I dati sono l’oro dell’era digitale, eppure questo messaggio non è stato ancora metabolizzato, con conseguenze rilevanti per la sicurezza informatica. Trattare la sicurezza web è sicuramente un argomento molto vasto, ma vorrei restringere il cerchio e parlare della sicurezza delle applicazioni web. Ogni sito web presenta almeno una vulnerabilità nota, per questo è necessario adottare misure adeguate di sicurezza preventiva.
Avrai sicuramente sentito parlare di sicurezza in internet e di quanto sia fondamentale proteggere la privacy quando navighiamo nel web; azioni che compi quotidianamente in rete possono nascondere varie conseguenze. La sicurezza non è mai abbastanza quando si parla di dati sensibili, non mi stancherò mai di dirlo e sono varie le minacce nelle quali possiamo cadere esplorando il web, poiché malintenzionati possono adottare tecniche particolari ed intrufolarsi nei documenti personali. Quindi difendiamoci ogni giorno.
Già ad inizio 2018 sono stati rilevati più di 137 mila tentativi di accesso a siti web sfruttando il phishing ed il “fenomeno” non sembra arrestarsi dato che la tendenza è andata ad aumentare ed ha superato i tentativi del 2017. Il phishing è uno dei complessi tipi di cyberattacco, è una truffa su Internet attraverso la quale il malintenzionato cerca di ingannare la vittima convincendola a fornire informazioni personali, codici di accesso e dati finanziari spacciandosi per un ente affidabile. Il phishing si basa sul social engineering (o ingegneria sociale) ossia lo studio del comportamento di una persona al fine di carpirne le informazioni utili e personali.
Come si svolgono queste tecniche di cyberattacco?
Nella maggior parte dei casi i truffatori creano una copia della pagina web legittima ed invitano l’utente ad inserire le proprie credenziali – insieme ad altre preziose informazioni – o pagare servizi inesistenti. Le conseguenze possono essere numerose: perdita di denaro, compromissione di realtà, intrusione nei sistemi in maniera illegale. Succede che dipendenti poco attenti forniscano loro stessi ai criminali digitali le proprie credenziali per accedere ai sistemi web. Tra i paesi più colpiti troviamo la Germania, seguita dalla Russia e dall’Inghilterra. Mentre l’Italia si trova al quinto posto.
Oppure, viene informata via mail la vittima di un presunto tentativo di rimborso non andato a buon fine e la si invita ad accedere al proprio portale per svolgere manualmente la procedura. Per fare questo viene chiesto di aggiornare le informazioni del proprio account tramite un link contenuto nel testo della mail. Naturalmente niente di tutto ciò è vero!! Ma appena l’ignaro utente inserisce le proprie credenziali per l’accesso, il gioco è fatto. Per questo invito sempre a non dare seguito a simili richieste ed a cancellare subito la falsa mail ricevuta.
Cosa fare se riceviamo simili mail?
- È importante controllare sempre l’autenticità dell’indirizzo del mittente ed il link contenuto nella mail, prima di cliccare su qualsiasi cosa. Meglio ancora non cliccare su nessun link, ma digitarlo nell’indirizzo del browser così da essere sicuri che esso non copra un altro collegamento dannoso. Se non sei sicuro dell’autenticità del sito web e del mittente non inserire le tue credenziali di accesso. Se invece è troppo tardi cambia subito la password di accesso al servizio incriminato.
- Usa sempre connessioni sicure specialmente durante l’invio di dati sensibili; se utilizzi connessioni non protette da password o sconosciute i criminali digitali possono reindirizzarti verso pagine di phishing, senza che te ne accorga.
- Affidati a siti completamente sicuri, quando navighi in rete e se devi registrarti ad un servizio scegli una password abbastanza sicura, in maniera da evitare attacchi da malintenzionati. Digitando la password combina, oltre alle lettere, anche numeri e segni di punteggiatura… renderai più difficile la vita a chi tenta di accedere ai portali web con le tue chiavi di accesso. L’uso di password complicate e soprattutto diverse per ogni servizio utilizzato è certamente una precauzione importante. Usare la stessa password d’accesso per tutti i servizi internet non è affatto sicuro, perché una volta che i truffatori l’avranno scoperta sarà per loro un giochetto da ragazzi associarla alla tue identità in rete.
