Stando alla lettura di alcuni titoli di giornali online e agenzie di stampa, ieri, sembrava l’intera Italia sotto attacco informatico. In realtà sono solo decine le realtà colpite con successo dal ransomware che ha preso di mira i server con il prodotto “VMware ESXi”, per la cui vulnerabilità CVE-2021–21974 era disponibile dal vendor la patch da febbraio 2021!
Ad essere prese di mira sono stati i soggetti che hanno pubblicato direttamente su Internet il software in questione, un ESXi server. Che può essere attaccato solo se esposto su Internet. Un autogol da dilettanti.
E a comunicare il numero, esiguo, delle realtà in Italia vittime del ransomware è stata l’Agenzia per la Cybersicurezza Nazionale (ACN) nella nota, di ieri, domenica 3 febbraio, delle ore 17:14, dal titolo “Registrato un massiccio attacco ransomware tramite infezione di sistemi VMware”. Ma a fare “notizia” e a creare un ingiustificato allarmismo è stato solo il titolo del comunicato stampa dell’ACN.
Concretamente, “nessuna azienda o infrastruttura critica risulta impattata”, ha scritto Andrea Chittaro, Senior Vice President Global Security & Cyber Defence di Snam e membro del Comitato Tecnico Scientifico istituito in seno all’Agenzia per la Cybersicurezza Nazionale.
Mentre scriviamo è in corso il vertice a Palazzo Chigi tra il Sottosegretario Alfredo Mantovano, autorità delegata per la cybersicurezza, e il direttore di ACN, Roberto Baldoni, e la direttrice del DIS-Dipartimento informazione e sicurezza, Elisabetta Belloni, per fare un primo bilancio dei danni provocati dagli attacchi.
Il bilancio che possiamo fare noi è che se nelle redazioni mancano giornalisti esperti di cybersecurity è molto alto il rischio di prendere fischi per fiaschi.
Se continua a mancare la cultura della cybersecurity nelle testate giornalistiche, ai titoli fattuali e puntuali, i caporedattori preferiranno sempre il tono allarmistico, perché non consapevoli che ogni giorno, anzi ogni secondo, è in atto una cyber war su infrastrutture critiche nazionali e internazionali.
Se continua a mancare la cultura cyber continueremo a leggere sui media generalisti “attacco hacker” e non “attacco di cyber criminali”.
Come per ogni settore, anche per la cybersicurezza occorrerebbe una redazione di esperti in grado, per esempio, di “maneggiare” un comunicato stampa dell’ACN in cui si riporta un consueto alert.
“La sicurezza cibernetica è un bene comune”, ha ricordato, in queste ore, Alessandro Manfredini, presidente di Aipsa, l’Associazione italiana dei Professionisti della Security aziendale, che racchiude al suo interno i security manager delle principali grandi aziende private del Paese, molte delle quali inserite nel Perimetro della Sicurezza cibernetica nazionale
“La priorità”, ha sottolineato Manfredini, “è quella di migliorare i collegamenti e le comunicazioni tra controllori e controllati, estendendo sempre di più le maglie della rete a protezione del Sistema Paese. Noi siamo pronti a fare la nostra parte, con determinazione, ma al riparo da inutili allarmismi”.
Se non c’è una reale notizia, allora evitiamo, noi giornalisti, gridare al lupo al lupo e di creare inutili, ingiustificati e dannosi allarmismi nella cybersicurezza. Da qui la nostra idea di scegliere come foto di quest’articolo la grafica della “breaking news”, ma senza titoli, perché non c’è nulla da raccontare, perché non c’è notizia. Chi lavora nel settore della cybersecurity è già, quotidianamente, sottopressione per aumentare sempre di più la sicurezza e la cyber resilienza dell’Italia. Se il loro lavoro fosse raccontato con costanza da un sempre maggiore numero di giornalisti avremmo un’ampia diffusione nel nostro Paese della cultura cyber e meno attacchi informatici e meno articoli di giornali con titoli allarmistici del tipo “hacker all’attacco dell’Italia”…
English (US)