Banche sotto esame: il G7 simula l’attacco informatico del futuro

La verifica più importante sarà capire se banche, autorità e fornitori tecnologici riusciranno a mantenere operativi i servizi essenziali durante una crisi informatica. Le simulazioni del G7 dovranno far emergere ritardi, responsabilità poco chiare e dipendenze comuni prima che un attacco reale costringa gli operatori a decidere in pochi minuti.

L’obiettivo non si limita alla reazione iniziale. Le esercitazioni dovranno condurre alla revisione dei protocolli, alla definizione di procedure applicabili in più Paesi e alla valutazione della capacità di ripristinare sistemi e dati in condizioni di emergenza.

Anche l’Italia rafforza le proprie difese

La Banca d’Italia, con un richiamo diffuso il 17 luglio, ha chiesto a banche di dimensioni contenute, istituti di pagamento e altri intermediari vigilati di migliorare il controllo delle vulnerabilità e la continuità dei servizi. L’indicazione tiene conto anche della crescita degli strumenti basati su modelli avanzati di intelligenza artificiale.

Nel quadro italiano opera inoltre il regolamento europeo DORA, in vigore da gennaio 2025. La disciplina riguarda il rischio informatico degli operatori finanziari, la gestione degli incidenti, le prove di resilienza e i rapporti con i fornitori tecnologici. L’Associazione bancaria italiana richiama a sua volta l’importanza della formazione e dei sistemi antifrode: durante un’emergenza devono essere chiari il responsabile delle decisioni, le informazioni da condividere, l’attivazione dei piani alternativi e le modalità di comunicazione alla clientela.

La necessità di prepararsi non riguarda soltanto le strutture tecniche. Un intermediario può disporre di risorse finanziarie adeguate e non essere comunque in grado di eseguire pagamenti o garantire l’accesso ai propri servizi se un’infrastruttura informatica viene bloccata.

L’intelligenza artificiale amplia il rischio

I modelli di intelligenza artificiale possono esaminare programmi, scoprire falle e contribuire alla realizzazione di strumenti offensivi in tempi molto più rapidi. La stessa tecnologia può però sostenere la difesa, accelerando i controlli, l’individuazione delle anomalie e la correzione dei problemi.

Il pericolo maggiore riguarda la possibilità che un singolo difetto si propaghi su larga scala. Un programma utilizzato da più banche o un fornitore comune potrebbe esporre contemporaneamente numerosi intermediari, mentre l’automazione ridurrebbe lo spazio disponibile per l’intervento umano.

Un rapporto del Fondo monetario internazionale, pubblicato a giugno, ha evidenziato proprio questa combinazione tra ampiezza dell’impatto e velocità degli attacchi. La vulnerabilità può diventare sistemica quando operatori di Paesi diversi dipendono dalle stesse reti, dagli stessi programmi o da servizi informatici forniti da un soggetto esterno.

Il G7 prepara una prova condivisa

L’intesa è stata raggiunta il 15 ottobre a Bangkok, durante la riunione dei ministri delle Finanze e dei governatori delle banche centrali del G7, organizzata a margine degli incontri annuali del Fondo monetario internazionale e della Banca mondiale, in calendario dal 12 al 18 ottobre. Il gruppo ha scelto di concentrarsi su scenari di attacco informatico sostenuti da strumenti di intelligenza artificiale.

Satsuki Katayama ha spiegato che la preparazione degli esercizi spetterà alle autorità finanziarie, con la possibilità di coinvolgere anche istituti privati. Le modalità operative, il calendario e l’eventuale elenco dei partecipanti non sono ancora stati resi noti.

La presidenza francese ha riferito che il confronto ha riguardato sia le minacce associate ai modelli più avanzati sia il coordinamento tra i diversi Paesi. La decisione attua l’indirizzo indicato dai leader del G7 a giugno, quando era stato chiesto ai responsabili della finanza e agli specialisti di sicurezza informatica di intensificare lo scambio di informazioni e il lavoro comune.

Cosa dovranno misurare gli esercizi

Il formato previsto è quello delle simulazioni da tavolo. I partecipanti affronteranno un’emergenza costruita, dovranno scegliere come intervenire, distribuire i compiti e verificare se le procedure esistenti consentono di contenere l’incidente.

La prova dovrà misurare almeno tre passaggi: riconoscere rapidamente l’intrusione e diffondere le informazioni, isolare le componenti compromesse proteggendo le attività più delicate, quindi ripristinare i servizi attraverso copie affidabili, canali alternativi e decisioni coordinate.

Il Financial Stability Institute della Banca dei regolamenti internazionali distingue gli esami rivolti a una singola banca da quelli destinati a valutare l’effetto di una crisi sull’intero sistema. Il G7 punta soprattutto su questa seconda prospettiva, perché pagamenti, mercati e infrastrutture digitali mettono in collegamento istituzioni situate in Stati differenti.

Gli episodi mostrano il problema

Un caso recente è stato ricostruito da CrowdStrike il 7 ottobre. L’azienda ha analizzato una campagna contro organizzazioni finanziarie della Corea del Sud, sviluppatasi tra la fine di settembre e i primi giorni di ottobre, individuando infrastrutture riconducibili all’operazione.

Secondo l’indagine, gli aggressori avrebbero utilizzato ARTEX, uno strumento capace di automatizzare alcune verifiche offensive, insieme a modelli di intelligenza artificiale. La ricostruzione segnala anche la sottrazione di dati e l’impiego combinato di procedure automatiche e tecniche più tradizionali da parte di uno specifico gruppo.

Il Fondo monetario internazionale, nel rapporto sulla stabilità finanziaria pubblicato il 13 ottobre durante gli appuntamenti di Bangkok, ha inserito gli attacchi informatici tra gli eventi in grado di generare tensioni nei mercati. Un’interruzione prolungata può infatti rallentare i bonifici, impedire operazioni finanziarie e compromettere la fiducia degli utenti, anche senza puntare direttamente al furto di informazioni.

Le prove possono cambiare gli investimenti

L’esperienza europea offre un precedente. Nel 2024 la Banca centrale europea ha sottoposto 109 istituti a una valutazione della resilienza digitale, riservando un esame più approfondito a 28 banche. In un intervento del giugno 2026, Frank Elderson, vicepresidente del Consiglio di vigilanza, ha riferito che quasi tre quarti delle carenze individuate erano già state corrette.

Un’analisi della Banca dei regolamenti internazionali pubblicata a maggio ha inoltre stimato che, dopo l’annuncio di quella verifica, gli istituti inizialmente meno preparati avevano aumentato gli investimenti nella sicurezza informatica di circa l’80% rispetto agli altri. Il dato riguarda il caso europeo e non anticipa l’esito delle future esercitazioni del G7.

A maggio, la Banca d’Inghilterra e le autorità britanniche hanno chiesto agli operatori finanziari di intervenire sulla gestione delle falle, sulla sicurezza dei fornitori esterni e sulle capacità di risposta e recupero. La preparazione comprende anche la possibilità di ricostruire ambienti informatici affidabili dopo una compromissione profonda, così da assicurare la continuità dei pagamenti e delle infrastrutture di mercato.