29 Marzo 2024

Malware attraverso PEC: come comportarsi per evitare disastri?

Nel corso delle ultime settimane i professionisti, le pubbliche amministrazioni e chiunque sia munito di una casella di posta elettronica certificata (PEC) stanno subendo una serie di attacchi attraverso semplici allegati a messaggi e-mail. Sebbene i tentativi di attacco via e-mail esistano da anni e siano sempre riconoscibili per la presenza di dettagli che esulano dalla “normalità” del destinatario (es.: messaggi da banche di cui non si è clienti che annunciano il blocco del conto corrente), questa nuova ondata di attacchi è davvero maligna e pericolosa.

5. Perché attendere il disastro? Meglio prevenire!

Rilassiamoci, prepariamoci una tisana e riflettiamo sul perché dell’isteria collettiva derivante dalla ricezione di PEC sospette. Abbiamo paura perché siamo tecnicamente impreparati e, soprattutto, perché mai avremmo pensato di poter ricevere malware attraverso la Posta Elettronica Certificata. Ce l’hanno venduta come mezzo di comunicazione moderno, sostitutivo della lettera raccomandata, con il medesimo valore probatorio ma più veloce… però non ci hanno detto che in fondo sempre di posta elettronica si trattava. Sotto il profilo squisitamente tecnico, rispetto alla e-mail ordinaria la PEC è:

Si potevano sfruttare strumenti già esistenti per la certificazione in proprio dei messaggi e-mail come l’utilizzo dello standard S/MIME ma è cosa risaputa che business is business.

Dovevamo insospettirci quando anche la PEC ha iniziato a intasarsi di spam e impostare la casella affinché riceva solo da indirizzi PEC si è rivelato inutile, giacché buona parte dello spam oggi transita da PEC a PEC; l’arrivo di un virus allegato a un messaggio PEC era solo questione di tempo: ora quel momento è giunto, la fiducia incrollabile nella sicurezza della PEC è venuta meno e ci siamo accorti che:

  1. apriamo gli allegati delle e-mail ancora troppo sbadatamente nel 2019/quasi 2020;
  2. siamo ostinati a non investire in sicurezza informatica.

Purtroppo quando si parla di “sicurezza informatica” a una platea di persone poco avvezze alla più semplice materia dell’informatica, spesso chi ascolta inizia a pensare a cose tipo Matrix o Mr. Robot ed è indotto a ritenere che la cosa non lo riguardi. Nulla di più sbagliato!

Con un piede nel 2020, un professionista avrebbe già dovuto effettuare degli investimenti per incrementare la sicurezza informatica del proprio ambiente di lavoro e l’avrebbe dovuto fare rivolgersi a un consulente esperto del settore, il quale avrebbe poi suggerito come strutturare l’infrastruttura tecnologica dello studio, mettendola contemporaneamente al riparo da spiacevoli episodi come quelli odierni.

Gli americani hanno creato la sigla P. E. B. C. A. K. ossia “Problem Exists Between Chair And Keyboard” (“il problema esiste fra la sedia e la tastiera“), volendo con ciò indicare che il problema di cui ci si sta lamentando discende proprio dall’utilizzatore del computer. Risulta necessario sottolineare come l’80% dei problemi informatici è qualificabile come PEBCAK: non è Windows in sé a essere un colabrodo; Windows 10 addirittura è considerato molto sicuro se configurato correttamente (da una mano esperta e non dal cugggino) e Microsoft lo aggiorna costantemente. Purtroppo, però, agiamo con troppa disinvoltura quando siamo davanti al monitor e non pensiamo a quali potrebbero essere le conseguenze; dopo, quando il disastro è compiuto, non sappiamo che pesci prendere e a chi rivolgerci per salvare la situazione.

Non dimentichiamo, inoltre, che i professionisti spesso sono titolari di trattamento dati ai sensi del Regolamento Europeo n. 679/2016, il caro GDPR, e permettere che un virus s’introduca nel nostro computer per danneggiare / distruggere / alterare i dati personali che trattiamo, ci espone a pesanti sanzioni come se abbandonassimo la borsa del lavoro con dentro i fascicoli dei clienti e qualcuno riuscisse a impossessarsene irrimediabilmente.

About Author