Nel mese di luglio 2020, quando i dipendenti della Boyce Technologies — un fornitore di soluzioni tecnologiche di rete con sede a New York — hanno effettuato l’accesso ai propri computer e hanno cercato di aprire dei file, hanno ricevuto un messaggio allarmante. I loro dati erano stati crittografati, un indizio che i criminali informatici avevano violato la loro rete.
Gli autori dell’attacco avevano sottratto centinaia di documenti, che minacciavano di pubblicare sul dark web, secondo quanto riportato da The HIPAA Journal. Al fine di ripristinare l’accesso alla rete e restituire i file di Boyce, i criminali informatici hanno chiesto un riscatto.
Gli autori dell’attacco — membri della banda DoppelPaymer , nota come “ ” e che si ritiene operi in Russia — sapevano di colpire l’azienda, composta da 150 dipendenti, in un momento critico. La scorsa primavera, quando New York City era l’epicentro del COVID-19, Boyce ha cambiato rotta, passando dalla produzione di sistemi di comunicazione per i trasporti pubblici alla realizzazione di ventilatori a basso costo e approvati dalla FDA per i pazienti affetti da COVID.
«Quando si è in preda alla disperazione, i malintenzionati [i criminali informatici] hanno maggiori possibilità di ottenere il denaro.»Larry Ponemon, fondatore del Ponemon Institute
Boyce non ha rilasciato dichiarazioni pubbliche in merito al pagamento o meno del riscatto e ha rifiutato di rispondere alle domande poste ai fini del presente articolo. Tuttavia, al momento dell’attacco, l’azienda spediva diverse centinaia di unità al giorno agli ospedali di tutto il Paese. Un’azienda che si trova in tale situazione deve affrontare una scelta difficile, afferma Larry Ponemon, fondatore del Ponemon Institute, un’organizzazione di ricerca nel campo della sicurezza informatica e della privacy. Devono o pagare o subire ritardi nella produzione che mettono a rischio la vita, nel bel mezzo di una pandemia.
«A volte le conseguenze del mancato pagamento sono semplicemente troppo gravi», afferma Ponemon. «Si trattava dello scenario peggiore, in cui si sarebbe potuto arrivare alla morte di alcune persone.» Aggiunge: «Quando si è in preda alla disperazione, è più probabile che i malintenzionati riescano a ottenere il proprio denaro».
Aziende più piccole, obiettivi più ambiziosi
Sebbene gli attacchi informatici ai danni delle grandi aziende dominino i titoli dei giornali, le piccole e medie imprese (PMI) come Boyce sono ormai gli obiettivi più frequenti di tali attacchi. Tuttavia, a differenza delle grandi aziende, che dispongono di budget IT consistenti e sono costantemente all’erta di fronte alle nuove minacce, molte organizzazioni di dimensioni più ridotte non sono nemmeno consapevoli dell’esistenza di tale minaccia — una vulnerabilità di cui i criminali informatici approfittano.
«Molte aziende ritengono che siano le grandi società a subire gli attacchi», afferma Alex Holden, fondatore della Hold Security, società di consulenza in materia di sicurezza con sede nel Wisconsin. «Quando vengono attaccati, ne rimangono sempre sorpresi e si chiedono: “Perché proprio noi?”»
I criminali informatici prendono di mira le PMI anche per un altro motivo: esse rappresentano una via d’accesso agevole ai clienti di alto profilo delle PMI — i cosiddetti attacchi alla catena di fornitura “ ”. A quanto pare, diversi mesi prima che il gruppo di criminali informatici attaccasse i sistemi di Boyce, esso sarebbe riuscito a infiltrarsi nella Visser Precision, un’azienda produttrice con sede a Denver e appaltatore nel settore della difesa, sottraendo dati sensibili relativi ai propri clienti. Tra queste figuravano Boeing, Lockheed Martin, Tesla e SpaceX, secondo un articolo pubblicato su TechCrunch .
Il lavoro da remoto ha aggravato ulteriormente il problema per le PMI. I dipendenti che un tempo lavoravano in ufficio utilizzando un dispositivo di proprietà dell’azienda e rimanevano sempre connessi alla rete, ora lavorano da casa e, in alcuni casi, utilizzano un dispositivo personale che non è collegato a una VPN o che viene utilizzato anche da altri membri della famiglia, oltre a numerosi altri dispositivi domestici non protetti. I criminali informatici ne sono ben consapevoli: per questo prendono sempre più di mira i dipendenti che lavorano da remoto e i loro dispositivi non protetti endpoint. Secondo un recente rapporto intitolato “ ” (), pubblicato da Malwarebytes (), il 20% dei responsabili della sicurezza informatica afferma di aver subito nel 2020 una violazione della sicurezza causata da un lavoratore in remoto.
