Imprese e consulenti, come difendersi dai Cyber-criminali

Il cyber crime è nei fatti un reato comune come un furto in abitazione, ma ancora molto sottovalutato. Basti pensare che secondo i dati raccolti nell’ultimo Global Fraud Survey di Kroll, a livello aziendale il furto di informazioni si conferma, dopo il furto dei beni, la seconda frode più diffusa: il 22% delle imprese ha dovuto far fronte ad attacchi hacker. E questa quota è senz’altro destinata ad aumentare: secondo il Rapporto 2014 sulla Sicurezza ICT condotto da Clusit, dal 2011 al 2013 il cybercrime ha registrato un incremento pari al 258,24%. Il 3% del totale degli incidenti che ha comportato per le vittime un danno di tipo economico e/o reputazionale, registrati a livello globale negli ultimi 36 mesi, ha avuto luogo in Italia. 

 

In questo contesto, la preda perfetta è costituita dai professionisti: commercialisti, consulenti, avvocati, rappresentano infatti un target particolarmente allettante per i cosiddetti “financially-motivated hackers”. Queste figure, i cui attacchi hanno quindi scopo di lucro e arricchimento personale, nutrono comunque un interesse particolare per tutti gli enti, le aziende e le istituzioni che si trovano a maneggiare ogni giorno una mole ingente di dati sensibili. La concentrazione nelle mani di un solo depositario di tutti questi dati è particolarmente attraente per l’hacker di questo genere, perché un attacco che permetta di frodare molti individui in una sola volta è sicuramente preferibile in termini di tempi e denaro raccolto rispetto a un singolo attacco, per quanto mirato o di dimensioni economicamente più ingenti. 

 

Le grandi aziende hanno saputo in questi anni dotarsi di efficaci forme di protezione contro questi pericoli, ma purtroppo le piccole e medie imprese, vera ricchezza del tessuto industriale italiano, sono ancora indietro in questo senso. In ambito aziendale, comunque, Kroll stima che il tempo medio di percezione di un attacco è di 342 giorni, e nella stragrande maggioranza dei casi tale constatazione è derivata dalla segnalazione di terzi. Quello che manca è una vera conoscenza del fenomeno e delle sue possibili implicazioni: alcuni credono che il cyber sia solo una questione di information technology, e quindi reputano che la risposta stia nell’hardware-software, ovvero nell’avere strumenti di difesa tanto tecnologicamente avanzati quanto lo è la minaccia. Altri, invece, pensano che sia affare dell’area legale o delle risorse umane. Entrambe le fazioni sbagliano: perché il cyber crime è tutto questo, ma è anche molto di più. In generale si definisce come tutto ciò che concerne la creazione, la gestione, l’uso, la manipolazione e la protezione dei dati.

 

Un altro fattore che contribuisce al fatto che il cyber crime sia in generale un fenomeno di gran lunga sottovalutato è la sua apparente lontananza con la nostra vita quotidiana: le persone non si sentono in pericolo nell’utilizzare ogni giorno la carta di credito o nell’aggiornare lo status su Facebook. Eppure lo sono, ignari dei rischi che corrono. Noncuranza che si trasferisce anche nell’ambito lavorativo. Sì, perché la prima preoccupazione che si ha quando ci si rende conto di essere stati vittima di un attacco hacker è controllare che non ci siano ammanchi finanziari, ma non sempre è il denaro l’obiettivo di un cyber-criminale. Nel XXI secolo, infatti, perfino i dati personali sono arrivati ad alimentare un commercio illegale di notevoli dimensioni. Le aziende, quindi, devono comprendere quale tipo di dati posseggono, cosa potrebbe essere rilevante e allettante per gli hacker, che livello di protezione possono garantire e quali sono le persone che hanno accesso ai dati sensibili. Una comprensione proattiva delle minacce porta inevitabilmente a una riduzione proattiva del fenomeno. 

 

In ogni caso, il principale errore da evitare è assumere un atteggiamento rilassato nei confronti dei rischi che si corrono: molti pensano che, qualora subissero un attacco hacker, se ne accorgerebbero immediatamente. Ma, nella realtà, non sempre è così. Rendersi conto di ciò che sta succedendo può essere difficile per l’utente ingenuo, ma ci sono segnali che dovrebbero far scattare l’allarme e che vengono originati dai metodi di profilazione dei consulenti da parte degli hacker: ti sei mai chiesto perché ricevi così tanta spam? O perché stai guadagnando in poco tempo così tanti amici e follower su Facebook, LinkedIn o Twitter? Per non parlare dell’attraente messaggio di posta elettronica che promette di farti vincere un nuovo smartphone. Attenzione: se ti riconosci in queste situazioni, il tuo account e-mail potrebbe essere sotto attacco.

 

È proprio attraverso i messaggi di posta elettronica che gli hacker gettano l’esca più frequentemente. Nello spear-phishing, una versione più mirata del tradizionale metodo di cyber-frode, le e-mail utilizzate come esca sono confezionate su misura per una specifica persona o gruppo professionale, con l’obiettivo di far sì che i destinatari clicchino sul link contenuto nel messaggio, installando senza accorgersene un malware nascosto. Sarà quasi impossibile, a quel punto, notare traffico insolito qualora l’hacker decidesse di inoltrare i messaggi di posta elettronica dalla casella violata verso altre mailbox, rispondere direttamente alle e-mail o addirittura cancellare i messaggi prima che possano essere letti dal legittimo proprietario. Perfino nei rari casi in cui ci si accorge della frode, è sempre troppo tardi: di fatto il cyber-criminale ha già ottenuto tutte le informazioni di cui necessita. Esiste poi il phishing più tradizionale, caratterizzato da invii massivi e standardizzati, che ha l’obiettivo di raccogliere password personali mediante il click dell’utente su un link predefinito. Può inoltre accadere che l’hacker decida di sfruttare l’indirizzo e-mail della vittima cercando di forzare l’account provando password diverse; a quel punto, o riuscirà ad entrare nell’account, oppure lo bloccherà definitivamente. 

 

Il consiglio principale è il più banale: cambiare spesso le password di accesso alla casella e-mail, azione che può essere sentita come noiosa e obbligatoria per policy interna, ma fondamentale. È importante infatti capire che questa tediosa azione, così come altri piccoli accorgimenti, possono davvero fare la differenza. Quale? Quella tra lavorare per i propri clienti e lavorare per un hacker.

 

A cura di Marianna Vintiadis, Managing Director Kroll