Un altro suggerimento che potrei darti per proteggerti dagli attacchi di malintenzionati è quello di usare diversi indirizzi email a seconda del servizio utilizzato in rete: una mail per accedere ai social network ed un’altra da usare per altri scopi… in questo modo chi vorrà rubare i tuoi dati avrà difficoltà a risalire alla tua identità.
Quali minacce può ricevere il tuo sito web?
Se disponi di un sito web nasce la necessità di dotarti – come azienda oppure come singolo – di un sistema di sicurezza web. Tutti i siti web – aziendali e non solo – possono essere vulnerabili ed esporre i titolari a serie ripercussioni che non si limitano al singolo settore, poiché le conseguenze possono impattare sulla reputazione e sulla conseguente difficoltà da parte degli utenti/clienti a fidarsi nuovamente di loro. Possono infatti aprirsi scenari poco gradevoli: dalla richiesta di pagamento da parte degli hacker per riavere i propri dati e contenuti, fino alle sanzioni amministrative a seguito della nuova legge sulla privacy – entrata in vigore a maggio di questo anno (2018) – secondo la quale i titolari del sito web non si sarebbero adoperati a sufficienza per proteggere i dati dei loro utenti.
Quando si parla di sicurezza non si è mai troppo cauti, per questo è bene analizzare alcune delle minacce alle quali dovrai prestare molta attenzione.
- Malware: la più conosciuta ma anche la più infida, poiché assume diverse forme in base allo scenario di riferimento ed all’obiettivo. È molto potente, da un’infezione malware può nascere da parte del criminale un controllo totale o quasi della piattaforma web. I malware sono come gli abiti, ce ne sono per ogni occasione, perché esistono quelli per il settore sanitario, per quello commerciale, per quello bancario, ecc.… quindi non puoi concederti il lusso di abbassare le tue difese e farti trovare impreparato.
- SQL Injection: il linguaggio SQL è strutturato per i database e quando il criminale digitale introduce (inietta appunto) elementi dannosi all’interno del database questo potrebbe riconoscerli come del tutto normali. In questo modo sono aperte le porte agli hacker che rubano i dati contenuti. Ma tale vulnerabilità di solito non mette solo in pericolo le informazioni sensibili degli utenti, ma anche quelli degli amministratori del sito poiché creando degli account ad hoc per governare l’applicazione web il criminale può prenderne il pieno controllo, con le conseguenze assai gravi che puoi ben immaginare.
- Cross site scripting: consiste nell’introduzione di frammenti di codice malevoli ed eseguiti poi dall’utente in un secondo momento. Questa esecuzione ignara avviene per esempio cliccando su un link malevolo con conseguenze devastanti, perché una volta eseguito il link si da la possibilità al criminal hacker di ottenere l’accesso completo ai dati.
- Distributed Denial of Service: un numero esponenziale di richieste provenienti da indirizzi diversi IP e dirette verso la stessa applicazione web riescono a saturare il sistema mandandolo letteralmente in titlt provocando così la sua inaccessibilità ed il suo crollo.
- Web scraping: la rete viene scandagliata continuamente grazie ai bot, ma se di questi si fa un uso cattivo ecco che le gli scopi cambiano. Alcuni bot aiutano ad ottimizzare le ricerche ed a fornire risultati pertinenti, altri possono generare traffico malevolo e tentare di estrapolare dati da un sito web. A livello generale un bot è un software che automatizza azioni iterative, ma possono anche fungere da apripista perché una volta ottenuti i tuoi dati personali, tramite un sito web che hai visitato, è possibile che tu riceva campagne di phishing grazie alle informazioni carpite da questi bot “cattivi”.
CONCLUSIONE
Abbiamo dunque visto che siti ed applicazioni web possono essere continuamente attaccati per estrapolare dati sensibili di ignari utenti. Le categorie colpite possono essere le più diverse: dai siti web di partiti politici (senza distinzione alcuna tra quelli di destra e di sinistra), fino ad enti, ministeri e agenzie dello stato. La vulnerabilità dimostra che il processo di digitalizzazione si è forse sviluppato in assenza di un investimento e di un piano tecnologico adeguato che possano preservare la sicurezza informatica di tutti. Questa non è da sottovalutare specie nella società moderna, poiché le minacce sono molteplici e possono annidarsi davvero ovunque, per questo ti consiglio una sicurezza preventiva del tuo sito web.