Dopo l’attacco informatico alla Direzione investigativa antimafia, arriva la prima risposta istituzionale. Il Comitato nazionale riunito al Viminale ha deciso di rafforzare il monitoraggio dei sistemi di sicurezza vulnerabili, alla luce degli attacchi hacker che hanno colpito apparati pubblici nelle ultime settimane. Il caso più grave è quello della Dia, dai cui sistemi un gruppo di pirati informatici ha rivendicato il furto di dossier Europol.

La decisione fissa una direzione: individuare e tenere sotto osservazione i punti deboli delle reti pubbliche prima che vengano sfruttati. La sua portata reale dipende però da tre fattori: la capacità di correggere le falle, il coordinamento tra gli enti che si occupano di cybersicurezza e le risorse messe in campo.

Attacchi hacker alla Dia, il precedente che ha fatto scattare l’allarme

La Dia è la struttura interforze incaricata delle indagini sulla criminalità organizzata. Custodisce informazioni investigative tra le più delicate dello Stato e scambia dati con le polizie degli altri Paesi europei attraverso Europol, l’agenzia di cooperazione di polizia dell’Unione.

Secondo la rivendicazione degli autori, l’intrusione avrebbe portato all’esfiltrazione di documenti condivisi in ambito europeo. Il bersaglio misura da solo la gravità dell’episodio: un archivio antimafia è tra i patrimoni informativi più sensibili del Paese, per le persone che protegge e per le inchieste che contiene.

Monitoraggio dei sistemi vulnerabili, i limiti della sorveglianza

Monitorare significa rilevare anomalie, accessi sospetti, traffico insolito. È una funzione necessaria, che interviene però quando l’aggressore ha già trovato un varco. Una vulnerabilità nota e non corretta resta tale anche quando è sorvegliata.

Le debolezze ricorrenti dei sistemi pubblici sono conosciute da anni dagli addetti ai lavori: software obsoleto e privo di supporto del produttore, aggiornamenti di sicurezza applicati in ritardo, credenziali deboli, catene di fornitori esterni con livelli di protezione disomogenei. Su ciascuno di questi fronti la cura passa per la sostituzione degli apparati e per la manutenzione costante, attività costose e poco visibili che raramente finiscono nei comunicati.

Trenitalia, Deutsche Bahn e la lezione dei precedenti

Gli episodi degli ultimi anni mostrano uno schema ripetuto. Gli attacchi che hanno colpito Trenitalia, con la violazione di dati personali dei clienti, e Deutsche Bahn hanno messo in luce la fragilità delle infrastrutture ferroviarie europee. In Francia, l’intrusione nei sistemi di refrigerazione di centinaia di supermercati ha sfruttato dispositivi datati e mai aggiornati, con danni stimati in decine di milioni.

In tutti questi casi il punto d’ingresso era una debolezza strutturale nota da tempo. Dopo ciascun episodio sono seguiti annunci di rafforzamento della vigilanza. Gli attacchi sono proseguiti, cambiando bersaglio.

Cybersicurezza in Italia, una catena di comando a più teste

L’architettura italiana della sicurezza informatica si è stratificata in pochi anni. Nel 2019 è nato il Perimetro di sicurezza nazionale cibernetica, che impone obblighi agli operatori strategici. Nel 2021 è stata istituita l’Agenzia per la cybersicurezza nazionale (ACN), che dipende dalla Presidenza del Consiglio. Nel 2024 sono arrivati il recepimento della direttiva europea NIS2, che estende gli obblighi di protezione a migliaia di soggetti pubblici e privati, e la legge 90, che impone alle amministrazioni di segnalare gli incidenti rilevanti entro 24 ore.

Accanto all’ACN operano la Polizia Postale con il CNAIPIC, il centro che protegge le infrastrutture critiche, i servizi di intelligence coordinati dal Dis e il comparto cyber della Difesa. La decisione presa al Viminale, sede del ministero che governa l’ordine pubblico, aggiunge un ulteriore livello a una filiera che fa capo, per la strategia nazionale, a Palazzo Chigi.

La moltiplicazione degli attori produce un rischio concreto: competenze sovrapposte e responsabilità diluite. Chi stabilisce quali sistemi sono prioritari, chi finanzia la sostituzione degli apparati obsoleti, chi risponde se una falla segnalata resta aperta: sono queste le domande che decidono l’efficacia del monitoraggio, più dell’annuncio in sé.

Monitoraggio o prevenzione, il nodo delle risorse

La sequenza attacco-riunione-rafforzamento è un copione già visto nella gestione della sicurezza, informatica e fisica. Ha il pregio di offrire una risposta immediata all’opinione pubblica e il limite di concentrarsi sul sintomo. La prevenzione richiede investimenti pluriennali, personale tecnico qualificato e la capacità di trattenerlo in un settore dove le retribuzioni private superano largamente quelle pubbliche.

C’è poi un aspetto che riguarda i cittadini. Il potenziamento della sorveglianza delle reti è legittimo quando resta circoscritto ai sistemi da proteggere. Le infrastrutture di controllo, una volta create, tendono a durare e a estendere il proprio raggio d’azione: la loro governance merita la stessa attenzione riservata alle minacce esterne.

Gli strumenti normativi per misurare il cambio di passo esistono già. Con l’obbligo di notifica entro 24 ore all’Agenzia per la cybersicurezza nazionale, ogni prossimo incidente nella pubblica amministrazione lascerà una traccia formale dei tempi di reazione. Sarà quel registro a dire se il monitoraggio deciso al Viminale ha accorciato la distanza tra la scoperta di una falla e la sua chiusura.