Conoscere il phishing: prevenzione e risoluzione
Il phishing è ormai molto diffuso; alcuni semplici accorgimenti per evitare di cadere nel tranello, e quattro passi per limitare i danni A cura di Nicola Tacconi, CISO di Aruba S.p.A. Il phishing è una truffa veicolata tramite Internet, in cui si cerca di ingannare la vittima al fine di recuperare informazioni sensibili come username, password o dati bancari. Generalmente, il criminale informatico invia false comunicazioni al soggetto-vittima, fingendosi un Ente o un’azienda ben conosciuta o con cui è possibile che si stiano avendo conversazioni e relazioni, usando scuse plausibili per ottenere i dati personali della vittima. Il fenomeno del phishing è una minaccia attuale e frequente, tant’è che l’Italia, secondo una recente ricerca di Kaspersky Lab, è il quarto target mondiale di attacchi con il 5,76% di segnalazioni. Secondo il report 2019 di Clusit, l’associazione italiana per la sicurezza informatica, il phishing online non si è mai evoluto così velocemente come nell’ultimo anno, tanto che nell’arco del biennio 2017-2018 il numero di attacchi gravi è cresciuto in Italia del +37,7%. Solitamente il phishing si presenta come una comunicazione digitale che giunge al destinatario via e-mail, via SMS, tramite un social network o sulle principali piattaforme di Instant Messaging. Generalmente gli attacchi di phishing sono accomunati da una o più delle seguenti caratteristiche: comunicazione di una sospensione o blocco di un account senza alcuna spiegazione; sollecito di pagamento legato ad una determinata operazione entro una data di scadenza fittizia; presenza di un indirizzo web che include un dominio simile ma diverso da quello originale dell’ente; richiesta di informazioni private; errori ortografici nel corpo del messaggio. Esistono una serie di accorgimenti che consentono di navigare più sicuri e non cadere vittime dell’attacco, tra questi: mantenere il proprio browser sempre aggiornato. Installando le ultime versioni e inserendo dei filtri anti-spam, o degli appositi plug-in, il browser riuscirà a prevenire un maggior numero di tentativi di phishing; controllare il dominio da cui proviene la comunicazione. Una società o un ente scriveranno sempre dal proprio dominio, bisogna controllare che corrisponda a quello ufficiale. Questa verifica non dà la massima garanzia di autenticità ma rappresenta un primo controllo da poter effettuare; fare attenzione a cliccare sui link nelle e-mail. Come buona norma si consiglia di non cliccare mai sui link contenuti nella comunicazione ma digitare direttamente nel browser l’indirizzo del sito ufficiale del mittente della comunicazione e verificare sul sito il contenuto descritto nella comunicazione dell’e-mail; utilizzare più indirizzi e-mail. Quando ci si iscrive a servizi, o siti web, di dubbia affidabilità, è preferibile utilizzare e-mail secondarie, in modo da non rischiare di contaminare la propria casella e-mail principale; contattare il servizio clienti. Se arriva una e-mail ambigua e non si capisce con certezza se sia una frode o meno, è meglio contattare il servizio clienti dell’azienda a cui la mail fa riferimento; segnalare un sito di phishing aiutando altri utenti a non cadere nella truffa. Ogni segnalazione è utile per far comparire un messaggio di avviso riguardo al sito potenzialmente pericoloso: le segnalazioni possono essere inviate, ad esempio, tramite PhishTank, Google Safe Browsing o Microsoft Smart Screen; utilizzare e-mail professionali, dotate di protocolli di sicurezza quali SPF e DMARC sulla posta in ingresso (e in uscita). Se, però, si è ormai caduti nel tranello, ci sono una serie di operazioni da compiere così da limitarne i danni, tra questi: cambiare la password: nel caso di portali online bisogna cambiare la password o chiudere direttamente il profilo prima che gli hacker possano accedervi; contattare il servizio clienti. Qualora l’account sia già stato compromesso e non sia più possibile fare il login con i propri dati, è necessario contattare il servizio clienti per ripristinare manualmente i propri dati d’accesso; contattare la banca. In caso di furto di dati bancari va contattato l’istituto di credito per bloccare i servizi coinvolti nella truffa (carte di credito, conti correnti, bancomat ed ulteriori); avvisare gli enti colpiti. Oltre al recupero dei dati personali, è opportuno segnalare l’attacco phishing agli enti che ne sono stati colpiti, cosicché possano prendere provvedimenti e contrastare la truffa. Il phishing, anche se può sembrare una semplice e-mail ingannevole, è un reato vero e proprio, e come tale va considerato. Motivo per cui il passo successivo alle eventuali segnalazioni è quello di informare le autorità competenti. Nonostante non sia previsto dall’ordinamento penale, il phishing oggi viene giudicato come frode informatica e furto d’identità digitale. In quanto reato informatico, inoltre, va comunicato alla Polizia Postale, che sul suo sito ha disposto uno spazio per le segnalazioni di questo tipo. In conclusione, esiste una grossa mole di attacchi, ma grazie alle possibili contromisure da adottare, la percentuale di attacchi intercettati, bloccati e non andati a buon fine supera l’80%. Sul restante 20% è necessaria una consapevole collaborazione fra i fornitori di servizi e i clienti: leggendo attentamente le e-mail che si ricevono, inserendo i propri dati solo su siti affidabili e evitando di aprire link sospetti, il phishing può essere evitato. Fonte: BitMat.it
