Sicurezza
L'attacco che entra dalla posta: come ci si prepara davvero
La maggior parte degli incidenti informatici in azienda comincia da un messaggio, non da una falla tecnica. Le difese che funzionano sono tre: rendere inutile una password rubata con il secondo fattore, spezzare l'urgenza con una procedura di verifica sui pagamenti, e allenare le persone con simulazioni invece che con corsi.
L'immagine che abbiamo in testa dell'attacco informatico — un genio incappucciato che forza un sistema — è pubblicità. Nella realtà, in azienda, la porta d'ingresso più comune è una email: nessuna falla tecnica, nessun software violato. Qualcuno ha aperto una cosa che sembrava normale.
Ed è normale, oggi. I messaggi scritti male con allegati sospetti esistono ancora, ma non sono quelli che vi faranno danno. Quelli che funzionano continuano una conversazione vera: rispondono a un vostro scambio reale, citano un ordine che esiste, arrivano dall'indirizzo di un fornitore che conoscete — perché quel fornitore è stato violato prima di voi.
I tre attacchi che vediamo davvero
- Il furto di credenziali. Una pagina identica a quella della vostra posta chiede di rientrare perché "la sessione è scaduta". Da lì l'attaccante legge tutto, e soprattutto aspetta: le email rubate servono a rendere credibile il colpo successivo.
- La frode sul pagamento. Un fornitore vi comunica il nuovo IBAN, dentro una conversazione già in corso, con tono normale e un allegato coerente. È il singolo attacco che costa di più alle PMI italiane, e non richiede nessuna competenza informatica per essere eseguito.
- Il blocco dei dati. Un allegato o un collegamento avvia un programma che cifra i file e chiede un riscatto. Qui il danno non dipende da quanto bravo era l'attaccante: dipende da quanto sono raggiungibili i vostri backup.
Il messaggio che vi frega non sembra un attacco. Sembra il lunedì mattina.Quello che ripetiamo nelle sessioni di formazione
Cosa funziona, in ordine di efficacia
1. Il secondo fattore, ovunque. Posta, gestionale, banca, pannelli di amministrazione, accessi da remoto. Rende quasi inutile una password rubata ed è la misura singola con il miglior rapporto fra costo ed effetto: costa zero e ferma la maggior parte dei furti di credenziali.
Una precisazione onesta: non tutti i secondi fattori sono uguali. Il codice via SMS è meglio di niente ma si aggira; un'applicazione dedicata è più solida; una chiave fisica o una passkey è la difesa migliore disponibile oggi, perché non può essere consegnata a un sito falso.
2. Una procedura sui pagamenti, scritta. Contro la frode sull'IBAN nessuna tecnologia è efficace quanto una regola semplice: ogni variazione di coordinate bancarie si verifica con una telefonata al numero che avevamo in rubrica prima, mai a quello scritto nell'email. Aggiungete una seconda firma sopra una certa soglia. Sono cinque righe che valgono più di qualsiasi prodotto.
3. Simulazioni, non corsi. Il corso annuale si dimentica in due settimane. Quello che funziona è mandare periodicamente finte email di attacco: chi ci casca lo scopre in un contesto sicuro, e riceve trenta secondi di spiegazione nel momento in cui è più ricettivo. Va fatto senza umiliare nessuno — l'obiettivo è la prontezza, non la classifica — altrimenti si ottiene solo che le persone non segnalano più.
La cosa più importante: rendere facile segnalare
In ogni azienda, prima o poi, qualcuno clicca. Non è una possibilità: è una certezza statistica, e vale anche per le persone attente. Quello che distingue un incidente da un disastro è quanto tempo passa fra il clic e la segnalazione.
Se chi sbaglia teme una ramanzina, aspetta. Aspetta di essere sicuro, aspetta il pomeriggio, magari non lo dice affatto. Nel frattempo l'attaccante è dentro. Per questo la regola che chiediamo di dichiarare a voce alta è: chi segnala subito non viene mai rimproverato, mai. Costa niente e riduce il danno più di qualsiasi strumento.
La prima ora
Serve un foglio, appeso o condiviso, con cinque righe. Scritto prima, perché nel mezzo di un incidente nessuno improvvisa bene.
- Cambiare la password dell'account coinvolto e chiudere tutte le sessioni attive, da un altro dispositivo.
- Avvisare chi di dovere: un nome e un numero, non "l'informatica".
- Isolare il computer coinvolto dalla rete, senza spegnerlo — spegnere cancella tracce utili.
- Verificare i pagamenti in partenza e le regole di inoltro della posta: gli attaccanti ne creano una per leggere le vostre email anche dopo aver perso l'accesso.
- Annotare orari e fatti mentre accadono. Serviranno alla banca, all'assicurazione e — se siete soggetti a obblighi di notifica — all'autorità, che ha tempi stretti.
Quello che non serve
- Comprare l'ennesimo prodotto prima di aver messo il secondo fattore ovunque. È l'ordine sbagliato, e costoso.
- Vietare tutto. Le regole troppo strette vengono aggirate, e gli aggiramenti sono peggio del rischio originale.
- Contare sul fatto di essere piccoli. Gli attacchi via email non selezionano le vittime: le raccolgono. Essere sconosciuti non è una difesa.
Se dovete scegliere una sola cosa da fare questa settimana: secondo fattore sulla posta di tutti, e la regola scritta sulle variazioni di IBAN. Insieme coprono i due attacchi che, in Italia, fanno più danno alle piccole imprese.