Nel 2021 ne sono stati violati 22 miliardi
Oggi una delle merci di scambio più preziose sul mercato globale sono i dati: informazioni sensibili, aziendali e personali, tendenze, gusti, opinioni, informazioni finanziarie.
Come più volte sottolineato dalla Commissione europea, i dati sono la materia prima del mercato unico digitale.
Secondo quanto scrivono Fabio Pompeio e Alessandro Alongi nel libro – Diritto della privacy e protezione dei dati personali. Il GDPR alla prova della Data driven economy – “accadono più cose online in un minuto che in una giornata intera nella vita reale: milioni di e-mail che viaggiano da una parte all’altra della terra, altrettante foto, video e commenti vengono postati sui social network, i motori di ricerca indicizzano informazioni, centinaia di migliaia di utenti scaricano contenuti, documenti e informazione dal web e, stando ai dati degli ultimi anni, vengono spesi online 751mila dollari”.
Alla fine di una giornata media, scrivono ancora i due autori “si contano 42 miliardi di messaggi su WhatsApp, 150 miliardi di e-mail e 66 miliardi di foto su Instagram. Numeri da record, impensabili sino a qualche anno fa, e possibili oggi solo grazie alla rete, al web e all’enorme capacità che le moderne macchine hanno di elaborare dati e informazioni. Intanto Facebook definisce chi siamo, Amazon cosa vogliamo e Google cosa pensiamo. I giganti del web definiscono soprattutto la nostra reputazione, in considerazione che la stessa è per lo più ricostruita sull’interpretazione delle tracce che lasciamo nelle nostre interazioni in rete, nonché sulla base di dati disponibili su di noi”.
Tutte informazioni che poi vengono utilizzate a fini commerciali, per inviarci pubblicità personalizzata, ma anche delineare profili a cui attingeranno compagnie assicurative o potenziali datori di lavoro o chiunque possa essere interessato ad avere informazioni su di noi. E che hanno quindi un grande valore economico.
Questo però è un livello di cui ormai siamo tutti più o meno consapevoli e che quindi nei limiti del possibile possiamo riuscire a gestire, se solo decidiamo di farlo. Insomma, essere invisibili oggi è molto difficile ma si può ancora fare.
La violazione e il furto di dati
C’è però un livello molto più insidioso ed è quello della vera e propria violazione e furto di dati.
Nel 2021, secondo il Report della compagnia Usa, Risk Based Security, sono stati violati 22 miliardi di dati, finiti probabilmente sui mercati del dark web per essere venduti alla comunità dei criminali informatici che, a loro volta, li utilizzano per mettere a punto cyber attacchi, tra cui il furto di identità, la Business Email Compromise (BEC) e l’infezione da ransomware. Per dirla in modo semplice, i dati sono le fondamenta del crimine esercitato in rete, a tal punto che, secondo gli esperti, senza di essi gli hacker non sarebbero riusciti a mettere le mani sui 1,5 trilioni di dollari di entrate realizzati nel 2019.
Secondo il Data Breach Investigations Report – DBIR 2022 – le quattro principali modalità utilizzate dai pirati informatici a tale scopo sono: il furto delle credenziali, il phishing, lo sfruttamento delle vulnerabilità e le Botnet.
Il furto delle credenziali
Secondo il DBIR 2022, dal 2017 è stato registrato un aumento del 30% delle credenziali rubate. Farsi rubare le credenziali di accesso, come nome utente e password, equivale a spalancare le porte ai criminali e consegnare loro dati aziendali, personali e conto bancario.
Questo vale anche per i dipendenti che hanno ruoli non di responsabilità ma più “laterali”. Per l’hacker l’obiettivo è entrare nella rete aziendale, non importa da dove ci entra.
Un errore molto comune ma che può avere pericolose conseguenze è per esempio quello di condividere la propria password o riutilizzarla per più account. Un errore molto comune, come rilevato dal sondaggio di Google , secondo il quale il 52% delle persone riutilizza le password per più account.
Il Phishing
Il phishing è in testa a tutte le classifiche di furto di dati personali. E’ il sistema più gettonato dai criminali cyber, esperti di social engineering, e, allo stesso tempo, quello che registra più vittime. Questo perché il phishing in tutte le sue forme e declinazioni (phishing, spray-phishing, spear-phishing, smishing e vishing) rappresenta la via diretta per entrare in un’organizzazione. Anche il ransomware, che prima riguardava esclusivamente l’estorsione finanziaria, ora viene utilizzato per rubare i dati.
E la sfida si fa sempre più ardua visto che neanche l’autenticazione a due fattori può farci dormire sonni tranquilli. Gli hacker infatti sono sempre più creativi e stanno trovando nuovi modi per aggirare anche questo tipo di protezione.
Sfruttare le vulnerabilità
Il phishing e il furto di credenziali spesso sfruttano vulnerabilità che portano sempre al solito ambito bottino: il furto di dati. Le vulnerabilità del software sono comuni. CVE Details, che ne tiene un database, ha registrato nel 2021 oltre 20.000 vulnerabilità ognuna delle quali può potenzialmente consentire a un hacker di sfruttare la falla e prendere il controllo di un’applicazione per rubare dati o installare malware. Insomma, anche su questo punto c’è ancora molto da fare.
Botnet
Una botnet, parola formata dai termini “robot” e “network”, è una rete di computer controllata da un botmaster e composta da dispositivi infettati da malaware detti, appunto, bot o zombie. I criminali che ne hanno il controllo la gestiscono da remoto per effettuare attacchi informatici con obiettivi vari: l’invio di e-mail di phishing, malware e/o l’esecuzione di un attacco Denial-of-Service. Tutto ciò può rientrare in un obiettivo più ampio di furto di dati.
Secondo SpamHaus, nel quarto trimestre del 2021, è stato registrato un aumento del 23% dell’attività delle botnet.
Il fattore umano
Tipi di violazione diversi ma che hanno all’origine la stessa falla: il fattore umano, il vero anello debole della catena. Secondo quanto emerso dal DBIR 2022, l’82% delle violazioni ha all’origine un errore umano. Sono proprio “le persone che continuano a svolgere un ruolo molto importante sia negli incidenti sia nelle violazioni“, si legge.
E’ dunque sull’elemento umano che bisogna intervenire, rendendolo consapevole, istruendolo, formandolo e mettendolo in grado di rispondere prontamente alle minacce che arrivano e arriveranno, sempre più numerose e sempre più aggressive, dal web. La soluzione, dunque, ha un solo nome e cognome: formazione efficace e di qualità.
Le aziende, per prevenire i danni cibernetici, che possono avere conseguenze molto gravi, devono scegliere piattaforme formative che siano all’altezza della sfida odierna: rendere le loro organizzazioni immuni da attacchi e sempre pronte a difendersi adeguatamente. Per raggiungere questo obiettivo ogni dipendente deve padroneggiare una corretta postura digitale ed essere pronto a riconoscere e gestire ogni tipo di attacco.
Solo questo rappresenta un vero ostacolo per gli hacker e può garantire una protezione efficace e duratura per tutta l’azienda.
Per saperne di più sui percorsi formativi di Cyber Guru