Data Breach: formazione del personale per evitarli
Le imprese sono sempre più data-driven, ma per evitare incidenti occorre un’adeguata protezione del personale, con un approccio multidimensionale “Persone, normative, tecnologia, protezione, formazione e dati viaggiano in parallelo, trascurare un elemento può compromettere gravemente tutti gli altri”: parola di Vincenzo Costantino, Senior Director, Presales EMEA Large and Global Accounts di Commvault. Le aziende moderne sono sempre più data-driven: le loro attività si basano su quantità sempre maggiori di dati, che le organizzazioni devono gestire e proteggere in modo adeguato. I benefici che i dati offrono sono indiscutibili, ma il potenziale di data breach non è mai stato così elevato, nonostante le misure di sicurezza in teoria implementate con il GDPR. “Se esistono sistemi informatici di ogni tipo per gestire e proteggere i dati presenti in azienda, è bene ricordare che Non esistono patch per le persone, spiega Vincenzo Costantino. Ogni dipendente è responsabile dei dati, dai manager C-level a tutte le persone operative nei diversi team. Purtroppo, non c’è una soluzione istantanea per risolvere i problemi creati da una gestione non corretta dei dati da parte dei dipendenti.” Ogni singola azienda ha fiducia nelle proprie risorse, ma nonostante questo il potenziale di rischio è elevato e la formazione resta la componente più importante da considerare quando si tratta di conformità al GDPR. I dipendenti sono l’asset di maggior valore in azienda. Bisogna incoraggiare una cultura basata sulla trasparenza, in modo che le risorse siano a loro agio nel segnalare eventuali errori, consapevoli anche delle potenziali conseguenze. Dopo la conoscenza dei dati e delle relative responsabilità, e la certezza di garantire il giusto livello di formazione ai dipendenti, è il momento di identificare i rischi che i dati potrebbero subire: Mancanza di visibilità: essere in grado di visualizzare dove sono i dati e chi vi ha accesso è fondamentale per garantire la loro salvaguardia. Senza un’adeguata visibilità, non si può essere certi di proteggerli in modo completo. Email e altri scambi di comunicazioni: è uno dei più grandi rischi di perdita di informazioni, perché i dati condivisi nelle email possono essere intercettati e perché i messaggi di phishing possono ingannare gli utenti e convincerli a condividere dati personali o aprire link pericolosi. Dispositivi di archiviazione e chiavette USB personali: se un’azienda ne consente l’utilizzo, è importante che siano crittografati a ogni livello. In questo modo, in caso di furto o perdita, sarà impossibile accedere ai dati archiviati. Valutare bene anche perché i dipendenti utilizzino questi dispositivi e se non esista un’alternativa per evitarlo. Utilizzare il cloud: se si spostano i dati personali nel cloud, sarà necessario conoscere gli standard di protezione applicati e il luogo in cui si trova l’azienda, perché potrebbe avere un impatto sulle normative da rispettare. Essere consapevoli di questi pericoli e sapere come evitarli è necessario per non correre il rischio di violare la compliance. Il GDPR racchiude sfide legate a persone, processi e tecnologie e bisogna essere pronti ad affrontarle. Se le risorse non hanno un livello adeguato di conoscenza del GDPR e di come possano applicare le misure di protezione nelle proprie attività, potrebbero scatenare pericolosi data breach. Se processi e tecnologie non sono conformi, potrebbe essere anche più complesso rispondere alle richieste di dati da parte dei clienti, causando ulteriori problemi di conformità. Fonte: BitMat.it
I cinque principali rischi del cloud che le imprese devono conoscere
La migrazione al cloud da parte delle aziende implica un aumento dei dati archiviati e delle minacce a cui sono sottoposti L’utilizzo del cloud da parte delle aziende aumenta costantemente, e con esso la quantità di dati archiviata. Chi usufruisce dei servizi cloud, indipendentemente dal modello che utilizza (IaaS, PaaS, or SaaS), deve sempre ricordare che la sicurezza dei dati è in primo luogo una sua responsabilità, non del provider del cloud. Oltre alla possibilità di compromettere i dati, altri rischi possono essere legati ai servizi cloud e non devono essere trascurati. Citrix evidenzia i cinque principali rischi del cloud che ogni azienda deve considerare. Il fallimento della governance dei datiGestire i dati in ambiente cloud è come gestirli in ambiente on-premise. In entrambi i casi, infatti, l’obiettivo è impedire l’accesso a utenti non autorizzati. I provider di servizi cloud tendono a sviluppare firewall perimetrali, a controllare gli accessi e a offrire crittografia e strumenti di monitoraggio per proteggere i dati nei loro sistemi. Tuttavia, è responsabilità del cliente capire e implementare le misure di sicurezza necessarie.Inoltre, il luogo in cui risiedono i