Cybercrime nei trasporti: AI e analisi dei dati contro le nuove frodi

Michał Pakulniewicz: Hai detto che controllare i documenti non è più sufficiente. Se un’azienda può apparire del tutto legittima, come fate a capire che qualcosa non torna?

Piotr Sobala, responsabile del team internazionale per la sicurezza, Trans.eu Group: Il cambiamento principale è che oggi guardiamo meno a ciò che un’azienda dichiara di essere e molto di più al modo in cui si comporta. Fino a pochi anni fa, la sicurezza si basava soprattutto sui controlli effettuati durante la registrazione: esaminavamo documenti, dati societari e storia operativa. Oggi questi elementi rappresentano soltanto il punto di partenza. Diventa molto più importante capire se il modo in cui un’azienda utilizza la piattaforma cambia improvvisamente e senza una spiegazione plausibile.

Quindi la piattaforma analizza l’attività degli utenti?

Sì, anche se è importante sottolineare che non valutiamo singole azioni isolate. Per chi gestisce una piattaforma esistono diversi segnali che possono indicare un comportamento anomalo. Prestiamo particolare attenzione quando almeno due di questi segnali compaiono contemporaneamente.

Significa che create un profilo del comportamento abituale di ogni azienda?

In un certo senso, sì. Ogni azienda utilizza la piattaforma in modo leggermente diverso. Dopo alcune settimane di attività, il suo modello abituale diventa abbastanza chiaro. Se da un giorno all’altro tutto cambia, è naturale chiedersi che cosa sia successo. Non presumiamo automaticamente che si tratti di una frode, ma riconosciamo che la situazione richiede un controllo più approfondito.

Che cosa succede a quel punto?

Se la nostra analisi indica un rischio elevato, avviamo una nuova procedura di autorizzazione. Contattiamo l’azienda e le chiediamo di confermare alcune informazioni o di presentare documenti aggiuntivi. Per un’impresa legittima, di solito si tratta di un passaggio semplice. Chi ha preso il controllo di un account o opera con un’identità falsa, invece, spesso non riesce a superare la verifica supplementare.

Capita che le aziende si rifiutino di collaborare?

Sì. Dall’introduzione di questa soluzione abbiamo sottoposto numerose aziende a una nuova verifica. Diverse decine non hanno risposto in alcun modo alle nostre richieste. Questo non significa automaticamente che fossero collegate a gruppi criminali. Tuttavia, tutte avevano precedentemente mostrato comportamenti insoliti, ritenuti abbastanza seri da giustificare ulteriori controlli. In una situazione del genere, il rifiuto di collaborare rappresenta a sua volta un segnale d’allarme importante.

La maggior parte dei casi emerge dalle segnalazioni dei clienti o dalle vostre analisi?

Questa è una delle trasformazioni più significative degli ultimi anni. In passato venivamo a conoscenza dei problemi soprattutto grazie alle segnalazioni dei clienti. Oggi i nostri strumenti e le nostre analisi individuano autonomamente circa il 55% dei casi, mentre gli utenti segnalano quelli restanti.

Questo ci dice due cose. La prima è che i sistemi di sicurezza stanno diventando più efficaci. Ogni nuovo caso ci aiuta a capire meglio il modo in cui operano i criminali e a riconoscere prima i loro schemi ricorrenti. La seconda è che vettori e spedizionieri sono molto più consapevoli dei rischi. Sempre più operatori riescono a individuare un comportamento sospetto e a segnalarlo prima che provochi perdite gravi.

Vuol dire che ora siete un passo avanti rispetto ai truffatori?

Non la descriverei così. Nel campo della cybersicurezza è facile lasciarsi prendere da un senso di fiducia eccessivo. Ogni nuova barriera spinge i criminali a cercare un altro punto di accesso. Non è una battaglia che si può vincere definitivamente, ma una corsa continua. Noi studiamo il loro modo di agire e loro imparano come reagiamo. È un processo che non si interrompe mai davvero.

Che cosa conta di più, oggi, in questa corsa?

La rapidità di reazione. Qualche anno fa spesso ci accorgevamo di un problema solo dopo che il furto era avvenuto. Oggi puntiamo a individuare la minaccia prima che si trasformi in un incidente. Se riusciamo a bloccare un’attività sospetta alcune ore prima, in molti casi possiamo evitare che l’evento si verifichi. Per questo investiamo così tanto nell’analisi dei dati e nell’automazione dei processi di sicurezza.

