Cos'è una violazione dei dati?

Cos'è una violazione dei dati?

Una violazione dei dati consiste nella fuoriuscita di informazioni riservate, private o altrimenti sensibili in un ambiente non sicuro. Una violazione dei dati può verificarsi accidentalmente, oppure a seguito di un attacco deliberato.

Ogni anno, milioni di persone sono vittime di violazioni dei dati. Le casistiche spaziano da un medico che consulta per errore la cartella clinica di un paziente, a tentativi su vasta scala di accedere ai computer della pubblica amministrazione per ottenere informazioni riservate.

Le violazioni dei dati rappresentano una seria preoccupazione per la sicurezza, dato che su Internet i dati sensibili viaggiano a ciclo continuo. Questo trasferimento incessante di informazioni consente agli aggressori di effettuare tentativi di sottrazione di dati riservati contro qualsiasi individuo o azienda scelgano.

I dati sono anche archiviati in formato digitale da aziende dislocate tutto il mondo, e i server che ospitano i dati sono spesso vulnerabili a varie tipologie di attacchi informatici.

Chi sono i principali obiettivi delle violazioni dei dati?

Tra gli obiettivi di prima importanza figurano senz'altro le grandi aziende, soprattutto perché il "bottino" che offrono è consistente. Il bottino, per così dire, può comprendere milioni di informazioni personali e finanziarie degli utenti, così come credenziali di accesso e numeri di carte di credito. Tutti questi dati possono poi essere rivenduti al miglior offerente.

Gli aggressori non si limitano però alle grandi aziende, ma prendono di mira qualsiasi target da cui possano estrarre dei dati. Per i criminali informatici sono preziose tutte le informazioni personali o riservate, perché di solito c'è sempre qualcuno disposto a pagare per averle.

Quali sono le modalità con cui può verificarsi una violazione dei dati?

• Credenziali perse o rubate: il modo più semplice per vedere dei i dati privati online è sfruttare le credenziali di accesso di qualcun altro per accedere a un dato servizio. Per questo scopo, gli aggressori utilizzano una gamma notevole di strategie per impossessarsi delle credenziali di accesso e delle password degli utenti. Tra i metodi più diffusi figurano gli attacchi "brute force" e gli attacchi on-path.
• Attrezzature smarrite o rubate: un computer o uno smartphone smarriti che contengono informazioni riservate possono essere molto pericolosi se finiscono nelle mani sbagliate.
• Attacchi di social engineering: il social engineering, o "ingegneria sociale", prevede l'utilizzo di tecniche di manipolazione psicologica per indurre uno o più individui a rivelare informazioni sensibili. Ad esempio, un malintenzionato potrebbe fingersi un funzionario dell'Agenzia delle entrate e contattare telefonicamente le vittime nel tentativo di convincerle a dare le credenziali di accesso al proprio conto bancario.
• Minacce interne: queste coinvolgono persone che hanno accesso a informazioni protette esponendo deliberatamente tali dati, spesso per guadagno personale. Gli esempi includono un cameriere di un ristorante che copia i numeri delle carte di credito dei clienti e dipendenti governativi di alto livello che vendono segreti a stati stranieri. (Scopri di più sulle minacce interne.)
• Exploit di vulnerabilità: quasi tutte le aziende nel mondo utilizzano una serie di prodotti software diversi. Data la complessità intrinseca di un software, spesso in esso sono presenti dei difetti, noti come "vulnerabilità". Un attaccante può sfruttare queste vulnerabilità per ottenere un accesso non autorizzato, e vedere o copiare dati riservati.
• Infezioni da malware : molti programmi software dannosi sono progettati per rubare dati o tenere traccia delle attività degli utenti, inviando le informazioni raccolte a un server controllato dall'aggressore.
• Attacchi fisici ai punti vendita: questi attacchi prendono di mira le informazioni delle carte di credito e di debito e, molto spesso, prevedono l'uso di dispositivi che scansionano e leggono tali carte. Ad esempio, qualcuno potrebbe installare un bancomat falso o persino installare uno scanner su un bancomat legittimo, al fine di raccogliere numeri di carte e PIN.
• Sottrazione e uso illecito delle credenziali: dopo che le credenziali di accesso di un utente sono state esposte in una violazione dei dati, un aggressore può provare a riutilizzare le stesse credenziali su decine di altre piattaforme. Se quell'utente accede con lo stesso nome utente e password su più servizi, l'aggressore potrebbe ottenere l'accesso all'e-mail, ai social media e/o ai conti bancari online della vittima.
• Assenza di crittografia: se un sito che raccoglie dati personali o finanziari non utilizza la crittografia SSL/TLS, chiunque può monitorare le trasmissioni tra l'utente e il sito e vedere i dati in chiaro.
• Applicazioni o server configurati in modo errato: se un sito, un'applicazione o un server web non sono configurati correttamente, possono lasciare i dati esposti a chiunque disponga di una connessione Internet. I dati riservati potrebbero essere visualizzati da utenti che vi si imbattono accidentalmente o da malintenzionati che li cercano intenzionalmente.