dati rispetto ai confini geografici può giocare un ruolo fondamentale nella strategia cloud e nella governance. Per esempio, il GDPR, la nuova legge europea per la privacy e la sicurezza, richiede che i responsabili dei dati applichino la dovuta attenzione nel momento in cui li utilizzano all’interno dell’Unione Europea e la non conformità può comportare una multa sostanziosa. I provider di servizi cloud devono assicurare che i dati risiedono all’interno dei confini geografici dell’Unione Europea. Nel caso in cui i dati debbano invece essere archiviati oltreconfine, questo deve essere esplicitato chiaramente e titolare deve dare il proprio assenso. Un altro aspetto spesso trascurato della gestione dei dati in ambiente cloud è il loro ciclo di vita di conservazione. I componenti di archiviazione in possesso dei provider vengono offerti ai clienti come parte del servizio. I dati, di solito, vengono distribuiti su diverse unità di archiviazione per motivi di ridondanza ma, in questo scenario frammentato, il cliente non può essere sicuro che il provider abbia eliminato i dati in maniera corretta. La maggior parte dei provider fatica infatti a offrire un metodo sicuro di cancellazione dei dati e, in ogni caso, la responsabilità è in ultima analisi del titolare. Maggiore complessità e mancanza di formazioneI provider di servizi cloud devono poter garantire ai propri clienti facilità d’uso e veloce rientro sui costi. Tuttavia, migrare da un ambiente on-premise a uno cloud comporta un livello di complessità operativa superiore per i dipartimento IT delle aziende. Lo staff IT potrebbe non avere esperienza nella gestione e nell’assistenza di servizi cloud e questo richiederebbe una formazione specifica e adeguata.I provider di servizi cloud offrono di solito una soluzione di crittografia per i dipartimenti IT clienti. Queste soluzioni sono diverse tra loro, per esempio, Microsoft Azure offre Azure Storage Service Encryption, mentre Amazon Web Services offre EBS Volume Encryption. Tutta questa complessità nella curva di apprendimento può portare a dei gap di sicurezza nelle implementazioni cloud e multi cloud ibride e serve quindi formare adeguatamente i team IT e spingendo il provider a installare la loro soluzione basandosi nel modo più efficace ed efficiente. Inoltre, il team IT aziendale dovrebbe sviluppare una solida policy operativa prima di passare a un modello basato su cloud. Errori di configurazioneL’errata configurazione di un sistema è un rischio in termini di sicurezza piuttosto comune. Per differenziarsi dalla concorrenza, i provider di servizi cloud utilizzano modelli di deployment “one-click”, dove le complessità della configurazione vengono nascoste. Poiché la configurazione presso il cliente deve essere fatta successivamente al deployment, una mancanza di comprensione tecnica può essere causa di errori o omissioni. Questo tipo di rischio può essere gestito in modo strategico pianificando la sicurezza prima del deployment, e non pensandola come qualcosa da aggiungere dopo. Le aziende clienti devono ottenere dal provider assistenza in fase di progettazione e deployment per assicurare che servizi cloud siano configurati nel modo migliore. Un’azione costante di audit e di test dovrebbe essere parte della strategia per scoprire eventuali gap di sicurezza e garantire la buona salute dei servizi cloud. Multi Tenant e mancanza di disponibilitàI provider di servizi cloud offrono diverse architetture basate su cloud come cloud privati, coud ibridi o multi cloud. Questa varietà ha normalmente l’obiettivo di avere in host più client, in una singola architettura cloud fisica, oppure data center posizionati in località diverse. Indipendentemente dal tipo di architettura, i provider si sforzano per confinare ogni tenant nella sua enclave e fare in modo che l’utilizzo di risorse comuni non danneggi gli altri. Un fatto importante è che è impossibile tracciare un netto confine tra aspetti tecnici e di business perché tendono a influenzarsi reciprocamente e il fallimento di uno di essi può causare un effetto domino. I provider di servizi cloud forniscono tutti i controlli di sicurezza logici e fisici che sono necessari, una enclave sicura per ogni tenant e domini multipli per mitigare i rischi di cui abbiamo parlato. Gli utenti dovrebbero effettuare la loro due diligence per capire l’impatto potenziale di un ambiente multi tenant e le strategie di mitigazione del rischio offerte dal provider. Il CryptojackingIl recente trend in continua crescita delle criptovalute porta con sé un nuovo tipo di minaccia detta cryptojacking. Le criptovalute come i Bitcoin richiedono infatti alta capacità di elaborazione e questo ha portato i cyber criminali a prendere di mira i provider di servizi cloud. Questi nuovi vettori di attacco operano in maniera occulta, sfruttando le risorse di elaborazione per arricchire utenti malintenzionati. Sebbene questo possa per certi versi sembrare innocuo perché non vengono compromessi né cancellati dati di alcun tipo, si tratta comunque di un pericolo perché vengono erosi i confini di sicurezza del cloud per inserire il codice maligno aprendo le porte ad altri metodi simili e potenzialmente dannosi. Gli attacchi a Cryptojacking sono cresciuti del 141% dal 2017, con il più grave che ha colpito l’account di Tesla su Amazon Web Services con accesso illegale per il mining di criptovaluta
