10 errori di sicurezza informatica dell’utente comune

Gli attacchi informatici sono ormai all’ordine del giorno; non passa settimana che i media non riportino un qualche tipo di grave attacco cyber ad infrastrutture informatiche di rilievo. Eppure, nonostante ciò, sembra proprio che la maggior parte di coloro che utilizzano dispositivi di qualsiasi genere per navigare nella rete per lavoro o per diletto, continuano a commettere banali errori di cyber security.

Utilizziamo gli accorgimenti più sofisticati per proteggere noi stessi, i nostri cari e le nostre proprietà dai malintenzionati; tendiamo tuttavia ad ignorare o sottovalutare i rischi derivanti dall’uso inconsapevole delle tecnologie informatiche. Un tipo di comportamento, questo, che è sicuramente correlato all’effetto Dunning-Kruger.

Errori banali e spesso inconsapevoli, commessi ingenuamente, per dimenticanza o incuria. E questo, solo perché talvolta manca un minimo di informazione di base su questa delicata materia. Oppure forse perché l’utente ingenuamente crede di sapere già tutto ciò che c’è da sapere sull’argomento.

Riguardo agli attacchi informatici, cosa sono e perché avvengono, sembra esserci una diffusa quanto errata convinzione, che noi c’è nulla da temere, in quanto la cyber security è qualcosa di cui solo banche e grandi aziende si debbono preoccupare seriamente. Gravissimo errore!

Questa affermazione è infatti più lontana dalla verità di quanto si possa immaginare: non dovremmo mai dimenticare che l’obbiettivo degli attacchi informatici siamo potenzialmente proprio tutti noi. Nessuno escluso.

Secondo un report di AV-TEST (The Independent IT-Security Institute), ogni giorno vengono rilevati più di 450.000 nuovi programmi malevoli, malware ed applicazioni potenzialmente indesiderate (PUA – Potential Unwanted Applications). Questo dato, da solo, dovrebbe portarci a riflettere sul livello di rischio di attacchi informatici al quale i nostri dispositivi sono esposti quotidianamente.

1. Rispondere a messaggi di sconosciuti

Che si tratti di messaggi email, Whatsapp oppure semplici SMS, rispondere ad un messaggio il cui mittente è sconosciuto può nascondere pericolose insidie. Nella grande maggioranza dei casi di questo genere, non è possibile conoscere a priori l’intento del mittente.

Esso infatti, potrebbe essere un individuo o un’organizzazione che sta tentando di raggirare l’incauta vittima, con l’obbiettivo di carpire dati personali, abitudini di navigazione, informazioni bancarie, o di qualsiasi altro tipo.

Oppure, sta tentando di far cadere in trappola la propria vittima di turno per indurre questa a scaricare (più o meno consapevolmente) un qualche tipo di Malware; strumento che successivamente potrà usare per controllare il dispositivo o per entrare nella rete; sia che tratti della rete locale domestica, della rete dell’azienda per la quale la vittima lavora.

In pratica, si tratta di Phishing.

In queste circostanze, per non commettere errori, basta porsi una semplice domanda: «Perché mai questo tizio scrive proprio a me per propormi un affare così allettante, al quale non posso rinunciare?». Se non si trova una risposta plausibile a tale domanda è probabile che il messaggio nasconda qualche trappola.

È quantomai rischioso rispondere a messaggi di questo tipo; anche la semplice risposta al messaggio, ha molti significati impliciti per l’autore del messaggio: ossia:

• È come se il destinatario dicesse: “Hey, ci sono. Messaggio ricevuto; hai la mia attenzione“;
• Il destinatario del messaggio esiste davvero cioè, è un indirizzo reale;
• La potenziale vittima è sensibile all’argomento trattato nel messaggio;

Il mittente (cioè l’attaccante) ora conosce molte più informazioni sul destinatario, di quanto apparentemente si può credere.

In tutti i casi, quelle informazioni rappresentano una vera e propria minaccia (threat), in quanto, con la semplice risposta al messaggio, la vittima fornisce preziosi dati personali, oltre ad informazioni sul proprio dispositivo e sulla rete alla quale è connesso.

2. Aprire l’allegato di un messaggio email

Se ricevi un messaggio email inaspettato, oppure quel messaggio ti è stato inviato da qualcuno che non conosci, allora, prima di aprire il file allegato è il caso di prestare molta attenzione. Il contenuto del messaggio solitamente ti invita ad aprire l’allegato con qualche scusa più o meno plausibile. Non farlo. Questo è uno degli errori più comuni!

