L'intelligence straniera ora dietro a più di un terzo degli attacchi informatici tedeschi

Gli attacchi informatici in Germania sono sempre più opera di attori statali, non solo di bande criminali in cerca di guadagni. Nuovi dati mostrano che i servizi di intelligence stranieri sono stati collegati al 37% degli attacchi informatici attribuiti contro aziende tedesche nel 2026, un aumento di cinque volte rispetto al solo 7% del 2023. Questo cambiamento segna una trasformazione fondamentale in chi prende di mira le imprese tedesche e perché, spostando la conversazione dalla criminalità informatica opportunistica verso lo spionaggio organizzato e sostenuto dagli stati.

Il momento è importante. Questa impennata arriva mentre gli strumenti di intelligenza artificiale rendono più veloce ed economico per gli aggressori, siano essi criminali o sponsorizzati da stati, scansionare le vulnerabilità, automatizzare le campagne di phishing e ampliare i tentativi di intrusione. L'IA non sta creando una nuova categoria di minaccia, ma sta potenziando il volume e la velocità di quelle esistenti, consentendo a meno operatori di fare più danni su più bersagli contemporaneamente.

Uno stallo ransomware con poste in gioco di sicurezza nazionale

Il punto più visibile di questo trend coinvolge il gruppo ransomware Rhysida, che ha dichiarato di aver esfiltrato 5,79 terabyte di dati statali tedeschi da una violazione di rete avvenuta prima di un'elezione. Berlino ha rifiutato di pagare il riscatto richiesto, una decisione che sottolinea come i governi trattino sempre più gli incidenti ransomware che coinvolgono dati statali come questioni di sicurezza nazionale piuttosto che come semplice estorsione da risolvere in silenzio.

Questo rifiuto riecheggia un modello più ampio che si sta verificando a livello globale. Le organizzazioni che pagano i gruppi ransomware possono affrontare gravi rischi legali, in particolare quando gli aggressori sono legati a entità sanzionate o stati ostili. Come delineato nella nostra copertura su pagamenti ransomware e rischio sanzioni OFAC, sia le aziende che i governi sono sotto pressione crescente per evitare pagamenti che potrebbero inavvertitamente finanziare attori sanzionati, anche quando il costo immediato sono dati rubati sui server di un gruppo criminale.

La fusione delle tattiche ransomware criminali con obiettivi a livello statale, specialmente attorno a momenti politici sensibili come le elezioni, illustra perché l'attribuzione sia diventata così difficile e così importante. Le dichiarazioni pubbliche di un gruppo ransomware non raccontano sempre l'intera storia di chi ha ordinato l'operazione o perché.

Perché l'attribuzione sta diventando più difficile, non più facile

Uno dei filoni più preoccupanti nei dati sugli attacchi informatici tedeschi è che le aziende faticano semplicemente a confermare che le intrusioni siano avvenute e a identificare i responsabili. Questo non è unico alla Germania. Le operazioni informatiche legate agli stati sempre più spesso prendono in prestito tecniche dalle bande ransomware criminali, e i gruppi criminali a volte operano con l'approvazione tacita o le risorse di attori statali, sfumando il confine tra spionaggio e criminalità finanziariamente motivata.

Questo modello non è limitato alla Germania. Anche altrove le infrastrutture critiche hanno subito intrusioni simili legate a stati, come visto quando un attacco informatico legato all'Iran ha colpito i sistemi idrici in Minnesota, mostrando come attori adiacenti all'intelligence straniera siano disposti a prendere di mira infrastrutture ben oltre gli obiettivi di spionaggio tradizionali come gli appaltatori della difesa o i ministeri governativi. L'esperienza tedesca, con i servizi di intelligence stranieri ora coinvolti in oltre un terzo degli attacchi, si inserisce in questo trend più ampio di stati-nazione che normalizzano le operazioni informatiche contro aziende e sistemi pubblici allo stesso modo.

Anche i governi stanno rispondendo espandendo i propri poteri investigativi. La Corea del Sud ha recentemente mosso passi per consentire al proprio servizio di intelligence di indagare sugli hack aziendali sulla base del solo sospetto, un passo dettagliato nel nostro rapporto su la NIS sudcoreana che ottiene nuovi poteri investigativi. I numeri in aumento degli attacchi di intelligence straniera in Germania potrebbero provocare dibattiti simili a livello nazionale su quanta autorità i servizi di sicurezza debbano avere per indagare e attribuire violazioni legate a stati.

Cosa significa per te

Se lavori in un'azienda tedesca, o in qualsiasi organizzazione che gestisce dati sensibili connessi a infrastrutture critiche, elezioni o contratti governativi, questi dati sono un segnale per rivalutare il tuo modello di minaccia. I servizi di intelligence stranieri non si comportano necessariamente come le tipiche bande ransomware. I loro obiettivi possono includere la raccolta di dati a lungo termine, interruzioni temporizzate su eventi politici o il posizionamento per operazioni future piuttosto che un rapido pagamento.

Per i consumatori e i dipendenti comuni, la conclusione pratica è più modesta ma comunque importante. Gli attacchi accelerati dall'IA significano che le email di phishing, le pagine di login false e i tentativi di ingegneria sociale diventeranno probabilmente più convincenti e più frequenti. L'igiene di base, password uniche, autenticazione multifattoriale e scetticismo verso i prompt di login inattesi, conta più ora, non meno.

Punti chiave

Il balzo della Germania dal 7% al 37% negli attacchi informatici legati all'intelligence straniera in tre anni mostra che le minacce sponsorizzate dagli stati non sono più una preoccupazione di nicchia riservata ai settori della difesa e del governo. Le aziende di tutti i settori dovrebbero trattare le anomalie di rete inspiegabili come potenzialmente legate a stati finché non viene provato il contrario, investire in piani di risposta agli incidenti che tengano conto delle richieste di riscatto legate a dati sensibili e rimanere vigili contro phishing e tentativi di intrusione potenziati dall'IA. Il rifiuto di Berlino di pagare il riscatto di Rhysida riflette un cambiamento più ampio verso il trattamento di questi incidenti come minacce strategiche piuttosto che criminalità informatica di routine, una mentalità che ogni organizzazione che gestisce dati preziosi dovrebbe iniziare ad adottare anche lei.