Sicurezza informatica per le PMI ticinesi: le cinque vulnerabilità che nessuno controlla
Il 43% dei siti WordPress compromessi aveva plugin non aggiornati da mesi. Le vulnerabilità che portano un'azienda a bloccarsi non sono quasi mai sofisticate, ma sono banali, note e nonostante tutto ignorate.
Il vero profilo di rischio di una PMI ticinese
Esiste una convinzione diffusa tra i titolari di piccole e medie aziende in Ticino:"siamo troppo piccoli perché qualcuno ci attacchi". È una convinzione comprensibile e anche completamente sbagliata, perché si basa su un'immagine cinematografica dell'attacco informatico, ossia un tecnico che sceglie un bersaglio e lo studia. La realtà operativa è diversa, perché la maggior parte degli attacchi che colpiscono le PMI è automatizzata. Sono script che scansionano continuamente Internet alla ricerca di sistemi con una vulnerabilità nota e colpiscono qualsiasi cosa trovino. Non c'è selezione, non c'è motivazione, non c'è un bersaglio designato.
Questo cambia completamente la logica difensiva. Non serve avere una fortezza, ma serve non essere il bersaglio più facile della strada. E per una PMI ticinese, la differenza tra "facile" e "difficile" si gioca su cinque punti concreti che quasi nessuno verifica e che la maggior parte si possono sistemare in autonomia entro ventiquattr'ore.
Le cinque vulnerabilità più diffuse e come chiuderle
1. Password deboli sui sistemi critici
Il problema non è sempre la password corta, ma la password riutilizzata per tutto. Quando un collaboratore usa la stessa password per il gestionale aziendale, per la posta elettronica e per un forum registrato dieci anni fa, la sicurezza di tutti e tre i sistemi coincide con quella del più debole. E i database di credenziali rubate da servizi violati circolano liberamente, gli attacchi automatizzati infine li usano per tentare l'accesso ovunque.
Cosa fare entro ventiquattr'ore: attivare l'autenticazione a due fattori su tutti i sistemi che la supportano, posta elettronica, e-banking, gestionale, backend del sito. È la singola misura con il miglior rapporto tra tempo investito e rischio eliminato e rende inutile una password rubata. In parallelo, adottare un gestore di password (Bitwarden, 1Password, Proton Pass) e smettere di conservare credenziali in fogli Excel condivisi, che oltre a essere una vulnerabilità tecnica sono anche un problema di conformità alla nLPD (la legge sulla privacy).
2. Backup che nessuno ha mai verificato
Quasi tutte le aziende hanno un backup, ma molte poche hanno un backup che funziona correttamente. La differenza emerge sempre nel momento peggiore, ossia il giorno in cui serve ripristinare un file, una cartella o tutti i documenti. Si scopre che il backup girava a vuoto da otto mesi o che salvava solo una cartella, o che si trova sullo stesso server che è stato compromesso. Un backup non verificato, al posto di essere una protezione, è solo una convinzione.
Cosa fare entro ventiquattr'ore: effettuare un ripristino di prova. Prendere il backup più recente e provare a recuperare almeno un file o un database in un ambiente separato. Se il ripristino riesce il backup esiste davvero. Come regola strutturale vale il principio 3-2-1: tre copie dei dati, su due supporti diversi, di cui una copia fuori sede. Una copia che risiede sullo stesso server dei dati originali infatti non conta come backup.
3. Accessi non monitorati e mai revocati
È la vulnerabilità più sottovalutata perché non ha sintomi visibili. Il collaboratore che ha lasciato l'azienda due anni fa ha ancora l'accesso al gestionale. L'agenzia web che ha rifatto il sito nel 2021 ha ancora un account amministratore attivo. Il commercialista ha accesso a una cartella cloud che nessuno ha più controllato. Nessuno di questi accessi deve essere malevolo, ma ognuno rappresenta una porta aperta che l'azienda non presidia e di cui non conosce il suo stato di sicurezza.