Che forma assumono le violazioni di dati nel mondo reale?

La violazione dei dati di Equifax, che ebbe luogo nel 2017, è ancora oggi uno dei maggiori esempi di violazione di dati su larga scala. Equifax è una ditta che si occupa di merito creditizio. Tra maggio e giugno 2017 degli aggressori ebbero accesso ai dati personali di quasi 150 milioni di cittadini americani, 15 milioni di cittadini britannici e 19.000 cittadini canadesi. I dati erano custoditi nei server di Equifax. L'attacco riuscì perché Equifax non aveva installato una patch per ovviare a una vulnerabilità software nel suo sistema.

Anche le violazioni dati su piccola scala possono avere un impatto significativo. Nel 2020, alcuni malintenzionati si impossessarono degli account Twitter di numerose persone famose e influenti. L'attacco ebbe successo grazie alla buona riuscita di un precedente attacco di ingegneria sociale, che aveva permesso agli aggressori di accedere ai tool amministrativi interni di Twitter. Partendo da questa penetrazione iniziale, gli aggressori riuscirono ad assumere il controllo degli account di numerose persone e a promuovere una truffa che riuscì a fruttare circa 117.000 dollari in Bitcoin.

Una delle più note violazioni di dati degli ultimi decenni è stato l'attacco informatico lanciato contro il grande rivenditore Target nel 2013. La strategia impiegata per sferrare l'attacco fu piuttosto sofisticata, in quanto vide l'uso combinato di un attacco di social engineering, dell'intromissione nel software di una ditta fornitrice e di un attacco su larga scala sferrato sui POS fisici dell'azienda.

L'attacco ebbe inizio con una truffa di phishing che aveva preso di mira i dipendenti di una ditta di impianti di aria condizionata che montava i condizionatori nei punti vendita di Target. I condizionatori erano collegati ai computer della rete di Target per poterne monitorare il consumo di energia, e gli aggressori modificarono il software della ditta fornitrice per ottenere l'accesso al sistema di Target. I pirati informatici riuscirono infine a riprogrammare i POS nei negozi di Target per ottenere i dati delle carte di credito dei clienti. I POS non erano connessi a Internet, ma erano stati programmati per scaricare periodicamente i dati salvati delle carte di credito in un punto di accesso monitorato dagli aggressori. L'attacco ebbe successo e ha portò alla compromissione dei dati di circa 110 milioni di clienti.

In che modo un'azienda può prevenire le violazioni dei dati?

Dato che queste violazioni si verificano in molteplici forme, non esiste una soluzione univoca per prevenirle ed è necessario un approccio olistico. Ecco alcune delle misure che le aziende possono adottare:

Controllo degli accessi: i datori di lavoro possono contribuire a contrastare le violazioni dei dati assicurandosi che i propri dipendenti dispongano solo della quantità minima di accessi e autorizzazioni necessarie per svolgere le proprie mansioni.

Crittografia: le aziende devono crittografare i propri siti e i dati che ricevono tramite crittografia SSL/TLS. Le aziende devono anche crittografare i dati a riposo, ovvero quando sono archiviati sui propri server o sui dispositivi dei dipendenti.

