Perché il pensiero a breve termine sta perdendo la guerra cibernetica

Guardando indietro al 2018, è del tutto possibile che l'anno venga ricordato soprattutto per lo scandalo Facebook/Cambridge Analytica, il primo grande momento di risveglio pubblico rispetto al problema della privacy dei dati.

Al contrario, le violazioni di dati subite da Marriott International e Amazon, così come da molte altre grandi multinazionali, sono sembrate quasi un contorno. Potrebbero aver generato titoli a bizzeffe quando la notizia è emersa, ma a differenza del clamore suscitato da Facebook, non erano destinate a rimanere nella coscienza collettiva.

In effetti, pochissime violazioni rimangono al centro dell'attenzione pubblica per un tempo sufficiente a ricevere l'indagine pubblica che meriterebbero. Le aziende coinvolte possono perdere una manciata di clienti scontenti mentre assolvono ai loro obblighi minimi di notifica e informazione verso coloro i cui dati sono stati compromessi, ma il danno a lungo termine è raramente significativo.

Questo è paradossale, dato che i cyber-criminali più astuti saranno quelli che resisteranno alla tentazione di sfruttare immediatamente i dati dei clienti che hanno sottratto. Pensateci: nell'immediato periodo successivo alla divulgazione pubblica di una violazione, aziende, clienti, società di carte di credito e agenzie per la lotta al cybercrimine sono tutti in stato di massima allerta. I dati sono 'caldi' – è l'equivalente virtuale di monitorare aeroporti e stazioni ferroviarie subito dopo un attentato terroristico.

Tuttavia, una volta che le conseguenze del danno immediato – finanziario, legale, reputazionale – sono passate, e ciascuna delle parti coinvolte inizia ad abbassare la guardia, vedremo gli hacker più scaltri colpire, non causando un altro scandalo di alto profilo, ma cercando di sfruttare il valore dei dati personali o finanziari raccolti nella violazione originale.

Di conseguenza, prevediamo che il 2019 sarà l'anno del Zombie Phishing – l'anno in cui minacce antiche inizieranno a tornare dalla tomba. I cybercriminali sfrutteranno le vulnerabilità di individui che non hanno risposto alle chiamate a cambiare le password o a implementare l'autenticazione a due fattori, almeno su alcuni dei loro account più importanti o vulnerabili. Il valore dei dati raccolti non scompare una volta che una violazione è stata scoperta; sono i clienti che devono aggiornare proattivamente le loro informazioni e le protezioni di sicurezza per mitigare il potenziale di sfruttamento più avanti.

Quindi, nei prossimi dodici mesi, vedremo fantasmi del phishing riemergere per colpire i clienti di innumerevoli aziende globali. Quale hacker non gradirebbe tornare sulla scena del crimine e sfruttare i milioni di profili di clienti esistenti che aveva rubato l'anno precedente – aggiungendoli al proprio bottino di violazioni di dati attuali?

Non ci credete? Bene, potete scoprirlo da soli: andate su HaveIBeenPwnEd e verificate se i vostri dati – indirizzi email o password (perché ovviamente avete decine di password uniche – una per ogni sito che visitate, giusto?!) – sono già in circolazione. La triste verità è che praticamente chiunque ha avuto i propri dati compromessi in qualche momento nell'ultimo decennio.

Questo non è un tentativo di allarmismo. In effetti, i phisher zombie non sono nulla da temere, a condizione che si compia la necessaria due diligence per assicurarsi che qualsiasi dato attualmente nelle mani degli hacker venga relegato al passato. Può sembrare scoraggiante, ma iniziate con i nostri consigli principali e sarete ben avviati a proteggere i vostri dati:

1. Verificate se le vostre informazioni personali sono elencate utilizzando uno strumento come HaveIBeenPwnEd. Se le vostre password risultano compromesse, smettete di usarle e cambiate i servizi che attualmente utilizzano quella password. Non sarete in grado di sapere se sia la vostra password sia la vostra identità sono state compromesse insieme, ma chiaramente non vale il rischio.
2. Mantenete le password separate, robuste e aggiornate regolarmente.
3. Implementate l'autenticazione a due fattori ove possibile, e controllate sempre due volte la fonte di qualsiasi comunicazione che non vi aspettate. Evitate l'autenticazione a due fattori via SMS, utilizzate una soluzione basata su app.
4. Utilizzate le protezioni integrate già disponibili per voi; dalle funzionalità anti-phishing al filtro anti-spam fornito da servizi come Gmail.

Sta a voi restare un passo avanti agli hacker, poiché purtroppo le evidenze suggeriscono che molte organizzazioni a cui affidiamo i nostri dati non sono in grado di fare lo stesso.