Cybercrime-as-a-service: la nuova frontiera della criminalità digitale

Il Cybercrime-as-a-Service permette anche a criminali senza competenze tecniche di lanciare attacchi informatici. Vediamo come funziona e come proteggersi.

L’industria digitale si è spostata da tempo verso la vendita di servizi in abbonamento: non si acquista più una licenza software una tantum, ma un accesso mensile o annuale. Lo stesso modello che ha conquistato le aziende legittime ha però messo radici anche nei meandri del dark web, dove collettivi di criminali affittano i propri servizi a chi non possiede le competenze per condurre un attacco da solo.

È il fenomeno del Cybercrime-as-a-Service (CaaS): il crimine informatico confezionato come un prodotto commerciale, con listini, assistenza clienti e persino recensioni. In questa guida vediamo cos’è, quali servizi comprende, perché ha abbassato drasticamente la barriera d’ingresso al crimine informatico e come le aziende possono difendersi.

1. Cos’è il Cybercrime-as-a-Service
2. Le principali tipologie di servizi criminali
3. L’hacker a noleggio e il rischio per chi lo cerca
4. Perché il CaaS riguarda le aziende
5. Come difendersi dal Cybercrime-as-a-Service

Cos’è il Cybercrime-as-a-Service

Messo in luce per la prima volta dall’Europol nel dicembre 2020, il Cybercrime-as-a-Service è l’evoluzione diretta di modelli già noti come il malware-as-a-service e il ransomware-as-a-service. La differenza è sostanziale: se in quei modelli il prodotto in vendita è un software malevolo, con il CaaS è l’intero collettivo criminale, o il singolo professionista, a mettersi a disposizione per commettere l’illecito.

È il caso di chi si chiede dove trovare un hacker a pagamento: l’offerta esiste, ma ricorrervi significa quasi sempre subire una truffa o commettere un reato. Il fenomeno, secondo le indagini di Europol e degli esperti di sicurezza, è cresciuto in modo esplosivo dopo la pandemia, quando l’aumento delle attività online ha reso il crimine informatico ancora più remunerativo — attirando anche soggetti privi di competenze tecniche, interessati solo al guadagno rapido.

La struttura del mercato ricalca quella di un’azienda vera. Al vertice ci sono gli specialisti, che sviluppano exploit kit, ransomware e reti botnet da rivendere; accanto a loro operano figure con compiti di “marketing”, che commercializzano i prodotti e attirano nuovi clienti — spesso utenti comuni, non necessariamente criminali esperti. Il risultato è un ecosistema che da un lato ingrossa le fila delle cybergang affermate, dall’altro spalanca le porte del crimine informatico ai meno esperti.

Le principali tipologie di servizi criminali

Il Cybercrime-as-a-Service comprende un’ampia gamma di servizi, ciascuno con il proprio listino. I più diffusi e remunerativi sono quattro.

Il phishing resta la metodologia più usata per colpire aziende e privati. Un esperto conduce vere campagne di ingegneria sociale studiate sul bersaglio, ma chi non ha competenze può affidarsi a kit preconfezionati venduti sul dark web per pochi dollari, o addirittura a piattaforme dedicate in cui basta indicare il bersaglio perché il sistema avvii automaticamente campagne aggressive.

I kit exploit sono pacchetti che individuano e sfruttano automaticamente le vulnerabilità di un sistema bersaglio, venduti in abbonamento. Colpiscono soprattutto piattaforme web che utilizzano tecnologie obsolete e non aggiornate — a conferma di quanto il mancato aggiornamento dei sistemi resti una delle porte d’ingresso preferite dagli attaccanti.

Gli attacchi DDoS, che saturano un server o un servizio fino a bloccarlo, un tempo richiedevano la costruzione di botnet dedicate. Oggi esistono servizi on demand che eseguono l’attacco in pochi passaggi, a prezzi irrisori, accessibili anche a chi non ha alcuna conoscenza tecnica. Infine il ransomware-as-a-service, il servizio prediletto per gli attacchi a doppia estorsione: il criminale sottoscrive un abbonamento per usare un ransomware efficace senza doverlo sviluppare, versando ai creatori un canone e una percentuale sul riscatto. Esempi noti di questo modello includono famiglie come Rhysida e BlackBasta.