Soluzioni di sicurezza Web: un web application firewall (WAF) può proteggere un'azienda da diversi tipi di attacchi alle applicazioni, e difenderla da exploit di vulnerabilità che possono dare origine a fuoriuscite di dati. A tal proposito, si ritiene che un WAF configurato correttamente avrebbe impedito il grave attacco di violazione dei dati che Equifax subì nel 2017.

Sicurezza della rete: oltre alle proprietà web, le aziende devono proteggere dai tentativi di compromissione anche le proprie reti interne. L'adozione di soluzioni di sicurezza di rete come firewall, protezione da attacchi DDoS, gateway web sicuri e di misure di prevenzione delle perdite di dati (DLP) possono contribuire a mantenere le reti sicure.

Mantenere aggiornati software e hardware: le versioni obsolete di un software sono pericolose. Quasi sempre, un software contiene vulnerabilità che, se sfruttate correttamente, consentono a dei malintenzionati di accedere a dati sensibili. I fornitori di software rilasciano regolarmente patch di sicurezza o versioni completamente nuove del loro software proprio per correggere queste vulnerabilità. Se i patch e gli aggiornamenti non vengono installati, gli aggressori saranno in grado di compromettere i sistemi, come accaduto nella violazione di Equifax. Superato un certo limite, i fornitori cessano di supportare un dato software, lasciandolo completamente esposto a qualsiasi nuova vulnerabilità venga scoperta.

Preparazione: le aziende devono preparare un piano di risposta da mettere in atto in caso di violazione, con l'obiettivo di ridurre al minimo o contenere la fuoriuscita di informazioni. Ad esempio, è opportuno che un'azienda custodisca copie di backup di database importanti.

Formazione: il social engineering è una delle cause più comuni di violazione dei dati. È imperativo addestrare i dipendenti a riconoscere gli attacchi di social engineering e a reagire in modo adeguato.

In che modo un utente può tutelarsi contro le violazioni dei dati?

Ecco alcuni suggerimenti per proteggere i tuoi dati, sebbene queste azioni da sole non garantiscono una sicurezza completa:

Utilizzare password uniche per ogni servizio: molti utenti riutilizzano le proprie password su più servizi online. Il risultato è che quando uno di questi servizi subisce una violazione, gli aggressori possono utilizzare le credenziali acquisite per compromettere anche gli altri account degli utenti.

Usare l'autenticazione a due fattori: l'autenticazione a due fattori (2FA) consiste nell'uso di più di un metodo di verifica per confermare l'identità di un utente prima di consentirgli l'accesso a un sito. Una delle forme più comuni di autenticazione a due fattori è quando un utente inserisce un codice univoco temporaneo inviato tramite SMS al proprio telefono, oltre alla password. Gli utenti che adottano il sistema 2FA sono meno vulnerabili alle violazioni dirette a rivelano le credenziali di accesso, perché la loro password da sola non è sufficiente a consentire a un aggressore di rubare i loro account.

Inviare informazioni personali solo su siti web HTTPS: un sito web che non utilizza la crittografia SSL avrà solo "http://" nel suo URL, non "https://". I siti web privi di crittografia lasciano esposti tutti i dati inseriti, dai nomi utente e password alle query di ricerca e ai numeri di carta di credito.

Mantenere aggiornati software e hardware: questo suggerimento si applica sia agli utenti che alle aziende.

Crittografare i dischi rigidi: se il dispositivo di un utente viene rubato, la crittografia impedisce all'aggressore di visualizzare i file archiviati localmente su quel dispositivo. La crittografia, però, non arresta gli aggressori che abbiano ottenuto l'accesso remoto al dispositivo tramite un'infezione malware o altri metodi.

Installare applicazioni e aprire file solo da fonti affidabili: ogni giorno, gli utenti scaricano e installano accidentalmente del malware. Bisogna accertarsi che tutti i file o le applicazioni che si aprono, si installano o si scaricano provengano effettivamente da una fonte legittima. Inoltre, un utente deve evitare di aprire allegati e-mail sospetti. Gli aggressori, infatti, spesso nascondono malware all'interno di file apparentemente innocui allegati alle e-mail.