In questo articolo Indice dei contenuti 2 sezioni
Bastano tre dipendenti raggiunti da un messaggio credibile e la porta si apre: l’attacco hacker a Levi’s è finito sotto i riflettori proprio per questo motivo, perché non c’è stata alcuna falla tecnica clamorosa, nessuna vulnerabilità zero day, nessun sistema lasciato scoperto per distrazione. C’è stato invece un lavoro paziente di social engineering, tre persone convinte a fare qualcosa che sembrava normale, e da lì l’accesso ai sistemi aziendali con successiva esfiltrazione di dati. Un copione che si ripete con una regolarità quasi noiosa, e che continua a essere raccontato come se la colpa fosse di chi ha cliccato.
Il punto è che questa lettura non regge più. Definire il dipendente l’anello debole della catena è comodo, sposta la responsabilità verso il basso e permette a tutto il resto dell’organizzazione di sentirsi a posto. Ma se tre persone su una popolazione aziendale ampia riescono a compromettere un’intera infrastruttura, il problema non sono quelle tre persone. È l’architettura che permette a un errore individuale di propagarsi fino a diventare un incidente di sicurezza di quella portata.
Perché la formazione da sola non basta più
Nessuno mette in discussione l’utilità dei corsi di security awareness, delle simulazioni di phishing, delle campagne interne. Servono, eccome. Il guaio è quando diventano l’unica linea di difesa, la casella da spuntare per dire che sì, il personale è stato informato. Perché gli attaccanti che hanno colpito Levi’s non hanno usato messaggi sgrammaticati con loghi sfocati. Le tecniche di ingegneria sociale oggi lavorano sulla verosimiglianza, sul contesto, sul momento giusto della giornata lavorativa, su una richiesta che arriva quando la persona è già di corsa e ha altre venti cose da chiudere.
Chiunque, in condizioni sfavorevoli, può sbagliare. Il collaboratore preparatissimo di solito, quello che di solito individua l’anomalia al primo sguardo, prima o poi cade in una giornata storta. La statistica gioca contro le organizzazioni: basta che vada male una volta sola, mentre chi difende deve andare bene sempre. Costruire un modello di cyber security che si regge sulla perfezione costante di ogni singola persona significa costruire su una base che cederà.
Progettare sistemi che assorbono l’errore
Il ribaltamento di prospettiva è tutto qui: partire dal presupposto che l’errore umano avverrà e progettare di conseguenza. Non prevenirlo a ogni costo, ma contenerne le conseguenze. Significa segmentare le reti in modo che un accesso ottenuto in un punto non apra tutto il resto, applicare il principio del privilegio minimo così che ogni utenza possa toccare solo ciò che le serve davvero, monitorare i comportamenti anomali invece di limitarsi a bloccare le minacce già catalogate.
Significa anche autenticazione robusta, controlli sui flussi di dati in uscita, procedure di verifica per le operazioni sensibili che non dipendano dal giudizio istantaneo di una sola persona. In un’impostazione di questo tipo il clic sbagliato resta un incidente minore, un evento isolato che il sistema assorbe. Nel caso dell’attacco a Levi’s, invece, tre compromissioni individuali si sono trasformate in una violazione con impatto sull’intera azienda, il che racconta molto sulla distanza tra il punto di ingresso e i dati raggiunti.
C’è poi un aspetto culturale che pesa quanto quello tecnico. Nelle organizzazioni dove sbagliare significa finire sotto accusa, chi si accorge di aver fatto una cosa avventata tende a non dirlo, spera che passi, prova a sistemare da solo. E quelle ore di silenzio sono esattamente il tempo che serve agli attaccanti per muoversi. Un ambiente dove la segnalazione immediata è normale, priva di conseguenze punitive, accorcia drasticamente la finestra utile all’intrusione.
La sicurezza informatica costruita attorno alla fallibilità delle persone non è un cedimento, è realismo applicato. Gli attaccanti lo hanno capito da tempo e prendono di mira le persone perché sanno che è la strada più economica. Le difese, per ora, faticano ad aggiornarsi con la stessa velocità.
