La criminalità informatica viene spesso fraintesa come opera di hacker solitari che operano in modo isolato. In realtà, l'attività dei criminali informatici assomiglia di più a un ecosistema aziendale strutturato, con ruoli, catene di fornitura e persino aspettative di rendimento chiaramente definiti. Molte bande di criminali informatici operano con lo stesso livello di organizzazione delle imprese legittime, distribuendo le responsabilità tra funzioni specializzate per massimizzare l'efficienza, ridurre i rischi e scalare le operazioni.

Quali sono i diversi ruoli nella criminalità informatica?

La comprensione di questi ruoli è fondamentale per le organizzazioni che vogliono difendersi in modo efficace. Riconoscendo come sono strutturati questi gruppi, i difensori possono anticipare meglio i modelli di attacco, identificare i punti deboli nel ciclo di vita dei criminali informatici e interrompere l'attività prima che degeneri in un incidente su larga scala.

Reclutatori

I reclutatori sono responsabili del reperimento di talenti per le operazioni dei criminali informatici. Si tratta sia di individui tecnicamente qualificati che di partecipanti non tecnici in grado di supportare attività più ampie. Il reclutamento avviene spesso su forum clandestini, piattaforme di messaggistica criptate o anche canali tradizionali camuffati da opportunità di lavoro legittime.

Questi attori si rivolgono a dipendenti disillusi, liberi professionisti o individui in regioni con minori opportunità economiche. In alcuni casi, gli insider vengono deliberatamente reclutati per fornire accesso agli ambienti aziendali. Si tratta di una pratica particolarmente pericolosa, poiché gli attacchi condotti da insider eludono molti controlli di sicurezza tradizionali.

I reclutatori sono anche fondamentali per scalare le operazioni. Con la crescita dei gruppi di criminali informatici, aumenta la necessità di personale affidabile e i reclutatori assicurano una pipeline costante di collaboratori in grado di svolgere ruoli specifici all'interno dell'ecosistema.

Partner e affiliati

Molte operazioni di criminalità informatica, in particolare i gruppi di ransomware, operano secondo un modello di affiliazione. In questa struttura, un gruppo centrale sviluppa gli strumenti e l'infrastruttura, mentre gli affiliati sono responsabili dell'esecuzione degli attacchi.

Gli affiliati ottengono l'accesso a kit di ransomware, framework di exploit o piattaforme di phishing, in genere in cambio di una quota dei profitti. Questo modello abbassa la barriera d'accesso al crimine informatico, consentendo a persone meno esperte di portare a termine attacchi sofisticati.

L'ecosistema di affiliazione consente alle organizzazioni criminali di scalare rapidamente senza gestire direttamente ogni operazione. Inoltre, crea uno strato di separazione tra gli sviluppatori e gli aggressori, rendendo più difficile l'attribuzione e l'interruzione per le forze dell'ordine.

Specialisti tecnici

Gli specialisti tecnici costituiscono la spina dorsale delle operazioni dei criminali informatici. Questi individui progettano, sviluppano e mantengono gli strumenti utilizzati negli attacchi. Le loro competenze spaziano dallo sviluppo di malware alla creazione di exploit, dalla gestione delle infrastrutture alle tecniche di elusione.

Questo gruppo comprende:

• Sviluppatori di malware che creano ransomware, trojan e spyware.
• Sviluppatori di exploit che identificano e armano le vulnerabilità
• Ingegneri dell'infrastruttura che gestiscono server di comando e controllo
• Specialisti di aggiramento della sicurezza che si concentrano sull'elusione degli strumenti di rilevamento.

Gli specialisti tecnici spesso operano come fornitori di servizi nell'ambito dell'economia sommersa, vendendo o affittando i loro strumenti ad altri criminali. Questa mercificazione delle capacità della criminalità informatica ha accelerato in modo significativo il ritmo e la portata degli attacchi.

Riciclatori di denaro

Una volta ottenuti i fondi, in genere attraverso pagamenti di ransomware, frodi o furti di dati, questi devono essere riciclati per evitare di essere scoperti. I riciclatori di denaro svolgono un ruolo fondamentale nel convertire i guadagni illeciti in beni utilizzabili.

Questo processo spesso comporta:

• servizi di miscelazione di criptovalute per oscurare le tracce delle transazioni
• Conversione tra diverse valute digitali
• l'uso di conti "mulo" per spostare i fondi da una giurisdizione all'altra
• Integrazione nei sistemi finanziari legittimi attraverso società di comodo o imprese di facciata.

