La criminalità informatica resta difficile da contenere non solo perché gli aggressori continuano a perfezionare i propri metodi, ma anche perché le organizzazioni che vi rispondono spesso non dispongono di un coordinamento efficace. Gli attori delle minacce possono operare in più Paesi, attraverso diversi fornitori di infrastrutture e marketplace criminali, consentendo loro di cambiare tattiche e trasferire le proprie operazioni quando gli investigatori iniziano a stringere il cerchio.
Al contrario, le forze dell’ordine operano generalmente all’interno di giurisdizioni nazionali e seguono procedure che possono limitare la rapidità con cui le informazioni vengono condivise. Gli investigatori potrebbero dover coordinarsi con diverse agenzie, ottenere autorizzazioni legali e confrontarsi con norme differenti in materia di prove, privacy e accesso oltre confine. Queste garanzie sono importanti, ma possono creare ritardi che gli aggressori riescono a sfruttare.
Una risposta frammentata
La sfida non riguarda soltanto le agenzie governative. I casi di criminalità informatica coinvolgono spesso provider di servizi Internet, piattaforme cloud, exchange di criptovalute, aziende di sicurezza e organizzazioni prese di mira. Ognuno di questi soggetti può custodire solo una parte delle prove necessarie per identificare un’operazione o collegare incidenti distinti. In assenza di canali tempestivi e affidabili per lo scambio di tali informazioni, gli investigatori possono avere difficoltà a ricostruire un quadro completo.
I gruppi criminali traggono vantaggio anche dalla specializzazione. Un gruppo può sviluppare il malware, un altro ottenere l’accesso alle reti e un terzo occuparsi dell’estorsione o della vendita dei dati rubati. Questa divisione dei compiti può rendere un’operazione più resiliente e complicare gli sforzi per attribuire l’attività a una persona o a un’organizzazione specifica.
Colmare il divario
Migliorare la cooperazione è quindi un elemento centrale per ridurre il vantaggio di cui godono gli attori delle minacce. Tra le priorità rientrano meccanismi più rapidi per la condivisione di informazioni utili all’azione, procedure più chiare per le indagini transfrontaliere e partnership più solide tra enti pubblici e settore privato. Le operazioni congiunte possono inoltre contribuire a collegare attacchi apparentemente non correlati e a interrompere i servizi che sostengono le attività criminali.
Il coordinamento, da solo, non eliminerà la criminalità informatica. Gli aggressori possono adattarsi rapidamente e le indagini devono trovare un equilibrio tra velocità, rispetto del giusto processo e protezione delle informazioni sensibili. Tuttavia, una risposta più unitaria potrebbe ridurre il tempo a disposizione dei criminali per sfruttare i confini giurisdizionali e rendere più difficile operare impunemente.