Che cos’è un attacco informatico? Tipologie, fasi e come prevenirlo

Un attacco informatico è un tentativo deliberato di introdursi in sistemi informatici, reti o dati, solitamente allo scopo di rubare qualcosa, causare un’interruzione o estorcere denaro. Si tratta di un concetto molto ampio: un’e-mail fraudolenta che induce un dipendente a trasferire denaro è un attacco informatico, così come lo è un software dannoso che blocca l’intero funzionamento di un ospedale. Ciò che accomuna questi casi è l’intenzionalità. Un guasto accidentale è un’interruzione di servizio; un guasto causato intenzionalmente è un attacco.

Di seguito vedremo chi è responsabile di questi attacchi e quali sono i loro obiettivi, quali sono i tipi di attacchi che potresti incontrare più frequentemente, come si svolge in genere un attacco, cosa fare se ti trovi coinvolto in uno di essi e perché la prevenzione più efficace ha meno a che fare con la tecnologia di quanto la maggior parte delle persone creda.

Chi attacca e perché

L'immagine dell'hacker solitario in felpa con cappuccio è ormai superata da decenni. La stragrande maggioranza degli attacchi proviene da gruppi criminali organizzati che operano come vere e proprie aziende, con servizi di assistenza, modelli di abbonamento e affiliati che noleggiano i propri strumenti. Il loro movente è il denaro, e i loro obiettivi vengono scelti proprio come qualsiasi azienda sceglie i propri clienti: in base alla facilità con cui si conclude la vendita.

Ecco perché l’assunto “siamo troppo piccoli per essere interessanti” è così costoso. Le piccole e medie imprese sono attraenti proprio perché detengono dati e flussi di pagamento di valore, pur disponendo raramente di un team di sicurezza dedicato. Gli attacchi contro di esse non sono solitamente mirati; sono automatizzati e passano in rassegna elenchi di indirizzi e vulnerabilità note finché non trovano una risposta. Abbiamo esaminato questa dinamica in modo più approfondito nel nostro articolo sul perché le PMI siano così vulnerabili agli attacchi informatici.

Accanto alla maggioranza dei criminali esistono altre motivazioni: concorrenti o soggetti statali alla ricerca di proprietà intellettuale, attivisti in cerca di attenzione e, occasionalmente, persone interne all’organizzazione che agiscono per frustrazione. Motivazioni diverse, ma tecniche in gran parte identiche, il che è vantaggioso: difendersi dal caso più comune copre la maggior parte degli altri.

I tipi più comuni di attacchi informatici

Continuano a comparire nuovi nomi di attacchi, ma quasi tutti sono variazioni di una manciata di meccanismi. Conoscere il meccanismo è più utile che memorizzare il vocabolario.

• Il phishing e le sue varianti. Un messaggio che si spaccia per qualcuno di cui ti fidi per ottenere credenziali, un pagamento o un clic. Rimane di gran lunga il punto di accesso più comune. Il funzionamento di questa tecnica e le differenze tra le varianti via SMS e vocali sono illustrate nella nostra guida sul phishing.
• Ransomware. Software dannoso che crittografa i file dell’utente e richiede il pagamento di un riscatto per ottenere la chiave di decrittografia, spesso accompagnato dalla minaccia di rendere pubblici i dati. Il nostro articolo sul ransomware illustra come si diffonde l’infezione.
• Il malware in senso lato. Keylogger, trojan bancari, spyware e cryptominer si installano tutti in modo invisibile e operano in background. Consulta la nostra panoramica sul malware.
• Ingegneria sociale senza alcun malware. Una telefonata convincente, un falso fornitore che modifica le coordinate bancarie, una richiesta urgente da parte di un dirigente. Non c’è alcun file da analizzare, ed è proprio questo che rende l’ingegneria sociale così difficile da filtrare.
• Attacchi alle credenziali. Riutilizzo di password trapelate altrove o tentativi su larga scala di indovinare quelle deboli. Una strategia poco costosa per l’autore dell’attacco, ed è proprio per questo che l’autenticazione a più fattori (MFA) è così importante.
• Sfruttamento di software non aggiornato. Vulnerabilità note nei sistemi che non sono stati aggiornati. Gli scanner automatici le individuano nel giro di poche ore dal momento in cui una vulnerabilità viene resa pubblica.
• Attacco denial-of-service. Sovraccaricare un servizio con un flusso di traffico tale da renderlo inaccessibile. Raramente finalizzato al furto, spesso finalizzato a causare disagi o a estorcere denaro.
• Attacchi alla catena di approvvigionamento. Compromissione di un fornitore, di un aggiornamento software o di un fornitore di servizi per raggiungere tutti coloro che ne fanno uso. La propria sicurezza rappresenta solo una parte del quadro generale.

