Cos'è una violazione della sicurezza?

Una violazione della sicurezza è un incidente che porta a un accesso non autorizzato ai dati di un computer, ad applicazioni, a reti o a dispositivi. Ciò significa che qualcuno ha accesso a delle informazioni senza averne l'autorizzazione. Solitamente questo accade quando un intruso riesce a bypassare i meccanismi di sicurezza.

Tecnicamente, dovremmo fare distinzione fra violazione della sicurezza e violazione dei dati. Una violazione della sicurezza è puramente un'intrusione, mentre una violazione dei dati implica il fatto che l'hacker scappi con le informazioni. Immaginate un furto in appartamento: la violazione di sicurezza è quando il ladro entra dalla finestra; la violazione dei dati è quando scappa con il vostro computer.

Le informazioni riservate hanno un valore immenso. Ad esempio, è possibile venderle sul dark Web. Lì si possono comprare nomi e numeri di carte di credito, da usare poi per mettere in atto frodi o furti d'identità. Non deve sorprendere dunque che le violazioni della sicurezza costino alle aziende enormi quantità di denaro. In media, parliamo di circa 4 milioni di dollari per una multinazionale.

Facciamo però chiarezza fra la definizione di "violazione della sicurezza" e quella di "incidente di sicurezza". Un incidente manifestarsi come un'infezione malware, un attacco DDOS o un dipendente che dimentica il laptop su un taxi. Ma se questo non sfocia in un accesso alla rete o una perdita dei dati, non possiamo definirlo una violazione della sicurezza.

Esempi di violazione della sicurezza

Quando una grande azienda subisce una violazione della sicurezza, la cosa finisce sempre sui giornali. Fra le violazioni della sicurezza più note, ricordiamo:

• Nel 2017, la vulnerabilità di una applicazione Web ha fatto perdere all'azienda Equifax i dettagli personali di 145 milioni di americani. Questo includeva nomi, codici fiscali e numeri della patente di guida. Gli attacchi sono stati condotti nel corso di tre mesi, da maggio a luglio, ma la violazione della sicurezza è stata annunciata solo in settembre.
• 3 miliardi di account utente Yahoo sono stati compromessi nel 2013, dopo che un tentativo di phishing aveva dato accesso alla rete agli hacker.
• eBay Ha subito una grave violazione nel 2014. Anche se i dati delle carte di credito degli utenti PayPal non sono stati a rischio, molte delle password dei clienti sono state compromesse. L'azienda ha agito rapidamente, inviando una mail a tutti gli utenti e sollecitandoli a modificare la password per mettersi al sicuro.
• Il sito di incontri Ashley Madison, che si presentava come un sito per persone sposate in cerca di avventure, è stato vittima di attacco nel 2015. Gli hacker hanno fatto trapelare un enorme numero di dettagli dei clienti via Internet. Degli estorsori hanno quindi iniziato a prendere di mira gli utenti esposti; segnalazioni non confermate suggeriscono una catena di suicidi conseguente a questa violazione di sicurezza.
• Facebook ha perso i dati personali di 29 milioni di utenti nel 2018, in seguito ad alcune falle interne del software. Il fatto si è rivelato particolarmente imbarazzante poiché fra gli account compromessi c'era anche quello dell'amministratore delegato dell'azienda, Mark Zuckerberg.
• La catena di hotel Marriott nel 2018 ha annunciato una violazione della sicurezza riguardante 500 milioni di clienti registrati. Il sistema di prenotazioni era in realtà stato vittima di attacco hacker nel 2016, senza che nessuno se ne accorgesse per ben due anni.
• Ma forse l'episodio più imbarazzante di tutti è quello capitato all'azienda ceca di cybersicurezza Avast, che ha rivelato una violazione della sicurezza nel 2019, quando un hacker è riuscito a compromettere le credenziali VPN di uno dei dipendenti. Questa violazione non prendeva di mira i dati dei clienti, ma voleva piuttosto inserire dei malware nei prodotti Avast.

Una decina di anni fa, le aziende cercavano di tenere nascoste le notizie relative alle violazioni della sicurezza, per non distruggere la fiducia dei consumatori. Al giorno d'oggi invece, questo è sempre più raro. Nell'Unione europea, il GDPR (regolamento generale sulla protezione dei dati) richiede alle aziende di notificare le autorità competenti e qualsiasi individuo i cui dati possano essere a rischio, in caso di una violazione. Dopo solo 18 mesi dalla sua entrata in vigore, a gennaio 2020 il GDPR aveva portato alla segnalazione di oltre 160.000 notifiche di singole violazioni di dati, più di 250 al giorno.

