Cybercrime S.p.A.: la trasformazione dell’hacking in multinazionale del crimine

Non chiamateli più semplicemente hacker. L’era del genio informatico solitario che buca i sistemi dal buio della propria stanza è un ricordo sbiadito, un’immagine romantica soppiantata da una realtà ben più fredda e strutturata: quella della multinazionale del crimine digitale. Il cybercrime organizzato ha completato una metamorfosi radicale, adottando modelli di business scalabili, organigrammi aziendali e strategie di mercato che replicano, con agghiacciante precisione, quelli della Silicon Valley. L’obiettivo non è più la fama effimera nella comunità underground, ma il profitto su scala industriale e una stabilità operativa che farebbe invidia a molte aziende legittime.

L’industria 4.0 del crimine: il Ransomware-as-a-Service (RaaS)

Il paradigma perfetto di questa evoluzione è il Ransomware-as-a-Service (RaaS). Si tratta di un vero e proprio ecosistema commerciale criminale, dove sviluppatori d’élite creano e perfezionano ceppi di ransomware, mettendoli poi a disposizione di una rete di “affiliati” attraverso un modello di abbonamento o di compartecipazione ai profitti. È la criminalizzazione del Software-as-a-Service (SaaS).

In questo schema, lo sviluppatore del ransomware si occupa della ricerca e sviluppo, della manutenzione del codice malevolo, dell’infrastruttura di comando e controllo (C2), dei portali per il pagamento del riscatto e, spesso, del servizio di assistenza per le vittime su come acquistare criptovalute. L’affiliato, invece, è l’esecutore materiale: si occupa di individuare l’obiettivo, penetrare la rete aziendale, muoversi lateralmente per elevare i privilegi e, solo alla fine, innescare la crittografia dei dati. I profitti del riscatto vengono poi divisi secondo percentuali prestabilite, spesso con lo sviluppatore che trattiene il 20-30% e l’affiliato che incassa il resto.

Il rapporto “Ransomware Threat Landscape 2024” di SOCRadar ha mappato oltre 60 gruppi RaaS attivi, evidenziando come la competizione per accaparrarsi gli affiliati migliori sia feroce. Gruppi come LockBit, prima del suo smantellamento parziale da parte delle forze dell’ordine internazionali, operavano esattamente con questo modello, rilasciando persino comunicati stampa e aggiornamenti di versione del loro “prodotto” per attrarre nuovi “partner”. La relazione annuale 2024 dell’Agenzia dell’Unione Europea per la Cybersecurity (ENISA) conferma che il RaaS è ormai la principale minaccia ransomware, abbassando significativamente la barriera d’ingresso: un criminale senza particolari competenze tecniche può lanciare un attacco devastante semplicemente acquistando un “kit” già pronto e un accesso iniziale a una rete compromessa.

Il nuovo reparto marketing: i call center della truffa

Parallelamente alla sofisticazione tecnica, il cybercrime ha investito massicciamente nell’ingegneria sociale, industrializzandola attraverso la creazione di veri e propri call center criminali. Non si tratta più della singola telefonata truffaldina, ma di operazioni su larga scala orchestrate da strutture fisiche, spesso localizzate in paesi dove la repressione è più debole o la corruzione è endemica, con turni di lavoro, supervisori e script persuasivi dettagliati.

Questi centri sono il motore di fenomeni come le truffe del falso supporto tecnico e, in modo ben più pericoloso, le truffe “vishing” mirate. In questo scenario, un dipendente di un’azienda, già profilato attraverso dati rubati, riceve una telefonata da un operatore che parla la sua lingua fluentemente, si presenta come un tecnico IT interno e lo guida con precisione chirurgica a installare un software di accesso remoto, convinto di risolvere un problema inesistente. È la porta d’ingresso per un attacco ransomware che può paralizzare un’intera multinazionale.

Il fenomeno ha assunto contorni drammatici con l’esplosione dei cosiddetti “scam compound” nel Sud-Est asiatico, portati alla luce da inchieste delle Nazioni Unite e di organizzazioni investigative. L’Ufficio delle Nazioni Unite per i Diritti Umani ha stimato che centinaia di migliaia di persone, spesso vittime di traffico di esseri umani, siano costrette a lavorare in questi centri in Myanmar, Cambogia e Laos. Non sono semplici centralini, ma complessi fortificati dove le vittime sono obbligate a perpetrare frodi online, dal “pig butchering” (la truffa della macellazione del maiale) a complesse frodi sugli investimenti, generando un giro d’affari che l’UNODC stima in decine di miliardi di dollari l’anno. Questa è la tragica interfaccia umana della macchina del cybercrime.

