La stagione natalizia è iniziata portando con sé non solo l’euforia delle Feste ma anche truffe via email, attacchi DDoS e un incremento nell’attività di hacking. Una delle più grandi violazioni mai registrate, quella subita lo scorso anno da Sony Pictures, è la dimostrazione di quello che potrebbe accadere a qualsiasi azienda in qualsiasi momento. E, molto probabilmente, è scaturita a partire da un errore di un dipendente che ha cliccato su un’email malevola.
A un anno dalla violazione occorsa al colosso giapponese, gli attacchi DDoS (Denial of Service) sono diventati più comuni che mai, e la stagione natalizia li fa aumentare. Nel caso in cui qualcuno voglia attaccare un’azienda, quale periodo migliore per attaccare con un Denial of Service della stagione natalizia? Questo è solitamente uno dei periodi più intensi per il business e se qualcosa va storto le conseguenze sul fatturato rischiano di essere estremamente serie. Strumenti di attacco DDoS sono oggi una commodity e vengono venduti apertamente sul web come un servizio. Perciò, non c’è da stupirsi se nel secondo trimestre del 2015 abbiano raggiunto il loro massimo storico.
Secondo un report di Akamai, il tasso di crescita rispetto al Q2/2014 è stato del 132%. Le truffe di phishing via email sono un’altra forma di attacco informatico che tipicamente crescono durante l’avvicinarsi della stagione natalizia. Questi attacchi simulano email inviate da nomi popolari come Facebook, PayPal, Microsoft, o istituti bancari, e spesso usano allegati malevoli per convincere gli ignari utenti. Attualmente è in corso una grande campagna globale di phishing che prende di mira i clienti DHL. Questa campagna ha come bersaglio sia la gente comune che le aziende. E può colpire qualsiasi azienda, grande o piccola. Gli attaccanti che usano il phishing spesso prendono di mira le aziende più piccole anche perché le ritengono delle vittime più facili da colpire. Non è quindi il caso di rivalutare la vostra sicurezza aziendale in questo periodo? Per contrastare gli attacchi informatici dovete accertarvi che i vostri dati aziendali siano sempre al sicuro. Comprendere quali passi servano per evitare di essere la prossima vittima di phishing e di un attacco DDoS è quindi un buon modo per iniziare i preparativi per la stagione natalizia.
Jarno Niemelä dei Laboratori di F-Secure ha delineato alcune istruzioni basilari per minimizzare il rischio che attacchi DDoS o di phishing abbiano successo. Quando si tratta di attacchi DDoS, la cosa più importante è essere un bersaglio in movimento e tenere il punto iniziale di contatto, che è la tua pagina web, mobile da un punto di vista di rete. Potrebbe essere una buona idea quella di affidarsi a un provider di cloud con diversi data center per i tuoi servizi web pubblici, così da essere in grado di offrire servizi in molteplici location o muovere il servizio nel cloud del provider. Per esempio, in Finlandia, una banca è stata colpita con un DDoS sulla pagina web pubblica e sfortunatamente questa pagina web pubblica era sulla stessa connessione Internet dei servizi di processo dei pagamenti. L’attacco DDoS ha così impedito alle carte di credito e debito dei clienti di funzionare, e quindi di poter essere usate per effettuare acquisti natalizi o prelevare contanti dagli sportelli bancomat.
Quindi per evitare simili incidenti:
1. Fate in modo che la vostra pagina web pubblica e altri servizi funzionino nel cloud, o altrimenti accertatevi che essi siano isolati dall’infrastruttura, così che un eventuale attacco DDoS colpisca solo la pagina web, e il resto del servizio possa continuare a funzionare.
2. Accertatevi che il fornitore di servizi che state usando per servizi pubblici in hosting fornisca un servizio anti-DDoS e che il servizio sia incluso nel vostro contratto. Con i tentativi di phishing, la precauzione più importante che potete prendere è quella di avere una protezione degli endpoint appropriata, perché ci sarà sempre qualche dipendente distratto o che non ha ancora preso il suo caffè mattutino che cliccherà su un allegato o un link a cui non avrebbe dovuto abboccare.
È poi altamente raccomandabile formare i vostri dipendenti alla cautela e insegnargli a reagire ai sospetti tentativi di phishing. Dovreste anche abilitare l’autenticazione a due fattori su tutti i servizi che sono critici per l’azienda, come i profili pubblici di Twitter e Facebook, e preferire servizi di Banking o di altro tipo che offrano questo tipo di autenticazione. Con l’autenticazione a due fattori, infatti, una password rubata non è così pericolosa come con i sistemi che usano password in chiaro.
Per i servizi che consentono di utilizzare solo le password, è importante avere una password univoca completamente casuale e salvare le password in un contenitore sicuro. La singola password può essere rubata, ma almeno funzionerà solo su quel singolo account, quindi perdere una password non darà al cybercrime il pieno accesso all’identità aziendale su tutti i servizi.
E per favore ricordate di usare l’autenticazione a due fattori con i vostri asset più importanti, come i server che contengono le password!
* Product Marketing Manager, F-Secure
