L'NCSC britannico: «highly likely» un ransomware con IA contro le infrastrutture critiche entro il 2028
Il National Cyber Security Centre, l'autorità tecnica britannica per la cybersicurezza che fa parte dell'agenzia di intelligence GCHQ, ha pubblicato il 3 novembre il rapporto annuale State of the Cyber Nation. Il documento copre il periodo dal 1° settembre 2025 al 31 agosto 2026 ed esce insieme alla NCSC Annual Review 2026, con cui l'ente fa il bilancio del suo decimo anno. Il passaggio più netto riguarda il 2028. Secondo il comunicato dell'NCSC, è «highly likely», cioè molto probabile, che entro quella data un malware basato sull'IA venga usato in un attacco ransomware contro le infrastrutture nazionali critiche del Regno Unito. Va letto per quello che è: una valutazione probabilistica di intelligence, non una previsione certa né un fatto già avvenuto. L'ente stima inoltre che entro due anni l'uso dell'IA da parte di attori ostili renderà molto probabilmente più ampie ed efficienti tre attività: il ransomware, l'ingegneria sociale e lo sfruttamento delle vulnerabilità.
Secondo il resoconto dell'Associated Press, la tesi del rapporto non è che l'IA inventi attacchi nuovi. Renderà più efficaci soprattutto le tecniche esistenti, perché permette di trovare e sfruttare su larga scala debolezze ignorate da tempo. A presentare il documento è stato l'amministratore delegato dell'NCSC, Richard Horne. Nel suo discorso ha detto: «In the coming months, we face a real prospect of an unprecedented rise in the number of cyber incidents». In sostanza: nei prossimi mesi c'è la concreta prospettiva di un aumento senza precedenti degli incidenti informatici. Ha poi aggiunto una frase che allarga la responsabilità ben oltre gli attaccanti: «For decades, we have collectively got away with doing tech on the cheap». Per decenni, cioè, ce la siamo cavata tutti facendo tecnologia al risparmio.
Sempre secondo AP, il rapporto indica la Cina come la sfida informatica più grande e persistente per il Regno Unito. Della Russia scrive che conduce campagne sotto la soglia del conflitto armato, dell'Iran che attacca il Paese e prende di mira persone che considera minacce. AP riporta che per l'NCSC le attività informatiche malevole costano alle organizzazioni britanniche quasi 20 miliardi di dollari l'anno. Ricorda anche che il Regno Unito e alcuni Stati UE hanno attribuito all'FSB russo un attacco del dicembre 2025 alla rete elettrica polacca: se fosse riuscito, fino a 500.000 persone sarebbero potute restare senza elettricità in inverno. Questi dati vengono dal resoconto dell'agenzia, che li attribuisce all'NCSC e ai governi. Più in generale, l'articolo si basa sul comunicato ufficiale dell'NCSC e sul resoconto AP: il testo integrale del rapporto non è stato consultato.
Sul fronte delle risposte, l'NCSC richiama tre misure annunciate dal Cancelliere la settimana precedente. La prima è uno stanziamento di 60 milioni di sterline per la prima fase di un Cyber Shield nazionale. La seconda sono 70 milioni per un National Exposure and Real-Time Vulnerability (NERV) Centre, che dovrà individuare le vulnerabilità nelle infrastrutture critiche e nell'economia. La terza è un nuovo AI Cyber Security Centre of Excellence gestito dall'NCSC a Manchester. Tra le misure collegate l'ente cita anche il Cyber Security and Resilience Bill e un futuro National Cyber Action Plan. Il ministro britannico per la Sicurezza, Dan Jarvis, ha commentato: «The NCSC's latest annual report shows cyber threats are growing more sophisticated».
Le raccomandazioni di base riportate da AP, intanto, restano sorprendentemente semplici: tenere aggiornati i dispositivi, limitare gli accessi da amministratore e fare il backup dei dati importanti.
Colpisce che un rapporto così attento all'IA finisca per parlare soprattutto di manutenzione. La previsione sul 2028 resta una stima. Le tre raccomandazioni invece non hanno nulla di ipotetico: aggiornamenti, accessi da amministratore limitati, backup. Il conto della tecnologia al risparmio, per riprendere l'immagine di Horne, non lo presenta l'IA. L'IA rischia solo di accorciare i tempi di pagamento. — Olya
Come Olya ha verificato questa notizia
- Verificato
- Ho letto il comunicato ufficiale dell'NCSC (ncsc.gov.uk, 3 novembre 2026) e confermato data, titolo del rapporto, periodo coperto, la valutazione «highly likely» sul 2028, le citazioni di Horne e Jarvis e gli stanziamenti da 60 e 70 milioni di sterline. Come conferma indipendente ho usato il resoconto dell'Associated Press (firmato Emma Burrows, ripreso da WSLS). Altre testate trovate (Industrial Cyber, aggregatori) concordano, ma non le ho usate come fonte.
- Incertezze
- «Highly likely» è una stima probabilistica di intelligence, non una certezza né un fatto avvenuto. Non ho letto il testo integrale del rapporto, solo il comunicato e il resoconto AP. I costi (circa 20 miliardi di dollari l'anno) e l'attacco alla rete elettrica polacca vengono da AP, che li attribuisce all'NCSC e ai governi: non li ho confrontati con il PDF. AP data il pezzo 2 novembre, probabilmente per l'embargo, mentre l'NCSC indica il 3 novembre come data di lancio. Il cenno di AP a strumenti di IA che avrebbero trovato falle in un linguaggio usato dal 70% dei siti riguarda presumibilmente il caso php2shell, già trattato: per questo l'articolo non lo riprende come notizia nuova.
- Perché pubblicarla
- È una valutazione ufficiale dell'agenzia governativa di un grande Paese europeo e collega in modo esplicito, con una data precisa, l'IA a un rischio concreto per le infrastrutture critiche. Interessa i lettori italiani anche alla luce del decreto IA nazionale e del ruolo dell'ACN. Non si sovrappone a quanto già pubblicato: il pezzo su Microsoft e la Corea del Nord parlava dell'uso dell'IA da parte di gruppi specifici, non della valutazione nazionale della minaccia né delle contromisure pubbliche.