Sicurezza: perché i siti delle piccole aziende vengono hackati?

Vedendo in televisione e sui giornali i numerosi casi di mega corporation che cadono vittime di attacchi hacker, è difficile immaginare che anche le piccole aziende possano essere vittima di questo tipo di pratica.

La realtà è però piuttosto diversa. Secondo uno studio della CNBC, le piccole e medie imprese sono il target del 43% degli attacchi, e circa il 61% delle piccole e medie imprese ha avuto a che fare con un attacco virtuale nell’ultimo anno.

Perché le piccole e medie imprese sono obiettivi preferenziali?

Anche se una piccola azienda può sembrare un obiettivo poco appetibile, in realtà la torta è molto ghiotta, specialmente per grandi gruppi organizzati che agiscono “a tappeto”.

Questo perché le piccole imprese hanno pratiche di sicurezza poco adeguate: è facile “entrare”, e una volta entrati è facile collezionare grandi quantità di dati sensibili.

Come fa un un hacker a bucare un sito web? e perché proprio il tuo?

Ci sono solitamente due modi facili per “bucare” un sito:

1. Se una grande azienda (p.es. Facebook) subisce un attacco e vengono rubate delle credenziali di accesso, quelle credenziali verranno testate per accedere a milioni di siti tramite degli script automatici. Se hai riutilizzato delle combinazioni di nome utente / password è possibile che con questo metodo gli hacker possano accedere al tuo sito o ad altri servizi che utilizzi
2. Viene sfruttata una vulnerabilità del sito (o del server) per avere accesso alla macchina

Gli hacker non ce l’hanno proprio con te: tutte e due le tecniche impiegano degli automatismi che vanno a colpire i siti “alla cieca” cercando una porta di ingresso. Se il tuo sito non è sicuro, troveranno una “porta aperta” in cui infilarsi, ma appunto senza particolare malizia nei tuoi confronti.

Cosa cerca un hacker quando buca un sito?

Spesso cerca di ottenere accesso ad informazioni personali salvate sulla macchina, come indirizzi mail, o numeri di carta di credito (se sei stato così incauto da salvarli sul tuo sito e non passare attraverso un gateway di pagamento come Stripe).

Ma nella maggior parte dei casi, il loro obiettivo è semplicemente quello di compromettere la macchina e assumerne il controllo. A questo punto il tuo sito viene messo in un pacchetto di macchine “zombie”, e il suo accesso venduto ad un soggetto terzo.

L’acquirente utilizzerà poi il pacchetto di macchine compromesse solitamente per tre obiettivi:

1. Piazzare sul sito in questione link nascosti, o reindirizzi verso siti terzi con lo scopo di fare pubblicità occulta (o installare software malevolo)
2. Utilizzare la macchina come “soldato” in attacchi distribuiti (DDoS) su larga scala
3. Usare la macchina per scambiare materiale e/o informazioni illecite (per le quali tu potresti diventare responsabile).

Cosa cerca un’hacker quando buca il tuo computer?

Diverso è il caso del “buco” su un computer personale (o aziendale). In questo caso il danno è potenzialmente più grande. Dal tuo computer infatti, un malintenzionato ha la possibilità di accedere a un sacco di informazioni diverse.

• può accedere alla tua posta (e inviare mail a nome tuo)
• può intercettare la tua posta in uscita, e modificarla a scopi malevoli
• può registrare le password che digiti per accedere a diversi servizi
• può copiare i numeri delle tue carte di credito
• può rubarti l’identità sui social network
• può accedere ad altri dati personali (cartelle mediche, messaggi, ecc)

Come fare per difendersi

Per quanto riguarda il sito:

• tieni sempre i software (dal sistema operativo alla parte applicativa) aggiornati alle ultime versioni
• non usare la stessa combinazione nome utente / password che usi su altri servizi
• se puoi, opta per la semplicità (meno codice vuol dire meno vulnerabilità)
• se usi WordPress, usa pochi plugin, e non scegliere quelli “gratis” (gratis vuol solo dire che lo sviluppatore è meno incentivato a lavorare per tenere il plugin sicuro)
• Fai periodicamente degli audit di sicurezza / hardening di sistema

Per quanto riguarda la tua vita digitale

• usa password sicure (almeno 12 caratteri, non importa se simboli, numeri o lettere)
• non ripetere mai le password (puoi usare un gestore di password come LastPass per salvarle in modo sicuro)
• non ripetere mai le password
• non ripetere mai le password
• prima di cliccare su un link in una mail o aprire un allegato, controlla sempre che il mittente sia davvero chi dice di essere (molto spesso una mail ha indicato un nome di mittente che poi non corrisponde all’indirizzo che ha effettivamente inviato il messaggio: es mittente: Intesa San Paolo, indirizzo mail: dorisquaua1987@durumwheat.ru)
• attiva un antivirus (quello “base” di Windows funziona molto bene)
• attiva un antivirus anche su usi mac (davvero, fidati)
• aggiorna sempre il sistema operativo e le applicazioni alle ultime versioni
• evita di scaricare programmi o app da siti troppo sparafleshanti