Tipi di violazioni della sicurezza

Le violazioni della sicurezza si distinguono in base al modo in cui si è ottenuto accesso al sistema:

• Un exploit (dall'inglese "sfruttare") attacca la vulnerabilità di un sistema, come ad esempio un sistema operativo obsoleto. Questo potrebbe essere il caso di sistemi legacy non aggiornati, come aziende che usano versioni di Microsoft Windows non più supportate.
• Password deboli che possono venire individuate o indovinate. Tuttora ci sono persone che ancora utilizzano le parole "password" o "pa$$word" come password.
• Attacchi malware, come e-mail di phishing. Basta che un dipendente faccia clic su un link contenuto in un'e-mail di questo tipo per permettere a un software dannoso di diffondersi su tutta la rete.
• Download di tipo drive-by, ovvero che sfruttano virus o malware diffusi attraverso siti Web compromessi o fasulli.
• Ingegneria sociale, anche questo è un metodo per ottenere accesso. Ad esempio, un malintenzionato telefona a un dipendente sostenendo di essere del reparto tecnico dell'azienda e chiede la password per poter "aggiustare" il computer.

Negli esempi di violazioni della sicurezza sopracitati, sono state usate varie tecniche diverse per ottenere accesso alla rete: il phishing nel caso di Yahoo, o un exploit nel caso di Facebook.

Fino ad ora abbiamo parlato di violazioni della sicurezza riguardanti solo grandi aziende, ma lo stesso vale anche per i computer e i dispositivi dei singoli. Questi sono forse meno soggetti ad attacchi via exploit, ma molti computer vengono infettati da malware, scaricati come parte di un pacchetto software ad esempio, oppure introdotti con un attacco phishing. Anche password deboli e l'uso di reti Wi-Fi pubbliche possono compromettere le comunicazioni Internet.

Cosa fare se si è vittima di una violazione della sicurezza

Se siete clienti di una grande azienda e scoprite che ha subito una violazione della sicurezza, oppure se il vostro computer viene compromesso, dovete agire in fretta. Ricordate che una violazione della sicurezza su un solo account può mettere a rischio anche tutti gli altri, soprattutto se condividono la stessa password o se fate transazioni regolari fra uno e l'altro.

• Se una violazione può compromettere le vostre informazioni finanziarie, informate immediatamente la banca o qualsiasi altra istituzione finanziaria custodisca i vostri account.
• Modificate la password su tutti gli account. Se ci sono domande di sicurezza o codici PIN collegati all'account, modificate anche quelli.
• Considerate il congelamento del conto. In questo modo nessuno potrà usare i vostri dati per furti d'identità o servirsi del vostro nome.
• Controllate l'estratto conto della vostra carta di credito e assicuratevi che nessuno stia facendo richieste di prestiti con i vostri dati.
• Cercate di scoprire esattamente quali dati sono stati rubati. Questo vi darà un'idea della gravità della situazione. Ad esempio, se sono stati rubati dati anagrafici o fiscali, dovete agire molto rapidamente affinché la vostra identità non venga rubata. Si tratta di una violazione molto più seria del perdere i dati della carta di credito.
• Nonrispondete direttamente a richieste di un'azienda di fornire i vostri dati personali dopo una violazione della sicurezza; potrebbe trattarsi di un attacco di ingegneria sociale. Leggete le notizie con calma, verificate il sito Web dell’azienda o telefonate al servizio di assistenza clienti per controllare se queste richieste sono legittime.
• State in guardia da altri tipi di attacco di ingegneria sociale. Ad esempio, un criminale che abbia avuto accesso al vostro account sul sito di un hotel, anche se non in possesso di dati finanziari, potrebbe telefonare per chiedervi un feedback sul vostro ultimo soggiorno. Al termine della chiamata, dopo avervi instillato una sensazione di fiducia, potrebbe offrirvi un rimborso delle spese di parcheggio e chiedervi quindi il numero della carta di credito per effettuare la transazione. Molti clienti probabilmente non ci penserebbero due volte a fornire questi dati, se la chiamata è convincente.
• Monitorate i vostri conti bancari alla ricerca di nuove attività. Se notate transazioni che non riconoscete, agite immediatamente.