Fermate le operazioni di phishing
Molte PMI vorrebbero rafforzare le proprie difese in materia di sicurezza informatica, ma sostengono che la pandemia abbia creato ostacoli finanziari davvero notevoli. In un sondaggio intitolato “ settembre 2020 ” () condotto dalla società di sicurezza di rete Untangle , un terzo delle PMI ha indicato la mancanza di un budget IT sufficiente come la sfida principale per la sicurezza delle proprie reti, mentre il 38% ha dichiarato di destinare alla sicurezza informatica solo 1.000 dollari o meno. Questo atteggiamento, che consiste nel risparmiare sui piccoli dettagli a scapito delle cose importanti, si rivela costoso. Gli esperti di sicurezza informatica avvertono che la mancata protezione di un’organizzazione dagli attacchi informatici può finire per costare molto di più in seguito. Nel 2019, ad esempio, il costo medio di una violazione dei dati per una PMI, compreso il tempo perso, ammontava a 150.000 dollari.
Sebbene le PMI non potranno mai eguagliare i sistemi di sicurezza informatica delle grandi aziende, possono comunque adottare in modo economicamente vantaggioso alcune delle loro migliori pratiche, in particolare la formazione dei dipendenti. Secondo Ponemon, l’area di impatto più rilevante è rappresentata dalle e-mail di phishing di tipo “ ” — messaggi falsi che mirano a indurre gli utenti a confermare il proprio nome utente e la propria password o a cliccare su un link dannoso. Secondo Verizon, il 32% di tutte le violazioni dei dati nel 2019 si è verificato a causa del phishing, in cui i criminali non cercavano vulnerabilità del software, bensì vulnerabilità umane.
«Un tempo il phishing era davvero evidente: ad esempio, il logo dell’azienda era sfocato, c’erano errori ortografici e la grammatica era scorretta», afferma Ponemon. «È cambiato parecchio. Alcune truffe sono incredibilmente personalizzate. «Vi conoscono, sanno dove vivete.»
Persino Ponemon è stato vittima di un recente tentativo di phishing. Gli hacker hanno violato il suo account di posta elettronica e letto le sue e-mail, per poi redigere un messaggio che sembrava provenire da una persona con cui lui si scambia regolarmente corrispondenza. Per aiutare le persone a individuare i tentativi di phishing, Ponemon raccomanda ai responsabili IT delle PMI di istruire i propri dipendenti sulle tattiche utilizzate dai criminali informatici e di condurre simulazioni periodiche con e-mail fasulle.
Rafforzare le misure di protezione delle password
Gli esperti di sicurezza informatica raccomandano inoltre di formare i dipendenti affinché comprendano l’importanza dell’autenticazione a più fattori per l’accesso ai sistemi, della crittografia di base per i file e dell’utilizzo di password più lunghe. Queste hanno molte più probabilità rispetto alle password brevi di resistere ai tentativi automatizzati di “password spray” — — in cui i criminali informatici provano la stessa password su numerosi account prima di passare a provarne un’altra.
«Se si dispone solo di sei o sette caratteri, è possibile utilizzare lettere maiuscole, minuscole, caratteri speciali e numeri: non ha importanza.» «Ci vorranno comunque solo pochi secondi o minuti per violarlo», afferma James Lee, direttore operativo dell’Identity Theft Resource Center. «Ma se la Sua password è composta da 12 caratteri, ci vorranno 300 anni per decifrarla. «La Sua password Le sopravviverà.»
Qualora le aziende non possano permettersi il personale informatico necessario a guidare questa formazione, Holden raccomanda un approccio di tipo “responsabile della sicurezza antincendio”. Proprio come molte aziende dispongono di responsabili della sicurezza antincendio incaricati di supervisionare le procedure da seguire in caso di incendio, le PMI potrebbero incaricare diversi dipendenti all’interno dell’organizzazione di vigilare sul rispetto delle migliori pratiche in materia di sicurezza informatica.
«Ora che le violazioni della sicurezza sono all’ordine del giorno, ignorare la sicurezza informatica è come se qualcuno affermasse che sia accettabile accendere fuochi all’aperto in spazi chiusi», afferma Holden. «Abbiamo bisogno dello stesso livello di attenzione e di un cambiamento di comportamento anche in materia di sicurezza informatica».