L’intelligenza artificiale rientra in questa strategia? Se ne parla sempre più spesso nel campo della cybersicurezza. Quale ruolo avrà nella protezione delle piattaforme per il trasporto?

È una naturale evoluzione per il settore. Per molti anni la maggior parte dei sistemi di sicurezza si è basata su regole predefinite. Quando conoscevamo uno schema utilizzato dai truffatori, potevamo predisporre un meccanismo per riconoscerlo. Il problema è che i criminali cambiano metodo molto rapidamente. Quando compare una nuova tecnica di attacco, le regole tradizionali possono non essere più sufficienti.

Non consideriamo l’intelligenza artificiale uno strumento destinato a sostituire gli analisti. Il suo compito è individuare correlazioni insolite tra molti segnali contemporaneamente. Le persone sono molto efficaci nell’esaminare i singoli casi. Un sistema, invece, può confrontare migliaia di eventi nello stesso momento e riconoscere uno schema che nessuno aveva ancora descritto. La differenza può essere decisiva.

Quindi, invece di cercare una forma specifica di frode, dovete individuare le anomalie nel comportamento degli utenti del marketplace?

Esattamente. Non sappiamo sempre quale forma avrà il prossimo attacco. Possiamo però accorgerci quando il comportamento di un determinato utente si allontana bruscamente da tutto ciò che era stato osservato in precedenza. Sono questi i casi che vogliamo individuare molto prima rispetto al passato.

Sembra una corsa agli armamenti tecnologica, oppure una sfida tra le agenzie antidoping e gli atleti che cercano di eludere i controlli.

È un paragone calzante. E, proprio come nello sport, spesso siamo soltanto mezzo passo dietro a chi cerca di barare. I criminali elaborano continuamente nuovi scenari; il nostro compito è riconoscerli il più rapidamente possibile e sviluppare difese efficaci.

Anche i criminali, del resto, stanno utilizzando nuove tecnologie. Stiamo già osservando campagne di phishing molto più curate rispetto a due anni fa. I siti falsi possono essere quasi indistinguibili da quelli autentici.

I messaggi sono scritti in un linguaggio impeccabile e diventano sempre più difficili da distinguere dalle comunicazioni legittime. Con lo sviluppo dell’intelligenza artificiale, queste campagne potrebbero risultare ancora più convincenti. Per questo anche i nostri strumenti devono evolversi con la stessa rapidità.

I marketplace del trasporto potranno mai essere completamente sicuri?

No. Credo che chiunque lavori nella cybersicurezza darebbe la stessa risposta. Non esiste un sistema che non possa essere aggirato. Possiamo soltanto innalzare continuamente il livello di protezione e ridurre i tempi di reazione. È questo l’aspetto più importante.

Nella nostra precedente conversazione, due anni fa, avevi detto che eravate un passo indietro rispetto ai criminali. Come descriveresti oggi la situazione?

Direi che il divario si è ridotto in modo significativo. Due anni fa spesso reagivamo soltanto dopo la comparsa di un nuovo metodo di attacco. Oggi riusciamo a individuare i cambiamenti molto prima e a rispondere con soluzioni adeguate. Se dovessi usare un paragone semplice, direi che non abbiamo più un passo di svantaggio. Forse ci separa soltanto un quarto di passo. Per noi è un miglioramento importante.

Sappiamo che questa corsa non finirà mai. Continuerà finché esisterà il cybercrimine.

Che cosa possono fare in prima persona vettori e spedizionieri?

Soprattutto, devono restare vigili. Può sembrare ovvio, ma nella pratica la fretta è una delle maggiori alleate dei criminali. Bisogna sempre controllare l’indirizzo del sito, verificare chi ha inviato il messaggio e chiedersi se la richiesta abbia davvero senso. Se qualcuno chiede all’improvviso di accedere di nuovo o cerca di spostare la conversazione fuori dalla piattaforma, è il momento di insospettirsi. Molti tentativi di truffa sono stati fermati semplicemente perché qualcuno ha posto una domanda in più al momento giusto.