Durante lo svolgimento dell’evento Infosecurity Europe di quest’anno il tema dominante è stato l’Intelligenza Artificiale e la sua capacità di potenziare gli attacchi nel contesto cyber, sia per quanto concerne comuni criminali che per attori statali.
Paul Chichester, direttore delle operazioni al National Cyber Security Centre del Regno Unito, ha affermato che, nel corso dell’ultimo anno, è passato dall’essere scettico a considerare con grande attenzione l’importanza dell’AI per la cybersecurity.
Secondo Chichester, il mondo si trova ora in un momento di massima incertezza, che potrebbe essere la proverbiale calma prima della tempesta. Questo inquietante scenario è condiviso dal capo del MI6, Blaise Metreweli, secondo cui il Regno Unito è tra pace e guerra.
Il mondo è più pericoloso e conteso ora rispetto a decenni fa, e la maggiore accelerazione della connettività aumenta la potenza di eventuali operazioni offensive. Le variabili in campo sono molteplici e, proprio per questo motivo, fare previsioni non solo è difficile ma anche azzardato.
L’AI, poi, è una tecnologia che viene sviluppata a una velocità impressionante. Non solo: l’evoluzione sta già comportando una serie di cambiamenti che hanno impatto concreto a livello sociale.
La rapida evoluzione del cybercrimine
Gli Stati, dal canto loro, stanno integrando in modo sempre più massiccio operazioni cyber in svariati ambiti, con quello militare che appare il più esposto.
Chiari esempi di ciò sono scenari bellici in Ucraina, Siria e Medio Oriente. Per Chichester, la velocità con cui gli avversari dell’Occidente integrano nuove soluzioni è molto elevata.
In particolare, l’esperto ha indicato la Russia come una delle realtà con capacità evolutive più considerevoli.
Per rispondere alle minacce cyber, Chichester ha detto che è necessario un “Contrasto più aggressivo” a livello statale, come sostenuto dal ministro della sicurezza britannico Dan Jarvis, e costruire più resilienza, come esemplificato dal Cyber Security Resilience Bill.
Chichester sostiene che il governo del Regno Unito riconosce che deve fare di più in questo ambito, rafforzando il concetto con parole chiare “Adesso, più che mai, è il tempo di agire”.
A fare eco alle parole del direttore del NCSC è stato Stuart McKenzie, Managing director di Mandiant Consulting EMEA, parte di Google Cloud.
Durante il suo intervento, lo stesso si è soffermato sul lavoro di Mandiant rispetto alle linee da adottare in caso di incident response. McKenzie ha spiegato come i cybercriminali, nel corso dell’ultimo anno, si sono dimostrati capaci di attacchi più veloci e persistenti.
Tra chi opera in questo settore, vi è grande collaborazione e si stima che gli attori statali ostili siano, per capacità, solo 18 mesi di evoluzione in ritardo rispetto ai sistemi difensivi occidentali.
Secondo McKenzie, alcuni attori si dimostrano veloci, mentre altri prediligono lavorare sul dwell time, ovvero il tempo di permanenza nei sistemi attaccati. In generale, i cybercriminali stanno anche lavorando per minare le capacità di recupero di chi ha subito attacchi.
Intelligenza Artificiale, chatbot e LLM
In questa sfida tra le due parti, l’AI fa una grande differenza. L’esperto ha sottolineato come l’approccio rispetto a tale tecnologia è simile tra attaccanti e difensori: all’inizio del 2025, il focus era posto sui chatbot. Dalla metà dello scorso anno, i cybercriminali hanno invece virato verso gli LLM, integrando gli stessi nelle campagne.
Lo scorso ottobre, infine, è arrivato il punto di non ritorno. Gli attaccanti hanno iniziato a integrare l’AI direttamente nei loro ambienti operativi, con l’inizio del 2026 che ha visto il fiorire delle prime collaborazioni tra cybercriminali per individuare zero day. Nonostante una risposta solida da parte degli addetti ai lavori, appare ormai chiaro come l’AI sia un’arma estremamente potente che, a seconda del caso, può essere nelle mani di attaccanti o difensori.
McKenzie ha spiegato come la prospettiva di un esperto di cybersecurity rispetto alla propria rete sia completamente diversa da quella del malintenzionato dall’altra parte della barricata. Il primo è convinto di plasmare un ambiente con un’architettura sicura, con server protetti in modo adeguato. L’attaccante, dal canto suo, va invece a individuare le possibili crepe, forte della sua visione più realistica della rete.
Proprio per questo, McKenzie suggerisce di adottare l’emulazione avversariale o il red teaming, affinché chi deve difendere una rete, ne abbia una visione quanto più possibile oggettiva. Un ambito dove l’evoluzione procede a un ritmo forsennato, basta una minima disattenzione per causare danni enormi.
Le fondamenta della sicurezza non sono cambiate, sostiene il managing director, ma l’AI ha accelerato gli attacchi e, di conseguenza, ha reso più impellenti le risposte difensive.
L’evoluzione della criminalità informatica
Nel secondo giorno dell’evento, è intervenuto anche William Lyne, responsabile dei crimini economici e informatici presso la Metropolitan Police Service, offrendo un quadro di come la criminalità informatica si è trasformata e di come il suo ecosistema sia evoluto.
L’esperto ha chiarito come oggi vi sia meno compartimentazione della criminalità, e i malintenzionati si stiano impegnando in una gamma più ampia di attività. Lyne ha raccontato che quando è entrato nella UK National Crime Agency come investigatore in formazione 15 anni fa, il contesto era caratterizzato da categorie di soggetti ben distinti: hacktivisti, attori statali e gruppi ransomware altre sottocategorie. Questa suddivisione, di recente, è cambiata in modo radicale.
Le persone non sono coinvolte solo nell’ambito del crimine informatico, o in un altro tipo di reato online. Spesso, i soggetti sono implicati in più attività criminali, più o meno legate al contesto digitale.
Lyne ha detto che ora esiste un ecosistema avversariale informatico evoluto, con una commoditizzazione del crimine informatico negli ultimi anni. A dimostrare ciò vi sono diversi servizi MaaS (Malware-as-a- Service) sempre più diffusi nel dark web e non solo.
Criptovalute e cybercrimine
Un altro elemento da non sottovalutare è la prepotente entrata in scena delle criptovalute, che hanno reso il crimine informatico molto più redditizio.
Fino a pochi anni fa, monetizzare le attività illecite era un “enorme grattacapo” per i criminali informatici, ha detto Lyne. Riciclare dati rubati, così come avviene con i soldi, era una procedura complicata, spesso tracciabile, con una dispersione notevole di tempo e denaro. Oggi, con le criptovalute, è tutto molto più rapido e semplice. Non solo: l’utilizzo di Bitcoin e Monero permette scambi tra cybercriminali di valuta in modo molto più semplice rispetto al passato.
Nonostante tutto, le forze dell’ordine britanniche hanno ottenuto grandi risultati negli ultimi anni, afferma Lyne. Come Chichester, ha fatto appello alla collaborazione tra i servizi di sicurezza e le organizzazioni civili del settore privato: “La collaborazione è fondamentale per ognuna delle nostre indagini, con più organizzazioni, in tutto il Regno Unito e con partner locali e internazionali”.