Quasi sempre esso contiene un Malware di qualche tipo che verrà immediatamente attivato nel tuo dispositivo, non appena verrà aperto. Può trattarsi di un Trojan che infetta il tuo dispositivo in modo che l’Hacker possa prenderne il controllo in una Botnet.

Ma potrebbe trattarsi anche un pericoloso ransomware, il quale provvederà a criptare tutti i file che trova nel dispositivo, di fatto, prendendo in ostaggio tutti i file; chiedendo un riscatto in moneta sonante per ottenere la chiave di sblocco. Cosa che non sempre si conclude felicemente per la vittima.

La regola fondamentale da seguire per i messaggi di questo tipo è di eliminare immediatamente il messaggio, anche dal cestino, in modo che nessuno, in futuro, mai possa cadere nella tentazione di aprire quell’allegato; evitando così eventuali danni irreparabili.

3. Cliccare su link sconosciuti

Quante volte, navigando in rete ci siamo imbattuti in link che ci invitano a cliccare, per accedere a mirabolanti offerte di prodotti fantastici o di improbabili affaroni dell’ultimo minuto? sicuramente molte volte al giorno.

Grosso modo, per questo tipo di errore, valgono le medesime regole del capitolo precedente. Anche in questi casi cliccare su link dei quali non si conosce la natura, può nascondere insidie.

Se si è sufficientemente fortunati, cliccare su link sconosciuti potrebbe essere innocuo, soltanto noioso; si tratta di un link creato appositamente per fare click baiting (o “acchiappaclick“).

Ma la sicurezza informatica è una scienza esatta; non può essere delegata alla Dea fortuna!

In moltissime circostanze, invece, cliccare su link sconosciuti si rivela un vera e propria insidia. Potrebbe trattarsi di una vera e propria trappola per condurre l’ignaro utente in un sito fake appositamente allestito per rubare credenziali o indurre a scaricare file che contengono Malware.

È sempre consigliabile evitare di cliccare link sconosciuti o sospetti; ormai quasi tutti i browser mostrano nella parte bassa l’indirizzo web che si raggiunge cliccandolo, semplicemente passandoci sopra col cursore del mouse, senza cliccare. Per evitare uno degli errori più banali basta poco; solo un po’ di attenzione.

4. Scaricare software sconosciuti o di dubbia provenienza

Alzi la mano chi non ha mai cercato in rete un software più o meno legale dalla rete per risolvere un qualsiasi tipo di problema tecnico, oppure per semplice scopo ludico.

La rete è un enorme serbatoio di programmi, applicazioni, giochi e quant’altro. Il semplice fatto che molti di questi software siano disponibili in forma anche gratuita, non significa affatto che una cospicua parte di essi siano anche innocui sotto il profilo della sicurezza.

Se è vero che scaricare software dalla rete è spesso indispensabile, ciò non vuole significare che quest sia un’operazione da fare con leggerezza; soprattutto quando si tratta di software disponibile in siti web di dubbia affidabilità o palesemente sospetti.

Il caso più classico riguarda il tizio sdraiato sul divano, in preda alla noia e con tanta voglia di scaricare qualche nuovo gioco per computer o per smartphone dal primo sito che capita. Niente di più sbagliato.

Basti pensare per un attimo anche solo a quanto costa sviluppare software: perché mai lo si può avere gratis?

Il fatto è che si è da tempo consolidata una subdola strategia, da parte di Hacker senza scrupoli, per adescare ignare vittime su siti web nati esclusivamente per diffondere Malware.

5. Usare password deboli o spesso la stessa password

Questo è un uno dei tipici errori commessi per noia o per pigrizia; quante volte abbiamo visto il classico Post-It colorato appiccicato al monitor del PC, dove fanno bella mostra di sé una o più password?

Assolutamente da evitare! Dopotutto, sono disponibili un gran numero di strumenti software sicuri per generare e conservare le proprie password, al riparo da occhi indiscreti. Molti di questi strumenti sono scaricabili ed utilizzabili gratuitamente,quindi non gravano sul nostro budget, come nel caso del celeberrimo KeePass; mentre altri sono servizi online (taluni a pagamento) che offrono un gran numero di opzioni, oltre ad un eccellente grado di protezione.

Quindi, non si spiega perché ci sia ancora qualche utente che utilizza password banali, come il nome del proprio cane o della propria data di nascita.

I criteri da adottare per le password

Le password vanno cambiate, di tanto in tanto, mediamente ogni 4 o 6 mesi. Questo perché anche le password, di fatto, “invecchiano”; ossia, con il passare del tempo e del loro utilizzo diventano sempre più prevedibili. In primo luogo, a causa del fenomeno dello Shoulder Surfing; in secondo luogo perché qualcuno può nel frattempo aver individuato la password corrente; cambiandola frequentemente si riducono notevolmente i danni che può fare qualche malintenzionato.

