I musei dovrebbero iniziare a preoccuparsi degli attacchi informatici (non solo dei furti di opere)
Oggi i rischi che corrono i musei sono in aumento. Perché, oltre ai furti tradizionali, ci sono i cyber attacchi che possono colpire i poli culturali o le piattaforme che ne gestiscono i servizi, generando con un click danni da milioni di euro...
Un tempo l’unico modo per derubare un museo era prendersi il disturbo di entrarci. Servivano una scala, una notte senza luna e un certo coraggio. Oggi, oltre a questa possibilità (ancora in auge, come abbiamo purtroppo visto al Louvre e poi a Messina) esiste la possibilità di cyber attacchi e il colpo si può fare anche da remoto, basta una tastiera, e il ladro non ha più bisogno di portarsi via il quadro. Gli basta spegnere la cassa.
È una cassa di tutto rispetto. Nel 2024 il Parco archeologico del Colosseo ha staccato biglietti per quasi 102 milioni di euro a 14,7 milioni di visitatori. Fanno, in media, circa 280 mila euro al giorno. Gli Uffizi ne hanno incassati 62, Pompei 55. I musei statali, tutti insieme, 382. Sono cifre da media industria. Con una differenza: il museo ha un custode per ogni sala e, di solito, nessuno per il server.
Perché quel denaro non passa più da uno sportello. Passa da un server. Il biglietto si prenota in rete, lasciando dati personali e, spesso, quelli di pagamento. Se il server si ferma, il monumento resta dov’è da duemila anni, ma al tornello non passa più nessuno.
Il ricatto del tornello: i nuovi cyber attacchi che minacciano i musei
Non è fantascienza. Lo scorso febbraio, agli Uffizi, qualcuno è entrato da un servizio secondario del sito, quello per scaricare le fotografie. Ha compromesso una ventina di macchine e ha chiesto 300 mila euro al direttore. In Francia, nell’estate del 2024, un attacco a un sistema comune ha bloccato i negozi di una quarantina di musei. E secondo il Clusit gli attacchi gravi in Italia sono cresciuti in un anno del 42 per cento. I ladri, come si vede, si aggiornano.
Le strategie per proteggere la cassa, specialmente dai cyber attacchi
Di tutto questo si parla, quando se ne parla, pensando ai quadri. Io penso alla cassa, e ai due che ci tengono sopra le mani. Il primo è il museo. Specie nei grandi musei autonomi, l’incasso dei biglietti è il pane quotidiano. Se il botteghino si spegne, il grosso della perdita è del museo. Il gestore della biglietteria, che spesso è una società privata scelta con una gara, ci rimette soltanto la sua percentuale.
I rischi delle piattaforme digital service (e ticketing) per i musei
Ma il gestore ha un altro guaio, e più grosso. Non serve un museo solo: ne serve decine, e i più grandi lavorano in mezzo mondo, fra musei, stadi e parchi di divertimento. Tutti appesi alla stessa piattaforma. Se qualcuno colpisce quella, non si spegne un botteghino: si spengono tutti insieme. Allora la piccola percentuale va moltiplicata per tutti i clienti, e ci si aggiungono i dati di milioni di visitatori e la fiducia di chi gli ha affidato la cassa. Il meccanismo è quello già visto in Francia: un solo sistema, quaranta musei.
Il museo rischia l’incasso. Il gestore, se gli va male, rischia l’azienda. Hanno dunque tutti e due qualcosa da perdere, anche se non la stessa cosa. E non sempre lo sanno.
Le polizze assicurative pensate per tutelare i musei dai cyber attacchi
Eppure, esistono coperture assicurative pensate proprio per questo. Non sono tutte uguali. La polizza tradizionale è quella che arriva dopo, a contare i danni, come il medico che si presenta al funerale con la ricetta in mano. Paga, e va bene. Ma intanto il botteghino è rimasto chiuso e i dati sono in giro per il mondo.
Ce n’è però un altro genere, che non si limita ad arrivare dopo. Accompagna prima, durante e dopo. Prima, cerca i punti deboli e li rinforza: mette una “sentinella” su ogni macchina, dal computer della cassa al server, fino al telefono di servizio. Se l’intruso entra, lo riconosce, lo isola e, in caso di manomissione è in grado di ripristinare i file. A qualunque mette a disposizione una squadra di esperti che sa già dove mettere le mani. Poi, in caso, paga i danni, come tutte le altre, con la fondata speranza che siano più piccoli. E segue il gestore anche all’estero, dove ormai si gioca buona parte della partita.
Attenzione, però: questi servizi di cyber security non sono omaggio. Li paga il cliente, e funzionano solo a una condizione: il sistema deve essere sempre acceso, perché: se lo si spegne, la polizza tace. Data la validità del sistema, l’assicuratore, che ha meno da temere, può applicare condizioni più favorevoli, anche in termini di premio, grazie alla riduzione del rischio. È un patto severo, ma che a me pare giusto: nessun assicuratore serio paga chi lascia la porta aperta. Non rende invulnerabili: nessuno lo è, e chi lo promette vende un’altra cosa. Ma tra chi viene colpito con la porta chiusa e chi con la porta spalancata corre la stessa differenza che c’è tra una disgrazia e un’imprudenza.
L’importanza di una copertura per il mancato incasso
So di che cosa parlo, perché questa parte l’ho già recitata. Prima del 2020 suggerii proprio ai gestori delle biglietterie una copertura per il mancato incasso derivante da qualunque evento. Per qualunque evento, pandemie comprese: una possibilità che allora sembrava appartenere soltanto ai libri di storia. Non fecero in tempo. Arrivò prima il Covid, e i botteghini rimasero chiusi per mesi.
Non lo racconto per il gusto di aver avuto ragione. Aver ragione troppo presto, in questo mestiere, equivale ad aver torto. Lo racconto perché la scena si sta ripetendo, con gli stessi attori. Allora il virus era biologico, e lo annunciarono i telegiornali. Il prossimo potrebbe essere informatico, e non avviserà nessuno.
In Italia il lucchetto si compra, da sempre, il giorno dopo il furto. Stavolta, almeno, nessuno potrà dire che non glielo avevano detto.
Massimo Maggio
Scopri di più sugli attacchi gravi in Italia
Artribune è anche su Whatsapp. È sufficiente cliccare qui per iscriversi al canale ed essere sempre aggiornati
