Kathleen Duffy non si sarebbe mai aspettata che la sua attività subisse una brusca battuta d’arresto in una domenica così incantevole di marzo.
Lavorando da casa, l’ CEO e del Duffy Group, una società di selezione del personale con sede a Phoenix attiva da 30 anni, era a conoscenza del fatto che i propri sistemi informatici avevano riscontrato problemi con la posta elettronica la settimana precedente. Pertanto, quando durante il fine settimana non è riuscita ad accedere alla posta elettronica aziendale né ai server dei dati, la Duffy ha attribuito la cosa al persistere degli stessi problemi.
Ma una breve telefonata al suo consulente informatico esterno le ha fatto capire che la situazione era ben più grave. Un hacker in Germania aveva crittografato tutti i file della sua azienda e chiedeva un riscatto di 25.000 dollari per sbloccarli. Finché non avesse soddisfatto la richiesta dell’hacker, i file aziendali e i dati dei candidati del Duffy Group — il cuore e l’anima della sua impresa — sarebbero rimasti completamente inaccessibili.
«La nostra attività si è letteralmente fermata», afferma la Duffy, la quale stima che l’incidente sia costato alla sua azienda 50.000 dollari in mancati ricavi e spese informatiche. «È stato davvero spaventoso. Vi sentite profondamente feriti e vi chiedete: «Perché proprio a me?». Sono una brava persona, e non siamo poi così numerosi. Voglio dire, si sente parlare di hacker che hanno ottenuto 5 milioni di dollari da Colonial Pipeline. «Perché mai dovrebbero volere un paio di migliaia da noi?»
Il Gruppo Duffy conta 35 dipendenti e registra un fatturato annuo nell’ordine di pochi milioni. Come gli amministratori delegati della maggior parte delle piccole e medie imprese (PMI), Duffy riteneva che i criminali informatici prendessero di mira principalmente le grandi aziende, poiché sono queste a disporre di ingenti risorse finanziarie. Allo stesso modo, Colonial, un’azienda di medie dimensioni con circa 850 dipendenti, potrebbe non aver ritenuto di essere abbastanza grande da essere oggetto di un attacco informatico, nonostante il ruolo fondamentale che svolge nell’approvvigionamento di petrolio della costa orientale. In realtà, le PMI sono l’obiettivo numero uno degli hacker , poiché spesso sono scarsamente protette, dispongono di misure di sicurezza informatica insufficienti e non possono permettersi di rimanere inattive per molto tempo.
In breve, sono obiettivi facili.
«La maggior parte delle medie imprese adotta un approccio ad hoc alla sicurezza, limitandosi a colmare le lacune solo quando si verificano degli incidenti», afferma Sanjeev Aggarwal, fondatore di SMB Group, una società di consulenza specializzata nelle tendenze tecnologiche nel mercato delle piccole e medie imprese. «Considerando con quanta aggressività gli hacker prendono di mira le organizzazioni più piccole al giorno d’oggi, questa è una vera e propria ricetta per il disastro.»
[Leggi anche: Come le aziende stanno affrontando il problema del ransomware]
Prima che il COVID-19 stravolgesse il mondo degli affari così come lo conosciamo, la Small Business Administration degli Stati Uniti riferiva che nel Paese vi fossero 30,2 milioni di piccole e medie imprese, che davano lavoro a quasi la metà della forza lavoro nazionale. (Le piccole imprese sono generalmente quelle con un numero di dipendenti pari o inferiore a 100 , mentre quelle di medie dimensioni ne contano solitamente da 100 a 999.) Di questi, circa il 43% è stato oggetto di attacchi da parte di criminali informatici nel 2019, secondo uno studio sulle violazioni dei dati condotto da Verizon. Ecco perché gli esperti sostengono che le piccole e medie imprese debbano intensificare sin da ora gli sforzi in materia di sicurezza informatica, prima che sia troppo tardi.
Obiettivi allettanti
Juan Lorenzana è l CEO e di SymbiSystems, una società di assistenza informatica che rappresenta decine di piccole e medie imprese e che, alla fine, ha aiutato la signora Duffy a negoziare un riscatto ridotto di 2.800 dollari in cambio di una chiave di decrittazione per sbloccare i suoi dati. Lorenzana afferma che il picco degli attacchi di tipo “ SMB ” è riconducibile a tre fattori: un aumento del numero di attacchi che sfruttano le vulnerabilità dei server on-premises Microsoft Exchange, l’esplosione del numero di lavoratori che operano da remoto con dispositivi endpoint non adeguatamente protetti e un numero eccessivo di hacker che, durante il lockdown, hanno avuto tutto il tempo di escogitare modi per appropriarsi di dati e risorse aziendali.