L’automazione della frode: l’AI generativa come arma

Se i call center rappresentano la scalabilità umana, l’intelligenza artificiale generativa ne è il complemento tecnologico, in grado di potenziare e automatizzare l’inganno su una scala senza precedenti. La sua adozione da parte dei gruppi criminali non è una previsione futuribile, ma una realtà operativa consolidata nel 2024.

La funzione più immediata e dirompente dell’AI è la neutralizzazione del più grande indicatore di una truffa: gli errori grammaticali e sintattici. I modelli linguistici di grandi dimensioni (LLM), come quelli alla base di ChatGPT, sono in grado di generare e-mail di phishing in qualsiasi lingua, stilisticamente perfette, altamente personalizzate e contestualizzate, rendendo estremamente difficile anche per un utente addestrato distinguere una comunicazione autentica da una fraudolenta.

Più inquietante è l’uso dell’AI per il deepfake audio e video. L’FBI, in un avviso pubblico della sua Internet Crime Complaint Center (IC3), ha messo in guardia sull’aumento esponenziale di truffe che utilizzano la clonazione vocale. Pochi secondi di audio, prelevati dai social media, sono sufficienti per far dire a un “CEO” o a un “familiare” qualsiasi cosa, ordinarndo un bonifico urgente o chiedendo un riscatto per un finto rapimento. Il caso, riportato ampiamente dalla stampa internazionale, di un funzionario finanziario di una multinazionale di Hong Kong, ingannato nel febbraio 2024 a trasferire 25 milioni di dollari dopo aver partecipato a una videochiamata con il “direttore finanziario” e altri “colleghi”, tutti deepfake, non è più un’eccezione, ma un lucido monito del livello di sofisticazione raggiunto.

Non solo. L’AI viene utilizzata per scrivere codice malevolo polimorfico, capace di mutare per eludere gli antivirus, per analizzare enormi dataset di informazioni rubate al fine di selezionare gli obiettivi più redditizi e per automatizzare le fasi di ricognizione preliminare a un attacco.

La convergenza perfetta: quando gli hacker incontrano le mafie

Il vertice di questa evoluzione è la saldatura, sempre più documentata, tra le competenze tecniche dei gruppi di cybercrime e il potere logistico, finanziario e intimidatorio delle organizzazioni mafiose tradizionali. È un matrimonio di convenienza che crea un’entità criminale ibrida di eccezionale pericolosità.

Le mafie, come ‘Ndrangheta e Camorra in Italia, non sono nate digitali, ma hanno da tempo compreso il potenziale del cyberspazio. Dispongono di due asset fondamentali di cui i cybercriminali hanno un disperato bisogno: enormi capitali da riciclare e un controllo capillare del territorio per operazioni di “money muling” e riciclaggio fisico del denaro. D’altro canto, forniscono ai gruppi hacker un accesso a un network logistico per importare dispositivi, alloggiare latitanti e, cosa più importante, la capacità di esercitare pressione e riscuotere crediti con la violenza, anche nel mondo reale, nel caso di mancati pagamenti di riscatti.

La relazione annuale della Direzione Investigativa Antimafia (DIA) italiana, relativa al 2023 e presentata in Parlamento, ha dedicato ampio spazio a questo fenomeno. L’analisi della DIA evidenzia come le organizzazioni mafiose non si limitino più a clonare carte di credito o a compiere frodi fiscali online, ma stiano investendo in prima persona nel mercato del ransomware e nelle criptovalute. Non operano più solo come “clienti” che acquistano un servizio, ma come veri e propri soci, finanziatori e facilitatori.

Un nuovo sistema criminale integrato

Le investigazioni della Polizia Postale italiana, culminate in diverse operazioni, hanno smantellato network dove pregiudicati per reati associativi di stampo mafioso gestivano, in collaborazione con giovani hacker, piattaforme di phishing e riciclaggio di criptovalute. La frontiera più avanzata e preoccupante è l’utilizzo, da parte delle mafie, dei proventi del cybercrime per infiltrarsi nell’economia legale: l’acquisto di criptovalute con i riscatti, il loro “mixing” per offuscarne la traccia, e la successiva conversione in denaro fiat da reinvestire in immobili, ristoranti e attività commerciali, alterando il principio di libera concorrenza e inquinando il tessuto economico sano.

Siamo di fronte a un sistema criminale integrato, fluido e incredibilmente resiliente, dove il confine tra l’hacker nel cyberspazio, il mafioso sul territorio e il broker finanziario internazionale è completamente dissolto. Comprendere questa convergenza è il primo, indispensabile passo per provare a contrastare una minaccia che ha ormai la forma, la forza e l’organizzazione di una potenza economica globale e ombra.