Cybersecurity: lo stato delle minacce in Italia nel rapporto Yoroi 2022

Il Rapporto annuale 2022 di Yoroi fotografa lo stato delle minacce cibernetiche affrontate dal nostro Paese nell’anno precedente e individua le tendenze che a livello globale si riflettono sull’Italia.

Il rapporto evidenzia come le tecniche e procedure usate dai criminali informatici sono simili a quelle osservate negli anni precedenti: phishing, malware zero day, attacchi alla supply chain. Tecniche e strumenti perfezionati dagli aggressori per sfruttare meglio la debolezza del fattore umano con tecniche di ingegneria sociale e indurre le vittime a commettere errori basati sulla fretta, l’urgenza, e la distrazione.

Il volume del codice malevolo intercettato dalla tecnologia Yoroi-Tinexta secondo il rapporto è in costante crescita rispetto agli anni precedenti e le modalità operative degli attaccanti suggeriscono una netta suddivisione tra attacchi di tipo opportunistico e attacchi mirati.

Nel 2021 le maggiori problematiche di sicurezza informatica sono però state il fenomeno della Double Extortion e quello degli attacchi alla supply chain. Ci si attende che accada lo stesso nel corso del 2022.

La telemetria offerta dalla piattaforma Yoroi ha inoltre permesso di estrarre una serie di statistiche riguardo agli attacchi di tipo “zero-day Malware”, ovvero Malware non noti alle firme dei sistemi antivirus che rappresentano il 76% delle minacce Malware attuali.

Il phishing e lo spear phishing sono i vettori più adottati nel 2021 come inizio di una catena di attacco. A differenza dell’anno precedente, è stato osservato un aumento repentino del “drop and execute” con la conseguente adozione di attività di “Download” di componenti malevoli.

Proprio come evidenziato l’anno scorso, la maggioranza di malware presenti nelle organizzazioni osservate sono stati Trojan Bancari. Il principale vettore di ingresso è rappresentato da Ursnif con una presenza del 33.5% sul totale e quella di Emotet per il 18.9% dei campioni. Tali trojan sono vettori di ingresso ampiamente utilizzati per installare impianti malevoli di varia natura.

In Italia durante l’anno appena trascorso il phishing, con il 41.88% degli attacchi bloccati, è stata la minaccia numero uno da affrontare. Il secondo gruppo per volumi di richieste bloccate è rappresentato dai malware con una prevalenza pari al 38.08%; in questa categoria consideriamo tutte le famiglie di codice malevolo, a partire dai Trojan, arrivando ai ransomware, e agli info-stealer. La terza macro-famiglia di minacce bloccate sono stati i siti web dannosi con il 19.95%. In questo caso abbiamo soprattutto due possibili situazioni da considerare: gli attacchi di “Watering hole” e quelli prettamente opportunistici, quali adware, malvertising, click fraud e altri.

Il territorio d’origine di Botnet e Attacchi Opportunistici ripete una distribuzione tipica: al primo posto ci sono Stati Uniti con il 38% della quota (con aumento del 34% rispetto all’anno 2020; al secondo posto ci sono i tentativi provenienti dalla Cina (CN), costanti rispetto all’anno scorso al 24%; il terzo posto è conservato dalle infrastrutture russe, che dalla nostra telemetria contengono l’8% delle comunicazioni malevole.

Anche nel 2021 i cybercriminali continuano a preferire le email e la messaggistica come vettore di diffusione del malware: per il quinto anno di fila, le mail malevole rappresentano una parte rilevante dei cyber-attacchi. La strategia più utilizzate dagli attaccanti per sfruttare il vettore email sono le campagne di spam malevolo denominate “malspam”. Esse sono configurate per colpire singoli individui e piccole organizzazioni, ad esempio tramite mail di finte fatture con documenti Office malevoli.

Esaminando la telemetria raccolta dall’infrastruttura di monitoraggio del Cyber Security Defence Center, possiamo confermare che i documenti di Microsoft Office sono il vettore di consegna del malware più rilevante, rappresentando il modo più comune per diffondere il primo stadio della catena di infezione del malware. Infatti, i documenti Microsoft Word (35%) e i fogli di calcolo Excel (33,2%) rappresentano congiuntamente il 68,2% di tutti gli allegati maligni intercettati dai servizi Yoroi di email Protection.

Infatti, una delle ultime tattiche adottate dai cyber criminali è quella di comprimere gli allegati all’interno di un file di archivio (zip, gzip o rar, 7zip) e crittografarli con una password menzionata all’interno del corpo della mail. È un metodo abbastanza semplice, ma rimane una tattica molto efficace e su cui gli avversari fanno sempre più riferimento.

Nonostante non sia uno dei vettori più utilizzati, lo sfruttamento delle falle tecnologiche da parte di attori malevoli è gradualmente aumentato di popolarità. Nel corso del 2021, numerosi Vendor sono stati vittima di attacchi attraverso i loro prodotti, sia in maniera diretta come nell’eclatante caso di Kaseya, sia in maniera indiretta, con lo sfruttamento di gravi falle ritrovate all’interno dei loro apparati hardware e software.

