Le violazioni dei dati (meglio note con il termine data breach) rappresentano una grave minaccia per le aziende di tutte le dimensioni, dalle piccole e medie imprese alle grandi società ed enti governativi, indipendentemente dal settore, dall’ubicazione o dalla reputazione.
Se un’organizzazione subisce una violazione dei dati, le conseguenze vanno da sanzioni pecuniarie costose a danni del brand, perdite finanziarie e perdita di clienti e, in casi estremi, cessazione dell’attività.
Questo articolo è un’introduzione alle violazioni dei dati e ai vettori di attacco più comuni su cui gli hacker fanno affidamento per compromettere i file sensibili.
Noi di CYBEROO51 ti offriamo anche consigli su come prevenire le violazioni dei dati. Quindi, continua a leggere per vedere quali misure puoi intraprendere per proteggere la tua azienda dai tentativi di violazione.
Definizione di Data Breach
Un data breach è un incidente di sicurezza in cui una persona non autorizzata accede, ruba, copia o divulga dati protetti. Lo scenario più frequente è quando un criminale informatico si infiltra in un database e compromette informazioni private e sensibili per trasmetterle e/o utilizzarle a proprio favore. Tipicamente con scopi fraudolenti.
Le informazioni più succulente per gli hacker criminali in genere sono di aziende che mantengono:
- Informazioni di identificazione personale che possono aiutare qualcuno a identificare, contattare o impersonare un individuo.
- Informazioni sulla salute personale relative alla salute fisica o mentale passata, presente o futura di qualcuno.
- Dati aziendali riservati come segreti commerciali, contratti, elenchi clienti, piani aziendali, e-mail, registrazioni di riunioni, accordi, ecc.
- Proprietà intellettuale, ad esempio disegni, brevetti, codice sorgente, progetti, ecc..
- Dati finanziari come fatture, numeri di carte di credito, coordinate bancarie, moduli fiscali, bilanci, ecc.
Le violazioni dei dati battono il record nel 2021
Il rapporto annuale dell’Identity Theft Resource Center mostra che il numero di data breach è aumentato del 68% l’anno scorso, raggiungendo il totale più alto di sempre. Nel 2021 infatti si sono verificate 1.862 violazioni dei dati, superando sia il totale di 1.108 del 2020 che il record precedente di 1.506 stabilito nel 2017. Sempre lo scorso anno, il costo medio per aver subìto una violazione dei dati è stato di $ 4,24 milioni, con un aumento del 10% rispetto alle statistiche del 2020.
Come si verificano le violazioni dei dati?
Il presupposto è che una violazione dei dati sia causata da un hacker esterno, ma non è sempre vero. I motivi per cui si verificano le violazioni dei dati a volte possono essere ricondotti ad attacchi intenzionali. Tuttavia, può facilmente derivare anche da una semplice svista da parte del personale oppure da difetti nell’infrastruttura di un’azienda.
Ecco come può verificarsi una violazione dei dati:
- Un insider accidentale. Un esempio potrebbe essere un dipendente che utilizza il computer di un collega e legge file senza disporre delle autorizzazioni di autorizzazione appropriate. L’accesso è involontario e nessuna informazione viene condivisa. Tuttavia, poiché è stato visualizzato da una persona non autorizzata, i dati sono considerati violati. Altri esempi possono essere incidente e negligenza. Ciò include errori come l’invio di informazioni alla persona sbagliata, l’abbandono di file fisici o digitali in un luogo pubblico o la mancata installazione degli aggiornamenti.
- Un insider dannoso. Questa persona, che sia un dipendente attuale o precedente, accede e/o condivide di proposito i dati, con l’intento di arrecare danno a un individuo o all’azienda. L’insider malintenzionato può avere un’autorizzazione legittima per utilizzare i dati, ma l’intento è quello di utilizzare le informazioni in modi nefasti. In genere lo fanno a scopo di lucro, utilizzando le informazioni rubate per commettere frode o vendendole a terzi, come un concorrente o un gruppo di hacker. Tuttavia, alcuni insider malintenzionati sono motivati dalla vendetta, che è molto probabile che si verifichi quando un dipendente è stato licenziato o si sente sottovalutato nel proprio ruolo.
- Dispositivi smarriti o rubati. Qualsiasi dispositivo non protetto nelle mani sbagliate può essere fonte di violazione di informazioni riservate.
- Criminali esterni dannosi. Si tratta di hacker criminali che utilizzano vari vettori di attacco per raccogliere informazioni da una rete o da un individuo.
Metodi dannosi utilizzati per violare i dati
I criminali tendono a seguire uno schema di base: prendere di mira un’organizzazione per una violazione richiede pianificazione. Ricercano le loro vittime per scoprire dove si trovano le vulnerabilità, come aggiornamenti mancanti o non riusciti e la predisposizione dei dipendenti alle campagne di phishing.
