Dal numero di dicembre 2024 di Fortune Italia: un professore a capo di una squadra di hacker etici cerca di anticipare le minacce per la cybersecurity e i pericoli della disinformazione. Nel suo ultimo lavoro, svela i segreti dei social.

Un italiano su quattro pensa che qualcuno prima o poi violerà i suoi dispositivi. A guardare quanto il numero degli attacchi sta crescendo nel nostro Paese – senza parlare dei dossieraggi – probabilmente è l’unico dei quattro ad avere ragione. E non consola il fatto che è possibile che gli hacker non abbiano neanche bisogno di entrare in un dispositivo: gli basterà analizzarne il traffico dati per sapere tutto di noi, come spiega Mauro Conti, full professor in Cybersecurity dell’Università di Padova, ma anche Fellow dell’Ieee, capo del nodo di Padova del Laboratorio di cybersicurezza nazionale e del gruppo di hacker etici Spritz, Security and Privacy Research Group.

Conti può spiegare con dovizia di particolari per quale motivo un hacker possa colpirci in modi che nemmeno immaginiamo (e prendere il controllo dei nostri dispositivi) perché, insieme al suo team, li sperimenta lui stesso.

Le aziende colpite da ransomware si trovano a dover affrontare blocchi produttivi e richieste di riscatto. Ma in un’epoca di tensioni geopolitiche è quasi la cosa migliore che possa succedere: molto peggio quando uno spione informatico di una nazione competitor si introduce non visto nei sistemi, copia i vostri prodotti e li riproduce dopo averne boicottato la produzione. Con il suo spinoff universitario Conti aiuta le aziende attaccate a difendersi o a ripartire dopo un attacco. “Portiamo sul mondo industriale quello che facciamo nel mondo della ricerca”, afferma, sottolineando l’importanza del trasferimento tecnologico tra università e aziende per migliorare la sicurezza delle infrastrutture critiche.

Ecco alcuni dei lavori del team di ricerca di Conti:

• Come manipolare l’opinione pubblica. Forse non è un caso che il 35% degli italiani ormai non si fidi più di internet. L’ultima ricerca di Conti, in attesa di revisione per la pubblicazione scientifica, dimostra che i social network effettuano azioni specifiche ed arbitrarie per bannare o dare una visibilità molto inferiore a determinati contenuti, indipendentemente dai normali algoritmi che governano la piattaforma. “Abbiamo notato, osservato e misurato che alcuni tipi di contenuti o di profili vengono nascosti. Questo chiaramente significa che il potenziale di manipolare l’opinione pubblica da parte dei social network è enorme”.
• Come ingannare le macchine. “Stiamo riempiendo le nostre vite di sistemi di intelligenza artificiale, ma questi sono assolutamente vulnerabili come i sistemi tradizionali e purtroppo anche di più”, dice Conti. Per questo servono, soprattutto alle aziende, sistemi AI integrati nell’infrastruttura IT dell’azienda e ‘robusti’ (non manipolabili). Il team di Conti qualche anno fa ha lavorato sui sistemi di traduzione automatica per scovare vulnerabilità che potrebbero rendere insicure tecnologie molto diffuse. In un paio di studi il gruppo di ricerca Spritz ha usato la tecnica Zero-Width, alterando la semantica delle frasi da tradurre con caratteri invisibili agli umani. Il risultato? Google Translate ha tradotto la frase “I wanna kill you” con l’italiano “Ti voglio bene”.
• Encrypted Traffic Analysis. “Osservare il traffico cifrato di uno smartphone ci permette di capire cosa sta facendo, senza entrare nel telefono”, spiega Conti, che in due ricerche ha dimostrato come sia possibile “inferire informazioni sensibili” senza violare direttamente i sistemi e senza conoscere la chiave di decriptazione per leggere i dati. Basta un accesso al traffico e si può capire se state inviando un messaggio, guardando un video, o quale comando abbiate dato a un sistema IT di livello industriale. Tranquilli, c’è anche il modo per capire cosa avete scritto in quel famoso messaggio: in un altro studio Conti ha dimostrato come basti ‘ascoltare’ ed elaborare con l’AI il suono della tastiera, o i pattern del mouse.

Mauro Conti
È professore ordinario all’Università di Padova dal 2018, dove guida il corso di studi in cybersecurity. Molto attivo nel campo della ricerca, i suoi lavori sono stati finanziati da borse di studio e da aziende, tra cui Cisco, Intel e Huawei. Ha pubblicato più di 500 articoli nelle più importanti riviste e conferenze internazionali sottoposte a peer-review ed è Fellow dell’Ieee, l’Institute of Electrical and Electronics Engineers, l’associazione internazionale di scienziati specializzati in tecnologia. Guida lo SPRITZ Security and Privacy Research Group e ha creato lo spinoff Spritz Matter.