«. La nostra attività si è letteralmente fermata.» State pensando: «Perché proprio io?» «Non siamo poi così grandi».”Kathleen Duffy, CEO, Duffy Group
Lorenzana osserva che, sebbene le vittime degli attacchi possano sentirsi prese di mira dai criminali informatici, spesso non è così. Gli hacker, afferma, utilizzano strumenti di scansione della rete come Angry IP Scanner o Nmap per effettuare ricerche automatiche su blocchi di indirizzi Internet alla ricerca di dispositivi vulnerabili. Una volta individuati, sferrano attacchi contro gli obiettivi più allettanti, più facili e meno rischiosi (per loro), che spesso risultano essere le PMI.
«Non è che prendano necessariamente di mira le piccole o medie imprese, ma spesso si ha l’impressione che sia proprio così», afferma Lorenzana.
Andre Mintz, responsabile della sicurezza informatica presso Newport Group, un fornitore di servizi per la terza età, offre un altro punto di vista. Egli afferma che la ricerca di obiettivi commerciali può essere altamente specializzata.
«I malintenzionati raramente curiosano su Internet, come un razzo nello spazio che cerca di capire in quale stella si imbatterà», afferma. «Possiedono competenze e affinità che si adattano al meglio a specifici settori verticali o discipline, quali i servizi finanziari, la sanità o il settore immobiliare.»
Spesso, afferma, partono da un settore economico che li interessa e poi approfondiscono un suo sottoinsieme. Nel suo settore, ad esempio, i criminali informatici potrebbero specializzarsi nei conti pensionistici 401(k).
«Potrebbero esserci hacker, truffatori o malintenzionati che conoscono molto bene i processi e le prassi del settore previdenziale o che dispongono di una vasta conoscenza del settore dei servizi finanziari, che sono in grado di sfruttare per compromettere o assumere il controllo del conto di un individuo», afferma Mintz. «Ad esempio, quando il titolare di un conto partecipante non ha mai effettuato l’accesso al proprio conto, alcuni criminali informatici riescono a penetrarvi, a configurare inizialmente il conto e a impostare le proprie risposte alle domande di sicurezza, proprio quelle pensate per proteggere il titolare del conto da questo genere di situazioni.»
Anche altri tipi di attacchi alle PMI stanno prendendo piede, afferma Mintz. Il “social engineering”, ovvero quella pratica con cui i criminali inducono le persone a rivelare informazioni riservate, a concedere l’accesso alla rete o a cedere oggetti di valore, sta diventando un problema sempre più grave per le piccole imprese, afferma.
La forma più comune di ingegneria sociale è il “phishing di tipo ‘’”, in cui i criminali inducono gli utenti a cliccare su link contenuti in e-mail o su siti web che aprono la strada a software dannosi o “malware”. Tuttavia, può anche trattarsi di qualcuno che si spaccia per un dirigente aziendale, online o al telefono, e induce un dipendente ignaro a trasferire credenziali o fondi verso una destinazione remota controllata esclusivamente da lui.
«Le medie imprese sono particolarmente esposte agli attacchi di ingegneria sociale», afferma Mintz, «poiché al loro interno operano molte persone molto impegnate che ricoprono diversi ruoli». Le persone sono per natura fiduciose e non sempre si rendono conto che stanno per avere a che fare con un malintenzionato finché non è troppo tardi. Le organizzazioni di maggiori dimensioni, al contrario, formano i propri dipendenti affinché prestino attenzione a questo tipo di comportamento e tendono a non cadere nella trappola con la stessa frequenza.”
Norme fondamentali di sicurezza informatica
A ben vedere, gli esperti sostengono che, per quanto un’azienda di medie dimensioni possa proteggersi dagli attacchi, questi continueranno a verificarsi e, alla fine, avranno successo. I criminali informatici hanno raggiunto un livello di sofisticazione tale e modificano le loro tecniche con tale regolarità che persino le aziende più sicure faticano a tenerli a bada.
