In qualità di vicepresidente senior per la sicurezza informatica presso Wells Fargo, Tim Morris ha apprezzato molto le simulazioni di attacchi informatici della durata di 48 ore che la banca ha organizzato in auditorium locali per i suoi numerosi team di sicurezza.
«Eravamo circa 100 persone, provenienti da tutte le divisioni di sicurezza», afferma Morris riferendosi alle sessioni maratona in cui ha supervisionato simulazioni di attacchi offensivi da parte del “red team”, che andavano da semplici campagne di phishing via e-mail di tipo “ ” a sofisticati attacchi ransomware. «Abbiamo affrontato ogni tipo di incidente di sicurezza e attacco immaginabile, dagli attacchi DDoS ai tentativi di esfiltrazione di dati su larga scala.» Ride: «Dopo due giorni, la gente sarebbe piuttosto stanca».
Da decenni, e persino da secoli, le banche e le compagnie assicurative fungono da custodi delle informazioni finanziarie sensibili dei clienti. Oggi, nell’era dell’ della tecnologia finanziaria (nota anche come “fintech”), tali dati sono quasi esclusivamente digitalizzati: dai versamenti degli stipendi e dai pagamenti dei mutui alle piattaforme di trading mobile e alle partecipazioni in Bitcoin. Anche la posta in gioco dal punto di vista commerciale è molto più alta.
«Nel settore delle fintech», afferma Morris, «i dati sono il prodotto». È il mezzo di sostentamento dei loro clienti. «Se i depositi o i portafogli venissero sottratti, ciò costituirebbe un grave danno alla reputazione».
Grazie alla tecnologia e al lavoro da remoto indotto dalla pandemia, le reti fintech sono ormai parte integrante di quasi tutte le transazioni effettuate da consumatori, nel settore dell’e-commerce e da parte degli investitori. Che siate sostenitori o scettici nei confronti del fintech, questo settore è destinato a crescere, e a crescere in modo significativo. Il volume globale dell’e-commerce del settore ammonterà quest’anno a 3,61 trilioni di dollari, in aumento rispetto ai 348,7 miliardi del 2010, e si stima che raggiunga i 6,07 trilioni di dollari nel giro di soli cinque anni, secondo il rapporto di Ascential intitolato “ ” Money20/20 .
«: nel settore fintech, i dati sono il prodotto». Il furto dei portafogli comporta un grave danno alla reputazione.”Tim Morris, ex vicepresidente senior responsabile della sicurezza informatica presso Wells Fargo
Anche le minacce alla sicurezza informatica sono destinate ad aumentare. In linea di massima, tra tutti i settori, quello bancario ha subito l’impatto maggiore dei costi legati alla criminalità informatica. In 2019, it came in a dismal No. 1 in Accenture’s Ninth Annual Cost of Cybercrime study. Da allora la situazione non ha fatto che peggiorare, poiché il costo globale di tutti i reati informatici è salito alle stelle, raggiungendo quasi 1.000 miliardi di dollari nel 2020, a causa della pandemia e del lavoro da remoto. L’attacco informatico dello scorso anno ai danni dell’ Appe di servizi bancari digitali Dave, nel corso del quale gli hacker hanno sottratto i dati personali di circa 7,5 milioni di utenti di dave.com, evidenzia le vulnerabilità con cui deve confrontarsi il settore fintech.
Per molti critici, gli algoritmi alla base delle piattaforme di pagamento online, assicurative e di credito rappresentano un elemento fondamentale per la loro stabilità e affidabilità. In realtà non è così, afferma Morris. Ciò che è davvero fondamentale è il modo in cui queste aziende gestiscono i dati e la solidità dei sistemi che ne garantiscono la sicurezza.
I gioielli della corona
Moshe Katri è amministratore delegato del settore ricerca azionaria presso Wedbush Securities, una società di gestione patrimoniale e di investimenti con circa 6.000 clienti e 4,2 miliardi di dollari in gestione. Katri sostiene che il fatto che le fintech siano innovative non significa che si assumano rischi maggiori.
Infatti, le aziende rivolte ai consumatori, come le fintech, che operano in settori caratterizzati da una maggiore volatilità – che si tratti di piattaforme di scambio di criptovalute o di piattaforme di negoziazione azionaria – tendono ad adottare ulteriori livelli di sicurezza. «L’ultima cosa che desiderano è che la fiducia venga scossa da una violazione», afferma Katri.
Non sorprende che Morris, che attualmente lavora come stratega tecnologico presso Tanium nella Carolina del Nord, affermi che la visibilità sull’intera rete sia fondamentale per la sicurezza dei dati. A tal fine, gli operatori del settore fintech devono sapere quanti endpoint sono presenti sulla propria rete, come tali endpoint siano configurati, quale software stiano eseguendo e se tale software sia aggiornato con le patch e all’ultima versione. Solo allora potranno definire la propria superficie di attacco e proteggere i propri beni più preziosi. Facendo un passo indietro, afferma, le aziende fintech dovrebbero anche avere una chiara consapevolezza di come appaiono agli occhi di un malintenzionato.
Assumetevene la responsabilità
I criminali informatici prendono di mira il settore fintech per lo stesso motivo per cui prendono di mira altri settori: per ottenere un guadagno rapido (spesso tramite ransomware). Ciò offre alle società di sicurezza un punto di partenza su cui lavorare e che consente loro di anticipare gli sviluppi. Inoltre, secondo Morris, sebbene gli attacchi appaiano spesso sempre più sofisticati, sono di solito di natura opportunistica e ben pianificati. Il ransomware, afferma, sta diventando un prodotto “di massa”.