Ransomware in crescita globale del 15% nel 2019, +195% nel Regno Unito: è l’era del banditismo informatico
Scoperte 74.360 varianti sconosciute di malware. Boom dei kit ransomware-as-a-service (RaaS) e malware open-source. Per essere efficienti, le imprese devono sfruttare tecnologie innovative come l’apprendimento automatico, in modo da poter intervenire in anticipo contro le strategie di attacco che mutano costantemente. Difendere il proprio ecosistema digitale ed informatico non è cosa facile oggi. Che siano aziende, amministrazioni pubbliche, organizzazioni internazionali, o piccole realtà, fino alla nostra casa, ogni dispositivo collegato in rete è una porta che favorisce un attacco. Nell’ultimo Rapporto SonicWall, relativo alle minacce informatiche rilevate in 200 Paesi di tutto il mondo nel primo semestre 2019, si evidenzia un’escalation nell’utilizzo di diversi strumenti cyber crime, soprattutto il nuovo ransomware as a service, il malware open sourcee il tradizionale cryptojacking. “Le imprese continuano la loro battaglia di monitoraggio dei modelli con cui si sviluppano gli attacchi informatici – il passaggio ai cocktail malware e ai vettori delle minacce in evoluzione – cosa che rende estremamente difficile difendersi”, ha dichiarato Bill Conner, Presidente e CEO di SonicWall. “Nella prima metà del 2019 la nostra tecnologia Real-Time Deep Memory Inspection (RTDMI) ha scoperto 74.360 varianti di malwarefino a quel momento sconosciute. Per essere efficienti, le imprese devono sfruttare tecnologie innovative come l’apprendimento automatico, in modo da poter intervenire in anticipo contro le strategie di attacco che mutano costantemente”. Solo per dare alcuni dati riportati dallo studio: nei primi sei mesi del 2019 gli attacchi malware rilevati sono stati 4,8 miliardi, più di 8,3 milioni gli attacchi phishing e decine di migliaia di virus finora mai conosciuti. Prendiamo i ransomware, i temibili attacchi che vanno tanto di moda e che vengono utilizzati dai cyber criminali per bloccare un dispositivo e chiedere un riscatto per ripristinarne l’accesso. Mentre il volume di malware globale è calato del 20%, è stato osservato un concomitante aumento del 15% di attacchi ransomware a livello mondiale, che hanno raggiunto un incremento pari al 195% nel Regno Unito. Gli stessi ricercatori attribuiscono questi dati alla preferenza che i criminali informatici stanno dando ai kit ransomware-as-a-service (RaaS) e malware open-source, il che costituisce una novità. Anche l’Internet of Things o IoT diventa dispensa malware a passo di record e mentre aziende e consumatori continuano a collegare apparecchi a internet senza idonee misure di sicurezza, i dispositivi IoT vengono sfruttati in misura crescente dai cibercriminali per distribuire payload di malware. Nella prima metà del 2019 è stato rilevato un aumento del 55% di attacchi IoT, vale a dire più dei primi due trimestri dell’anno precedente. Più crescono i bitcoin, maggiori le minacce portate dalle pratiche di cryptojacking, cioè tecniche tese a forzare sistemi informatici a minare cryptocoin sfruttando la potenza di calcolo inutilizzata di processori, SoC e acceleratori grafici, di aziende, come di singoli utenti a casa. Nei primi sei mesi dell’anno il volume di cryptojacking ha toccato quota 52,7 milioni, con un aumento del 9% rispetto all’ultimo semestre del 2018. Questa crescita è parzialmente imputabile all’aumento del prezzo di bitcoin e Monero, il che fa sì che tale fenomeno continui ad essere redditizio per i cibercriminali. Una delle cause di una così alta incidenza è che i siti web compromessi non sono stati puliti dopo l’infezione, per quanto il servizio Coinhive (programma di punta per il mining i criptovalute) non esista più da marzo 2019 e l’URL sia stato abbandonato. Fonte: Bitmat.it
L’impatto economico degli attacchi via email
Globalmente, la maggior parte dei professionisti IT ha più fiducia nei sistemi per la protezione email rispetto a un anno fa. Sono disponibili i risultati dell’indagine 2019 Email Security Trends di Barracuda, che ha coinvolto stakeholder IT di tutto il mondo per comprendere le loro esperienze e gli atteggiamenti nei confronti dello stato attuale della sicurezza contro gli attacchi via email. L’indagine è basata sulle risposte fornite da 660 executive, liberi professionisti e team manager che operano in ruoli legati alla sicurezza IT in America, Emea e Apac. La ricerca ha coinvolto aziende piccole, medie e grandi in settori che spaziano dalla tecnologia ai servizi finanziari, dall’istruzione alla sanità, dal manifatturiero alla PA, alle telecomunicazioni, al retail. Le domande erano tese a raccogliere dati su phishing, minacce interne e Office 365 e i relativi impatti sul business, la spesa in sicurezza e i costi delle violazioni. Globalmente, lo studio indica che mentre la maggior parte dei professionisti IT tende ad avere ora più fiducia nei propri sistemi per la protezione email rispetto a un anno fa, gli attacchi continuano