L’hacker a noleggio e il rischio per chi lo cerca

Il volto più insidioso del CaaS è quello del singolo criminale che offre i propri servizi su commissione. È l'”hacker a noleggio” che promette di violare un profilo, recuperare un account, colpire un concorrente. Ma chi cerca questi servizi corre un doppio rischio, e il primo è farsi truffare: il mercato è pieno di finti hacker che incassano l’anticipo e spariscono, o che chiedono pagamenti successivi per “sbloccare” un lavoro che non esiste. E chi viene raggirato non può denunciare, perché denuncerebbe il mancato completamento di un reato.

Il secondo rischio è penale. Commissionare una violazione è un illecito: chi ordina risponde insieme a chi esegue, e l’accesso abusivo a un sistema informatico è punito dal codice penale. Chi affida un incarico criminale, inoltre, consegna al criminale stesso le prove di ciò che ha commissionato — un dettaglio che, non di rado, si trasforma in ricatto verso il committente. Il tema è approfondito nell’analisi su dove trovare un hacker e sulle conseguenze legali di chi ci prova.

Perché il CaaS riguarda le aziende

L’aspetto più preoccupante del Cybercrime-as-a-Service, dal punto di vista aziendale, è proprio l’abbattimento della barriera d’ingresso. Un tempo un attacco sofisticato richiedeva competenze rare; oggi chiunque abbia un movente e poche decine di euro può commissionarlo. Questo moltiplica il numero di potenziali attaccanti: non più solo gruppi organizzati, ma anche concorrenti sleali, ex dipendenti rancorosi, singoli con un obiettivo personale.

Per un’azienda questo significa che la superficie di rischio si è ampliata, e che la difesa non può più basarsi sull’idea che “nessuno avrebbe le capacità di colpirci”. Le capacità ora si comprano. Ciò che fa la differenza non è più quanto è raro l’attaccante, ma quanto sono solide le vostre difese di fronte ad attacchi ormai standardizzati e a buon mercato — gli stessi kit di phishing, gli stessi exploit per vulnerabilità note, gli stessi ransomware in abbonamento che colpiscono migliaia di bersagli con lo stesso schema.

Come difendersi dal Cybercrime-as-a-Service

La buona notizia è che, essendo il CaaS basato su strumenti standardizzati e su vulnerabilità note, le difese efficaci sono altrettanto consolidate. La stragrande maggioranza di questi attacchi sfrutta falle già conosciute e non corrette, credenziali deboli ed errori umani — esattamente i punti su cui un’azienda può intervenire in modo concreto. Aggiornamento costante dei sistemi, autenticazione a più fattori, formazione del personale contro il phishing e verifica periodica delle vulnerabilità coprono la parte più ampia del rischio.

Il primo passo è sapere dove si è esposti. Un vulnerability assessment individua le falle note che gli exploit kit del mercato CaaS cercano automaticamente, e ve le restituisce in ordine di priorità — chiudendo le porte prima che qualcuno, anche senza competenze, provi ad aprirle con uno strumento comprato online.

Poiché una quota enorme di questi attacchi passa dalle persone — un’e-mail di phishing aperta, un allegato eseguito, una credenziale consegnata senza sospetto — la seconda linea di difesa è la consapevolezza di chi lavora ogni giorno sui sistemi aziendali.

In conclusione

Il Cybercrime-as-a-Service ha trasformato il crimine informatico in un mercato di servizi accessibile e industrializzato, ampliando sia il numero degli attaccanti sia quello dei potenziali bersagli. Ma proprio perché si fonda su strumenti standardizzati e su vulnerabilità note, è un fenomeno da cui ci si difende con misure altrettanto note e collaudate: aggiornare, verificare, formare. La minaccia si è democratizzata, ma anche la difesa resta alla portata di ogni azienda che decida di prendersela sul serio.