L'adozione di buone pratiche di sicurezza informatica è fondamentale per rendere più difficile l'accesso ai criminali, il che spesso è sufficiente a spingerli a cercare una vittima più vulnerabile. Tra le priorità principali figurano: individuare e catalogare tutti gli endpoint e i dispositivi collegati a una rete; gestire il numero crescente di app e altri software che si sono moltiplicati durante l’era del lavoro da remoto; automatizzare l’applicazione delle patch al software autorizzato (eliminando al contempo le app non autorizzate); e definire un piano di risposta rapida alle minacce alla sicurezza.
Morris sostiene che le aziende fintech debbano integrare la sicurezza sin dalle prime fasi della propria tecnologia operativa, una pratica nota come “shift left” nel campo del collaudo del software. Ciò consente di dare priorità ai test nelle prime fasi del ciclo di sviluppo, anziché aggiungerli a posteriori. Inoltre, incoraggia, se non addirittura richiede, una maggiore collaborazione tra i team di sicurezza e gli sviluppatori.
«Spesso utilizzo la casa come analogia», afferma Morris. «Si definiscono i contorni e le serrature man mano che si configurano le finestre e le porte.»
Una sfida per il settore fintech, caratterizzato com’è dalla presenza di numerose piccole imprese, è rappresentata dalla tentazione da parte delle aziende di esternalizzare ogni responsabilità in materia di IT e sicurezza. Le fintech non possono semplicemente affidarsi a un unico fornitore per ogni esigenza. (Gli attacchi recenti alla catena di approvvigionamento hanno sicuramente insegnato loro proprio questo.) Non possono semplicemente impostarlo e non pensarci più. Devono assumersi la responsabilità della propria strategia di sicurezza. “Affidare la gestione a una società esterna comporta per l’azienda un rischio legato a terzi, oltre al rischio legato ai dati”, afferma Morris.
«Leaziende dovrebbero avere ben chiara l’immagine che esse stesse danno di sé agli occhi di un aggressore.”
Inoltre, ciò entra in conflitto con le autorità di regolamentazione. Il sistema informativo di una società fintech deve soddisfare non solo le proprie esigenze aziendali, ma anche quelle delle autorità di vigilanza finanziaria e di sicurezza. Devono inoltre rispettare i protocolli dei partner o degli sponsor nel settore dei servizi finanziari. E non possono essere prodotti standard.
«Occorrono regole davvero efficaci, non regole preconfezionate o basate su modelli standard», afferma Chuck Pine, responsabile del settore conformità presso la società di revisione e consulenza BDO, il cui team si occupa in particolare di strategie antifrode e antiriciclaggio. «Devono essere realizzati per i vostri clienti.»
Minacce in continua evoluzione
In un contesto in cui la trasformazione digitale continua ad accelerare, anche le minacce digitali si evolvono rapidamente. Ciò rende le fintech tra i principali custodi dei preziosi dati dei clienti e sottolinea l’importanza che il settore adotti rigorose pratiche di sicurezza informatica.
Pine afferma che le aziende che muovono i primi passi nel settore fintech e che si apprestano ad affrontare gli adempimenti normativi spesso non comprendono che il loro profilo di rischio è intrinsecamente elevato a causa della natura delle attività in cui operano.
[Leggi anche: Le ingenti sanzioni normative in Europa stanno tornando alla ribalta]
Anche il settore fintech è in continua evoluzione. Le criptovalute, che sembrano monopolizzare i titoli dei giornali, rappresentano un’innovazione che offre agli investitori un prodotto, le monete digitali, e una nuova tecnologia, la blockchain, la quale, in teoria, ha il potenziale per rivoluzionare l’intero funzionamento del settore dei servizi finanziari. I sostenitori della piattaforma affermano che le sue transazioni crittografate portano la sicurezza dei servizi finanziari a un nuovo livello, mentre i critici sostengono che essa sia soggetta ad abusi a causa dell’anonimato delle transazioni.
Katri di Wedbush afferma che gran parte delle energie delle startup del settore delle criptovalute è dedicata a prepararsi alla potenziale introduzione di normative, o quantomeno a una maggiore vigilanza.
«Le criptovalute finiranno per essere regolamentate in un modo o nell’altro», afferma Katri. «Sarà un evento positivo per il settore e conferirà una certa legittimità».
Ritorno alle origini
I dati non sono solo una risorsa preziosa per le aziende fintech. Può stimolare l'innovazione tecnologica e aprire nuovi mercati. Se si agisce nel modo giusto, le fintech hanno ottime possibilità di prosperare. Tuttavia, qualora si verificassero intoppi, malfunzionamenti del sistema o violazioni, le autorità di vigilanza statunitensi sarebbero sottoposte a pressioni affinché intervengano con misure severe e impongano parametri che potrebbero minacciare la crescita che ha portato il settore al livello attuale.
Per Morris, gran parte della questione si riduce alle buone pratiche tradizionali in materia di sicurezza informatica. Quando si effettua una valutazione delle minacce e si individua una potenziale via d’accesso al sistema da parte di un malintenzionato, «si avverte un nodo allo stomaco», afferma. «Ma si prova anche una bella sensazione perché si è scoperto qualcosa prima di chiunque altro.»