ad avere un impatto significativo per le aziende. I risultati più significativi sono: Gli attacchi veicolati dall’email hanno un impatto diretto sul business (oltre che sulle vite personali dei professionisti della sicurezza IT) Il 74% degli intervistati ha dichiarato che gli attacchi email hanno un impatto importante sulle aziende. Gli effetti più spesso citati sono la diminuzione della produttività del personale, il downtime e l’impossibilità di lavorare, i danni alla reputazione del team IT. Quasi tre quarti degli intervistati riferisce di avere sofferto alti livelli di stress, che li portano a preoccuparsi della sicurezza anche quando non sono al lavoro, e di essere costretti a lavorare di notte e nei fine settimana per risolvere i problemi di sicurezza email. Phishing e ransomware causano le maggiori preoccupazioni Il 43% delle organizzazioni è stato vittima di attacchi spear-phishing negli ultimi 12 mesi. Crescono i costi degli attacchi e i danni economici Il 78% delle organizzazioni afferma che i costi degli attacchi email sono in crescita. Il 66% ammette che gli attacchi hanno comportato un costo monetario diretto nel corso dell’ultimo anno. Quasi un quarto degli intervistati riferisce che il costo degli attacchi per la loro organizzazione è stato di almeno 100.000 dollari. Le persone continuano a essere l’anello debole nelle strategie di difesa Oltre tre quarti delle organizzazioni ammette che i propri collaboratori non sono in grado di identificare le email sospette. Crescono le preoccupazioni rispetto alle minacce interne e Office 365 Il 79% dei professionisti IT dice di essere preoccupato per gli attacchi e le violazioni provenienti dall’interno dell’azienda. Il 92% degli utenti di Office 365 esprime timori per la sicurezza. In conseguenza della proliferazione e del successo degli attacchi email, i professionisti della sicurezza IT devono essere continuamente concentrati sull’evoluzione e la diffusione di phishing, ransomware e altre minacce e migliorare la protezione con soluzioni che vadano oltre i tradizionali gateway. Barracuda offre una soluzione completa contro gli attacchi veicolati dall’email e il social engineering. Fonte: BitMat.it
Il Consiglio dei Ministri ha approvato il ddl cybersecurity: le 5 novità
Il testo introduce disposizioni volte ad assicurare un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, degli enti e degli operatori nazionali, pubblici e privati. Il Consiglio dei ministri, su proposta del Presidente Giuseppe Conte, ha approvato un disegno di legge in materia di perimetro di sicurezza nazionale cibernetica. Il testo introduce disposizioni volte ad assicurare un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, degli enti e degli operatori nazionali, pubblici e privati, da cui dipende l’esercizio di una funzione essenziale dello Stato ovvero la prestazione di un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato e dal cui malfunzionamento o interruzione, anche parziali, ovvero utilizzo improprio, possa derivare un pregiudizio per la sicurezza nazionale. A questo scopo, il disegno di legge prevede, tra l’altro: la definizione delle finalità del perimetro e delle modalità di individuazione dei soggetti pubblici e privati che ne fanno parte, nonché delle rispettive reti, dei sistemi informativi e dei servizi informatici rilevanti per le finalità di sicurezza nazionale cibernetica per i quali si applicano le misure di sicurezza e le procedure introdotte; l’istituzione di un meccanismo teso ad assicurare un procurement più sicuro per i soggetti inclusi nel perimetro che intendano procedere all’affidamento di forniture di beni e servizi ICT destinati a essere impiegati sulle reti, sui sistemi e per i servizi rilevanti; l’individuazione delle competenze del Ministero dello sviluppo economico – per i soggetti privati inclusi nel perimetro – e dell’Agenzia per l’Italia Digitale (AgID) – per le amministrazioni pubbliche; l’istituzione di un sistema di vigilanza e controllo sul rispetto degli obblighi introdotti; lo svolgimento delle attività di ispezione e verifica da parte delle strutture specializzate in tema di protezione di reti e sistemi nonché, per quanto riguarda la prevenzione e il contrasto del crimine informatico, delle Amministrazioni da cui dipendono le Forze di polizia e le Forze armate, che ne comunicano gli esiti. Il Ddl prende il posto del decreto Golden Power sul 5G, sul quale il Governo ha cambiato idea: non sarà più convertito in legge, così i suoi effetti decadranno. Fonte: Key4Biz.it
Adware: colpisce quando gli italiani sono in vacanza