Senza un riciclaggio efficace, le operazioni dei criminali informatici farebbero fatica a monetizzare le loro attività. Per questo motivo, questi attori sono un elemento chiave dell'intero ecosistema.

Forum e mercati

I forum e i marketplace dei criminali informatici fungono da infrastruttura dell'economia sommersa. Queste piattaforme facilitano l'acquisto, la vendita e lo scambio di strumenti, dati e servizi.

Le offerte più comuni includono

• Credenziali e dati personali rubati
• Kit di malware e strumenti di exploit
• Accesso iniziale ai sistemi compromessi
• Tutorial e guida operativa

Questi marketplace forniscono anche sistemi di reputazione, servizi di deposito a garanzia e meccanismi di risoluzione delle controversie, che rispecchiano le piattaforme di e-commerce legittime. Questo livello di sofisticazione contribuisce a creare fiducia tra i criminali e a sostenere una collaborazione a lungo termine.

Personale di supporto

Il personale di supporto è spesso trascurato, ma è essenziale per mantenere l'efficienza operativa. In alcuni gruppi di ransomware, i team di supporto interagiscono anche direttamente con le vittime.

Le loro responsabilità possono includere

• Gestire le comunicazioni di negoziazione durante gli incidenti di ransomware.
• fornire "assistenza ai clienti" alle vittime che pagano i riscatti
• Mantenere la documentazione e i playbook operativi
• Gestione della logistica, come la gestione degli account e il provisioning degli accessi.

Questa professionalizzazione evidenzia come i gruppi di criminali informatici diano priorità all'esperienza dell'utente, anche nelle attività illecite, per massimizzare i tassi di successo dei pagamenti.

Operatori

Gli operatori sono responsabili dell'esecuzione degli attacchi a livello tecnico. Distribuiscono malware, sfruttano le vulnerabilità e si muovono lateralmente all'interno delle reti compromesse.

Le loro attività includono tipicamente

• Ottenere l'accesso iniziale tramite phishing, furto di credenziali o sfruttamento.
• scalare i privilegi all'interno dell'ambiente di destinazione
• Conduzione di ricognizioni per identificare risorse di valore.
• Distribuzione di payload come ransomware o strumenti di esfiltrazione dei dati.

Gli operatori richiedono una forte competenza tecnica e spesso seguono playbook strutturati sviluppati da specialisti tecnici o dalla leadership del gruppo.

Operatori

Pur essendo simili agli operatori, questi ultimi si concentrano generalmente su compiti specifici all'interno della catena di attacco, piuttosto che gestire l'intera esecuzione tecnica. Possono essere responsabili di singole fasi come campagne di phishing, social engineering o supporto all'accesso fisico.

Alcuni esempi sono:

• coordinatori di campagne di phishing che inviano attacchi via e-mail su larga scala
• ingegneri sociali che manipolano i dipendenti affinché rivelino le credenziali
• Broker di accesso iniziale che vendono punti di ingresso nelle reti
• Insider che forniscono accesso privilegiato o informazioni sensibili

Gli operatori consentono ai gruppi di criminali informatici di distribuire il rischio e specializzare i compiti, rendendo le operazioni più efficienti e difficili da individuare.

Come i gruppi di criminali informatici operano come aziende SaaS

Uno dei cambiamenti più importanti nella moderna criminalità informatica è il passaggio a modelli operativi che assomigliano molto alle aziende Software-as-a-Service (SaaS). Questa evoluzione ha cambiato radicalmente il modo in cui gli attacchi vengono portati, scalati e monetizzati.

Il fulcro di questo modello è il Cybercrime-as-a-Service (CaaS). Invece di richiedere a ogni attore una profonda competenza tecnica, i gruppi di criminali informatici confezionano i loro strumenti in offerte accessibili, basate su abbonamento. Il Ransomware-as-a-Service (RaaS) è l'esempio più evidente, in cui gli affiliati possono effettivamente "affittare" piattaforme di ransomware complete di dashboard, supporto e documentazione.

Queste piattaforme spesso includono

• Pannelli di controllo facili da usare per gestire le campagne
• Analisi integrate per monitorare i tassi di infezione e i pagamenti
• Aggiornamenti regolari e miglioramenti delle funzionalità
• Prezzi differenziati o modelli di condivisione degli utili
• Canali di assistenza clienti per gli affiliati

Questo rispecchia quasi esattamente le aziende SaaS legittime. Esistono processi di onboarding, guide all'uso e persino consigli per l'ottimizzazione delle prestazioni. Alcuni gruppi forniscono aspettative sul livello di servizio, garantendo il tempo di attività dell'infrastruttura e l'affidabilità degli strumenti.