Cosa fare entro ventiquattr'ore: fare l'inventario degli utenti attivi sui tre o quattro sistemi più critici: posta, gestionale, backend del sito, cloud aziendale. Disattivare tutto ciò che non corrisponde a una persona attualmente operativa con una ragione precisa. È un'operazione che richiede meno di un'ora ed elimina un'intera categoria di rischio. Da quel momento la revoca degli accessi va inserita nella procedura di uscita di ogni collaboratore e anche di ogni fornitore.
4. Software e plugin obsoleti
Il dato citato in apertura non era casuale: la stragrande maggioranza dei siti WordPress compromessi lo è attraverso un plugin o un template non aggiornato. Il meccanismo è semplice e impersonale. Quando viene scoperta una vulnerabilità in un plugin diffuso, la notizia diventa pubblica insieme alla correzione. Da quel momento esiste una finestra in cui chiunque sa esattamente come entrare nei siti che non hanno ancora aggiornato il plugin. Gli script automatizzati scansionano internet cercando proprio quelle versioni. Lo stesso principio vale per i sistemi operativi dei computer, i gestionali e i firmware dei router.
Cosa fare entro ventiquattr'ore: aggiornare tutto ciò che è aggiornabile, partendo dal sito web e dai sistemi esposti a internet. Prima di aggiornare fare un backup, e verificare che sia ripristinabile, come al punto due. Poi attivare gli aggiornamenti automatici per le patch di sicurezza e fissare un appuntamento ricorrente di quindici minuti a settimana per verificare lo stato degli aggiornamenti. Questi quindici minuti settimanali sono l'investimento più redditizio nella sicurezza di una PMI.
5. Nessuna formazione del personale sulle minacce comuni
Questa è la vulnerabilità che vanifica tutte le altre difese. Si possono avere firewall, backup verificati e sistemi aggiornati, ma perdere tutto perché una persona ha cliccato su un link in una e-mail che sembrava provenire dal direttore. Le tecniche più efficaci contro le PMI non sono propriamente tecniche, ma sono psicologiche. La fattura falsa da un fornitore reale, il messaggio urgente del titolare che chiede un bonifico immediato, la finta comunicazione della banca. Funzionano perché sfruttano l'urgenza e l'autorità, non perché sfruttano un bug esistente.
Cosa fare entro ventiquattr'ore: convocare una riunione di trenta minuti con tutto il personale e stabilire due regole operative semplici. Primo: nessun pagamento o cambio di coordinate bancarie viene eseguito sulla base di una sola e-mail. Mai, serve sempre una verifica su un canale diverso, tipicamente una telefonata a un numero già noto. Secondo: chi riceve un messaggio sospetto lo segnala senza timore di sbagliare, e chi segnala non viene mai rimproverato per averlo fatto. Un ambiente in cui i collaboratori hanno paura di ammettere un clic sbagliato è un ambiente in cui l'incidente viene scoperto solo settimane dopo.
Cinque interventi non sono ancora una difesa
Chiudere queste cinque vulnerabilità sposta un'azienda ticinese dalla categoria dei bersagli facili a quella dei bersagli scomodi. È solo il primo passo ed è il più redditizio in rapporto allo sforzo, ma resta un intervento puntuale, non un vero e proprio sistema.
Le domande successive sono di natura diversa. Come si accorge un'azienda di essere sotto attacco mentre sta accadendo, invece di scoprirlo solo dopo? Che cosa si fa nelle prime due ore di un incidente reale, quando le decisioni prese determinano la differenza tra un disagio e un blocco operativo di giorni? Quali obblighi di notifica scattano sotto la nLPD quando la compromissione coinvolge dati di clienti? E come si costruisce una difesa che continui a funzionare anche quando cambiano i collaboratori, i fornitori o gli strumenti usati?
Ho affrontato queste domande in una guida dedicata a come strutturare la sicurezza informatica in una PMI ticinese, costruita anche sull'analisi di un attacco reale documentato ai miei sistemi: sei eventi distinti, oltre novecento richieste anomale in meno di dieci ore, zero accessi riusciti e la conferma di Microsoft. Non è teoria, ma è quello che succede a chi è online, ed è quello che serve affinché non diventi un problema.
La sicurezza informatica in una PMI si organizza. La maggior parte del lavoro non richiede un budget, ma la decisione di guardare dove finora non si è mai guardato abbastanza.