Il periodo estivo è tempo di relax, e si può essere portati a prestare meno attenzione a cosa si clicca, facilitando così il lavoro dei cyber criminali. Nel periodo estivo la maggior parte degli italiani si concedono un po’ di meritato riposo; al mare o in montagna, fanno meno attenzione a ciò che cliccano, facilitando il lavoro dei cybercriminali. Secondo i ricercatori di ESET, la principale minaccia informatica nel periodo estivo continua a essere rappresentata dagli adware, software che durante la navigazione in Internet raccolgono informazioni sulle operazioni effettuate dall’utente, per poi bombardarlo di annunci pubblicitari che si aprono come un’invasione tra le finestre del browser. Non a caso svetta al primo posto della classifica delle minacce informatiche più diffuse in Italia, con il 6% delle rilevazioni (fonte Live Grid di ESET, periodo compreso tra il 15 giugno e il 15 luglio 2019) JS/Adware.Agent.AA, che una volta installato sul sistema causa la visualizzazione di contenuti promozionali tra cui pop-up, banner, link di testo e annunci commerciali, che vengono utilizzati per aumentare la popolarità di siti di terze parti. Adware.Agent.AA è inoltre in grado di raccogliere dati sensibili, come le credenziali di accesso all’Internet Banking, che vengono poi usati per finalità fraudolente. Gli adware rappresentano una minaccia ben nota agli internauti italiani, posizionandosi al primo posto della classifica dei malware più diffusi in Italia in maniera pressoché continua già dal luglio 2018. Proprio per aiutare gli utenti a difendersi dagli adware e dalle altre minacce informatiche anche nel periodo estivo, ESET ripropone alcuni semplici suggerimenti per aumentare il livello di protezione dei dispositivi: Installare e mantenere aggiornato un software antimalwareI malware, come i virus informatici, non sono altro che programmi con la capacità di diffondersi automaticamente e, una volta installati nel sistema, di effettuare una serie di attività più o meno pericolose.Considerato che ogni giorno vengono creati nuovi virus che grazie a Internet si diffondono con eccezionale rapidità, è fondamentale installare sul proprio PC un antivirus efficace e costantemente aggiornato.Infatti, un software antivirus non aggiornato con regolarità, ci potrebbe far correre rischi maggiori rispetto al non averlo affatto poiché porterebbe a un falso senso di sicurezza che potrebbe spingerci a trascurare anche le più elementari norme di sicurezza informatica. Controllare gli allegati delle email prima di aprirliIl vettore di diffusione principale dei malware è storicamente la posta elettronica. In particolare i file allegati alle email. Nella maggior parte dei casi, un virus può trasmettersi esclusivamente tramite file eseguibili (con estensione exe,com,drv e dll) o che contengano una parte di codice pericoloso, come succede per i documenti Office in cui sono inserite macro infette. Per questo in linea generale è consigliabile evitare di aprire gli allegati alle mail ricevute da mittenti sconosciuti. Negli ultimi anni però il fenomeno dello spoofing degli indirizzi email ha reso pericolosa anche l’apertura di file allegati provenienti anche dei contatti affidabili; questa tecnica criminale permette infatti di impostare come mittente un qualsiasi indirizzo che potrebbe far parte della rubrica del destinatario, con la conseguenza di indurre gli utenti ad aprire allegati infetti con maggiore fiducia. Quindi per evitare di cancellare a prescindere qualsiasi email con file allegati è buona norma verificarli con una soluzione antivirus e in caso di ulteriori dubbi chiedere conferma al mittente. Effettuare periodicamente il backup dei datiLa strategia di base ed essenziale per difendersi dai malware è avere un backup costantemente aggiornato. Occorre ricordare che per esempio un ransomware codificherà anche i file sui dischi di rete a cui si è assegnata una lettera e a volte anche quelli a cui non è stata assegnata. Ciò include qualsiasi drive come quelli USB, come anche ogni archivio di rete o nel Cloud. Quindi è fondamentale un regime di backup periodico che sia basato su dispositivi che non siano costantemente connessi alla rete. Non fornire i propri dati personaliNon fornire a utenti sconosciuti informazioni personali o addirittura confidenziali durante le conversazioni online (chat) e non pubblicarle sui social network. Questo per due ragioni fondamentali: in primis perché non possiamo conoscere l’identità dell’altra persona e non possiamo sapere chi utilizzerà quelle informazioni e poi perché i nostri dati potrebbero essere utilizzati come punto di partenza per ricavare le nostre password o per altri scopi illegali. Creare password complesse e non riutilizzarleÈ vero che è difficile ricordare password complesse per ogni servizio a cui accediamo quotidianamente, ma utilizzare la stessa password per la banca, i social media e per altri tipi di account potrebbe avere conseguenze disastrose nel caso venga compromesso uno qualsiasi di questi sistemi. Un’alternativa utile e facile è la passphrase. Inoltre potete usare un password manager che registrerà tutte le vostre password e vi permetterà di utilizzarle semplicemente ricordando quella master. Aggiornare sempre il sistema operativo del proprio dispositivo e i programmi installatiMantenete costantemente aggiornato il sistema operativo e i vostri software. In questo modo verranno colmate quelle vulnerabilità che i criminali tentano di sfruttare per infettare il vostro dispositivo. Per farvi risparmiare tempo e ottimizzare la vostra protezione, molti programmi offrono gli aggiornamenti automatici e possono verificare la disponibilità di patch o di nuove versioni, senza che sia necessario il vostro intervento. Fonte: BitMat.it
Phishing: poca consapevolezza sulle minacce!
