Gli investitori devono riconsiderare la cybersecurity dopo gli attacchi hacker?

- Gli ETF sulla cybersecurity guadagnano in media il 10% da inizio anno.

Gli hacker hanno di nuovo preso di mira l’Italia e altri Paesi nei giorni scorsi ed è tornato in primo piano il tema della sicurezza informatica.

In effetti, le statistiche degli ultimi anni sono allarmanti. Secondo il rapporto Clusit 2022 dell’associazione italiana per la sicurezza informatica, pubblicato a novembre 2022, nei primi sei mesi dell’anno scorso ci sono stati 1.141 attacchi cyber gravi in tutto il mondo, in crescita dell’8,4% rispetto allo stesso periodo dell’anno precedente. Il picco si è registrato a marzo 2022 (225 attacchi), ma la media è di 190 eventi al mese.

Europa bersaglio degli hacker

Le vittime sono basate soprattutto in Europa (26% degli attacchi totali), regione in cui l’invasione russa in Ucraina ha accresciuto i rischi, secondo i ricercatori di Clusit. Infatti, il primo semestre 2022 ha visto un’impennata del 414% delle attività degli hacker (hacktivism) e del 119% di quelle relative alla cosiddetta guerra dell’informazione (information warfare), rispetto allo stesso periodo del 2021. Sono aumentati del 62% anche gli eventi di spionaggio.

Dopo il picco del 2021, sono invece diminuiti del 3,4% i crimini informatici, che però rimangono i più diffusi a livello globale e rappresentano il 78,4% degli attacchi totali.

Gli hacker tendono a colpire sempre più in modo indifferenziato industrie grandi e piccole, governi, strutture sanitarie, società finanziarie, reti di telecomunicazione e servizi di pubblica utilità.

Sicurezza informatica e intelligenza artificiale

I ricercatori di Morningstar Sustainalytics hanno inserito il tema della sicurezza informatica tra i dieci da monitorare nel 2023 con particolare riferimento all’impiego dell’intelligenza artificiale per migliorare i processi informatici (in gergo si usa l’acronimo AIOps). In pratica, vengono utilizzati algoritmi di machine learning per ordinare i dati, identificare, tracciare e neutralizzare eventuali minacce e attacchi hacker.

Le aziende che sviluppano strumenti AIOps possono aiutare i clienti nell’affrontare i rischi informatici, ma sono esposti agli stessi problemi. Un’indagine sulle violazioni dei dati tra il 2004 e il 2020, ha rivelato che i fornitori di servizi tecnologici contavano per il 10% nella top 100 degli attacchi informatici.

Secondo un report di McKinsey del 2022, i crimini informatici potrebbero costare all’economia globale circa 10,5 miliardi di dollari l’anno di qui al 2025. Ma la sicurezza informatica è anche un’opportunità di investimento. Credit Suisse stima che i mercati finali della cybersecurity registreranno una crescita compresa tra “una cifra elevata (5-9%) e una bassa a due cifre”.

Nuove dinamiche competitive

“Gli hacker vanno alla ricerca delle vulnerabilità, pertanto emergono nuovi vettori per gli attacchi e le aziende che li affrontano dovranno innovare o avere la capacità di fare acquisizioni”, spiega Achille Monnet, equity research analyst di Credit Suisse, il quale ricorda che oggi il mercato è molto frammentato e nessun operatore storico detiene più del 3%.

Monnet invita, però, a guardare alle nuove dinamiche competitive, perché i clienti sono sempre meno propensi ad avere più fornitori di programmi di sicurezza e preferiscono le piattaforme più grandi in grado di soddisfare più esigenze. Inoltre, danno importanza anche al marchio, prediligendo quelli più affermati piuttosto che esporsi a operatori poco conosciuti. Anche l’avere sviluppato soluzioni di cloud computing rappresenta un vantaggio competitivo.

Investire in cybersecurity con gli ETF

L’espansione del mercato della sicurezza informatica ha favorito la nascita di strumenti finanziari dedicati a questo tema. In base ai dati Morningstar, ci sono una decina di ETF (Exchange traded fund) in Europa che replicano indici di titoli di cybersecurity.

Dall’inizio dell’anno guadagnano in media intorno al 10%, dopo un 2022 in cui hanno sofferto ribassi medi superiori al 28%. Il settore non è stato immune dall’ondata di vendite che ha colpito i titoli tecnologici, anche se nella prima parte del 2022 aveva mostrato una certa resilienza. Infatti, l’invasione russa in Ucraina aveva accresciuto i timori sugli attacchi informatici e innalzato i livelli di guardia.

I prossimi mesi ci diranno se l’anno scorso ha rappresentato solo una pausa per le performance di questi ETF, dopo i forti rialzi del 2020 e del 2021. Con lo scoppio della pandemia di Covid-19, molte aziende hanno adottato su larga scala il lavoro da remoto, che le ha esposte a maggiori rischi di attacchi hacker, per cui sono corse ai ripari per proteggere dati e processi.

Le caratteristiche degli ETF su cybersecurity

Gli investitori interessati agli ETF sulla cybersecurity devono sapere che nella maggior parte dei casi sono prodotti piuttosto giovani, per i quali non è ancora possibile esprimere un giudizio sulle loro probabilità di sopravvivenza e successo nel tempo. Il più longevo, che è anche il più grande in Europa, è L&G Cyber Security, il cui debutto risale a settembre 2015. Il secondo per anzianità e dimensioni è iShares Digital Security, nato nel 2018. Gli altri sono stati lanciati tra il 2020 e il 2022.

I portafogli sono generalmente piuttosto concentrati in 25-40 posizioni, con l’eccezione dell’ETF di iShares che ne conta oltre 100 in base agli ultimi dati di portafoglio disponibili (al 9 febbraio 2023). I panieri possono differire tra di loro perché gli indici replicati spesso divergono. Questo può aiutare a spiegare i diversi rendimenti.

Dall’inizio dell’anno, ad esempio, il migliore è WisdomTree Cybersecurity, che guadagna il 14,2%. Attraverso l’analisi delle performance, vediamo che i titoli che hanno contribuito di più sono Rapid7 (software), Fastly (cloud computing) e Fortinet (software e sicurezza informatica).

Confrontando il portafoglio di questo ETF con quello di First Trust Nasdaq Cybersecurity, che è il meno performante da inizio anno (+7,57%), vediamo che differiscono per circa la metà dei titoli. I calcoli di performance attribution mostrano che titoli come Crowdstrike (sesta per peso in portafoglio) e SentinelOne (entrambe attive nella sicurezza informatica), stanno penalizzando i risultati con perdite superiori al 30%.