Ogni business si basa su catene del valore che spesso trascendono gli stessi confini aziendali. Le filiere produttive sono sempre più complesse, intricate ed estese: alla base di un qualsiasi prodotto o servizio si possono trovare decine o centinaia di organizzazioni del tutto eterogenee, da microimprese a grandi gruppi, interconnesse tra loro con un ruolo e dei rischi associati. Nell’ultimo anno, uno di questi rischi in particolare si è manifestato con grande sorpresa: il rischio cyber della supply chain.

Verso fine 2021 è emersa quella che è sembrata per gli addetti ai lavori una grave catastrofe nell’ambiente della cybersecurity, un software open source usato all’interno di praticamente tutti i progetti scritti in linguaggio Java, sia in ambito open source che in ambito Entreprise: Log4j. Per tutto il dicembre 2021, dove gli attacchi erano in massa, il team del CSDC di Yoroi è stato attivo H24 per il monitoraggio dei tentativi di attacco per tale vulnerabilità.

Una delle caratteristiche più importanti del Cyber Security Annual Report di Yoroi riguarda i dati. I dati grezzi utilizzati non appartengono all’open source intelligence (OSINT) o alle rilevazioni di reti esterne, ma piuttosto a incidenti reali che sono stati gestiti da analisti umani. I dati utilizzati in questo rapporto, riguardano incidenti realmente accaduti.

La concretezza di questi dati fornisce quindi un importante spunto di riflessione e un’opportunità di miglioramento per i prossimi anni per quanto riguarda sia la formazione del personale in materia di security awareness che l’impiego di team specializzati come il nostro Defence Center per approntare le difese necessarie.

Contenuti correlati

• 
  Avvicendamento al CINI Cybersecurity National Lab

  La Direzione del CINI Cybersecurity National Lab rivolge i migliori auguri di buon lavoro al nuovo Direttore Generale dell’Agenzia per la Cybersicurezza Nazionale (ACN), Andrea Quacivi, rinnovando la piena disponibilità a proseguire e rafforzare la collaborazione istituzionale...
• 
  Ricerca di Rockwell Automation: i produttori italiani sono sempre più orientati all’esecuzione e alla crescita

  Rockwell Automation ha annunciato i risultati relativi all’Italia dell’11ª edizione del suo State of Smart Manufacturing Report. La ricerca evidenzia un cambiamento nell’approccio dei produttori italiani alla trasformazione digitale: oggi, infatti, crescita ed espansione della capacità produttiva...
• 
  Si delinea il programma di secsolutionforum 2026

  Secsolutionforum 2026 torna in presenza il 7 e 8 ottobre 2026 a BolognaFiere, all’interno di Urban Tech 2026 – The Urban Technology Show, l’ecosistema dedicato a e-mobility, traffic, commuting, tlc & data ed environment. Dopo sei edizioni...
• 
  La nuova era della logistica

  L’automazione logistica trasforma le supply chain: robotica, AI e analisi dati migliorano efficienza, resilienza e precisione. Sistemi integrati e infrastrutture permettono decisioni in tempo reale, ottimizzando flussi, costi ed esperienza del cliente Leggi l’articolo
• Manifatturiero italiano sotto attacco: ecco il paradosso che i dati non raccontano

  “Never touch a running system”: è il principio non scritto che governa la gestione dei macchinari in molti stabilimenti italiani. Non per resistenza al cambiamento, ma perché ogni intervento può avere un costo operativo immediato e, a volte,...
• 
  Tra crescente consapevolezza e incompleta maturità

  Le aziende italiane aumentano l’attenzione alla cybersecurity, ma restano divari operativi, soprattutto nelle PMI. Tra minacce sempre più evolute e nuove tecnologie, emerge la necessità di un approccio strutturato, resiliente e orientato al modello Zero Trust Leggi...
• 
  Il punto debole dell’industria? La sicurezza OT

  Minacce cyber in aumento e nuove normative spingono la sicurezza OT al centro delle strategie industriali. Tra ritardi organizzativi e nuove tecnologie, le aziende devono evolvere per proteggere asset critici e continuità operativa Leggi l’articolo
• 
  Difendere le reti IT-OT

  La convergenza sempre più spinta fra reti IT e OT, così come la diffusione di sistemi di industrial IoT hanno reso più che mai cruciale proteggere la comunicazione dati con dispositivi di sicurezza sia a livello hardware...
• 
  SPS Italia, un ecosistema di contenuti e soluzioni per la fabbrica del futuro

  È iniziato il conto alla rovescia per la quattordicesima edizione di SPS Italia, che si sviluppa su sei padiglioni e propone una panoramica sulle tecnologie abilitanti per la fabbrica e sui trend che guidano la trasformazione della...
• 
  Logistica e intralogistica nell’era dell’incertezza

  Automazione, digitalizzazione e integrazione di sistemi stanno ridefinendo le supply chain industriali, che si stanno trasformando per affrontare le complesse sfide del mercato globale Leggi l’articolo