Cybersecurity, banche e intelligenza artificiale. Il punto di vista di Aron Clementi e Riccardo Masutti

La digitalizzazione ha portato vantaggi senza precedenti al settore bancario svizzero, con transazioni più veloci, accesso globale e servizi bancari personalizzati. Tuttavia, con l’avanzare della tecnologia, cresce anche la minaccia cibernetica.
Basti pensare al recente attacco ai siti web governativi svizzeri, inclusi il sito web del parlamento federale e Swiss Rail, o i 2800 profili rubati alla polizia bernese. Esempio eloquenti che danno bene la dimensione della gravità della minaccia.
Il Cyber Security Report 2022 evidenzia un aumento degli attacchi cibernetici del 150% anno su anno. Sorprendentemente, il settore bancario ha subito furti che hanno superato i 10 milioni di CHF nel 2022.

leggi anche

Cybersecurity, denuncia penale per la fuga di dati ai danni di Xplain

Si salvi chi può

Il National Cyber Security Center (NCSC) ha registrato 21.714 segnalazioni di attacchi nel 2021, il doppio rispetto al 2020. Il 61% delle aziende svizzere identifica i rischi informatici come la maggiore minaccia del 2022. Ancora più allarmante, il 60% delle PMI svizzere vittime di attacchi cibernetici va in bancarotta entro sei mesi.
Gli attacchi, spesso mirati, variano dal crescente fenomeno degli attacchi DDoS ai Crypto-Locker (Ramsomware), che puntano a interrompere i servizi o criptare i dati e chiedere un riscatto. Non vanno tracurati gli attacchi sponsorizzati dai governi come lo spionaggio industriale o le cyber war, con obiettivi strategici. In media, una banca svizzera subisce un tentativo di intrusione ogni 10 ore. Il 2021 ha visto il costo medio di una violazione dei dati superare i 4 milioni di dollari. Nonostante la frequenza, non tutti gli attacchi hanno successo, ma l’incessante assalto da parte dei cybercriminali sottolinea l’attrattiva e la vulnerabilità del settore bancario e finanziario svizzero, enfatizzando la necessità di solide misure di sicurezza.

L’ecosistema cyber svizzero

La Svizzera ha compreso la gravità di questi rischi e ha iniziato a consolidare le sue risorse. L’esempio della Trust Valley, un’associazione di università, aziende e startup, propone un approccio collaborativo per affrontare le sfide cibernetiche. Anche l’esercito svizzero sta dando priorità alla cyber-difesa con iniziative come il battaglione Cyber 42.
L’approccio multi-stakeholder, coinvolgendo sia il settore privato che quello pubblico, è essenziale per affrontare le complesse minacce cibernetiche. Un’azione congiunta tra istituti di ricerca, industria e governo può creare una risposta robusta e resiliente. Di seguito trovate la mappa delle startup svizzere in ambito cybersecurity.

La “Cyber Intelligenza Artificiale” spiegata da un Hacker

Ho coinvolto in questa riflessione Riccardo Masutti (a sinistra nella foto in alto) esperto di Cyber Security & Privacy con focus su Bitcoin.
L’avvento dell’Intelligenza Artificiale (IA) ha portato a nuove possibilità entusiasmanti in quasi tutti i settori, ma ha anche aperto a minacce precedentemente impensabili, in particolare nel mondo finanziario.
Pensiamo, per esempio, ai mercati azionari. Un semplice algoritmo, utilizzato malevolmente, potrebbe manipolare il mercato azionario in millisecondi. Nel 2010, il “Flash Crash” ha visto il Dow Jones Industrial Average crollare di 1000 punti in pochi minuti a causa di un algoritmo difettoso. Ora immagina un attacco mirato, guidato da IA, che intenzionalmente destabilizza i mercati finanziari. Le perdite potrebbero essere catastrofiche e immediate.
Ma tutto ciò può andare ben oltre. L’IA può essere usata per creare attacchi di phishing e fake news molto convincenti, particolarmente dannose in un contesto finanziario. Una falsa dichiarazione di bancarotta di una delle principali banche svizzere, se diffusa in modo credibile come fece news in portali ufficiali usando DeepFake con volti e timbri vocali simulati, potrebbero causare il ritiro massivo di fondi dai clienti, destabilizzando l’intero settore bancario del paese rischiando Bank Run ed insolvenza. Oppure simulando un familiare che ha bisogno di soldi per una spesa improvvisa.
E mentre parliamo di destabilizzazione, pensiamo alla cyberwar. Stati nazionali potrebbero utilizzare l’IA come arma offensiva, non solo per infiltrarsi nei sistemi di difesa di un altro paese, ma per attaccare direttamente le sue infrastrutture finanziarie. Un attacco coordinato su banche, borse e istituzioni finanziarie potrebbe paralizzare l’economia di una nazione.
La difesa contro queste minacce richiede una risposta altrettanto sofisticata. L’IA, nella sua forma difensiva, sta diventando la chiave per proteggere le infrastrutture finanziarie. Questo include algoritmi di apprendimento profondo che monitorano le transazioni e quantità enormi di dati in tempo reale, rilevando anomalie e neutralizzando le minacce prima che possano causare danni significativi.
La “corsa agli armamenti” digitali non riguarderà soltanto la protezione dei dati, ma anche il mantenimento della stabilità finanziaria e la fiducia pubblica nell’intero sistema come prima linea di difesa. La Svizzera, con il suo peso nel settore bancario e finanziario globale, sarà al centro di questa tempesta, facendo fronte sia ai rischi che alle opportunità offerte dalla rivoluzione dell’IA.

