Attacchi hacker, l'allarme: "Nell'80% dei casi la vulnerabilità è l'errore umano"

Per fare il punto su cosa significhi realmente proteggersi oggi, abbiamo intervistato il professor Vincenzo Musacchio, giurista, criminologo e analista antimafia di fama internazionale, tra i massimi esperti di sicurezza, criminalità informatica e infiltrazioni digitali delle mafie.
 

Professor Musacchio, partiamo da una questione di fondo: nel panorama digitale odierno, è davvero possibile impedire preventivamente e al cento per cento un attacco hacker?

La risposta basata sulla realtà dei fatti è una sola: no. La sicurezza informatica assoluta e totale non esiste. Chi promette sistemi inattaccabili mente o non conosce l'evoluzione tecnologica. Il cyberspazio è per sua natura asimmetrico: chi attacca ha il vantaggio dell'iniziativa, può scegliere il bersaglio, il momento e lo strumento più adatto, mentre chi difende deve blindare ogni singolo anello della catena, 24 ore su 24. A tal proposito però mi corre l'obbligo di una precisazione: non dobbiamo assolutamente confondere l'impossibilità del rischio zero con l'inutilità della prevenzione. È vero che non si può azzerare il rischio, ma possiamo — e dobbiamo — ridurlo drasticamente, rendendo il costo dell'attacco per l'hacker economicamente o tecnicamente sconveniente. La prevenzione non serve a chiudere ogni porta, ma a trasformare una porta blindata in un labirinto così complesso che la maggior parte dei malintenzionati preferirà desistere.

Si sente parlare spesso di "fattore umano" come della principale anomalia o vulnerabilità. Quanto incidono le persone rispetto ai difetti tecnologici nella riuscita di un attacco?

Incidono in misura massiccia, parliamo di percentuali superiori all'ottanta per cento nella maggior parte dei data breach. L'essere umano è quasi sempre l'anello debole della catena di sicurezza. Le tecniche di social engineering, come il phishing mirato o il vishing, non colpiscono i protocolli di crittografia, ma le debolezze psicologiche: la fretta, la distrazione, la paura o l'eccessiva fiducia. Possiamo investire milioni di euro in firewall avanzatissimi e intelligenza artificiale difensiva, ma se un dipendente apre un allegato malevolo o cede le proprie credenziali a causa di una manipolazione psicologica, l'intero castello difensivo crolla in un secondo. Per questo motivo, la vera prevenzione inizia dalla formazione continua e dalla cultura della sicurezza, che deve permeare ogni organizzazione, dal vertice aziendale all'ultimo arrivato.

Dal punto di vista della criminalità organizzata e del cybercrime globale, come sono cambiati gli obiettivi della prevenzione negli ultimi anni?

Sono cambiati radicalmente. Oggi non parliamo più soltanto del classico hacker isolato o del "nerd" motivato dalla sfida intellettuale. Siamo di fronte a un'industria criminale globale, spesso sponsorizzata da Stati sovrani o strettamente intrecciata con le mafie transnazionali. Il crimine informatico è diventato un modello di business estremamente redditizio, pensiamo al fenomeno del Ransomware-as-a-Service. Di conseguenza, la prevenzione non può più essere solo un affare tecnico o un compito delegato esclusivamente al reparto IT. Deve diventare una funzione strategica di governance e di gestione del rischio d'impresa. Non si tratta più solo di evitare l'intrusione, ma di pianificare la resilienza: ovvero la capacità di un sistema di assorbire il colpo, continuare a operare in modalità degradata e ripristinare i dati in tempi rapidi senza cedere ai ricatti delle estorsioni digitali.

Quali dovrebbero essere, in sintesi, i pilastri di una strategia di prevenzione moderna ed efficace per istituzioni e grandi aziende?

Come ho più volte detto, anche in assise internazionali, i pilastri portanti dell'intera strategia di contrasto sono tre. 1) L'approccio "Zero Trust" (non fidarsi mai, verificare sempre). Nessun utente o dispositivo all'interno o all'esterno della rete deve essere considerato sicuro a priori; ogni accesso deve essere continuamente autenticato e autorizzato. 2) La crittografia avanzata e i backup immutabili. Proteggere i dati a riposo e in transito, e assicurarsi di disporre di copie di sicurezza isolate e non modificabili, che rappresentano l'unico vero scudo contro il ricatto dei ransomware. 3) La cooperazione pubblico-privata e l'intelligence predittiva. Le minacce viaggiano veloci, condividere tempestivamente le informazioni sulle nuove vulnerabilità e sulle tattiche dei gruppi criminali è vitale per prevenire attacchi simili altrove. In conclusione, dobbiamo uscire dall'illusione della fortezza inespugnabile ed entrare nella logica della gestione consapevole del rischio: prevenire il prevenibile, educare le persone e prepararsi a rispondere con prontezza ed efficacia quando la difesa inevitabilmente subirà una crepa.

Vincenzo Musacchio è professore di strategie di contrasto alla criminalità organizzata e associato al Rutgers Institute on Anti-Corruption Studies (R.I.A.C.S.) di Newark, presso la Rutgers University, negli Stati Uniti.