Notate come molti di questi casi abbiano origine da una persona piuttosto che da una macchina. Il phishing, l'ingegneria sociale e il riutilizzo delle credenziali richiedono tutti l'intervento di qualcuno, ed è proprio qui che un'organizzazione ha il maggior margine di miglioramento.

Come si svolge un attacco informatico

Gli attacchi raramente sono quel singolo momento drammatico che sembrano nei notiziari. In realtà, si sviluppano attraverso fasi ben riconoscibili, e spesso tra il primo punto d’appoggio e il danno visibile trascorrono settimane. Quel lasso di tempo rappresenta anche un’opportunità: un attacco individuato nella prima settimana è un incidente, un attacco individuato nella sesta settimana è una crisi.

In linea di massima, la sequenza va dalla ricognizione — in cui l’autore dell’attacco raccoglie nomi, indirizzi e informazioni sui rapporti con i fornitori da fonti pubbliche — all’ottenimento dell’accesso tramite un clic o una password rubata, per poi espandere silenziosamente tale accesso, fino all’atto finale di crittografia, furto o frode. Ogni fase lascia tracce e offre un’opportunità di intervento. Analizziamo la sequenza passo dopo passo nel nostro articolo sulle fasi di un attacco informatico.

Cosa fare durante e dopo un attacco

La prima ora è più importante della tecnologia che hai acquistato l'anno scorso. Ciò di cui le persone hanno bisogno non è un voluminoso raccoglitore, ma una manciata di passaggi che siano in grado di ricordare anche sotto pressione.

1. Segnalalo immediatamente, prima di provare a risolvere il problema. La rapidità con cui si effettua la segnalazione determina quanto spazio di manovra avrà l'autore dell'attacco. Nessuno dovrebbe esitare solo perché non è ancora sicuro di nulla.
2. Isolare anziché spegnere. Disconnettere un computer infetto dalla rete limita la diffusione; scollegarlo dall’alimentazione può distruggere le prove di cui avrete bisogno in seguito.
3. Si supponga che le credenziali siano state compromesse. Reimpostare le password e le sessioni degli account interessati e verificare la presenza di dispositivi aggiunti di recente, regole di inoltro della posta e indirizzi di recupero modificati.
4. Conserva le prove: i registri, il messaggio originale, gli screenshot. Le compagnie assicurative e gli investigatori te le chiederanno, così come l’autorità di vigilanza nel caso in cui siano coinvolti dati personali.
5. Verificate i vostri obblighi di segnalazione. Una violazione dei dati personali comporta obblighi di notifica, e le organizzazioni che rientrano nell’ambito di applicazione della direttiva NIS2 devono rispettare specifici termini per la segnalazione degli incidenti. Coinvolgete chi è responsabile di tale compito fin dal primo giorno, non dal quinto.
6. Fai l'analisi a posteriori, senza cercare un colpevole. La domanda utile è: quale segnale è sfuggito e perché, non chi ha cliccato. Attribuire la colpa fa sì che il prossimo incidente rimanga nascosto più a lungo.

Perché la prevenzione parte dalle persone

Le misure tecniche svolgono il lavoro più impegnativo in termini di volume. L’autenticazione a più fattori, gli aggiornamenti tempestivi, i backup testati conservati offline e la limitazione degli accessi filtreranno la maggior parte dei tentativi automatizzati. Nessuna di queste misure è facoltativa, e non è più in questo ambito che gli attacchi riescono effettivamente a sfondare.