«Non importa quanti fondi, risorse o tempo si dedichino alla sicurezza informatica: c’è sempre qualcuno che dispone di capacità superiori alle vostre», afferma Lorenzana. «È impossibile evitare per sempre di essere vittima di un attacco informatico.»
«Le persone sono per natura fiduciose e non sempre si rendono conto che un malintenzionato sta per aggredirle finché non è troppo tardi.»Andre Mintz, responsabile della sicurezza informatica (CISO), Newport Group
Ciò non significa tuttavia che le medie imprese non possano adottare misure proattive per limitare l’esposizione e ridurre al minimo l’impatto delle violazioni informatiche.
In primo luogo, la maggior parte degli esperti raccomanda di concentrarsi sulle misure di base di sicurezza informatica e sulle buone pratiche per rendere l’azienda meno appetibile agli hacker: mantenete aggiornate le firme antivirus. Utilizzate i firewall di rete. Scarichi e installi senza indugio le patch di sicurezza critiche per l’ , disponibili all’indirizzo . Deploy soluzioni efficaci per la gestione e la protezione dei dispositivi endpoint. Si raccomanda di utilizzare la crittografia dei dispositivi ogni volta che sia possibile. Si raccomanda di applicare politiche rigorose in materia di password sicure e di autenticazione a due fattori . E segua la “strategia di backup ‘3-2-1 ’”, secondo la quale un’organizzazione conserva tre copie dei dati su due supporti diversi, uno dei quali si trova fuori sede. Ciò può rivelarsi estremamente vantaggioso per ripristinare rapidamente il funzionamento dei sistemi in caso di attacco ransomware.
In secondo luogo, gli esperti raccomandano vivamente di passare a un modello di gestione delle identità e degli accessi basato sul principio “” (autenticazione a due fattori) e sul modello “zero trust”. È in questo caso che un’organizzazione revoca a tutti il diritto di accedere all’intera infrastruttura informatica. Al contrario, come afferma Neil MacDonald, analista e vicepresidente di Gartner, «i livelli di fiducia vengono calcolati e adeguati in modo esplicito e continuo per consentire un accesso just-in-time e nella misura necessaria alle risorse aziendali». The zero trust approach is growing in popularity among IT security teams, with 96% calling it critical to their organizations, according to a recent Microsoft survey.
«Il modello “zero trust” è un modo di pensare, non una tecnologia o un’architettura specifica», afferma MacDonald in un recente rapporto di Gartner intitolato “ ” (). «Si tratta in realtà di azzerare la fiducia implicita, poiché è proprio di questa che vogliamo liberarci.»
Mintz raccomanda una terza buona pratica per prevenire alcune forme di ingegneria sociale: limitare il numero di persone all’interno di un’organizzazione autorizzate ad approvare i trasferimenti di fondi.
«In questo modo, se qualcuno cerca di convincere un dipendente a trasferire del denaro, questi risponderà: “Bob è l’unico che può farlo”, e il tentativo di ingegneria sociale fallirà.»
Secondo gli esperti, le piccole e medie imprese ( ) sono vulnerabili agli attacchi informatici tanto quanto le organizzazioni di maggiori dimensioni e, sotto molti aspetti, sono addirittura più esposte al rischio di violazioni poiché le loro difese sono spesso più deboli e la posta in gioco è molto più alta qualora le loro attività venissero interrotte. Pertanto, coloro che hanno vissuto questa esperienza avvertono che nessuna azienda può sottovalutare tale minaccia.
[Leggi anche: 5 modi in cui la Sua azienda può evitare di finire sui titoli dei giornali]
La Duffy, ad esempio, sottolinea che, anche dopo aver versato il riscatto richiesto da e aver ricevuto la chiave di decrittazione, ci sono volute settimane per ripristinare completamente il funzionamento dei sistemi. Inoltre, alcuni dati della sua azienda (per lo più informazioni di marketing) non sono mai stati recuperati.
«Credo che più diffonderemo la notizia che noi persone comuni siamo vittime di attacchi, meglio tutti saranno preparati a difendersi da simili situazioni», afferma. «Non vi è alcuna garanzia che le migliori pratiche possano proteggervi, ma di certo rendono molto più difficile per i criminali informatici impossessarsi dei vostri dati o dei vostri beni.»
