Si sente ormai parlare da giorni dell’attacco hacker ai danni della ASL1, il gruppo di cyber criminali Monti è riuscito ad esfiltrare numerosi giga di memoria dai server e bloccare temporaneamente i servizi.
Il tempo darà le risposte su come ciò è potuto accadere, e come rimediare ai disagi che questo atto ha creato al sistema sanitario e agli utenti, importante è però capire come questa nuova frontiera della criminalità si muove e agisce.
Il gruppo Monti ha sferrato un attacco definito “Ransomware”, in tali intrusioni l’attacante prende il controllo di un sistema ICT, cioè un ecosistema tecnologico in cui più componenti interagiscono tra loro per assolvere a un obiettivo specifico, e chiede un riscatto per restituire le informazioni memorizzate sul sistema.
Le fasi d’azione dei criminali sono riassunte in 4 step, con l’acronimo LEDS (lock, encrypt, delete, steal; bloccano, criptano, rubano o cancellano delle risorse del sistema), in ultimo, come sembrerebbe essere successo nel caso della Asl1 chiedono un riscatto quasi sempre in criptovalute.
Il ransomware ad oggi è la forma più innovativa e redditizia di crimine informatico; il lavoro del criminale è quello dunque di entrare in un sistema e questo avviene mediante delle vere e proprio tecniche di adescamento, la più comune è il “phishing”, il termine indica proprio l’azione di far “abboccare all’amo” le vittime della truffa, e questa operazione avviene con delle semplici mail, o comunicazioni su cellulari. I criminali sono in grado di inviare messaggi verosimili, link, allegati ad un utente che ignaro abbocca e fornirà dati fondamentali, spesso credenziali di accesso, al criminale stesso.
Altre tecniche di adescamento sono quelle che prevedono l’stallazione dei trojan cioè dei virus che installano nei pc delle vittime dei software che permettono l’ingresso indisturbato dei cybercriminali sull’ICT prescelto ed ogni volta che quel sistema verrà utilizzato dalla vittima automaticamente verrà aperto l’accesso ai cybercriminali.
Un’altra tecnica utilizzata è quella di scovare nei sistemi informatici delle vulnerabilità, cioè delle possibilità di accesso che non sono protette o sono facilmente violabili. Il compito dei tecnici informatici è proprio quello di valutare quotidianamente la presenza di queste falle nei sistemi e provvedere. La cosa peggiore è quando una vulnerabilità viene scoperta nel momento stesso in cui viene violata, è possibile fare un paragone con la medicina, quando insorge una nuova malattia ci sarà sempre qualcuno che ne sarà affetto per primo e solo successivamente gli altri saranno in grado di prendere misure di controllo per difendersi.
Per quanto riguarda la asl1 la protezione dei dati personali è affidata ad un DPO che, secondo il Regolamento (UE) 2016/679, denominato “Regolamento Generale per la Protezione dei Dati Personali” ha il compito di effettuare il trattamento dei dati, di cui resta titolare la asl stesssa, in applicazione dei principi di liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione dei dati, esattezza, limitazione della conservazione, integrità, riservatezza e responsabilizzazione.
Nel caso specifico è facile pensare che ci sia stata una falla nel sistema di controllo e tutela, in quanto i criminali sono riusciti, come è ormai noto, non solo a rendere per alcuni giorni inutilizzabili i sistemi ma anche a rubare i dati e renderli fruibili sul dark web, questo significa che probabilmente i file sono stati esfiltrati “in chiaro” cioè non protetti da nessun sistema di criptaggio.
Come per tutti i problemi complessi con cause molteplici, non esiste una soluzione per il ransomware che sia contemporaneamente semplice, efficace ed economica, esistono però delle contromisure che si possono dividere in due grandi branche: le contromisure basate sul ripristino dei dati che però sono efficaci solo quando l’attaccante non minaccia la pubblicazione dei dati esfiltrati alla base di queste contromisure ci sono lecopie di backup dei dati che vanno difese per impedire che l’attacante le elimini durante la sua intrusione; la seconda possibilità è quella di prendere delle contromisure che mirano a impedire o almeno contenere l’intrusione prima del suo successo completo e queste si basano sull’irrobustire le difese standard sia a livello informatico che a livello di formazione di personale ed utenti. Importante è comprendere che per tutelarsi da tutti i rischi cyber è necessaria una valutazione dinamica e in costante aggiornamento.
In conclusione, l’approccio che si ha nei confronti dell’informatica risulta essere di completa “svalutazione del rischio”, la sicurezza informatica sia nel privato, che nelle aziende, che nel pubblico ancora non è tra le principali preoccupazioni. Non ci si rende conto del valore che i nostri dati hanno, e di come possano essere utilizzati per azioni pericolose, dunqune non si ha contezza del fatto che andrebbero protetti. Nessuno al giorno d’oggi lascerebbe le chiavi della propria cassaforte in bella vista, ma tutti siamo pronti a condividere su un social ogni momento della nostra giornata.
G.Mon