Se fossimo in guerra dovremmo portare le nostre difese a DEFCON 1, perché gli attacchi informatici sono drasticamente aumentati e dobbiamo difenderci. Per molti anni gli sforzi per aumentare le difese delle nostre reti informatiche si sono concentrati su apparati e software che avevano l'unico scopo di difendere le infrastrutture da attaccanti esterni all'azienda e dagli stessi utenti. Abbiamo sempre considerato l'utente come il primo attaccante dell'azienda, la persona da cui difendersi, controllandolo, monitorandolo e limitandolo. I numeri ci hanno sempre sostenuto: c'erano e ci sono tuttora statistiche che confermano che la maggior parte degli attacchi informatici proviene da errori e click selvaggi dei nostri utenti. Quindi era fisiologico doversi proteggere dagli utenti, anche perché i sistemi di difesa perimetrale e d'infrastruttura erano arrivati a livelli molto elevati e garantivano una buona sicurezza, anche se c'era sempre il fattore umano da considerare. Pensiamo solamente che basta una configurazione non ottimale per aprire delle falle di sicurezza, anche in assenza di vulnerabilità effettive del software o degli apparati.

Quindi torniamo all'errore umano

Servono procedure che aiutino a limitare o a eliminare il rischio di un errore umano, serve più consapevolezza, e oggi abbiamo queste procedure (DevSecOps, awareness, ecc.). Il tessuto italiano è ancora un po' acerbo su questi argomenti, soprattutto la PMI, ma pian piano si stanno facendo spazio. La cosa più importante è un cambio di paradigma:

Far diventare l'utente il primo difensore dell'azienda e non il primo attaccante.

Diamogli il know-how per poter distinguere un comportamento sicuro da uno poco sicuro: questo aumenterà il livello di sicurezza esponenzialmente.

Far acquisire una maggiore consapevolezza sui rischi informatici non è solo un plus per l'azienda, ma deve diventare sempre di più uno stile di vita anche dentro le quattro mura domestiche. La tecnologia, infatti, non è più legata al mondo dell'ufficio, ma sta entrando sempre di più nelle nostre case e nella nostra vita, minando non solo la nostra privacy ma anche la nostra sicurezza e quella dei nostri cari. Del resto i numeri parlano chiaro: l'aumento dei dispositivi smart home è indiscutibile e stiamo connettendo sempre di più la nostra vita privata al mondo, e quindi agli attaccanti. La superficie di attacco per il cybercrime negli ultimi anni è aumentata vertiginosamente: se in ufficio abbiamo le protezioni tecnologiche, spesso in casa non abbiamo le stesse protezioni. Senza contare che la quarantena del Covid, con il remote e lo smart working, ha evidenziato questo gap, e i danni sono stati netti e indelebili per molte aziende, che si sono viste attaccate da un'ondata di malware e ransomware provenienti dai PC "BYOD" dei propri dipendenti.

Privacy e social engineering

Abbiamo quindi l'obbligo morale ed etico di diventare più consapevoli dei rischi, per la nostra privacy, per la nostra famiglia e per il nostro lavoro: solo così possiamo affrontare la terza guerra mondiale, quella tecnologica, che si sta combattendo da alcuni anni. Siamo tutti chiamati alle armi e non sono più giustificate l'ignoranza e la non conoscenza dei rischi. Ci sono tre generazioni che oggi usano sempre di più la tecnologia: sui social network troviamo i nonni, i genitori e i ragazzi, e ognuna di queste generazioni ha conoscenze e metodi di apprendimento diversi. Per questo noi addetti ai lavori abbiamo il dovere di aiutare il popolo tecnologico ad avere una maggiore consapevolezza e conoscenza.

Gli attaccanti fanno sempre più leva su meccanismi psicologici per indurre l'utente a cadere nelle loro trappole, installare malware o RAT, rubare credenziali o prendere possesso delle informazioni personali o dei dati. Il nemico è in agguato, invisibile, bravo e ben foraggiato economicamente, e ha risorse e tempo.

Le best practice non mancano e ormai le conosciamo tutti:

  • verificare la sicurezza dei dispositivi;
  • verificare le connessioni che utilizziamo;
  • usare password complesse e diverse, o l'MFA;
  • non comunicarle a nessuno;
  • stare attenti alle email e agli allegati che apriamo;
  • non raccogliere chiavette USB apparentemente perse;
  • e altre ancora.

Le regole di base si conoscono benissimo, ma spesso non vengono adottate per pigrizia o per negligenza. E queste sono le best practice "tecnologiche". Ogni tanto penso alle raccomandazioni dei miei genitori quando ero adolescente:

  • non dare confidenza agli estranei;
  • non accettare cibo o caramelle da chi non conosci;
  • stai attento a dove metti i piedi, a dove vai e a quello che fai.

Devo dire che le raccomandazioni di una volta, se usate anche oggi, darebbero comunque ottimi risultati anche in ambiente informatico. Il problema è che, anche se le conosciamo, non sempre le mettiamo in pratica.

Del resto "curiosity killed the cat" non è mai stato così attuale. Il cybercrime sfrutta da anni, e continua a farlo, questa massima: l'email da un mittente autorevole, la notizia del momento, il documento allegato, la chiavetta USB per terra. Tutte queste tecniche fanno leva sulla nostra curiosità e sulla nostra impulsività, scommettendo sui nostri riflessi incondizionati, che spesso ci hanno indotto in errore e continuano a farlo.

In conclusione

Cerchiamo di riprenderci la nostra privacy e di condividere sempre di meno, perché ogni cosa può essere usata contro di noi: un hobby può diventare la nostra password. Phishing e social engineering stanno diventando un vettore, se non il vettore, più usato dagli attaccanti (+81,9%, rapporto Clusit 2020). Queste tecniche sfruttano debolezze umane come la curiosità e l'impulsività; gli attacchi sono diventati sempre più psicologici (vedi Covid-19). Dobbiamo quindi rendere più sicure le nostre menti e la nostra consapevolezza, e l'unico modo è: "Think before you click".