Non solo le password andrebbero cambiate spesso, ma è anche auspicabile che le password siano sicure e scelte con molta cura; meglio angora se generate tramite un generatore casuale di password, oppure verificare online la qualità della password scelta per non commettere errori.

Decine, centinaia, a volte migliaia di password da ricordare ogni giorno per accedere a questo o quel servizio online. Questo però non giustifica mai l’uso di password deboli; ossia, troppo facili.

Una password di 8 caratteri composta di solo lettere dell’alfabeto può essere individuata in pochi secondi; se composta di lettere maiuscole, minuscole e numeri, alcune decine di minuti. Per una password complessa, ossia più lunga di 12 caratteri composta di lettere maiuscole e minuscole, con qualche carattere speciale, il discorso cambia; possono volerci anche decine di anni per individuare una password complessa di questo tipo.

Un efficace articolo di Hive Systems mostra quanto quanto tempo è necessario per individuare una password, corredato da un’altrettanto efficace infografica.

6. Evitare o ritardare gli aggiornamenti software

Ancora uno degli errori fatali che l’utente commette piuttosto spesso.

È sempre buona norma eseguire l’aggiornamento del sistema operativo e delle applicazioni su smartphone, tablet e computer. Questo non solo perché gli ultimi aggiornamenti portano con sé miglioramenti dell’utilizzo o delle prestazioni; al di la di ogni altra cosa, gli aggiornamenti servono a tappare le falle sicurezza che nel tempo vengono via via scoperte e curate dagli sviluppatori.

Sappiamo bene quanto sia fastidioso quell’avviso del nostro dispositivo che ci informa sul nuovo aggiornamento software in attesa di essere installato. E poi, in più delle volte, non c’è né tempo né voglia da dedicare alla faccenda degli aggiornamenti.

Ma sappiamo anche che i produttori si software, quelli seri, spingono molto sulla necessità che il dispositivo dell’utente sia privo di malfunzionamenti e possa offrire la migliore protezione di sicurezza possibile.

Per non commettere errori fatali è sempre consigliabile eseguire gli aggiornamenti dei dispositivi il prima possibile; non appena questi sono resi disponibili dal costruttore.

7. Disabilitare i controlli di sicurezza

Uno degli errori a più alto rischio, che si possono commettere per leggerezza o incuria, consiste nel disabilitare i controlli di sicurezza del dispositivo. Scelta questa, altamente rischiosa e insensata che può esporre a seri rischi il corretto funzionamento del dispositivo stesso.

I controlli di sicurezza che equipaggiano i moderni dispositivi, sono software estremamente sofisticati e complessi. Sono il frutto di anni di evoluzione riguardo alle metodologie di attacco di una vasta gamma di malware e come difendersi da questi in modo opportuno. Non solo. Essi tengono anche conto di alcuni peculiari aspetti strettamente correlati al comportamento dell’utente nell’utilizzo del dispositivo ed includono algoritmi di difesa conto svariati tipi di Cyber Attacchi basati sull’ingegneria sociale.

Coloro che disabilitano i controlli di sicurezza, tipicamente lo fanno per non essere continuamente disturbati dalle notifiche di sicurezza del sistema; ossia, quei messaggi di allerta che il dispositivo utilizza per informare l’utente ogni qual volta viene rilevato un evento ad alto rischio. Si tratta di quei messaggi di sicurezza che che non devono mai essere ignorati poiché indicano che è stato rilevato qualcosa di dannoso per il dispositivo; che potrebbe però recare danno anche all’utilizzatore.

In fondo, prima di disabilitare i controlli di sicurezza di un dispositivo, basterebbe semplicemente chiedersi il motivo per cui questi esistono e continuano ad interromperci nel nostro lavoro. La risposta sarebbe quantomai ovvia: perché sono li per proteggere moi ed il nostro dispositivo!

8. Utilizzare WiFi pubbliche senza adeguate protezioni

Secondo uno studio condotto da Kaspersky Security Network, circa un quarto degli Hot Spot WiFi nel mondo non utilizzano alcun tipo di crittografia. Sapiamo fin troppo bene quanto sia critica la sicurezza dei dati che viaggiano avanti e indietro nelle nostre comunicazioni. Nonostante ciò, le stazioni ferroviarie, gli aeroporti ed altri luoghi dove sono disponibili connessioni WiFi pubbliche, pullulano di persone che le utilizzano senza alcun tipo di protezione.