Gli hacker apprendono i punti deboli di un obiettivo, quindi sviluppano una campagna per convincere gli addetti ai lavori a scaricare erroneamente malware. Una volta all’interno, i criminali malintenzionati hanno la libertà di cercare i dati che desiderano e molto tempo per farlo, poiché la violazione media richiede più di cinque mesi per essere rilevata.
Le vulnerabilità comuni includono quanto segue:
- Credenziali deboli. Se i criminali vengono in possesso del tuo nome utente e password, hanno immediatamente accesso alla tua rete. Poiché la maggior parte delle persone riutilizza le stesse password, i criminali informatici possono utilizzare attacchi di brute force per ottenere l’accesso a e-mail, siti Web, conti bancari ecc.
- Credenziali rubate. Violazioni causate da phishing rappresentano un grave problema di sicurezza e se i criminali informatici entrano in possesso di queste informazioni personali, possono utilizzarle per accedere per esempio alla tua banca e i conti online.
- Beni compromessi. Vari attacchi di malware vengono utilizzati per aggirare i normali passaggi di autenticazione che normalmente proteggerebbero un computer.
- Accesso di terze parti. Sebbene tu possa fare tutto il possibile per proteggere la tua rete e i tuoi dati, i criminali malintenzionati potrebbero utilizzare fornitori di terze parti per farsi strada nel tuo sistema.
- Dispositivi mobili. Quando i dipendenti possono portare i propri dispositivi sul posto di lavoro, è facile per i dispositivi non protetti scaricare app cariche di malware che forniscono agli hacker i dati archiviati sul dispositivo. Ciò include spesso e-mail e file di lavoro, nonché le PII del proprietario.
Best practice per evitare di essere una vittima di violazione dei dati
La prevenzione delle violazioni dei dati deve coinvolgere tutti i livelli, dagli utenti finali al personale IT. Ogni persona che interagisce con un sistema può essere una potenziale vulnerabilità. Di seguito alcuni consigli utili per la propria sicurezza informatica di base:
- Mantieni tutti i dispositivi, i sistemi e le reti aggiornati con le patch più recenti per prevenire exploit di software obsoleti.
- Affidati alla crittografia end-to-end e a un’attenta gestione delle chiavi per garantire che un hacker non possa decifrare i dati anche se raggiungono il suo database.
- Richiedi l’utilizzo di un servizio VPN di livello aziendale e protezione antivirus anche sui dispositivi mobile.
- Fai uso di credenziali solide e complesse e autenticazione a più fattori.
- Migliora la sicurezza informatica implementando firewall robusti, programmi antivirus, politiche di sicurezza cloud, rilevamento delle minacce agli endpoint e cyber kill chain. Crea un piano di disaster recovery e utilizza i backup dei dati per garantire che l’azienda possa riprendersi rapidamente da un tentativo di violazione.
- Esegui regolarmente vulnerability assessment e penetration test per ispezionare la resilienza del tuo sistema a diverse tattiche di violazione dei dati.
- Organizza corsi di sensibilizzazione sulla sicurezza informatica per istruire i dipendenti sulle tattiche di ingegneria sociale e insegnare ai lavoratori come agire se rilevano attività sospette.
E il GDPR cosa dice di fare in caso di violazione dei dati?
Sono due gli articoli del GDPR che ci indicano come ci si deve comportare se si verifica una violazione dei dati personali:
- l’articolo 33 riguarda la gestione interna dell’azienda e la gestione dei rapporti con il Garante;
- l’articolo 34 riguarda la gestione con gli interessati, cioè con le persone di cui abbiamo i dati personali.
Il data breach va sempre registrato e se è il caso va notificato al Garante. L’articolo 33 ci dice che, in caso di violazione dei dati personali, il titolare del trattamento notifica il data breach all’autorità di controllo competente entro 72 ore dal momento in cui ne viene a conoscenza, senza ritardo, qualora la violazione presenti un rischio per i diritti e la libertà delle persone fisiche.
Bisogna documentare qualsiasi violazione, sia di tipo 1 (violazione che non presenta un rischio per i diritti e le libertà delle persone) che di tipo 2 (violazione che presenta un rischio per i diritti e le libertà delle persone). In sostanza, si deve dimostrare accountability.
Se la violazione dei dati rappresenta un rischio elevato per le persone interessate, anche loro dovrebbero essere informati, a meno che non siano state messe in atto efficaci misure di protezione tecnica e organizzativa o altre misure che assicurino che il rischio non si concretizzi più.
In quanto organizzazione, è fondamentale attuare misure tecniche e organizzative adeguate per evitare possibili violazioni dei dati.