Ciò che riesce a superare i filtri è rivolto alle persone, perché le persone possono essere persuase, mentre il software no. Un dipendente che individua una richiesta di pagamento insolita, la verifica tramite un secondo canale e la segnala, ha sventato un attacco che nessuno scanner avrebbe rilevato. Si tratta di un’abilità e, come ogni abilità, si affievolisce senza pratica; ecco perché una singola sessione di formazione annuale produce così pochi risultati. Esercizi brevi e ricorrenti, in linea con l’attuale panorama delle minacce, funzionano molto meglio, e una simulazione di phishing mostra a che punto si è realmente, piuttosto che a che punto si presume di essere.

In che modo Guardey ti aiuta a ridurre il rischio

Il corso di formazione sulla sicurezza informatica di Guardey è strutturato proprio in base a questo ritmo: sfide settimanali della durata di circa tre minuti, elementi di gamification con classifiche e serie di risultati consecutivi, e contenuti che seguono le minacce effettivamente in circolazione. I dipendenti seguono la formazione tramite l’app mobile per iOS e Android o direttamente dal browser, il che significa che anche i colleghi che non dispongono di una postazione fissa possono partecipare.

Le simulazioni integrate di phishing dimostrano se la consapevolezza si traduce in comportamenti concreti, mentre i report pronti per gli audit trasformano l’intero programma in prove a sostegno di standard quali NIS2 e ISO 27001. La configurazione richiede pochi minuti e oltre 500 organizzazioni operano in questo modo, tra cui il Parlamento europeo.

Domande frequenti sugli attacchi informatici

Qual è la differenza tra un attacco informatico e una violazione dei dati?

Un attacco è il tentativo; una violazione dei dati è uno dei possibili esiti. Un attacco che viene bloccato non si trasforma mai in una violazione, e una violazione può verificarsi anche senza che ci sia stato alcun attacco, ad esempio quando qualcuno invia per e-mail un file al destinatario sbagliato. La distinzione è importante perché gli obblighi di segnalazione si applicano alla violazione, non al tentativo.

Quanto tempo ci vuole per accorgersi di un attacco?

Più a lungo di quanto la maggior parte delle organizzazioni si aspetti. Gli autori degli attacchi che riescono a introdursi grazie a una password rubata spesso agiscono con cautela per evitare di far scattare gli allarmi, e i danni visibili si manifestano alla fine piuttosto che all’inizio. Ecco perché le segnalazioni dei dipendenti sono così preziose: spesso mettono in luce qualcosa di strano ben prima che lo faccia il sistema di monitoraggio.

Un’organizzazione di piccole dimensioni è davvero un bersaglio?

Sì, e di solito non per scelta. La maggior parte dei tentativi è automatizzata e prende di mira qualsiasi risposta, quindi le dimensioni ridotte non offrono alcuna protezione, mentre un numero inferiore di specialisti comporta spesso tempi di risposta più lunghi. Il fatto di non destare interesse non costituisce una difesa contro uno script.

L'assicurazione copre gli attacchi informatici?

Esistono polizze contro gli attacchi informatici che possono coprire i costi di ripristino, ma le compagnie assicurative richiedono sempre più spesso di dimostrare l’adozione di misure di base, tra cui la formazione del personale, e chiederanno prove a seguito di un incidente. Considerate la polizza come una rete di sicurezza contro i danni finanziari, non come un sostituto delle misure stesse.

La scomoda verità sugli attacchi informatici è che la maggior parte di essi non è affatto sofisticata. Si basano su una password riutilizzata su più siti, su un sistema che non è mai stato aggiornato o su un collega di fretta un venerdì pomeriggio. Ed è proprio questo l’aspetto incoraggiante: basta una manciata di semplici abitudini per bloccare la stragrande maggioranza di questi attacchi, e ognuna di queste abitudini può essere appresa da un team.