Autore: admin_sicurezza360

L’invio di email pubblicitarie senza il consenso esplicito dei destinatari può essere considerato spam e potrebbe violare le normative sulla privacy e il trattamento dei dati personali.

Il Garante privacy ci ha tenuto a precisare, comminando una sanzione di 10.000€ ad una società, che un link per rimuovere l’iscrizione dalle email promozionali inviate senza consenso non ne rende lecito l’invio. L’intervento dell’Autorità ha seguito la segnalazione di un utente che lamentava la continua ricezione di email indesiderate, nonostante si fosse opposto a tali invii, e di non aver avuto alcuna risposta da parte della società.

La società ha provato a difendersi dichiarando di aver estratto i nominativi da alcuni elenchi pubblici e che i dati poi sarebbero stati trattati sulla base di un legittimo interesse, ma il Garante ha sottolineato che l’invio di comunicazioni con modalità automatizzate è permesso solo con il consenso dell’utente-contraente.

Vuoi partecipare ad una call in Zoom con il nostro esperto privacy? Completa il form qui sotto ↓

L’attività di cyber crime è, ad oggi, più redditizia del commercio illegale di droga: infatti, secondo le ricerche pubblicate da Cybersecurity Ventures (il principale ricercatore al mondo sulla sicurezza informatica), i costi globali del crimine informatico sono destinati ad aumentare. Le previsioni parlano del 15% all’anno, fino a raggiungere i 10,5 trilioni di dollari, ogni anno, entro il 2025.

I cyber attacchi possono colpire chiunque, dai privati, alle piccole e fino alle grandi imprese e multinazionali e, nella maggior parte dei casi, a fare la differenza è l’elemento umano: infatti, circa il 95% degli attacchi cyber è causato dall’errore umano.

Ciò vuol dire che le persone non sono sufficientemente ed adeguatamente formate per riconoscere e gestire un attacco informatico.

Come nel caso dell’Italia che, per quanto riguarda il capitale umano, si colloca – secondo una ricerca condotta nel 2022 da DESI (Digital Economy and Society Index) – al 25° posto su 27 Paesi dell’UE, con solo il 46% delle persone aventi perlomeno competenze digitali di base.

I principali attacchi cyber vengono realizzati attraverso il phishing e i ransomware.

Il phishing (derivante dall’omofonia con fishing, “pescare”) è un metodo ingannevole che, mettendo in pratica il cosiddetto “social engineering” (ossia la manipolazione della persona attraverso la psicologia), cerca di indurre una vittima, mediante una falsa comunicazione, a collegarsi ad un sito bersaglio simile all’originale (ad esempio, il sito di una banca), al fine di rivelare informazioni personali quali, ad esempio, le credenziali di accesso, i numeri di carta di credito, i dati bancari, o per veicolare all’interno del dispositivo utilizzato un malware (ovvero un software dannoso).

Il principale esempio di questa truffa informatica è dato dalle email di phishing, che rappresentano circa l’80% dei vettori di attacco.

Esistono poi delle varianti. Nello specifico:

• Smishing, ossia “SMS phishing”, realizzato attraverso l’invio di messaggi su dispositivi mobili;
• Vishing, ossia “phishing vocale”, la truffa telefonica;
• QRishing, ossia “QR Codes + phishing”; attacco sotto forma di un codice QR che indirizza a un link web contenente malware, evitando in questo modo i controlli antispam.

Si distinguono dal phishing, poi, lo spear phishing e il watering hole.

Molto spesso, infatti, si pensa che il sito internet che utilizza il protocollo HTTPS sia sicuro; tuttavia, il protocollo HTTPS garantisce solo che le informazioni trasmesse sul sito saranno criptate, ma dice poco o nulla sull’autenticità di chi possiede il sito web che l’utente sta visitando.

È fondamentale, inoltre, imparare a riconoscere quelli che vengono definiti “attacchi omografici”, ossia quegli attacchi ingannevoli che sfruttano la somiglianza visiva di caratteri differenti. Questo tipo di attacco (definito typosquatting) viene utilizzato per creare e registrare domini fasulli, con nomi praticamente identici a quelli di domini esistenti, per ingannare gli utenti e indurli a visitarli.

Per ransomware si intende, invece, un malware (ossia un programma informatico malevolo) la cui funzione è quella di infettare un dispositivo digitale, bloccando l’accesso a tutti o a parte dei dati ivi contenuti.

L’utilizzo di questi malware è aumentato esponenzialmente negli ultimi anni e circa il 75% degli stessi sono di origine russa.

Oltre a bloccare i dati tramite criptazione, i più recenti attacchi ransomware si concretizzano anche nella sottrazione degli stessi e nella minaccia della loro diffusione (double extorsion), esponendo così l’Organizzazione alle sanzioni di cui al Regolamento (UE) 2016/679 in materia di trattamento dei dati personali.

A seguito dell’attacco, il cyber criminale chiede all’Organizzazione il pagamento di un riscatto per la restituzione dei dati sottratti e/o criptati. Tale importo ha subito, nel corso degli anni, un significativo aumento, passando da poche centinaia fino ad arrivare a milioni di dollari.

I vettori di infezione utilizzati dai ransomware sono:

• Email di phishing;
• Navigazione su siti compromessi;
• Supporti rimovibili, ad esempio chiavetta USB;
• Altri software che vengono scaricati (ad esempio, possono essere inseriti all’interno di programmi gratuiti che consentono all’utente di craccare software costosi per utilizzarli senza pagare);
• Collegamenti remoti, tipo VPN.

I file più utilizzati come allegati malevoli, per inoculare un malware, sono pdf, Excel, Word, inserendo il malware all’interno delle macro dei file stessi.

Come detto in apertura, gli attacchi cyber colpiscono tutti. Ciò che può fare la differenza è la preparazione dell’utente, che può adottare alcune semplici accortezze per difendersi da tali attacchi, come ad esempio:

• Prestare attenzione alle email, perché possono contenere link e/o allegati pericolosi;
• Prestare attenzione alle chiavette USB;
• Disabilitare l’esecuzione di macro da parte dei componenti Office (Word, Excel, Power Point, …);
• Effettuare un periodico backup dei dati;
• Non cliccare su banner in siti non sicuri;
• Installare programmi antivirus.