Il modello SaaS consente anche una rapida scalabilità. Gli sviluppatori si concentrano sul miglioramento del prodotto, mentre gli affiliati si occupano della distribuzione. Questa separazione delle preoccupazioni consente agli ecosistemi di criminalità informatica di crescere rapidamente e di operare contemporaneamente in più aree geografiche.

Da un punto di vista difensivo, questo modello aumenta significativamente il rischio. Abbassa la barriera all'ingresso, il che significa che un maggior numero di attori può sferrare attacchi senza competenze avanzate. Inoltre, accelera l'innovazione, in quanto i gruppi concorrenti perfezionano continuamente le loro offerte per attirare più affiliati.

In effetti, la criminalità informatica ha adottato l'efficienza, la scalabilità e la mentalità incentrata sul cliente delle moderne aziende di software. Per questo motivo le organizzazioni si trovano ad affrontare attacchi più frequenti, più sofisticati e più coordinati che mai.

Perché questa struttura è importante per i difensori

La natura strutturata delle organizzazioni criminali informatiche implica che la difesa contro di esse richiede un approccio altrettanto coordinato. Ogni ruolo rappresenta un potenziale punto di rottura.

Ad esempio:

• interrompere i canali di reclutamento può limitare l'accesso alle minacce interne
• Monitorare i forum clandestini può fornire un avviso precoce di attacchi pianificati.
• colpire le infrastrutture utilizzate dagli specialisti tecnici può degradare le capacità
• Tracciare i flussi finanziari può svelare le reti di riciclaggio.

Le organizzazioni devono adottare una strategia di difesa a più livelli che tenga conto non solo dell'attacco in sé, ma anche del più ampio ecosistema che lo consente.

Come l'intelligenza artificiale sta cambiando il panorama del crimine informatico

L'intelligenza artificiale sta rapidamente rimodellando il crimine informatico, agendo come moltiplicatore di forze in quasi tutti i ruoli dell'ecosistema. Ciò che un tempo richiedeva tempo, coordinamento e profondità tecnica ora può essere automatizzato, perfezionato e scalato con un'efficienza di gran lunga superiore.

Per i reclutatori e gli operatori, l'intelligenza artificiale consente un social engineering altamente convincente. Le campagne di phishing sono ora personalizzate, consapevoli del contesto e prive degli errori che un tempo le rendevano facili da individuare. Anche la voce e il video deepfake vengono utilizzati per impersonare i dirigenti, aumentando il tasso di successo delle frodi e degli attacchi di compromissione delle e-mail aziendali.

Gli specialisti tecnici utilizzano l'IA per accelerare i cicli di sviluppo. Il malware può essere adattato più rapidamente per eludere il rilevamento, mentre gli strumenti assistiti dall'IA aiutano a identificare i punti deboli negli ambienti di destinazione e a ottimizzare i percorsi di attacco.

Gli operatori traggono vantaggio dall'automazione, con l'IA che supporta la ricognizione, la raccolta di credenziali e il movimento laterale. Ciò riduce l'impegno manuale e consente di eseguire attacchi su scala su più obiettivi contemporaneamente.

Inoltre, l'intelligenza artificiale abbassa la barriera all'ingresso. Gli attori meno esperti possono generare contenuti di phishing, script e flussi di lavoro di attacco con competenze minime.

Per i difensori, questo significa dover affrontare minacce più rapide, più mirate e più sofisticate, più difficili da rilevare con i metodi tradizionali.

Comprendendo i diversi ruoli all'interno delle bande di criminali informatici, le organizzazioni possono andare oltre le misure di sicurezza reattive e adottare una posizione più proattiva. Ciò include l'anticipazione del comportamento degli aggressori, l'identificazione dei primi indicatori di compromissione e l'interruzione delle operazioni prima che raggiungano fasi critiche.

In un panorama in cui i criminali informatici operano come le aziende, i difensori devono rispondere con lo stesso livello di struttura, intelligence e coordinamento.

Se siete preoccupati per le minacce informatiche o avete bisogno di aiuto per determinare le misure da adottare per proteggervi dalle minacce più concrete che incombono sulla vostra organizzazione, contattateciperscoprire come potete proteggere la vostra organizzazione.