Information Security & Privacy

Attacchi informatici: quando a causarli sono gli errori umani

02 maggio 2018 / Di Giorgia Dragoni / Nessun commento

Quando si parla di Information Security non si può tralasciare il cosiddetto fattore X, l’elemento di incertezza legato al comportamento umano. Spesso le aziende investono su sistemi di protezione sofisticati in grado di proteggere l’organizzazione da attacchi esterni, ma non valutano il rischio legato al comportamento dei propri utenti, non considerando che l’anello debole della catena potrebbe essere proprio l’uomo.

Il Cybercrime legato al comportamento umano

In molti attacchi informatici, infatti, i cybercriminali non utilizzano sistemi tecnologici particolarmente sofisticati, ma sfruttano aspetti del comportamento umano, come la distrazione o la mancanza di consapevolezza, per fare breccia nei sistemi aziendali.

Nell’era in cui il fenomeno del BYOD (Bring Your Own Device) è sempre più diffuso all’interno delle aziende, che permettono ai propri dipendenti di utilizzare i propri device personali all’interno del contesto lavorativo, si sono infatti moltiplicati i casi in cui il furto o lo smarrimento di un dispositivo (dal portatile, al telefono o tablet, alla chiavetta USB) provocano la conseguente esposizione di dati riservati o di informazioni che mettono a rischio la sicurezza dei sistemi aziendali.

Un ulteriore diffusissimo fenomeno riguarda gli attacchi informatici che cercano di trarre in inganno gli utenti aziendali: mail che contengono link malevoli, che rimandano a pagine web clonate simili in tutto e per tutto ai siti originali, che spingono l’utente ad inserire le proprie credenziali o che inducono il destinatario a scaricare sul proprio dispositivo un allegato infetto sono ormai all’ordine del giorno.

Dal Sony Hack a WannaCry: le "vittime" illustri del fattore umano

Si calcola che circa il 95% degli attacchi informatici siano causati dal fattore umano. Per citare alcuni casi eclatanti, il celeberrimo attacco ai danni di Sony Pictures Entertainment del 2014, che ha portato alla perdita di 100 Terabyte di dati progressivamente diffusi online e messo fuori uso i sistemi aziendali per settimane, fu originato da una mail di phishing, che chiedeva ai destinatari di inserire in un sito falso le credenziali dei loro ID Apple per verifica. Stesso scenario nel caso dell’attacco hacker al Pentagono nell’agosto del 2015 in cui, a seguito di una mail di spear phishing, furono trafugati i dati di oltre 4.000 persone tra militari e civili.

Anche il più recente caso “WannaCry”, avvenuto a maggio 2017 e declinatosi in una campagna di attacco massiva che ha infettato i sistemi di centinaia di migliaia di vittime in oltre 150 Paesi, ha avuto all’origine il fattore umano. L’attacco, che ha sfruttato una vulnerabilità di Windows per generare una diffusione di Ransomware, ha infatti utilizzato come strumento di ingresso nel perimetro delle organizzazioni alcune email di phishing.

Come responsabilizzare i dipendenti alla security?     Scarica il report

Giorgia Dragoni

Giorgia Dragoni

Ricercatrice Osservatorio Information Security & Privacy

Articoli più letti