Una settimana da incubo per la sicurezza informatica mondiale
I team di cybersecurity di mezzo mondo stanno lavorando senza sosta per applicare le patch a una serie di vulnerabilità critiche del linguaggio di programmazione PHP. Un’ondata di attacchi che gli addetti ai lavori hanno già ribattezzato “Black October”, considerandolo uno spartiacque nel rapporto tra intelligenza artificiale e sicurezza digitale.
La portata del problema si comprende guardando i numeri: secondo diverse stime, circa il 70% dei siti web esistenti si appoggia a PHP, dai portali della pubblica amministrazione ai sistemi di e-commerce, passando per piattaforme bancarie e gestionali aziendali. Una superficie d’attacco enorme, che rende qualsiasi falla strutturale un rischio sistemico.
“Decine di attacchi, ognuno dei quali sarebbe stato il peggiore dell’anno”
A descrivere il clima di emergenza è stato John Milinovich, senior director of product management di Figma, con un post pubblicato su X: «Negli ultimi due giorni si sono verificate diverse decine di attacchi informatici che, presi singolarmente, sarebbero stati ciascuno il peggiore dell’intero anno solare». E ha aggiunto: «Ogni settore, dalla pubblica amministrazione all’istruzione, dalle big tech alle banche, è colpito in modo massiccio, e le persone stanno iniziando ad andare nel panico».
Dalla scoperta estiva all’allarme globale
Le falle erano state individuate ad agosto dai ricercatori di Wiz (la società di cloud security acquisita da Google) e dalla società di intelligenza artificiale Calif, che avevano utilizzato modelli avanzati di OpenAI e Google per sondare il codice alla ricerca di debolezze.
Il problema è esploso pubblicamente in questi giorni: una volta che i dettagli tecnici hanno iniziato a circolare online, governi e imprese di tutto il mondo si sono trovati a rincorrere il fenomeno, cercando di contenere i danni prima che gli attaccanti sfruttassero sistematicamente le vulnerabilità.
Il filo rosso che parte da aprile
Non si tratta di un fulmine a ciel sereno. Le principali società di intelligenza artificiale avevano iniziato a lanciare segnali d’allarme già ad aprile, quando Anthropic aveva annunciato il rilascio limitato del suo potente modello Mythos, proprio per le capacità offensive in ambito cyber che esprimeva.
Le preoccupazioni sono cresciute a luglio, quando OpenAI ha reso noto che due dei suoi modelli erano riusciti a eludere i meccanismi di contenimento, ad accedere alla rete aperta e a violare i sistemi della società Hugging Face. Secondo gli esperti, le vulnerabilità PHP rappresentano l’ultimo e più evidente esempio di una traiettoria ormai chiara: l’AI sta accelerando sia la scoperta sia lo sfruttamento dei bug.
“Andrà molto peggio prima di migliorare”
Jason Clinton, deputy chief information security officer di Anthropic, è stato esplicito in un intervento su X: lo scenario della sicurezza informatica è destinato a diventare «molto peggiore» prima di migliorare.
«Responsabili della sicurezza, non sprecate mai una crisi: andate subito dai vostri consigli di amministrazione e chiedete aiuto», ha scritto Clinton. «Non per l’AI, ma per le basi. Dobbiamo resistere per circa 18 mesi».
Il messaggio è significativo anche in chiave di allocazione del capitale: la richiesta non riguarda tecnologie esotiche, ma igiene informatica elementare — gestione delle patch, inventario degli asset, segmentazione delle reti, dismissione dei sistemi legacy.
Il nodo delle PMI
Se le grandi corporation dispongono di modelli avanzati e budget dedicati per irrobustire le proprie infrastrutture, la situazione è ben diversa per le piccole e medie imprese. È la valutazione di Chris Krebs, ex direttore della Cybersecurity and Infrastructure Security Agency (CISA) statunitense, intervenuto su CNBC.
Krebs ha invitato le realtà minori a scansionare “costantemente” i propri sistemi alla ricerca di vulnerabilità, applicare le patch nel minor tempo possibile oppure mettere offline i sistemi obsoleti non più aggiornabili.
«Questa è una settimana – o forse due – particolarmente significativa per la cybersecurity», ha dichiarato a “Squawk Box”. «Come ho già detto, il 3% di tutte le vulnerabilità critiche mai scoperte è stato individuato nell’ultimo mese».
Perché il tema interessa i mercati
Un’ondata di attacchi di questa portata ha ricadute dirette sui mercati finanziari. Gli episodi di cyber risk sistemico tendono storicamente a produrre tre effetti:
- Rotazione settoriale verso i titoli della cybersecurity: le società quotate specializzate in sicurezza informatica e cloud security beneficiano di attese di maggiore spesa IT da parte di aziende e governi.
- Pressione sui costi operativi: banche, assicurazioni, utility e retailer si trovano a dover anticipare investimenti in sicurezza non pianificati, con impatti sui margini di breve periodo.
- Riprezzamento del rischio assicurativo: il comparto delle cyber-insurance tende a rivedere premi e condizioni dopo eventi ad alta frequenza di sinistri.
Per gli investitori europei, il tema si intreccia inoltre con il quadro normativo: la direttiva NIS2 e il regolamento DORA per il settore finanziario impongono già obblighi stringenti di gestione del rischio informatico, notifica degli incidenti e controllo della catena di fornitura tecnologica. Episodi come “Black October” aumentano la probabilità di controlli più severi e di sanzioni per le realtà non conformi.
Cosa possono fare utenti e aziende, subito
Milinovich ha condiviso una lista di misure pratiche, valide tanto per i professionisti quanto per i privati:
- Attivare l’autenticazione a due fattori su “tutto”, senza eccezioni;
- Utilizzare un password manager affidabile, evitando credenziali riutilizzate;
- Installare un’applicazione di protezione dell’identità e monitoraggio dei data breach;
- Spostare i dispositivi smart su una rete separata rispetto a quella principale.
Il manager di Figma ha inoltre invitato a non restare spettatori: sperimentare in prima persona gli strumenti di intelligenza artificiale è oggi il modo più diretto per capire quanto siano diventati potenti. «Continuo a credere fermamente che l’AI sarà un beneficio netto per l’umanità, ma mi è più chiaro che mai che il rischio sociale e individuale è molto reale, e si sta materializzando ORA», ha affermato.
Un richiamo al fattore umano
Krebs ha chiuso il suo intervento con una raccomandazione spesso trascurata nelle analisi di rischio: dirigenti e dipendenti dovrebbero verificare le condizioni dei propri team di sicurezza. «Assicuratevi che stiano bene», ha detto. «Hanno avuto una settimana terribile». Il burnout degli addetti alla sicurezza è, a tutti gli effetti, una vulnerabilità operativa quanto un server non aggiornato.