L’ultimo report ‘Beyond the Phish’ di Proofpoint rivela che gli utenti finali continuano ad avere difficoltà nel padroneggiare le migliori procedure legate a phishing, alla protezione dei dati e ad altri temi cruciali per la sicurezza informatica. Secondo il nuovo report Beyond the Phish 2019 di Proofpoint, che ha analizzato i dati relativi a circa 130 milioni di domande sulla sicurezza informatica gli utenti finali abboccano ancora alle tecniche di phishing usate dagli hacker. I principali risultati dello studio sulla formazione di sensibilizzazione alla sicurezza includono quanto segue: In generale, a una domanda su quattro nelle categorie “Identificazione delle minacce di phishing” e “Protezione dei dati in tutto il loro ciclo di vita” è stata data una risposta errata. Quello della comunicazione è risultato il dipartimento con i migliori risultati, poiché gli utenti finali hanno risposto correttamente all’84% delle domande. Il settore con i migliori risultati è stato quello della Finanza, poiché gli utenti finali hanno risposto correttamente all’80% delle domande. Servizio clienti, Strutture e Sicurezza sono stati tra i dipartimenti peggiori, poiché gli utenti finali hanno risposto in modo errato a una media del 25% di domande sulla sicurezza informatica.[1] Gli utenti finali nei settori della Formazione e Trasporti sono quelli che hanno incontrato le maggiori difficoltà, rispondendo in modo errato al 24% delle domande in tutte le categorie. Gli utenti finali nel settore Assicurazioni sono quelli che hanno conseguito risultati migliori in 3 delle 14 categorie analizzate, eccellendo in particolare nella categoria “Evitare gli attacchi di ransomware”. I dipendenti del settore Alberghiero hanno ottenuto il punteggio più basso in 3 categorie, tra cui “Rischi per la sicurezza fisica”, nella quale hanno risposto in modo errato al 22% delle domande. Perché andare “oltre il phishing” Il phishing rimane una delle principali preoccupazioni per le aziende in tutto il mondo. Come abbiamo indicato nel nostro report State of the Phish 2019, l’83% delle aziende globali ha subito attacchi di phishing nel 2018, sottolineando l’urgenza di educare gli utenti finali. Tuttavia, gli attacchi via email non sono l’unica fonte di rischio per l’utente finale di un’azienda. Per esempio: Comportamenti poco attenti sui social media possono rivelare dettagli importanti che i criminali informatici possono sfruttare per creare e lanciare una varietà di attacchi social mirati e plausibili, tra cui phishing, vishing (phishing vocale), smishing (SMS/phishing di testo) e campagne di violazione delle email aziendali (BEC). Procedure per la gestione dei dati e la sicurezza fisica poco attente possono portare a violazioni e perdita o furto di informazioni riservate o proprietarie. Cattive abitudini in materia di password possono portare a violazioni delle credenziali e fornire agli aggressori accesso ai sistemi e ai dati dell’azienda. La mancanza di consapevolezza può trasformare i dipendenti in minacce interne non intenzionali. Molte aziende fanno affidamento su attacchi di phishing simulati e/o esercizi formativi insoliti per valutare le vulnerabilità degli utenti finali e insegnare buone pratiche per la sicurezza informatica. I criminali informatici hanno ampliato il loro approccio agli attacchi verso l’utente finale, per cui un’attenzione limitata a certi componenti di protezione attiva non è sufficiente per preparare correttamente gli utenti a identificare le minacce e modificare i comportamenti che possono compromettere la sicurezza al lavoro e nelle loro vite personali. “Le aziende devono essere costanti e accurate nei loro programmi di formazione di sensibilizzazione alla sicurezza, considerando i comportamenti degli utenti finali che influenzano e influiscono sui comportamenti di sicurezza complessivi. Questo report annuale reitera la necessità di andare oltre l’utilizzo dei test di phishing per valutare la vulnerabilità dell’utente finale e la conoscenza delle minacce informatiche”, ha affermato Amy Baker, vice presidente Security Awareness Training Strategy and Development di Proofpoint. “È importante ricordare che non tutti gli incidenti di sicurezza derivano da un attacco; molti problemi scaturiscono da una conoscenza limitata e da procedure di sicurezza mediocri. La nostra ricerca ha mostrato un aumento significativo dei comportamenti sicuri quando le aziende adottano un approccio costante e ben gestito alla formazione per tutti gli argomenti informatici”. [1] Definizione dei dipartimenti come indicata da coloro che hanno risposto. Per esempio, il dipartimento della sicurezza potrebbe includere sia la sicurezza fisica che la sicurezza informatica. Fonte: BitMat.it
Cybersecurity nel 2019: il punto di metà anno
Come ogni anno, Forcepoint ha raccolto le previsioni dei ricercatori rispetto a minacce, adozione della tecnologia, fattori normativi o di conformità che influiranno sul lavoro di chi si occupa di sicurezza. Vediamo quindi qual è il punto di metà anno rispetto alle previsioni per la cybersecurity nel 2019 – presentate a novembre 2018. Il tema principale del Forcepoint Cybersecurity Report 2019 è la fiducia. La fiducia come base di ogni relazione: tra colleghi, con i clienti, gli investitori, i fornitori. I cyber-attacchi, sia intenzionali che accidentali, erodono la fiducia e si traducono in perdita di valore di mercato, di reputazione, di clienti. Tra maggio 2018 e febbraio 2019 ci sono state circa 60mila segnalazioni di violazione al GDPR in Europa (fonte DLA Piper GDPR Data Breach Survey: February 2019). Non è dunque una sorpresa che anche il World Economic Forum segnali i cyber-attacchi nel quadrante ad alto impatto e ad alta probabilità. Di seguito alcuni fatti che hanno caratterizzato il 2019, in relazioni alle previsioni Forcepoint. Le classificazioni