L’importanza della formazione nella sicurezza informatica andrà sempre di pari passo all’evoluzione tecnologica. Sempre più dati lo dimostrano: il fattore umano è ancora una variabile importante per stabilire l’efficacia della propria cybersecurity. Basta davvero un click, una disattenzione, per vanificare un piano di sicurezza articolato. Il che deve condurre le aziende, soprattutto le PMI meno strutturate, a porsi degli interrogativi. Si può investire moltissimo in tecnologia, adottare le soluzioni di cybersecurity più sofisticate e applicare tutte le best practices possibili. Parallelamente però, occorre destinare investimenti anche a un’attenta formazione del proprio personale interno. I membri delle aziende devono essere a conoscenza dei rischi dei loro comportamenti. Essere consapevoli che basta una disattenzione per permettere a un attacco di andare a bersaglio. Con tutti i danni che ne conseguono.
Secondo un’analisi pubblicata dal gruppo Verizon, colosso mondiale della sicurezza, nel 68% dei cosiddetti ‘Data Breach’, i furti di dati, il fattore umano è stato preponderante.
Le tecniche utilizzate dagli hacker per indurre i membri di un’azienda in errore sono sempre più sofisticate. È il classico fenomeno del Social Engineering, che trova ancora la sua applicazione più diffusa nelle tecniche di Phishing.
Ecco perché è indispensabile trovare un partner che oltre alla tecnologia sia in grado anche di proporre una formazione competente ai loro dipendenti. E vale soprattutto per le PMI che esternalizzano tutta la propria sicurezza informatica.
Noi di Guttadauro da molti anni ci occupiamo anche di questo, oltre che fornire le migliori soluzioni tecnologiche sul mercato. Lo facciamo attraverso una continua attività di consulenza ed educazione in questo ambito, dove è necessario essere continuamente aggiornati.
Il Phishing è sempre
la minaccia più temibile
Gli attacchi di Phishing, solo nell’ultimo anno, ha visto un aumento dell’87% , dimostrando come in Italia, gli errori personali siano sfruttabili molto facilmente dagli attaccanti.
Questa tecnica d’attacco rimane quindi una delle minacce informatiche più temibili, soprattutto per le PMI, dove c’è meno conoscenza del tema.
Nel secondo semestre del 2023 sono state osservate nel nostro Paese ben 155.683 campagne di phishing, con metodi che si sono sempre più evoluti.
Il funzionamento del Phishing è sempre lo stesso: vengono inviate mail malevole perfettamente camuffate da comunicazioni di mittenti autorevoli. Proprio l’apparente sicurezza del sender genera fiducia nell’utente e lo induce a cliccare su determinati link, avviare applicativi o inserire i propri dati personali.
Queste operazioni possono aprire una breccia all’interno della sicurezza informatica di un’azienda, favorendo l’installazione e il diffondersi di vari tipi di Malware.
L’hacker ottiene dati personali e finanziari dei soggetti colpiti, per la riconsegna dei quali poi richiede un riscatto. Oppure, vengono simulate richieste di aggiornamento dei dati di pagamento da famose piattaforme di vendita, e una volta inseriti arriva direttamente un furto di quattrini.
Le “trappole” inserite all’interno di una mail sono rappresentate da link, allegati che contengono degli eseguibili oppure moduli da compilare.
I cybercriminali giocano sulla paura e sull’ansia di risposta dell’utente. Spesso già dall’oggetto della mail si parla di blocchi, malfunzionamenti o richieste di intervento da parte del destinatario. Che, a sua volta, riponendo fiducia in quello che è apparentemente il mittente (la propria banca, un ente, o il suo provider di tecnologia) è indotto ad effettuare un’azione che si rivela poi dannosa.
Nel mondo, per esempio, il maggior numero di tentativi di Phishing è avvenuto usando come falso mittente Microsoft Office 365. Nella maggior parte dei casi la richiesta era introdurre le proprie credenziali, al fine di rubarle.
La formazione è
la miglior prevenzione
L’efficacia degli attacchi Phishing è direttamente proporzionale alla loro semplicità di attuazione. L’importanza della formazione nella sicurezza informatica assume quindi sempre più valore.
Tecnicamente, per un hacker è davvero elementare impostare una campagna di phishing. Invia una semplice e-mail e non necessita di particolari abilità tecniche o analisi delle vulnerabilità di un’azienda.
E, di contro, per un sistema di difesa informatica è molto complicato bloccare una mail malevola prima che sia giunta a destinazione.
Come in nessun altro caso, è il comportamento dell’utente che fa la differenza.
Ecco perché è così importante la formazione, è una delle principali forme di prevenzione. Un dipendente, che utilizza mezzi informatici, deve riuscire a riconoscere certi segnali che possono essere indizio di mail malevole. Il principale, e più classico, è un indirizzo del mittente leggermente diverso da quello ufficiale.
Allo stesso modo, bisogna osservare con attenzione le URL dei link contenuti nelle mail, se accedono a siti realmente sicuri e certificati. Spesso ce ne si può accorgere semplicemente da alcuni errori di ortografia delle url stesse, che mandano a siti cloni di quello reale.
Conclusione
L’applicazione dell’intelligenza artificiale ha reso le campagne di phishing ancora più sofisticate.
Spesso l’utente viene indotto in vere e proprie conversazioni telematiche (alimentate fraudolentemente da chatbot istruiti dagli hacker) che paiono del tutto reali. E che quindi inducono l’utente a superare la propria diffidenza e a consegnare spontaneamente i propri dati. Oppure ad aprire una breccia nel sistema di sicurezza interna aziendale.
In Guttadauro ci preoccupiamo molto della formazione dei nostri clienti, oltre che fornire efficaci strumenti di risposta agli attacchi informatici. Contattaci per scoprire come possiamo migliorare la sicurezza dei tuoi sistemi.