Riccardo, partiamo dal principio. Puoi condividere una delle esperienze più impressionanti che hai avuto nella tua carriera nel campo della cybersicurezza?
E difficile catalogare le esperienze che ho vissuto nell’arco della mia vita e carriera perché sarebbero così tante che il podio andrebbe dato ad almeno 20 diverse. Mi piacerebbe risponderti dicendo che l’esperienza più impressionante e con ogni probabilità quella che deve ancora arrivare. Nell’arco di 10 secondi avvengono più di 300 cyber attacchi. Viviamo in un costante campo di battaglia dove la guerra si è spostata dal mondo fisico a quello digitale.
Per rimanere sul tema bancario e dare un po di cifre però potrei fare un esempio che calza a pennello: l’hack dell’account della Banca Centrale del Bangladesh presso la Federal Reserve Bank di New York, dove un gruppo di hacker, probabilmente sotto guida governativa, ha tentato di spostare 1 miliardo di dollari americani in 35 diverse transazioni.
Quali ritieni siano le principali minacce cibernetiche per il settore bancario svizzero oggi?
L’essere umano è il fattore X e sara sempre l’anello più debole della catena. I dati parlano chiaro: secondo l’US Federal Bureau of Investigation (FBI) gli attacchi phishing sono responsabili del 90%+ di tutti i data breach, e gli hacker che targetizzano ed attaccano con successo aziende bancarie (e non), sfruttano attacchi di ingegneria sociale, manipolando psicologicamente membri di una organizzazione affinché compiano azioni dannose, divulghino informazioni riservate, o garantiscano accesso a luoghi fisici e digitali ove non dovrebbe essere permesso,,. E non finisce qui: si prevede che questo tipo di attacchi cresca del +400% di anno in anno.
Qual è il tuo punto di vista sull’uso dell’Intelligenza Artificiale nella cybersicurezza, sia come arma offensiva che come strumento difensivo?
Questo è ciò che più mi affascina e ciò su cui sto investendo la maggior parte del mio tempo negli ultimi anni: capire come le IA possono aiutare e difendere privati e aziende da attacchi informatici. Con AdFulcon stiamo progettando e creando soluzioni e strategie innovative che fanno esattamente questo. L’anticipazione, identificazione e reazione che può avere una AI rispetto ad un essere umano o un algoritmo convenzionale e di ordini di grandezza enormemente superiori.
D’altro canto, però, lo stesso si può dire delle AI usate come strumenti offensivi: sono veloci, imprevedibili, senza freni inibitori. Non hanno bisogno di dormire, mangiare o parlare. Non hanno paura di ripercussioni legali e non hanno etica o morale. Sono armi perfette, e la perfezione nelle armi a volte può risultare estremamente pericolosa.
Quali consigli hai per le banche e le istituzioni finanziarie per proteggersi meglio dalle minacce cibernetiche?
Investire enormemente nell’educazione dei propri dipendenti e collaboratori. In una societa sempre piu digitalizzata, diventa sempre più vitale ricordare e comprendere l’importanza dei temi di sicurezza informatica e privacy digitale. Purtroppo, ad oggi, questi temi vengono poco considerati e non trattati con la dovuta serietà. Questo è il risultato di politiche di aziende e corporation internazionali che hanno spostato l’attenzione dall’essere umano alla tecnologia. Ci è stato insegnato che “basta comprare e installare questo antivirus” o “basta comprare e installare questo firewall”. Ci bastano un paio di prodotti e siamo al sicuro. Con AdFulcon noi facciamo l’esatto opposto: il focus e migliorare persone e gruppi di lavoro tramite un processo educativo pensato e strutturato ad-hoc, e non proponendo un qualche prodotto e software generale. La sicurezza informatica e la privacy digitale sono molto più di tutto ciò. Ogni gruppo di lavoro, grande o piccolo che sia, è fatto di persone; queste sono da considerare come tanti anelli diversi che insieme, compongono una catena. Ogni anello della catena dev’essere ben saldo e resiliente, poiché basta che un anello sia debole per rompere l’intera catena e, nel nostro caso, l’intera struttura difensiva ITLa Crescente Minaccia Cibernetica e l’Impatto sulla Svizzera.
L’errore umano quindi sarà sempre un fattore determinante nella vulnerabilità dei sistemi, corretto?
Come detto prima, più del 90% dei cyber attacchi sono causati da errori compiuti da persone, non da macchine. Ed è esattamente per questo motivo che l’educazione e l’investimento migliore per prevenire questo tipo di inconvenienti.
Prevenire è meglio che curare, giusto? Allora non facciamo come tutti quei proprietari di case o asset che installano sistemi di sorveglianza o casseforti solo dopo che sono vittima di furti: ormai è troppo tardi.
Da cosa partire quindi?
Quando si progetta una banca, la prima cosa che viene ideata e costruita è il caveau. Il cuore della banca. Tale dev’essere resiliente da qualsiasi tipo di attacco, addirittura quelli più estremi come attacchi nucleari, terroristici o calamità straordinarie. Tale luogo dev’essere adatto a custodire oggetti di considerevole valore, importanza o segretezza. Nel 2023 oltre a custodire lingotti d’oro e cartelle cartacee dobbiamo custodire dati digitali e bit. Dobbiamo costruire il nostro caveau digitale. Dobbiamo impostare una forma mentis condivisa a tutte le persone che lavorano nella nostra azienda che dia la priorità a sicurezza e privacy. Per far ciò le aziende devono portare avanti un costante investimento su educazione digitale e trovare un partner che li possa accompagnare nel processo in modo corretto: focalizzandosi sulle persone.