Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Il malvertising sfrutta annunci pubblicitari apparentemente legittimi per diffondere malware, rubare credenziali e colpire gli utenti durante la navigazione. L'articolo analizza i rischi per siti web e aziende, le responsabilità penali dei gestori, gli obblighi di cybersicurezza previsti dalla normativa NIS2 e le misure di prevenzione.
Sappiamo bene che oggi si gioca tutto sulla velocità e quindi anche la pubblicità digitale si basa su sistemi automatici capaci di vendere e comprare spazi pubblicitari sui siti web in una frazione di secondo.
Vi sono, pertanto, annunci che,attraverso piattaforme tecnologiche interconnesse, compaiono sulle pagine dei quotidiani online e dei siti aziendali in modo del tutto automatizzato. A ben vedere, tuttavia, tale velocità finisce con il nascondere rilevanti vulnerabilità di sicurezza che possono essere utilizzate da criminali informatici per diffondere programmi dannosi su vasta scala. Si tratta di una pratica, nota come tecnica del malvertising, che si attua attraverso l’inserimento di un codice malevolo all’interno di annunci pubblicitari all’apparenza legittimi, trasformando gli spazi promozionali di siti affidabili in veri e propri strumenti d’attacco.
La caratteristica che desta grande preoccupazione è quella della invisibilità poiché in molti casi l’infezione del computer o dello smartphone avviene in modo impercettibile mediante il normale caricamento dell’annuncio pubblicitario sullo schermo, senza che l’utente debba cliccare sul banner o scaricare file in modo consapevole. Le vulnerabilità dei programmi di navigazione vengono sfruttate dal codice nascosto nell’annuncio per installare software spia, rubare credenziali o reindirizzare l’utente verso siti truffaldini. Si determina ,quindi, una situazione dove chi gestisce il sito web è inconsapevole di ospitare un contenuto pericoloso creato da soggetti terzi. Se la normativa europea e quella italiana stabiliscono che i gestori dei siti web non hanno un obbligo generale di controllare preventivamente tutto ciò che passa sui propri canali pubblicitari ,tuttavia, questa neutralità viene meno quando il gestore riceve una segnalazione precisa sulla presenza di un annuncio infetto e non si attivi subito per rimuoverlo, esponendosi a richieste di risarcimento danni da parte degli utenti colpiti.
Un dubbio che inevitabilmente sorge è quello relativo ad una responsabilità penale per il proprietario del sito o l’azienda che ha commissionato la pubblicità quando l’annuncio infetto colpisce i lettori. Per rispondere a questo dilemma occorre partire dal fatto che le violazioni commesse dai pirati informatici attraverso i banner integrano reati come l’accesso abusivo a un sistema informatico (Articolo 615-ter del Codice Penale), la diffusione di programmi diretti a danneggiare sistemi informatici (Articolo 635 quater 1 del Codice Penale) e la frode informatica (Articolo 640-ter del Codice Penale).
Orbene , per attribuire una responsabilità penale a titolo di concorso (Articolo 110 del Codice Penale) a chi si sia limitato ad ospitare l’annuncio, il codice richiede la consapevolezza e la volontà di partecipare al reato commesso. Se il gestore di un sito ignora la presenza del codice malevolo, mancando del tutto questa intenzione va esclusa alla radice qualsiasi responsabilità per dolo.
Poiché i reati informatici sono puniti solo se realizzati in forma dolosa, e non colposa, la disattenzione nell’esaminare gli annunci pubblicitari non costituisce reato.
Il discorso vale anche per la responsabilità amministrativa delle società (Decreto Legislativo 231 del 2001) in quanto la legge sanziona le aziende quando i reati informatici vengono commessi da dirigenti o dipendenti a vantaggio dell’organizzazione e no, come nel caso di specie dove l’annuncio illecito è interamente ideato ed eseguito da soggetti criminali esterni. Essendoci una totale assenza di complicità da parte del personale aziendale, non trovano applicazione le sanzioni nei confronti della società che ha subito l’infiltrazione.
Il fatto che il diritto penale escluda che il gestore del sito incolpevole possa subire incriminazioni dirette, non esclude una certa attenzione da parte sua, visto che con l’entrata in vigore del Decreto Legislativo 138 del 2024, in recepimento della Direttiva europea NIS2, le aziende che gestiscono piattaforme digitali e servizi di informazione sono tenute a rispettare obblighi precisi di prevenzione e gestione del rischio.
Sulla base delle nuove disposizioni (Articolo 23 del Decreto Legislativo 138 del 2024) la sicurezza informatica è un dovere diretto degli amministratori e dei vertici aziendali, i quali rispondono personalmente dell’adozione delle misure di protezione necessarie. Tanto i fornitori di annunci che i circuiti pubblicitari sono considerati a tutti gli effetti parte della catena di fornitura tecnologica dell’azienda. Ciò vuol dire che ignorare i rischi legati ai banner terzi costituisce una violazione degli obblighi sulla sicurezza aziendale. Ecco perché qualora si realizzino attacchi informatici significativi derivanti da annunci malevoli, le imprese sono tenute ad informare l’Agenzia per la Cybersicurezza Nazionale mediante una prima notifica entro 24 ore e un rapporto completo entro 72 ore (Articolo 25 del Decreto Legislativo 138 del 2024). L’omissione di controlli o la mancata segnalazione di incidenti può comportare sanzioni per diversi milioni di euro e la sospensione temporanea degli amministratori dalle funzioni dirigenziali (Articolo 38 del Decreto Legislativo 138 del 2024).
L’organizzazione va pertanto tutelata adottando un piano di protezione preventiva costruito su più livelli. Dal punto di vista tecnico necessitano filtri di sicurezza che impediscano agli annunci pubblicitari di modificare le pagine web o di scaricare file senza autorizzazione. Sul piano legale e contrattuale necessitano accordi rigorosi con i fornitori pubblicitari, dove siano inserite clausole di garanzia e di risarcimento in caso di danni causati da codice infetto. In questo contesto occorre anche pensare a procedure interne per la gestione rapida degli incidenti e verbalizzare le decisioni sulla sicurezza in sede di Consiglio di Amministrazione in modo da poter dimostrare che l’azienda è stata gestita in modo corretto e,quindi, tutelare i vertici da eventuali contestazioni personali.
Sono aperte le iscrizioni al corso in Live Class “AGENTIC AI CYBER OPERATIONS (AACO)”. La cybersecurity sta entrando nell'era degli AI Agent: sistemi capaci di ragionare, utilizzare strumenti, orchestrare attività e portare avanti operazioni complesse. Ma come funzionano davvero dal punto di vista tecnico? Con AACO, Red Hot Cyber porta i professionisti della cybersecurity a toccare con mano gli strumenti agentici, attraverso una Live Class in italiano con 15 ore di formazione, laboratori pratici e scenari reali. Agentic AI, Tool Calling, MCP, orchestrazione di agenti, OSINT, Threat Intelligence, vulnerability assessment e automazione delle operazioni di cybersecurity. Non un corso per imparare a usare un chatbot, ma un percorso per capire, costruire e governare sistemi agentici applicati alla sicurezza informatica.
Partenza: Sabato 7 novembre
Programma completo e iscrizioni: https://www.redhotcyber.com/linksSk2L/academy-agentic-ai
Per info: 379 163 8765 [email protected]