Come proteggersi dalle violazioni della sicurezza

Nessuno è immune da questo tipo di violazione, ma un computer con un buon sistema di sicurezza è molto meno vulnerabile e può aiutarvi a sostenere meno danni in caso di attacco. Questi consigli vi aiuteranno a prevenire gli attacchi hacker sul vostro computer e sugli altri dispositivi.

• Scegliere password complesse, che combinano una serie casuale di lettere maiuscole e minuscole, numeri e simboli. Queste sono molto più difficili da individuare delle password semplici. Non usare mai password facili da indovinare, come nomi di familiari o compleanni. Usare un gestore delle password per tenere tutte le password al sicuro.
• Usare diverse password per diversi account. Se si usa sempre la stessa password, un hacker che ne trovi una le avrà trovate tutte e potrà accedere a tutti gli account. Con password diverse, solo quell'account sarà a rischio.
• Chiudere gli account non più in uso, anziché lasciarli dormienti. Questo riduce la vulnerabilità a violazioni della sicurezza. Se non usate un account, potreste non accorgervi mai che è stato compromesso e potrebbe fungere da "porta sul retro" per raggiungere i vostri altri account.
• Cambiare regolarmente le password. Un elemento comune a molte violazioni della sicurezza note è che si verificano nel corso di un lungo periodo, alcune sono state scoperte addirittura solo anni dopo la violazione. Password che vengono modificate regolarmente riducono il rischio di cadere vittima di violazioni scoperte molto tempo dopo.
• Prima di buttare via un computer, ripulire accuratamente l'hard disk. Cancellare i file non basta: usate un programma di distruzione dati per azzerare completamente il disco, sovrascrivendo tutti i dati. Anche reinstallare nuovamente il sistema operativo è un metodo efficace per ripulire bene il drive.
• Fare un backup dei file. Alcune violazioni di dati cifrano i file per poi inviare un ransomware, ovvero una richiesta di riscatto per rendere nuovamente disponibili i file per l'utente. Se avete un backup su un drive esterno, i vostri dati saranno al sicuro in caso di un attacco simile.
• Mettere al sicuro il telefono. Usare un bloccaschermo e aggiornare regolarmente il software del proprio telefono. Mai effettuare root o jailbreak su un telefono. Il rooting di un dispositivo dà agli hacker l'opportunità di installarci il proprio software e di modificarne le impostazioni.
• Mettere al sicuro computer e altri dispositivi con software antivirus e antimalware.Kaspersky Antivirus è un'ottima scelta per mantenere il proprio computer al sicuro da infezioni e assicurarsi che gli hacker non possano penetrarlo.
• Occhio a dove si clicca. Le e-mail inattese che includono link a siti Web di qualsiasi tipo, potrebbero essere attacchi phishing. Alcune potrebbero sembrare provenire da un vostro contatto. Ma se includono allegati o link, assicuratevi sempre che siano genuine prima di fare clic, e usate programmi antivirus sugli allegati.
• Usare sempre il protocollo sicuro HTTPS per accedere a un account, e non il semplice HTTP.
• Monitorare regolarmente estratti conto di banca e carta di credito. I dati rubati possono emergere nel dark Web anni dopo la violazione di dati originaria. Questo significa che un tentativo di furto di identità potrebbe verificarsi nel momento in cui avete già dimenticato la violazione di dati che aveva compromesso il vostro conto.
• Essere consapevoli del valore delle informazioni personali e non renderle note, a meno che non sia necessario. Ci sono troppi siti che vogliono sapere troppo dei loro utenti. Perché una rivista di business ha bisogno della vostra data di nascita, ad esempio? O un sito di offerte del vostro codice fiscale?

Non vi verrebbe mai in mente di lasciare aperta la porta di casa tutto il giorno; dovete pensare al vostro computer negli stessi termini. Tenete bene al sicuro i vostri dati personali e l'accesso alla vostra rete, non lasciate mai porte o finestre aperte da cui un hacker possa intrufolarsi.

Articoli correlati

Come proteggere il proprio conto online dai furti

Furto e perdita dei dati

Consigli per proteggersi dai crimini informatici