Una connessione WiFi è come un cavo di rete lasciato incustodito in mezzo alla strada, chiunque può connettersi. Non possiamo certo fidarci che la rete alla quale ci si sta per connettersi sia affidabile e priva di malware.

Quando ci si connette ad un WiFi pubblico, tipicamente non si conosce a priori nulla di quella rete, né di chi l’amministra, né dei criteri di sicurezza che vengono adottati, né tanto meno il livello di privacy al quale si è esposti.

Usare una connessone WiFi pubblica di per sé non costituisce un grave rischio; può, di contro, essere un grave errore se non si utilizza una VPN e strumenti per la crittografia dei dati.

9. Evitare gli Antivirus

Un Antivirus è un programma progettato per rilevare e rimuovere virus e altri tipi di software dannoso dal computer, dal laptop e da altri tipi di dispositivi informatici.

Il software malevolo, anche detto malware, è tipicamente un codice in grado di danneggiare i dispositivi e i dati in essi contenuti. I dispositivi possono essere infettati scaricando inavvertitamente malware che si trova in un allegato collegato a un messaggio email di dubbia provenienza, o nascosto su un’unità USB, o anche semplicemente visitando un sito Web ingannevole.

Una volta che il malware è riuscito ad entrare nel dispositivo (computer, laptop, smartphone, eccetera), questo può rubare i dati, crittografarli in modo che da non poterci più accedere se non dopo aver pagato un riscatto, oppure addirittura cancellarli completamente. Altri tipi di malware invece, non danneggiano il dispositivo o i dati, ma rimangono silenziosi in attesa di essere utilizzati in una Botnet per sferrare attacchi a terzi (tipicamente grandi compagnie o enti governativi). Insomma; ce n’è per tutti i gusti.

Per questi motivi è importante utilizzare sempre un software antivirus e tenerlo costantemente aggiornato a protezione dei software e dei dati dei dispositivi.

Troppo spesso però accade che ci sia qualcuno che la pensa diversamente. Questi signori, basandosi sulla falsa convinzione che gli antivirus rallentano troppo il dispositivo o ostacolano il regolare svolgimento del proprio lavoro, tendono a disattivare l’antivirus, commettendo uno degli errori ad alto rischio.

A costoro, andrebbe ricordato che il piccolo prezzo da pagare in termini di prestazioni del dispositivo è di gran lunga inferiore al valore della sicurezza che se ne guadagna, in termini complessivi.

10. Usare chiavette USB in modo sconsiderato

Le chiavette USB, o Pen Drive, sono uno strumento molto utile ed estremamente economico per portasi appresso file, programmi e dati. Tuttavia, anche questi oggetti, se non maneggiati con cura, possono essere potenti diffusori di malware.

I Pen Drive, a causa del loro continuo migrare da un computer ad un altro, possono essere dei perfetti portatori e diffusori di virus, trojan ed ogni genere di malware. Può capitare infatti che, nel loro vagabondare, siano state inserite almeno una volta in un computer infetto; a quel punto la chiavetta USB diventa lo strumento per diffondere infezioni ad altri computer, anche piuttosto gravi.

È anche vero che si incontrano sovente situazioni per le quali non c’è altro modo di portare un file da un computer ad un altro. Tuttavia, l’utilizzo delle chiavette USB dovrebbe sempre essere fatto con estrema cautela. Soprattutto, prima di accedere qualunque file, è indispensabile che l’intero contenuto sia verificato da un buon antivirus in modo da evitare di aprire inavvertitamente la porta a qualche malware.

Sottoporre regolarmente alla scansione dell’antivirus le chiavette USB che si utilizzano è importante tanto quanto effettuare la scansione del computer. Non a caso, quando un Pen Drive viene inserito nel computer, esso diventa parte integrante del computer stesso; quindi il rischio di infettare il computer da malware è estremamente elevato.

Ultimo, ma non ultimo: I Pen Drive non devono mai essere lasciati incustoditi in quanto dovrebbero essere considerati oggetti strettamente personali.

Conclusioni

In un mondo ormai iperconnesso, è estremamente facile commettere errori di Cyber Security, talvolta anche grossolani. Errori che possono mettere in serio pericolo la privacy e la sicurezza non solo del proprio dispositivo, ma anche quella di altri dispositivi connessi in rete.

Per motivi di sintesi, abbiamo qui voluto riportare solo un numero limitato di errori di sicurezza informatica; solo i più tipici, quelli cioè più evidenti, ma anche i più critici. Questa sintetica guida vuole quindi essere un sintetico promemoria da tenere sempre a portata di mano; che sia d’aiuto per coloro che vorranno correggere comportamenti incauti o semplicemente dettati dalla superficialità.

Condividi