri siti commerciali presenti in tali strutture e hanno minacciato di rendere pubblici tali dati entro 48 ore.
«Abbiamo optato per un sistema meno centralizzato, con un’infrastruttura operativa e membri del team dislocati in tutta la Francia.”Franz Regul, CISO, Comitato Organizzatore di Parigi 2024 (COJOP)
Le autorità hanno reagito con estrema rapidità, grazie a un sistema di monitoraggio delle minacce all’avanguardia, che si avvaleva dei dati in tempo reale forniti da . I team di sicurezza informatica hanno inoltre utilizzato framework di tipo “ ”, come MITRE ATT&CK , per prepararsi ad affrontare potenziali violazioni informatiche.
E per quanto riguarda quell’attacco ransomware? Le autorità hanno rilevato nessuna estrazione di dati in quel momento; a quanto pare, non è stato pagato alcun riscatto e le sedi sono state riaperte al pubblico (e alle competizioni olimpiche) lo stesso giorno.
2. Rimanga informato grazie alle informazioni sulle minacce
Nei mesi precedenti i Giochi, i team specializzati nell’analisi delle minacce hanno individuato oltre 300 siti di vendita di biglietti contraffatti, creati con lo scopo di sottrarre dati personali a consumatori ignari. Un'unità specializzata composta da 200 gendarmi ha chiuso oltre 50 siti e ha intimato a decine di altri di adeguarsi alle norme.
«Gli autori delleminacce stanno ampliando la propria portata, il loro raggio d’azione si sta estendendo e stanno utilizzando nuovi strumenti.”Sherrod DeGrippo, direttore della strategia di threat intelligence, Microsoft
«Gli autori delle minacce stanno ampliando la propria portata, il loro raggio d’azione si sta estendendo e stanno sfruttando nuovi strumenti», afferma Sherrod DeGrippo, direttore della strategia di intelligence sulle minacce presso Microsoft, in una recente puntata di “ ” , il podcast di accompagnamento di “” di Focal Point , intitolata “Let’s Converge”. DeGrippo illustra le migliori strategie per costituire un team dedicato alle informazioni sulle minacce, i vantaggi derivanti dall’integrazione dell’intelligenza artificiale e il tipo di informazioni che sapranno impressionare positivamente il vostro CISO e il consiglio di amministrazione.
Sebbene il team di intelligence sulle minacce di un’azienda media non sia numeroso quanto l’unità della gendarmeria francese, può comunque rivelarsi estremamente efficace puntando sulla diversità . Al momento dell’assunzione, cercate persone con background, livelli di esperienza e preferenze diversi,, consiglia DeGrippo.
«Mi creda», dice, «se si affida a qualcuno un compito in cui è bravo e che gli piace, avrà successo».
3. Sfruttare la tecnologia dell'intelligenza artificiale
I funzionari olimpici hanno utilizzato l’intelligenza artificiale per proteggere i dati sensibili e i sistemi informativi critici, mentre il governo francese ha emanato una normativa volta a consentire la videosorveglianza assistita dall’intelligenza artificiale a Parigi. Telecamere speciali effettuavano una scansione in tempo reale alla ricerca di movimenti della folla specifici o insoliti, comportamenti sospetti, incendi e borse abbandonate.
Con le minacce alla sicurezza che superano ormai le capacità degli analisti umani, l’intelligenza artificiale ( ) sta rapidamente diventando un elemento imprescindibile per qualsiasi programma di sicurezza informatica, data la sua capacità di elaborare grandi quantità di dati e di prendere decisioni informate. L'intelligenza artificiale è in grado di identificare i valori di riferimento relativi al comportamento normale, per poi individuare eventuali anomalie nel traffico di rete e nel comportamento degli utenti.
Ma state tranquilli: gli esperti ribadiscono che le competenze e la supervisione umane continueranno a essere fondamentali. Per sfruttare al meglio l'intelligenza artificiale generativa è necessario partire da una buona governance. Un esempio calzante: l’ampio ricorso all’intelligenza artificiale da parte di Parigi era accompagnato da misure di salvaguardia: la sua nuova legge sull’intelligenza artificiale non consentiva il trattamento dei dati biometrici né l’uso di tecniche di riconoscimento facciale (controverse e non comprovate).
4. Affrontare la disinformazione
Già lo scorso anno, alcuni hacker con base in Russia hanno creato siti web di notizie false e un lungometraggio documentario , narrato con un audio falso generato dall’intelligenza artificiale che riproduceva la voce dell’attore Tom Cruise; il tutto nell’ambito di una campagna di disinformazione volta a infangare la reputazione dell’ IOC e e a diffondere voci su presunti episodi di violenza in occasione dei Giochi Olimpici. Per contrastare tali iniziative, la Francia ha istituito un’agenzia governativa, la VIGINUM, un’unità militare di sicurezza informatica composta da 50 persone con il compito di monitorare e smascherare le interferenze straniere nelle Olimpiadi e nelle elezioni francesi.
Con l’aumento dei deepfake generati dall’intelligenza artificiale , contrastare le notizie false sul proprio marchio sta diventando più difficile che mai. I dirigenti aziendali dovranno stanziare risorse finanziarie e personale affinché i reparti di marketing possano monitorare adeguatamente le notizie online e i social media. Tenga presente che i criminali informatici non prendono di mira solo le multinazionali con ingenti risorse finanziarie; anche le campagne di disinformazione e di diffusione di notizie false colpiscono le PMI , costringendo le piccole attività a conduzione familiare a lottare per riparare alla reputazione compromessa.
La buona notizia? Le strategie tradizionali di sicurezza informatica possono contribuire a individuare più rapidamente le tecnologie deepfake – si pensi ad esempio a corsi di formazione aggiornati , alla prevenzione del phishing e alle attività di ricerca delle minacce – contribuendo così a contrastare queste nuove operazioni di influenza.
5. Promuovete la formazione del vostro personale
La formazione regolare e completa del personale è considerata una parte essenziale – e spesso noiosa – della routine di sicurezza informatica di qualsiasi organizzazione. Il team di Regel ha condotto una serie di campagne di formazione e sensibilizzazione, mettendo in evidenza i pericoli dell’ , dell’ingegneria sociale e di altre modalità con cui gli hacker si infiltrano nelle reti, incentivando talvolta i propri collaboratori con premi e omaggi.
Tra gli altri nuovi approcci ai programmi di formazione figurano i video di formazione sulla sicurezza in stile hollywoodiano, immersivi e di tipo “ ” ( ), che incorporano tecniche narrative cinematografiche e persino elementi di suspense per coinvolgere i lavoratori. Alcune ricerche indicano che ciò potrebbe aiutare i dipendenti a assimilare meglio le nozioni relative alla sicurezza e a conservarle più a lungo.
6. Tenete informati (in modo chiaro e semplice) i dipendenti e i clienti
Sul sito web Olympics.com, una pagina dedicata alla sicurezza informatica rivolta a personale, atleti e spettatori fornisce informazioni su come contrastare le truffe e come comportarsi in caso di sospetto accesso non autorizzato al proprio account ufficiale delle Olimpiadi. Offre inoltre le migliori pratiche relative a , alle password, al phishing , e agli aggiornamenti dei dispositivi.
Lo stesso si può e si deve fare per i dipendenti e i clienti di qualsiasi organizzazione. Ogni sito web dovrebbe disporre di pagine dedicate alla sicurezza facilmente accessibili, contenenti istruzioni di base (ma fondamentali) su come comportarsi qualora si sospetti di aver riscontrato un problema di sicurezza informatica.