di fiducia per la sicurezza Nel campo della sicurezza informatica si fanno strada nuovi modi per determinare i rating / punteggi collegati alla cybersicurezza, il cui obiettivo è determinarne i livelli di protezione dei dati. Una violazione della sicurezza avrebbe conseguenze negative sulla determinazione del rating. Nel 2019 abbiamo assistito all’adozione di tali rating a livello governativo. Nel gennaio 2019 il governo britannico ha classificato le misure di sicurezza informatica dei consigli del Regno Unito su scala RAG. Nell’ottobre 2018 la Camera di commercio statunitense ha rilasciato la prima valutazione nazionale sulla sicurezza informatica denominata “Valutazione della sicurezza informatica aziendale” (ABC). Entrambi i sistemi mirano a identificare le aree di rischio e il potenziale in termini di miglioramento. Nel maggio 2019, per la prima volta i problemi di sicurezza informatica hanno determinato il declassamento dell’outlook di Equifax. Affidabilità e fiducia avranno sempre più un’influenza significativa anche sull’andamento del mercato azionario. Per questo è fondamentale scegliere fornitori di servizi cloud affidabili. Gli hacker e gli attacchi all’Industrial Internet of Things (IIoT) utilizzando le vulnerabilità nell’infrastruttura cloud e nell’hardware Nel marzo 2019 è stato introdotto negli Stati Uniti il “IoT Cybersecurity Improvement Act del 2019”. L’obiettivo dichiarato della legge è “sfruttare il potere nell’assegnazione degli appalti del governo federale per incoraggiare l’aumento della sicurezza informatica per i dispositivi Internet of Things e per altri scopi”. Tali iniziative possono contribuire a promuovere la sicurezza informatica e incoraggiare i produttori a costruire “sicurezza per la progettazione” per migliorare i sistemi, indipendentemente dal fatto che siano implementati in un ambiente consumer, industriale o in ambiente CI. OWASP Internet of Things (IoT) fornisce un elenco consolidato di rischi, minacce e vulnerabilità applicabili a sviluppatori, imprese e consumatori e ha individuato “password deboli, indovinate o codificate” come il problema principale che riguarda i sistemi IoT. La prima metà del 2019 ha confermato la gamma di vulnerabilità nei sistemi cloud e la necessità di migliorare l’affidabilità in termini di adozione dell’IoT. Gli hacker useranno il software di riconoscimento facciale e le organizzazioni risponderanno con sistemi basati sul comportamento L’utilizzo di dati biometrici per l’autenticazione non è un fatto nuovo. Nel 2019 si è assistito a una sorta di levata di scudi verso le tecnologie di riconoscimento facciale citando motivi di privacy: la città di San Francisco ha vietato l’uso del riconoscimento facciale da parte dei dipartimenti governativi ,mentre l’uso della tecnologia da parte delle forze dell’ordine britanniche è stato messo in discussione. Ciononostante, con l’attenzione (indesiderata) esercitata sui sistemi di riconoscimento vocale e sulle banche dati nazionali di intelligence biometrica, bisognerà continuare a presidiare questo ambito, per comprendere come difendersi da questi abusi. Non c’è vera intelligenza artificiale nella sicurezza informatica, né alcuna probabilità che si sviluppi nel 2019 La nostra previsione potrebbe sembrare una provocazione, ma deriva dalla nostra comprensione dell’adozione dei sottosistemi dell’IA. L’IA nel suo senso più vero deve ancora essere sviluppata, ma l’apprendimento automatico (machine learning ML) e algoritmi supportati da esperti umani sono già qui. Le acquisizioni e le IPO del 2019 di fornitori di soluzioni di cybersicurezza che usano AI / ML dimostrano che c’è molta attenzione agli impatti che avrà l’IA sul businees. La FDA, con sede negli Stati Uniti, ha proposto un quadro normativo per il software basato su AI utilizzato nei dispositivi medici. È giunto il momento di chiedersi cosa è davvero l’intelligenza artificiale. E anche quale comprensione abbiamo degli algoritmi e come possiamo usare AI / ML per sfuggire al gioco del gatto e del topo tra chi si deve difendere e chi attacca. Fonte: BitMat.it
E-fattura: allungati i termini per l’emissione
Aumentano da 10 a 12 i giorni concessi, dal momento dell’effettuazione dell’operazione di cessione del bene o di prestazione del servizio, per emettere la fattura elettronica (art. 12-ter DL 34/2019 conv. n L. 58/2019). Il termine in questione (art. 21 c. 4, DPR n. 633/1972) ha subito diverse modifiche: originariamente fissato al momento dell’effettuazione dell’operazione, ovvero entro le 24 ore dalla cessione del bene o dalla prestazione del servizio, è stato successivamente posticipato a entro 10 giorni dall’effettuazione delle operazioni (art. 11, DL n. 119/2018) ed infine entro 12 giorni. Costituiscono eccezione al nuovo termine alcune ipotesi specifiche (art. 21 c. 4, lett. a), b), c), d) DPR 633/1972): 1. fattura differita: per le cessioni di beni la cui consegna o spedizione risulta da documento di trasporto o da altro documento idoneo a identificare i soggetti tra i quali è effettuata l’operazione ed avente le caratteristiche di cui al DPR n. 472/1996, nonché per le prestazioni di servizi individuabili attraverso idonea documentazione, effettuate nello stesso mese solare nei confronti del medesimo soggetto, può essere emessa una sola fattura, recante il dettaglio delle operazioni, entro il giorno 15 del mese successivo a quello di effettuazione delle medesime; 2. fattura super-differita: per le cessioni di beni effettuate dal cessionario nei confronti di un soggetto terzo per il tramite del proprio cedente la fattura è emessa entro il mese successivo a quello della consegna o spedizione dei beni; 3. prestazioni di servizi generiche con soggetti passivi esteri: la fattura è emessa entro il giorno 15 del mese successivo a quello di effettuazione dell’operazione. Fonte: Fiscopiù.it