Tutte le aziende che si occupano di sicurezza IT affermano che la criminalità informatica è ormai ampiamente organizzata ed anche specializzata. L'hacker ostile che fa tutto da solo è un personaggio che va bene per le serie televisive, nella realtà un attacco contro una rete aziendale può richiedere la collaborazione di "esperti" in vari campi, i cui servizi sono consultabili e acquistabili sui siti e nei forum del cosiddetto dark web.

Recorded Future, azienda statunitense che si occupa di threat intelligence, ha provato a stimare quanto costi organizzare un attacco articolato. E, di conseguenza, quale possa essere il ritorno economico di una tipica operazione di criminalità informatica. L'esempio analizzato è quello di un attacco a largo spettro per conquistare le credenziali di home banking dei clienti di alcune banche e usarle poi per effettuare bonifici a proprio favore.

Nella ipotesi di Recorded Future l'attacco parte con la creazione di una botnet. Per questo servono innanzitutto un malware ad hoc (3-5 mila dollari di spesa) e la violazione dei siti web delle banche coinvolte (da 150 a 1.000 dollari ciascuna). Costa anche l'infrastruttura da mettere in piedi per l'avvio e il controllo della botnet: un server di comando e controllo in qualche nazione compiacente (150-200 dollari al mese), un servizio di "offuscamento" del malware perché resti nascosto agli antivirus (20-50 dollari per volta) e ovviamente una cospicua campagna di spam che distribuista il malware (qui i costi variano molto).

La "pubblicità" sul dark web del servizio di chiamata Sparta, un vecchio classico per la criminalità
Ottenute le credenziali bancarie del malcapitati clienti delle banche coinvolte, si passa a gestire i bonifici. Ormai tutti i servizi di home banking prevedono una qualche forma di conferma delle disposizioni, quindi può essere necessario effettuare chiamate telefoniche o presentare documenti d'identità. Per questo esistono appositi servizi di chiamata multilingua (10-15 dollari ciascuna) o per la creazione di documenti falsi in formato digitale (una ventina di dollari per documento).

Ovviamente poi il denaro rubato non può essere semplicemente bonificato ai criminali. Bisogna usare una rete di intermediari che faccia perdere le tracce dei bonifici e ricicli il denaro sporco. Tutto questo può anche costare il 50-70 percento del denaro effettivamente sottratto.