Verizon: aziende 2.0 a rischio phishing, ma non è solo colpa dei cyber-criminali

29 aprile 2016 ore 11:31, Luca Lippi
Misteri della scienza e della tecnica? Staremo per dire di no, e non solo noi, il vero “bug” è la fragilità umana, è quanto emerge dall’edizione 2016 del Verizon Data Breach Investigations Report che è il rapporto annuale del provider di telecomunicazioni wireless che ha analizzato oltre 2.260 violazioni accertate e circa 100.000 incidenti di sicurezza segnalati nel corso del 2015.
Il fatto è che l’hacker “professionista” non concentra la sua perizia tanto sulla macchina quanto sull’uomo che la usa sferrando attacchi, stavolta (e come al solito) a danno delle aziende, e l’attacco si consuma in tre fasi che comprende: l’invio di una mail di phishing che include un link a un sito web dannoso o un allegato malevolo; il download del malware sul Pc dell’utente (nella maggior parte dei casi, il malware ruba le credenziali di numerose applicazioni attraverso un key-logging); l’uso di credenziali per futuri attacchi, come l’accesso, ad esempio, a siti web di terze parti come banche o siti di e-commerce.

Verizon: aziende 2.0 a rischio  phishing, ma non è solo colpa dei cyber-criminali

Sartin (executive director Verizon Risk Team), nella relazione in cui spiega la procedura operata da quelli che definisce “cyber-criminali”, spiega come sia possibile tanta invasivisività informatica e perchè: “L'obiettivo è capire come i cyber-criminali. Avendo individuato le modalità utilizzate, siamo in grado di prevenire, rilevare e rispondere al meglio agli attacchi”. 
Il problema reale e unico è la fragilità umana che si configura nella superficialità, nel senso che i sistemi per rednere la vita degli hacker più complicata ci sono, ma per pigrizia, e superficialità appunto, questo non è regolarmente tenuto nella gusta considerazione.
Per riuscire nel proprio intento, gli hacker sfruttano spesso vulnerabilità conosciute ma irrisolte, nonostante le patch siano disponibili da mesi, se non addirittura anni. Le password deboli, predefinite o sottratte continuano a interessare gran parte (63%) delle violazioni, ma anche gli attacchi randomware sono in crescita, precisamente del 16% rispetto al 2014. La criticità, spiega il report, risiede principalmente nel fatto che le difese di base sono, ancora oggi, gravemente assenti in diverse organizzazioni.
Infatti, i dati di quest’anno non segnalano particolari novità fra i tipi di offensive utilizzate dai cyber-criminali, che anzi hanno capito come a prescindere dal mezzo utilizzato il fattore decisivo sia lo sfruttamento della fragilità umana. si evidenzia che l’89% di tutti gli attacchi analizzati da Verizon nasconde o implica motivazioni finanziarie o di spionaggio.
Alla base della procedura di effrazione dei dati sensibili delle aziende c’è il Phishing che è una modalità in sensibile ascesa rispetto allo scorso anno, che si verifica quando un utente finale riceve un’e-mail da una fonte fraudolenta. È allarmante, sottolinea Verizon, notare come nel 30% dei casi questi messaggi di phishing vengano aperti (+23% rispetto al 2014) e come il 13% di questi utenti abbia cliccato sull’allegato malevolo o sul link dannoso, permettendo l’infiltrazione di un malware e l’accesso dei cyber-criminali.
Alla lista di errori si aggiunge che nel 26% dei casi l’invio di dati sensibili si offre al destinatario errato. Altri errori presenti in questa categoria sono: eliminazione non corretta di informazioni aziendali, errori nella configurazione dei sistemi informatici, furto o smarrimento di dispositivi come laptop o smartphone.
Quali le regole da seguire per proteggersi? La risposta offerta da Verizon è piuttosto semplice quanto banale:
- riconoscere quali sono i modelli di attacco più comuni nel proprio settore di appartenenza;
- utilizzare l'autenticazione a due fattori per i propri sistemi. Incoraggiare gli utenti ad utilizzare l’accesso a due fasi per le applicazioni di social networking;
- applicare rapidamente le patch;
- monitorare tutti gli accessi: esaminare i log-in per identificare più facilmente le attività dannose;
- crittografare i dati: se i dispositivi rubati sono criptati, è molto più difficile, per gli attaccanti, accedere ai dati;
- formare il personale: sviluppare la consapevolezza della sicurezza all'interno della propria organizzazione è fondamentale, dato soprattutto l’incremento nel numero di attacchi di phishing;
- conoscere i dati e proteggerli di conseguenza, limitando anche l’accesso;
-soprattutto spiegare che sul lavoro non è sicuro usare il pc ludicamente.
Conclude Sartin: "Il report di quest'anno dimostra ancora una volta che non esiste un sistema che si possa definire impenetrabile. Spesso, però, anche una difesa di base è in grado di scoraggiare i cyber-criminali, che cercheranno, quindi, un bersaglio più facile”.

autore / Luca Lippi
Luca Lippi
caricamento in corso...
caricamento in corso...
[Template ADV/Publy/article_bottom_right not found]